Supply Chain Attack DevSecOps (Attaque chaîne d'approvisionnement logicielle)
devsecopsDéfinition
Les attaques de la chaîne d'approvisionnement logicielle (software supply chain attacks) dans un contexte DevSecOps ciblent les outils, pipelines CI/CD, dépendances et registres de packages utilisés durant le développement et la livraison logicielle. En compromettant un outil de build, un package npm ou PyPI largement utilisé, ou un workflow GitHub Actions, l'attaquant peut injecter du code malveillant distribué automatiquement à des milliers de projets. Des incidents emblématiques incluent l'attaque SolarWinds via la build infrastructure Orion (2020), la backdoor XZ Utils (CVE-2024-3094) insérée dans une bibliothèque de compression Linux, et de nombreux cas de typosquatting sur npm. La défense DevSecOps implique la vérification cryptographique des artefacts avec Sigstore/Cosign, la génération de SBOM (CycloneDX, SPDX), l'utilisation de registres privés avec proxying contrôlé, les politiques de pinning strictes des dépendances par hash, l'isolation des environnements de build, et la surveillance continue des dépendances avec des outils SCA (Snyk, Dependabot, OWASP Dependency-Check).
Description
Les attaques supply chain DevSecOps ciblent les outils et pipelines CI/CD, les dépendances open-source (typosquatting npm/PyPI, packages malveillants) et les registres. Des incidents emblématiques : SolarWinds Orion build compromise (2020), backdoor XZ Utils CVE-2024-3094, EventStream npm (2018).
Mise en œuvre
Défense en profondeur : vérification cryptographique des artefacts (Sigstore/Cosign), génération de SBOMs (CycloneDX), registres privés avec proxying contrôlé, pinning des dépendances par hash SHA256, isolation des environnements de build (hermetic builds SLSA L3), et surveillance SCA continue.
Points clés
- MITRE ATT&CK Supply Chain (T1195) : vecteur d'attaque APT de plus en plus exploité
- CISA guidance : exiger le SLSA L2+ et des SBOMs pour les logiciels fournisseurs critiques
- Pinning GitHub Actions par SHA :
uses: actions/checkout@a5ac7e51b41094c92402da3b24376905380afc29
Besoin d'un expert sur ce sujet ?
Audit, pentest, conformité ISO 27001, développement IA sécurisé — demandez un devis gratuit.
Demander un devis