威胁类型：攻击构建服务篡改代码
- 威胁编号：T4-2-2
- 威胁分类：恶意篡改-构建阶段篡改
- 威胁描述：攻击者通过直接攻击构建服务系统，如利用系统漏洞、窃取构建凭证等方式，在软件构建过程中注入恶意代码。
威胁案例
闭源应用软件
- 2021年 SolarWinds 供应链攻击事件：攻击者入侵了 SolarWinds 的构建系统，在 Orion 软件的构建过程中植入了 SUNBURST 后门，该恶意软件随后通过正常的软件更新分发给了约 18,000 个客户，包括多个美国政府机构和大型企业。攻击者利用这一后门进行了长达9个月的持续性攻击。
解决方案
- 及时感知和修复Jenkins等构建服务的公开漏洞；
- 遵循Jenkins 安全最佳实践，使用Jenkins 的安全插件，限制Jenkins 的访问权限。