Glossaire · Cybersécurité
Attaque de la chaîne d'approvisionnement logicielle
Aussi appelé : Supply Chain Attack · Attaque par la chaîne logistique
Définition
Une attaque de la chaîne d'approvisionnement logicielle consiste à compromettre non pas la cible elle-même, mais l'un de ses fournisseurs de confiance : un éditeur de logiciel, une bibliothèque open source, un outil de mise à jour, un prestataire disposant d'accès. Le code malveillant arrive alors par un canal légitime, signé et attendu, et se diffuse chez tous les clients du fournisseur. Les affaires SolarWinds et xz Utils en sont des illustrations marquantes.
Dans la pratique
Cette menace oblige les entreprises à évaluer la sécurité de leurs fournisseurs et à inventorier leurs dépendances logicielles, ce que demandent explicitement NIS 2 et DORA. Côté développement, cela passe par le SBOM, la vérification des signatures et la limitation des droits accordés aux outils d'intégration continue.
Termes liés
Définition rédigée par L'équipe Top Profil. Glossaire mis à jour le . Tous les termes du glossaire.