什麼是供應鏈攻擊

正確答案：B. 把公司專用的套件放在組織管理的命名空間，設定該命名空間只從公司內的套件庫取得，並以鎖定檔固定版本與雜湊值

相依性混淆是軟體供應鏈攻擊的一種。有些套件管理工具會參照多個套件庫，依設定在名稱相同時選擇版本號較大者，攻擊者便利用這一點，讓建置取用與公司內名稱相同的惡意套件。對策是讓公司內的套件使用組織管理的命名空間（scope），只把該命名空間綁定到公司內的套件庫，明確指定從哪個套件庫取得。此外，以鎖定檔固定相依套件的版本與雜湊值，就能防止在不知不覺中被替換成其他東西。事先在公開套件庫註冊組織的命名空間，也有助於防止冒用。

正確答案：C. 程式碼簽章只顯示由誰簽署以及簽署後是否遭竄改，因此開發商要保護建置環境，使用者也要監控所信任軟體的行為

程式碼簽章是確認簽署者是誰，以及簽署後內容沒有被改變的機制，無法辨識在簽署前混入的惡意程式碼。在軟體供應鏈攻擊的代表案例SolarWinds事件中，惡意程式碼是在建置過程中被加入的，因此以附有簽章的正規更新送到許多組織。在2024年3月發現的xz-utils後門中，也是花了很長時間取得開發者信任的人物，把惡意程式碼混入了發布用的檔案。開發商要隔離並保護建置環境、記錄並驗證從原始碼到建置的來源，使用者即使是信任的軟體，也要以EDR等監控可疑的通訊與行為，這很重要。