Supply Chain Attack
সাপ্লাই চেইন আক্রমণ
সরাসরি টার্গেট আক্রমণ না করে, সেই টার্গেট যে dependency/tool/build-pipeline-এর ওপর নির্ভর করে তাকে compromise করে পরোক্ষভাবে পৌঁছানোর আক্রমণ-কৌশল।
also: software supply chain attack, supply-chain compromise
attacker --(compromise)--> trusted dependency/build-pipeline --(trust)--> victim
কোনো bug victim-এর নিজের কোডে খুঁজতে হয় না — victim স্বেচ্ছায় malicious কোড ইনস্টল করে- তিনটা প্রধান রূপ: compromised legitimate package (যেমন xz-utils, ২০২৪), dependency confusion, typosquatting
- Blast radius popularity-র সমানুপাতিক — যত বেশি project সেই dependency ব্যবহার করে, একবার compromise-এই তত বেশি টার্গেটে পৌঁছানো যায়
- Mitigation: hash-pinned lockfile, SBOM, reproducible build, dependency-minimization — সবগুলোই least-privilege/attack-surface-হ্রাসের dependency-স্তরের প্রয়োগ