Wie heißt diese Art von Angriff, der das Ziel über einen vertrauenswürdigen Lieferanten oder eine Abhängigkeit erreicht?

Ein Angriff auf die Lieferkette funktioniert, indem ein vertrauenswürdiger Anbieter kompromittiert wird, sodass Schadcode in etwas mitreist, dem Kunden ohnehin schon vertrauen, etwa ein routinemäßiges Software-Update. Im Fall SolarWinds schmuggelten Angreifer manipulierten Code in legitime Updates, die anschließend automatisch bei Tausenden Organisationen weltweit installiert wurden – so verschafften sich Hacker Zugang zu Netzwerken, die keinen Grund hatten, ihrem vertrauenswürdigen Anbieter zu misstrauen.

Ein Denial-of-Service-Angriff überflutet ein System mit Datenverkehr, um es lahmzulegen – ein völlig anderes Ziel als das stille Eindringen in Netzwerke über ein vertrauenswürdiges Update. Ein Brute-Force-Angriff errät einfach so lange Passwörter, bis eines funktioniert, auch das hat nichts damit zu tun, Schadsoftware in legitimer Software zu verstecken.

Der SolarWinds-Vorfall trug dazu bei, das 'Software Bill of Materials' bekannt zu machen, im Grunde eine Zutatenliste, die jede Komponente und Abhängigkeit in einer Anwendung offenlegt, damit Organisationen Risiken erkennen können, die tief in ihrer Software-Lieferkette verborgen sind.