聚焦源代码安全，网罗国内外最新资讯！
数字化时代，软件无处不在。软件如同社会中的“虚拟人”，已经成为支撑社会正常运转的最基本元素之一，软件的安全性问题也正在成为当今社会的根本性、基础性问题。
随着软件产业的快速发展，软件供应链也越发复杂多元，复杂的软件供应链会引入一系列的安全问题，导致信息系统的整体安全防护难度越来越大。近年来，针对软件供应链的安全攻击事件一直呈快速增长态势，造成的危害也越来越严重。
为此，我们推出“供应链安全”栏目。本栏目汇聚供应链安全资讯，分析供应链安全风险，提供缓解建议，为供应链安全保驾护航。
注：以往发布的部分供应链安全相关内容，请见文末“推荐阅读”部分。
Sisense 是2004年在以色列成立、如今总部位于纽约市的一家美国商业情报软件公司。该公司在伦敦和特拉维夫都设有办事处。该SaaS平台声称使用“受AI驱动的分析能力”为超过2000多名客户提供服务，包括纳斯达克、ZoomInfo、Verizon 和加拿大航空公司等。
今天，CISA 表示该事件也影响位于美国的关键基础设施行业的组织机构，目前CISA正与私营行业的合作伙伴们评估其影响。CISA表示，“CISA正在与私营行业的合作伙伴们一道，响应由独立安全研究人员发现的针对数据分析服务商 Sisense的攻陷事件。CISA 积极与私营行业合作伙伴协同响应该事件，尤其该事件也与受影响的关键基础设施行业组织机构有关。我们将第一时间发布相关进展。”
Keeper Security 公司的安全和架构副总裁 Patrick Tiquet 表示，Sisense 是威胁猎人发动高阶供应链攻击的理想目标。他提到，“攻击者可能会利用他们的访问权限，进一步渗透 Sisense 客户的联网网络，在供应链中产生涟漪效应。Sisense 的客户应当立即按照CISA的指南行动，并重置被暴露到或用于访问 Sisense 服务的凭据和机密信息。”
CISA 督促所有的 Sisense 客户重置任何部分暴露的或用于访问该公司平台和服务的凭据和机密。Sisense 公司的首席信息安全官 Sangram Dash 重申了CISA发送给客户并与调查记者 Brian Krebs 共享的信息中提到的建议。Dash表示，“出于谨慎考虑，在我们继续调查的同时，我们督促大家及时更新在 Sisense 应用中使用的任何凭据。”
Sectigo 的高级产品副总裁 Jason Soroko 表示，除了重置密码外，建议Sisense 客户查看API密码密钥。他提到，“虽然 Sisense 事件详情不明，然而我的建议是修改任何 Sisense 账号的密码，重置用于与 Sisense 有关的服务的API密钥，并关注4月5日以后的任何异常活动。”
另外，客户应当将涉及潜在被暴露凭据或越权访问 Sisense 服务器的任何可疑活动告知CISA。目前，CISA和Sisense 尚未透露更多详情。一年前，导致3CX 数据泄露的另外一起供应链攻击也影响多家关基组织机构，包括位于美国和欧洲的“负责生成和向电网提供能源的电力供应商”。
英韩：Lazarus 黑客组织利用安全认证软件 0day 漏洞发动供应链攻击
Okta 支持系统遭攻陷，已有Cloudflare、1Password等三家客户受影响
Okta 结束Lapsus$ 供应链事件调查，称将加强第三方管控
MSI UEFI 签名密钥遭泄漏 恐引发“灾难性”供应链攻击
OilRig APT 组织或在中东地区发动更多 IT 供应链攻击
适用于Kubernetes 的AWS IAM 验证器中存在漏洞，导致提权等攻击
PyPI 仓库中的恶意Python包将被盗AWS密钥发送至不安全的站点
题图：Pexels License
本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。
奇安信代码卫士 (codesafe)
国内首个专注于软件开发安全的产品线。
觉得不错，就点个 “在看” 或 "赞” 吧~
如有侵权请联系:admin#unsafe.sh