SolarWinds
美国IT管理软件公司，因2020年供应链攻击事件而广为人知，其Orion网络监控软件被黑客植入后门并分发至约18000个政府和企业客户
核心事实
时间轴 (近 90 天)
自我更新的进程会在运行时主动从远端拉取新代码并执行，若更新路径被劫持或上游被投毒，本地环境会在无人工审核的情况下执行不受信任的代码，属于软件供应链风险的高发点。
2021 年的 SolarWinds 事件和 2022 年的 node-ipc 投毒事件推动了 SLSA 框架的普及
SolarWinds、XZ Utils 等事件表明广泛信任的开源项目也可能成为供应链攻击目标
SolarWinds供应链攻击发生于2020年，是同类APT入侵的标志性案例，同样持续数月未被发现
软件供应链安全近年来因Log4Shell、SolarWinds等重大事件而获得广泛关注
2021 年发生了 SolarWinds 事件与 npm 恶意包投毒事件，使业界意识到构建产物从源码到用户的每个环节都可能被篡改
2020年的SolarWinds事件中攻击者在构建流水线中注入恶意代码，最终影响数万家下游用户
SolarWinds事件发生于2020年，攻击者入侵SolarWinds构建环境，将恶意代码植入Orion软件更新包，致使全球约18000家客户安装带后门版本
2021 年的 SolarWinds 事件导致数千家企业和政府机构受到影响
2021年发生SolarWinds事件，2022年发生Log4j漏洞事件，让行业认识到供应链风险的严重性
还有 4 条时间轴事件
全部知识事实 (20)
2020年的SolarWinds事件是迄今规模最大的供应链攻击之一，攻击者在Orion软件构建流程中植入后门，影响约18,000个组织
90%已验证2020年SolarWinds供应链攻击中被植入了后门代码
85%已验证2020年SolarWinds事件中，攻击者通过污染软件构建流程将后门植入正版软件更新包，渗透美国多个政府机构
80%已验证2021年的SolarWinds事件和Log4j漏洞使业界意识到被广泛信任的工具也可能成为攻击入口
70%待验证美国政府在SolarWinds和Log4Shell事件后发布行政令要求推行软件物料清单（SBOM），欧盟推出《网络弹性法案》将开源软件安全责任纳入监管框架
90%待验证自我更新的进程会在运行时主动从远端拉取新代码并执行，若更新路径被劫持或上游被投毒，本地环境会在无人工审核的情况下执行不受信任的代码，属于软件供应链风险的高发点。
50%待验证SolarWinds、XZ Utils 等事件表明广泛信任的开源项目也可能成为供应链攻击目标
50%待验证SolarWinds供应链攻击发生于2020年，是同类APT入侵的标志性案例，同样持续数月未被发现
50%待验证软件供应链安全近年来因Log4Shell、SolarWinds等重大事件而获得广泛关注
50%待验证SolarWinds事件发生于2020年，攻击者入侵SolarWinds构建环境，将恶意代码植入Orion软件更新包，致使全球约18000家客户安装带后门版本
50%待验证美国白宫在SolarWinds事件和Log4Shell漏洞后发布行政命令EO 14028，要求软件供应商提供SBOM（软件物料清单）
50%待验证APT29又称Cozy Bear或Midnight Blizzard，是与俄罗斯情报机构相关联的高级持续性威胁组织，曾参与2020年SolarWinds供应链攻击
50%待验证APT29（又称 Cozy Bear 或 Midnight Blizzard）是与俄罗斯情报机构关联的高级持续性威胁组织，曾参与 2020 年 SolarWinds 供应链攻击
50%待验证2020年的SolarWinds事件中攻击者在Orion平台构建过程中植入后门，影响了全球超过18000个组织，包括多个美国联邦政府机构
50%待验证2021 年的 SolarWinds 事件和 2022 年的 node-ipc 投毒事件推动了 SLSA 框架的普及
50%待验证2021 年发生了 SolarWinds 事件与 npm 恶意包投毒事件，使业界意识到构建产物从源码到用户的每个环节都可能被篡改
50%待验证2020年的SolarWinds供应链攻击波及包括美国财政部在内的18000余家机构
60%待验证2020年的SolarWinds事件中攻击者在构建流水线中注入恶意代码，最终影响数万家下游用户
50%待验证2021 年的 SolarWinds 事件导致数千家企业和政府机构受到影响
50%待验证2021年发生SolarWinds事件，2022年发生Log4j漏洞事件，让行业认识到供应链风险的严重性
50%