# Co je útok na dodavatelský řetězec?

> Útok na dodavatelský řetězec (supply-chain attack) používá produkt, službu, dodavatele, vývojový či doručovací proces, důvěryhodnou cestu aktualizací nebo jinou upstream závislost jako cestu k ovlivnění downstream uživatelů.

- Kanonická URL: https://yellowcube.eu/cs/glossary/supply-chain-attack/
- Vydavatel: Yellow Cube
- Jazyk: cs
- Kontakt: hello@yellowcube.eu

## Obsah

Protivník zneužívá zděděnou důvěru nebo přístup napříč životním cyklem, například změnou komponenty před doručením, kompromitací poskytovatele nebo zneužitím přístupu dodavatele po nasazení.

Útok může zahrnovat hardware, firmware, software, hostované služby, správce, distributory nebo build a podpisové systémy. Škoda může dosáhnout všechny či vybrané příjemce. Vyšetřování musí určit, kde manipulace nastala, co překročilo hranici důvěry a které downstream produkty, účty, data či organizace byly ovlivněny.

### Klíčové body

- **Útočné cesty:** Manipulované závislosti, zdrojová či build prostředí, podepsané artefakty, aktualizace, hardware, systémy poskytovatelů služeb, kanály podpory a privilegovaná dodavatelská připojení mohou nést downstream dopad.
- **Vymezení rozsahu:** Porovnejte původ, podpisy, záznamy vydání, přístup dodavatelů, historii nasazení, síťovou a identitovou aktivitu a ověřené verze napříč dotčenými příjemci.
- **Reakce:** Koordinujte s dodavateli a zákazníky, chraňte základní operace, odvolejte exponovanou důvěru a přístup, zastavte nebezpečnou distribuci, poskytněte ověřený obnovovací materiál a adresujte původní kompromitaci.
- **Důležité omezení:** Narušení dodavatele, zranitelná závislost, výpadek třetí strany či nebezpečný produkt není automaticky útok na dodavatelský řetězec. Důkazy musí ukázat, že protivník použil dodavatelský vztah, životní cyklus, dodávku či zděděný přístup jako útočnou cestu nebo prostředek downstream dopadu.

### Související termíny

[Zabezpečení dodavatelského řetězce](<https://yellowcube.eu/cs/glossary/supply-chain-security/>) · [Kybernetické riziko třetích stran](<https://yellowcube.eu/cs/glossary/third-party-cyber-risk/>) · [Zabezpečení dodavatelského řetězce softwaru](<https://yellowcube.eu/cs/glossary/software-supply-chain-security/>) · [Seznam softwarových komponent (SBOM)](<https://yellowcube.eu/cs/glossary/software-bill-of-materials/>) · [Reakce na incident (IR)](<https://yellowcube.eu/cs/glossary/incident-response/>) · [Útok typu watering hole](<https://yellowcube.eu/cs/glossary/watering-hole-attack/>)

### Zdroje

[NIST Glossary: Supply Chain Attack](https://csrc.nist.gov/glossary/term/supply_chain_attack) · [MITRE ATT&CK T1195: Supply Chain Compromise](https://attack.mitre.org/techniques/T1195/) · [NIST SP 800-161 Rev. 1 Update 1: Cybersecurity Supply Chain Risk Management](https://csrc.nist.gov/pubs/sp/800/161/r1/upd1/final)

## Pojďme budovat chytřejší kybernetickou obranu Společně

Dlouhodobá partnerství stavíme na důvěře, odbornosti a společném úspěchu. Ať chcete rozvíjet své podnikání, rozšířit nabídku kybernetické bezpečnosti nebo uvést inovativní řešení na nové trhy, v Yellow Cube najdete spolehlivého partnera.

[Spojte se s Yellow Cube](<mailto:hello@yellowcube.eu?subject=Partnership>)

## Uvedení zdroje a rozsah

Tato verze Markdown vzniká ze stejných schválených záznamů jako kanonická stránka HTML. Při citování použijte kanonickou adresu.