威胁情报
仅靠 SBOM 无法揭示供应链攻击的全部影响范围
据 Dark Reading 报道，近期发生的 Shai-Hulud 供应链攻击表明，仅靠软件物料清单（SBOM）并不足够，防御方需要对生产环境中的代码和受影响服务具备实时可见性，才能有效响应此类攻击。
软件物料清单（SBOM）已成为供应链安全体系的重要基石，但据 Dark Reading 报道，有分析指出，仅靠 SBOM 并不足以揭示供应链攻击的真实影响范围。
报道以近期发生的 Shai-Hulud 攻击为例说明这一问题。该事件表明，当攻击实际发生时，企业在"理论上知道自己使用了哪些组件"与"真正掌握生产环境中正在运行什么"之间，存在明显差距。
Dark Reading 指出，SBOM 提供的是一份静态的软件组件清单，而在实际安全事件发生时，这种静态快照显得力不从心。当攻击者投毒了被广泛使用的软件包或组件时，防御方需要迅速判断：受影响的代码是否存在于自己的环境中、部署在何处、有哪些服务依赖于它。静态清单无法实时回答这些问题。
报道认为，企业需要的是对生产环境中代码及受影响服务的实时可见性。这种动态洞察能力可以让安全团队在攻击发生的当下准确追踪自身的暴露面，而不是依赖可能已经过时或不完整的资产清单。
按照 Dark Reading 的结论，SBOM 仍然是有用的工具，但只应被视为供应链防御体系中的一层。将其与对代码和服务进行持续的运行时级观测相结合，才能让防御方更准确地掌握自身暴露情况，并在下一次供应链攻击来临时更快做出响应。
