据Palo Alto Networks称，云基础设施中使用的绝大多数第三方代码都包含漏洞和配置错误，这可能会使组织面临攻击。

安全供应商的Unite 42云威胁报告2H 2021使用来自各种公共来源的数据来更好地了解来自云软件供应链的威胁。

调查显示，用于构建云基础设施的63%的第三方代码模板包含不安全配置，而部署在云基础设施中的96%的第三方容器应用程序包含已知漏洞。

未经审查的第三方代码可能会引入威胁参与者故意插入的漏洞和恶意软件。本月早些时候的一项Sonatype研究表明，这种性质的上游供应链攻击激增了650%。

为了突出这一挑战，第42单元分析了公共Terraform模块，发现2500多个模块在加密、日志记录、网络、备份和恢复以及身份和访问管理等领域配置错误。

“团队继续忽视DevOps的安全，部分原因是缺乏对供应链威胁的关注。云原生应用程序有一长串依赖项，这些依赖项有自己的依赖项，”供应商解释道。

“DevOps和安全团队需要了解每个云工作负载中的材料清单，以评估依赖链每个阶段的风险并建立护栏。”

除了分析公共数据源外，42单元最近还受帕洛阿尔托网络的SaaS客户委托，在其环境中进行红色团队演习。它揭示了其软件开发过程中的关键缺陷，这些缺陷使该公司面临类似于SolarWinds和Kaseya的攻击。

供应商声称：“在红色团队练习中测试开发环境的客户拥有大多数人会认为成熟的云安全姿势。”“然而，他们的开发环境包含几个严重的配置错误和漏洞，使Unit 42团队能够在几天内接管客户的云基础设施。”