NIST 按行政令关于加强软件供应链安全的要求，给出“关键软件”的定义及所含11类软件
数字化时代，软件无处不在。软件如同社会中的“虚拟人”，已经成为支撑社会正常运转的最基本元素之一，软件的安全性问题也正在成为当今社会的根本性、基础性问题。
随着软件产业的快速发展，软件供应链也越发复杂多元，复杂的软件供应链会引入一系列的安全问题，导致信息系统的整体安全防护难度越来越大。近年来，针对软件供应链的安全攻击事件一直呈快速增长态势，造成的危害也越来越严重。
为此，我们推出“供应链安全”栏目。本栏目汇聚供应链安全资讯，分析供应链安全风险，提供缓解建议，为供应链安全保驾护航。
注：以往发布的部分供应链安全相关内容，请见文末“推荐阅读”部分。
美国当地时间2021年5月12日，总统拜登发布关于增强国家网络安全的第14028号行政令（EO），要求美国商务部下属机构国家标准技术局 (NIST) 在行政令发布45天内，给出“关键软件”的定义。
当地时间6月24日，NIST 发布了该定义并给出了隶属于“关键软件”的初步软件分类。NIST 指出，关于按照行政令应用该定义的其它指南由关键基础设施安全局（CISA）和管理预算办公室 (OMB) 发布，CISA 将发布在初步和未来执行行政令所需的最终软件分类。
NIST 发布的这份文档首先介绍了关于“关键软件（critical software）“中”关键“的定义，其次介绍了”关键软件“的定义，最后给出了属于该定义的初步软件分类以及相关问答。
NIST 指出，现在已有很多关于“关键”一词的定义和用法，不过它们大多基于技术如何支持多种任务或进程，如“安全关键”或“关键的基础设施”这些词语。而行政令中使用的“关键”一词稍有不同，因为它并非基于用法的上下文，而是基于既定软件的属性使其在多数情况下是“关键“的。即，它关注的是解决网络操作和安全的底层基础设施的关键功能。
NIST 指出，为了区分常见的“关键“用法以及行政令中的定义，文档中使用”EO-关键“来区分可能引起歧义的情况。
NIST 文档指出，“EO-关键软件”指的是具有如下特点的任意软件：拥有一个或多个组件且组件具备以下至少一种属性，或者拥有直接的软件依赖关系且该依赖关系所依赖的组件具备以下至少一种属性：
组件旨在以提升后的特权运行或者旨在管理特权；
具有对网络或计算资源的直接或特权访问权限；
旨在控制对数据或运营技术的访问权限；
执行信任关键功能；或者
以特权访问权限在正常信任边界以外操作。
其中，“信任关键”涵盖了用于安全功能的软件类别，如网络控制、端点安全和网络防护。该定义适用于所购买或部署在生产环境和用于操作目的的所有形式的软件（如独立软件、某具体设备或硬件组件包含的软件、云软件）。其它使用情况如仅用于研究或测试、未部署到生产系统种的软件并不在涵盖在内。
NIST提到“关键软件”的定义关注的是软件的功能而非用途，因此各机构不能根据软件的用途来判定是否为“EO-关键软件”。
NIST 在文档种特别提到，如果开源软件执行的功能符合“EO-关键”的定义，则属于“EO-关键”软件。在实践中，开源软件通常集成在其它产品中。在这种情况下，产品开发人员认为开源组件是自身开发流程中的一部分。在其它情况下，开源软件是一种独立产品。在这种情况下，行政令的要求仍然适用。
NIST 建议行政令的初步实现阶段主要关注具有安全关键功能的软件，或者如遭攻陷会造成类似潜在重要损害的软件。之后的实现阶段可解决其它软件类别，如：
控制数据访问权限的软件；
基于云的软件和混合软件；
软件开发工具如代码仓库系统、开发工具、测试软件、集成软件、封装软件和部署软件；
引导层固件种的软件组件；或
运营技术（OT）中的软件组件。
NIST 给出的属于“关键软件”的初步软件类别如下，共11类。
完整文档可见：https://www.nist.gov/system/files/documents/2021/06/25/EO%20Critical%20FINAL_1.pdf
Atlassian 域名被曝一次点击账户接管漏洞 可导致供应链攻击
Linux 应用市场易受RCE和供应链攻击，多个0day未修复
给开发者的9个安全建议：既能保护供应链安全，也不会拖慢开发进程
微软“照片”应用Raw 格式图像编码器漏洞 (CVE-2021-24091)的技术分析
速修复！热门npm 库 netmask 被曝严重的软件供应链漏洞，已存在9年
SolarWinds 供应链事件后，美国考虑实施软件安全评级和标准机制
找到软件供应链的薄弱链条
GitHub谈软件供应链安全及其重要性
揭秘新的供应链攻击：一研究员靠它成功入侵微软、苹果等 35 家科技公司
谷歌Linux基金会等联合推出开源软件签名服务 sigstore，提振软件供应链安全
Linus Torvalds 警告：勿用 Linux 5.12 rc1，担心供应链攻击？
微软和火眼又分别发现SolarWinds 供应链攻击的新后门
找到恶意软件包：Go 语言生态系统中的供应链攻击是怎样的？
拜登签署行政令，要求保护美国关键供应链（含信息技术）的安全
坐火车太无聊，我溜入微软 VS Code官方GitHub仓库，但没敢发动供应链攻击
SolarWinds 供应链攻击中的第四款恶意软件及其它动态
OpenWRT开源项目论坛遭未授权访问，可被用于供应链攻击
FireEye事件新动态：APT 攻击 SolarWinds 全球供应链（详解）
FireEye 红队失窃工具大揭秘之：分析复现SolarWinds RCE 0day (CVE-2020-10148)
FireEye红队失窃工具大揭秘之：分析复现Zoho ManageEngine RCE (CVE-2020-10189)
FireEye 红队失窃工具大揭秘之：分析复现 Zoho 任意文件上传漏洞(CVE-2020-8394)
FireEye 红队失窃工具大揭秘之：分析复现 Confluence路径穿越漏洞 (CVE-2019-3398)
FireEye 红队失窃工具大揭秘之：分析复现 Atlassian RCE (CVE-2019-11580)
Ripple 20：严重漏洞影响全球数十亿IoT设备，复杂软件供应链使修复难上加难
被后爹坑：开源 JavaScript 库沦为摇钱树
速修复！开源企业自动化软件 Apache OFBiz 出现严重的 RCE 漏洞
谷歌提出治理开源软件漏洞的新框架：知悉、预防、修复
开源软件漏洞安全风险分析
开源OS FreeBSD 中 ftpd chroot 本地提权漏洞 (CVE-2020-7468) 的技术分析
集结30+漏洞 exploit，Gitpaste-12 蠕虫影响 Linux 和开源组件等
题图：Pixabay License
奇安信代码卫士原创出品。转载请注明 “转自奇安信代码卫士 https://codesafe.qianxin.com”。
奇安信代码卫士 (codesafe)
国内首个专注于软件开发安全的
产品线。