세상이 결정적이라고 여기는 공급망에 무엇이 요구되는지 생각해 봅시다. 제약 제조업체는 판매하는 모든 원료의 출처, 조성, 시험 이력을 문서화합니다. 항공기 제조업체는 장착하는 모든 구성 요소의 인증 이력을 추적하고 그 기록을 기체의 수명 동안 보존합니다. 식품 생산자는 원료가 어디에서 재배되고 가공되고 운송되었는지 제시해야 하며, 오염 사건이 발생하면 몇 시간 안에 그 기록을 내놓아야 합니다. 규제 당국은 그 기록을 감사하고 시설을 점검하며, 문서가 버티지 못할 때 불이익을 부과합니다.

이제 디지털 공급망 위에 구축하는 조직에 무엇이 요구되는지 생각해 봅시다. 서드파티 스크립트를 연동하는 팀은 일반적으로 그것이 어디에서 왔는지, 누가 작성했는지, 그것이 무엇을 함께 지니고 오는지 문서화할 것을 요구받지 않습니다. 콘텐츠 배포 연동을 추가하는 회사는 그 제공업체가 배포하는 것이 무엇과도 대조하여 검증되었음을 입증할 것을 요구받지 않습니다. 제어 시스템 앞에 브라우저 기반 인터페이스를 두는 운영자는 연결하기 전에 그 인터페이스가 무엇을 불러오는지 매핑할 것을 요구받지 않습니다. 대부분의 조직에게, 대부분의 관할권에서, 이 공급망의 대부분에 걸쳐, 연동되고 실행되는 것을 문서화하거나 감사하거나 검증하거나 모니터링할 의무는 없습니다.

이것은 누구의 부주의도 아닙니다. 체계적인 보호를 가능하게 할 프레임워크는 구성 요소를 위해 작성되었는데, 이것은 조립물의 문제입니다. 개별 부품을 보호하기 위한 정교한 도구는 존재합니다. 사슬을 전체로서 보기 위한 것은 거의 존재하지 않습니다.

디지털 공급망은 하나의 사슬이 아닙니다. 그것은 동시에 작동하는 여덟 개의 계층입니다. 네트워크와 인프라, 소프트웨어와 펌웨어, 하드웨어와 기기, 서비스와 개발 키트, 코드와 라이브러리, 데이터와 모델, 리소스와 파일, 그리고 이 모두가 한 사람이 실제로 보는 것으로 모이는 인터페이스입니다.

이 글은 각 계층이 무엇을 기여하는지, 그것에 대해 어떤 증거가 존재하는지, 그리고 왜 노출이 각 계층의 취약점의 합이 아니라 계층 사이의 경로의 집합인지를 다룹니다.

구성 요소는 코드 한 줄도 바뀌지 않은 채 소유자가 바뀔 수 있습니다. 도메인은 똑같이 해석되고, 스크립트는 똑같은 해시를 가지며, 트래픽은 동일하기 때문에 동일합니다. 바뀐 것은 그 구성 요소가 다음에 무엇을 할지 결정하는 것이 누구인가이며, 그 가운데 어느 것도 캡처에는 보이지 않습니다.

이 글은 지배력이 실제로 이동하는 네 가지 방식, 이전과 누군가가 그것을 알아차리기까지의 간격, 날짜가 붙은 여섯 건의 문서화된 사례, 그리고 그것을 잡아냈을 모니터링이 왜 네트워크가 아니라 등기, 공시, 리포지터리 기록에 놓여 있는지를 다룹니다.

부품표, 빌드 증명, 악용 가능성 진술, 내부통제 보고서, 브라우저 정책, 태세 점수, 공격 표면 발견, 그리고 실질적 소유 스크리닝입니다. 아홉 가지 범주와 각각이 확정하는 것, 그리고 각각이 멈추는 정확한 지점을 다룹니다.

이 글은 이 방법론이 더하는 것을 분명하게 밝힙니다. 외부에서의 발견이 끝나는 곳과 소유 해석이 시작되는 곳 사이의 단계입니다. 또한 이 작업이 의지하는 네 가지 용어를 정의하고, 공개되지 않은 제공업체가 대개 은폐된 제공업체는 아닌 이유를 설명합니다.

캡처, 해석, 귀속, 대조를 증거가 드러내는 모든 제공업체에 적용하고, 그 아래의 계층에 대해 반복합니다. 벤더 목록은 판단을 기록하고 애플리케이션은 동작을 기록하며, 이 둘은 계약에 서명한 날부터 서로 벌어집니다.

이 글은 한 바퀴의 전체 공정, 그것이 따라 움직이는 관측과 귀속의 축, 호스트를 회사로 어떻게 해석하는지와 그것이 되지 않을 때 무엇이 일어나는지, 그리고 산출물에 무엇이 담기는지를 다룹니다.