GoLeash：面向Go软件供应链的包级最小权限安全策略系统

《IEEE Transactions on Software Engineering》：GoLeash: Mitigating Golang Software Supply Chain Attacks with Runtime Policy Enforcement

　　

摘要：

现代软件供应链攻击包括在可信的第三方软件组件中引入新的恶意功能，以便通过包依赖链传播至受害者。这些攻击对 Go 语言生态系统尤为令人担忧，因为该生态系统被广泛应用于关键云基础设施。我们提出了 GoLeash，这是一种新颖的系统，通过在供应链中为每个包强制执行不同的安全策略，在包级别粒度上应用最小权限原则。这种更细的粒度使 GoLeash 能够比在进程级或容器级处理安全策略的传统沙箱更精确地检测恶意包。此外，GoLeash 在混淆环境下依然有效，能够克服静态分析的局限性，且运行时开销在可接受范围内。