La catena di fornitura di un repository comprende il codice, i file di configurazione, gli script, le risorse e le automazioni distribuiti tramite un progetto ospitato su una piattaforma di hosting del codice. Il rischio va oltre la presenza di file sorgente malevoli: le impostazioni del progetto possono influenzare il comportamento degli strumenti per sviluppatori quando qualcuno clona o apre un repository.
Gli aggressori possono nascondere contenuti eseguibili tra risorse dall’aspetto ordinario oppure usare attività dell’editor e script di compilazione per creare un percorso di esecuzione. Per i difensori, la presenza di un file sospetto non prova che sia stato eseguito; occorre verificare le modifiche alla configurazione, le decisioni relative all’attendibilità dell’area di lavoro e la telemetria degli endpoint per accertare l’esecuzione e l’impatto. Esaminate le automazioni del repository prima di eseguirle e ispezionate i progetti non familiari in un ambiente controllato.