6、解析SolarWinds软件供应链攻击及防护策略

解析SolarWinds软件供应链攻击及防护策略

1. SolarWinds软件供应链攻击问题及政策建议

在当今的软件市场中，SolarWinds软件供应链攻击事件凸显了一系列安全问题。下面我们将详细分析这些问题，并探讨安全专家提出的政策和法规方面的解决方案。

1.1 市场安全激励问题

现代公司往往为了追求短期利润，愿意承担安全风险，销售不安全的产品。以SolarWinds为例，该公司为了降低成本，在安全方面投入过少，将部分开发工作外包给海外廉价程序员，增加了安全漏洞的风险。2019年，SolarWinds使用弱服务器密码，导致俄罗斯和中国黑客分别得以访问其电子邮件系统并侵入美国政府计算机，管理关键网络的软件也存在安全隐患。这表明当前经济模式更倾向于通过销售不安全的软件产品来获取短期利润，而不是注重产品的安全性。

这一现象引发了两个主要问题：
- 终端用户（客户）无法判断软件产品的安全性。
- 经济模式鼓励公司自行决定安全策略，导致公司节省成本并将安全风险转嫁给终端用户。

针对这些问题，专家提出了以下建议：
- 联邦政府应制定软件开发和分发的最低安全标准，公司若不遵守标准需承担相应成本。
- 政府应改进软件采购流程，采购软件的系统需评估软件安全性并审查公司的安全实践，以确保满足基础网络的安全需求。
- 开发者应承担更多责任，公司应建立最佳安全实践，并在发布软件更新前遵循这些实践。同时，可以通过建立公司责任制度，让客户和攻击者更好地了解哪些公司在安全实践方面更可靠，促使软件行业对其产品和后续更新负责。

1.2 “加法”安全到“减法”安全

传统的“