与风险共存 供应链网络攻击

 

互联网和网络的互联互通，让当前的网络安全形式发生了巨大的变化。尽管每个企业在网络安全上的投入越来越多，但是网络和系统之间的相互连接的相关风险日益严重。’一切即服务’不仅消除了传统的安全边界，同时打开了公司无法识别处理新型网络攻击的大门。

将复杂的软件或者系统转移到最终的使用者手中，供应商和服务网络来创建对其的处理、分配和跟踪。这些供应链是许多网络犯罪分子试图利用的东西。因为第三方供应商通常有一定程度的访问其客户的网络权限。再加上与重要的内部基础设施相结合，这会更多的增加攻击面和威胁。攻击者可以利用该攻击面来绕过外围的防御。

01 信任经常被攻击所利用

人与技术的关系远非完美。云技术本身可能是不可预测的，因为它们会以不可预知的方式彼此交互。当你添加人为因素时，当然在也是不可预测的，这就提出了无法预测的安全问题。

云计算已经成为互联网业务不可分割的一部分，但云中缺乏合适的授权，问责制和身份验证，使得我们所能认知的安全威胁成为真正的供应链攻击。云服务额外增加的风险，促使公司不断重新评估外部风险和必要的审计。这种定期重新评估的做法必须经过不断的迭代，以确定潜在的安全盲点，同时减少事件响应时间。

不幸的是，在过去的几年里，我们看到了一系列的供应链攻击，导致数百万的客户泄露了个人和私人数据，因为当前供应链安全中存在固有的盲点。其中利用第三方访问关键基础设施，导致4100万客户记录被泄露的事件，成为最有代表性的供应链攻击案例。

当一个流行的AppIe Xcode IDE应用程序开发框架的篡改版本注入恶意代码时，供应链攻击甚至开始针对普通的开发者。使用受感染框架的应用程序开发人员在不知情的情况下创建了与恶意软件捆绑在一起的应用程序，这些应用程序不仅可以窃取用户的个人和隐私数据，还可以完全远程控制设备。被称为XcodeGhost的这种供应链攻击情况表明，恶意攻击者甚至可以通过开发者来破坏攻击。

有这样一种情况，供应商提供较复杂的基础设施难以由公司IT运营来维护，因此使用可以在整个基础架构中远程部署的自动化工具来确保高效的服务至关重要。不幸的是，这些工具虽然是合法的，但也可以作为有效的攻击载体，绕过标准的安全防护措施。CCleaner是一个流行的优化系统性能的免费工具，被网络犯罪分子篡改，并注入了针对技术和电信公司的恶意软件。由于IT运营在基础架构中广泛部署该工具，估计有227万个系统可能受到注入恶意软件的后门攻击的影响。
 

02管理供应链风险

公司面对的安全风险，不仅仅是来自外部的黑客攻击，还包括内部的基础设施、供应商、客户甚至合作伙伴。虽然内部的IT和安全部门可能有强大的安全措施来阻止大范围的直接攻击，但是第三方、合作方可能对待安全的态度完全不同。因此，在将供应商完全整合到内部基础设施之前，需要对供应商进行安全审查。

如何制定合适的供应商管理规范？应该从定义一个公司最重要的供应商开始。围绕基于风险的方法制定计划，可确保供应商不断得到评估和审核，让其安全策略与公司保持高度一致。

除了要求供应商及时通知任何内部安全事件之外，定期的安全评估报告，以确定其安全状态。由于安全是一个动态和持续的过程，因此这些基础设施应该根据最佳实践和公司的安全要求不断更新和审计。

不断的审查相关的技术、人员和流程 - 无论是内部还是供应商 - 都可以轻易过滤掉可能对公司和供应商造成破坏性的攻击。这一流程应该包括公司的员工，与现有系统相结合的新技术以及有关安全事件响应的内部流程以及安全最佳实践的实施等等。

03安全无界

传统的边界防御显然已经过时，安全团队必须考虑到互联网已经消除了所有的网络边界。虽然攻击面因此成倍增长，即使只涉及新应用的建立，公司仍然需要加强供应链安全。