搜索

[13674] 2019-01-20_让我们一起看一看日益脆弱的软件供应链

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2019-01-20_让我们一起看一看日益脆弱的软件供应链 让 我 们 一 起 看 一 看 日 益 脆 弱 的 软 件 供 应 链 A l p h a _ h 4 c k   F r e e B u f   2 0 1 9 - 0 1 - 2 0 写 在 前 面 的 话 写 在 前 面 的 话 从 伊 朗 到 俄 罗 斯 ， 各 个 国 家 都 在 把 软 件 供 应 链 作 为 攻 击 工 具 ， 来 危 害 和 扰 乱 敌 对 国 的 基 础 设 施 以 及 商 业 前 景 。 从 伊 朗 到 俄 罗 斯 ， 各 个 国 家 都 在 把 软 件 供 应 链 作 为 攻 击 工 具 ， 来 危 害 和 扰 乱 敌 对 国 的 基 础 设 施 以 及 商 业 前 景 。 软 件 供 应 链 攻 击 软 件 供 应 链 攻 击 今 年 7 月 份 ， 美 国 的 情 报 机 构 发 布 了 一 份 研 究 报 告 ， 报 告 主 要 强 调 了 来 自 中 国 的 软 件 供 应 链 攻 击 威 胁 ， 并 认 为 这 种 威 胁 将 有 可 能 长 久 性 地 侵 蚀 美 国 经 济 优 势 的 竞 争 力 。 各 种 来 源 的 威 胁 情 报 数 据 表 明 ， 包 括 伊 朗 和 俄 罗 斯 在 内 ， 各 大 民 族 国 家 都 在 利 用 软 件 供 应 链 来 攻 击 和 危 害 敌 对 国 的 基 础 设 施 以 及 大 型 企 业 。 根 据 C r o w d S t r i k e 的 最 新 研 究 ， 在 过 去 的 一 年 里 ， 受 调 查 的 跨 行 业 组 织 总 共 有 三 分 之 二 都 经 历 了 软 件 供 应 链 攻 击 。 针 对 网 络 周 边 设 备 的 传 统 网 络 安 全 解 决 方 案 已 经 日 趋 成 熟 ， 因 此 网 络 犯 罪 分 子 必 须 要 寻 找 其 他 的 方 法 来 渗 透 目 标 组 织 。 对 于 各 大 组 织 、 软 件 提 供 商 以 及 业 务 合 作 伙 伴 来 说 ， 他 们 三 者 之 间 的 信 任 基 础 就 是 软 件 供 应 链 ， 因 此 软 件 供 应 链 漏 洞 自 然 而 然 就 会 成 为 攻 击 者 的 目 标 之 一 。 而 且 很 多 第 三 方 供 应 商 会 急 于 让 产 品 上 市 ， 因 此 他 们 更 有 可 能 会 忽 略 产 品 安 全 测 试 以 及 源 代 码 的 安 全 保 护 。 由 于 先 进 的 恶 意 软 件 传 播 技 术 通 常 利 用 的 是 特 权 凭 证 或 者 是 已 知 的 架 构 漏 洞 ， 供 应 链 攻 击 其 实 是 很 常 见 的 ， 而 这 种 攻 击 往 往 针 对 的 是 目 标 组 织 的 整 个 可 信 客 户 群 。 除 此 之 外 ， 软 件 供 应 链 攻 击 也 会 越 来 越 频 繁 ， 越 来 越 复 杂 。
根 据 C r o w d S t r i k e 的 研 究 ， 这 种 攻 击 给 目 标 组 织 带 来 的 平 均 经 济 损 失 已 经 超 过 了 1 0 0 万 美 元 ， 而 这 个 数 字 涵 盖 了 企 业 的 对 外 业 务 、 产 品 生 产 以 及 应 对 成 本 ， 而 且 其 中 的 某 些 东 西 并 不 是 可 以 用 金 钱 价 值 来 衡 量 的 。 软 件 供 应 链 攻 击 事 件 的 频 繁 出 现 ， 应 该 给 各 大 组 织 敲 响 警 钟 。 根 据 最 新 的 调 查 数 据 ， 8 0 % 的 I T 专 业 人 士 都 认 为 软 件 供 应 链 攻 击 将 成 为 他 们 企 业 未 来 三 年 需 要 面 临 的 最 严 重 的 网 络 威 胁 之 一 。 何 去 何 从 那 么 ， 各 大 组 织 应 该 怎 么 做 才 能 保 护 自 己 呢 ？ 或 者 说 ， 各 位 还 应 该 做 些 什 么 呢 ？ 虽 然 各 大 组 织 已 经 逐 渐 开 始 意 识 到 了 软 件 供 应 链 这 种 新 型 的 攻 击 载 体 ， 但 是 C r o w d S t r i k e 发 现 他 们 大 多 数 仍 然 不 认 为 自 己 真 的 会 受 到 这 样 的 攻 击 。 此 外 ， 另 一 个 值 得 关 注 的 领 域 就 是 供 应 商 的 安 全 审 查 了 。 但 不 幸 的 是 ， 7 2 % 的 受 访 者 表 示 他 们 的 组 织 并 不 会 强 制 性 要 求 外 部 供 应 商 遵 守 与 他 们 自 己 相 同 的 安 全 标 准 。 不 过 ， 很 多 组 织 逐 渐 开 始 提 升 他 们 的 供 应 商 审 查 方 式 了 。 将 近 6 0 % 的 受 访 者 表 示 ， 他 们 的 组 织 需 要 更 加 详 细 和 严 格 的 安 全 检 查 策 略 ， 而 8 0 % 的 受 访 者 表 示 ， 如 果 供 应 商 的 安 全 策 略 薄 弱 ， 他 们 可 能 会 减 少 甚 至 是 拒 绝 与 这 类 供 应 商 合 作 。 为 了 防 范 软 件 供 应 链 攻 击 ， 组 织 应 该 建 立 更 强 有 力 的 措 施 来 进 行 彻 底 的 安 全 审 查 。 比 如 说 ， 各 大 国 家 银 行 已 经 开 始 强 制 要 求 供 应 商 应 当 满 足 某 些 最 低 程 度 的 网 络 安 全 环 境 标 准 ， 以 保 护 其 客 户 的 数 据 。 但 是 在 涉 及 到 实 际 审 查 时 ， 目 前 只 有 不 到 一 半 的 受 访 者 表 示 他 们 会 关 注 供 应 商 的 内 部 安 全 标 准 或 是 使 用 的 安 全 软 件 。 这 里 要 跟 大 家 分 享 一 个 算 是 比 较 好 的 消 息 ： 调 查 发 现 ， 自 N o t P e t y a 事 件 之 后 ， 9 5 % 的 企 业 董 事 会 对 供 应 链 攻 击 的 态 度 都 发 生 了 改 变 ， 而 这 种 态 度 和 认 识 的 提 升 是 一 个 很 好 的 开 始 。 建 议 措 施 建 议 措 施 为 了 保 护 各 大 组 织 不 受 软 件 供 应 链 攻 击 的 影 响 ， 我 们 建 议 各 大 组 织 和 企 业 做 到 以 下 几 个 方 面 ： 1 、   部 署 基 于 行 为 的 攻 击 检 测 解 决 方 案 ， 以 抵 御 复 杂 的 供 应 链 攻 击 ； 2 、   采 用 分 段 式 网 络 体 系 结 构 ； 3 、   部 署 实 时 漏 洞 管 理 解 决 方 案 ； 4 、   提 升 系 统 管 理 控 制 策 略 ， 提 升 企 业 环 境 中 特 权 凭 证 的 使 用 管 理 （ 包 括 共 享 / 嵌 入 式 管 理 员 账 户 的 控 制 ） ；
总 结 总 结 此 外 ， 为 了 提 前 应 对 将 来 可 能 发 生 的 攻 击 ， 组 织 还 应 该 利 用 好 各 种 来 源 的 威 胁 情 报 ， 以 获 取 必 要 的 数 据 和 信 息 来 主 动 防 御 新 的 攻 击 。 很 显 然 ， 业 界 已 经 意 识 到 了 软 件 供 应 链 攻 击 的 威 胁 严 重 程 度 ， 而 且 各 大 组 织 应 该 立 刻 采 取 行 动 ， 以 确 保 自 己 能 够 全 力 抵 御 这 类 破 坏 性 攻 击 。 *   参 考 来 源 ： 参 考 来 源 ： d a r k r e a d i n g ， ， F B 小 编 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理