1 概 述
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
3 供 应 链 攻 击 面 详 述
针对供应链的七类风险供应链失陷、供应链后门、供应链漏洞、供应链污染、供应链数据安全、供应链社工、供应商安全性等，我们分别从攻击入口、攻击面、梳理分析方法逐一进行说明。
3.1供应链数据安全
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
攻击入口 |
攻击面 |
梳理分析方法 |
|
利用系统的后门，获取用户数据或实施破坏
|
供应商预留的，但是也可能别攻击者所发现并利用，主要包括： Ø系统存在预置的后门 Ø系统的默认缺陷（默认配置、默认口令） Ø系统预留的调试接口等。 |
Ø数字风险监测：采用主动探测的方式，及时发现系统默认配置、默认端口等开放情况。 Ø结合供应链情报，进行预置后门发现 Ø威胁情报关联：及时发现被利用的线索，及时进行溯源取证。 |
|
攻击入口 |
攻击面 |
梳理分析方法 |
|
软件开发商、开源软件、第三方机构、软件供应商等 |
ØIDE开发工具污染攻击 Ø直接源码污染攻击 Ø软件存储替换和篡改攻击 Ø传输劫持和捆绑下载攻击 Ø升级劫持污染攻击 Ø软件分发环节 Ø ..... |
Ø结合供应链情报，及时的发现被污染的情况 Ø威胁情报关联：及时发现被利用的线索，及时进行溯源取证。 |
|
攻击入口 |
攻击面 |
梳理分析方法 |
|
软件开发商、开源软件、第三方机构、软件供应商、产品提供商等 |
软件、硬件各个层面的安全漏洞 |
摸排供应链产品清单 Ø梳理供应链产品安全隐患及漏洞清单 Ø供应链漏洞情报预警：获取最新的漏洞情报和威胁情报，结合系统指纹，定位数字资产的安全漏洞。 Ø供应链漏洞验证：针对特定的漏洞，通过POC进行漏洞验证。 |
|
攻击入口 |
攻击面 |
梳理分析方法 |
|
供应商驻场人员 供应商远程支持人员供应商关键岗位人员 |
个人违规操作带来的风险： Ø非法外连、非法外传数据文档等 Ø私自使用跳板 Ø私自私搭的服务 Ø私自开放相关的端口和系统 |
通过主动探测的方式，对用户网络暴露面上存活的资产进行发现，并利用丰富的资产指纹信 息对其进行识别与画像分析，再利用资产脆弱性检测能力对暴露资产的敏感端口、风险服务以及弱口令、漏洞等风险进行摸排，最终找到暴露面的未知资产、违规在运资产、过期未退运的资产、高危资产以及非必要开放的服务等风险 |
|
个人终端被钓鱼等社工方式控制的风险： Ø个人终端中保存着账号密码 Ø个人终端中保存着"机密"或"绝密"文件 Ø个人终端存放了大量业务或生产数据 Ø个人终端内存在曾被植入的病毒或木马 |
把供应商相关“人员”风险纳入到攻击面管理体系中，进行安全培训或社会工程攻击演练，协助用户处置最容易忽略且难以快速规避的人员风险。 |
|
攻击入口 |
攻击面 |
梳理分析方法 |
|
攻击者可以选择从产品供应商、系统集成商、服务提供商作为切入方向
|
供应商的系统被攻、人员被社工，造成供应链环节的安全问题。 |
Ø梳理供应链企业清单 Ø梳理供应链企业安全隐患 Ø梳理供应链企业风险清单 Ø梳理供应链企业攻击面 |
watcherlab
做数字经济时代的安全守望者
长按扫码可关注
原文始发于微信公众号（守望者实验室）：供应链安全实践：基于风险的“供应链攻击面”梳理和分析
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论