供应链攻击愈发隐蔽且严峻 组织应如何确保整个供应链的网络弹性？

随着数字化时代的到来，软件供应链攻击的威胁正在急剧增长，为不同行业和体量的组织带来迫在眉睫的潜在威胁。据业内统计，在2022年全部网络安全攻击中供应链攻击占比19%，表现出来了惊人的发展趋势，进一步加强供应链网络安全的必要性逐渐凸显。

供应链是如何成为攻击者眼中的香饽饽的？答案或许正是数字化的深入推进和云计算技术的发展，使得越来越复杂的供应链关系为网络犯罪分子提供了越来越多的攻击入口。无论是易受攻击的开源软件、受损的容器映像还是未经授权的代码访问，都有很多方法可以利用。尤其是开源代码的大规模应用和第三方API，根式为攻击者提供了软件供应链攻击的新后门。

根据Gartner的数据，到2025年，45%的组织将成为软件供应链攻击的受害者。

对SolarWinds和Microsoft Exchange Servers的网络攻击事件，使人们认识到，利用第三方产品和服务中的漏洞，网络犯罪分子能够同时影响数十万个组织。供应链的复杂性会带来多米诺骨牌效应，一次漏洞利用会波及海量的组织和行业。供应链中任何部分的成功中断，都可能波及整个生产、交付时间表和整体业务连续性，导致重大财务损失。

此外，对包括关键基础设施或政府机构在内的供应链的网络攻击可能会对国家安全产生影响。重要服务的潜在中断给公共安全和国家的整体稳定带来了风险。

与典型的违规行为不同，供应链黑客往往要复杂得多。寻找供应链最薄弱的环节通常是攻击者开始的第一步。通常攻击者会试图从规模较小的供应商或不太注重网络安全建设的合作方入手，由于他们普遍缺乏强有力的安全措施，便于攻击者找到一个阻力较小的切入点。

攻击者最常见的方法包括发起网络钓鱼或通过社会工程攻击来窃取关键凭据。一旦攻击者在供应商的系统中站稳脚跟，他们就会探索并利用漏洞在网络中横向移动，并进一步利用未修补的软件漏洞、薄弱的访问控制或配置错误的系统来提升权限并进一步加深渗透。

为了避免被发现，攻击者会小心地擦除日志并屏蔽他们的活动。组织可能无法确定攻击的起源或程度，直到发现时通常已为时已晚。据业内数据，一次有计划的供应链攻击平均需要235天（近8个月）才能被发现。

面对严峻的供应链攻击威胁，企业管理者必须对网络安全采取积极主动、多层次的方法，以避免和防御供应链网络攻击的风险。

● 首先是进行供应商风险评估。在供应商选择过程中要将网络安全水平作为优先考虑项，并进行彻底的尽职调查，以评估潜在合作伙伴的安全做法、事件响应能力以及对行业标准和法规的合规情况。只有确保每个环节都处于基线之上，一个有弹性的供应链才会出现。

● 其次，要与软件供应商合作以增强软件供应链的安全性。实施强有力的代码签名实践，进行安全的软件开发生命周期（SDLC）实践，并定期验证软件更新的完整性等等都是必要手段。

● 第三，了解最可能的攻击来源也将有助于有效地减少攻击造成的影响面。建议采用下一代防火墙来降低拒绝服务攻击发生的概率，通过日常的漏洞扫描来应对云或数据库漏洞等等。此外，软件供应链攻击大多始于网络钓鱼或社会工程攻击，因此安全意识必须提升到相应的高度。

● 第四，实施针对端点的安全和管理解决方案。端点安全设备是组织网络的重要网关，因此必须对其活动提供强大的保护和实时可见性。基础的解决方案组合包括用于管理的统一端点管理（UEM）解决方案和用于安全的端点保护平台（EPP）等等。

● 第五，接受零信任架构。信任是一个信息安全框架，可提供保护、管理和监控用于访问业务数据的每个设备、用户、应用程序和网络所需的可见性和 IT 控制。永不信任、持续验证的理念，将改变游戏规则，使组织转向一种无需复杂性即可实现访问、安全性、控制和可伸缩性的安全架构中。

● 最后，实施持续监控和主动的威胁发现手段，以检测供应链中的异常情况和潜在威胁。及时的检测和响应可以大大减少攻击的影响。扩展检测和响应（EDR）解决方案、安全事件和事件管理（SIEM）解决方案以及漏洞扫描等工具将帮助组织建立更主动的威胁检测和发现能力。

总体而言，企业管理者必须意识到，可持续增长和竞争优势取决于强大而安全的供应链。通过实施积极主动的战略，鼓励透明的合作伙伴关系，并采取创新的安全措施，组织将能够有效的抵御供应链网络攻击，在数字化时代更好的保护业务的健康发展。