一、背景

在当今数字化时代，供应链和第三方合作伙伴已成为攻击者的重要切入点。组织的安全防线往往取决于其供应链网络中最薄弱的一环。一旦供应链中的某个环节被突破，攻击者便能利用信任链路，采用多种手段渗透至组织核心，窃取敏感数据。常见的供应链攻击手段包括：

• 供应链漏洞攻击：利用0day或Nday漏洞进行边界突破，实施直接且高效的攻击。
• 供应链后门攻击：通过预留的调试后门或内置口令等方式进行系统入侵。供应链污染：
• 通过植入木马等恶意软件，对用户进行无差别攻击。供应链社会工程学攻击：
• 鉴于人为因素是最大的安全漏洞，攻击者利用管理上的薄弱环节进行攻击，这是最难防范的风险之一。
  
  供应链攻击之所以难以被检测，主要原因包括：
  
  
• 供应商涉及范围广泛，组件众多，难以全面识别。
• 供应商系统的安全防护能力通常较弱。
• 供应商的开发和运维人员往往以交付为核心，安全意识相对较低。

二、过程

• 产品名称
• 主程序名与安装路径
• 版本号
  
• 是否为OEM产品
• 开发语言及涉及的开源项目
• 已知漏洞
• 是否有信息回传给开发商
• 回传信息及位置等
  

（2） 供应商攻击面的识别

根据供应商相关系统的重要性和系统的暴露程度进行优先级排序，选择需要评估的供应商，开展攻击面识别工作：

• 对供应商提供的产品或系统进行漏洞评估。
• 评估供应商外部接入通道和连接目标系统的路径，包括安全监测、检测、防护手段及策略；进行维护维保账号权限审计；排查入侵痕迹；模拟红队攻击等。
• 监测敏感数据泄露，及时发现因供应商原因导致的用户敏感数据泄露。
• 对供应商相关人员进行钓鱼演练，识别潜在的社会工程学风险。

（3）供应商攻击面的收敛

• 加固供应商提供的产品/服务：协助或督促供应商对产品/服务进行漏洞加固；删除敏感数据；整改口令；关闭测试系统；与供应商签订责任协议书等。
• 加固供应商外部接入通道和连接目标系统的路径：增加安全监测、检测、防护手段；优化安全策略；进行权限收敛等。
• 加强供应商相关人员的安全意识教育。
• 建立供应商的协同联动机制：包括漏洞通报机制、协同排查处置机制。
• 建立持续性监测机制：针对无法完全消除的风险，建立持续性监测机制。

（4） 供应链威胁情报的监测及处置

依托完善的安全监测体系和情报预警机制，一旦监测到涉及供应链的威胁情报信息，迅速定位相关资产、责任人及其对应的供应商，启动排查与响应措施，确保问题得到及时处理。

原文始发于微信公众号（锦岳智慧）：供应链安全之：供应商攻击面的梳理与收敛