当今时代，甲方对软件系统和服务的依赖程度日益加深。为满足多样化的业务需求，甲方引入了大量来源广泛的产品和服务（如开源软件、供应链产品、第三方服务等），使企业的安全防护面临更复杂的挑战。然而，这看似完美的业务体系背后，却隐藏着许多不为人知的安全隐患。供应链攻击便是其中威胁性极大的一种攻击手段，它如同潜伏在暗处的“幽灵”，难以察觉，却能在关键时刻引发严重后果。供应链攻击的隐蔽性表现在攻击者往往将恶意代码嵌入供应链的各个环节，从软件开发使用的开源库、第三方组件，到分发或更新渠道。这些恶意代码可能长期潜伏，伺机发动攻击。一旦成功，不仅直接影响使用受攻击产品的企业，还会通过供应链扩散至上下游企业，形成“多米诺骨牌效应”。其后果可能包括数据泄露、系统瘫痪或业务中断，最终给企业造成巨大的经济损失和声誉危机。
一、为何要重视供应链安全？
法规与合规要求
-
各类法规（如《网络安全法》、《关键信息基础设施安全保护条例》等）对供应链安全提出了明确要求，企业需要确保供应链全链路的安全性，以避免成为攻击的跳板或传播渠道。甲方企业的合规性不仅关乎法律责任，还直接影响行业声誉和客户信任度。如果未能达到合规要求，小则面临罚款或监管警告，严重时可能导致合作伙伴关系的破裂，甚至影响企业的核心业务运作。对于涉及关键领域（如金融、能源、医疗）的企业而言，供应链安全问题会对社会稳定和国家安全产生深远影响。
业务连续性与经济损失
-
据了解，目前大部分甲方的运营中，供应链的安全性直接关系到业务的连续性。一旦供应链某一环节遭受攻击，可能引发企业敏感信息泄露、当作跳板攻击内网，甚至导致企业核心业务停摆。这种情况不仅会带来直接的经济损失，还会导致间接损害，例如客户信任的下降、股票大跌等。尤其对于大型的甲方企业，供应链攻击的影响可能呈现“多米诺效应”，迅速波及上下游合作伙伴，扩大影响范围。此外，发现问题之后，紧急修复漏洞和恢复系统的过程通常耗时耗力，进一步加重了企业的经济负担，所以提前发现安全风险才是最优解。
攻击路径的转移
-
随着对网络安全的重视，各大企业的内部网络安全防护能力显著提升，传统攻击方式（弱口令、框架漏洞等）的成功率下降。攻击者逐步将目标转向供应链环节，这一环节通常是企业防护体系中的薄弱点。
二、供应链安全风险点
随着对网络安全的重视，甲方会引入各种黑盒白盒灰盒工作开展安全测试，各大企业的内部网络安全防护能力显著提升，互联网区域也部署了众多安全设备（如 WAF、IPS 等），使得传统攻击方式（如弱口令、注入类漏洞、公开框架漏洞等）的打点成功率降低。由于部分供应链厂商对安全的投入很小，导致供应链厂商存在很多容易利用的高风险漏洞，故攻击者已经将目标逐渐转向供应链环节，采取迂回战术，最终攻击到目标企业，而这往往是甲方防护体系中易被忽视的点，毕竟供应链也不在甲方的安全管理之内。这里也梳理了一下，攻击者可能通过以下方式实施供应链攻击：
（1）供应商漏洞：利用第三方供应商的系统漏洞等作为切入点，收集相关敏感信息，对目标甲方企业进行间接攻击。
（2）恶意代码植入：通过篡改软件更新包或开发工具链，将恶意代码嵌入到供应商的产品或服务中，借助更新分发渠道传播到企业内部等。
（3）水坑攻击：在供应商或合作伙伴常用的网站、平台中植入恶意代码，诱导目标甲方企业员工访问，从而实现对企业网络的渗透。
（4）社会工程学攻击攻击者针对供应链中的人员，利用人性弱点展开攻击。比如通过精心设计的钓鱼邮件，伪装成与供应商业务相关的紧急通知、合作邀请、招聘或发票事宜等，诱使目标甲方企业员工点击邮件中的恶意链接或下载附件，进而获取员工账号密码等关键信息，或在员工设备上植入恶意软件，以此为跳板侵入企业内部网络。
三、供应链安全管理的核心策略
安全的本质就是资源的对抗，无外乎管理与技术的协同作用。在供应链安全的防护中，核心策略也围绕这两大领域展开：一方面，通过管理策略强化组织内外部的安全治理；另一方面，通过技术策略构建坚实的防御体系。这两方面的协同作用可以有效降低供应链安全风险，构筑牢固的安全防线
管理策略
-
合规准入及风险管理
-
背景调查：对供应商进行详细背景调查，包括安全资质、历史安全风险记录等，以及要求相关方签署供应链安全承诺书，确保其符合准入要求。
-
分级管控：根据供应商的重要性和风险等级进行分级管理，对高风险供应商实施更严格的审查和控制措施，主要包括实施采购引入控制（如安全测试报告和交付安全标准）、建立供应链厂商软件物料清单(SBOM)、制定安全基线和安全防护方案等。
-
安全审计：定期开展安全评估，引入第三方机构对供应商安全能力进行独立审计，识别并整改潜在风险。
-
安全运营管理
-
资产与漏洞管理：梳理甲方内部所有供应链相关的资产库，以及自助搭建内网漏洞库，建立动态更新机制，结合最新漏洞预警信息，及时识别和修复潜在风险。
-
应急机制：制定并完善供应链攻击的应急预案，明确责任分工和处置流程。确保供应链公司及甲方公司信息共享联动，对安全事件快速响应阻断，修复处理。
-
业务连续性保障：制定关键业务的替代方案，确保在供应链产品中断或安全事件发生时，甲方业务能够迅速恢复并保持连续性。
-
安全意识与培训
-
供应商安全培训：定期向供应商提供安全意识和技术培训，提升其对安全的认知和能力。
-
内部安全教育：针对甲方内部企业员工开展供应链安全相关的意识培训，帮助其识别社工攻击、钓鱼邮件等常见威胁。
-
供应链安全演练：通过联合供应商的模拟演练，模拟0day事件，以功促防，以提升各方在安全事件中的协同应对能力。
技术策略
-
互联网供应链资产及漏洞排查
-
资产梳理与管理：全面梳理供应链相关的互联网资产，明确资产归属和安全责任，并对供应商访问实施基于零信任原则的身份验证和权限管理，确保最小权限访问。
-
漏洞监控与修复：建立漏洞排查机制，对供应商及其设备的访问行为进行实时监控，动态验证潜在威胁，及时修复已发现的漏洞，降低风险传播。
-
安全漏洞检测
-
攻击模拟：定期对供应商相关的系统和服务进行渗透测试，通过模拟真实攻击场景识别潜在漏洞，并开展攻防演练，及时发现风险。
-
漏洞扫描：对供应商提供的软件和硬件进行全面漏洞扫描，及时发现并修复已知安全隐患，防止利用漏洞发起攻击。
-
代码审计：对关键供应商的代码进行静态与动态安全审计，避免恶意代码、后门或其他威胁嵌入企业环境。
-
产品溯源：确保采购的硬件和软件产品来源可信，防范篡改或恶意修改风险。
-
安全监控与预警
-
行为异常检测：建立针对供应链的行为监控系统，实时检测异常行为，如非授权访问和数据传输异常。
-
威胁情报共享：与行业内企业和供应商共享供应链安全相关的威胁情报，提前预防潜在攻击。
-
实时预警系统：对供应商网络或系统的异常情况进行实时预警，快速响应潜在威胁。
-
数据保护与加密
-
数据最小化传输：确保与供应商共享的数据严格按照业务需求最小化，减少数据暴露面。
-
数据传输加密：通过端到端加密保护与供应商之间的数据传输，防止中间人攻击。
-
敏感数据隔离：对关键业务数据进行分级保护，限制供应商对非必要数据的访问。
上面列出的只是目前想到的一些要点，各企业应在此基础上，从全局出发，结合自身业务情况，综合考虑各项措施的协同效应，以确保供应链安全的全面性和长期可靠性。通过风险管控、安全运营以及技术层面的主动检查，企业能够有效应对日益复杂的供应链安全威胁，保障业务的稳定运行和数据安全。
四、未来供应链管理的思考
供应链安全一直是一个繁杂的问题，随着威胁手段的不断升级，未来的管理需要更加灵活和系统化。以下是我的一些对未来的看法：
-
AI安全监控
-
未来应该充分利用AI，构建动态监控体系，实时感知和预警供应链风险。通过机器学习分析供应商的访问行为、流量等数据，快速发现安全异常并及时响应，从而有效防止像0day攻击等潜在威胁。
-
安全与业务深度融合
-
部分公司，安全往往被视为可有可无的附加项，但我认为安全不应仅仅是附加项，而应深度融入业务之中。从供应商选择到产品交付，再到日常运营，都需要考虑安全因素。这种融合不仅有助于降低风险，还能增强供应链的韧性，让企业在面对突发事件时能够更从容应对。
-
安全策略动态调整
-
安全管理无法一劳永逸，安全策略必须根据环境和威胁的变化不断优化。例如，定期对供应商进行安全评估与抽检，动态调整合作策略，保持长期警惕，避免由于长期合作而产生的安全松懈。
-
营造安全文化
-
安全不仅是技术问题，还是需要全员参与的过程。未来应加强对员工和供应商的安全培训，提升大家对安全的认知与重视。只有在安全文化深入人心的情况下，供应链安全才能真正落实到位。
原文始发于微信公众号（德斯克安全小课堂）：甲方视角下的供应链安全思考
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论