烽火十八台丨供应链网络安全防护思路探讨

不久前，美国输油管道发生的严重故障引起了全球各界广泛关注，也再次引发了大家对于产业链网络安全、供应链安全乃至供应链网络安全的激烈讨论。供应链安全的影响之所以严重，就是因为它关系到经济损失、名誉损失甚至国家安全。

供应链安全有哪些案例？

2021年5月7日，美国大型输油管道遭受黑客攻击，被窃取重要数据文件，管道运输管理系统也遭到“劫持“，致使美国东部沿海各州的关键供油管道被迫关闭，尽管在几天后重新投入使用，但此次事件对于企业的经济、燃料的供应、国民的安全以及国家的稳定性都造成了恶劣影响。该事件表面上是一起典型的勒索病毒攻击事件，但实际上影响的是美国东海岸能源供应链的安全，进而影响产业链安全和国家安全。

2019年9月，杭州公安报道了一起重大安全事件，外号“村长“的马某利用后门程序在两年间控制了67万余电脑，据其供述，早在2016年就入侵PhpStudy软件官网后在其软件安装包植入了后门，进而再攻击该软件使用者，而PhpStudy则是大量业务系统和应用所包含的程序集成包。该事件是一起典型的软件供应链攻击事件，当前，大部分行业单位还不具备完整的软件供应链安全防护体系。

2019年3月，美国一家可再生能源电力生产商sPower遭受网络攻击，攻击者利用Cisco防火墙中的已知漏洞，对受害者系统发起DoS攻击导致它们重新启动，进而使得该组织的控制中心和其各个站点的现场设备之间的通信中断，持续了10到12个小时，造成了持续的生产干扰影响。该事件则是一起典型的供应链网络攻击事件，用户所用的主机设备、网络设备甚至安全设备自身存在的漏洞等风险，是黑客最常利用的供应链风险。

供应链的安全问题之所以复杂，就是因为它牵扯到硬件供应商、软件开发商、产品制造商、运维服务方、用户单位方等多方实体。

供应链攻击有哪些常见类型？

1、材料供应链安全。攻击材料供应商，如能源生产、材料制造等资源供应商，通过网络攻击可以造成直接的生产和经济损失，并间接破坏产业链安全，进而影响到广大用户的供应链安全；

2、软件供应链安全。攻击软件供应方，如攻击软件或开源组件提供者，通过植入后门等方式，攻击其用户和使用单位，造成大范围信息泄露或利益损失；

3、产品供应链安全。攻击最终用户，如用户所用应用软件、网络设备或安全设备等，利用其存在的漏洞或弱口令等脆弱性风险，绕过边界防护进入内网实施破坏，造成用户利益损失。

由此可见，针对供应链的攻击，可以从各个环节展开，并且影响都是链条式的、以点及面的。因此，针对供应链攻击的防护需要从生产开发阶段、交付使用阶段和日常运维阶段来分别展开。

每个阶段的防护要点有哪些？

1、生产开发阶段，需要保证硬件可靠和软件安全。硬件层面，需要保证原材料供应可靠，还需要掌握核心技术的开发资源；软件层面，需要进行代码安全开发，并需要保证其所用开源组件的安全使用；网络层面，需要清楚接入资产属性，强化分区分域控制；

2、交付使用阶段，需要加强备案审核和安全检查。制度层面，需要建立严格的红线要求和审核机制，确保采购产品资质可靠、信息准确；技术层面，需要进行全面的配置核查和漏洞检查，确保采购产品上线时处于安全状态；

3、日常运维阶段，需要做到持续监控和应急处置。监控方面，既要反复对所用的系统、应用、产品进行漏洞扫描、口令检查，尤其需要关注热点漏洞、0day漏洞，及时修补加固；又要持续对暴露面进行风险监控，及时发现并清理泄露的采购信息、代码信息和人员信息，以及对外开放的端口服务和通道路径；还要清晰的梳理网络资产台账，及时发现未知资产、违规资产和问题资产；处置方面，既要建立应急预案，做好安全制度；又要做到协同联动，实现快速处置；还要定期开展模拟演练，提升全员安全意识，强化人员实战水平。

针对不同的防护要点采用对应的技术手段，能够有效提升供应链安全。

各单位可以选择的防护手段有哪些？

1、生产制造工厂。可以采用资产探测技术来识别网络内的通用系统、专用系统、工控设备和各种物联网设备等资产，及时发现新增资产或问题资产，并通过与工控防火墙、工业安全网关等设备的联动实现对资产的接入管控和安全隔离；

2、系统开发单位。不论是软件供应商或者最终用户方，在系统开发过程中可以采用合适的DevSecOps解决方案，在保证开发迭代效率的同时将安全防护设计贯穿始终，建立安全的自动化开发体系，保证系统开发的过程安全可靠；

3、最终用户单位。首先可以采用互联网敏感信息监测技术，对互联网当中各种渠道平台可能暴露的供应商信息、人员信息、系统和网络信息等敏感数据进行监测，及时清理或脱敏，防止被攻击者利用；其次利用网络安全单兵侦测技术，充分枚举风险路径，及时补充热点供应链漏洞，彻底验证可利用程度，对互联网入口、区域边界、自身系统和终端，以及所使用的各类网络设备、安全设备等进行自动化的渗透测试，进而指导问题修复与防护构建；最后利用网络资产安全治理技术，将各类资产的梳理、管控、监测与处置结合起来，实现平台化与流程化，达到闭环。

供应链安全问题错综复杂，形势日益严峻，需要引起更多的重视。欢迎大家后台留言，分享观点，共同探讨，与我们共建安全的网络空间。

来源：盛邦安全