大多數(shù)公司都有供應(yīng)鏈，第三方組織在供應(yīng)鏈中開發(fā)用于其產(chǎn)品開發(fā)的組件。軟件也是如此。公司依賴第三方開發(fā)的應(yīng)用程序，甚至內(nèi)部開發(fā)的軟件也使用第三方庫和代碼。然而，這種對第三方代碼的依賴為攻擊者創(chuàng)造了機(jī)會。供應(yīng)鏈安全可防止攻擊者通過組織使用的第三方應(yīng)用程序和代碼攻擊組織。
為什么供應(yīng)鏈安全很重要
近年來，供應(yīng)鏈攻擊已成為日益嚴(yán)重的威脅。備受矚目的網(wǎng)絡(luò)攻擊，例如對 SolarWinds 和 Kaseya 的攻擊，表明攻擊者可以通過破壞單個(gè)組織并利用信任關(guān)系來訪問客戶網(wǎng)絡(luò)來顯著增加攻擊的影響。
網(wǎng)絡(luò)罪犯通常還會在攻擊中以開源庫和代碼存儲庫為目標(biāo)。如果他們成功感染了這些庫，那么所有使用受感染庫的應(yīng)用程序也將受到影響。大多數(shù)應(yīng)用程序都依賴于幾個(gè)不同的庫，并且依賴關(guān)系可能很深。供應(yīng)鏈安全解決方案可幫助組織保持對其軟件供應(yīng)鏈依賴關(guān)系的可見性，使他們能夠有效地識別和修復(fù)攻擊者插入的可利用漏洞或后門。
供應(yīng)鏈安全威脅
供應(yīng)鏈攻擊利用組織的信任關(guān)系，包括對外部組織和第三方軟件的信任。組織面臨的一些主要供應(yīng)鏈威脅包括：
受損的合作伙伴：許多組織允許第三方組織訪問他們的網(wǎng)絡(luò)和系統(tǒng)。如果攻擊者破壞了該供應(yīng)商或合作伙伴，他們可以利用這種信任關(guān)系來訪問組織的環(huán)境。
易受攻擊的代碼：應(yīng)用程序通常具有大量第三方依賴項(xiàng)，開發(fā)人員通常無法完全了解他們在應(yīng)用程序中包含的代碼。如果第三方庫包含可利用的漏洞，則攻擊者可以利用這些漏洞來損害組織或其客戶。
植入的后門：網(wǎng)絡(luò)罪犯越來越多地試圖破壞常用庫或創(chuàng)建惡意的類似物。這些受損的庫可能包含旨在讓攻擊者訪問公司數(shù)據(jù)或系統(tǒng)的漏洞或后門。
供應(yīng)鏈安全最佳實(shí)踐
供應(yīng)鏈攻擊會給組織帶來重大風(fēng)險(xiǎn)，并可能產(chǎn)生巨大影響。公司可以采取各種措施來防止供應(yīng)鏈攻擊或?qū)⑵溆绊懡抵磷畹?。一些供?yīng)鏈安全最佳實(shí)踐包括：
最小權(quán)限：最小權(quán)限原則規(guī)定用戶、應(yīng)用程序、系統(tǒng)等應(yīng)僅具有其角色所需的訪問權(quán)限。最大限度地減少訪問限制了受感染的應(yīng)用程序或供應(yīng)商可能造成的損害。
網(wǎng)絡(luò)分段：網(wǎng)絡(luò)分段根據(jù)目的和信任級別將網(wǎng)絡(luò)劃分為多個(gè)部分。網(wǎng)絡(luò)分段使攻擊者更難在不被發(fā)現(xiàn)的情況下穿過公司網(wǎng)絡(luò)。
DevSecOps： DevSecOps 提倡將安全融入開發(fā)生命周期。通過在開發(fā)過程的早期考慮潛在的安全問題，組織可以在應(yīng)用程序投入生產(chǎn)之前識別和修復(fù)供應(yīng)鏈漏洞。
漏洞掃描：漏洞掃描器有可能識別應(yīng)用程序中已知和未知的漏洞。定期漏洞掃描使組織能夠識別并快速響應(yīng)第三方代碼中的新漏洞。
軟件組合分析 (SCA)： SCA 自動(dòng)識別應(yīng)用程序中的依賴關(guān)系。執(zhí)行 SCA 使組織能夠保持對第三方代碼使用的可見性，并監(jiān)控該代碼是否存在漏洞或潛在后門。
自動(dòng)化安全：主動(dòng)防御對于最小化攻擊對組織的風(fēng)險(xiǎn)和影響至關(guān)重要。SOC 分析師應(yīng)該使用以預(yù)防為中心的防御措施來保護(hù) Web 應(yīng)用程序。
威脅搜尋：威脅搜尋是在組織環(huán)境中主動(dòng)搜索未知威脅的做法。威脅搜尋可以幫助識別通過供應(yīng)鏈攻擊獲得企業(yè)系統(tǒng)訪問權(quán)限的攻擊者。
