八、供应链攻击：最薄弱的环节

发表于 4 小时前

八、供应链攻击：最薄弱的环节8.1 什么是供应链攻击？

供应链攻击是指攻击者通过获信赖的第三方供应商接达多个机构的系统。机构即使已经安装最稳健可靠的数据保安系统，但由于商业或开放源码软件的保安漏洞而被攻击者植入恶意程式码，仍然有可能受到网络攻击。

8.2 供应链攻击的现状

供应链攻击有上升之势，在2020年录得430%的巨大升幅。2020年12月，一个被广泛使用但含有多个保安漏洞的网络管理产品受到复杂的供应链攻击。攻击者通过合法的软件更新设置了一个前所未见的后门恶意软件，导致包括政府机构在内的30,000多个机构在几个月内成为轻易受到攻击的对象。

由于90%的应用系统包含开放源码，而其中11%的开放源码都有已知的保安漏洞，针对开放源码软件的供应链攻击不容忽视。

8.3 供应链攻击的主要类型8.3.1 软件供应链攻击

系统在开发周期的任何一个阶段，应用系统产品都可能成为软件供应链攻击的对象。攻击者可使用诈骗技术（如将恶意软件伪装成合法软件）接达和修改真正应用系统的源码。攻击者除了入侵开发商和分销商的基础设施外，也可能会利用工具和第三方共享的软件库进行攻击。

8.3.2 硬件供应链攻击

针对硬件的供应链攻击需要实际更改装置的微码，或在电路板添加另一个组件，以便控制接达或令资料外泄。

8.3.3 固件供应链攻击

将恶意软件或后门程式码植入固件。一般被窜改的固件难以被检测，因为嵌入装置的预载固件层级低于操作系统，所以抗恶意程式码软件也无法检测或删除有关固件。攻击者可以通过这些装置，接达基础系统或已收集、处理或发送的资料。

8.4 常见的供应链攻击方式8.4.1 被恶意软件替代

第三方编程框架允许软件开发人员聚焦为其项目建构独特的功能，而非重新研发软件编码。如编程框架组件遭受破坏，恶意程式码便会被植入到采用这些组件开发的应用程式中。

8.4.2 被入侵的软件更新

恶意的软件更新会引致严重的网络安全问题。漏洞修复需要一个可信任的软件更新渠道。如攻击者能够破坏供应商的软件更新分发机制，受到攻击的目标系统便有较大机会将恶意软件程式码视为合法授权软件并加以信任。典型案例如被植入木马程式的SolarWinds Orion软件（2020年12月）。

8.4.3 水坑式攻击

水坑式攻击是指攻击者试图以新设网站吸引目标机构某些特定用户群组浏览，或入侵该群组成员经常浏览的网站，藉此攻击有关群组。攻击者会操纵这些网站，传送针对有关机构保安漏洞的恶意软件。

8.5 供应链攻击的危害

供应链攻击可能导致：

8.6 供应链攻击的防御措施8.6.1 适用于机构的措施

8.6.2 适用于第三方供应商的措施

8.7 小结

供应链攻击利用的是机构对第三方供应商的信任。由于供应链环环相扣，网络攻击更难应付。保护供应链须采取全面的保安措施，单纯的技术解决方案难以应对防不胜防的潜在威胁。机构应检视软件组件的保安漏洞，同时顾及针对实体设备资产的潜在攻击。