全球供應鏈攻擊劇增了 650％！Check Point 軟件技術(shù)公司表示：實施最低權(quán)限訪問策略、網(wǎng)絡分段、DevSecOps 實踐及自動威脅防御是確保公司安全的基石。

2022 年 3月，全球領(lǐng)先的網(wǎng)絡安全解決方案提供商 Check Point® 軟件技術(shù)有限公司（納斯達克股票代碼：CHKP）總結(jié)了一年來主要供應鏈攻擊的起因，以及如何幫助企業(yè)有效防護此類攻擊。近年來，供應鏈一直是網(wǎng)絡犯罪分子的主要目標之一。由于新冠疫情悄然改變了現(xiàn)代企業(yè)的運營方式，在許多企業(yè)可能尚未做好充分準備的情況下，就直接采用了混合辦公模式，并將諸多應用移至云端。因此，安全團隊往往不堪重負，無法滿足突發(fā)安全需求。Check Point 的《2022 年安全報告》顯示，2021 年供應鏈攻擊同比驟增 650％。

去年的轟動性供應鏈攻擊 Solarwinds是許多企業(yè)蒙受損失。當時一群網(wǎng)絡犯罪分子侵入了 Solarwinds 的生產(chǎn)環(huán)境，并將后門嵌入至其 Orion 網(wǎng)絡監(jiān)控產(chǎn)品更新中，運行這一惡意更新的客戶隨即遭遇了數(shù)據(jù)竊取及其他安全問題。再以 REvil 勒索軟件犯罪團伙為例，他們利用 Kaseya（一家為托管服務提供商 （MSP） 提供軟件的軟件公司）使 1，000 多家客戶感染了勒索軟件。網(wǎng)絡犯罪分子甚至要求支付 7000 萬美元的贖金才會為所有受影響的用戶提供解密密鑰。

供應鏈攻擊過程

Check Point安全專家認為，供應鏈攻擊利用了不同機構(gòu)之間的信任關(guān)系。所有公司對其軟件服務供應商都有著某種程度的信任，因為他們在其網(wǎng)絡上安裝并使用了這些供應商的軟件。此類威脅瞄準了信任鏈中最薄弱的環(huán)節(jié)：如果一個企業(yè)部署了強大的網(wǎng)絡安全防護，但卻有著不安全的可信供應商，那么網(wǎng)絡犯罪分子將會向其發(fā)起攻擊。在潛伏于該提供商的網(wǎng)絡后，攻擊者可以借此鏈路向更安全的網(wǎng)絡進行滲透。

網(wǎng)絡犯罪分子往往利用供應鏈漏洞分發(fā)惡意軟件

供應鏈攻擊的目標通常是托管服務提供商 （MSP），因為他們能夠廣泛訪問其客戶網(wǎng)絡，這對攻擊者而言非常有機可乘。在利用 MSP 后，攻擊者可以輕松擴展到他們客戶的網(wǎng)絡，并通過利用其漏洞造成更嚴重的影響，趁機訪問直接攻擊很難侵入的區(qū)域。

在獲得訪問權(quán)限后，攻擊者便可實施其他任何類型的網(wǎng)絡攻擊，包括：

數(shù)據(jù)泄露：供應鏈漏洞通常用于執(zhí)行數(shù)據(jù)漏洞。例如，Solarwinds 黑客攻擊泄露了多家政府和企業(yè)的敏感數(shù)據(jù)。

惡意軟件攻擊：網(wǎng)絡犯罪分子經(jīng)常利用供應鏈漏洞將惡意軟件分發(fā)到目標公司中。Solarwinds 包含惡意后門交付，對 Kaseya 的攻擊致使公司感染了勒索軟件。

利用最佳實踐來識別并規(guī)避供應鏈攻擊

盡管這種威脅會造成嚴重危害，但企業(yè)可借助一些最佳實踐獲得保護：

實施最低權(quán)限策略：許多機構(gòu)將過多的訪問權(quán)限分配給其員工、合作伙伴及軟件。這些過度授權(quán)助長了供應鏈攻擊。因此，必須實施最低權(quán)限策略，僅為公司內(nèi)部人員及軟件本身分配其執(zhí)行自身工作所需的權(quán)限。

進行網(wǎng)絡分段：第三方軟件和合作伙伴機構(gòu)無需無限制地全面訪問公司網(wǎng)絡。為了避免任何風險，應采用網(wǎng)絡分段方式根據(jù)不同的業(yè)務功能將網(wǎng)絡劃分為不同的區(qū)域。這樣，如果供應鏈攻擊危及部分網(wǎng)絡，其余部分仍將受到保護。

應用 DevSecOps 實踐：通過將安全保護集成到軟件開發(fā)生命周期中，企業(yè)與機構(gòu)可以快速檢測 例如Orion 等更新軟件等是否遭到惡意修改。

自動化威脅防御和風險搜尋：安全運營中心 （SOC） 分析師必須能夠跨所有環(huán)境抵御攻擊，包括端點、網(wǎng)絡、云端及移動設備。

Check Point®軟件技術(shù)有限公司中國區(qū)技術(shù)總監(jiān)王躍霖先生表示：“供應鏈攻擊由來已久，但去年，其規(guī)模、復雜性及頻率均急劇增加，全球供應鏈攻擊同比增長了 650％。在由越來越多的供應商、合作伙伴及客戶之間的復雜互聯(lián)組成的數(shù)字環(huán)境中，漏洞風險呈指數(shù)級增長，企業(yè)無法在安全防護方面退而求其次。勒索軟件事件和修復成本可能高達數(shù)百萬美元，采取主動的安全防護方案并采用合適的技術(shù)才能第一時間防止惡意軟件侵入網(wǎng)絡，從而避免此類事件的發(fā)生�！�

關(guān)于 Check Point 軟件技術(shù)有限公司

Check Point 軟件技術(shù)有限公司  是一家面向全球政府和企業(yè)的領(lǐng)先網(wǎng)絡安全解決方案提供商。Check Point Infinity 解決方案組合對惡意軟件、勒索軟件及其他威脅的捕獲率處于業(yè)界領(lǐng)先水準，可有效保護企業(yè)和公共組織免受第五代網(wǎng)絡攻擊。Infinity 包含三大核心支柱，可跨企業(yè)環(huán)境提供卓越安全保護和第五代威脅防護：Check Point Harmony（面向遠程用戶）；Check Point CloudGuard（自動保護云環(huán)境）；Check Point Quantum（有效保護網(wǎng)絡邊界和數(shù)據(jù)中心）— 所有這一切均通過業(yè)界最全面、直觀的統(tǒng)一安全管理進行控制。Check Point 為十萬多家各種規(guī)模的企業(yè)提供保護。