【亞信安全】-【2021年1月29日】近期的SolarWinds供應(yīng)鏈攻擊事件絕對不是一件隨隨便便就可以開始和結(jié)束的大事件。
2020年12月，網(wǎng)絡(luò)安全世界再遭黑客挑戰(zhàn)，他們侵入了IT軟件提供商SolarWinds的網(wǎng)絡(luò)，利用SolarWinds 的 Orion 平臺軟件秘密分發(fā)惡意軟件來監(jiān)視用戶，并提取敏感數(shù)據(jù)文檔。在最近的報道中可以發(fā)現(xiàn)，數(shù)百家組織，包括政府機構(gòu)和私營企業(yè)等都受到影響，同時這個名單還在持續(xù)增長。這也就是所有網(wǎng)安工程師最為擔(dān)心的"供應(yīng)鏈攻擊"。
以零信任PK供應(yīng)鏈攻擊
實際上供應(yīng)鏈攻擊早已成為APT攻擊中的常用攻擊手段，具備了攻擊手法隱蔽，檢測困難等特點，且危害極大。2013年的棱鏡門事件、2015年的XcodeGhost事件、2017年的Xshell后門代碼，均是攻擊者通過供應(yīng)鏈攻擊手法，無論是受攻擊企業(yè)，還是普通大眾，均受到了巨大的影響。而本次SolarWinds事件作為最嚴重的供應(yīng)鏈攻擊事件之一，涉及面廣、影響大，更應(yīng)該敲響人們對于供應(yīng)鏈安全的警鐘。
需要警惕的是，許多企業(yè)默認將供應(yīng)鏈列為"可信"，這加大了APT攻擊的防范難度。例如：針對SolarWinds的攻擊者在2019.4-2020.2.1版本中植入了惡意的后門應(yīng)用程序，這些程序就利用到了SolarWinds的數(shù)字證書繞過驗證。
這對于依賴數(shù)字化平臺開展業(yè)務(wù)的用戶來說，壓力山大�，F(xiàn)在，每一個產(chǎn)品的開發(fā)總是存在大量的合作商，很多系統(tǒng)越來越復(fù)雜、越來越龐大，大多是通過模塊化、組件化的方式，需要引入第三方的模塊或者和第三方的業(yè)務(wù)系統(tǒng)對接并使用其提供的數(shù)據(jù)，但我們無法完全掌控第三方系統(tǒng)的安全性，如果其存在漏洞（也包括合作伙伴網(wǎng)絡(luò)中存在的"水坑"攻擊、跳板攻擊等）被攻擊，需要保證我們自己的系統(tǒng)不會因此而受到影響。所以，零信任將是應(yīng)對供應(yīng)鏈攻擊最有效的方案之一。
對于軟硬件的供應(yīng)鏈來說，傳統(tǒng)網(wǎng)絡(luò)安全架構(gòu)的邏輯可看成是"全信任"--我肯定信任你們，但是我要全方位、一層一層地檢查。殊不知，但凡信任之后再檢查，就始終有疏忽的地方。零信任作為一種全新的安全保障概念，它的核心是商業(yè)機構(gòu)不會缺省信任任何內(nèi)部或外部的網(wǎng)絡(luò)鏈接或信息請求，所有對于系統(tǒng)的訪問都會建立在身份、端點、服務(wù)等一系列參與服務(wù)的角色，必須得到安全策略一致的驗證和授權(quán)之后才能進行。因此，這必將是替代傳統(tǒng)網(wǎng)絡(luò)安全架構(gòu)和防御策略的核心，更是企業(yè)未來數(shù)字化商業(yè)的一個重要基礎(chǔ)。
以XDR揪出并治理供應(yīng)鏈威脅
回顧SolarWinds事件，根據(jù)相關(guān)報告描述，攻擊者會讓代碼在休眠2周左右之后采用第三方進行通信，并且根據(jù)返回的指令執(zhí)行操作，包括傳輸文件、執(zhí)行文件、重啟系統(tǒng)等。而這些通信會偽裝成Orion Improvement Program（OIP）協(xié)議并將結(jié)果隱藏在眾多合法的插件配置文件中，從而達成隱藏自身的目的。不過，從這條信息中，我們其實可以看到一個"有趣"的事情--這次攻擊"太著急了"。
通過對歷史上重大數(shù)據(jù)竊取事件的分析，亞信安全發(fā)現(xiàn)，APT攻擊者平均潛伏的天數(shù)長達 205 天，有的甚至可能潛伏長達數(shù)年之久。這也代表了APT攻擊最為顯著的特征--隱匿行蹤、長期潛伏、持續(xù)滲透。
發(fā)現(xiàn)APT攻擊者在內(nèi)部系統(tǒng)的藏身之處有一定的難度，但不是說企業(yè)就束手無策。針對APT攻擊的每個階段，亞信安全的XDR解決方案，對應(yīng)包括了"準(zhǔn)備、發(fā)現(xiàn)、分析、遏制、消除、恢復(fù)、優(yōu)化"這7個階段。準(zhǔn)備階段包括了針對每一種黑客攻擊類型的標(biāo)準(zhǔn)預(yù)案，自發(fā)現(xiàn)威脅數(shù)據(jù)之后，將數(shù)據(jù)集中到本地威脅情報和云端威脅情報做分析，利用機器學(xué)習(xí)和專家團隊，通過分析黑客進攻的時間、路徑、工具等所有細節(jié)，其特征提取出來，再進行遏制、清除、恢復(fù)和優(yōu)化。
寫在最后，也寫給"自己"
回顧針對供應(yīng)鏈發(fā)動APT攻擊的真實案例再次證明了，在軟硬件開發(fā)交付環(huán)節(jié)被攻擊后會產(chǎn)生巨大危害，故軟件開發(fā)及交付環(huán)節(jié)的安全防范至關(guān)重要。為此，亞信安全建議軟硬件廠商在開發(fā)交付環(huán)節(jié)盡可能做到：
1、 建立可信的開發(fā)環(huán)境，這包括可控可信任的軟硬件環(huán)境，諸如正規(guī)渠道購買、下載的軟硬件，可信的第三方開源/商業(yè)庫、算法等，采購安全可信的軟件外包服務(wù)。關(guān)注所用組件的安全通告，如被揭露出嚴重安全問題，通過配置或加入其他安全性控制作為緩解措施，必要時升級相關(guān)的組件。
2、 培養(yǎng)開發(fā)人員的安全意識，將SDL融入到開發(fā)流程中，把安全性的評估作為開發(fā)過程中的必要評審項。開發(fā)環(huán)節(jié)嚴格遵守開發(fā)規(guī)范，開發(fā)完成的軟硬件發(fā)布前，交給獨立的內(nèi)部或外部測評組織進行安全性評估，及時解決所發(fā)現(xiàn)的問題。
3、 在正規(guī)且統(tǒng)一的可信渠道發(fā)布軟件，軟件安裝運行時能夠提供強校驗?zāi)芰Γ壐伦陨頃r校驗下載回來安裝包的簽名，并且將相關(guān)簽名證書作為企業(yè)核心資產(chǎn)嚴格保管，保證證書不泄露，不會運行被劫持的升級包。
最后，還有一點值得關(guān)注，與SolarWinds類似的國內(nèi)外IT管理軟件，均存在著權(quán)限過大的問題，一旦被入侵，所造成的影響也將覆蓋到整個業(yè)務(wù)層面。具體來說，IT運維管理軟件在企業(yè)網(wǎng)絡(luò)架構(gòu)中擁有絕對的超級權(quán)利，從技術(shù)角度來看，它控制了工作在底層的運維平臺，就能將整個網(wǎng)絡(luò)的信息轉(zhuǎn)發(fā)到任何一個接收點，沒有任何障礙，且不易察覺。甚至在一些特殊行業(yè)（金融、能源、制造）的封閉網(wǎng)絡(luò)，別有用心者（"內(nèi)鬼"）一旦觸及或接管運維系統(tǒng)的管理權(quán)，用戶也很難確保核心數(shù)據(jù)不會造成泄露。
關(guān)于亞信安全
亞信安全是既"懂網(wǎng)"又"懂云"的網(wǎng)絡(luò)安全公司，以安全數(shù)字世界為愿景，旨在護航產(chǎn)業(yè)互聯(lián)網(wǎng)。亞信安全在云安全、身份安全、終端安全、安全管理、數(shù)據(jù)安全、高級威脅治理，威脅情報等7大領(lǐng)域擁有核心技術(shù)，持續(xù)引航網(wǎng)絡(luò)安全的發(fā)展和創(chuàng)新。2020年，亞信安全提出"安全定義邊界"的發(fā)展理念，賦能企業(yè)在5G時代的數(shù)字化安全運營能力。
欲了解更多，請訪問： http://www.asiainfo-sec.com
