过去两年对供应链造成了重大破坏。新冠大流行将供应链攻击问题推向了前沿，2020 年中断率上升了 67%，随着全球市场适应“新常态”运营，问题预计将持续存在。

然而，对数字供应解决方案的日益依赖也为供应链攻击的增加奠定了基础，预计未来有增无减。2021年美国多次供应链攻击，也是这个推测的一个重要依据。

以下是企业需要了解的有关供应链威胁的信息。查看供应链安全的当前状态，以及可以采取哪些步骤来降低总体风险。

什么是供应链攻击?

当威胁行为者使用外部合作伙伴(例如供应商)拥有或使用的连接应用程序或服务破坏企业网络时，就会发生供应链攻击。有时，专家也将这些称为第三方或价值链攻击。

对于威胁参与者来说，供应链攻击的吸引力在于信任。企业使用的应用程序和服务通常受到安全团队的信任和审查。因此，他们通常可以访问敏感或有价值的内部数据。如果攻击者可以从连接的供应链应用程序横向移动到更大的企业网络本身，他们就可以窃取、加密或破坏关键数据，并使公司损失数百万美元的维修成本和声誉损失。

随着网络的发展，这个问题更加复杂。第三方供应商通常使用来自其他业务合作伙伴的软件，而这些合作伙伴又拥有自己的外部应用程序连接。因此，供应链攻击可能会使几家公司从预定目标中移除，从而更难被发现。

成功的供应链攻击可能是一个重大打击。当网络工具供应商 Solar Winds 在 2020 年末遭到入侵时，全球有超过 18,000 家公司受到影响。

过去的2021年供应链网络安全状况

如上所述，供应链攻击在 2021 年增加了。由于应用程序环境复杂性的增加：公司需要能够抵抗未来中断的敏捷和适应性强的供应链。毕竟，扩大连接的应用程序和服务的数量有助于企业更好地应对不断变化的市场条件，还为威胁参与者创造了更大的攻击面。如果漏洞确实出现，那么在供应链威胁成为更大问题之前，更难发现和消除它们。

2021 年值得注意的供应链攻击

供应链攻击在 2021 年有一个良好的开端。例如，2021 年 4 月，DevOps 工具提供商 Codecov 披露，他们的 Bash 脚本上传器被恶意攻击者入侵。这使攻击者能够在连续信息 (CI) 环境中捕获 Codecov 客户存储的信息。第三方调查人员还发现，攻击者可能能够“窃取额外资源”并获得对用户凭据的访问权限，这反过来又可能导致更大的漏洞。

2021 年 7 月，REvil 团伙破坏了软件供应商 Kaseya 的网络管理包，并使用该软件在 Kaseya 的客户之间传播勒索软件。据NPR报道，在 Kaseya 被入侵后，超过 200 家美国公司发现他们的网络因勒索软件攻击而瘫痪。

值得注意的是欧盟网络安全局的研究发现，66% 的攻击集中在供应商代码上。这意味着即使是强大的内部防御也可能不足以减轻供应链攻击的影响。

常见的供应链攻击方法

供应链攻击者的目标是破坏受信任的服务。从那里，他们可以获得更有价值的公司资源。一种常见的妥协方法是网络钓鱼。成功的网络钓鱼攻击可以泄露账户和密码数据，从而使攻击者可以在不触发网络防御的情况下检查源代码。恶意软件也常用于渗透网络和泄露关键源代码，攻击者随后可以修改和重新插入。

一些最常见的供应链威胁媒介包括：

• 第三方软件供应商
• 数据存储解决方案
• 开发或测试平台
• 网站建设服务。

在每种情况下，这些软件解决方案和服务都需要访问企业基础设施的关键方面。这为恶意行为者开辟了一条潜在途径。

供应链安全优秀实践

当谈到供应链攻击时，攻击者总是在寻找最薄弱的环节。因此，即使是强大的企业防御也可能不足以保护关键资产。毕竟，这些第三方应用程序的可信性质意味着它们通常不会受到同样的审查。这为攻击者创造了一个机会：如果他们沿着供应链走得足够远，他们很可能会发现一个可以利用的漏洞并开始向上移动到关键应用程序。

为了帮助降低供应链威胁的风险，安全最佳实践至关重要。这些包括：

1) 评估当前战略——更好的供应链安全始于当前战略：它们在减轻供应链威胁方面是否有效?它们是否符合合规性要求?他们能否适应不断变化的风险现实?

2) 测试、测试、再测试——定期渗透测试和漏洞扫描可以帮助识别潜在的供应链安全弱点。从那里，可以关闭潜在的攻击途径。

3) 识别和加密——通过识别和加密其环境中的高度敏感数据，企业可以减少确实发生的供应链攻击的范围。即使恶意行为者获得访问权限，他们也无法利用受保护的资产。

4) 第三方风险管理——如今的供应链软件格局比以往任何时候都更加复杂。因此，企业必须对供应商安全实践进行深入分析。他们需要打破内部运营孤岛，以确保所有部门在保护方面都在同一页面上。

5) 零信任框架——通过转向“始终验证，从不信任”框架，企业可以创建功能性前线防御。零信任甚至需要熟悉的应用程序和服务在获得网络访问权限之前通过身份验证检查。

在正确的安全工具也起到降低供应链的发作风险的作用。在这里，利用区块链进行安全交易、利用人工智能改进威胁检测和基于云的威胁分析进行快速风险评估的解决方案通常最适合企业。

解决供应链攻击

底线?这一切都归结为信任。

供应链应用程序是企业大规模提供服务所必需的。然而，降低复杂性的相同信任也会增加总风险。为了减轻供应链攻击的影响，企业必须使用旨在检测意外行为、发现恶意代码并拒绝访问潜在威胁的工具和策略来控制第三方连接。