本文作者：Akamai 亞太地區及日本安全技術和戰略總監 Reuben Koh
在當今的互聯世界里，供應鏈在提供產品和服務方面起著至關重要的作用，一旦出現中斷，可能會引發一系列問題。但是，隨著供應鏈的日益復雜化，其中的漏洞也會增多。
在供應鏈中，環節越多，漏洞出現的可能性越大，從而大大增加了遭受網絡攻擊的風險。如果與您相關的供應商或合作伙伴發生數據泄露，您將無法獨善其身。
Gartner 預測，到 2025 年，全球將有 45% 的企業遭受軟件供應鏈攻擊，這一數字相比 2021 年將增長三倍。
以下是一些關鍵風險及其相應的抵御策略。
1.軟件供應鏈攻擊
供應鏈中常見的網絡威脅之一是軟件攻擊。攻擊者會試圖入侵產品的源代碼、軟件或固件。例如，攻擊者在供應商或提供商級別將惡意代碼注入軟件，而客戶在下載并使用該軟件時也毫不知情。這種攻擊方式能夠繞過很多安全措施，因為客戶通常對直接從供應商和提供商處獲得的軟件深信不疑。
SolarWinds 事件充分說明了軟件供應鏈攻擊的嚴重性。黑客將惡意代碼植入了 SolarWinds 的 Orion 軟件，這款軟件在全球范圍內被眾多企業和政府機構用于管理 IT 資源。這些用戶在安裝軟件更新包后，便會在不經意間感染隱匿其中的惡意軟件。這不僅給 Orion 用戶帶來了巨大風險，還使黑客有機會訪問客戶和合作伙伴的網絡及數據。
企業必須采取主動的措施來應對軟件供應鏈攻擊。這包括進行嚴格的供應商風險管理，評估供應商的安全態勢，并針對各類供應商制定獨特的安全要求。此外，實施 Zero Trust 安全模式也有助于企業驗證每個傳入連接和請求訪問的設備是否可信。
2.針對供應商的網絡釣魚攻擊
針對供應商的網絡釣魚攻擊是網絡犯罪分子間接入侵企業網絡和系統的另一種常見手段。當供應商，特別是 IT 外包或呼叫中心的供應商，成為網絡釣魚攻擊的受害者時，網絡犯罪分子會假扮成客戶，騙取敏感信息或要求供應商重置密碼。
由于供應商可能沒有像大型企業那樣的安全意識和反網絡釣魚解決方案，這些攻擊便更容易得手。因此，這些供應商便成了網絡犯罪分子入侵大型企業網絡的理想突破點。
為了降低通過供應商實施的網絡釣魚攻擊的風險，企業應當注重對供應商進行全面的安全意識培訓，并執行嚴格的安全要求。通過擴大安全實踐的范圍以將供應商納入其中并密切監控他們的活動，企業能夠盡早發現可疑行為并進行有效應對。
3.硬件供應鏈攻擊
硬件供應鏈攻擊是指攻擊者對路由器、IoT 設備和智能家電（甚至包括智能電視和洗衣機）等硬件設備的固件進行篡改，以植入后門或漏洞。這些被入侵的設備隨后會被出售給最終企業，而這些企業在毫不知情的情況下將這些設備投入使用，從而為攻擊者提供了一個潛在的入侵點。
檢測硬件供應鏈攻擊是一項極具挑戰性的任務，因為這類攻擊往往被制造商和供應商所忽視。企業必須依賴嚴格的質量控制和驗證流程，以確保發現被入侵的硬件。
盡管硬件供應鏈攻擊發生的頻率較低，但其檢測難度大，且可能帶來嚴重的后果。為了確保硬件產品的完整性，制造商和供應商必須執行徹底的測試和驗證流程，包括對所有發貨產品進行二次甚至三次的檢查。
未來趨勢和挑戰
由于供應鏈攻擊的有效性和企業間日益加強的相互依賴性，預計 2024 年供應鏈攻擊數量將出現增長。隨著企業不斷擴展合作伙伴關系和生態系統，它們將更容易受到供應鏈攻擊的威脅。攻擊者通常會選擇供應鏈中的薄弱環節作為目標，如安全措施和安全意識相對較差的小型供應商。
企業必須增強其安全態勢，以應對兩個關鍵領域的挑戰：
1.API 安全性：隨著供應鏈中 API 數量的激增，企業必須采用專業的 API 安全防護工具來保護系統免遭與 API 相關的漏洞威脅。API 是有效的數據傳輸通道。隨著 API 數量的快速增長，傳統的安全措施已無法滿足需求。因此，在 API 的開發和發布階段，都必須采取有效的保護措施。
2.安全領域的人工智能 (AI)：評估 AI 賦能的安全解決方案正日益成為一種趨勢。我們如何使 AI 不單單用于提高運營效率，而是能夠提升我們的安全性呢？AI 可以增強威脅檢測和響應能力，并且將在未來一年內在這個領域實現顯著的發展。
供應鏈中的網絡威脅問題為企業帶來了重大挑戰。企業必須采取積極主動且強有力的安全措施，以保護他們在關鍵技術領域的工作和投資。此外，企業還需與值得信賴的供應商建立合作關系，持續監控供應鏈中的風險和漏洞，進行深入的風險評估，并確保定期進行軟件更新和修補工作。
盡管供應鏈網絡安全問題錯綜復雜，但通過與更廣泛的供應鏈生態系統進行合作，并實施這些措施，便可有效抵御和打擊這些威脅和漏洞。
