以零信任PK供應(yīng)鏈攻擊
時間：2022-04-19 23:21:01 | 來源：行業(yè)動態(tài)
時間：2022-04-19 23:21:01 來源：行業(yè)動態(tài)
實際上供應(yīng)鏈攻擊早已成為APT攻擊中的常用攻擊手段，具備了攻擊手法隱蔽，檢測困難等特點，且危害極大。2013年的棱鏡門事件、2015年的XcodeGhost事件、2017年的Xshell后門代碼，均是攻擊者通過供應(yīng)鏈攻擊手法，無論是受攻擊企業(yè)，還是普通大眾，均受到了巨大的影響。而本次SolarWinds事件作為最嚴重的供應(yīng)鏈攻擊事件之一，涉及面廣、影響大，更應(yīng)該敲響人們對于供應(yīng)鏈安全的警鐘。
需要警惕的是，許多企業(yè)默認將供應(yīng)鏈列為可信，這加大了APT攻擊的防范難度。例如：針對SolarWinds的攻擊者在2019.4-2020.2.1版本中植入了惡意的后門應(yīng)用程序，這些程序就利用到了SolarWinds的數(shù)字證書繞過驗證。
這對于依賴數(shù)字化平臺開展業(yè)務(wù)的用戶來說，壓力山大?，F(xiàn)在，每一個產(chǎn)品的開發(fā)總是存在大量的合作商，很多系統(tǒng)越來越復(fù)雜、越來越龐大，大多是通過模塊化、組件化的方式，需要引入第三方的模塊或者和第三方的業(yè)務(wù)系統(tǒng)對接并使用其提供的數(shù)據(jù)，但我們無法完全掌控第三方系統(tǒng)的安全性，如果其存在漏洞（也包括合作伙伴網(wǎng)絡(luò)中存在的水坑攻擊、跳板攻擊等）被攻擊，需要保證我們自己的系統(tǒng)不會因此而受到影響。所以，零信任將是應(yīng)對供應(yīng)鏈攻擊最有效的方案之一。
對于軟硬件的供應(yīng)鏈來說，傳統(tǒng)網(wǎng)絡(luò)安全架構(gòu)的邏輯可看成是全信任我肯定信任你們，但是我要全方位、一層一層地檢查。殊不知，但凡信任之后再檢查，就始終有疏忽的地方。零信任作為一種全新的安全保障概念，它的核心是商業(yè)機構(gòu)不會缺省信任任何內(nèi)部或外部的網(wǎng)絡(luò)鏈接或信息請求，所有對于系統(tǒng)的訪問都會建立在身份、端點、服務(wù)等一系列參與服務(wù)的角色，必須得到安全策略一致的驗證和授權(quán)之后才能進行。因此，這必將是替代傳統(tǒng)網(wǎng)絡(luò)安全架構(gòu)和防御策略的核心，更是企業(yè)未來數(shù)字化商業(yè)的一個重要基礎(chǔ)。
在線咨詢