供应链攻击——通过合作伙伴渗透你的系统

这不是一个虚构的网络安全惊悚故事，而是一起典型的供应链攻击的真实案例。供应链攻击在近些年已经发展成了一种让全球安全从业者都高度紧张的高级攻击手段。它的攻击逻辑和传统网络安全攻击有着本质的区别。传统攻击方式是攻击者直接针对目标企业发动攻击，需要突破目标企业层层保护的防火墙、入侵检测系统、终端防护系统等多道安全防线，攻击成本高、成功率低、容易被发现。而供应链攻击的逻辑要高明得多——攻击者不去直接攻击那个真正的最终目标，而是去寻找目标企业的供应链合作伙伴中安全防护最薄弱的那一环，从那里入手，借助合作伙伴和目标企业之间的业务信任关系，像打地道战一样迂回进入目标企业的内部网络。

供应链攻击的路径多种多样。最常见的一种是通过软件供应链进行攻击。攻击者渗透进一家软件开发商的内网，在他们开发的软件产品中植入恶意代码，然后把被篡改的软件版本发布给所有客户。当客户下载并安装这个看似正常的软件更新时，隐藏在代码深处的后门程序就跟着进入了客户的内部网络。这种攻击手法的可怕之处在于，客户通常对来源正规的软件更新没有任何防备心理，因为是在信任的厂商官网下载的、有完整的数字签名、和正常的软件更新流程完全一样。一切看起来都合理合法，但恶意已经在信任的外衣下悄悄进入了系统。

软件供应链中最大规模也最具破坏力的攻击案例，就是2020年被发现的SolarWinds事件。SolarWinds是一家全球知名的IT基础设施管理软件公司，他们的产品被全球超过三十万家企业和政府机构使用。攻击者渗透进了SolarWinds的软件开发环境，在他们的核心产品Orion平台的软件更新包中植入了隐蔽的后门代码。当全球数以万计的客户下载安装了这个看起来完全正常的软件更新后，后门程序就悄无声息地部署在了这些组织的内网中。受害者名单包括了美国多个联邦政府部门、全球五百强企业、网络安全公司以及各种关键基础设施运营单位。这起攻击造成的损失和影响范围至今无法完全统计，但它彻底改变了全球安全行业对软件供应链安全的认知。

除了软件供应链之外，硬件供应链也是攻击者重点关注的目标。在智能设备和物联网设备大量普及的今天，很多电子产品的芯片、模组和底层固件来自不同的代工厂和元器件供应商。攻击者可以在生产运输环节或者底层固件开发环节植入恶意功能，让设备在出厂之前就已经被植入了后门。当企业采购大量这些设备部署在自己的网络中时，等于主动把这些早已埋好雷的设备接入了自己的核心系统。这种级别的供应链攻击极难在采购验收环节被检测出来，因为恶意功能往往隐藏在最底层的硬件固件中，普通的出厂检测流程根本无法发现。

还有一种供应链攻击路径是通过服务外包来实现的。现实中很多企业为了降低运营成本，会将部分IT运维、数据管理、软件开发等工作外包给第三方服务商。这些第三方服务商为了完成工作，往往需要接入企业内部网络或获取对核心系统的操作权限。一旦这些服务商的安全防护水平达不到要求，或者服务商内部出现了恶意员工，攻击者就可以利用服务商手中的合法权限来发起攻击。连接越深的外包合作关系，一旦出现安全问题，给企业带来的潜在损失就越大。

供应链攻击最让人头疼的一个特点就是它的隐蔽性极高。因为攻击者不是通过暴力破解或者漏洞利用直接闯入目标企业的大门，而是利用合作伙伴之间的信任关系来完成渗透。攻击者进入目标网络时使用的是合法账号、经过可信渠道、行为模式和正常的合作伙伴数据交互没有太大区别。传统入侵检测系统在这种攻击面前几乎无能为力，因为所有的网络连接、数据传输和系统访问在表面上看起来都是完全正常的业务往来。

对于企业来说，面对供应链攻击的威胁，已经不能只关注自身安全防护体系的建设了。防护视角必须从围墙内的防御延伸到整条供应链的安全管控。首先需要对所有合作伙伴进行安全能力评估。不是所有的供应商都具备同等级别的安全防护水平，而连接越深入越关键的合作伙伴，其安全漏洞对企业造成的威胁就越大。企业应当根据合作伙伴的数据访问级别和安全评级，对其进行差异化的安全管理。对于能够接触到核心数据和关键系统的合作伙伴，需要提出明确的安全标准要求，包括安全合规认证、数据加密保护、内部安全管理制度、安全事件应急响应能力等方面。

合同层面的约束同样是供应链安全管理的重要环节。企业应当在与合作伙伴签订合同时，明确写入数据保护和信息安全方面的条款，包括数据所有权归属、数据使用范围限制、保密期限、违约责任、安全事件通报义务等内容。合同条款虽然不能杜绝安全事件的发生，但可以明确权责边界，在问题发生后给企业提供追索和维权的法律依据。

持续监督同样不可忽视。很多企业在与合作伙伴签订合同后的初期阶段还能保持一定的关注度，但时间一长就逐渐放松了监督。而攻击者往往就是在企业的警觉性降低之后才选择发动攻击的。定期对合作伙伴进行安全审计和信息安全考核，保持对合作伙伴安全状况的持续了解，对待长期合作的伙伴也应当保持必要的警觉和持续的关注。

回到开头那个金融安全团队的故事。他们的幸运之处在于，虽然供应链攻击已经成功了，但防御系统还是发现了潜伏期中的异常活动，在造成更大的实质性损失之前切断了攻击路径。但全球范围内有大量企业并没有这样的运气，攻击者可能已经通过某个不起眼的外包供应商、或者公司正在使用的某个软件产品的自动更新通道、或者安装在办公楼里的某台智能设备，在信任的外衣掩护下长驱直入了。在万物互联的供应链时代，企业的安全边界已经远远超出了自己办公室的大门，每一条通向合作伙伴的信任通道，都可能成为攻击者不请自来的入口。