某省级融媒体中心建设了一套内容管理系统用于整合旗下多个新闻平台的内容生产和发布流程。该系统由一家外部软件公司负责开发和部署上线后运行稳定得到了编辑和记者们的一致好评。系统上线数月后技术团队在一次安全检查中发现系统服务器上存在异常的网络连接分析后有不明程序在与外部IP地址进行通信。技术团队随即进行了深入排查发现系统中被植入了一个隐蔽的后门程序。这个后门伪装成系统的正常服务模块隐藏在安装目录中在进程列表中显示为无害的系统进程名称。后门可以在后台执行攻击者下发的各种指令包括文件上传下载数据导出和远程控制等操作。

通过后门的通讯记录分析发现攻击者已经通过这个后门访问了系统数据库获取了管理员账号和部分用户信息。进一步调查后排除了外部直接攻击的可能性将疑点聚焦到了系统的开发阶段。开发人员在开发过程中从互联网上下载了多个第三方开源组件以提高开发效率。其中某个看似普通的开源组件中包含了一段隐藏的恶意代码在系统编译和部署时被集成到了最终的应用程序中。这是一种典型的供应链攻击手法攻击者通过向开源社区提交带有恶意代码的组件等待开发者下载使用后就可以远程控制安装了该组件的系统。

融媒体中心的内容管理系统承载着新闻的生产编辑审核和发布全过程是新闻机构的核心业务系统。系统被植入后门意味着攻击者可以远程控制系统的所有功能包括修改已发布的新闻内容删除重要数据窃取未公开的采访报道甚至发布虚假信息。这类安全事件对于新闻机构来说可能引发比数据泄露更为严重的后果包括公信力的丧失和舆论导向的失控。

软件开发中普遍使用的开源组件在提高效率的同时也带来了供应链安全风险。一个看似无害的开源组件可能经过多代维护者之手其中任何一代的维护者都有可能在组件中植入恶意代码。而且这类恶意代码通常经过精心伪装常规的代码审查很难发现。融媒体中心需要对供应链安全建立系统性的防护措施。开发团队应当建立开源组件使用的白名单制度仅使用经过安全审核的组件版本。在系统上线前进行全面的安全测试和运行时监控对异常网络通信和系统行为进行实时检测和告警。开源软件为软件开发带来了便利但每一行引入系统的外部代码都应当经过安全检验和持续监控。

从更宏观的新闻行业安全视角来看融媒体中心作为新闻生产和传播的核心机构其信息系统的安全直接关系到新闻舆论工作的正常开展和公信力。在推进数字化转型的过程中新闻机构除了关注内容生产和传播的效率外还需要将信息安全作为基础设施建设的重要组成部分。融媒体系统的安全评估应当纳入项目立项开发和验收的全过程对于外部服务商提供的系统应当进行独立的第三方安全检测。同时建立系统运行期间的安全监控和应急响应机制确保能够在安全事件发生时快速发现有效处置将损失降到最低。北京企密安在与多家融媒体中心的合作中发现很多新闻机构在技术快速发展的同时信息安全意识和防护能力却没有得到同步提升这种不平衡状态亟待改善。