近期的SolarWinds供应链攻击事件绝对不是一件随随便便就可以开始和结束的大事件。
2020年12月,网络安全世界再遭黑客挑战,他们侵入了IT软件提供商SolarWinds的网络,利用SolarWinds 的 Orion 平台软件秘密分发恶意软件来监视用户,并提取敏感数据文档。在最近的报道中可以发现,数百家组织,包括政府机构和私营企业等都受到影响,同时这个名单还在持续增长。这也就是所有网安工程师最为担心的“供应链攻击”。
以零信任PK供应链攻击
实际上供应链攻击早已成为APT攻击中的常用攻击手段,具备了攻击手法隐蔽,检测困难等特点,且危害极大。2013年的棱镜门事件、2015年的XcodeGhost事件、2017年的Xshell后门代码,均是攻击者通过供应链攻击手法,无论是受攻击企业,还是普通大众,均受到了巨大的影响。而本次SolarWinds事件作为最严重的供应链攻击事件之一,涉及面广、影响大,更应该敲响人们对于供应链安全的警钟。
需要警惕的是,许多企业默认将供应链列为“可信”,这加大了APT攻击的防范难度。例如:针对SolarWinds的攻击者在2019.4-2020.2.1版本中植入了恶意的后门应用程序,这些程序就利用到了SolarWinds的数字证书绕过验证。
这对于依赖数字化平台开展业务的用户来说,压力山大。现在,每一个产品的开发总是存在大量的合作商,很多系统越来越复杂、越来越庞大,大多是通过模块化、组件化的方式,需要引入第三方的模块或者和第三方的业务系统对接并使用其提供的数据,但我们无法完全掌控第三方系统的安全性,如果其存在漏洞(也包括合作伙伴网络中存在的“水坑”攻击、跳板攻击等)被攻击,需要保证我们自己的系统不会因此而受到影响。所以,零信任将是应对供应链攻击最有效的方案之一。
对于软硬件的供应链来说,传统网络安全架构的逻辑可看成是“全信任”——我肯定信任你们,但是我要全方位、一层一层地检查。殊不知,但凡信任之后再检查,就始终有疏忽的地方。零信任作为一种全新的安全保障概念,它的核心是商业机构不会缺省信任任何内部或外部的网络链接或信息请求,所有对于系统的访问都会建立在身份、端点、服务等一系列参与服务的角色,必须得到安全策略一致的验证和授权之后才能进行。因此,这必将是替代传统网络安全架构和防御策略的核心,更是企业未来数字化商业的一个重要基础。
以XDR揪出并治理供应链威胁
回顾SolarWinds事件,根据相关报告描述,攻击者会让代码在休眠2周左右之后采用第三方进行通信,并且根据返回的指令执行操作,包括传输文件、执行文件、重启系统等。而这些通信会伪装成Orion Improvement Program(OIP)协议并将结果隐藏在众多合法的插件配置文件中,从而达成隐藏自身的目的。不过,从这条信息中,我们其实可以看到一个“有趣”的事情——这次攻击“太着急了”。
通过对历史上重大数据窃取事件的分析,亚信安全发现,APT攻击者平均潜伏的天数长达 205 天,有的甚至可能潜伏长达数年之久。这也代表了APT攻击最为显著的特征——隐匿行踪、长期潜伏、持续渗透。
发现APT攻击者在内部系统的藏身之处有一定的难度,但不是说企业就束手无策。针对APT攻击的每个阶段,亚信安全的XDR解决方案,对应包括了“准备、发现、分析、遏制、消除、恢复、优化”这7个阶段。准备阶段包括了针对每一种黑客攻击类型的标准预案,自发现威胁数据之后,将数据集中到本地威胁情报和云端威胁情报做分析,利用机器学习和专家团队,通过分析黑客进攻的时间、路径、工具等所有细节,其特征提取出来,再进行遏制、清除、恢复和优化。
写在最后,也写给“自己”
回顾针对供应链发动APT攻击的真实案例再次证明了,在软硬件开发交付环节被攻击后会产生巨大危害,故软件开发及交付环节的安全防范至关重要。为此,亚信安全建议软硬件厂商在开发交付环节尽可能做到:
最后,还有一点值得关注,与SolarWinds类似的国内外IT管理软件,均存在着权限过大的问题,一旦被入侵,所造成的影响也将覆盖到整个业务层面。具体来说,IT运维管理软件在企业网络架构中拥有绝对的超级权利,从技术角度来看,它控制了工作在底层的运维平台,就能将整个网络的信息转发到任何一个接收点,没有任何障碍,且不易察觉。甚至在一些特殊行业(金融、能源、制造)的封闭网络,别有用心者(“内鬼”)一旦触及或接管运维系统的管理权,用户也很难确保核心数据不会造成泄露。
好文章,需要你的鼓励
施耐德电气以“新质服务+产业向‘新’行”为主题,第六次参会,展示全新升级的“新质服务体系”,围绕创新驱动、生态协同和行业赋能三大核心领域,以全新升级的“新质服务体系”,助力中国产业向高端化、智能化、绿色化迈进。
香港中文大学联合上海AI实验室推出Dispider系统,首次实现AI视频"边看边聊"能力。通过创新的三分式架构设计,将感知、决策、反应功能独立分离,让AI能像人类一样在观看视频过程中进行实时交流,在StreamingBench测试中显著超越现有系统,为教育、娱乐、医疗、安防等领域的视频AI应用开启新可能。
甲骨文正在成为大规模基础设施供应商的可靠选择。该公司通过AI技术推动应用开发,构建GenAI模型并将智能代理集成到应用套件中。CEO萨弗拉·卡茨透露,公司剩余履约义务达4553亿美元,同比增长4.6倍,并预测OCI收入将从2026财年的180亿美元增长至2030财年的1440亿美元。甲骨文正积极布局AI推理市场,凭借其作为全球最大企业私有数据托管方的优势地位,有望在云计算领域实现重大突破。
Atla公司发布Selene Mini,这是一个仅有80亿参数的AI评估模型,却在11个基准测试中全面超越GPT-4o-mini。通过精心的数据筛选和创新训练策略,该模型不仅能准确评判文本质量,还能在医疗、金融等专业领域表现出色。研究团队将模型完全开源,为AI评估技术的普及和发展做出贡献。