大多数公司都有供应链，第三方组织在供应链中开发用于其产品开发的组件。软件也是如此。公司依赖第三方开发的应用程序，甚至内部开发的软件也使用第三方库和代码。然而，这种对第三方代码的依赖为攻击者创造了机会。供应链安全可防止攻击者通过组织使用的第三方应用程序和代码攻击组织。
为什么供应链安全很重要
近年来，供应链攻击已成为日益严重的威胁。备受瞩目的网络攻击，例如对 SolarWinds 和 Kaseya 的攻击，表明攻击者可以通过破坏单个组织并利用信任关系来访问客户网络来显着增加攻击的影响。
网络罪犯通常还会在攻击中以开源库和代码存储库为目标。如果他们成功感染了这些库，那么所有使用受感染库的应用程序也将受到影响。大多数应用程序都依赖于几个不同的库，并且依赖关系可能很深。供应链安全解决方案可帮助组织保持对其软件供应链依赖关系的可见性，使他们能够有效地识别和修复攻击者插入的可利用漏洞或后门。
供应链安全威胁
供应链攻击利用组织的信任关系，包括对外部组织和第三方软件的信任。组织面临的一些主要供应链威胁包括：
受损的合作伙伴：许多组织允许第三方组织访问他们的网络和系统。如果攻击者破坏了该供应商或合作伙伴，他们可以利用这种信任关系来访问组织的环境。
易受攻击的代码：应用程序通常具有大量第三方依赖项，开发人员通常无法完全了解他们在应用程序中包含的代码。如果第三方库包含可利用的漏洞，则攻击者可以利用这些漏洞来损害组织或其客户。
植入的后门：网络罪犯越来越多地试图破坏常用库或创建恶意的类似物。这些受损的库可能包含旨在让攻击者访问公司数据或系统的漏洞或后门。
供应链安全最佳实践
供应链攻击会给组织带来重大风险，并可能产生巨大影响。公司可以采取各种措施来防止供应链攻击或将其影响降至最低。一些供应链安全最佳实践包括：
最小权限：最小权限原则规定用户、应用程序、系统等应仅具有其角色所需的访问权限。最大限度地减少访问限制了受感染的应用程序或供应商可能造成的损害。
网络分段：网络分段根据目的和信任级别将网络划分为多个部分。网络分段使攻击者更难在不被发现的情况下穿过公司网络。
DevSecOps： DevSecOps 提倡将安全融入开发生命周期。通过在开发过程的早期考虑潜在的安全问题，组织可以在应用程序投入生产之前识别和修复供应链漏洞。
漏洞扫描：漏洞扫描器有可能识别应用程序中已知和未知的漏洞。定期漏洞扫描使组织能够识别并快速响应第三方代码中的新漏洞。
软件组合分析 (SCA)： SCA 自动识别应用程序中的依赖关系。执行 SCA 使组织能够保持对第三方代码使用的可见性，并监控该代码是否存在漏洞或潜在后门。
自动化安全：主动防御对于最小化攻击对组织的风险和影响至关重要。SOC 分析师应该使用以预防为中心的防御措施来保护 Web 应用程序。
威胁搜寻：威胁搜寻是在组织环境中主动搜索未知威胁的做法。威胁搜寻可以帮助识别通过供应链攻击获得企业系统访问权限的攻击者。
