5月17日，以“因聚而生 有能有為”為主題的“華為中國生態(tài)大會2021”在深圳會展中心召開，盛邦安全CEO權小文應邀出席智能制造議題的半導體電子閉門會議，并發(fā)表題為《半導體行業(yè)的供應鏈網(wǎng)絡安全應用探討》的主題演講，與參會嘉賓分享供應鏈安全的相關技術觀點與解決方案。
盛邦安全CEO權小文發(fā)表主題演講
近年來，供應鏈安全問題頻繁爆發(fā)，尤其是針對生產(chǎn)制造商的勒索病毒攻擊和APT攻擊影響更為突出，直接造成大量的經(jīng)濟損失，甚至危害到國家安全，而智能制造、智慧工廠等新興模式的建設也進一步增加了供應鏈安全的復雜度。從目的導向來看，針對供應鏈的攻擊可以分為兩種類：一種是直接攻擊上游廠商，竊取機密情報信息，或者單純?yōu)榱四怖?，例如勒索軟件、挖礦病毒等；另一種則是通過攻擊供應商來獲取新型的網(wǎng)絡武器，例如0day漏洞、原始口令和特權賬號等，進而再去攻擊能源、電信、金融等關鍵基礎設施單位。概括而言，供應鏈攻擊具備突破口多、破壞力強和波及面廣等特點，一次成功的攻擊通常會威脅到多條產(chǎn)業(yè)鏈的網(wǎng)絡安全。
完整的供應鏈覆蓋了從開發(fā)設計到交付實施再到用戶側使用的所有環(huán)節(jié)，包含了整個過程中涉及的人員、系統(tǒng)和各項制度規(guī)范等眾多內容，牽扯到最終用戶和各級供應商，其中每個環(huán)節(jié)的信息泄露都有可能成為網(wǎng)絡攻擊的突破口，而資產(chǎn)不清、非法接入、地址濫用、弱口令或無鑒權等各種問題則是造成這些風險的主要原因。常見的供應鏈攻擊手法有如下幾類：
1、供應鏈漏洞。利用0day、Nday或其他漏洞突破邊界，直接進行攻擊；
2、供應鏈后門。利用預留調試用后門、內置口令等進行入侵；
3、供應鏈污染。通過植入木馬等方式，進行無差別攻擊；
4、供應鏈社工。人始終是最大的漏洞，介入人員角色越多，攻擊面越大。
針對供應鏈攻擊的特點，盛邦安全近期推出了由攻到防、以攻促防的供應鏈安全解決方案，轉換傳統(tǒng)防守思路，從攻擊者視角進行風險發(fā)現(xiàn)，再對各個環(huán)節(jié)進行加固防護。通過敏感信息監(jiān)控、暴露面梳理和資產(chǎn)入網(wǎng)管控等手段幫助用戶單位消除供應鏈安全風險隱患，提升安全防護強度。
針對互聯(lián)網(wǎng)當中可能泄露的敏感信息，例如招投標信息、源代碼信息、網(wǎng)絡結構信息和個人聯(lián)系信息等，可以通過互聯(lián)網(wǎng)敏感信息監(jiān)測系統(tǒng)進行有效的發(fā)現(xiàn)與處置。一方面，利用自動化的平臺監(jiān)測能力來實現(xiàn)分鐘級的發(fā)現(xiàn)效率，為應急處置爭取足夠的響應窗口；另一方面，根據(jù)發(fā)現(xiàn)的數(shù)據(jù)結果來進行快速處置與清理，確保威脅隱患得到消除。
梳理暴露資產(chǎn)，厘清安全邊界
對于網(wǎng)絡當中運行的資產(chǎn)，可以采用網(wǎng)絡空間資產(chǎn)探測系統(tǒng)進行精準梳理和安全檢查。通過對互聯(lián)網(wǎng)暴露面進行排查，發(fā)現(xiàn)非法開放的端口服務和信息系統(tǒng)；同時，針對內網(wǎng)進行全面探測，獲取設備類型、系統(tǒng)組件、應用版本和網(wǎng)絡環(huán)境等基本屬性，形成清晰的資產(chǎn)臺賬，并依靠豐富的漏洞庫及監(jiān)測技術來對設備風險進行排查。
嚴控資產(chǎn)入網(wǎng)，提升防護強度
利用網(wǎng)絡資產(chǎn)安全治理平臺與防火墻、入侵防御系統(tǒng)的聯(lián)動來實現(xiàn)針對資產(chǎn)的管控。對于新接入的資產(chǎn)，通過資產(chǎn)梳理進行畫像分析，確定入網(wǎng)條件并調用網(wǎng)關設備進行訪問控制；對于存在問題的資產(chǎn)，通過資產(chǎn)監(jiān)測進行安全分析，確認問題風險并調用防護設備進行快速處置。
該解決方案可以幫助用戶將網(wǎng)絡內分散而繁多的資產(chǎn)梳理清晰，強化管理控制，同時降低邊緣設備被入侵的風險，并利用協(xié)同聯(lián)動實現(xiàn)新增資產(chǎn)、未知資產(chǎn)和問題資產(chǎn)的快速處置；通過“查”——全網(wǎng)資產(chǎn)普查和精準畫像、“理”——梳理清晰的資產(chǎn)臺賬和統(tǒng)一資產(chǎn)管理、“控”——資產(chǎn)合規(guī)準入，管控非法接入及設備篡改，這樣三個規(guī)范動作，可以有效防范供應鏈安全問題，提升用戶的整體安全能力。
此外，活動期間，盛邦安全在品質服務展廳生態(tài)館ICT基礎服務展區(qū)展出了與華為安全聯(lián)合發(fā)布的服務解決方案，也受到許多參會者的關注。
