Network
斷鏈新危機！供應鏈必備資安思維 三大策略，有效強化供應鏈資安韌性
隨著供應鏈數位化程度攀升，衍生越來越多針對供應鏈的網路威脅；此一形勢，對於所有參與供應鏈活動的企業組織，構成極為嚴峻的挑戰。有鑑於此，趨勢科技訴求攻擊面管理、雲端安全、零信任三大核心策略，強力守護供應鏈資安。
隨著供應鏈數位化程度攀升，衍生越來越多針對供應鏈的網路威脅；此一形勢，對於所有參與供應鏈活動的企業組織，構成極為嚴峻的挑戰。有鑑於此，趨勢科技訴求攻擊面管理、雲端安全、零信任三大核心策略，強力守護供應鏈資安。
駭客利用軟韌體更新或信任管道，展開破壞與擴散
趨勢科技資深技術總監劉家麟指出，時間軸拉回2021年，眾多重大資安事件中，僅兩起案例可歸類為供應鏈攻擊。時至2022年，供應鏈攻擊案件數急遽增加，更牽連其餘數以百計的合作企業。
究竟誰在發動供應鏈攻擊？
攻擊來自兩大元兇：一是政府單位支持的駭客團體，主要目的是收集情資，必要時會依據戰略性目標而發動攻擊；儘管多以政府、關鍵基礎設施為攻擊重心，但近年已將觸角延伸到民間企業，如將高科技產業納入攻擊範疇。另一是勒贖加密組織，幾乎每個月甚或每週都會製造一些新的攻擊案例；這群駭客的意圖鮮明，便是謀取經濟利益，企業不分大小只要有網路、有弱點，都可能成為被襲擊對象。
綜觀供應鏈攻擊的態樣，與一般資訊環境遭遇的威脅，看似大同小異。然而，因應產業特殊性，部分供應鏈會另外面臨一些獨特攻擊手法。譬如：駭客先成功入侵軟韌體開發商，再藉由軟體更新或部署過程，擴散到整體供應鏈夥伴；另一種方式，則是利用供應鏈的信任管道，將攻勢蔓延至所有上下游廠商。
設想某一軟體供應商，提供系統更新主機，開放給客戶A、B連線使用。但該企業平時未積極強化資安，以致遭到惡意入侵，接著駭客利用更新主機這個信任管道，輾轉攻進客戶A和B的環境，持續進行破壞與擴散，即為典型的供應鏈攻擊情境。企業規模的大小，絕非是否遭受攻擊的重點，端看在於企業的合作夥伴有誰，若裡頭有重量級大廠，企業被駭客盯上的機率便水漲船高。
集中管理＋關聯分析，看清供應鏈威脅的原貌
面對資訊環境不斷演化，包含由疫情催生的混合辦公模式、雲端應用等新常態成形，伴隨諸多變數持續堆疊，使供應鏈資安問題日趨複雜，也讓資安團隊的處理難度不斷增高。
趨勢科技建議企業：可透過攻擊面管理、雲原生應用防護平台（CNAPP）、零信任戰略等三大支柱，建立有效的供應鏈攻擊緩解機制。
🔴 攻擊面管理
針對攻擊面管理，企業首要之務，便是根據自身所屬供應鏈環境，例如國防、半導體…等產業，對焦到需要遵循的資安規範，再剖析該供應鏈環境容易出現哪些威脅破口、以及企業營運可能造成何等影響；完成評估後，即需鎖定關鍵資產、高危性風險，建立持續性監控機制，以防範未來可能遭遇的攻擊。
需要留意的是，傳統防禦、偵測及回應機制流於各自為政，各有各的事件管理平台，導致資安人員難以統整各方資訊，無法發掘問題來龍去脈，也無法定義事件處理的優先順序。故有必要利用單一平台，打破孤島、匯聚完整資訊並搭配關聯分析，以利將資安視野拓展得更深、更廣、更一致，趨勢科技的Vision One就為此而設計。
🔴 雲原生應用防護平台（CNAPP）
至於CNAPP，藉由將所有監控、通報及偵測作業整合到單一平台，以避免從前使用多套方案造成人為誤判或工作量激增的盲點，透過更簡單、全面的做法，將資安措施整合到端到端開發流程，藉此加快威脅偵測與通報速度，確保應用在上線前安全無虞。
🔴 零信任戰略
企業應以零信任為基礎，嚴格執行每一段資安檢測工作、絕不便宜行事，對攻擊者增加更多阻礙，使其移動軌跡更無所遁形，幫助企業把潛在供應鏈資安風險降至最低。
更多供應鏈資安相關文章 >> https://www.trendmicro.com/zh_tw/about/newsroom/press-releases/2022/2022-10-04.html
