Network
斷鏈新危機!供應鏈必備資安思維 三大策略,有效強化供應鏈資安韌性
隨著供應鏈數位化程度攀升,衍生越來越多針對供應鏈的網路威脅;此一形勢,對於所有參與供應鏈活動的企業組織,構成極為嚴峻的挑戰。有鑑於此,趨勢科技訴求攻擊面管理、雲端安全、零信任三大核心策略,強力守護供應鏈資安。
![強化供應鏈資安韌性](/content/dam/trendmicro/global/zh_tw/research/thumbnails/23/67_prevent-supply-chain-attacks.png)
隨著供應鏈數位化程度攀升,衍生越來越多針對供應鏈的網路威脅;此一形勢,對於所有參與供應鏈活動的企業組織,構成極為嚴峻的挑戰。有鑑於此,趨勢科技訴求攻擊面管理、雲端安全、零信任三大核心策略,強力守護供應鏈資安。
駭客利用軟韌體更新或信任管道,展開破壞與擴散
趨勢科技資深技術總監劉家麟指出,時間軸拉回2021年,眾多重大資安事件中,僅兩起案例可歸類為供應鏈攻擊。時至2022年,供應鏈攻擊案件數急遽增加,更牽連其餘數以百計的合作企業。
究竟誰在發動供應鏈攻擊?
攻擊來自兩大元兇:一是政府單位支持的駭客團體,主要目的是收集情資,必要時會依據戰略性目標而發動攻擊;儘管多以政府、關鍵基礎設施為攻擊重心,但近年已將觸角延伸到民間企業,如將高科技產業納入攻擊範疇。另一是勒贖加密組織,幾乎每個月甚或每週都會製造一些新的攻擊案例;這群駭客的意圖鮮明,便是謀取經濟利益,企業不分大小只要有網路、有弱點,都可能成為被襲擊對象。
綜觀供應鏈攻擊的態樣,與一般資訊環境遭遇的威脅,看似大同小異。然而,因應產業特殊性,部分供應鏈會另外面臨一些獨特攻擊手法。譬如:駭客先成功入侵軟韌體開發商,再藉由軟體更新或部署過程,擴散到整體供應鏈夥伴;另一種方式,則是利用供應鏈的信任管道,將攻勢蔓延至所有上下游廠商。
設想某一軟體供應商,提供系統更新主機,開放給客戶A、B連線使用。但該企業平時未積極強化資安,以致遭到惡意入侵,接著駭客利用更新主機這個信任管道,輾轉攻進客戶A和B的環境,持續進行破壞與擴散,即為典型的供應鏈攻擊情境。企業規模的大小,絕非是否遭受攻擊的重點,端看在於企業的合作夥伴有誰,若裡頭有重量級大廠,企業被駭客盯上的機率便水漲船高。
集中管理+關聯分析,看清供應鏈威脅的原貌
面對資訊環境不斷演化,包含由疫情催生的混合辦公模式、雲端應用等新常態成形,伴隨諸多變數持續堆疊,使供應鏈資安問題日趨複雜,也讓資安團隊的處理難度不斷增高。
趨勢科技建議企業:可透過攻擊面管理、雲原生應用防護平台(CNAPP)、零信任戰略等三大支柱,建立有效的供應鏈攻擊緩解機制。
🔴 攻擊面管理
針對攻擊面管理,企業首要之務,便是根據自身所屬供應鏈環境,例如國防、半導體…等產業,對焦到需要遵循的資安規範,再剖析該供應鏈環境容易出現哪些威脅破口、以及企業營運可能造成何等影響;完成評估後,即需鎖定關鍵資產、高危性風險,建立持續性監控機制,以防範未來可能遭遇的攻擊。
需要留意的是,傳統防禦、偵測及回應機制流於各自為政,各有各的事件管理平台,導致資安人員難以統整各方資訊,無法發掘問題來龍去脈,也無法定義事件處理的優先順序。故有必要利用單一平台,打破孤島、匯聚完整資訊並搭配關聯分析,以利將資安視野拓展得更深、更廣、更一致,趨勢科技的Vision One就為此而設計。
🔴 雲原生應用防護平台(CNAPP)
至於CNAPP,藉由將所有監控、通報及偵測作業整合到單一平台,以避免從前使用多套方案造成人為誤判或工作量激增的盲點,透過更簡單、全面的做法,將資安措施整合到端到端開發流程,藉此加快威脅偵測與通報速度,確保應用在上線前安全無虞。
🔴 零信任戰略
企業應以零信任為基礎,嚴格執行每一段資安檢測工作、絕不便宜行事,對攻擊者增加更多阻礙,使其移動軌跡更無所遁形,幫助企業把潛在供應鏈資安風險降至最低。
更多供應鏈資安相關文章 >> https://www.trendmicro.com/zh_tw/about/newsroom/press-releases/2022/2022-10-04.html
![圖說:趨勢科技建議,企業可透過攻擊面管理、雲原生應用防護平台(CNAPP)、零信任戰略等三大支柱,有效強化供應鏈資安韌性。](/content/dam/trendmicro/global/zh_tw/research/23/l/Three%20Strategies.jpg)