通過安全事件看IT產(chǎn)品供應(yīng)鏈安全風(fēng)險(xiǎn)
回顧去年的安全事件：Xmanager和Xshell后門事件、Xcode非官方版本惡意代碼污染事件、思科Juniper網(wǎng)絡(luò)設(shè)備存在“心臟出血”漏洞、Juniper VPN后門事件……通過以上事件可以發(fā)現(xiàn)企業(yè)在進(jìn)行軟件開發(fā)、設(shè)備采購、系統(tǒng)運(yùn)維等階段都存在著安全風(fēng)險(xiǎn)，如何有效的針對IT產(chǎn)品供應(yīng)鏈進(jìn)行防范與控制成為企業(yè)面臨的極大挑戰(zhàn)，本文將結(jié)合相關(guān)案例針對該問題進(jìn)行簡單闡述。
一、概述
Xshell是一款知名的、強(qiáng)大的安全終端模擬軟件，但是在2017年8月NetSarang官方宣布在最近的軟件版本中發(fā)現(xiàn)nssock2.dll模塊的官方源碼中被植入惡意后門代碼，將泄露包括服務(wù)器密碼在內(nèi)的相關(guān)信息。
2016年研究人員發(fā)現(xiàn)全球性的網(wǎng)絡(luò)安全設(shè)備供應(yīng)商Fortinet(飛塔)所提供的防火墻存在后門，屬于高危漏洞,攻擊者可以通過這個(gè)后門，直接獲取防火墻控制權(quán)限，執(zhí)行攻擊行為，比如抓取流量監(jiān)聽、DNS欺騙、建立隧道進(jìn)入企業(yè)內(nèi)網(wǎng)等。
通過以上事件可以發(fā)現(xiàn)企業(yè)在進(jìn)行軟件開發(fā)、設(shè)備采購、系統(tǒng)運(yùn)維等階段都存在著安全風(fēng)險(xiǎn)，如何有效的針對IT產(chǎn)品供應(yīng)鏈進(jìn)行防范與控制成為企業(yè)面臨的極大挑戰(zhàn)，本文將結(jié)合相關(guān)案例針對該問題進(jìn)行簡單闡述。
二、IT供應(yīng)鏈
IT供應(yīng)鏈?zhǔn)前到y(tǒng)終端用戶、政策制定者、采購專家、系統(tǒng)集成商、網(wǎng)絡(luò)提供商和軟硬件提供商在內(nèi)的統(tǒng)一系統(tǒng)，是上述角色通過組織和交互等行為，參與IT相關(guān)基礎(chǔ)設(shè)施的管理、維護(hù)和防御的過程。因此IT供應(yīng)鏈威脅涉及方方面面，包括：妨害、篡改、偽造、盜版、偷盜、摧毀、毀壞、泄露、滲透、破壞、轉(zhuǎn)移、出口管制違規(guī)、腐化、社會(huì)工程、內(nèi)部人員威脅、偽內(nèi)部人員威脅以及外部所有權(quán)。
本文將針對IT供應(yīng)鏈中的三個(gè)對象：軟件提供商、網(wǎng)絡(luò)及安全設(shè)備提供商、最終用戶通過安全事件列舉簡述其面臨的安全風(fēng)險(xiǎn)，同時(shí)針對安全風(fēng)險(xiǎn)提供安全防護(hù)建議，加強(qiáng)各環(huán)節(jié)安全防范能力。
三、安全事件概述及風(fēng)險(xiǎn)分析
1. 軟件提供商風(fēng)險(xiǎn)分析
(1) Xmanager和Xshell后門事件
事件概述：NetSarang是一家提供安全連接解決方案的公司，該公司的產(chǎn)品主要包括Xmanager, Xmanager 3D, Xshell, Xftp 和Xlpd。最近，官方在2017年7月18日發(fā)布的軟件被發(fā)現(xiàn)有惡意后門代碼，該惡意的后門代碼存在于有合法簽名的nssock2.dll模塊中。從后門代碼的分析來看，該代碼是由于攻擊者入侵的開發(fā)者的主機(jī)或者編譯系統(tǒng)并向源碼中插入后門導(dǎo)致的。該后門代碼可導(dǎo)致用戶遠(yuǎn)程登錄的信息泄露。
事件緣由：開發(fā)環(huán)境被污染，源代碼植入后門
(2) Xcode非官方版本惡意代碼污染事件
事件概述：Xcode 是由蘋果公司發(fā)布的運(yùn)行在操作系統(tǒng)Mac OS X上的集成開發(fā)工具(IDE)，是開發(fā)OS X 和 iOS 應(yīng)用程序的最主流工具。2015年9月14日起，一例Xcode非官方版本惡意代碼污染事件逐步被關(guān)注，并成為社會(huì)熱點(diǎn)事件。多數(shù)分析者將這一事件稱為“XcodeGhost”。攻擊者通過對Xcode進(jìn)行篡改，加入惡意模塊，并進(jìn)行各種傳播活動(dòng)，使大量開發(fā)者使用被污染過的版本，建立開發(fā)環(huán)境。經(jīng)過被污染過的Xcode版本編譯出的App程序，將被植入惡意邏輯，其中包括向攻擊者注冊的域名回傳若干信息，并可能導(dǎo)致彈窗攻擊和被遠(yuǎn)程控制的風(fēng)險(xiǎn)。
事件緣由：非官方版本被植入后門，開發(fā)工具被污染
通過上述事件可以發(fā)現(xiàn)在軟件開發(fā)、系統(tǒng)編譯、下載分發(fā)等不同階段都可能存在惡意程序感染，軟件提供商需要建立一套全面的、安全的軟件生命周期管理制度及流程，針對不同階段面臨的風(fēng)險(xiǎn)進(jìn)行排查、分析，結(jié)合相應(yīng)安全手段進(jìn)行有效管理，從而提供安全、可靠的軟件程序。
2. 網(wǎng)絡(luò)安全產(chǎn)品提供商風(fēng)險(xiǎn)分析
(1) 思科Juniper網(wǎng)絡(luò)設(shè)備存在“心臟出血”漏洞
事件概述：2014年波及全網(wǎng)的“心臟出血”漏洞，思科及Juniper相關(guān)網(wǎng)絡(luò)設(shè)備也未能幸免。該漏洞存在于OpenSSL中，可以泄露網(wǎng)絡(luò)設(shè)備的內(nèi)存內(nèi)容，黑客可以在企業(yè)網(wǎng)絡(luò)、家庭網(wǎng)絡(luò)以及互聯(lián)網(wǎng)上利用這一漏洞，非法獲取用戶名、密碼以及其他敏感信息。
事件緣由：使用了存在漏洞的OpenSSL版本
(2) Juniper VPN后門事件
事件概述：2015年12月15日著名的網(wǎng)絡(luò)設(shè)備廠商Juniper公司發(fā)出風(fēng)險(xiǎn)聲明，其防火墻、VPN設(shè)備使用的操作系統(tǒng)具有重大安全風(fēng)險(xiǎn)，建議盡快升級相關(guān)版本。聲明中提及兩個(gè)重大風(fēng)險(xiǎn)：1)設(shè)備的SSH登錄系統(tǒng)在輸入任意用戶名的情況下，使用超級密碼“<<< %s(un=’%s’) = %u”后就可以最高權(quán)限登錄系統(tǒng)。2)設(shè)備的VPN安全通道上傳遞的數(shù)據(jù)可以被攻擊人解密、篡改和注入。
事件緣由：系統(tǒng)程序存在缺陷，未對代碼進(jìn)行安全檢測
通過上述事件可以發(fā)現(xiàn)在網(wǎng)絡(luò)安全產(chǎn)品提供商作為產(chǎn)品提供者，在產(chǎn)品交付及運(yùn)行過程中存在大量漏洞，設(shè)備研發(fā)過程中存在邏輯漏洞、使用了不安全的協(xié)議等問題導(dǎo)致產(chǎn)品存在安全漏洞，給最終使用用戶造成巨大影響。
3. 最終用戶
(1) 臺(tái)灣遠(yuǎn)東國際商業(yè)銀行日前遭黑客入侵
事件概述：2017年10月3日臺(tái)灣遠(yuǎn)東銀行3日發(fā)現(xiàn)SWIFT(Society for Worldwide Interbank Financial Telecommunication，環(huán)球銀行間金融電訊網(wǎng)絡(luò))系統(tǒng)異常，事后發(fā)現(xiàn)銀行SWIFT系統(tǒng)遭黑客植入惡意程式，并進(jìn)行遠(yuǎn)端轉(zhuǎn)帳，5日向臺(tái)刑事警察局(刑事局)報(bào)案。據(jù)了解，遭黑的金額約6000萬美元，被匯到斯里蘭卡、柬埔寨及美國。
事件緣由：APT攻擊
(2) 美國征信巨頭 Equifax大規(guī)模數(shù)據(jù)泄露
事件概述：美國征信巨頭Equifax日前確認(rèn)，黑客利用其系統(tǒng)中未修復(fù)的 Apache Struts漏洞( CVE-2017-5638，3 月 6 日曝光)發(fā)起攻擊，導(dǎo)致了最近影響惡劣的大規(guī)模數(shù)據(jù)泄漏事件。
事件緣由：使用存在安全漏洞的Struts框架，未及時(shí)進(jìn)行升級
通過上述事件發(fā)現(xiàn)用戶在進(jìn)行日常運(yùn)維及安全管理過程中存在大量問題，針對內(nèi)部安全漏洞無法及時(shí)進(jìn)行修補(bǔ)，暫無相關(guān)技術(shù)手段針對網(wǎng)絡(luò)內(nèi)部未知攻擊進(jìn)行發(fā)現(xiàn)及監(jiān)測，最終導(dǎo)致企業(yè)網(wǎng)絡(luò)及系統(tǒng)被黑客攻擊，造成不可估量的損失。
(3) 建議及防范措施
IT供應(yīng)鏈安全是一個(gè)涉及面廣且復(fù)雜的一套體系，在任何一個(gè)階段存在問題都勢必會(huì)影響供應(yīng)鏈上下游的安全。因此，這里針對軟件提供商及網(wǎng)絡(luò)安全產(chǎn)品提供商提供相關(guān)安全建議：
- 建立健全應(yīng)用開發(fā)生命周期安全管理制度，在應(yīng)用及產(chǎn)品需求分析、功能設(shè)計(jì)、實(shí)施開發(fā)、測試驗(yàn)證及上線發(fā)布等環(huán)節(jié)進(jìn)行質(zhì)量及安全把控;
- 定期對應(yīng)用及產(chǎn)品進(jìn)行功能、安全性測試，時(shí)刻掌握應(yīng)用及產(chǎn)品安全風(fēng)險(xiǎn)，同時(shí)與上下游用戶建立安全事件通報(bào)機(jī)制，若出現(xiàn)安全問題及時(shí)與供應(yīng)鏈上下游用戶進(jìn)行溝通協(xié)同進(jìn)行應(yīng)急響應(yīng)工作;
- 加強(qiáng)員工網(wǎng)絡(luò)安全意識培訓(xùn)教育，提高安全意識認(rèn)知水平規(guī)范員工日常操作;
最終用戶在進(jìn)行IT供應(yīng)鏈風(fēng)險(xiǎn)管理過程中應(yīng)遵循以下幾點(diǎn)：
- 建立內(nèi)部網(wǎng)絡(luò)安全評估機(jī)制，定期對內(nèi)部網(wǎng)絡(luò)進(jìn)行風(fēng)險(xiǎn)評估，發(fā)現(xiàn)存在的風(fēng)險(xiǎn)點(diǎn)，針對風(fēng)險(xiǎn)及威脅進(jìn)行問題修復(fù)，全面提高網(wǎng)絡(luò)安全防護(hù)水平;
- 建立一套未知威脅感知系統(tǒng)，針對未知威脅攻擊進(jìn)行有效的監(jiān)測及預(yù)警工作，實(shí)時(shí)掌握網(wǎng)絡(luò)安全情況，縮短應(yīng)急響應(yīng)時(shí)間;
- 建立產(chǎn)品采購及供應(yīng)鏈廠商管理制度，需按照國家相關(guān)合規(guī)要求進(jìn)行產(chǎn)品及服務(wù)采購，在今年6月1日正式實(shí)施的《中華人民共和國網(wǎng)絡(luò)安全法》中第三十五、三十六條中也針對產(chǎn)品及服務(wù)采購進(jìn)行了相應(yīng)要求;
- 加強(qiáng)供應(yīng)鏈對象溝通交流機(jī)制，建立有效的問題反饋渠道，及時(shí)與上下游對象進(jìn)行問題溝通及應(yīng)急處置;
- 提高企業(yè)內(nèi)部人員安全意識，建立安全操作及運(yùn)維管理制度，降低違規(guī)及異常操作帶來的風(fēng)險(xiǎn)。
【本文是51CTO專欄作者“綠盟科技博客”的原創(chuàng)稿件，轉(zhuǎn)載請通過51CTO聯(lián)系原作者獲取授權(quán)】
