如何防止供應鏈攻擊？

駭客出了名地懶惰，儘管這可能與你的想法不同。他們喜歡以最少的努力獲得最大的成果。而秘密就在於他們選擇的目標。勒索軟體即服務（RaaS）模式就是他們達成網路犯罪最高效率的經典例子。供應鏈攻擊在此之後不久便出現，且日益普遍，甚至到了癱瘓全球基礎設施的程度。就連前美國總統 Joe Biden 也感到驚訝，最後甚至發布行政命令給政府實體，下令全面改革全國的供應鏈網路安全標準。

但先不談這個。供應鏈攻擊有什麼獨特之處？它們為什麼如此危險？你為什麼應該關注？如何防止供應鏈攻擊？如果你還無法回答這些問題，請繼續閱讀。我們很快就會告訴你。

什麼是供應鏈攻擊？

供應鏈攻擊supply chain attack是一種會尋找你供應鏈中弱點的網路安全攻擊。供應鏈結合了技術、人員、資源、產品、使用者與組織活動。它將你的組織維繫在一起，而這些組成要素讓你的公司持續運作。

當現有工作流程突然中斷，或有事物損害你的業務時，這可能就是供應鏈威脅。供應鏈攻擊會探查你供應鏈中的弱點，並在供應商中尋找可利用其薄弱安全態勢的機會。供應商會處理共享資料，因此如果他們遭到入侵，使用者以及所有與其相關的人也都會受到影響。

當你的供應鏈規模變大時，你的網路也會擴展。因此，一旦發生攻擊，就會產生多個目標並遭到入侵。

供應鏈攻擊如何運作？

供應鏈攻擊透過瓦解受信任關係來運作。它們不會直接鎖定公司本身，而是會鎖定組織合作的供應商與廠商。以軟體為基礎的供應鏈攻擊可以將惡意程式碼注入最新的程式庫、更新與元件中，以破壞安全憑證與建置工具。

以硬體為基礎的供應鏈攻擊可以透過植入惡意軟體或間諜元件來干擾製造與配送流程。有些供應鏈攻擊可能會利用弱點，例如建置流程、存取權杖與硬式編碼密鑰中的缺陷。它們可能提升權限，並試圖在網路中進行橫向移動。

SolarWinds 供應鏈攻擊是這些威脅如何運作的經典例子。攻擊者取得了一家公司的建置伺服器存取權，並在其更新中植入後門。另一個案例是攻擊者入侵了一家受管服務供應商，並以勒索軟體感染多個組織。

如何偵測供應鏈攻擊？

你無法只靠單一方法或技術來偵測供應鏈攻擊。組織必須結合不同的方法，並使用最新的 AI 威脅偵測技術，才能成功提升偵測與緩解這類威脅的能力。

他們必須使用持續監控、全球威脅情報，以及主動式安全態勢，這些都是防禦供應鏈攻擊的關鍵要素。

取得網路的即時可視性、持續監控網路流量，以及讓安全團隊具備迅速回應這些事件與任何其他可疑活動所需的能力，都是關鍵。

以下是一些可用來偵測供應鏈攻擊的方法：

某些攻擊可能利用相依性管理中的缺陷。攻擊者可以註冊名稱與內部模組相同或相似、但版本號更高的套件。當開發人員在不知情的情況下拉取這些外部套件時，惡意程式碼就會被引入軟體中。即使是例行性的套件管理，如果外部儲存庫未受到仔細控制與監控，也可能成為薄弱環節。

攻擊者可以取得用於程式碼簽署的私密金鑰。他們可以使用這些金鑰對惡意軟體進行數位簽署，使其看起來值得信任。這會削弱傳統簽署憑證所提供的保證。信任機制，例如程式碼簽署憑證，其安全性取決於保護其私密金鑰的流程。

現代network detection and response（NDR）系統可以監控偏離正常行為的情況。機器學習模型可以學習你網路中的典型資料流。突發變化——即使流量已加密——也應觸發警示。你可以使用硬體安全模組（HSM）或類似解決方案來保護私密金鑰。除此之外，請開始定期進行安全審查與稽核。進行模擬供應鏈攻擊的演練，並確保你的團隊能夠快速回應並偵測此類事件。

防止供應鏈攻擊的最佳實務

你可以透過實施以下策略，掌握如何防止供應鏈攻擊：

開始使用 Honey Tokens

這些機制就像絆線一樣，可提醒組織注意網路中的任何可疑活動 Honey Tokens 是偽裝成敏感資料的假資源 攻擊者可能會以為它們是真實目標並與之互動 每當有任何動作發生時，Honey Token 就會觸發有關疑似攻擊嘗試的警示 它可為組織提供資料外洩警告，並揭露這些攻擊者及其入侵方法的細節。

保護特權存取管理

網路攻擊者在取得帳戶的特權存取後，往往會在網路中進行橫向移動。他們會試圖提升權限並存取更敏感的資源。這條攻擊路徑也稱為特權路徑。這是典型的攻擊軌跡。你可以使用privileged access management框架來破壞這種攻擊模式，並降低再次出現其他威脅的可能性。它有助於保護你的內部與外部防禦。套用細緻的存取控制政策，並測試你合作的供應商。更新公司的盤點、資產管理實務與政策，並執行安全更新與升級。

教育你的員工

當涉及供應鏈威脅時，貴組織的員工與工作人員是主要目標。他們應了解惡意程式碼注入的運作方式，並對最新的詐騙電子郵件與網路釣魚企圖保持警覺。威脅行為者會向他們發送看似來自可信同事的電子郵件，要求他們啟用惡意程式碼，或試圖竊取內部登入 ID。若工作人員接受過標準攻擊方法（包括社交工程技術）的教育訓練，他們就能成功識別並通報這些入侵事件。他們不會輕易上當，並且會確切知道應如何採取行動或處理這些威脅。

使用身分識別與存取管理（IAM）解決方案

您應該加密所有內部資料，並使用如 Advanced Encryption Standard 演算法等標準，讓犯罪分子難以在供應鏈攻擊事件期間建立後門來竊取資料。美國政府也使用 AES 加密技術來保護自身。您也應專注於實作零信任架構，並預設所有網路活動皆為惡意。不信任任何人，驗證每一個人。每個連線請求都必須通過一系列嚴格的政策。而您的政策引擎應決定是否允許網路流量通過。它應使其通過信任演算法所設定的所有規則。而政策管理員將負責傳達其決策與變更。

自然地採取假設已遭入侵的思維也同樣重要。在這種情況下，你會假設入侵已經發生，並據此採取行動。這將有助於你在所有脆弱的攻擊向量上部署主動式網路防禦策略。最容易遭到入侵的三大攻擊面是流程、人員與技術。良好的網路安全意識訓練，是防護與對抗供應鏈攻擊的基礎支柱之一。

供應鏈攻擊的真實案例

以下是一些可供借鏡的真實供應鏈攻擊案例：

1. Target 的資料外洩事件

你還記得美國連鎖超市 Target 嗎？大約在 2013 年的一次資料外洩事件中，客戶的信用卡詳細資料遭到竊取。儘管那已是很久以前的事，Target 仍成為全球最惡名昭彰的供應鏈攻擊案例之一。

發生了什麼事？ 惡意軟體被植入 Target 系統中。

它是如何進入的？ 透過其 HVAC 供應商 Fazio Mechanical Services。

結果呢？ 1,850 萬美元的和解索賠、4,000 萬筆信用卡與簽帳金融卡詳細資料遭竊，以及重大的聲譽損害。

2. 2017 年 CCleaner 遭駭事件

駭客直接鎖定其伺服器，並以惡意副本取代原始軟體。該程式碼被發布給 230 萬名下載並安裝檔案更新的使用者。他們毫不知情，並受到嚴重感染。

原本可以採取哪些措施？ CCleaner 原本可以透過在此事發生前釋出修補程式來防止問題升級。類似事件也曾發生在 WannaCry 勒索軟體事件中，當時修補程式在攻擊發生前就已釋出，但未能及時套用到所有終端使用者。

結論

供應鏈攻擊是組織不可忽視的重大安全威脅之一。透過遵循本文中的步驟——從部署 honey token、強化特權存取，到員工訓練與零信任架構——您可以將遭受這些進階攻擊的風險降至最低。

供應鏈安全必須採取主動作為，因為攻擊者會持續設計新的手法。定期掃描整個供應鏈中的弱點，搭配最新的安全控制措施以及像 SentinelOne 這樣的新型安全解決方案，將可防止您的公司成為下一個登上頭條的資料外洩事件。