亚信安全：以“零信任+XDR”斩断供应链APT攻击

近期的SolarWinds供应链攻击事件绝对不是一件随随便便就可以开始和结束的大事件。

2020年12月，网络安全世界再遭黑客挑战，他们侵入了IT软件提供商SolarWinds的网络，利用SolarWinds 的 Orion 平台软件秘密分发恶意软件来监视用户，并提取敏感数据文档。在最近的报道中可以发现，数百家组织，包括政府机构和私营企业等都受到影响，同时这个名单还在持续增长。这也就是所有网安工程师最为担心的“供应链攻击”。

以零信任PK供应链攻击

实际上供应链攻击早已成为APT攻击中的常用攻击手段，具备了攻击手法隐蔽，检测困难等特点，且危害极大。2013年的棱镜门事件、2015年的XcodeGhost事件、2017年的Xshell后门代码，均是攻击者通过供应链攻击手法，无论是受攻击企业，还是普通大众，均受到了巨大的影响。而本次SolarWinds事件作为最严重的供应链攻击事件之一，涉及面广、影响大，更应该敲响人们对于供应链安全的警钟。

需要警惕的是，许多企业默认将供应链列为“可信”，这加大了APT攻击的防范难度。例如：针对SolarWinds的攻击者在2019.4-2020.2.1版本中植入了恶意的后门应用程序，这些程序就利用到了SolarWinds的数字证书绕过验证。

这对于依赖数字化平台开展业务的用户来说，压力山大。现在，每一个产品的开发总是存在大量的合作商，很多系统越来越复杂、越来越庞大，大多是通过模块化、组件化的方式，需要引入第三方的模块或者和第三方的业务系统对接并使用其提供的数据，但我们无法完全掌控第三方系统的安全性，如果其存在漏洞（也包括合作伙伴网络中存在的“水坑”攻击、跳板攻击等）被攻击，需要保证我们自己的系统不会因此而受到影响。所以，零信任将是应对供应链攻击最有效的方案之一。

对于软硬件的供应链来说，传统网络安全架构的逻辑可看成是“全信任”——我肯定信任你们，但是我要全方位、一层一层地检查。殊不知，但凡信任之后再检查，就始终有疏忽的地方。零信任作为一种全新的安全保障概念，它的核心是商业机构不会缺省信任任何内部或外部的网络链接或信息请求，所有对于系统的访问都会建立在身份、端点、服务等一系列参与服务的角色，必须得到安全策略一致的验证和授权之后才能进行。因此，这必将是替代传统网络安全架构和防御策略的核心，更是企业未来数字化商业的一个重要基础。

以XDR揪出并治理供应链威胁

回顾SolarWinds事件，根据相关报告描述，攻击者会让代码在休眠2周左右之后采用第三方进行通信，并且根据返回的指令执行操作，包括传输文件、执行文件、重启系统等。而这些通信会伪装成Orion Improvement Program（OIP）协议并将结果隐藏在众多合法的插件配置文件中，从而达成隐藏自身的目的。不过，从这条信息中，我们其实可以看到一个“有趣”的事情——这次攻击“太着急了”。

通过对历史上重大数据窃取事件的分析，亚信安全发现，APT攻击者平均潜伏的天数长达 205 天，有的甚至可能潜伏长达数年之久。这也代表了APT攻击最为显著的特征——隐匿行踪、长期潜伏、持续渗透。

发现APT攻击者在内部系统的藏身之处有一定的难度，但不是说企业就束手无策。针对APT攻击的每个阶段，亚信安全的XDR解决方案，对应包括了“准备、发现、分析、遏制、消除、恢复、优化”这7个阶段。准备阶段包括了针对每一种黑客攻击类型的标准预案，自发现威胁数据之后，将数据集中到本地威胁情报和云端威胁情报做分析，利用机器学习和专家团队，通过分析黑客进攻的时间、路径、工具等所有细节，其特征提取出来，再进行遏制、清除、恢复和优化。

写在最后，也写给“自己”

回顾针对供应链发动APT攻击的真实案例再次证明了，在软硬件开发交付环节被攻击后会产生巨大危害，故软件开发及交付环节的安全防范至关重要。为此，亚信安全建议软硬件厂商在开发交付环节尽可能做到：

1、建立可信的开发环境，这包括可控可信任的软硬件环境，诸如正规渠道购买、下载的软硬件，可信的第三方开源/商业库、算法等，采购安全可信的软件外包服务。关注所用组件的安全通告，如被揭露出严重安全问题，通过配置或加入其他安全性控制作为缓解措施，必要时升级相关的组件。

2、培养开发人员的安全意识，将SDL融入到开发流程中，把安全性的评估作为开发过程中的必要评审项。开发环节严格遵守开发规范，开发完成的软硬件发布前，交给独立的内部或外部测评组织进行安全性评估，及时解决所发现的问题。

3、在正规且统一的可信渠道发布软件，软件安装运行时能够提供强校验能力，升级更新自身时校验下载回来安装包的签名，并且将相关签名证书作为企业核心资产严格保管，保证证书不泄露，不会运行被劫持的升级包。

最后，还有一点值得关注，与SolarWinds类似的国内外IT管理软件，均存在着权限过大的问题，一旦被入侵，所造成的影响也将覆盖到整个业务层面。具体来说，IT运维管理软件在企业网络架构中拥有绝对的超级权利，从技术角度来看，它控制了工作在底层的运维平台，就能将整个网络的信息转发到任何一个接收点，没有任何障碍，且不易察觉。甚至在一些特殊行业（金融、能源、制造）的封闭网络，别有用心者（“内鬼”）一旦触及或接管运维系统的管理权，用户也很难确保核心数据不会造成泄露。