為了最大化損害和利潤，黑客擴大了他們的目標群體。他們將目光投向了 B2B（企業對企業）公司，而不是僅僅關注最終用戶。不誠實的行為者希望讓大企業措手不及，并利用公司關系保護傘下的所有數據。?雖然每個人都應該警惕網絡犯罪分子，但企業面臨著大幅提升網絡安全游戲的壓力。

這些威脅，恰如其分地命名為軟件供應鏈攻擊，可以出人意料地讓公司一舉陷入困境。作為托管 IT 服務提供商，我們意識到供應鏈攻擊的危險及其對我們客戶的可能影響。您需要準備好保護您的企業免受此類攻擊，并且應該知道您是否處于危險之中——無論您是蓬勃發展的零售商還是狂熱的客戶。

所以，我們將討論：??

• 什么是軟件供應鏈攻擊？??
• 什么樣的企業容易受到它的影響？??
• 供應鏈攻擊如何影響您？??
• 如何保護自己免受供應鏈攻擊？?

完整閱讀后，您應該能夠確定保護公司所需采取的步驟。?

什么是軟件供應鏈攻擊？?

軟件供應鏈攻擊是一種網絡威脅，黑客通過感染客戶使用的合法應用程序來破壞客戶的數據或系統。攻擊者尋找不安全的網絡協議或不受保護的服務器基礎設施來滲透軟件供應商的網絡。一旦進入，他們將通過更改源代碼并在其構建和更新過程中隱藏惡意軟件來感染供應商的應用程序。?

然后，該軟件將充當惡意軟件的特洛伊木馬，而供應商并未意識到這一點。由于病毒嵌入在應用程序中，因此它將在客戶設備上運行，并具有與它所植根的應用程序相同的權限。黑客獲得了二合一的交易，軟件創建者和客戶在一個可能需要數月才能解開的網絡中受到損害。?

哪些企業受到軟件供應鏈攻擊的影響？?

他們的一些常見目標應用程序和業務是：??

• 電子郵件服務器?
• 托管 IT 提供商?
• 數據庫管理軟件?
• 安全軟件提供商?

電子郵件服務?

所有云服務——尤其是電子郵件服務——都是供應鏈攻擊的誘人目標。如果黑客通過這些程序獲得訪問權限，他們將可以訪問您的幾乎所有信息和數據。此外，幾乎所有使用互聯網進行商業交易的人都擁有電子郵件和云服務，從而導致網絡犯罪分子的受害者群體擴大。??

甚至FBI 也無法免受供應鏈攻擊。去年 11 月，他們的電子郵件服務器發出了多封電子郵件，試圖抹黑 Vinny Troia（暗網情報公司 NightLion 和 Shadowbyte 的安全研究負責人）。如果聯邦調查局本身是受害者，你也可能是。??

托管 IT 提供商?

在供應鏈攻擊中，黑客以托管 IT 服務提供商(MSP)等上游供應商為目標，以增加受害者人數。攻擊 MSP 會使損害沿著供應鏈向下傳遞到另一個供應商——這種結果有時被稱為“瀑布效應”——這會增加對許多目標的附帶損害。黑客還知道，來自受信任供應商的更新可以讓他們繞過安全措施并感染所有安裝它們的用戶。例如，REvil 勒索軟件在去年針對幾個 MSP 后感染了超過 1000 家公司。所有八個受影響的 MSP 都在使用 Kaseya VSA。

數據庫管理軟件?

數據庫是信息的金礦，因為它們的全部功能是為您存儲數據。當您的數據庫（無論是本地數據庫還是基于云的數據庫）成為供應鏈攻擊的受害者時，您必須將其視為泄露數據并立即采取行動。

安全軟件提供商

有什么比通過安全軟件潛入攻擊多家公司更好的方法呢？消費者和企業依靠安全軟件并信任第三方來保證其 IT 系統的安全。通過將安全軟件用作特洛伊木馬，黑客可以在系統中停留很長時間，然后才被發現。

供應鏈攻擊如何影響您？???

首先，問問自己：你在供應鏈的哪個位置？您是最終用戶、B2C（企業對客戶）公司還是 B2B（企業對企業）供應商？根據您的用戶類型，供應鏈攻擊的影響看起來會大不相同。??

您是最終用戶（客戶）

如果您的任何軟件遭到入侵，那么您允許該軟件收集的所有數據也會遭到破壞。您需要立即采取措施減輕對網絡的損害，并努力從系統中刪除所有受感染軟件的痕跡。?根據您使用受感染軟件的方式，您可能需要停用密碼、用戶名和電子郵件地址以重新獲得安全網絡。

您是軟件創建者（公司所有者）?

無論您的企業是直接與消費者 (B2C) 還是與其他企業 (B2B) 打交道，如果您創建或管理軟件并受到供應鏈攻擊的感染 – 您已經有效地將您和您客戶的所有數據集中到網絡犯罪分子手中。??

您將迫切需要：??

• 評估您的網絡?
• 通知客戶數據泄露??
• 發送修復問題的補丁?
• 重新建立與客戶的信任?
• 支付任何合規罰款?

如何阻止供應鏈攻擊？?

那么，您如何才能避免遇到供應鏈攻擊帶來的頭痛呢？?無論作為客戶還是 CEO，您都可以使用以下提示和技巧來防止軟件供應鏈攻擊。

1. 向每個企業詢問一組安全問題?

在去年 2022 年 2 月的 Room安全會議上，F1 Solutions 總裁兼首席信息安全官 Jennifer VanderWier 列出了您需要向軟件供應商詢問的十個安全問題，以確保客戶的安全。他們是：?

• 你評估過你的工具嗎？按照什么標準？?
• 您是否有可以滿足時間表的補救計劃？?
• 你的產品曾經被破壞過嗎？?
• 多因素身份驗證 (MFA)是否適合您的工具？?
• 您可以訪問我們客戶的數據嗎？有哪些控制措施？您是否有一個可以與我分享的共同責任矩陣？?
• 有哪些保護措施來保護您的代碼？?
• 你的安全團隊有多少人？?
• 你的責任范圍是多少？?
• 我可以通過哪些方式限制供應商對敏感數據的訪問？?
• 您是否有災難恢復計劃，何時進行測試？?

作為軟件提供商，您還可以使用此列表來評估自己并建立對安全系統的信心。??

2. 進行頻繁的安全意識培訓?

提高員工的安全意識是阻止攻擊的關鍵步驟。但是，即使您不經營企業，您也將從跟上最新的網絡安全新聞中受益。??

3. 進行滲透測試?

滲透測試是一種道德黑客行為，用于測試組織的防御能力。它模擬現實生活中的網絡攻擊，以發現公司防御的弱點。這種方法使您可以識別防御中的故障并在黑客發現它們之前對其進行處理。作為客戶，您需要詢問您的軟件和安全提供商是否在他們的系統上進行此類測試。?

4. 主動系統掃描

主動系統掃描可幫助您及早發現網絡中的問題——無論是作為客戶還是企業。問題和攻擊可以立即處理并在它們對您構成嚴重威脅之前得到解決。

5. 安裝軟件更新

零日漏洞在供應鏈感染的傳播中起著至關重要的作用。縮小這些差距將減少對您的業務和 IT 網絡的潛在損害。此外，它甚至可以在攻擊發生之前阻止它。

6. 部署多層網絡安全防御

一些供應鏈攻擊通過搭載軟件更新進入您的網絡。多層網絡安全可以通過阻止與已知惡意 IP 地址的通信來阻止這種情況。??

您準備好阻止軟件供應鏈攻擊了嗎？?

軟件供應鏈攻擊感染合法應用程序以分發惡意軟件。它滲透到軟件提供商的網絡并感染其應用程序。就像特洛伊木馬一樣，攻擊在應用程序安裝到您或您客戶的網絡或設備后開始。?

軟件供應鏈攻擊是毀滅性的，可能會影響您的信譽和安全。像這樣的托管 IT 公司依靠客戶對我們的信任來保持公司的蓬勃發展，我們知道防止企業失去信譽是多么重要。如果在維護業務的日常功能之上執行所有這些提示和技巧似乎令人生畏，您可能希望讓專業的 IT 管理公司來處理您的 IT 部門。