SolarWinds供应链攻击揭示物联网与供应链安全漏洞
无论哪个行业，网络安全漏洞似乎都在规模和范围上不断升级。
三个月前由俄罗斯发起的蔓延式黑客攻击——波及德州软件商SolarWinds Corp.多达18,000名客户——是供应链攻击影响深远的恶劣典型。
"供应链风险"是一个涵盖诸多安全威胁和漏洞的大伞。在SolarWinds案例中，据信代表外国政府行事的威胁行为者，植入木马到广泛使用的SolarWinds Orion软件更新中。该攻击为数百家公司和九个联邦机构留下了潜在后门访问点。这仅是已知范围——我们可能在未来数年持续发现此次漏洞的影响。
其他供应链风险可能表现为烧录在电子设备中的安全缺陷。智能手机、打印机、路由器、物联网设备和关键基础设施系统的制造商从第三方采购组件。这些组件携带嵌入式固件，可能存在现有安全缺陷。更有甚者，部分固件并非制造商编写，而是来自IT社区志愿者维护的开源代码。
以下是更广泛的供应链行业需了解的网络攻击关键点。
隐蔽的软件成分
采购方要求提供设备内软件完整清单的呼声日益高涨——但目前制造商提供此类清单的情况仍属罕见。该清单即软件物料清单（SBOM），是供应链安全的关键，但须注意它非万能药。例如，SBOM无法捕获SolarWinds后门。真正需要的是安全团队成员在软件发布给客户前，分析最终软件文件本身。
安全退居次要地位
软件开发商和设备制造商转向快速开发流程。软件端采用敏捷开发框架，频繁快速推送更新，或为新增功能，或为修复安全缺陷。设备端同样存在这种推进——尤其对于批量销售的商品化物联网设备。
无论哪种情况，安全往往退居次要地位。组织领导层须认识到不优先考虑安全的风险，开发团队须主动在风险被利用前加以缓解。现实是，攻击者远超行业防御水平。这使组织处于被动姿态，催生了诸多法规和标准。企业、制造商和采购方采取主动方法比以往任何时候都更重要。
访问权限的潜在风险
全球供应链因其高度互联且往往安全薄弱的系统，成为极具吸引力的攻击目标。在多个设备中复用软件是常见做法——意味着黑客若在门铃摄像头发现漏洞，也可能利用另一品牌门铃、智能电视、联网冰箱或家用恒温器。
对黑客而言，影响单一设备的漏洞微不足道，因难以变现；但普遍的供应链漏洞价值高得多。对供应链高管而言，重要的是思考企业中所有可能成为跳板攻击其他系统的设备。
SolarWinds漏洞事件对网络安全界内外许多人是警钟。对另一些人则是确认——印证了已知风险和我们为之奋力防范的现实。
此次攻击最重要的启示是：我们需要重新评估对供应商、软件和设备的信任。无论你身处供应链哪个环节——从企业软件用户到OEM再到软件供应商——你极可能在供应商及其产品上投入巨大信任。我们需要重新思考如何评估这些信任关系，最重要的是，理解如何在整个生命周期中验证软件、固件和硬件的安全性。
Matt Wyckhouse是Finite State创始人兼CEO。
工业技术