保障软件供应链安全的三大实证步骤

计算机代码是每项技术的基础，从智能手机到机器人及连接它们的网络。在当今数字世界，这也使代码成为许多——如果不是大多数——业务和服务的基础部分。

黑客识破此点并加以利用。近期高调案例是针对FireEye的攻击，利用多个特洛伊木马化的SolarWinds软件更新。通过瞄准软件供应商，黑客能在公司植入后门，进而触达其预期目标：接受这些公司服务的政府机构。

这种攻击手法也利用了信任。企业、政府和其他客户假设：若软件或固件更新来自供应商，安装就是安全的。一些人会信任但验证；他们检查供应商网站上的更新哈希值并与下载文件比对。若匹配，假定无漏洞。

这种信任为能在开发过程中操纵源代码的恶意行为者创造机会。结果，用户无意中下载漏洞利用代码，往往潜伏数周或数月在组织内扩散，最终攻击合作伙伴、供应商或客户名单。组织如何保护自己？

拒绝坏人入内

供应链风险管理（SCRM）计划对缓解采用和集成第三方产品服务固有的威胁和漏洞至关重要。它涵盖人、流程、技术，跨越安全部、IT、人力资源（HR）、采购和法务等多部门。将公司SCRM计划扩展至软件开发生命周期（SDLC）尤为重要。在此过程中，SCRM计划创建安全文化，人人参与、目标一致。

在SDLC中，SCRM计划聚焦需接触代码及工具集等相关资源的人员。理所当然，这些员工招聘时应彻底审查，包括背景调查以识别潜在犯罪活动和/或国家关联。

利用外包公司的企业需确保外包商理解其独特特定要求。例如，企业应知晓外包商身份及是否在有国家资助网络犯罪历史的国家设有分支。处理专有机密信息时，企业不想外包商远程办公室输送简历和候选人，而这些人潜在是内部威胁植入者。国家级攻击者越来越专注于将自己人安插进目标组织。他们有财力培训人员，展示垂涎的编码技能和其他抢手资质，使简历跃居堆顶。这是人力资源团队和招聘经理需警惕的。

即使最仔细筛选招聘流程，一些坏人仍可能漏网。这就是为什么通过明确的内部威胁计划监控员工活动以识别异常可疑行为（如未授权权限升级、访问系统/程序/应用）很重要。

SCRM计划还应识别需接触代码和工具集等相关资源的人员，并实施保障措施将这些隔离给其他人。代码获许可后，应成授权开发者唯一来源，即他们不能从外部引入额外代码。本质上，代码一经评估受控，企业不想开发者去获取尚未评估安全风险的新来源代码。此最佳实践缓解未授权代码中埋藏的后门被授权开发者无意使用、或未授权用户隐藏的未文档化门户等漏洞。

严格审查与控制

严控技术提供另一保护层。例如，即使员工内部调岗，考虑提供为其新角色部门专门创建镜像的新笔记本。同时禁用不再需要的先前获取访问权。这有助确保数据和访问保持特权。

IT部门发给开发人员前也应重新制作全新电脑镜像。使用厂商提供的原装镜像若操作系统和预装垃圾软件有妥协代码，可能创建后门。相反，为这些设备创建定制强化镜像。

所有新型硬软件应初期沙箱隔离一段时间。这给IT部门时间审查其行为，如向互联网发起未请求调用拉取数据。也创建基线，帮助数月或数年后检测行为突变，可能指示已被妥协。

创建安全文化

考量颇多，凸显SCRM必须是跨组织协作。例如，法务部应确保供应商和合作伙伴合同含审计条款以确保所有要求被遵循。同时，HR可帮助制定和执行候选人筛选规则。

高管层买入和领导力是实现这种团队协作、确保资源可用实施SCRM计划的关键。这产生跨越全组织的安全文化，将安全从事后考量转变为开发流程的基础部分。

Michael Iwanoff是iconectiv首席信息安全官。