盛邦安全出席“华为中国生态大会2021”并发表主题演讲，分享供应链安全技术解决方案 – 作者:WebRAY

5月17日，以“因聚而生 有能有为”为主题的“华为中国生态大会2021”在深圳会展中心召开，盛邦安全CEO权小文应邀出席智能制造议题的半导体电子闭门会议，并发表题为《半导体行业的供应链网络安全应用探讨》的主题演讲，与参会嘉宾分享供应链安全的相关技术观点与解决方案。

盛邦安全CEO权小文发表主题演讲

近年来，供应链安全问题频繁爆发，尤其是针对生产制造商的勒索病毒攻击和APT攻击影响更为突出，直接造成大量的经济损失，甚至危害到国家安全，而智能制造、智慧工厂等新兴模式的建设也进一步增加了供应链安全的复杂度。从目的导向来看，针对供应链的攻击可以分为两种类：一种是直接攻击上游厂商，窃取机密情报信息，或者单纯为了牟利，例如勒索软件、挖矿病毒等；另一种则是通过攻击供应商来获取新型的网络武器，例如0day漏洞、原始口令和特权账号等，进而再去攻击能源、电信、金融等关键基础设施单位。概括而言，供应链攻击具备突破口多、破坏力强和波及面广等特点，一次成功的攻击通常会威胁到多条产业链的网络安全。

完整的供应链覆盖了从开发设计到交付实施再到用户侧使用的所有环节，包含了整个过程中涉及的人员、系统和各项制度规范等众多内容，牵扯到最终用户和各级供应商，其中每个环节的信息泄露都有可能成为网络攻击的突破口，而资产不清、非法接入、地址滥用、弱口令或无鉴权等各种问题则是造成这些风险的主要原因。常见的供应链攻击手法有如下几类：

1、供应链漏洞。利用0day、Nday或其他漏洞突破边界，直接进行攻击；

2、供应链后门。利用预留调试用后门、内置口令等进行入侵；

3、供应链污染。通过植入木马等方式，进行无差别攻击；

4、供应链社工。人始终是最大的漏洞，介入人员角色越多，攻击面越大。

针对供应链攻击的特点，盛邦安全近期推出了由攻到防、以攻促防的供应链安全解决方案，转换传统防守思路，从攻击者视角进行风险发现，再对各个环节进行加固防护。通过敏感信息监控、暴露面梳理和资产入网管控等手段帮助用户单位消除供应链安全风险隐患，提升安全防护强度。

监控敏感信息，消除泄露风险

针对互联网当中可能泄露的敏感信息，例如招投标信息、源代码信息、网络结构信息和个人联系信息等，可以通过互联网敏感信息监测系统进行有效的发现与处置。一方面，利用自动化的平台监测能力来实现分钟级的发现效率，为应急处置争取足够的响应窗口；另一方面，根据发现的数据结果来进行快速处置与清理，确保威胁隐患得到消除。

梳理暴露资产，厘清安全边界

对于网络当中运行的资产，可以采用网络空间资产探测系统进行精准梳理和安全检查。通过对互联网暴露面进行排查，发现非法开放的端口服务和信息系统；同时，针对内网进行全面探测，获取设备类型、系统组件、应用版本和网络环境等基本属性，形成清晰的资产台账，并依靠丰富的漏洞库及监测技术来对设备风险进行排查。

严控资产入网，提升防护强度

利用网络资产安全治理平台与防火墙、入侵防御系统的联动来实现针对资产的管控。对于新接入的资产，通过资产梳理进行画像分析，确定入网条件并调用网关设备进行访问控制；对于存在问题的资产，通过资产监测进行安全分析，确认问题风险并调用防护设备进行快速处置。该解决方案可以帮助用户将网络内分散而繁多的资产梳理清晰，强化管理控制，同时降低边缘设备被入侵的风险，并利用协同联动实现新增资产、未知资产和问题资产的快速处置；通过“查”——全网资产普查和精准画像、“理”——梳理清晰的资产台账和统一资产管理、“控”——资产合规准入，管控非法接入及设备篡改，这样三个规范动作，可以有效防范供应链安全问题，提升用户的整体安全能力。此外，活动期间，盛邦安全在品质服务展厅生态馆ICT基础服务展区展出了与华为安全联合发布的服务解决方案，也受到许多参会者的关注。

来源：freebuf.com 2021-05-19 17:01:57 by: WebRAY