建站
咨詢
售后
建站咨詢
新聞中心
攻擊者首選薄弱環(huán)節(jié)下手，而Web供應鏈渾身都是薄弱環(huán)節(jié)。
創(chuàng)新互聯(lián)是專業(yè)的木壘哈薩克網(wǎng)站建設公司，木壘哈薩克接單;提供成都網(wǎng)站制作、成都網(wǎng)站設計,網(wǎng)頁設計,網(wǎng)站設計,建網(wǎng)站,PHP網(wǎng)站建設等專業(yè)做網(wǎng)站服務;采用PHP框架,可快速的進行木壘哈薩克網(wǎng)站開發(fā)網(wǎng)頁制作和功能擴展;專業(yè)做搜索引擎喜愛的網(wǎng)站,專業(yè)的做網(wǎng)站團隊,希望更多企業(yè)前來合作!
SolarWinds后門感染成千上萬公司企業(yè)和至少250家聯(lián)邦機構，越南政府認證機構遭遇新型復雜攻擊，年復一年層出不窮的網(wǎng)絡安全事件讓公司和高管認清了自身系統(tǒng)面對供應鏈攻擊的脆弱不堪。
正如行業(yè)專家指出的，SolarWinds事件清晰呈現(xiàn)了某些網(wǎng)絡攻擊是幾乎無法檢測的。此外，SolarWinds事件也暴露出政府和私營產(chǎn)業(yè)網(wǎng)絡總體上的脆弱性，促使國家安全委員會成立了網(wǎng)絡統(tǒng)一協(xié)調(diào)特別工作組，旨在協(xié)調(diào)調(diào)查和緩解這一事件。
與大多數(shù)供應鏈攻擊類似，SolarWinds事件中，惡意代碼是在合法軟件更新過程中插入的(插入到SolarWinds的Orion平臺)，并且隱藏在經(jīng)數(shù)字簽名的代碼組件當中。
談到供應鏈攻擊，就不得不提造成災難的兩大關鍵因素：盲目信任和冗長復雜的鏈條。然而，這兩個因素近乎存在于當前上線的每一個Web應用和網(wǎng)站里。
Web供應鏈就是大堆第三方代碼與成千上萬衍生物的大雜燴。時至今日，Web應用普遍包含上千個模塊(也稱為代碼依賴)。每個模塊又有其自身的依賴，因而每個Web應用可能迅速積累起成千上萬的第三方代碼。別忘了，這每個代碼還代表著攻擊界面的擴大，尤其是考慮到第三方往往沒有多少資源投入安全維護的情況下。我們已經(jīng)多次見證了什么叫僅僅一名惡意用戶就能發(fā)起一場嚴重的Web供應鏈攻擊。
2019年的一份研究報告探討了依賴Web上第三方代碼的潛在副作用。作者指出的一個關鍵問題就是Web上缺乏權限隔離，所有第三方代碼都擁有作為內(nèi)部開發(fā)代碼的相同權限。一段被黑第三方代碼就能悄悄將惡意代碼貫通整個供應鏈，直至進入合法軟件更新，就像SolarWinds事件中發(fā)生的那樣。但事涉Web供應鏈，情況變得更加糟糕。這組研究人員發(fā)現(xiàn)，僅僅20個維護者賬戶就能觸及整個Web生態(tài)系統(tǒng)的半壁江山，也就是說，這些賬戶中但凡有一個被黑，就能引發(fā)一次全球性Web供應鏈攻擊，影響數(shù)百萬家公司。
名為Magecart或Web刮取的另一種Web供應鏈攻擊方法也甚囂塵上。這種方法會在第三方腳本中注入惡意代碼，比如聊天窗口小部件，在用戶訪問特定網(wǎng)頁時加載受感染的代碼。在Magecart Web刮取攻擊中，惡意代碼會收集支付表單提交的所有信用卡數(shù)據(jù)，并秘密發(fā)到攻擊者的服務器上。
這些方法會導致黑客國家隊大肆發(fā)動Web攻擊嗎?研究人員明確指出了多起事件中Web供應鏈攻擊和黑客國家隊之間的明顯關聯(lián)。我們知道，攻擊者總是首選薄弱環(huán)節(jié)下手，而Web供應鏈渾身都是薄弱環(huán)節(jié)，簡直就是明晃晃的靶子。
正如SolarWinds事件顯示的，公司企業(yè)承擔不起供應鏈攻擊的嚴重風險。解決Web供應鏈攻擊需要立即采取行動，了解這一安全弱點，積極尋找減小攻擊界面的方法。
事實上，企業(yè)和機構必須盡可能降低對第三方代碼的依賴，增強自身代碼審查，并采用各種機制檢測運行時惡意客戶側行為。惡意客戶側行為檢測策略逐漸獲得關注，因為這種策略能夠幫助公司企業(yè)不依賴特征碼就能實時檢測惡意行為。因此，運行時監(jiān)控能夠大幅減少檢測和封鎖攻擊源所需的時間。
Web供應鏈攻擊的復雜度持續(xù)上升，頻頻利用客戶側代碼混亂不堪的現(xiàn)狀。公司企業(yè)打贏這場Web供應鏈阻擊戰(zhàn)最強有力的武器就是堅定改善應用安全。
網(wǎng)頁標題：Web供應鏈是黑客國家隊的下一個攻擊目標嗎？
網(wǎng)站路徑：http://www.5511xx.com/article/dhphdsi.html
