調查:2021年軟件供應鏈攻擊影響62%機構

人氣 260

【大紀元2022年02月15日訊】(英文大紀元記者Nicholas Dolinger報導/陳霆編譯)一項新調查顯示,在2021年五分之三的公司成為了軟件供應鏈攻擊的受害者,這標誌著這類攻擊正急劇上升。

這項由軟件公司Anchore發布的調查報告表示,62%組織在過去一年裡受到了供應鏈攻擊的影響。

軟件公司Appgate的首席營銷官朱莉‧普雷斯(Julie Preiss)在給《大紀元時報》的一份聲明中解釋:「用最簡單的話來說,當網絡犯罪分子操縱一個組織的軟件代碼,向下游的應用程序和用戶發送惡意的『有效載荷』(payload,即數據包中的資料)時,就會發生軟件供應鏈攻擊。」

「他們的目標通常是與大公司有業務往來的小型、不太安全的公司,因此被稱為供應鏈攻擊。」

普雷斯表示,這些攻擊不斷增加的原因,可歸因於幾個基本事實。

她表示:「當今,網上業務正前所未有地發展,創造了龐大而誘人的攻擊面;許多組織的網絡安全不足,導致他們的軟件存在漏洞和錯誤配置,容易被利用;而且,一次成功的網攻,可帶來超過原先目標的巨大潛力,產生的回報非常吸引人。」

Anchore在調查中,收集了去年12月3日至12月30日的數據。期間恰逢12月9日發現了Apache Log4程序中的一個漏洞。在發現此漏洞後,供應鏈攻擊的報告激增了10%。

這項調查反映了一項更廣泛的趨勢,即供應鏈攻擊的普遍性正快速上升。網絡安全公司Sonatype最近的一項分析記錄了2021年12,000起攻擊事件,顯示供應鏈攻擊出現了650%的增長。

「供應鏈攻擊正變得越來越普遍,越來越難以防禦」,新澤西州網絡安全公司Xact IT Solutions的首席執行官布萊恩‧霍農(Bryan Hornung)在給《大紀元時報》的一份聲明中說,「我們在過去12個月的多起攻擊中看到了這一點,它正成為黑客賺錢或竊取機密的一種非常有利可圖的方式。」

霍農是零信任安全框架(zero trust security framework)的支持者,該框架要求組織內外的所有個人,在訪問應用程序和數據時都必須經過身分確認和驗證。這項策略的倡導者認為,如此一來可有效根除許多漏洞,這些漏洞在過去一年中變得越來越明顯。

Anchore的分析強調,對抗供應鏈攻擊的另一種方法是:優先考慮清楚標示「軟件物料清單」(SBOM)的軟件,這是指公開標明軟件內程式碼組成與來源,以利找出潛在安全風險。

根據美國商務部國家通信和信息管理局(NTIA)的公告,合格的SBOM在資料欄位裡,必須涵蓋軟件內所有成分的供應商、名稱、辨識碼、版本、彼此間依賴關係、作者等內容。

Anchore報告說:「儘管SBOM在提供軟件供應鏈的透明度上具有基礎性作用,但只有不到三分之一的組織,遵循著SBOM的最佳實踐(best practice)。」

「事實上,只有18%的受訪者表示,他們所有使用的應用程序,都擁有完整的SBOM。」

雖然在2021年,供應鏈軟件攻擊的程度是前所未有的劇烈,但網絡安全業正快速發展,以應對Anchore、Sonatype報告提到的威脅。

該行業正提供多種方法來應對這一問題,而今年可能會成為這些新戰略的實驗場,因為不同的公司正相互競爭,確保數字經濟蓬勃發展之際個人和整體網絡的安全。

責任編輯:葉紫微#

相關新聞
不受通脹或經濟影響 超級富豪買奢侈品仍強勁
【名家專欄】全球經濟與中共脫鉤正加速
警惕中共威脅成為西方政客和選民關注議題
埃及教堂大火41死45傷 死者大部分是兒童
最熱視頻
【新聞看點】斷供EDA軟件 美國再出絕招
【時事軍事】薩基被炸 烏特種部隊身影再現
【十字路口】習終於敢出國?軍演自毀中共經脈
【時事人物】櫻花之國的護花使者——安倍晉三
如果您有新聞線索或資料給大紀元,請進入安全投稿爆料平台
評論