安全威脅：供應(yīng)商也是攜帶者
安全威脅——RSA遭遇第三方牽連
今年5月中旬，洛克希德馬丁(Lockheed Martin)公司通知執(zhí)法和政府機(jī)關(guān)，其系統(tǒng)已遭到破壞。該公司隨后證實，攻擊者使用從RSA(該公司的安全技術(shù)供應(yīng)商)竊取的信息，訪問了公司的信息。
RSA并不是受到牽連的唯一的第三方。攻擊者首先損害了與馬丁公司合作的一個不知名的承包商，進(jìn)而攻入了馬丁的系統(tǒng)。然后，攻擊者使用從RSA侵害中所獲得的信息，即關(guān)于RSA的SecurID一次性口令技術(shù)，并通過受損害的承包商系統(tǒng)進(jìn)入了馬丁公司的網(wǎng)絡(luò)。
其實，與馬丁公司一樣，許多公司也與承包商、合約人、云服務(wù)提供商以及其它第三方保持著密切的聯(lián)系。這就給了攻擊者入侵企業(yè)網(wǎng)絡(luò)和數(shù)據(jù)的新登錄點。攻擊者不僅搜索有漏洞的服務(wù)器，他們還搜尋易受攻擊的承包商和供應(yīng)商。而受害人往往對這些供應(yīng)商的安全管理知之甚少。
如果你認(rèn)為馬丁公司的這種事件僅僅是一個例外，那就大錯特錯了。電子郵件營銷公司Epsilon披露了與其有關(guān)聯(lián)的100多家公司受到損害的情況，其中包括包括花旗銀行、摩根大通、卡夫、連鎖超市克羅格、萬豪國際集團(tuán)等。這些公司都曾警告過其客戶，他們的姓名和電郵地址可能已經(jīng)受到了破壞。
安全分析公司RedSeal的首席科學(xué)家邁克.洛德說，Epsilon所發(fā)生的問題是，將自己的數(shù)據(jù)放到其它公司的網(wǎng)絡(luò)上，或者其它網(wǎng)絡(luò)可以自由地訪問這些數(shù)據(jù)，這會導(dǎo)致嚴(yán)重的后果。因而對任何公司而言，了解自己的供應(yīng)商對于搞好信息安全是非常重要的。
由供應(yīng)商所導(dǎo)致的安全威脅是很難對付和預(yù)防的
難應(yīng)付部分原因在于供應(yīng)商并不容易鑒別和確認(rèn)。如今的供應(yīng)商并不僅僅提供原料和產(chǎn)品，還扮演或包括外包商和技術(shù)服務(wù)供應(yīng)商等角色。有些供應(yīng)商提供云服務(wù)，可以讓公司將數(shù)據(jù)存儲在公司網(wǎng)絡(luò)防火墻之外。
還有些供應(yīng)商還提供可支付使用的技術(shù)和產(chǎn)品，如軟件等。有許多供應(yīng)商對特定的項目提供專門技術(shù)，并可以從內(nèi)部來訪問系統(tǒng)。
三種供應(yīng)商威脅
首先，來自供應(yīng)鏈中受到損害的公司，其產(chǎn)品所帶來的危險，例如包含后門訪問的軟件及受到損害的銷售終端。第二種是由具有安全威脅的供應(yīng)商在訪問客戶網(wǎng)絡(luò)和數(shù)據(jù)時所帶來的風(fēng)險，這種供應(yīng)商可以將惡意軟件和有安全漏洞的硬件帶到公司的網(wǎng)絡(luò)中。
第三種風(fēng)險發(fā)生在公司將其敏感數(shù)據(jù)導(dǎo)出到云供應(yīng)商的系統(tǒng)之時。而且，云供應(yīng)商還增加了公司數(shù)據(jù)的威脅，因為單獨一個服務(wù)供應(yīng)商存儲著太多的客戶數(shù)據(jù)。貴公司是否準(zhǔn)備好了應(yīng)對這些風(fēng)險的措施?
安全威脅在網(wǎng)絡(luò)領(lǐng)域覆蓋面積是很可怕的，幾乎是隨時隨地，你也不知道什么人對于你的什么信息感興趣，也許在不經(jīng)意間就你的信息就成了別人的囊中之物了。
【編輯推薦】
