“星链”软件供应链安全治理方法.pptx

“星链”软件供应链安全治理方法

1

2

3

目录

CONTENTS

背景现状

供应链安全趋势

需求分析

供应链安全分析

解决方案

供应链安全治理方法

股票简称：奇安信股票代码：688561

供应链安全趋势

1

背景现状

股票简称：奇安信股票代码：688561

供应链安全威胁

系统生命周期的各个环节都可能存在供应链安全风险

利用供应链各个阶段的弱点进行的攻击，可称为供应链攻击。

开发生产阶段

01

集成交付阶段

02

运维运行阶段

03

代码缺陷

开源组件风险

开发工具污染

生产系统污染

设计方案泄露

实施方案泄露

配置错误

策略失误

配置信息泄露

升级劫持

跳板攻击

违规操作

开源社区风险

代码托管平台的访问控制风险、公共仓库的访问控制风险、源代码缺陷/后门、开源软件漏洞、恶意代码

企业开发风险

老旧开源软件、开发工具被污染、厂商预留后门、外包/自研开发缺少安全审查

软件运行风险

升级劫持、供应商不具备安全响应能力

软件交付风险

捆绑下载、非官方渠道下载、下载劫持

现代软件开发交付流程

整体现状：软件供应链安全事件频发

2020年12月13日，全球最著名的网络安全管理软件供应商SolarWinds遭遇国家级APT团伙高度复杂的供应链攻击并植入木马后门。该攻击直接导致包括美国关键基础设施、军队、政府在内的18000+企业客户全部受到影响：可任由攻击者完全操控

SolarWindsDLL被投毒

国际现状：供应链攻击事件后果很严重

二、深入贯彻实施国家网络安全等级保护制度

（五）加强供应链安全管理。网络运营者应加强网络关键人员的安全管理，第三级以上网络运营者应对为其提供设计、建设、运维、技术服务的机构和人员加强管理，评估服务过程中可能存在的安全风险，并采取相应的管控措施。网络运营者应加强网络运维管理，因业务需要确需通过互联网远程运维的，应进行评估论证，并采取相应的管控措施。网络运营者应采购、使用符合国家法律法规和有关标准规范要求的网络产品及服务，第三级以上网络运营者应积极应用安全可信的网络产品及服务。

三、建立并实施关键信息基础设施安全保护制度

（五）强化核心岗位人员和产品服务的安全管理。要对专门安全管理机构的负责人和关键岗位人员进行安全背景审查，加强管理。要对关键信息基础设施设计、建设、运行、维护等服务实施安全管理，采购安全可信的网络产品和服务，确保供应链安全。当采购产品和服务可能影响国家安全的，应按照国家有关规定通过安全审查。公安机关加强对关键信息基础设施安全服务机构的安全管理，为运营者开展安全保护工作提供支持。

国家层面：公安部1960号文明确供应链安全要求

行业层面：供应链相关的金融科技应用风险专项摸排工作

举例：热门桌面软件265,829款，可拆解出15种元素共3,655,919项，构建依赖关系25,257,890条。

“软件:元素:依赖关系”==“1:13.753:95.016”

现代软件的功能代码大量复用，网络协议等基础组件互相依赖；

软件

模块A

模块B

模块C

动态链接库

功能代码块

网络协议

域名地址

DNS/IP

Email

漏洞载体多种多样；

每个环节都有隐患；

软件空间关系复杂！

软件

软件

软件层面（一）：软件依赖关系错综复杂

肆虐多年的“dll劫持”依然难以解决

对象类型

被劫持

百分比

winxp系统程序

370/418

88.5%

win7系统程序

371/416

89.1%

热门应用软件

3835/4695

81.68%

2019“海莲花”APT组织，两层DLL劫持实现攻击

某API被调用时，会导致某系统dll的加载，该dll可被劫持；

抽样6000款热门软件进行测试，影响达到30%以上；

Android“组件劫持”风险依然存在

[1]YacongGu,etal.DirectResourceHijackinginAndroid,IEEEInternetComputing,vol.20,no.5,pp.46-56,Sept.-Oct.2016

[2]ElsabaghM,etal.FIRMSCOPE.USENIXSecurity.2020.

[1]DylibhijackingonOSX.CanSecWest2015

[2]macOS:GainingrootwithHarmlessAppStoreApps.

SecurityFest2019

对部分系统程序和第三方应用进行劫持测试

MacOS“Dylib劫持”问题

500个热门软件中有8款存在被劫持的风险

还有更多更加隐秘的“dll劫持”方式

软件层面（二）：元素依赖安全问