Unit 42團隊分析了來(lái)自世界各地各種公開(kāi)數據源的數據，得出企業(yè)在當今軟件供應鏈中面臨日益嚴峻威脅的結論。調查結果顯示，許多企業(yè)可能對云安全有錯誤的認知，實(shí)際上對面臨的威脅毫無(wú)準備。
除了分析數據外，Unit 42的研究人員還受一家大型SaaS供應商（派拓網(wǎng)絡(luò )的客戶(hù)之一）委托，對其軟件開(kāi)發(fā)環(huán)境進(jìn)行紅隊演練。僅僅三天時(shí)間， Unit 42研究人員就發(fā)現了軟件開(kāi)發(fā)過(guò)程中的重大漏洞，足以讓客戶(hù)輕易受到類(lèi)似SolarWinds和Kaseya的攻擊。
主要發(fā)現
不安全的供應鏈危害云基礎設施
進(jìn)行紅隊演練的大型SaaS供應商擁有許多人誤以為成熟的云安全態(tài)勢。然而，在演練期間，Unit 42研究人員能夠利用企業(yè)軟件開(kāi)發(fā)環(huán)境中的錯誤配置，例如硬編碼IAM密鑰對，控制整個(gè)開(kāi)發(fā)流程，從而成功發(fā)動(dòng)供應鏈攻擊。
此外，Unit 42研究人員對客戶(hù)開(kāi)發(fā)環(huán)境進(jìn)行的安全掃描中，發(fā)現有21%的錯誤配置或漏洞，這凸顯出流程差距和重大安全漏洞使企業(yè)暴露于風(fēng)險中，并容易受到業(yè)務(wù)中斷攻擊。
第三方代碼不可輕信
- Unit 42研究人員發(fā)現，63%用于構建云基礎設施的第三方代碼模板包含不安全的配置，96%部署在云基礎設施中的第三方容器型應用包含已知漏洞。此等風(fēng)險讓攻擊者可以輕松訪(fǎng)問(wèn)云端敏感數據，甚至控制企業(yè)的軟件開(kāi)發(fā)環(huán)境。
- Unit 42團隊的調查結果明確顯示，未經(jīng)審核的代碼會(huì )迅速演變成安全漏洞，尤其是基礎設施漏洞會(huì )直接影響成千上萬(wàn)的云端工作負載。因此，企業(yè)必須了解其代碼來(lái)源，因為第三方代碼可以來(lái)自任何人，包括高級持續性威脅（APT） 。
圖1. 為了舉例證明錯誤配置普遍存在，Unit 42研究人員按錯誤配置的數量（左）和錯誤配置的類(lèi)型及其百分比（右）分析了公開(kāi)Terraform模塊
來(lái)源：Unit 42《2021年下半年云威脅報告》
結論：企業(yè)需要將安全方案加入到軟件開(kāi)發(fā)的早期階段，即實(shí)現安全左移
團隊持續忽視 DevOps的安全性，部分原因在于缺乏對供應鏈威脅的關(guān)注。云原生應用附有一連串的依賴(lài)關(guān)系，DevOps和安全團隊需要了解每個(gè)云端工作負載的物料清單（BOM），以便評估依賴(lài)關(guān)系鏈每個(gè)階段的風(fēng)險并建立足夠的防護。
如欲詳細了解常見(jiàn)供應鏈問(wèn)題如何破壞云安全，請瀏覽Unit 42《2021年下半年云威脅報告》 https://start.paloaltonetworks.com/unit-42-cloud-threat-report-2h-2021.html。
關(guān)于Palo Alto Networks（派拓網(wǎng)絡(luò )）
作為全球網(wǎng)絡(luò )安全領(lǐng)導企業(yè)，Palo Alto Networks（派拓網(wǎng)絡(luò )）正借助其先進(jìn)技術(shù)重塑著(zhù)以云為中心的未來(lái)社會(huì )，改變著(zhù)人類(lèi)和組織運作的方式。我們的使命是成為首選網(wǎng)絡(luò )安全伙伴，保護人們的數字生活方式。借助我們在人工智能、分析、自動(dòng)化與編排方面的持續性創(chuàng )新和突破，助力廣大客戶(hù)應對全球最為嚴重的安全挑戰。通過(guò)交付集成化平臺和推動(dòng)合作伙伴生態(tài)系統的不斷成長(cháng)，我們始終站在安全前沿，在云、網(wǎng)絡(luò )以及移動(dòng)設備方面為數以萬(wàn)計的組織保駕護航。我們的愿景是構建一個(gè)日益安全的世界。
