软件供应商对安全问题的重视程度，是否与您一样？

本文的一个版本曾发表于《安全杂志》。本文经更新后在此同步发布。

‍

对于安全专业人士来说，12月13日有着特殊的意义。这是我们彻底根除SQL注入的那一天吗？当然不是。这或许是“国际安全从业者感谢日”？也不是。这是FireEye和Mandiant发布关于一场此前未知的全球入侵行动的震撼报告的日子，该行动后来被称为SolarWinds事件。报告详细描述了一场持续且几乎令人难以置信的攻击，恶意代码被深藏在SolarWinds广受欢迎的Orion管理软件的软件更新中。

超过18,000家SolarWinds客户已经下载了受损的更新。其中许多人是自动下载的，就像他们对组织和网络内成百上千的其他软件更新所做的那样。攻击者在通过SolarWinds漏洞获得访问权限后，对攻击目标进行了高度选择。许多大型企业以及政府机构的数据被窃取，网络遭到破坏。这是有史以来规模最大、也可能是代价最昂贵的漏洞攻击之一，尤其是考虑到政府机构受损的全部程度从未公开披露过。

这一切之所以发生，是因为人们在没有进行适当验证或审查的情况下，就盲目信任了软件供应链中的供应商。

向供应链安全的大规模转变

警报拉响后，各公司、组织和政府机构迅速做出反应。SolarWinds漏洞攻击当然被阻止了，但这次攻击也暴露了一个不受监管且缺乏监控的软件供应链所带来的危险。虽然SolarWinds事件在被发现后很快得到了解决，但关于供应链如何被用作攻击媒介的深远影响仍在持续。如果说这次攻击还有什么积极意义的话，那就是它让人们关注到了网络安全中一个关键却被忽视的方面。

针对SolarWinds攻击最引人注目的回应之一是拜登总统签署的关于改善国家网络安全的行政命令。该命令是美国发布的最全面的网络安全指令之一。它要求政府机构及与政府有业务往来的企业提升网络安全水平，倡导零信任网络等先进保护措施，并强调了软件供应链安全的重要性。

虽然该行政命令专门针对政府，但其他组织也开始强调供应链安全的重要性，以防止再次发生类似SolarWinds的攻击。例如，Palo Alto最近发布了其Unit 42云威胁报告，题为“保护软件供应链以保障云安全”。报告指出，没有软件供应链安全，任何云部署都无法做到绝对安全。云原生计算基金会（CNCF）也对此表示赞同，并发布了一份白皮书，详细说明了在SolarWinds事件后必须遵循的关键软件供应链最佳实践。

过去几年对于网络安全标准而言是变革性的。虽然并非强制要求，但所有组织都应以效仿为目标，像审查内部安全计划一样，严格审查供应商的安全实践。诸如CISA新发布的战略计划等举措进一步证明，将安全视为共同责任正在成为所有软件开发者的新标准，特别是那些涉及关键基础设施或软件供应链的开发者。

组织可以采取哪些措施来改善其软件供应链？

这种情况促使许多供应商开始思考如何保护自己的供应链。一个组织该如何确保其供应商像自己一样重视网络安全呢？

该行政命令明确概述了软件开发者的影响，以及他们需要具备经过验证的安全技能和意识。在一个痴迷于工具而非关注通过关键安全技能进行以人为本防御的行业中，这往往是一个被遗忘的领域。

显而易见，如今任何全面的网络安全方法都必须包含详细的第三方风险评估，涵盖现有的技术安全控制，并评估合作伙伴如何看待其组织内部的治理、风险和合规性。

所有第三方评估都应包括关于软件供应链中的相关方如何计划发布带有已验证证书签名的安全程序更新，以及他们将如何帮助管理其所有软件和设备的身份的保证和详细计划。它还应展示其产品进行加密升级和更新的清晰路径。

既然开发者终于被视为软件供应链安全的关键组成部分，任何评估还应包括一份报告，详细说明他们如何在开发社区内鼓励安全编码和持续改进，理想情况下还应包括对其技能和当前培训的基准测试。我们知道对开发者技能提升的重视程度正在提高，但48%的开发者承认曾明知故犯地发布了存在漏洞的代码。

时间限制以及安全在他们的世界中并非首要任务（也不是衡量成功的标准）这一现实，导致了一个代码级漏洞无法得到及时解决的环境。如果我们想阻止它们感染软件供应链，每个组织都需要致力于建立一个对开发者更友好的安全计划。

后续步骤？

风险评估至关重要，因为如果您使用了存在安全问题的供应商的软件，您就会将这些问题引入自己的生态系统并承担后果。然而，组织也应意识到，供应商可能实际上比自己更安全，甚至在支持其开发者社区方面做得更好。

您可以将第三方风险评估作为评估自身安全性的辅助手段。如果供应商在某些安全方面的处理优于您的内部水平，您可以采用他们的方法来改进您自己的组织。

最后，真正改善软件供应链的下一个重大步骤是为开发者实施安全编码认证。制定良好的计划是第一步，但验证该计划是否得到实际执行并有助于产出安全代码同样是必要的。

在安全编码赋能成为开发者的标配之前，我们始终无法在威胁者伺机而动前抢先堵住漏洞。但只要方法得当，现在开始行动永远不晚。了解如何通过敏捷学习，助力您的开发者磨炼关键且高效的安全技能立即行动。