在本系列的最後一篇，我們將詳細探討 APT33 駭客集團並提供我們專家團隊的一些資安建議。
石油天然氣產業依舊是駭客集團的主要目標，駭客的目的是要造成營運中斷並帶來損害。上一篇 (中篇) 我們討論了各種可能衝擊石油天然氣產業的威脅，包括：勒索病毒(勒索軟體,Ransomware)、DNS 通道和零時差漏洞攻擊(zero-day attack)。接下來，在本系列的最後一篇，我們將探討 APT33 駭客集團這個被視為許多石油產業及相關供應鏈遭到魚叉式網路釣魚 (Spear Phishing )攻擊背後的元凶。最後，我們將提出一些有助於石油天然氣公司強化網路資安架構的建議。
當地緣政治的緊張局勢升高，石油天然氣公司將更容易遭遇網路攻擊。
石油天然氣產業對於那些試圖癱瘓其營運與服務的大型網路資安攻擊並不陌生。石油產業目前最令大家耳熟能詳的網路攻擊，基本上都是為了駭入石油公司的企業網路。
地緣政治的緊張局勢不僅可能對現實世界帶來重大衝擊，對網路世界其實也一樣。2022 年 3 月，我們的研究人員觀察到多起不同駭客集團所發動的攻擊。在今日，發掘可能衝擊石油天然氣產業的威脅比以往更加重要，尤其是在局勢緊張的時刻。
此外，我們的研究 也發現，石油天然氣公司都曾經因為網路攻擊而造成供應鏈中斷的情況，平均每一次中斷大約持續 6 天，財務損失金額大約 330 萬美元，而長時間的中斷也會對石油天然氣產業帶來進一步的損失。
所以，對於那些可能造成石油天然氣公司營運中斷的網路攻擊，我們有必要做一番更深入的研究，因為這類攻擊會嚴重影響企業營運和獲利。石油天然氣公司若能詳細檢視其基礎架構並發掘可能造成營運中斷的威脅，就有機會消除資安上的漏洞，同時改善其網路資安架構。
繼續閱讀本文討論開放原始碼如何遭到程式碼維護者暗中修改以表達政治上的抗議。此外，我們也分析了這類事件對 IT資安產業及開放原始碼社群的意義。
傳統上，人們對於開放原始程式碼的資安疑慮大多圍繞在開放原始碼可能暗藏漏洞、後門或惡意程式。然而近幾個月來，我們觀察到一種特別的現象，那就是開放原始程式碼遭人暗中修改來表達政治上的抗議。之所以出現這類所謂的「抗議軟體」(protestware)，是有些負責維護開放原始碼軟體的開發者因政治上的動機或為了表達抗議而對程式碼做某些修改。這樣的情況雖然不是新聞，因為之前就曾發生過，但最近的一些地緣政治事件卻讓開放原始碼社群分裂成兩派：一派支援這樣的發展，另一派則傾向於維持開放原始碼生態系的非政治化，因為抗議軟體可能會破壞開放原始碼社群整體的信任基礎。
繼續閱讀本文探討軟體供應鏈的網路攻擊情境，以及提升軟體供應鏈資安成熟度與降低資安風險的防範策略。
不論您企業的數位轉型正如火如荼進行、或者只是單純移轉至一些更具成本效益與靈活性的平台，您的數位受攻擊面都將因而擴大，並暴露於軟體供應鏈的資安威脅當中。根據 Venafi 近期一項調查指出，有 82% 的受訪者覺得其機構有可能遭到針對軟體供應鏈的網路攻擊。此外，由於網路駭客集團受到 Kaseya 和 SolarWinds 事件的鼓舞，針對軟體建構及派送環境的攻擊行動將越來越多。
企業當然也注意到這股威脅趨勢，有 85% 的受訪者表示他們「已收到執行長的明確指示要求改善軟體建構與派送環境的資安」。為了協助資安長 (CISO) 和資安領導人管理及防範供應鏈的資安風險，本文將探討軟體供應鏈為何會面臨風險，以及 CISA 提供了哪些策略性建議。
