本文探討軟體供應鏈的應用情境，以及提升軟體供應鏈資安並降低風險的防範策略。
軟體供應鏈攻擊之所以暴增 600% 的原因有幾點：首先，想要找到並攻擊軟體供應鏈的資安漏洞算是相當容易。其次，只要能入侵供應鏈中的某一個應用程式或開放原始碼軟體，就能影響整體供應鏈。
根據一份 Trend Micro Research 全球調查指出，有 52% 的企業機構其供應鏈夥伴都曾遭到勒索病毒襲擊。針對攻擊數量的暴增，美國總統拜登發布了一項行政命令來改善軟體供應鏈的資安。不僅如此，根據Venafi 的調查指出，85% 的受訪者表示他們「曾經被董事會或執行長 (CEO) 明確要求改善其軟體建構及派送環境的資安。」
為了協助資安長 (CISO) 及資安團隊管理並防範供應鏈風險，以下說明一些常見的攻擊管道，以及 CISA 有關如何改善供應鏈網路資安的策略性實務原則。
繼續閱讀雲端在企業內的大量普及，已經讓企業的受攻擊面擴大。但如果採用特化的單一面向產品來解決風險，不僅缺乏效率，而且複雜又容易造成資安缺口，也因此許多企業都開始轉而尋找一套全方位的網路資安平台。
雲端解決方案是今日企業營運的關鍵，企業正運用混合雲和多重雲端環境來讓使用者、資料、應用程式、工作負載以及裝置能夠動態串連。然而，日益仰賴雲端的結果，也使得企業的受攻擊面擴大，增加了重重的潛在漏洞，因此資安與法規遵循風險已成了企業最擔心的問題。
儘管企業常見的作法是採用針對個別威脅設計的最佳解決方案，但光要涵蓋整個受攻擊面所需要的產品數量就足以讓資安變得太過複雜、耗費人力且難以管理。有鑑於錯過關鍵漏洞而未加以攔截的風險實在太高，因此該是企業改用一套全方位平台的時候了。
全面導入雲端技術的挑戰之一，就是有太多東西需要保護。工作負載、應用程式、容器、儲存體、連線、存取點等等都面臨著各式各樣的威脅需要防範：從組態設定錯誤到惡意程式等等，而且還必須同時兼顧開發和營運環境。
在雲端安全方面，雲端供應商已針對他們負責的部分提供了嚴密精細的控管。然而在「責任共同分擔」的架構下問題卻變得有些麻煩：企業無法完全掌控自己的雲端環境，但雲端供應商也同樣無法完全掌控。雙方也許都對自己所採取的措施深具信心，但如果無法真正掌握雲端基礎架構的完整可視性，就會有銜接不良的風險，導致某些漏洞無人處理，甚至可能衍生新的漏洞。
如果每一種不同的漏洞都要分開處理，那可能 需要數十種、甚至更多種單一面向解決方案才足以應付，但光這點就讓資安營運中心 (SOC) 團隊無法管理。而且，由於每一套解決方案都只專注在自己擅長的領域，因此缺乏 (或僅有少量) 能涵蓋整體環境的交叉關聯資料可用來發掘及分析威脅並判斷其優先次序。就算有資安事件管理 (SIEM) 平台可蒐集所有的記錄檔，但還是缺乏足夠的情境資訊來進行準確的診斷與分類。
越快偵測網路攻擊，就越能降低損失。趨勢科技威脅情報副總裁 Jon Clay 檢視了駭客突破企業防線的 7 種主要管道，並提供一些主動防護祕訣來協助您降低整體受攻擊面的資安風險。
數位轉型與遠距上班已讓企業的受攻擊面急速擴大。隨著應用程式、網站、帳號、裝置、雲端基礎架構、伺服器以及營運技術 (OT) 的不斷增加，受攻擊面的管理也成了日益嚴峻的挑戰。根據趨勢科技最近一份全球調查指出，73% 的 IT 與業務領導人表示對自己的受攻擊面規模感到憂心，這一點不令人意外。
有效的受攻擊面管理 (ASRM) 應從主動防禦駭客突破企業防線的首次入侵管道著手，而非等到駭客已經進入網路內部再來被動回應。根據 IBM 指出，那些需要更長時間來發掘及管控的攻擊管道，就是帶來最嚴重後果的資料外洩型態。本文將逐一檢視 7 種最重要的駭客首次入侵管道來協助資安長 (CISO) 與資安領導人強化企業的受攻擊面管理策略並降低資安風險。
繼續閱讀
