SolarWinds供应链攻击事件并不是孤例。事实上,软件供应链中的弱点在最近发生的Log4j漏洞事件中非常明显。Log4j是一个广泛使用的开源Java日志框架,该漏洞使数以万计的应用程序(从数据存储服务到在线视频游戏)面临风险。
由于在生产中运行了大量轻量级维护代码,因此软件供应链对于Log4j等安全漏洞利用的时机已经成熟。这是开源中的一个热门话题,因为很多人使用轻量级维护的软件库,将它们投入生产,然后再也不打补丁。
这就是为什么说2022年将成为软件供应链安全元年的原因。
以下是行业专家的预测,企业将在2022年努力加强软件供应链安全,并应该进行的三种实践。
(1) 深入探索容器镜像distroless
在2022年,企业应该考虑标准化,并精心修改他们的容器镜像,其中包括发行版。事实上,有些人甚至会说企业应该“不受干扰”。
在distroless模型中,应用程序仍然打包在容器镜像中,但只保留了操作系统的最小痕迹。这个想法是通过尽可能多地剥离操作系统(例如删除包管理器、库和外壳)而减小网络攻击面。
但是,重要的是要了解,就像无服务器计算中采用了服务器一样,无发行版中有发行版(发行版较少)。这可能就是distroless模型的真正价值,即提供一个框架来仔细挑选需要的和不需要的资源,而不是不加选择地专注于减小单个容器映像的大小。
(2) 检查容器镜像和注册表
软件从未像现在这样复杂,如果企业不了解正在部署的所有内容,就会遇到问题。随着容器使用的增加,企业需要考虑他们如何使用和部署容器镜像。换句话说,需要从受信任的地方下载受信任的东西。
企业可以抓住机会,以更快的速度生产产品。或者非常小心谨慎,保证不会成为下一个SolarWinds网络攻击事件的受害者。
事实上,一些企业在从容器注册表中提取软件时有一个受到控制的安全环境。企业可以让开发人员从他们想要的任何地方撤出。
这有点像让每个承包商管理自己的供应链合同,但如果事先考虑到恶意攻击,那就太可怕了。当涉及到容器供应链时,很容易进入被黑客入侵的镜像。因此,企业需要从受信任的供应商处获取容器映像,或确保了解(并且可以从头开始重建)供应链中的每个容器映像。
(3) 评估SLSA
预测企业将开始探索并实施软件的供应链级别(SLSA),SLSA 是一个保护软件供应链完整性的框架。
SLSA基于谷歌公司的Borg内部二进制授权(BAB)平台,这是一种内部部署的强制检查,旨在确保生产软件和配置得到适当的审查和授权。谷歌公司指出,采用BAB有助于降低内部风险、防止网络攻击,并支持生产系统的一致性。
谷歌公司声称,SLSA的目标是通过防范网络威胁来改善行业安全状况,尤其是在开源环境中。SLSA还让消费者安心地了解他们使用的软件的安全状况。
加州大学伯克利分校国际计算机科学研究所的安全研究员Nick Weaver说:“供应链攻击很可怕,因为它们真的很难处理,而它们明确表示企业可以信任整个生态系统,信任所有代码在其机器的供应商,信任每个供应商的供应商。”
谷歌公司发布了一个SLSA概念证明,允许用户在构建组件的同时创建和上传出处,从而达到SLSA级别1。在此建议任何软件开发商都要查看这个概念证明。
永远不要打破软件供应链
企业在过去几年中经历了很多事件,软件供应链攻击激增也加大了挑战,因为企业应对新冠疫情,从而忽略了供应链安全。当企业计划如何度过疫情时,保护软件供应链应该是首要任务。
如果不能保证软件供应链的安全,企业和他们的客户一直处在小心翼翼的状态。当然,保障供应链安全的理念是,其安全取决于最薄弱的环节,这意味着没有任何一家企业可以靠自己来保护软件供应链。
在2022年,考虑可以添加到现有最佳实践中的策略和技术非常重要。这种连续分层将帮助企业在对抗软件供应链攻击时保持最新状态。
人们一直在提防着下一个“黑天鹅”事件——看不见的威胁。对于这种情况,实际上只有一个全面防御措施:密切关注供应链!