傳統(tǒng)的供應鏈安全解決方案缺乏復雜性和范圍來解決鏈中每一層和每個環(huán)節(jié)的此類威脅，從而在保護供應鏈免受日益增加的網(wǎng)絡威脅方面留下了巨大的漏洞。

供應鏈的領導者和提供商需要了解他們當前的安全漏洞所在，以及他們需要在哪里投資以避免網(wǎng)絡攻擊，以及潛在的永久性安全和聲譽風險。

鏈條中的薄弱環(huán)節(jié)

供應鏈是一個自然的利用目標，因為它包含許多不同的活動、人員、實體、信息和資源。鏈條中的環(huán)節(jié)越多，攻擊的機會就越多，特別是如果這些環(huán)節(jié)仍然容易受到攻擊。

僅去年一年，我們就目睹了上述SolarWinds軟件開發(fā)攻擊，多次APT41（雙龍）攻擊，以竊取憑據(jù)并將惡意軟件插入制造產(chǎn)品，甚至對富士康墨西哥工廠的勒索軟件攻擊。這涉及被盜的未加密文件、受損的加密服務器和已刪除的備份數(shù)據(jù)。

安全性不當?shù)墓準且粋€非常脆弱的弱點，其中軟件和其他數(shù)字信息（如設備身份）可能會被破壞、替換或復制，以實施欺詐、損害用戶隱私，或者在某些情況下甚至損害國家安全。

保護證書、憑據(jù)和代碼

安全問題的一個非常脆弱的領域是個人消費電子產(chǎn)品。其中許多產(chǎn)品（包括手機、平板電腦、電纜調(diào)制解調(diào)器、路由器、物聯(lián)網(wǎng)設備和數(shù)字娛樂設備）都帶有預安裝的數(shù)字證書，用于保護私人用戶信息。所有這些都是數(shù)字交易中的內(nèi)容和服務提供商信息之外的。但是，即使在部署產(chǎn)品之后，這些證書中的任何一個的單一妥協(xié)也可能構(gòu)成整個供應鏈的妥協(xié)。

這些設備的生產(chǎn)過程特別容易受到大規(guī)模利用數(shù)字證書的影響，并且隨著許多供應鏈的徹底全球化，制造商可以從多個方向預測這些攻擊。傳統(tǒng)的工廠環(huán)境往往不受自然界的嚴格控制，可能無法充分保護加密材料。

此外，制造過程中的簡單安全程序可能容易受到攻擊。一個常見的例子是復制和備份數(shù)據(jù)和代碼。無論是有意還是無意，這都可能導致唯一數(shù)字身份的重復 - 這是一種非常嚴重的安全違規(guī)行為。

憑據(jù)傳送系統(tǒng)必須確保安全憑據(jù)不易受到網(wǎng)絡攻擊，并且不會安裝到多個設備或應用程序中。管理設備證書和憑據(jù)是供應鏈安全的關鍵要素。

確定安全配置的優(yōu)先級

為了安全地管理數(shù)字證書和憑證，供應鏈配置架構(gòu)必須全面，涉及多層加密和完整性檢查，以確保整個供應鏈保持安全 - 即使特定的網(wǎng)絡節(jié)點或加密層受到威脅。

安全團隊必須納入一個框架，其中包括廣泛使用硬件安全模塊、加密令牌、多層加密和端到端反克隆措施，這些措施可以擴展到整個全球基礎設施。

尋找正確的解決方案

康普已經(jīng)建立了一個托管解決方案。考慮到這些元素，安全憑證配置的系統(tǒng)體系結(jié)構(gòu)優(yōu)先考慮合并密鑰生成、PKI 服務器（具有硬件安全性的密鑰服務器），并將軟件開發(fā)工具包 （SDK） 直接集成到制造設備的軟件和固件中。

在這樣的架構(gòu)中，需要注意的關鍵要素是應用多層安全作為縱深防御策略的一部分，確保在任何一個層發(fā)生故障時實現(xiàn)故障保護。在設置自己的系統(tǒng)或與供應商合作時，請確保解決方案包含這種多層策略，無論是反克隆措施還是在短時間內(nèi)（或理想情況下，兩者兼而有之）擴展到數(shù)百萬個新數(shù)字身份的靈活性。

有了正確的意識，以及正確的技術、托管服務和經(jīng)驗豐富的安全專家團隊，服務提供商可以確保其固有的脆弱供應鏈不會成為網(wǎng)絡犯罪的受害者。

審核編輯：郭婷