安全威脅：供應商也是攜帶者
安全威脅——RSA遭遇第三方牽連
今年5月中旬，洛克希德馬丁(Lockheed Martin)公司通知執法和政府機關，其系統已遭到破壞。該公司隨后證實，攻擊者使用從RSA(該公司的安全技術供應商)竊取的信息，訪問了公司的信息。
RSA并不是受到牽連的唯一的第三方。攻擊者首先損害了與馬丁公司合作的一個不知名的承包商，進而攻入了馬丁的系統。然后，攻擊者使用從RSA侵害中所獲得的信息，即關于RSA的SecurID一次性口令技術，并通過受損害的承包商系統進入了馬丁公司的網絡。
其實，與馬丁公司一樣，許多公司也與承包商、合約人、云服務提供商以及其它第三方保持著密切的聯系。這就給了攻擊者入侵企業網絡和數據的新登錄點。攻擊者不僅搜索有漏洞的服務器，他們還搜尋易受攻擊的承包商和供應商。而受害人往往對這些供應商的安全管理知之甚少。
如果你認為馬丁公司的這種事件僅僅是一個例外，那就大錯特錯了。電子郵件營銷公司Epsilon披露了與其有關聯的100多家公司受到損害的情況，其中包括包括花旗銀行、摩根大通、卡夫、連鎖超市克羅格、萬豪國際集團等。這些公司都曾警告過其客戶，他們的姓名和電郵地址可能已經受到了破壞。
安全分析公司RedSeal的首席科學家邁克.洛德說，Epsilon所發生的問題是，將自己的數據放到其它公司的網絡上，或者其它網絡可以自由地訪問這些數據，這會導致嚴重的后果。因而對任何公司而言，了解自己的供應商對于搞好信息安全是非常重要的。
由供應商所導致的安全威脅是很難對付和預防的
難應付部分原因在于供應商并不容易鑒別和確認。如今的供應商并不僅僅提供原料和產品，還扮演或包括外包商和技術服務供應商等角色。有些供應商提供云服務，可以讓公司將數據存儲在公司網絡防火墻之外。
還有些供應商還提供可支付使用的技術和產品，如軟件等。有許多供應商對特定的項目提供專門技術，并可以從內部來訪問系統。
三種供應商威脅
首先，來自供應鏈中受到損害的公司，其產品所帶來的危險，例如包含后門訪問的軟件及受到損害的銷售終端。第二種是由具有安全威脅的供應商在訪問客戶網絡和數據時所帶來的風險，這種供應商可以將惡意軟件和有安全漏洞的硬件帶到公司的網絡中。
第三種風險發生在公司將其敏感數據導出到云供應商的系統之時。而且，云供應商還增加了公司數據的威脅，因為單獨一個服務供應商存儲著太多的客戶數據。貴公司是否準備好了應對這些風險的措施?
安全威脅在網絡領域覆蓋面積是很可怕的，幾乎是隨時隨地，你也不知道什么人對于你的什么信息感興趣，也許在不經意間就你的信息就成了別人的囊中之物了。
【編輯推薦】
