2024年7月19日，全球大量Windows 10電腦崩潰，電腦顯示藍(lán)屏死機(jī)并且無(wú)法重新啟動(dòng)，引發(fā)全球關(guān)注。“微軟藍(lán)屏”事件是一次典型的因軟件故障導(dǎo)致其供應(yīng)鏈上的用戶(hù)大規(guī)模遭殃的嚴(yán)重安全事故。此次微軟藍(lán)屏波及不少?lài)?guó)家地區(qū)，影響全球近千萬(wàn)臺(tái)使用Windows的設(shè)備，導(dǎo)致航空公司、銀行、電信公司和媒體、健康醫(yī)療等各個(gè)行業(yè)陷入混亂：多個(gè)國(guó)家的交通系統(tǒng)和銀行服務(wù)中斷，美國(guó)多家主要航空公司的航班被迫停飛，造成超過(guò)2000架次航班取消和5300架次航班延誤。此外，全球其他地區(qū)如印度、德國(guó)和澳大利亞的機(jī)場(chǎng)也報(bào)告了類(lèi)似故障。美國(guó)加利福尼亞州凱撒醫(yī)療集團(tuán)的醫(yī)療設(shè)備癱瘓，金融交易受阻，倫敦證券交易所的LSEG集團(tuán)和歐洲能源交易所均報(bào)告系統(tǒng)宕機(jī)，影響了全球用戶(hù)。
通過(guò)這起事件，我們更加意識(shí)到關(guān)鍵信息系統(tǒng)和操作系統(tǒng)的自主可控對(duì)于國(guó)家安全和產(chǎn)業(yè)發(fā)展至關(guān)重要。在網(wǎng)絡(luò)安全形勢(shì)日益嚴(yán)峻的背景下，實(shí)現(xiàn)自主可控不僅是技術(shù)選擇，更是戰(zhàn)略需求。
近年來(lái)發(fā)生的多起大型軟件安全事件，時(shí)至今日影響仍然存在。
2020年12月
全球最著名的網(wǎng)絡(luò)安全管理軟件供應(yīng)商SolarWinds遭遇國(guó)家級(jí)APT團(tuán)伙高度復(fù)雜的供應(yīng)鏈攻擊并植入木馬后門(mén)。該攻擊直接導(dǎo)致使用了SolarWinds Orion管理軟件某些版本的企業(yè)客戶(hù)全部受到影響：可任由攻擊者完全操控；
2021年11月
日志記錄開(kāi)源組件Apache Log4j2被曝出存在遠(yuǎn)程代碼執(zhí)行漏洞，攻擊者利用該漏洞，可在未授權(quán)的情況下遠(yuǎn)程執(zhí)行代碼，獲得服務(wù)器控制權(quán)限，該漏洞也因此被稱(chēng)作“核彈級(jí)”漏洞；
2022年1月
身份驗(yàn)證服務(wù)主要提供商 Okta 的網(wǎng)絡(luò)遭到知名數(shù)據(jù)勒索組織 Lapsus$ 的攻擊，該組織利用對(duì)Okta的訪問(wèn)權(quán)來(lái)攻擊其客戶(hù)，影響了366家組織；
2023年5月
Clop勒索軟件組織利用Progress的MOVEit文件傳輸工具中的漏洞進(jìn)行了大規(guī)模的攻擊。這次攻擊影響了數(shù)百家公司，Clop估計(jì)從中獲得了7500萬(wàn)至1億美元的利潤(rùn)，成為2023年最廣泛影響和最嚴(yán)重的數(shù)據(jù)泄露事件之一；
2024年3月
微軟PostgreSQL開(kāi)發(fā)人員在調(diào)查SSH性能問(wèn)題時(shí)，在xz軟件包中發(fā)現(xiàn)了一個(gè)涉及混淆惡意代碼的供應(yīng)鏈攻擊，投毒者蟄伏三年多，企圖掌控全球主流linux發(fā)行版，一旦成功將可隨意侵入全球大多數(shù)的服務(wù)器。
01 軟件安全需警惕危機(jī)挑戰(zhàn)
由此可見(jiàn)，軟件應(yīng)用程序的安全問(wèn)題波及范圍廣、影響程度深，一旦軟件出現(xiàn)漏洞或故障，其影響范圍之廣、后果之嚴(yán)重，往往超乎想象。軟件安全還存在諸多挑戰(zhàn)：
軟件漏洞識(shí)別不及時(shí)：
軟件開(kāi)發(fā)與維護(hù)過(guò)程中，若未能及時(shí)跟蹤最新的安全漏洞信息或缺乏有效的自動(dòng)化掃描工具，將導(dǎo)致已知漏洞長(zhǎng)時(shí)間存在于系統(tǒng)中，增加被攻擊的風(fēng)險(xiǎn)。。
軟件供應(yīng)鏈風(fēng)險(xiǎn)識(shí)別不足：
對(duì)第三方組件和庫(kù)的安全性評(píng)估不足，未能及時(shí)發(fā)現(xiàn)并排除潛在惡意代碼或未修復(fù)漏洞，使軟件供應(yīng)鏈成為安全威脅的薄弱環(huán)節(jié)。
軟件補(bǔ)丁管理不規(guī)范：
缺乏系統(tǒng)的補(bǔ)丁管理機(jī)制，可能導(dǎo)致關(guān)鍵補(bǔ)丁未及時(shí)部署，延長(zhǎng)了漏洞暴露時(shí)間，增加安全風(fēng)險(xiǎn)。
軟件配置安全性不足：
軟件安裝及配置過(guò)程中未遵循最佳安全實(shí)踐，如默認(rèn)設(shè)置未更改、不必要的服務(wù)未禁用等，為攻擊者提供了可乘之機(jī)。
應(yīng)用層監(jiān)測(cè)不足：
缺乏對(duì)應(yīng)用層行為的實(shí)時(shí)監(jiān)控與異常檢測(cè)，難以及時(shí)發(fā)現(xiàn)并響應(yīng)惡意訪問(wèn)、數(shù)據(jù)泄露等安全事件。
軟件日志管理不規(guī)范：
日志記錄不完整、未加密存儲(chǔ)或未及時(shí)審計(jì)，導(dǎo)致在發(fā)生安全事件時(shí)無(wú)法追蹤溯源，影響事件響應(yīng)和后續(xù)分析。
軟件安全事件響應(yīng)速度慢：
缺乏高效的應(yīng)急響應(yīng)機(jī)制和預(yù)案，或團(tuán)隊(duì)成員間協(xié)作不暢，導(dǎo)致安全事件處理不及時(shí)，擴(kuò)大了損失范圍。
軟件應(yīng)急備份恢復(fù)能力不足：
未建立完善的備份恢復(fù)策略，或備份數(shù)據(jù)不完整、測(cè)試不充分，一旦發(fā)生重大安全事件，難以迅速恢復(fù)業(yè)務(wù)運(yùn)行。
軟件安全事件后缺乏深入分析：
安全事件處理完成后，未進(jìn)行深入的安全漏洞分析和原因追溯，未能從中吸取教訓(xùn)，優(yōu)化安全防護(hù)措施。
軟件安全改進(jìn)措施執(zhí)行不力：
盡管識(shí)別了安全問(wèn)題和改進(jìn)建議，但由于資源不足、優(yōu)先級(jí)設(shè)定不當(dāng)或執(zhí)行力不強(qiáng)，改進(jìn)措施未能得到有效實(shí)施，安全隱患依然存在。
02 探索治理軟件安全的中國(guó)方案
2018年10月，國(guó)家發(fā)布了GB/T 36637-2018《信息安全技術(shù)ICT供應(yīng)鏈安全風(fēng)險(xiǎn)管理指南》，為ICT（信息通信技術(shù)）供應(yīng)鏈安全風(fēng)險(xiǎn)管理提供了指導(dǎo)。2024年4月，國(guó)內(nèi)首個(gè)針對(duì)軟件供應(yīng)鏈安全的國(guó)家標(biāo)準(zhǔn)GB/T 43698《網(wǎng)絡(luò)安全技術(shù) 軟件供應(yīng)鏈安全要求》出臺(tái)，規(guī)定了軟件供應(yīng)鏈安全風(fēng)險(xiǎn)管理要求和供需雙方的組織管理和供應(yīng)活動(dòng)管理安全要求，同期發(fā)布的另一國(guó)標(biāo)GB/T 43848-2024《網(wǎng)絡(luò)安全技術(shù) 軟件產(chǎn)品開(kāi)源代碼安全評(píng)價(jià)方法》，旨在規(guī)范軟件產(chǎn)品中的開(kāi)源代碼成分安全評(píng)價(jià)要素和評(píng)價(jià)流程，兩項(xiàng)國(guó)標(biāo)均將于今年11月1日正式實(shí)施。
圖：軟件供應(yīng)鏈安全保護(hù)框架
隨著數(shù)字化轉(zhuǎn)型進(jìn)程的推進(jìn)，軟件供應(yīng)鏈安全問(wèn)題日益突出，成為網(wǎng)絡(luò)安全領(lǐng)域的一個(gè)重要課題。GB/T 43698-2024《網(wǎng)絡(luò)安全技術(shù) 軟件供應(yīng)鏈安全要求》的發(fā)布，無(wú)疑為我國(guó)網(wǎng)絡(luò)安全能力的提升注入了強(qiáng)心劑，它不僅是技術(shù)規(guī)范的升級(jí)，更是安全意識(shí)與管理實(shí)踐的全面革新。信息風(fēng)險(xiǎn)管控專(zhuān)家強(qiáng)調(diào)，通過(guò)開(kāi)展軟件供應(yīng)鏈風(fēng)險(xiǎn)管理，共同推動(dòng)我國(guó)軟件安全管理水平邁向新的高度，為我國(guó)數(shù)字經(jīng)濟(jì)的健康發(fā)展保駕護(hù)航。
03 軟件供應(yīng)鏈安全管控幫助構(gòu)建安全基石
針對(duì)上述挑戰(zhàn)，通過(guò)供應(yīng)鏈安全管控可有效應(yīng)對(duì)安全威脅，滿(mǎn)足監(jiān)管要求。
1.摸現(xiàn)狀
摸清監(jiān)管單位、建設(shè)單位、承建單位的供應(yīng)鏈安全現(xiàn)狀。包含區(qū)域監(jiān)管部門(mén)要求、本單位軟件供應(yīng)鏈關(guān)系、供應(yīng)鏈安全管理體系、供應(yīng)鏈安全技術(shù)措施等。
2.做評(píng)估
開(kāi)展供應(yīng)鏈安全能力評(píng)估，包含設(shè)立指標(biāo)、數(shù)據(jù)采集、差距分析、風(fēng)險(xiǎn)評(píng)估、整改建議等階段，全方位評(píng)估服務(wù)對(duì)象供應(yīng)鏈管理能力。
3.建制度
協(xié)助服務(wù)對(duì)象完善軟件供應(yīng)鏈安全管理體系，從立項(xiàng)、采購(gòu)、實(shí)施、驗(yàn)收、運(yùn)維等階段建立或完善管理制度、規(guī)范等。
圖：供應(yīng)鏈安全管理制度
4.常監(jiān)控
常態(tài)化開(kāi)展供應(yīng)鏈安全檢測(cè)及監(jiān)督工作，可定期開(kāi)展針對(duì)軟件層面的攻防演練、軟件上線檢測(cè)、開(kāi)源軟件漏洞檢測(cè)、人員安全意識(shí)培訓(xùn)、供應(yīng)鏈專(zhuān)項(xiàng)監(jiān)督檢查等。
隨著軟件在各行各業(yè)的應(yīng)用日益廣泛，保障軟件安全已成為數(shù)字化時(shí)代的一項(xiàng)重要任務(wù)。軟件安全不僅關(guān)系到企業(yè)自身的利益，更是數(shù)字經(jīng)濟(jì)健康發(fā)展的基石。面對(duì)未來(lái)，我們需要不斷強(qiáng)化軟件安全保障體系，構(gòu)建更加安全可靠的數(shù)字生態(tài)環(huán)境。通過(guò)政府政策的引導(dǎo)和支持，以及企業(yè)層面的不懈努力，共同推進(jìn)軟件業(yè)的健康發(fā)展，為經(jīng)濟(jì)社會(huì)的數(shù)字化轉(zhuǎn)型貢獻(xiàn)力量。展望未來(lái)，軟件安全將成為推動(dòng)各行業(yè)持續(xù)創(chuàng)新和數(shù)字經(jīng)濟(jì)繁榮的關(guān)鍵因素。只有加強(qiáng)軟件安全建設(shè)，才能更好地抵御各種安全威脅，確保數(shù)字經(jīng)濟(jì)的可持續(xù)發(fā)展。未來(lái)，望安科技將持續(xù)踔厲奮發(fā)推動(dòng)網(wǎng)安領(lǐng)域發(fā)展，以安全為推手促進(jìn)產(chǎn)業(yè)建設(shè)，為推動(dòng)網(wǎng)絡(luò)強(qiáng)國(guó)、數(shù)字中國(guó)建設(shè)持續(xù)貢獻(xiàn)力量！
(文章來(lái)源：道普信息)
Linux系統(tǒng)通常不會(huì)出現(xiàn)與Windows系統(tǒng)中的“藍(lán)屏死機(jī)”相似的問(wèn)題，因?yàn)樗鼈兙哂胁煌募軜?gòu)和設(shè)計(jì)哲學(xué)。然而，Linux系統(tǒng)也可能遇到類(lèi)似的問(wèn)題，如內(nèi)核崩潰或系統(tǒng)崩潰。
原因和分類(lèi)：
技術(shù)細(xì)節(jié)：
友情鏈接： 餐飲加盟
地址：北京市海淀區(qū) 電話(huà)：010- 郵箱：@126.com
備案號(hào)：冀ICP備2024067069號(hào)-3 北京科技有限公司版權(quán)所有