一文简述：供应链攻击知多少

供应链攻击也叫第三方攻击，是一种迂回攻击手段。目标网络建设所需各项关键基础设施和重要资源严重依赖第三方产品和服务提供商，并且大多数目标用户对第三方提供商的产品和服务是信任的，这就为攻击者开展供应链攻击提供了条件。

供应链攻击在外网纵向突破和内网横向拓展中均有运用，外网主要围绕目标互联网侧的产品漏洞或服务安全入口薄弱点开展，内网则主要围绕第三方产品或自主开发应用的漏洞开展。供应链攻击具有迂回隐蔽不易被发现、产品或服务利用环节多样、攻击影响面较大的特点，供应链攻击的途径主要有以下三种。

一、网络或平台提供商

网络或平台提供商是指提供通信基础网络、应用托管平台或服务器的第三方提供商，主要包括网络提供商、Web 应用或服务器托管平台、云网络平台提供商等。目标网络往往需要借助这些第三方提供商来接入互联网，提供网络服务平台支撑。此类供应链攻击虽然危害比较大，但是攻击难度大，花费时间长，在 APT 攻击中使用得较多，因为 APT 攻击多是针对国家或政府的核心职能部门开展的网络攻击和渗透。

• 网络提供商

渗透进入目标网络提供商的网络，在提供商内通过目标网络 IP 分配或服务提供的信息定位目标网络接入点（主要是路由网关），利用该路由网关的信任通联关系或对目标网络的边界路由网关开展渗透，通过漏洞利用或网络数据劫持，获取目标网络的边界网关或路由控制权，进一步向目标内网渗透拓展。

• 应用平台提供商

渗透进入目标网络云托管平台、服务器资源提供商网络，根据托管服务定位目标托管业务的所在位置，渗透获取托管业务的控制权限，在托管业务中植入恶意代码对目标人员开展水坑攻击，或通过托管业务寻找托管业务与目标本地网络的接口（主要是托管业务管理接口），利用漏洞利用或仿冒接入等手段进一步渗透拓展本地网络，获取目标本地网络的接入控制支点。

二、安全服务提供商

此类供应链攻击主要针对的是将网络安全服务外包的目标网络。目标网络受限于自身网络安全运维管理的人力或技术水平，常常会将自身网络建设和安全运维工作交由第三方提供商来完成，第三方提供商手里就会掌握有关目标网络的重要入口控制信息或大量的网络安全信息，这在受到供应链攻击时就会带来相当大的安全隐患。攻击者可以通过攻击第三方安全运维人员，获取运维人员管理目标网络的权限，并借助其管理权限接入目标网络。这种攻击具有很大的隐蔽性，因为目标网络无法准确判断通过第三方运维服务进行接入连接的是运维人员还是攻击者。

三、产品或应用提供商

通过产品或应用提供商开展供应链攻击主要是围绕第三方系统、应用或设备开展工作，利用各种手段获取第三方提供商的原厂设备或应用源码，并对设备进行解剖分析或对源码进行代码审计以寻找其可能存在的安全漏洞，进而利用发现的漏洞实现对目标网络的突破。常用的第三方应用源码获取方式主要有两种：一种是通过公开手段，在公网 GitHub、Gitee、凌风云之类的互联网资源库中搜集相关的应用源码，这类源码主要是由开发人员无意中泄露或公开发布的；另一种手段是通过渗透控制第三方提供商，控制第三方开发资源库获取相关设备或应用源码，或者直接通过第三方提供商内部获取设备或应用的安全缺陷或后门。对第三方资源的利用则包括自主挖掘漏洞或原有后门利用、更新包捆绑恶意代码并推送、对应用开发依赖文件包进行恶意代码植入等，借助第三方设备或应用打开目标网络的突破口。