美国报告警告，黑客定位软件供应链，警告

根据美国国家违规行为和安全中心（NCSC）的报告，软件供应链渗透已经威胁着关键的基础设施行业，也可能威胁其他部门。

“外国情报服务 - 威胁演员代表他们的工作 - 继续代表最持久而普遍的网络情报威胁，”网络空间报告中的外国经济间谍表示。

该报告称，中国，俄罗斯和伊朗突出了三个最有能力和最活跃的网络演员与经济间谍活动“，突出了若干基于三个国家的网络行动，这些国家威胁着美国公司和利益。

尽管2015年美国和中国之间达成了令人停止进行网络的经济间谍活动，但报告称，虽然虽然具有较少的间谍活动，但中国“继续使用Cyber​​间谍活动来支持其战略发展目标 - 科技进步，军事现代化和经济政策目标“。

报告称，中国，俄罗斯和伊朗预计将仍然“积极和有能力”的敏感，特别是在网络空间中的收藏品。“肯定会继续部署大量资源和广泛的策略来获得知识产权和专有信息，”它补充道。

报告称，软件供应链渗透是一个威胁，指出，2017年，2017年是“流域”，在报告软件供应链运营中，在公共领域报告了七项重大事件，与2014年间仅有四场比较。 2016年。

报告称，随着事件数量的增加，潜在的影响也增加了。“黑客清楚地定位软件供应链，以实现一系列潜在的效果，包括网络间谍，组织中断或明显的财务影响，”它说。

该报告引用了多个软件供应链渗透的关键事件，包括将恶意代码注入为Avast所有的芯片CChereaner软件，以在提供18家公司的供应链妥协中释放，但在全球与后门感染了220万个CCleaner客户。

2017年，黑客也损坏了由韩国公司Netsarang分发的软件，该软件销售企业和网络管理工具。后门使能源，金融服务，制造，制药，电信和运输行业的数百家公司的进一步恶意软件或盗窃信息。

影响最大的情况是乌克兰会计软件M.E.的一个版本。DOC被击退，以提供伪装为赎金软件的破坏性有效载荷。攻击被广泛称为Notpetya，归因于俄罗斯和全球瘫痪网络，关闭或影响银行，公司，运输和公用事业的运营。攻击成本FedEx和Maersk每人约300亿美元。

该报告还引用了软件供应链渗透的一个例子，被称为KingsLayer的恶意软件操作，其中与美国公司有关的系统管理员帐户窃取凭据，以违反系统并用包含嵌入的恶意版本替换合法的应用程序和更新后门。

报告说，虽然没有知道哪些公司最终被感染了哪些公司，但至少有一个美国国防承包商是针对性和损害的。

本周早些时候，网络安全公司Crowdstrike发表了一份报告，提出了一个建议的软件供应链攻击有可能成为未来几年中最大的网络威胁之一，其中三分之二的受访者承认他们已成为软件供应的受害者链攻击。

大多数（90％）所针对性的人证实，他们遭受了财务成本，攻击的平均成本超过1.1亿美元。

确保供应链的研究调查了美国，加拿大，英国，墨西哥，澳大利亚，德国，日本和新加坡的1,300名高级IT决策者和IT安全专业人士，跨越各种行业。

尽管近90％的受访者表示，他们认为在未来三年内，软件供应链攻击可能会造成最大的网络威胁之一，只有三分之一的受访者表示他们正在审查他们的所有供应商，甚至更少的感受他们的组织充分准备减轻软件供应链攻击的风险。

Crowdstrike研究所说，供应链攻击越来越成为一项业务关键问题，对与合作伙伴和供应商的关键关系影响了重要的关系。

“然而，随着调查显示，组织缺乏他们需要充分保护的知识，工具和技术，”它说。

“随着严格评估他们使用的软件供应链供应商，组织需要关闭使他们容易攻击的安全差距。这需要采用有效的预防，检测和响应技术。“