腾讯云开发者社区-腾讯云

开发者社区

文档建议反馈控制台

文章/答案/技术大牛

发布

综合排序丨最热优先丨最新优先

软件供应链安全简析

供应链安全背景近年来，针对软件供应链的安全攻击事件呈快速增长态势，造成的危害也越来越大。 供应链安全将是未来的重要挑战 Gartner 预计超过70%的应用程序因使用开源组件而产生缺陷和漏洞。 供应链安全将是未来的重要挑战，从网络安全角度去思考的话，可以明显看到当前的商业组织似乎更多的关注自身网络安全建设，但日防夜防、“家贼”难防，任何一个薄弱的供应链都可能成为这个难防的“家贼”。 2021年5月12日，美国发布了《关于改善国家网络安全》的第14028号行政命令(EO)，明确要求美国联邦政府加强软件供应链安全管控，迅速提高软件供应链的安全性和完整性。今年5月，美国国家标准与技术研究院 (NIST)更新了解决软件供应链风险的网络安全指南，该指南帮助组织将网络安全供应链风险考虑因素和要求纳入其采购流程，并强调监控风险的重要性。

2023-02-28

1.2K0

标签:

网络安全宣传周 - 供应链安全

1.1 供应链安全，网络安全关键防线在当今数字化时代，网络安全已成为国家、社会、企业乃至个人绕不开的重要命题。而供应链安全作为网络安全的关键防线，其重要性不言而喻。而供应链安全问题可能会导致关键信息基础设施的停服断供、安全漏洞等，严重危害国家安全。1.2 机遇与挑战并存，构建安全堡垒在复杂的网络安全环境下，供应链安全既面临着挑战，也蕴含着机遇。深圳市气象局出台《深圳市气象局供应链网络安全管理实施细则》，明确工作职责，形成涵盖全生命周期的供应链网络安全管理规范标准和实践指南体系，强化供应链安全事件应急响应及处置要求。例如，出台供应链网络安全管理实施细则，形成涵盖全生命周期的供应链网络安全管理规范标准和实践指南体系，强化供应链安全事件应急响应及处置要求。加强安全监控是保障供应链安全的重要手段。企业应细化供应链网络安全风险评估内容，构建全流程供应链安全评估机制，实现可快速识别并修复供应链开发、交付和使用环节实体要素存在的安全风险，最大限度消除供应链安全隐患，维护网络空间安全。

Khan安全团队

2024-11-02

1.1K0

标签:

谷歌的开源供应链安全

摘要谷歌在开源软件供应链安全方面的工作介绍供应链安全概念和不同类型的攻击案例加强理解软件供应链，探索构建、分析方法使用加密签名、构建可重现的构建流程保障供应链安全提倡内存安全编程语言如今天的演讲主题是Google的开源供应链安全。首先，让我们了解一下“供应链安全”到底是什么意思。通常，当我们谈论供应链安全时，是指针对供应链攻击的工程防御。现在，我们需要定义什么是供应链攻击。现在我们可以将开源供应链安全定义为防御开源供应链攻击和开源供应链漏洞的工程。 供应链安全是整个行业都在努力解决的问题，我们都在寻求有意义的进步。今天，我将重点介绍谷歌在软件供应链安全方面的工作。总体来说，我们的方法分为三个部分：了解供应链、加强供应链和监控供应链。这主要涉及常规计算机安全措施，虽然这些措施并不专门针对供应链，但它们是实现更高级供应链安全措施的重要基础。

2023-12-19

7690

标签:

聊聊供应链安全：建议与方法

建议方法 供应链就是以合适的价格、地点和时间为顾客提供他们需要的资源。供应链安全是一个多学科的问题，需要业务、客户支持和IT之间的密切协作和执行，这有其自身的挑战。来自内部人员或攻击者的数据泄露、勒索软件攻击和恶意活动可能发生在供应链的任意环节。即使是本地化到单个供应商或第三方供应商的安全事件，也可能严重扰乱计划、制定和交付过程。 供应链安全管理主要涉及五个方面数据保护。数据是商业交易的核心，必须在静态和运行中保护并控制数据，以防止违规和篡改。安全的数据交换还包括信任其他来源，无论是第三方还是电子商务网站。 供应链安全建议 供应链安全需要多方面考虑。没有万能方案，但是组织可以用分层防御的组合来保护供应链。由于专注供应链安全的团队使威胁参与者更难实施攻击，因此获得了更多的时间来检测恶意活动并采取行动。这里是一些组织追求管理和减轻供应链安全风险的重要战略。安全战略评估。要评估风险与合规性，需要针对业务挑战、需求和目标评估现有的安全治理框架——包括数据隐私、第三方风险和IT法规合规需求及差距。

2021-02-08

1.6K0

标签:

Web 应用防火墙

聊聊供应链安全：政策与问题

今天，来聊聊供应链安全，后面将会从政策、主要问题、方法、美国ICT SCRM实践等方面谈谈供应链。 8.2.6.2 供应链管理（云计算） b) 应将供应链安全事件信息或安全威胁信息及时传达到云服务客户； c) 应将供应商的重要变更及时传达到云服务客户，并评估变更带来的安全风险，采取措施对风险进行控制。（配置、漏洞、补丁、病毒库）、供应链安全管理策略、安全运维策略等。 7.7.2 供应链安全保护运营者应： a）制定供应链安全管理策略，包括：风险管理策略、供应商选择和管理策略、产品开发采购策略、安全维护策略等。 b）建立供应链安全管理制度，设置相应的供应链安全管理部门，提供用于供应链安全管理的资金、人员和权限等可用资源。

2023-04-26

9410

标签:

安全软件供应链6个交付管道安全最佳实践

这些软件供应链组件中的任何一个弱点都可能是软件供应链攻击中使用的入口点或支点。当你考虑到我们的软件供应链已经变得很复杂时，2021 年软件供应链攻击增加了 51%也就不足为奇了。交付管道和软件供应链安全为了支持快速、迭代和高质量的部署，托管 VCS 和 CI/CD 管道已成为云原生组织的命脉。在这篇文章中，我们将研究 VCS 和 CI/CD 管道中一些最常见的安全漏洞，这些漏洞可能会使供应链受到攻击。然后，我们将介绍安全专业人员可以实施以减轻供应链攻击的几个最佳实践。但是，它们的默认配置并未考虑到安全性。再加上它们处于软件供应链的中心，这使得它们很容易成为黑客的目标。为了保护他们的软件供应链，组织应该采取预防性的、纵深防御的方法来遵循 VCS 和 CI/CD 安全最佳实践，并利用策略即代码来随着时间的推移执行最佳实践。

DevOps云学堂

2022-12-29

1.1K0

标签:

半导体：趋势、周期和供应链安全

半导体是产品竞争力的重要组成部分，也是影响产业链和国家安全的关键环节。芯片的生产发生在一个全球性的、复杂的供应链中，并且在一些重要环节呈过于集中趋势，只有少数几家公司（甚至只有一家）能参与其中。近年受新冠疫情和地缘政治等多重因素影响，全球缺“芯”日益严重，进一步暴露出半导体供应链的脆弱性。半导体是高水平科技自立自强的重要领域，是必须打赢的一场攻坚战。本文作者：闫德利腾讯研究院资深专家

腾讯研究院

2023-11-16

5100

标签:

企业供应链安全体系建设思考

企业供应链安全信息安全里面的供应链安全，是狭义范围的供应链安全，其最终安全问题是体现在应用系统上的问题。 供应链的软件组件会持续支撑整个应用系统的生命周期，如果组件出现问题，会直接影响到应用系统的可用性安全性。应用系统的供应链安全，实际上是由三个部分组成的。分别是应用安全里面软件开发中的依赖包（log4j），基础安全里面的应用运行组件（phpstudy），办公安全里的开发IDE（xcodeghost）。 供应链安全的建设落地1、状态调研及评估：调研安全建设状态，评估建设完成度。2、决策工作内容：结合调研结果，结合公司整体的建设方案，来决定工作内容，内容顺序，落地方案。 供应链安全建设中，优先级最高的是依赖包供应链的安全建设，其次是基础IT组件，其次是办公终端IDE安全。

2023-08-25

4280

标签:

清洁的容器镜像：供应链安全革命

供应链安全初创公司 Chainguard 在过去四年多的时间里，一直试图改变开发者和企业看待和使用容器镜像以及其中包含的开源组件的方式。可视化 CVE 该公司本周宣布正式推出 CVE Visualizations，这是 Chainguard Console 中的最新功能，是一个获取从安全到产品更新等所有信息的一站式平台。借助这项新功能，组织可以更好地量化使用 Chainguard 的无 CVE 镜像所带来的工程、安全和财务效益。这一切的基础是 Wolfi，Chainguard 定制的 Linux 发行版——或者他们称之为（非）发行版——它在构建时具有默认安全性，适用于 supply chain。 Dunn 说这没有道理，他将其与在没有农业部确保食品安全的情况下在超市购物的想法进行了比较。他说，如果这个世界的食品购买者有开发者的心态，他们会将购买不安全食品的风险视为做生意的成本。

2025-02-09

3970

标签:

软件供应链安全事件频发，安全问题怎样保障

2020年12月针对SolarWinds®的 "供应链攻击"被认为是网络安全界的一个里程碑事件。这次攻击是由SolarWinds的Orion软件中的安全漏洞导致的，使黑客能够入侵全球数百家公司的系统。享受便利的同时问题也随之而来，以上的软件供应链安全事件也层出不穷。为了保护自己免受此类攻击，企业必须超越传统的、有风险的 "信任但核实 "的网络安全方法。在信息化程度比较高的金融业，软件作为金融信息基础设施的重要组成部分，安全问题将直接影响金融信息系统的安全稳定运行。对于企业来说，如何把软件供应链里的“恶意”关在笼子里？或许安全沙箱一种可操作的手段。在云计算的环境下，云原生型安全沙箱技术也在演进，有望在企业环境中，对软件供应链安全问题提供一部分“治标”的解决方案（“治本”还得更加长期、综合、涉及面更广的综合策略）。但是对于通过供应链污染而“播种”内鬼的安全攻击，似乎这是最有效的手段。

2022-10-26

8820

标签: