历史上的今天
今天是：2024年10月19日（星期六）
2021年10月19日 | 派拓网络发布针对软件供应链攻击的新版云威胁研究报告
2021-10-19 来源：EEWORLD
Palo Alto Networks（派拓网络）发布针对软件供应链攻击的新版云威胁研究报告
《2021 年下半年云威胁报告》揭示不安全的软件供应链危害云基础设施
2021年10月19日，北京——SolarWinds和Kaseya等备受瞩目的软件供应链攻击事件表明企业高估了其云基础设施的安全性，这些供应链中的威胁可能对业务产生灾难性影响。在Palo Alto Networks（派拓网络）安全咨询部门Unit 42发布的最新《2021年下半年云威胁报告》中，研究人员深入研究了云端供应链攻击的范围，并阐释了其不为人知的细节，同时提出企业可实时采用的可行建议，以着手保护云端软件供应链。
Unit 42团队分析了来自世界各地各种公开数据源的数据，得出企业在当今软件供应链中面临日益严峻威胁的结论。调查结果显示，许多企业可能对云安全有错误的认知，实际上对面临的威胁毫无准备。
除了分析数据外，Unit 42的研究人员还受一家大型SaaS供应商（派拓网络的客户之一）委托，对其软件开发环境进行红队演练。仅仅三天时间， Unit 42研究人员就发现了软件开发过程中的重大漏洞，足以让客户轻易受到类似SolarWinds和Kaseya的攻击。
主要发现
不安全的供应链危害云基础设施
进行红队演练的大型SaaS供应商拥有许多人误以为成熟的云安全态势。然而，在演练期间，Unit 42研究人员能够利用企业软件开发环境中的错误配置，例如硬编码IAM密钥对，控制整个开发流程，从而成功发动供应链攻击。
此外，Unit 42研究人员对客户开发环境进行的安全扫描中，发现有21%的错误配置或漏洞，这凸显出流程差距和重大安全漏洞使企业暴露于风险中，并容易受到业务中断攻击。
第三方代码不可轻信
Unit 42研究人员发现，63%用于构建云基础设施的第三方代码模板包含不安全的配置，96%部署在云基础设施中的第三方容器型应用包含已知漏洞。此等风险让攻击者可以轻松访问云端敏感数据，甚至控制企业的软件开发环境。
Unit 42团队的调查结果明确显示，未经审核的代码会迅速演变成安全漏洞，尤其是基础设施漏洞会直接影响成千上万的云端工作负载。因此，企业必须了解其代码来源，因为第三方代码可以来自任何人，包括高级持续性威胁（APT）。
图1. 为了举例证明错误配置普遍存在，Unit 42研究人员按错误配置的数量（左）和错误配置的类型及其百分比（右）分析了公开Terraform模块
来源：Unit 42《2021年下半年云威胁报告》
结论：企业需要将安全方案加入到软件开发的早期阶段，即实现安全左移
团队持续忽视 DevOps的安全性，部分原因在于缺乏对供应链威胁的关注。云原生应用附有一连串的依赖关系，DevOps和安全团队需要了解每个云端工作负载的物料清单（BOM），以便评估依赖关系链每个阶段的风险并建立足够的防护。
如欲详细了解常见供应链问题如何破坏云安全，请浏览Unit 42《2021年下半年云威胁报告》。
关于Palo Alto Networks（派拓网络）
作为全球网络安全领导企业，Palo Alto Networks（派拓网络）正借助其先进技术重塑着以云为中心的未来社会，改变着人类和组织运作的方式。我们的使命是成为首选网络安全伙伴，保护人们的数字生活方式。借助我们在人工智能、分析、自动化与编排方面的持续性创新和突破，助力广大客户应对全球最为严重的安全挑战。通过交付集成化平台和推动合作伙伴生态系统的不断成长，我们始终站在安全前沿，在云、网络以及移动设备方面为数以万计的组织保驾护航。我们的愿景是构建一个日益安全的世界。
史海拾趣
|
发展、融合MCU专题融合了走进MCU、应用文章、厂商掠影，三大版块。 走进MCU中详细介绍了MCU基本原理与发展历史，带领读者一起回顾MCU的发展里程。 应用文章中细分了单片机在控制、显示、电源、无线、通信、解码等一系列领域的设计方案。 ...… 查看全部问答＞ |
|
我是电气工程及其自动化专业的，今年大三，现在想学嵌入式开发，以后搞硬件层或驱动层，请问电气专业学嵌入式是不是偏离了本专业的发展方向？能将嵌入式学好么？请各位前辈和高手指导。… 查看全部问答＞ |
|
不知網上的各位大大有沒有人去讀過WINCE OV511的SOURCE CODE，我看裡面的CODE並沒有對OV7620 SENSOR下值???這樣對嗎???因為我身邊沒有網眼V2000的攝像頭，所以也無法確定這網絡上載下來的驅動能不能動。… 查看全部问答＞ |
|
PB5.0导出SDK时出错,请高手指教 我在PB5.0导出SDK时,出现下列错误,高手给我把把脉啊,看看问题出在哪了?刚刚开始搞这个东东.... Committing database changes Creating \'required\' feature Adding required files Committing database ...… 查看全部问答＞ |
|
急求一款好用的CDMA模块，请大家推荐，真的很急，呵呵...如果您有时间的话请高抬贵手指，推荐推荐!! 该模块主要是用来做数据传输的，做车载的GPS系统，所以要满足以下要求： 1、内置TCP/IP、PPP协议栈。 2、可以打电话。 3、支持PDU格式的短信 ...… 查看全部问答＞ |
|
现在有一个怪问题，外部中断我设为上升沿触发时，的确是上升沿触发，但是设为下降沿触发时，就上升沿和下降沿都能触发，为什么呢？ 外部中断用按键触发。我的电路是用一个按键一端接地，一端接I/O，I/O设为输入上拉模式。… 查看全部问答＞ |
|
通过串口接收一包数据（5字节），结果总出差，如果一个一个接收就正常，代码：1.485初始化void init485(void){ UCTL0 = CHAR; // 8-bit character ...… 查看全部问答＞ |
|
代码如下: 当该下面带颜色的数据,该的氛围比较大,例如前面 2个该为delay (50),后面的一个数据改为600,调试发现会出现走不出delay这个函数.数据小一点,如下程序的话就可以正常的运行了,问题提出来,明天晚上再来研究一下. #include void delay (); ...… 查看全部问答＞ |
|
嵌入式系统的发展与计算机系统的发展基本同步，任何在计算机领域出现的新技术都会很快进入嵌入式系统领域。嵌入式系统中一些新技术的使用，也会对其他计算机应用领域产生影响。 1、嵌入式系统的出现和兴起(1960-1970) 20世纪60年代，以晶 ...… 查看全部问答＞ |