360-中国政企软件供应链攻击现状分析报告-2017.9-27页-1mb

中国政企软件供应链攻击现状分析报告总结

报告摘要

本报告由360天擎团队于2017年9月发布，旨在分析中国政企机构中软件供应链攻击的现状、特点及防范建议。软件供应链攻击利用了用户对软件供应商的信任，在合法软件的下载、更新、信息推送等过程中植入恶意代码，从而绕过传统安全产品，造成广泛传播和严重危害。

核心内容

软件类型与风险

• 办公软件：安装量最高，占比 $30.1%$，是政企机构中使用最广泛的软件类型。
• 休闲娱乐软件：安装量占比 $14.6%$，是次高风险软件类型。
• 行业软件：安装量占比 $14.4%$，在某些行业如金融和能源中具有较高覆盖率。
• 定制软件：安装量占比 $2.7%$，但政府机构中占比高达 $15.7%$，显示出较高的风险。

软件付费形式与风险

• 付费软件：覆盖率高达 $95.2%$，通常由政企机构统一采购，安全性相对较高。
• 免费软件：安装量占比 $60.2%$，但覆盖率仅为 $79.5%$，安全风险较高。

主要观点

攻击方式与特点

1. 利用合法软件的信任机制：攻击者通过合法软件进行传播，绕过传统安全产品。
2. 攻击路径多样化：包括下载安装、升级维护、信息推送等阶段。
3. 攻击手段多样：包括挂马、劫持、篡改等。
4. 攻击载体广泛：如播放器、浏览器、游戏工具、下载器等。

高危行业分析

• 政府单位：需重点关注办公软件和定制软件的安全。
• 金融单位：需重点关注行业软件和搜索下载工具的安全。
• 能源单位：需重点关注办公软件和行业软件的安全。
• 大型企业：需重点关注休闲娱乐软件的安全。
• 互联网公司：需对所有软件类型保持高度警惕。

关键信息

典型攻击事件

防范建议

1. 掌控软件分布情况：实时掌握全网终端软件使用情况。
2. 选择安全下载渠道：建立企业软件下载平台，避免第三方渠道风险。
3. 把控软件升级通道：限制软件只能从安全渠道进行更新。
4. 分析网络通信行为：监控互联网软件的网络行为，防止恶意代码注入。
5. 具备应急响应能力：在攻击发生时快速隔离受影响终端，防止扩散。

附录简述

相关定义

• 软件供应链攻击：利用供应商与用户之间的信任关系，在合法软件传播和升级过程中植入恶意代码。
• 软件分类：包括安全杀毒、办公软件、行业软件、搜索下载、娱乐软件等。
• 付费形式：分为付费软件和免费软件，付费软件安全性较高。

研究团队

• 360天擎团队：提供新一代终端安全管理系统，解决政企内网安全问题。
• 360安全监测与响应中心（CERT）：提供企业级威胁监测与响应服务。
• 360威胁情报中心：整合全网威胁情报，为政企机构提供安全预警与分析。

结论

软件供应链攻击已成为政企机构面临的重要安全威胁。由于其利用合法软件的信任关系进行传播，传统安全手段难以有效防范。因此，建议政企机构采取综合措施，包括掌控软件分布、选择安全下载渠道、管控升级通道、提升网络通信行为监控能力以及增强应急响应机制，以全面应对此类攻击。