風(fēng)云變幻的2021年即將過去，供應(yīng)鏈危機(jī)也成為這一年中最令人深刻印象的現(xiàn)實(shí)問題之一。數(shù)百艘集裝箱船在港口滯留，商品遲遲無法送達(dá)，甚至某些重要的民生物資也出現(xiàn)了短缺?？傊?，市場需求已經(jīng)全面超過了供給。

[[441738]]

雖然供應(yīng)緊張為華爾街帶來了夢寐以求的高銷售與高利潤，但一個(gè)不為人知的威脅仍在陰影中若隱若現(xiàn)，甚至開始在整個(gè)云系統(tǒng)環(huán)境中顯現(xiàn)。沒錯(cuò)，云系統(tǒng)也擁有自己的供應(yīng)鏈;在構(gòu)建虛擬化的過程中、在虛擬化層上創(chuàng)建云容器時(shí)，必然需要一整套代碼與軟件供應(yīng)鏈作為企業(yè)日?；A(chǔ)設(shè)施的組成部分。

最近，Unit 42發(fā)布的一份報(bào)告顯示：

• 96%的第三方容器應(yīng)用中包含已知安全漏洞
• 云基礎(chǔ)設(shè)施之內(nèi)，63%的第三方代碼中包含不安全配置

安全漏洞時(shí)隱時(shí)現(xiàn)目前，這些風(fēng)險(xiǎn)狀況尚且處于早期階段。但近期報(bào)告顯示，風(fēng)險(xiǎn)無處不在且?guī)缀醪皇芸刂?。這些風(fēng)險(xiǎn)身處信任體系的核心，如同威力巨大的火藥桶般隨時(shí)可能轉(zhuǎn)化為呈指數(shù)級(jí)擴(kuò)散的實(shí)際影響。作為供應(yīng)鏈的上游，容器環(huán)境更多地面向應(yīng)用程序核心，一旦某次功能更新中出現(xiàn)了哪怕是極小的漏洞，問題范圍也會(huì)快速擴(kuò)展，給各種數(shù)據(jù)類型乃至軟件本身的完整性造成現(xiàn)實(shí)威脅。

無論是令美國東海岸癱瘓多日的科洛尼管道公司黑客事件、還是威脅居民餐桌的JBS肉類包裝廠遇襲，都應(yīng)成為我們認(rèn)真關(guān)注的供應(yīng)鏈風(fēng)險(xiǎn)向量。必須接受新的現(xiàn)實(shí)是：在容器技術(shù)的影響下，我們正毫不自知地將遺留軟件及隱患納入新結(jié)構(gòu)、新部署中。但這種風(fēng)險(xiǎn)難以檢測，而且會(huì)威脅到整個(gè)DevOps部署環(huán)境與業(yè)務(wù)管道。而應(yīng)對(duì)這類風(fēng)險(xiǎn)狀況的一大前提，就是加強(qiáng)技術(shù)供應(yīng)鏈漏洞的關(guān)注與分析能力。

重回網(wǎng)絡(luò)戰(zhàn)場信息技術(shù)必須重新回歸對(duì)軟件基礎(chǔ)的分析、監(jiān)控與保護(hù)。只有對(duì)整個(gè)部署流程中的每一個(gè)入口與出口進(jìn)行認(rèn)真評(píng)估、徹底審查、持續(xù)驗(yàn)證和監(jiān)控，才有望克服這個(gè)潛在難題。

具體而言，IT部門需要在風(fēng)險(xiǎn)環(huán)境中做到：

• 如同拆解樂高積木般剖析應(yīng)用程序與基礎(chǔ)設(shè)施集合，逐一進(jìn)行溯源、記錄并根據(jù)需要采取行動(dòng)。
• 著手推出自定義鏡像與容器。
• 警惕第三方代碼，包括市面上交付的各類虛擬機(jī)與云端鏡像。

如今，DevOps已經(jīng)成為新的運(yùn)營常態(tài)，而各類企業(yè)也需要在這樣的新常態(tài)下、對(duì)整個(gè)組織內(nèi)的軟件安全供應(yīng)鏈做出深刻判斷。就在一年之前，SolarWinds違規(guī)事件中出現(xiàn)了身份不明的攻擊者，對(duì)方顯然是打算借SolarWinds產(chǎn)品能夠管理并直接訪問客戶基礎(chǔ)設(shè)施的機(jī)會(huì)發(fā)動(dòng)攻勢。在信任的保護(hù)傘下，這類攻擊有可能滲透進(jìn)數(shù)以千計(jì)的第三方基礎(chǔ)設(shè)施之內(nèi)。

授信軟件淪為攻擊誘餌毫無疑問，利用SolarWinds這類第三方軟件入侵企業(yè)用戶群體的嘗試讓攻擊者們發(fā)現(xiàn)了新可乘之機(jī)，這群網(wǎng)絡(luò)犯罪分子們意識(shí)到授信軟件源將成為他們通往受害者的捷徑。而一旦更多授信第三方或企業(yè)軟件源遭到劫持，也必然產(chǎn)生更多災(zāi)難性的影響。

這個(gè)問題現(xiàn)實(shí)、嚴(yán)峻而且即將出現(xiàn)，這需要各方付出巨大努力有望克服。