说米网

2021年底，Log4j2缝隙迸发，引发了一场供应链安全危机，其影响规模极为广泛，一同也伴跟着巨大的危害性。经过仔细剖析此次供应链安全事情的特色不难看出，这是一同典型的由开源软件所导致的供应链安全事情，上游软件供给商的缝隙连累了下流工业的产品供给者，扑朔迷离的依托联系使影响规模扩展，终究广泛整个网络空间。Log4j2事情为安全厂商与网络安全从业者敲响了警钟，有必要警觉开源软件供应链中躲藏的危机，并采纳有用举动。

Log4j2作为一个堪比规范库的根底日志库，很多开源 Java 组件都直接或直接依托于Log4j2。作为软件供应链中的中心原始组件，Log4j2的本身缝隙带给整个软件供应链的影响最为直接、隐秘，影响也最为深远，它犹如一个埋藏在命门处的定时炸弹，一旦引爆，就是丧命冲击。但是，当咱们需求探查这个深埋在系统内部的缺点，并收拾其影响规模或判别其他组件是否存在相同的安全隐患时，这又给管理者带来了一项极为杂乱的作业。

由于Log4j2被引证的广泛性，其或许存在于系统组件的各个旮旯。在组件的集成构建阶段，当 Log4j2 作为根底组件集成到一些中心事务组件时，缝隙也在有意无意间浸透到了更为上层的中心事务中，使产品的中心事务露出出一个附加的进犯面。在该阶段，由于组件之间的依托联系相对较为明晰，所以当缝隙被引进时，遭到的影响面也较为简单排查。咱们往往只需求将代码库房中受影响的组件版别更换为安全的补丁版别或直接移除更换掉即可。

在组件的依托运用阶段，跟着当时软件系统架构杂乱性的提高，组件之间的依托深度也逐步添加。当Log4j2这类中心组件遭到缝隙影响时，软件系统本身的杂乱性就会掩盖影响，导致整个软件系统的进犯面被躲藏起来，然后简单被人疏忽。所以在该阶段排查缝隙影响最为困难，往往需求安全工程师们进行大规模的剖析排查、抽丝剥茧，将软件系统的各种依托联系收拾清楚。站在进犯、防护的视角调查相同如此，进犯者及防护者往往需求经过hook、fuzz等方法测验组件的调用深度，然后找出被躲藏的缝隙触发点。

在下流用户运用阶段，遭到的影响则更为被迫。由于杂乱的软件系统关于身处下流的用户来说是一个黑盒，普通用户关于其包括的组件危险一窍不通，此刻只能靠有责任心的网站挂马检测工具软件供给商来供给运维支撑服务。假如遇到不负责任或许缝隙应急不及时的供货商，则只能依托社区主张及旁路的安全设备来进行暂时舒缓。

跟着开源软件使用的不断遍及，软件开发过程也越来越依托于组件间的彼此调用与组合，以习惯不断改变的商场环境。但开发者在重视灵敏高效的一同，也会为系统引进新的安全危险，开源软件的引进减少了开发时刻，也添加了软件供应链安全的杂乱度，尤其是此次Log4j2这样使用广泛的根底组件，在供应链的各阶段均存在深远的影响。大型项目中依托联系数量与依托层级数量的杂乱度提高直接添加了厂商对缝隙的排查难度。对缝隙组件发生直接依托的开源组件及结构也有安全隐患，由于原始组件被很多引证所形成的二级传达极大的扩大了Log4j2缝隙的影响规模。在上游软件供应链产品中累积的缝隙影响，终究会在下流使用场景中显现，下流产品服务供给商应当采纳有用手法，对触及的缝隙财物进行排查。

此次露出的安全问题仅仅是供应链安全范畴的冰山一角，SolarWinds事情、Mimecast事情或相似针对供应链的APT进犯等一系列安全事情也都在为咱们敲响着警钟。绿盟科技《网络安全2022：守望高质量》陈述对供应链安全进行了收拾，针对安全事情、方针规范进行了剖析，并展望2022年供应链安全开展趋势。一同，陈述也收拾了其他网络安全范畴的开展趋势并将其划分为态势篇、要挟篇、数字根底设施篇，挑选汇聚了绿盟科技2021年在网络安全攻防相关范畴的中心研究成果。其间，态势篇要点收拾了我国网络安全开展区域的要挟态势;要挟篇要点剖析了网络安全面对的缝隙、歹意软件和高档可继续要挟等首要危险要素;数字根底设施篇对网络安全根底设施相关的热门事情、商场开展和范畴趋势进行收拾。

期望此份陈述能引发我们对网络安全开展趋势的考虑，为读者带来价值。绿盟科技将依托技能产品和服务，秉承“专攻术业，成果所托”的主旨，尽心为用户的安全系统赋能，极力加强用户信息化安全系统建造，全力服务于构筑国家高质量开展的网络安全屏障，为全面加强国家网络安全保障系统继续贡献力量。