7月20-21日，由國家互聯網信息辦公室指導，國家計算機網絡應急技術處理協調中心（CNCERT/CC）主辦，新華網、中國通信學會協辦的2021年中國網絡安全年會在北京成功召開，本屆年會以“攜手應對數據安全威脅挑戰”為主題，與會嘉賓就數據安全威脅與治理等相關話題展開熱烈探討。盛邦安全CEO權小文應邀出席“網安協同聯動”分論壇并發表主題演講。

盛邦安全CEO權小文發表主題演講

供應鏈攻擊特點： “突破一點，傷及一片”

供應鏈安全被評為RSAC2021年度十大最受關注的安全領域之一，從近年來頻發的供應鏈安全事件便可知曉，而智能制造、智慧工廠等新興模式的出現和快速發展也進一步加劇了供應鏈安全風險和應對的復雜程度，尤其是針對生產制造商的勒索病毒攻擊和APT攻擊，可能會對企業造成直接的經濟損失，嚴重的甚至會危害到國家安全。

供應鏈攻擊的常見手段包括供應鏈安全漏洞、后門、供應鏈污染和社工等等，從目的導向來看，針對供應鏈的攻擊可以分為兩大類：一種是直接攻擊上游廠商，竊取機密情報信息，或者單純為了牟利，例如勒索軟件、挖礦病毒等；另一種則是通過攻擊供應商來獲取0day漏洞、原始口令和特權賬號等，進而再去攻擊關鍵基礎設施單位。概括而言，供應鏈攻擊具有突破口多、破壞力強和波及面廣等特點，一次成功的供應鏈攻擊通常會威脅到多條產業鏈的網絡安全。

“目前通常的供應鏈安全防護方案，往往存在過于復雜，落地難度大、周期長等問題。從我們以往的實踐經驗看，更為高效、經濟的解決方案為：摸清家底，減少暴露面，長期監測。”

——盛邦安全CEO權小文

解決供應鏈安全問題的三個關鍵動作

動作一：摸清家底

利用網絡資產探測平臺系統快速梳理網絡存活資產，獲取設備相關信息、系統組件、應用版本等信息；同時利用大數據分析手段，判定目標類型，鎖定資產詳細內容，形成清晰的資產臺賬；

動作二：減少暴露面

通過互聯網敏感信息監測系統實時監測暴露在互聯網上的代碼、文檔、網絡拓撲、IT系統等敏感信息，快速排查已經存在的敏感信息暴露隱患，有效縮小安全風險暴露面；對于新發布的敏感數據可以提供分鐘級跟進發現速度，為應急處置爭取更多時間。

動作三：長期監測

定期進行脆弱性風險檢測，梳理資產風險，識別和跟蹤主要ICT供應商設備風險，實現及時預警，快速定位和高效處置。

會上還發布了《2020年中國互聯網網絡安全報告》，匯總分析了CNCERT自有監測數據和網絡安全應急服務支撐單位數據，內容涵蓋我國互聯網網絡安全態勢分析、網絡安全監測數據分析、網絡安全事件案例詳解、網絡安全政策和技術動態等多個方面。

一年一度的“中國網絡安全年會”已成為國內網絡安全領域的重要會議，成為國內網絡安全“產、學、研、用”各界進行技術業務交流的橋梁和紐帶，對于提高我國網絡安全保障水平、增強全社會網絡安全意識起到積極作用。