10 月 21 日 22:13艾體寶安全團(tuán)隊(duì)收到 Mend.io ?發(fā)出的零日漏洞提醒?團(tuán)隊(duì)登錄平臺(tái)核對(duì)組件清單。3 分鐘后確認(rèn)組織內(nèi)沒(méi)有版本交集隨即完成影響確認(rèn)。這背后是?艾體寶 Mend.io 的組件清單管理與持續(xù)安全監(jiān)測(cè)能力?。平臺(tái)能夠追蹤新出現(xiàn)的供應(yīng)鏈威脅將事件與平臺(tái)中已有的組件清單進(jìn)行比對(duì)研判。用戶收到告警后登錄平臺(tái)即可查看事件詳情與組織內(nèi)的影響情況快速確認(rèn)自身是否受到影響。22:13安全事件告警抵達(dá)客戶郵箱北京時(shí)間 10 月 21 日 22:13Mend.io 平臺(tái)針對(duì)LiteLLM 1.107.0 供應(yīng)鏈攻擊事件發(fā)出 Zero-Day Event 郵件通知并將該事件納入 Mend Zero-Day 事件目錄。此次事件中攻擊者將惡意代碼植入發(fā)布至 Python 包索引 PyPI 的 LiteLLM 1.107.0 版本。根據(jù) Mend.io 安全研究團(tuán)隊(duì)發(fā)布的分析該版本攜帶了憑證竊取程序及遠(yuǎn)程代碼加載器可在 Python 啟動(dòng)時(shí)執(zhí)行惡意操作竊取開(kāi)發(fā)環(huán)境中的各類敏感憑證并具備加載、執(zhí)行遠(yuǎn)程代碼的能力。受影響范圍不僅涉及直接使用該組件的應(yīng)用還可能延伸至相關(guān)開(kāi)發(fā)環(huán)境、容器鏡像及部署流程。面對(duì)這類突發(fā)供應(yīng)鏈安全事件企業(yè)首先需要回答的往往不是漏洞的技術(shù)原理而是一個(gè)更緊迫的問(wèn)題自己的哪些項(xiàng)目使用了受影響的組件傳統(tǒng)人工排查需要開(kāi)發(fā)、安全及運(yùn)維團(tuán)隊(duì)分別檢查項(xiàng)目依賴、版本記錄和部署環(huán)境。在項(xiàng)目數(shù)量較多、依賴關(guān)系復(fù)雜的情況下這一過(guò)程可能耗費(fèi)大量時(shí)間。而在本次事件中Mend.io 通過(guò)平臺(tái)主動(dòng)發(fā)送告警提醒客戶及時(shí)查看事件詳情并核查組織內(nèi)部的實(shí)際暴露情況。從持續(xù)監(jiān)控到主動(dòng)告警不必等到風(fēng)險(xiǎn)發(fā)生后才開(kāi)始排查Mend Zero-Day Event 的價(jià)值不僅在于發(fā)現(xiàn)一項(xiàng)新的安全事件更在于將外部安全情報(bào)、企業(yè)軟件資產(chǎn)和實(shí)際風(fēng)險(xiǎn)排查連接起來(lái)。第一步持續(xù)掌握軟件組件情況。企業(yè)的軟件項(xiàng)目通常依賴大量開(kāi)源組件這些組件會(huì)隨著開(kāi)發(fā)、升級(jí)和部署不斷變化。通過(guò)軟件組成分析SCA及軟件物料清單SBOM等能力Mend.io 幫助企業(yè)識(shí)別和管理項(xiàng)目中的開(kāi)源依賴為后續(xù)安全事件影響分析提供資產(chǎn)依據(jù)。第二步跟蹤重大安全事件并及時(shí)告警。當(dāng)出現(xiàn)新的重大漏洞或供應(yīng)鏈攻擊事件時(shí)Mend.io 會(huì)將相關(guān)風(fēng)險(xiǎn)納入平臺(tái)的 Zero-Day 事件管理流程并通過(guò)平臺(tái)界面及相應(yīng)通知機(jī)制提醒客戶。企業(yè)不必完全依賴安全人員主動(dòng)搜索外部漏洞公告才能意識(shí)到風(fēng)險(xiǎn)的出現(xiàn)。第三步關(guān)聯(lián)企業(yè)項(xiàng)目快速確認(rèn)影響范圍。收到告警后客戶可以登錄 Mend.io 平臺(tái)查看事件詳情并檢查相關(guān)應(yīng)用和項(xiàng)目是否存在受影響的組件。對(duì)于確認(rèn)不受影響的組織可以及時(shí)完成核查并明確當(dāng)前狀態(tài)如果發(fā)現(xiàn)受影響項(xiàng)目則可以進(jìn)一步定位組件、評(píng)估風(fēng)險(xiǎn)并安排修復(fù)。這一機(jī)制將原本分散在外部漏洞信息、項(xiàng)目依賴清單和內(nèi)部排查流程中的工作連接起來(lái)幫助企業(yè)縮短從風(fēng)險(xiǎn)出現(xiàn)到確認(rèn)自身影響的時(shí)間。不只是一次告警而是持續(xù)運(yùn)行的風(fēng)險(xiǎn)管理機(jī)制10 月 21 日的 LiteLLM 供應(yīng)鏈攻擊事件展示了 Mend.io 將新興安全風(fēng)險(xiǎn)及時(shí)傳遞給客戶的能力。同日Mend.io 還發(fā)布了關(guān)于 PHP2Shell 的技術(shù)分析指出 PHP 運(yùn)行時(shí)中的兩項(xiàng)嚴(yán)重遠(yuǎn)程代碼執(zhí)行漏洞并介紹了如何利用容器掃描、Mend SCA 和依賴更新工作流識(shí)別受影響資產(chǎn)、推進(jìn)修復(fù)。這兩類事件也體現(xiàn)出軟件供應(yīng)鏈安全管理的一個(gè)共同難點(diǎn)風(fēng)險(xiǎn)信息不斷變化但企業(yè)必須始終掌握自己的軟件資產(chǎn)并能夠迅速判斷外部風(fēng)險(xiǎn)是否與自身相關(guān)。對(duì)于企業(yè)而言真正有效的安全管理不應(yīng)止步于定期掃描或收到漏洞公告后臨時(shí)組織排查而應(yīng)建立一套持續(xù)運(yùn)轉(zhuǎn)的機(jī)制資產(chǎn)持續(xù)可見(jiàn)掌握項(xiàng)目使用的開(kāi)源組件及其依賴關(guān)系。風(fēng)險(xiǎn)及時(shí)觸達(dá)在重大安全事件出現(xiàn)時(shí)及時(shí)接收平臺(tái)告警。影響快速確認(rèn)將外部風(fēng)險(xiǎn)與內(nèi)部項(xiàng)目關(guān)聯(lián)縮小人工排查范圍。后續(xù)處置有據(jù)可依對(duì)受影響資產(chǎn)開(kāi)展風(fēng)險(xiǎn)評(píng)估、修復(fù)和復(fù)核。安全事件無(wú)法完全避免但企業(yè)可以通過(guò)持續(xù)的資產(chǎn)管理與主動(dòng)告警機(jī)制減少發(fā)現(xiàn)風(fēng)險(xiǎn)、確認(rèn)影響和啟動(dòng)響應(yīng)之間的時(shí)間差。從收到一封告警郵件到快速確認(rèn)組織是否受到影響Mend.io 希望幫助企業(yè)把安全響應(yīng)從“事件發(fā)生后再排查”推進(jìn)到“風(fēng)險(xiǎn)出現(xiàn)時(shí)及時(shí)感知、快速定位并采取行動(dòng)”。