根据德勤的数据，91%的网络攻击与网络钓鱼有关，供应链攻击也不例外。通过了解并预防这种常见威胁，DevOps 组织可以显著提高对这些攻击的恢复能力。

什么是网络钓鱼?

网络钓鱼是网络犯罪分子用来诱骗泄露敏感信息的一种方法。他们通过创建合法网站或电子邮件的副本诱骗使用者提供密码、信用卡号和社会安全号码等个人信息。

网络钓鱼攻击有多种形式，其中最常见的包括电子邮件欺骗，攻击者创建一个看起来与合法网站相同的假网站，并将其以看似可信来源的电子邮件形式发送。

无论使用哪种方法，目标都是一样的：诱骗敏感信息。网络钓鱼对个人和企业都是一个严重的威胁。这不仅仅是赔钱，还可能导致身份盗窃，损害声誉，甚至法律后果。

网络钓鱼对软件供应链的影响

大型攻击的入口点

供应链是网络钓鱼攻击的主要目标。因为这为更大规模的攻击提供了入口点。例如，对供应商的网络钓鱼攻击可能会危及其安全性，允许攻击者渗透到下游使用其软件的组织。这种攻击可能导致敏感信息泄露，业务中断，甚至合规风险。

信息盗窃

信息盗窃是与供应链网络钓鱼攻击相关的重大风险之一。当供应商成为网络钓鱼攻击的受害者时，攻击者可以访问属于供应商的大量有价值的信息，在某些情况下，还可以访问属于其客户或合作伙伴的大量有价值的信息。这可能包括从财务数据到专有业务信息的所有内容。信息的丢失可能会产生严重影响，如导致财务损失、公司声誉受损和法律后果。

运营中断

与供应链上的网络钓鱼攻击相关的另一个重大风险是运营中断。成功的网络钓鱼攻击可能会危及供应商的系统或依赖该供应商的组织系统，从而导致供应链的停机和延迟。可能导致销售损失，客户关系受损，甚至可能导致业务失败。

合规风险

最后，针对供应链的网络钓鱼攻击可能导致合规风险。许多行业在数据安全方面都有严格的规定。如果网络钓鱼攻击导致数据泄露，相关公司可能面临巨额罚款和处罚。此外，数据泄露可能会损害公司的声誉，使未来的业务更加困难。

保护 DevOps 管道的实际步骤

1. 实施安全意识培训

应对网络钓鱼风险的第一步也是最关键的一步是实施安全意识培训。这包括教育所有团队成员有关各种形式的网络钓鱼攻击以及如何识别它们。

安全意识培训的另一个重要方面是教员工如何应对可疑的网络钓鱼。他们应该知道要采取的步骤，例如不要点击可疑电子邮件中的任何链接，向IT部门报告事件并删除电子邮件。

2. 部署反网络钓鱼工具和技术

虽然意识和教育至关重要，但它们本身不足以防止网络钓鱼攻击。这就是反网络钓鱼工具和技术发挥作用的地方。这些工具可以帮助检测网络钓鱼尝试并防止它们到达预期目标。

反网络钓鱼工具包括检测和阻止网络钓鱼邮件的电子邮件过滤器，当用户尝试访问网络钓鱼网站时发出警告的浏览器加载项，以及甚至可以识别复杂网络钓鱼意图的基于人工智能的工具。

3. 将安全性纳入软件开发生命周期 (SDLC)

将安全性纳入软件开发生命周期(SDLC)是应对网络钓鱼风险的另一个关键步骤。在软件开发的所有阶段都考虑安全性，从计划和设计到编码、测试和部署。

在设计软件系统时，安全性应该是首要考虑的因素。包括设计能够抵御网络钓鱼攻击的系统，例如，通过使用安全编码实践来防止出现网络钓鱼者可以利用的常见漏洞。

在编码和测试阶段，定期进行安全审计和漏洞评估以识别网络钓鱼者可能利用的任何潜在缺陷，同时识别的漏洞应及时处理。

最后，在部署阶段，确保安全配置所有软件组件并及时应用安全补丁或进行更新，有助于防止利用软件漏洞的网络钓鱼攻击。

4. 定期网络钓鱼模拟和演习

最后，定期进行网络钓鱼模拟和演习是测试网络钓鱼预防措施有效性的方法。这些模拟包括向员工发送模拟网络钓鱼邮件，测试其反应情况。研究结果可以为进一步培训或技术领域提供有价值的见解。

参读来源：

https://devops.com/what-devops-teams-should-know-about-phishing-and-the-supply-chain/