国家安全部警示：严防软件“供应链投毒”危机

根据徽声在线从国家安全部微信公众号获取的信息，国家网络安全通报中心近期监测发现，供应链投毒攻击事件呈现集中爆发态势，涉及开源软件仓库和商用工具这两大核心供应链场景。这类“供应链投毒”事件普遍具有攻击隐蔽性强、影响范围广、危害程度高以及传播速度快等显著特征，可能引发凭据被窃取、远程代码执行以及敏感数据泄露等一系列严重后果。

软件供应链，作为软件从组件获取、开发集成、版本分发直至最终交付终端用户使用的完整流程链条，与直接针对终端的网络攻击存在本质区别。“供应链投毒”采用的是一种典型的“上游污染、下游传导”模式。攻击者通过劫持开发者官方账号、篡改开源代码仓库源码、污染软件安装包与发布版本等手段，将恶意程序悄然植入各类软件之中。随着软件的发布与更新，这些潜伏的“毒瘤”便被源源不断地输送至海量终端设备，造成难以估量的损失。

软件“供应链投毒”所引发的，并非单一节点的安全故障，而是全域感染的系统性危机，其影响范围之广、危害程度之深，令人触目惊心。

——传播范围难以有效控制。基础组件作为软件开发的基石，往往被数以万计的软件所依赖。一旦某个核心组件被污染，所有使用该组件的软件都将受到波及，风险将随着代码依赖链不断扩散，形成难以遏制的连锁反应。

——账号密钥安全岌岌可危。开发环境和服务器中往往保存着账号密码、API密钥、加密证书等重要凭证。一旦这些“钥匙”被攻击者窃取，将导致个人隐私、工作敏感信息泄露，给个人和企业带来巨大损失。

——终端设备沦为攻击者傀儡。被“投毒”的组件可能偷偷连接攻击者服务器，接收远程指令，从而窃取文件、数据，甚至将被控设备用于对外攻击、非法“挖矿”等恶意行为，严重威胁网络安全。

——安全修复周期漫长且复杂。与普通漏洞相比，“供应链投毒”的修复往往更为棘手。它需要先查清上游组件问题，再逐一推动下游软件更新、测试与重新发布，处置成本较高，周期较长，给企业带来沉重负担。

从开发厂商到运营平台，再到亿万终端用户，软件供应链的安全离不开链条上的每一个主体。只有多管齐下、协同发力，才能有效抵御侵袭，保障网络安全。

——严守“入口关”，确保软件来源安全。软件开发者应坚持从官方网站获取开源组件、插件和研发工具，避免使用来源不明的网盘资源、破解版工具和第三方安装包。在引入开源组件时，需依托国家级漏洞平台核查组件漏洞与补丁信息，确保软件来源的可靠性和安全性。

——强化“依赖链”管理，全面掌握组件情况。研发管理部门应建立软件物料清单管理机制，全面掌握系统中开源组件、第三方库及插件工具的来源、维护、漏洞等情况。对长期无人维护、来源不清、版本过旧、权限过高的组件，应及时替换或降权使用。重点系统上线前，应开展代码安全检测、依赖项扫描和恶意代码排查，确保系统安全无虞。

——紧盯“运行端”，加强环境隔离与监控。网络运维部门应加强开发环境、测试环境、生产环境隔离，避免核心服务器、代码仓库、构建平台直接暴露在公网。对服务器异常外联、陌生进程启动、异常账号登录、流量突然升高等情况，要及时预警处置。发现高风险组件后，应立即排查受影响系统，及时升级安全版本；暂时无法升级的，应采取断网隔离、关闭相关功能、回退安全版本等措施，确保系统稳定运行。

——明确“责任方”，纳入日常管理。单位用户应明确软件供应链安全责任部门和责任人，将开源组件使用、第三方软件采购、系统上线验收、安全更新处置纳入日常管理。采购商业软件、外包开发和技术服务时，应在合同中明确安全检测、漏洞修复、组件来源、数据保护和应急响应责任，不能只重功能、不问安全，确保软件供应链的每一个环节都得到有效管控。

——避开“非官方”渠道，保护个人信息安全。个人用户应尽量通过官方网站、正规应用商店下载软件，不随意安装破解版、绿色版以及来历不明的插件。同时，不轻易运行陌生脚本和命令，避免个人信息泄露和设备被攻击的风险。