缩小供应链中的安全漏洞

企业很自然地信任他们的供应商，经常发展长期的合作关系。然而，在过去的几年里，供应链已经成为网络罪犯的主要目标，他们试图利用这种关系经常造成的软肋。除了由不安全的供应链导致的任何数据泄漏或社会工程风险外，许多企业选择在组织之间部署持久的虚拟专用网(VPN)连接，而没有意识到所涉及的固有风险。如果实现得不好，持久的VPN连接可能会对安全保障良好的组织造成严重的安全风险。

vpn是在多个网络之间以安全的方式共享数据的一种有效方式，它加强了隧道中数据的保密性和完整性。然而，在许多情况下，vpn是针对正在传输的数据所采取的唯一数据安全措施。这就产生了一个重要的漏洞，攻击者可以利用它。

这是因为vpn在不同的网络之间创建了一个隧道，就像字面上的物理连接一样。如果攻击者可以破坏一端的主机，那么VPN就可以像一个不透明的管道一样，连接到放置另一端的任何地方，即使这是在一个非常有效的安全体系结构中。虽然客户可能有强大的安全控制，但这可能不是供应商的情况，从而邀请攻击者进入您的数字资产的软肋。

vpn最近也成为了高级持续威胁(Advanced Persistent Threat，简称APT)行动者的攻击目标，国家网络安全中心(NCSC)已就如何检测恶意活动向各组织发布了警告和建议，显示出这种技术的脆弱性日益增强。简单地说，VPN的安全性取决于它的配置和围绕它的附加安全措施，以管理通过它的流量。

现在有大量面向企业的现代VPN技术——从特定于供应商的实现，从您的防火墙或网络监控供应商，到专用设备和强大的开源竞争者，如OpenVPN和Strongswan。然而，业界已经看到了更多遗留VPN协议的案例——特别是没有IPSEC加密的PPTP和L2TP——在这些协议中，历史的实现决策已经损害了现代世界的安全性。因此，最好选择现代的、知名的协议和供应商技术。

为了在任何基于ip的VPN中实现最大程度的安全性，企业应该避免攻击模式，并确保同时启用AH和ESP。他们还应该考虑为安全关联禁用ISAKAMP和IKEv1 (IKEv2目前还可以)。对于OpenVPN和其他基于TLS的选项，企业应该了解底层TLS/SSL密码中可能存在的潜在致命弱点，并采取相应的行动。

为了获得最大的安全性(但可能需要复杂的互操作性)，可以使用TLS-ECDHE-ECDSA-WITH-AES-256-GCM-SHA384这样的密码，AES-256-GCM是可靠的，可以考虑使用Curve25519作为DH交换，而不是更可靠的替代方案。如果你想要一些令人兴奋的东西，试试查查20- poly1305 AEAD。

对今天的中小企业来说，“深入防御”是实现有意义的安全的唯一真正途径。该方法结合了多层控件，这些控件相互支持，而攻击者必须在应用程序、主机和网络之间击败或绕过多层保护。

这种安全层的明智组合，包括主机加固、防火墙、网络隔离以及对进出VPN的数据进行内容检查，将确保一个组织的IT基础设施的所有元素不会同时遭到破坏。这不仅为侦查和响应提供了更多的时间，还降低了组织对路过的网络罪犯的“低挂果”吸引力。此外，不要盲目信任来自供应商的VPN安全端点的流量，将VPN保留在DMZ中，并受其他入站公共连接的相同控制。

我不愿鼓吹GDPR，但保护组织数据变得更为重要。在攻击期间成功利用的不适当部署的第三方VPN连接将与第32条所定义的“考虑当前技术水平”的方法相违背，这可能会将原本安全良好、投资密集型的安全策略的有效性降低到零。

由于新规范要求数据处理程序和控制器分担责任，因此在共享任何数据或提供对其网络的访问之前，企业必须仔细考虑供应商的网络和端点安全性。选择一种深入防御的方法，包括在你的财产中有意地放置和管理vpn，可以帮助企业在面对网络威胁、恶意软件攻击或入侵的后果时保持弹性和漂浮。

vpn是合法的、有用的安全工具，但是在使用时应该非常小心。采取“设计安全”的方法，并将vpn作为分层安全战略的一部分，可以使组织更容易地与他们的供应商链进行接触，在保持保护的同时利用业务利益。