國外國防供應(yīng)鏈安全現(xiàn)狀及應(yīng)對舉措

國外國防供應(yīng)鏈安全現(xiàn)狀及應(yīng)對舉措天研究院01供應(yīng)鏈安全與國家安全02國防供應(yīng)鏈的安全風(fēng)險03美方武器系統(tǒng)供應(yīng)鏈安全認(rèn)知總結(jié)0101供應(yīng)鏈安全與國家安全?布什政府認(rèn)識到美國可以滲入朝鮮核計劃，接著布什總統(tǒng)對朝鮮導(dǎo)彈供應(yīng)鏈開展了深?奧巴馬政府認(rèn)為：在核威懾失敗時可將對朝導(dǎo)彈供應(yīng)鏈的攻擊作為滲入朝導(dǎo)計劃的一Page4Page5朝鮮導(dǎo)彈殘片美方通過朝鮮光明星-3的導(dǎo)彈殘片，分析，發(fā)現(xiàn)其絕大多數(shù)元器件均來自美國、英國和韓國。還發(fā)現(xiàn)光明星-3上使用其他來源的電子元器件（如照相機(jī)電磁干擾過濾器和壓力傳送器這些情況說明，朝鮮導(dǎo)彈計劃可通過對供應(yīng)鏈進(jìn)行攻擊而滲入。國防供應(yīng)鏈的安全風(fēng)險軟硬件供應(yīng)鏈安全相關(guān)的攻擊案例Page7網(wǎng)絡(luò)安全影響傳統(tǒng)安全的典型案例—SolarWinds網(wǎng)絡(luò)安全影響傳統(tǒng)安全的典型案例—SolarWinds事件?2020年12月13日，《華盛頓郵報》報道，美國知名IT公司SolarWinds旗下的Orion網(wǎng)絡(luò)監(jiān)控軟件更新服務(wù)器遭黑客入侵并植入惡意代碼，本次供應(yīng)鏈攻擊以及多家全球500強(qiáng)企業(yè)。SolarWindsSolarWinds客戶群（部分）SUNBURST后門的指令功能引自安天分析報告《SolarWinds旗下軟件被用于供應(yīng)鏈攻擊事件分析》Page8CIA控制瑞士公司，長期竊聽120國機(jī)密2020年2月疫情嚴(yán)重期間，《華盛頓郵報》報道稱，CIA自二戰(zhàn)后長期控制瑞士密碼機(jī)公司CryptoAG，在其產(chǎn)品中植入漏洞，借此竊聽全球120多個國家的最高機(jī)密。Page9左圖為4名NSA工作人員打開擬交付的思科產(chǎn)品包裝右圖為預(yù)制后門器件操作臺美方武器系統(tǒng)供應(yīng)鏈安全認(rèn)知美方武器系統(tǒng)網(wǎng)空安全風(fēng)險分析及其改善安全現(xiàn)狀的重要舉措?26美元的軟件被用來破壞伊拉克戰(zhàn)場上的關(guān)鍵武器（懷疑伊朗支持）?Skygrabber軟件，截獲未加密通信鏈路上的實時視頻?計算機(jī)病毒攻擊美軍無人機(jī)系統(tǒng)?“捕食者”和“死神”無人機(jī)系統(tǒng)感染病毒，秘密任務(wù)系統(tǒng)被安裝鍵盤記錄器，對加密和未加密系統(tǒng)進(jìn)行攻擊，利用GPS欺騙漏洞?黑客攻擊了聯(lián)邦航空管理局（FAA）空中交通網(wǎng)絡(luò)《武器系統(tǒng)網(wǎng)絡(luò)安全——國防部開始解決大規(guī)模漏洞問題》《武器系統(tǒng)網(wǎng)絡(luò)安全——國防部開始解決大規(guī)模漏洞問題》《武器系統(tǒng)網(wǎng)絡(luò)安全：國防部借助指南更好地與承包商溝通項目要求》2021年3月報告稱美國防部在保護(hù)武器系統(tǒng)免受網(wǎng)絡(luò)威脅方面面臨巨大挑戰(zhàn)。這是由武器系統(tǒng)計算機(jī)化的本質(zhì)、武器系統(tǒng)網(wǎng)絡(luò)安全起步晚、以及對武器系統(tǒng)安全性理解不夠等綜合決定的。隨著國防部武器系統(tǒng)的軟件化和網(wǎng)絡(luò)化趨勢不斷加強(qiáng)，這一問題亟待解決。一直以來，國防部將網(wǎng)絡(luò)安全工作的重點放在保護(hù)網(wǎng)絡(luò)和傳統(tǒng)IT系統(tǒng)，直到最近才開始研究如何更好地解決武器系統(tǒng)網(wǎng)絡(luò)安全問題。計劃投入約1.66萬億美元來開發(fā)目前的武器系統(tǒng)組合，這些武器對維持美國的軍事優(yōu)勢和威懾力至關(guān)重要。相比于2018年10月GAO發(fā)布的研究報告而言，2021年的報告提出的措施建議更加聚焦，其核心觀點是：要降低武器裝備網(wǎng)絡(luò)安全風(fēng)險，必須在開發(fā)需求和合同階段明確網(wǎng)絡(luò)安全要求。美國國防部武器系統(tǒng)比以往更加依賴于軟件和IT，并且更加網(wǎng)絡(luò)化。自動化和連通性成為美國現(xiàn)代軍事能力的基本推動力，但它們使武器系統(tǒng)更容易受到網(wǎng)空攻器系統(tǒng)的網(wǎng)絡(luò)安全問題。嵌入式軟件和信息技術(shù)系統(tǒng)在武器系統(tǒng)中普遍存在多種因素促成了國防部武器系統(tǒng)網(wǎng)絡(luò)安全的現(xiàn)狀，具體包括：?美國國防部武器系統(tǒng)的日益計算機(jī)化；比以往更加依賴商業(yè)軟件和IT實現(xiàn)預(yù)期的性能；自動化和連通性成為現(xiàn)代軍事能力的基本推動力，使武器系統(tǒng)更容易受到網(wǎng)空攻擊。武器包括眾多接口，擴(kuò)大了武器系統(tǒng)被攻擊面（基于保密原因，通過虛構(gòu)的武器系統(tǒng)表示）武器系統(tǒng)連接到到許多其他系統(tǒng)的網(wǎng)絡(luò)，間接連接到公共互聯(lián)網(wǎng)美DOD武器系統(tǒng)連接到國防部信息網(wǎng)絡(luò)，同時也會連接到外部網(wǎng)絡(luò)，例如國防承包商的網(wǎng)絡(luò)。此外，一些武器系統(tǒng)可能不直接連接到網(wǎng)絡(luò)，而是連接到其他系統(tǒng)（如武器系統(tǒng)連接到到許多其他系統(tǒng)的網(wǎng)絡(luò)，間接連接到公共互聯(lián)網(wǎng)面臨的挑戰(zhàn)目前，國防部仍在學(xué)習(xí)如何更好地解決武器系統(tǒng)網(wǎng)絡(luò)安全問題，為了改善武器系統(tǒng)網(wǎng)絡(luò)安全狀況，?由于武器系統(tǒng)可能是非常龐大、非常復(fù)雜的系統(tǒng)，具有相互依賴性，因此更新系統(tǒng)的一個組件可能會影響其他組件。?國防部面臨信息共享的障礙，主要體現(xiàn)在信息共享的障礙和網(wǎng)絡(luò)安全人才挑戰(zhàn)兩方面。這嚴(yán)重阻礙了國防部在程序內(nèi)和程序之間共享漏洞和威脅信息的能力。共享有關(guān)網(wǎng)空漏洞和威脅信息的挑戰(zhàn)挑戰(zhàn)示例對連接系統(tǒng)的有限洞察力來自具有高度關(guān)聯(lián)武器系統(tǒng)的計劃的官員表示，他們的系統(tǒng)只有最薄弱的環(huán)節(jié)才能安全，但他們沒有關(guān)于由于分類而連接到的系統(tǒng)的漏洞的信息。獲取攻擊細(xì)節(jié)的問題如果武器系統(tǒng)遭受網(wǎng)空攻擊，由于該信息的分類類型，國防部計劃官員將不會從情報界提供該攻擊的具體細(xì)無法利用跨程序的信息負(fù)責(zé)評估武器系統(tǒng)網(wǎng)絡(luò)漏洞并制定降低風(fēng)險戰(zhàn)略的國防部長官員辦公室不允許與其他計劃分享他們對特定漏洞的了解。不知情的運(yùn)營商包括維護(hù)者在內(nèi)的一些系統(tǒng)操作員沒有訪問威脅或漏洞信息的許可。部署時無法獲取機(jī)密信息一些海軍艦艇沒有接收或存儲高度機(jī)密信息的設(shè)施。測試顯示：正在開發(fā)的大多數(shù)武器系統(tǒng)存在嚴(yán)重漏洞，且漏洞全部范圍還處在未知狀態(tài)。?從2012年到2017年，國防部測試人員在幾乎所有正在開發(fā)的武器系統(tǒng)中發(fā)現(xiàn)關(guān)鍵任務(wù)的網(wǎng)絡(luò)漏洞。測試人員使用相對簡單的工具和技術(shù)，就能夠控制這些系統(tǒng)并且規(guī)避被檢出。?由于測試時間短、信息保密、測試的范圍和復(fù)雜程度有限等多種原因，網(wǎng)絡(luò)安全評估并未反映出武器系統(tǒng)在運(yùn)行中可能面臨的各種威脅。由于網(wǎng)絡(luò)安全測試的限制，國防部發(fā)現(xiàn)的漏洞數(shù)量可能遠(yuǎn)遠(yuǎn)少于實際漏洞數(shù)量?2017年2月，美國國防科技委員會（DSB）發(fā)布報告《網(wǎng)絡(luò)空間供應(yīng)鏈安全》；?美國防部供應(yīng)鏈的供應(yīng)商包括多個工業(yè)領(lǐng)域的企業(yè)，各個企業(yè)間也彼此互銷產(chǎn)品，根本無法保證各個流程中薄弱環(huán)節(jié)不被利用。F-35某部件安裝之前經(jīng)15級中間供應(yīng)商以商用現(xiàn)貨采購為主，是大多數(shù)元器件采購來源，也是采購供應(yīng)鏈和由主承包商主導(dǎo)，用于支持武器系統(tǒng)的開由國防部武器裝備維護(hù)部門或裝備集成商設(shè)計和主導(dǎo)，主要采購裝備維修用供應(yīng)商數(shù)量眾多，介對供應(yīng)商有一定的審查要因國防部需求只占全球總市場極小份額，攻擊一旦介入，可知曉元器件在整個系統(tǒng)中的作用，提供攻擊精確可明確知道精準(zhǔn)位置，攻?三個不同的供應(yīng)鏈呈現(xiàn)廣泛的攻擊面?全球商業(yè)供應(yīng)鏈：最容易被惡意入侵；?國防采辦供應(yīng)鏈：惡意入侵表較容易介入；?國防維持供應(yīng)鏈：對復(fù)雜高級對手最具吸引力。?供應(yīng)鏈攻擊主要基于兩種類型：惡意插入過程攻擊者利用潛在漏洞繞過惡意插入過程《網(wǎng)絡(luò)空間供應(yīng)鏈安全》研究報告指出?武器系統(tǒng)整個生命周期中都可能存在漏洞；?目前已部署的武器系統(tǒng)中，元器件很可能存在?到2025年，部署的這類有缺陷系統(tǒng)所具備的功能將占全部軍事能力的80%。?理解供應(yīng)鏈風(fēng)險：擴(kuò)展漏洞評估，各軍種主管與軍隊采購執(zhí)行官每年至少舉行一次“網(wǎng)絡(luò)覺醒”演習(xí)，?減輕潛在脆弱性：改進(jìn)檢測和報告能力，USD（AT＆L）指導(dǎo)DASD（研究部）和國防高級研究計劃局?改變采購方式：加強(qiáng)項目保護(hù)計劃、提高供應(yīng)商審查及時性、改善系統(tǒng)工程、有效利用聯(lián)合聯(lián)邦保證中心?支持生命周期操作：為指定部署系統(tǒng)開發(fā)維護(hù)程序的持續(xù)性保障計劃、收集零部件漏洞并采取相應(yīng)措施；制定并發(fā)布指南類文件，確保項目采購符合相關(guān)需求；針對關(guān)鍵部件供應(yīng)鏈的可見性進(jìn)行研究，并將相關(guān)信息納入到國防部應(yīng)用程序數(shù)據(jù)庫。?尋求技術(shù)解決方案：與先進(jìn)制造商建立合作關(guān)系；國防高級研究計劃局（DARPA）和情報高級研究計劃局（IARPA）持續(xù)投資研發(fā)分離式制造解決方案；制定并發(fā)布指南類文件，確保設(shè)計工具鏈的完整性和安全性；要求特定部門向國防部提供可信賴的元器件。Page20美方提高武器系統(tǒng)網(wǎng)絡(luò)安全采取的措施—政國防部加強(qiáng)網(wǎng)絡(luò)系統(tǒng)安全相關(guān)策略時間線Page21美近年發(fā)布/更新的關(guān)于國防供應(yīng)鏈安全的相關(guān)政策國防部可信系統(tǒng)與網(wǎng)絡(luò)戰(zhàn)略的實施，在關(guān)鍵系統(tǒng)的全壽命周期對任務(wù)關(guān)鍵功能和部件進(jìn)行風(fēng)險管理。主要方法包括供應(yīng)鏈風(fēng)險管理、軟件可靠性、安全設(shè)計要求國防部長為國防工業(yè)基礎(chǔ)制定流暢的數(shù)字化國防供應(yīng)鏈風(fēng)險管對國防承包商處理國防受控非密信息（CUI）提出具對受控非密信息處理、存儲或傳輸，以及為這些功能的實現(xiàn)提供安全保護(hù)的非聯(lián)邦系統(tǒng)和機(jī)構(gòu)（國防供應(yīng)商要求對國防采辦項目運(yùn)用系統(tǒng)安全工程方法，制定項目保護(hù)計劃，對關(guān)鍵項目信息、任務(wù)關(guān)鍵功能及信息的各采辦途徑下的測試與評估政策、職能和流確立國防部采辦流程中決策機(jī)構(gòu)和項目經(jīng)理對網(wǎng)絡(luò)安全風(fēng)險進(jìn)行管理的管理政策、職能和流要求對關(guān)鍵產(chǎn)品和行業(yè)的供應(yīng)鏈風(fēng)險進(jìn)行“全球供應(yīng)鏈調(diào)查”；要求對現(xiàn)有國防（和其他）工業(yè)基礎(chǔ)進(jìn)行重《國家安全戰(zhàn)略臨時指南》Page22軍事部門建立了以網(wǎng)絡(luò)安全為中心的武器系統(tǒng)辦公室，以改善武器系統(tǒng)的網(wǎng)絡(luò)安全狀況。軍事服務(wù)計劃專注于武器系統(tǒng)網(wǎng)絡(luò)安全幫助確保關(guān)鍵作戰(zhàn)信息技術(shù)和系統(tǒng)組件及的生存Page23聯(lián)合聯(lián)邦保證中心（JFAC）?目標(biāo)：2015年2月成立，運(yùn)行并制度化安全保障能力；?國防部各部門組成的一個聯(lián)合機(jī)構(gòu)，通過來自軍事部門、國防機(jī)構(gòu)和其他國防部組織的內(nèi)部協(xié)調(diào)組織和設(shè)施聯(lián)合，開發(fā)、維護(hù)并提供軟硬件漏洞檢測、分析和補(bǔ)救能力。JFAC成員分布聯(lián)合采購保護(hù)與開發(fā)部門（JAPEC）?2016年成立，旨在形成一種聯(lián)合分析力量，用于評估技術(shù)信息損失并確定所造成的影響，進(jìn)而指導(dǎo)采購需求及戰(zhàn)略方針制定；?使命：減少國防部企業(yè)的受控技術(shù)信息（CTI）風(fēng)險，開發(fā)相關(guān)方案以阻止、拒絕和破壞可能威脅美國軍事優(yōu)勢的對手。Page24網(wǎng)絡(luò)安全成熟度模型認(rèn)證（CMMCV1.0）?評估公司網(wǎng)絡(luò)安全成熟度的模型，旨在讓經(jīng)認(rèn)可的第三方評估所有與美國國防部有業(yè)務(wù)往來的公司，并依據(jù)模型成熟度級別，確定企業(yè)網(wǎng)空安全成熟度水平。?CMMC框架由域、能力、規(guī)程和流程組成，目前共有17個域。?CMMC模型共分為五個級別：包含17個領(lǐng)域和43種功能，跨5個級別的5個流程來衡量流程成熟度；以及171個跨級別的規(guī)程來衡量技術(shù)能力。CMMC的域、能力、規(guī)程和流程（V1.0） Page25??保護(hù)敏感信息以啟用和保護(hù)作戰(zhàn)人員?動態(tài)增強(qiáng)國防工業(yè)基礎(chǔ)網(wǎng)絡(luò)安全以應(yīng)對不斷變化的威脅?確保問責(zé)制，同時最大限度地減少遵守國防部要求的障礙?為灌輸網(wǎng)絡(luò)安全和網(wǎng)絡(luò)彈性的協(xié)作文化做貢獻(xiàn)?通過高專業(yè)和道德標(biāo)準(zhǔn)保持公眾信任網(wǎng)絡(luò)安全成熟度模型認(rèn)證（CMMCV2.0）CMMC2.0的主要特點2021年11月，美國防部發(fā)布CMMC2.0版，更新相關(guān)計劃和要求。將原來的五個級別簡化為基礎(chǔ)（Foundational）、高級（Advanced）和專家級CMMC2.0的主要特點CMMC2.0引入的關(guān)鍵變化1流線型模型?專注于最關(guān)鍵的要求：將模型從5個合規(guī)級別簡化為3個級別?符合廣泛接受的標(biāo)準(zhǔn)：使用美國國家標(biāo)準(zhǔn)與技術(shù)研究院(NIST)網(wǎng)絡(luò)安全2可靠的評估?降低評估成本：允許所有1級（基礎(chǔ)）公司和部分2級（高級）公司?更高的問責(zé)制：加強(qiáng)對第三方評估員專業(yè)和道德標(biāo)準(zhǔn)的監(jiān)督3靈活的實施?合作精神：允許公司在某些有限的情況下制定行動計劃和里程碑（POA&Ms）以獲得認(rèn)證?增加靈活性和速度：允許在某些有限情況下豁免CMMC要求Page26?政企數(shù)據(jù)交換計劃（GIDEP）?國防部為促進(jìn)政府機(jī)構(gòu)和行業(yè)合作伙伴之間的技術(shù)信息共享而制定；?提高系統(tǒng)的安全性、可靠性和就緒性，并降低系統(tǒng)開發(fā)、生產(chǎn)和所有權(quán)成本。?項目保護(hù)計劃（PPP）：是一類單一來源的文檔，用于指導(dǎo)協(xié)調(diào)和整合主要國防采購項目的所有保護(hù)工作。內(nèi)容包括：確定項目的關(guān)鍵信息、任務(wù)關(guān)鍵功能和組件；項目面臨的潛在威脅和脆弱性；應(yīng)用對策以減輕相關(guān)風(fēng)險的計劃；并規(guī)劃可出口性和外國參與項目的可能性。?國家工業(yè)安全計劃（NISP建立聯(lián)邦政府和私營企業(yè)之間的一種合作伙伴關(guān)系，旨在保護(hù)機(jī)密信息。四大原則：實現(xiàn)安全規(guī)程的統(tǒng)一、在安全規(guī)程中執(zhí)行互惠原則、消除重復(fù)或不必要的要求、降低安全成本。?網(wǎng)空供應(yīng)鏈風(fēng)險管理計劃（C-SCRM由NIST于2008年啟動，旨在響應(yīng)《國家網(wǎng)絡(luò)安全綜合計劃》（CNCI）第11項提出的“制定多管齊下的方?“網(wǎng)絡(luò)覺醒”演習(xí)：各軍事部門該演習(xí)來測試供應(yīng)鏈安全的脆弱性，評估系統(tǒng)的脆弱程度，并參考評估結(jié)GIDEP計劃數(shù)據(jù)庫果及時培訓(xùn)采購作戰(zhàn)和維護(hù)人員。Page27DARPA近年典型供應(yīng)鏈安全相關(guān)技術(shù)項目DARPA近年典型供應(yīng)鏈安全相關(guān)技術(shù)項目大型遺留軟件的可驗證安全與性能增解決系統(tǒng)運(yùn)維安全。利用形式化軟件驗證技術(shù)和增量式軟件工程，打造軟件驗證與重構(gòu)工解決系統(tǒng)開發(fā)階段的安全。開發(fā)系統(tǒng)工程方法提高嵌入式系統(tǒng)的網(wǎng)絡(luò)安全檢查能力和工具解決采購和部署過程的安全。開發(fā)快速、規(guī)?；瘷z測商業(yè)產(chǎn)品相關(guān)軟件/固件中是否存在后自動實現(xiàn)應(yīng)用程序的結(jié)構(gòu)化陣列硬件解決系統(tǒng)應(yīng)用過程的安全,設(shè)計、開發(fā)和制造具有安全對策技術(shù)的專用集成電路（ASIC）處解決系統(tǒng)設(shè)計過程的安全,將可擴(kuò)展防御機(jī)制整合到芯片設(shè)計中的過程。通過硬件和固件集成的系統(tǒng)安全開發(fā)可嵌入到服務(wù)器、物聯(lián)網(wǎng)設(shè)備和智能手機(jī)的專用集成電供應(yīng)鏈硬件完整性電子防御（SHIELD解決生產(chǎn)和應(yīng)用和維護(hù)階段的安全可信性。通過微型、低功耗傳感器建立電子器件的可追Page28其他國家近年來加強(qiáng)國防供應(yīng)鏈安全政策組織/國家發(fā)布/更新時間《綜合物流施政推進(jìn)計劃2017～2020年度》內(nèi)容涉及：供應(yīng)鏈協(xié)同，提高物流效率，如外包方與物流企業(yè)的合作、物流企