提交需求
*
*

*
*
*
立即提交
点击”立即提交”，表明我理解并同意 《美创科技隐私条款》
免费试用
400-811-3777

logo

    产品与服务
    解决方案
    技术支持
    合作发展
    关于美创
    申请试用
      热门阅读
      1

      暗网数据泄露情报精选周报（2026.11.07-2026.11.13）

      2026-11-13

       2

      仅一个半月，就有上亿条信息泄露！

      2026-11-13

       3

      通知 | 工信部：加强智能体终端设备进网管理

      2026-11-12

       4

      案例 | 涉网络“开盒”、“饭圈”乱象等，最高检发布典型案例

      2026-11-11

       5

      新品｜美创发布诺亚星盾终端数据安全

      2026-11-10
      相关文章

      仅一个半月，就有上亿条信息泄露！

      2026-11-13

      通知 | 工信部：加强智能体终端设备进网管理

      2026-11-12

      案例 | 涉网络“开盒”、“饭圈”乱象等，最高检发布典型案例

      2026-11-11

      演讲 | 李强在2026年世界互联网大会乌镇峰会开幕式上的主旨演讲（全文）

      2026-11-10

      国家数据局：将实施新一轮“数据要素×”三年行动

      2026-11-09
      这家互联网巨头如何在重大供应链攻击中幸免遇难？
      发布时间：2021-01-20 阅读次数： 661 次

      近日，谷歌云CISO就如何避免被供应链攻击活动所影响做出解释。



      谷歌云首席信息安全官（CISO）Phil Venables透露，谷歌云业务确实有使用SolarWinds的软件，但强调称软件的使用受到“高度限制与控制”，没有影响到任何系统。


      Phil Venables在去年12月中旬上任，成为谷歌云首位CISO。


      美国针对俄罗斯政府的软件供应链攻击调查也几乎是在同一时间正式启动。这轮黑客攻击给美国财政部、商务部、司法部以及微软等关键政企造成了重大泄密影响。但曾为高盛效力多年的Venables坚持认为，谷歌系统并未受到此次攻击的影响。


      谷歌做出这样的反应完全在预料之中，毕竟谷歌云业务每年带来120亿美元营收，且谷歌即将于2月2日公布其2020财年第四季度财报，一旦受到负面消息的影响、必然引发巨大损失。


      Venables在官方博客中表示：“根据目前对攻击情况的了解，我们可以肯定地指出，谷歌系统不会受到SolarWinds事件的影响。”


      “我们以高度受限的方式使用此次受到影响的软件与服务。正是凭借着这种一以贯之的供应链安全风险缓解方法，我们能够保证哪怕任何偶发性的使用都受到高度限制与控制。这些控制措施，又以我们精密的网络与系统监控体系为基础。”


      这轮供应链攻击的曝光，凸显出软件行业联系程度不足、生态系统脆弱、制度设计中充满虚妄的假设、下游方简单粗暴地从已知“受信”供应商处无脑接收更新等关键问题。而谷歌如何避免这些问题呢？Venables分享了谷歌用以保护自身及客户免受软件供应链威胁的一系列重要技巧。


      根据Venables的介绍，谷歌使用的安全开发与持续测试框架能够检测并避免各类常见编程错误。他指出，“我们的默认嵌入安全方法还考虑到开发流程中可能存在的多种攻击向量，也包括供应链风险。”


      他进一步解释了谷歌云可信云计算的基本含义，即依靠软件与软件实施控制。


      Venables表示，“我们的安全保障不依赖于外部，而是建立起谷歌专有的硬件、能够全面控制的固件、精心设计的操作系统镜像、由谷歌强化过的虚拟机管理程序、以及数据中心物理安全与服务机制。”


      “我们通过信任源在这些安全层中提供保障，例如谷歌主机设备及Shielded Virtual Machines中使用的Titan芯片。控制硬件与安全栈，使我们能够以其他供应商无法实现的方式保持基础设施的安全运营。我们坚信，如此强大的控制水平将显著降低谷歌自身以及谷歌客户面临的供应链风险。”


      谷歌还会根据检查与测试结果对代码进行签名确认，旨在验证该软件是否是在经过核准的隔离环境中所正确构建。


      此外，谷歌方面还会根据代码的敏感性，在部署期间实施更多具体控制手段。


      Venables指出，“只有经过此类控制检查后的二进制文件才会获准运行，我们也会在整个工作周期内不断验证策略合规性。这是一项核心控制措施，能够限制恶意内部人员或其他攻击者滥用所掌握的账户，避免其将恶意软件安插在我们的生产环境之内。”


      最后，谷歌方面还会确保至少有一位编写者之外的人员对代码及配置变更的来源真实性进行验证。


      “各类高敏感度管理性操作通常需要获得其他人员的批准。我们这样做就是为了防止一切意外变更的发生，无论出于意外错误还是恶意插入。”


      本文来自安全内参，如有侵权联系删除

      上一条：法国航空航天公司在遭受勒索软件攻击后披露了一起信息泄露事件
      下一条：欧洲数据保护委员会采用数据泄露通知指南
      返回
      关注或联系美创
      官方订阅号 官方订阅号
      官方服务号 官方服务号
      第59号 第59号
      服务热线：400-811-3777
      商务合作：marketing@mchz.com.cn
      友情链接 中央网信办 公安部 工信部 CNCERT 中国信通院 中国软件测评中心 国家工业信息安全发展研究中心 赛迪研究院
      Copyright © 2024 杭州美创科技股份有限公司 All rights reserved.
      浙公网安备 33010502006954号 浙ICP备12021012号-1 网站地图 网站声明及隐私保护政策
      免费试用
      服务热线

      马上咨询

      400-811-3777

      回到顶部