1.4.2　面向供应链的攻击无处不在

工业互联网供应链是指围绕工业控制系统的核心用户，从开始配置零件、制成中间产品到最终产品，最后由销售网络把产品送到消费者手中的一个由供应商、制造商、分销商和消费者组成的功能网。它具有全球分布的广泛性、覆盖全生命周期和结构复杂的特点。与传统的IT网络相比，在工业互联网中，包含功能各异的工业、通信和信息类产品，这些产品使得工业互联网的供应链环境更加错综复杂，随之而来的供应链安全问题也给工业互联网的安全带来了重大风险。结合广义和狭义上的供应链攻击，从攻击者、供应商和需求方的角度来看，存在各种安全风险。对恶意攻击者而言，可以在产品设计和开发过程中，对开发环境进行污染、植入恶意代码；在生产、运输途中，实施供应链物理拦截攻击、插入后门程序；在安装、维护阶段，实施抵近攻击、造成物理破坏。对供应商而言，可能泄漏需求方内部机密信息，例如订单数量和型号等；可能违规收集用户信息，滥用大数据分析，进而造成危害；可能会破坏产品的可靠性，使用劣质产品以假乱真。对需求方而言，存在内部人员恶意篡改销售数据、违规操作、泄漏敏感信息等风险，进而对企业生产造成损失。工业互联网将多个企业通过云平台、互联网、通信技术等连接到一起，在带来便利的同时也使工业互联网供应链更长、环节更多，出现脆弱性和漏洞的可能性增加，受攻击风险更大。