企業文化和對安全的整體態度,是固件漏洞的主要貢獻者——信息系統審計與控制協會(ISACA)
ISACA是全球性企業技術和網絡安全協會,日前發布了一份研究報告,稱大多數企業沒有全面的方案處理固件安全風險。
盡管隨著包括物聯網(IoT)設備在內的企業硬件足跡愈加膨脹,企業越來越意識到固件安全的逐漸加碼,他們卻依然沒有應對固件安全風險的整體方案。
ISACA的“固件安全風險和緩解、企業實踐和挑戰”報告,強調了對硬編碼在只讀存儲器(ROM)中固件的強有力安全管理控制和審計實踐的建立。
該研究基于對橫跨北美、歐洲和亞洲的750名網絡安全從業者的調查,表明緩解安全風險的基礎,是企業以一種安全優先的態度來看待硬件生命周期管理,而不是將之視為純粹的操作層面問題。
衛生保健安全公司MedSec董事兼CEO賈斯汀·伯恩說:“固件安全不再是一個理論問題。”
“證據顯示,攻擊者已將固件當做攻擊目標。今天的很多數據泄露和漏洞發現都源于固件問題。”
盡管解決方案紛紛出臺,大多數企業環境依然尚未準備好。“雖然在這個問題上‘知識就是力量’是很明顯的事兒,但該研究充分表明了,企業文化和對待安全的整體態度,很明顯是漏洞的主要貢獻者。”
在硬件生命周期管理中安全優先的受訪者,過半數(52%)的人至少報告了1起感染惡意軟件的固件被引入到公司系統中的事件。17%的此類事件造成了實質性影響。
與之相對,硬件生命周期管理中忽視安全的受訪者,未知惡意軟件發生的概率非常高(73%)。這表明有很多漏洞仍未被檢測,沒被打上補丁,滋生了安全風險。
知情缺失還對信心造成了影響,71%安全優先度低的受訪者,覺得自己沒準備好處理網絡攻擊。
報告稱,想要能夠解決這些弱點,企業需要加強IT部門和審計人員間的合作與溝通,建立健壯的硬件生命周期管理控制。研究顯示,根據審計團隊的反饋部署行動,是風險緩解的關鍵。
補丁管理過程
調查表明,認為自家企業完全遵從固件審計的受訪者,63%的人報告了補丁管理過程中更高的有效性。另一方面,不接收任何審計反饋的那些(51%),對固件完整性監視和漏洞修復,沒有任何控制。
ISACA董事會主席,Intralot信息安全組長克里斯托斯·迪米特里阿迪斯稱:“將固件維護視作運營職能而非安全問題,漏洞被利用的機會就會一直存在。”
是時候在我們的風險評估中強調固件安全的重要性了,基于威脅模型的控制優先也應根植進每一個企業,無論這是否涉及間諜活動、交易完整性損失或業務中斷。
報告為企業提出了幾條防止固件攻擊的建議:
在盡可能的地方,找那些允許企業獨立驗證設備(服務器、無論、存儲、IoT)完整性的廠家。將設備隔離進不同信任區,讓企業可以分別操作可信設備或不可信設備。建立固件更新策略。由于持續監視是最重要的,應獲取專門用于通過網絡監視設備完整性的系統和技術,利用諸如可信平臺模塊(TPM)之類值得信賴的技術。