サプライチェーンのハッキングとセキュリティにおけるハードウェアの役割

過去数年間、クラウドとソフトウェアの導入範囲の拡大に対応すべく企業が急いで対応してきたのを目にしてきました。 それは当然のことです。最近の F5 Labs の調査によると、報告された侵害の半数以上がアプリケーションを最初のターゲットとしていることがわかっています。 しかし、企業がビジネスのこの側面の強化を急いでいるため、インフラストラクチャとハードウェアの側面で何が起こっているかについても警戒を怠らず、注意深く監視する必要があります。

最近のブルームバーグの記事は、サプライチェーンハッキングとして知られるようになった事件に関して最初に主張されたものではない。 少なくとも過去 5 年間、第三者がデータの改ざん、スパイ、またはその他の方法でデータを危険にさらす目的でサプライ チェーン内のネットワーク機器を傍受しているという報告がインターネット上で目立っています。

実際、改ざんの脅威はハードウェアのサプライ チェーンに限定されるものではありません。 これはプロセスに滑り込むための簡単な方法ですが、唯一の入り口ではありません。 明確に言えば、今日のシステムでは、ハードウェアからファームウェア、OS、ソフトウェアに至るまで、何らかの脅威にさらされていない部分は存在しません。 マルウェアや悪用された脆弱性について解説する記事では、オペレーティング システムやソフトウェアの侵害が毎日のように見られます。 永続的な脅威は、BIOS (ファームウェア) ルートキットを介して配信されています。 また、過去 10 年間でサードパーティ製のサブシステムの使用が増加したことで、サプライ チェーンのハッキングがボード レベルのハードウェアに影響を及ぼす可能性が高まっています。 

はい、可能です。 はい、サプライチェーン攻撃を検出するのは困難です。 そして、ハードウェアがデータ センターやクラウド環境でアプリケーションを提供する役割を果たしている限り (つまり、近い将来)、特定のベンダーが自社のハードウェアに依存しているかどうか、あるいは他社のハードウェアに依存しているかどうかは、組織が考慮する必要がある事項です。

安全なシステムにはハードウェアを考慮する必要がある

ハードウェアおよびファームウェア ベースの攻撃は、他の種類の攻撃と比較して独特のリスクをもたらします。これが、組織がこのテーマに対して深い懸念を抱いている理由の 1 つです。

ハードウェアおよびファームウェアベースの攻撃は、次のような理由から悪意のある攻撃者にとって魅力的です。

1. 検出性が低い。 ファームウェアはバックグラウンドで動作し、ソフトウェアからは見えないことがよくあります。 最近のシステムでは、不適切な変更によってシステムが使用できなくなる可能性があるため、BIOS ファームウェアへのアクセスさえも推奨されていません。
2. 高い持続性。 一度感染すると、感染したプラットフォームからマルウェアを除去するのは困難です。 オペレーティング システムは比較的簡単に再インストールできますが、ファームウェアを元の状態に復元するのははるかに困難です。
3. 高い特権。 ハードウェアまたはファームウェアで実行されるすべてのコードは、ハードウェア レベルで直接アクセスできます。 このレベルの権限を持つマルウェアは、システム全体をスパイしたり、制御したりすることもできます。

これらをすべて合わせると、自社のハードウェアを自社で管理している企業には、目に見える利点があります。 たとえば、F5 は設計から試作、加工、そして最終的な製造までの各ステップを監督し、システムの整合性を確保します。 このレベルの制御がなければ、ベンダーは自社のシステムをサポートするハードウェアが保護されているという比較的限定された保証しか提供できません。

制御できないものを保護するという課題

ここで、F5 は Super Micro やその他のサーバー マザーボード OEM と製造関係を維持していないことを述べておきます。 (詳細については、最近の業界ニュースに関連するAskF5 ナレッジベースの記事を参照してください。) しかし、この瞬間は、開発、製造、組み立てのどの段階でもハードウェア、ファームウェア、ソフトウェアの改ざんを防止するために厳格な一連のプロセスを採用できる企業の重要性を強化する良い機会です。 結局のところ、どこかでハードウェアに頼らなければならないのであれば、ハードウェアの専門知識を持つベンダーに頼る方が理にかなっているのではないでしょうか。

セキュリティのハードウェア要素を「他人の問題」にしようとするベンダーが間違いなく存在しますが、このアプローチは不完全であることが多いです。 インフラストラクチャをサポートするハードウェアに関する保証が必要な場合は、資産を最終的に保護する責任を負って、面倒な作業をしないベンダーを選ぶ必要があります。 そこで、この記事の残りの部分では、F5 が顧客のリスクを軽減するために何を行っているかを説明し、ベンダーが責任を持ってリスクを制限しているかどうかを確認するためにベンダーに尋ねることができる質問をいくつか挙げます。 しかし、要約すると次のようになります: インフラストラクチャ ハードウェアがどのように、どこで設計、製造、テスト、組み立てられているかがわからない場合は、心配になるかもしれません。一方、F5 では、プロセスが常に当社の監視下にあります。

F5 が提供するもの: 複雑な部分

F5 の本社はシアトルにあり、ハードウェアの設計と開発はシアトル東部のスポケーンにある会社施設で行われています。 このチームは、F5 ハードウェア開発のあらゆる側面を監督します。 これは、当社の ADC プラットフォームである BIG-IP を強化するためのハードウェアを開発したいという願望から生まれたもので、これにより、ハードウェアのセキュリティに熱狂的な注意 (良い意味で!) を注ぐことができます。

ここで立ち止まって、ハードウェアがどのように設計され開発されているかを（非常に）簡単に概観すると役立ちます。 予備設計は CAD ソフトウェアで行われ、そこからボードのベクター画像が生成されます。 これは、これらの画像の事実上の業界標準形式に基づいて、 Gerber ファイルと呼ばれます。 そのファイルからプリント回路基板 (PCB) が製造されます。 PCB は単なるベースボード、つまり回路トレースとピン配列です。 次のステップは、プリント回路アセンブリ (PCA) を製造することです。PCA では、実際のコンポーネント (CPU、メモリ、IC、トランジスタなど) を PCB に追加します。

F5 のプロセスには、サードパーティ サプライヤーによるサプライ チェーンのハッキングに対する保護を支援するための製造後テストも含まれます。 当社では、AOI（自動光学検査）と5DXまたはAXI（X線）検査を組み合わせて使用しています。 それぞれは、製品設計の一部ではない要素を特定することを含め、システムの品質と整合性に影響を与えるさまざまな問題を見つけるように設計されています。

AOI と X 線検査はどちらも自動化されたプロセスであり、製造時にボードがどのように見えるかを詳細に記述した Gerber ファイルから開始されます。 F5 製造エンジニアは、最初の PCA (プリント回路アセンブリ) からこれらのテスト サブシステムのセットアップと実装を監督し、継続的に改良しています。 これにより、最終製品を比較および検証して、期待どおりのものであることを確認できます。

これらの安全対策に加えて、不正なファームウェアやソフトウェアの操作の脅威からより効果的に保護するために、当社はハードウェアに改ざん検出と改ざん防止という 2 つの主要な機能を組み込んでいます。 1 つ目は、TPM (Trusted Platform Module) を組み込むことによって可能になります。 TPM (ISO/IEC 11889) は、暗号化を使用してシステムの整合性を検証できる専用のマイクロコントローラです。 2 番目の機能は、F5 ソフトウェア更新と同様に、後続のファームウェア更新に暗号署名し、インストール前に検証することです。

また、F5 の IT 組織がテスト サブシステムのすべてのハードウェアとネットワークへのアクセスを所有し、制御しているという事実にも言及したいと思います。

ベンダーへの質問

ネットワークとセキュリティの重要なコンポーネントに関しては、信頼とオープンなコミュニケーションが常に考慮される必要があります。 Super Micro のレポートに記載されている事実については確かに議論が続いていますが、レポートが指摘している脅威の種類は非常に現実的であり、非常に信憑性があります。 サプライ チェーンなど、あらゆるソースからのハードウェアおよびファームウェア攻撃の可能性については、ベンダーに尋ねることを検討すべきいくつかの良い質問を以下に示します。

1. システムの設計にサードパーティが開発したマザーボードを使用していますか?
2. ハードウェアの設計および開発プロセスのどの部分を管理していますか?
3. ハードウェアに対してどのようなレベルのセキュリティ テストを実行し、いつ実行しますか?
4. ファームウェアとソフトウェアの更新を安全に行うために、どのような安全対策を採用していますか?
5. 最後に、サプライ チェーン全体のあらゆるソースからの改ざんを防止および検出するために、どのような保護対策を講じていますか?

____

F5 が組織のアプリケーション セキュリティを強化する方法の詳細については、https: //www.f5.com/solutions/application-securityをご覧ください。