Ferramentas da cadeia de suprimentos e papel do hardware na segurança
Nos últimos anos, vimos empresas se apressarem para garantir o alcance crescente das implantações de nuvem e software. E com razão, já que uma pesquisa recente do F5 Labs mostra que os aplicativos são os alvos iniciais de mais da metade das violações relatadas. Mas, à medida que as empresas se apressam para reforçar esse lado do negócio, elas precisam permanecer vigilantes e atentas ao que está acontecendo também no lado da infraestrutura e do hardware.
O artigo recente da Bloomberg não é a primeira alegação feita sobre o que veio a ser conhecido como um hack da cadeia de suprimentos. Relatos de terceiros interceptando equipamentos de rede na cadeia de suprimentos com a finalidade de adulterar, espionar ou comprometer dados têm circulado visivelmente pela Internet nos últimos cinco anos, pelo menos.
De fato, a ameaça de adulteração não se limita à cadeia de fornecimento de hardware. É uma maneira bastante simples de iniciar o processo, mas não é o único ponto de entrada. Para deixar claro, não há nenhuma parte de um sistema hoje — do hardware ao firmware, sistema operacional e software — que não esteja sujeita a algum tipo de ameaça. Comprometimentos de sistemas operacionais e softwares são vistos em artigos que descrevem malware e vulnerabilidades exploradas todos os dias. Ameaças persistentes foram entregues via rootkits de BIOS (firmware). E o uso crescente de subsistemas fabricados por terceiros na última década dá credibilidade à viabilidade de um hack na cadeia de suprimentos impactando o hardware no nível da placa.
Sim, é possível. Sim, um ataque à cadeia de suprimentos seria difícil de detectar. E sim, enquanto o hardware desempenhar um papel na entrega de aplicativos em data centers e ambientes de nuvem (leia-se: no futuro próximo), é algo que as organizações precisam pensar — se fornecedores específicos dependem de seu próprio hardware ou de outra pessoa.
Sistemas seguros precisam levar o hardware em consideração
Ataques baseados em hardware e firmware representam um risco único em comparação a outros tipos de ataques, o que em parte explica o profundo nível de preocupação que as organizações têm sobre o assunto.
Ataques baseados em hardware e firmware são atraentes para criminosos por causa de:
- Baixa detectabilidade . O firmware opera em segundo plano e muitas vezes não é visível para o software. Os sistemas modernos desencorajam o acesso até mesmo ao firmware do BIOS, pois alterações inadequadas podem tornar o sistema inutilizável.
- Alta persistência . Uma vez estabelecido, é difícil livrar uma plataforma infectada do malware. Embora os sistemas operacionais possam ser reinstalados com relativa facilidade, restaurar o firmware ao seu estado original é uma tarefa muito mais difícil.
- Alto privilégio . Qualquer código executado em hardware ou firmware tem acesso direto ao nível de hardware. Malware com esse nível de privilégios pode espionar e até mesmo controlar todo o sistema.
Somando tudo isso, há vantagens tangíveis para empresas que mantêm controle sobre seu próprio hardware. Por exemplo, a F5 supervisiona cada etapa — do design ao protótipo, à fabricação e, finalmente, à manufatura — para garantir a integridade dos nossos sistemas. Sem esse nível de controle, os fornecedores podem oferecer uma garantia relativamente limitada de que o hardware que dá suporte aos seus sistemas está protegido.
O desafio de proteger o que você não controla
Neste ponto, mencionarei que a F5 não mantém uma relação de fabricação com a Super Micro ou qualquer outro OEM de placa-mãe de servidor. (Para mais detalhes, consulte o artigo da base de conhecimento AskF5 relacionado às notícias recentes do setor.) Este momento, no entanto, oferece uma boa oportunidade para reforçar a importância das empresas que podem empregar um conjunto rígido de processos para se proteger contra adulterações em seu hardware, firmware e software a qualquer momento durante o desenvolvimento, a fabricação e a montagem. Afinal, se você tiver que depender de hardware em algum momento, não faz mais sentido confiar em um fornecedor com experiência em hardware?
Embora você, sem dúvida, encontre fornecedores que estão muito dispostos a tornar os elementos de hardware de segurança "um problema de outra pessoa", essa abordagem geralmente é incompleta. Se você precisa de garantias sobre o hardware que dá suporte à sua infraestrutura, você quer um fornecedor que não vá jogar Hot Potato com a responsabilidade de proteger seus ativos. Então, no restante deste artigo, explicaremos o que a F5 faz para mitigar esse risco para seus clientes e, em seguida, identificaremos algumas perguntas que você pode fazer aos fornecedores para garantir que eles estejam limitando sua exposição de forma responsável. Mas aqui está a versão resumida: Se você não sabe como ou onde seu hardware de infraestrutura é projetado, fabricado, testado e montado, você pode ter motivos para se preocupar — com a F5, por outro lado, o processo nunca sai de nossa supervisão.
O que a F5 traz para a mesa: A parte complicada
A F5 tem sede em Seattle e nosso design e desenvolvimento de hardware ocorrem em uma instalação da empresa a leste de Seattle, em Spokane. Esta equipe supervisiona todos os aspectos do desenvolvimento do hardware F5. Nascido do desejo de desenvolver hardware especificamente para alimentar nossa plataforma ADC, BIG-IP, isso nos permite integrar atenção fanática (no bom sentido!) à segurança do nosso hardware.
Vale a pena fazer uma pausa aqui para uma visão geral (muito) rápida de como o hardware é projetado e desenvolvido. O projeto preliminar é feito em software CAD, a partir do qual é gerada uma imagem vetorial da placa. Isso é chamado de arquivo Gerber , com base no formato padrão da indústria para essas imagens. A partir desse arquivo, uma placa de circuito impresso (PCB) é fabricada. O PCB é apenas a placa base — os traços do circuito e as pinagens. O próximo passo é fabricar um conjunto de circuito impresso (PCA), que adiciona os componentes reais (CPUs, memória, CIs, transistores, etc.) ao PCB.
Os processos da F5 também incluem testes pós-fabricação para auxiliar na proteção contra um hack na cadeia de suprimentos de fornecedores terceirizados. Utilizamos uma combinação de AOI (Inspeção Óptica Automatizada) e também inspeção 5DX ou AXI (raio X). Cada um deles foi projetado para encontrar uma variedade de problemas que afetam a qualidade e a integridade do sistema, incluindo a identificação de qualquer elemento que não faça parte do design do produto.
Tanto a inspeção AOI quanto a inspeção por raio X são processos automatizados que começam com arquivos Gerber que descrevem em detalhes meticulosos exatamente como a placa deve ficar quando fabricada. Os engenheiros de fabricação da F5 supervisionam a configuração e a implementação desses subsistemas de teste desde o primeiro PCA (Montagem de Circuito Impresso), e eles são constantemente refinados. Isso nos permite comparar e verificar o produto final para garantir que ele seja o que esperávamos.
Além dessas proteções, para melhor proteção contra a ameaça de manipulação não autorizada de firmware e software, incorporamos dois recursos principais em nosso hardware: detecção de adulteração e prevenção de adulteração. O primeiro é possível pela inclusão de um TPM (Trusted Platform Module). TPM—ISO/IEC 11889—é um microcontrolador dedicado que permite a verificação da integridade do sistema usando criptografia. O segundo recurso envolve assinar criptograficamente atualizações de firmware subsequentes e validá-las antes da instalação, assim como pode ser feito com atualizações de software F5.
Gostaria também de destacar o fato de que a organização de TI da F5 possui e controla o acesso a todo o hardware e rede de nossos subsistemas de teste.
Perguntas para seu fornecedor
Quando se trata de componentes críticos da sua rede e segurança, confiança e comunicação aberta devem sempre estar na equação. Embora haja certamente um debate em andamento sobre os fatos do relatório da Super Micro, o tipo de ameaça que ele aponta é muito real e muito confiável. Em relação ao potencial de ataques de hardware e firmware de qualquer fonte — cadeia de suprimentos ou outra — aqui estão algumas boas perguntas para considerar fazer ao seu fornecedor:
- Você usa placas-mãe desenvolvidas por terceiros no design dos seus sistemas?
- Que parte do processo de design e desenvolvimento de hardware você controla, se houver alguma?
- Que nível de teste de segurança você faz no hardware e quando?
- Que salvaguardas você usa para proteger atualizações de firmware e software?
- Por fim, quais proteções você tem em vigor para prevenir e detectar adulterações de qualquer fonte ao longo da cadeia de suprimentos?
____
Para obter informações adicionais sobre como o F5 pode aprimorar a segurança dos aplicativos da sua organização, visite: https://www.f5.com/solutions/application-security