[调查]83%的公司两年内曾遭固件攻击

微软委托编写的一份新报告发现,只有不到30%的企业将安全预算用于防止固件攻击。 过去两年来,针对企业的固件攻击事件时有发生。然而,大多数受害者过于关注补丁和升级,导致投入固件攻击防御的资源寥寥无几。 近期,受微软委托,Hypothesis Group调查访问了1000名参与企业安全与威胁防护的决策者,发布了新一期微软《安全信号》报告。受访企业中,83%在过去两年里曾遭遇过固件攻击。 近年来,随着软件安全性的提高,固件已成为网络犯罪的热门目标。TrickBot恶意软件去年添加了一个检查设备固件漏洞的模块,意图利用这些漏洞读取、编写或擦除UEFI/BIOS固件。去年十月,一个罕见的固件rootkit曝光,针对的是外交人员和非政府组织。2018年9月,俄罗斯高级持续性威胁组织Sednit部署的首个固件级rootkit现身。 微软企业与操作系统安全合伙人主管David Weston表示,这种趋势还在上升。“我们看到这种趋势呈线性增长。每年都能在固件中发现越来越多的CVE。仅过去18个月以来,微软就观测到至少三个民族国家的黑客利用固件漏洞。” Weston称:“相比之前的18个月,这称得上是巨大的上升了,毕竟上一个18月周期中我们最多看到了一个。” 固件攻击对网络罪犯颇具吸引力存在几个原因。首先,这是敏感数据(包括凭证和加密密钥)存储在内存中的地方。由于很多检测产品和常规日志看不到固件,入侵者也就有了驻留更长时间的机会。攻击者还能获得被清理后还能留在机器上的好处。 Weston解释道:“大多数情况下,利用固件漏洞可以在被完全清除后重新拿回机器。即使格式化机器,代码只要注入了固件,就能挺过多次清除,所以更难将入侵者‘请’出去。” 权限是另一个因素,因为攻击者能利用固件攻击长驱直入,直捣机器上需要最敏感的权限才能访问的部分。攻击者相当于隐身直击防御核心。 防御此类攻击颇为棘手。固件难以更新:企业通常不得不访问多家不同制造商的网站,下载更新包,然后找个办法推上去。PC领域还好,企业在更新手段上已经取得了一些进展,但推广到联网产品领域就很有挑战性了。 Weston解释称:“说到物联网和嵌入式设备,固件看起来就更难更新了,因为根本没有标准的更新机制。而且,你得对付多个不同硬件和软件生态系统。所以,问题就很复杂。” 去年,微软与英特尔、高通和AMD合作,推出一系列“安全核心”Windows 10 PC,帮助企业更好地防御试图干扰启动过程的攻击。去年6月,Microsoft Defender Advanced Threat Protection中加入了UEFI扫描器,用于评估固件文件系统内的安全状态。 然而,即使微软努力暴露固件可见性,Weston表示:“我不认为我们已经掌控全局了,想要观察到在操作系统层面下发生的攻击是很难的。”而且,不是所有企业都能在短期内切换到新的硬件,很多安全团队还在头疼许多其他问题,暂时无法将固件提上日程表前列。 微软安全团队在博客文章中评论道:“研究显示,当前投资流向安全更新、漏洞扫描和高级威胁防护解决方案。” 尽管83%的受访者经历过固件级攻击,其中73%甚至承认攻击具有破坏性,但仅29%的受访者分配了安全预算来抵御此类攻击。 绝大多数受访者(82%)称,由于花费太多时间在软件修复、硬件升级和缓解内部及外部漏洞等手动任务上,已经没有资源分配给影响重大的安全工作了。多数受访者(62%)想花更多时间在安全策略和为高级威胁做好准备上。 Weston称:“他们花费了大量时间修复非常低级的安全问题,比如广告软件、密钥生成器,或者基础勒索软件,这些工作做多了就没有能力再战略性封堵常见攻击途径了。”而由于安全团队一直困于无法堵住攻击途径,这些低级问题就会持续成为阻碍。受访者报告称,安全团队仅有39%的时间花在预防性措施上。

标签: