Portland, Ore – 23. augusztus 2022
- Eclypsium®
és a Vanson Bourne ma közzétett egy új jelentést, amely feltárja, hogy a pénzügyi szektor nincs megfelelően felkészülve a firmware-hez kapcsolódó ellátási lánc támadások folyamatos fenyegetésének hatékony leküzdésére. Valójában a pénzügyekkel foglalkozó CISO-k 92%-a úgy gondolja, hogy az ellenfelek jobban fel vannak szerelve a firmware-ek fegyverezésére, mint a csapataik annak biztosítására. Ezenkívül négyből három elismeri a szervezet firmware vakfoltjával kapcsolatos tudatosságbeli hiányosságokat. Következésképpen a megkérdezettek 88%-a elismerte, hogy csak az elmúlt két évben tapasztalt firmware-hez kapcsolódó kibertámadást.
Firmware biztonság a pénzügyi szolgáltatások ellátási láncaiban A jelentés a pénzügyi szektor 350 IT-biztonsági döntéshozójának meglátásait osztja meg, különösen az Egyesült Államokban, Kanadában, Szingapúrban, Ausztráliában, Új-Zélandon és Malajziában. Az eredmények nemcsak a firmware-biztonság állapotát, valamint a megelőző ellenőrzések vagy helyreállítási taktikák hiányát tárják fel, hanem rávilágítanak a jelenlegi biztonsági intézkedésekkel kapcsolatos elégedettségre és a tudatosság hiányára is. Még riasztóbb az a konszenzus, hogy kevés vagy egyáltalán nincs dedikált befektetés vagy erőforrás, és általános a készségek hiánya a mai kiberbiztonság egyik legnagyobb fenyegetésének leküzdéséhez. Az adatok azt mutatják:
- Több mint fele (55%) volt az elmúlt két évben többször is firmware-szintű kompromisszum áldozata.
- 10-ből csaknem négy esetben adatvesztés (és GDPR-sértés) a támadások vezető következménye; Hasonlóan rangsorolható a kritikus biztonsági ellenőrzések elvesztésétől való félelem.
- A kritikus eszközök megsemmisülését (35%), az ügyfelek elvesztését (34%) és az ellenfél más eszközökhöz való hozzáférését (34%) egyaránt megjegyezték, mint egy firmware-hez kapcsolódó támadást követő káros hatást.
„A pénzügyi szolgáltatásokkal foglalkozó szervezetek a kibertámadások vezető célpontjai. Ez megmagyarázza, hogy miért élenjárók az új védelmi technológiák bevezetésében, miközben a szabályozók és más iparágak állandó éber szeme alatt állnak, és arra várnak, hogy kövessék példájukat, miközben küzdenek a folyamatosan fejlődő támadási vektorok ellen. A firmware és a hardver ellátási lánc biztonsága esetében azonban potenciális vakfoltokat látunk” – mondta Ramy Houssaini, a Global Cyber Resilience Executive vezetője. „A prioritások megváltoztatása kritikus fontosságú, ha hatékonyan akarjuk megvédeni a technológiai ellátási láncot. A pénzügyi szervezeteknek továbbra is úttörőként kell szolgálniuk, és be kell zárniuk a firmware biztonsági rést."
A pénzügyi szervezetek nem rendelkeznek megfelelő firmware-kockázati ismeretekkel a cselekvéshez
A Nemzeti Szabványügyi és Technológiai Intézet (NIST) szerint a firmware szintű támadások 500%-kal megugrottak 2018 óta, a válaszadók 93%-át mégis meglepte, hogy nincs rálátásuk a jelenlegi firmware-fenyegetésekre. Csak az elmúlt nyolc hónapban az Eclypsium Research feltárt egy nagyot vad fenyegetések, beleértve Az Intel ME támadása a Conti ransomware csoporttól.
Sajnos a betekintés hiánya a firmware és az ellátási lánc ismereteinek jelentős hiányosságaiból fakad. Valójában:
- Valamivel több mint a fele (53%) tudja, hogy biztonsági vezérlői (tűzfalak, hozzáférés-szabályozások stb.) firmware-re támaszkodnak, 44% tisztában van azzal, ha ugyanezt a kérdést teszik fel a laptopokkal kapcsolatban, így 56% tájékozatlan marad.
- 47% úgy gondolja, hogy teljes mértékben tisztában van szervezete teljes firmware-támadási felületével, 49% pedig többnyire tisztában van vele. Csupán 39%-uk mondta azt, hogy azonnal értesítenék, ha egy eszközt feltörtek volna.
A vélt tudás ellenére 91%-uk aggódik a firmware-biztonság hiányosságai miatt a szervezetük ellátási láncában.
A tévhitek, a korlátozott források és a készségek/erőforrások hiánya túlfeszültséget okoz
A firmware minden eszköz és így a teljes ellátási lánc legalapvetőbb összetevője, mégis a technológiai halom leginkább figyelmen kívül hagyott és figyelmen kívül hagyott része – tökéletes katalizátort teremtve egy támadáshoz. Ötből négy egyetért azzal, hogy a firmware sebezhetősége egyre növekszik, és majdnem mindenki (93%) azt állítja, hogy a firmware biztonságának sürgős prioritásnak kell lennie. A tű mozgatásához a pénzügyi szervezetek szinte egyöntetűen úgy vélik, hogy elengedhetetlen a befektetések és a források növelése. Pozitívum, hogy a válaszadók 8.5%-os növekedést várnak a firmware-ekre szánt IT-biztonsági költségvetésben a következő 1-2 évben. A siker ezen tényezői mellett ezeknek a szervezeteknek el kell oszlatniuk a jelenlegi technológiákkal és módszerekkel kapcsolatos mítoszokat is, amelyek hamis biztonságérzetet keltenek, mint például:
- A sérülékenység-kezelési megoldások (81%) és/vagy a végpont-észlelési és válaszadási (EDR) programjaik azonosíthatják a firmware-sebezhetőségeket, és segíthetnek a helyreállításban (83%).
- A válaszadók 37%-a szerint a fenyegetésmodellezési gyakorlatok megbízható forrást jelentenek a lehetséges firmware-hiányok megismeréséhez, és 57%-uk állítja, hogy időnként használja a folyamatot. Érdekes módon 96%-uk arról számolt be, hogy szervezetük fenyegetésmodellezési gyakorlatai nem egyeznek a mai fenyegetettségi környezettel.
- Az IT-csapatok átlagosan 12 óra alatt reagálnak egy firmware-alapú támadásra, és a válaszadók az ismeretek hiányát (39%) és az erőforrások korlátozottságát (37%) tartják az idő indokolatlan hosszúságának legfőbb okának. 71%-ban azonban a költségvetés nem számít.
„Az elmúlt hónapok firmware-rel kapcsolatos támadásai alapján nyilvánvaló, hogy az ellenfeleknek nem kell elég keményen dolgozniuk, hogy kihasználják a technológiai ellátási lánc hibáit. Sajnálatos módon kutatási adataink visszaesést mutatnak, amelyet pusztán a tudatosság hiánya és a tétlenség vezérel, amelyet az „elment a szem elől, elment az elméből”” – mondta Jurij Bulygin, az Eclypsium vezérigazgatója és társalapítója. „Az új kormányzati irányelvek és kezdeményezések, mint például a CISA ismert kihasznált sebezhetőségi katalógusa és annak kötelező érvényű működési irányelve azonnali cselekvésre szólítanak fel az ellátási lánc kritikus firmware-rétegének jobb védelme érdekében. Lehet, hogy a fejlődés lassú, de jó irányba haladunk.”
AZ ECLYPSIUMRÓL
Az Eclypsium felhőalapú platformja azonosítja, ellenőrzi és megerősíti a firmware-t a laptopokban, szerverekben, hálózati eszközökben és csatlakoztatott eszközökben. Az Eclypsium platform biztosítja az eszköz ellátási láncát azáltal, hogy figyeli az eszközöket a fenyegetések és a kritikus kockázatok szempontjából, és javítja a firmware-t a teljes eszközparkon. További információért látogasson el eclypsium.com.
Vanson Bourne-ról
A Vanson Bourne a technológiai szektor piackutatásának független szakértője. A robusztus és hiteles, kutatáson alapuló elemzés terén szerzett hírnevük a szigorú kutatási elveken és azon a képességükön alapul, hogy kikérik a vezető döntéshozók véleményét a műszaki és üzleti funkciókban, minden üzleti szektorban és minden főbb piacon. További információért látogasson el
www.vansonbourne.com.
