Portland, Oregon – 23 augustus 2022
- eclypsium®
en Vanson Bourne heeft vandaag een nieuw rapport uitgebracht waaruit blijkt dat de financiële sector slecht toegerust is om de voortdurende dreiging van firmware-gerelateerde supply chain-aanvallen effectief aan te pakken. Sterker nog, 92% van de CISO's in de financiële sector is van mening dat tegenstanders beter toegerust zijn in het bewapenen van firmware dan hun teams in het veiligstellen ervan. Bovendien erkennen drie op de vier lacunes in het bewustzijn over de blinde vlek van de organisatie in de firmware. Bijgevolg geeft 88% van de ondervraagden toe alleen al in de afgelopen twee jaar een firmware-gerelateerde cyberaanval te hebben meegemaakt.
De firmwarebeveiliging in toeleveringsketens voor financiële dienstverlening rapport deelt inzichten van 350 besluitvormers op het gebied van IT-beveiliging in de financiële sector, met name die gevestigd in de VS, Canada, Singapore, Australië, Nieuw-Zeeland en Maleisië. De bevindingen leggen niet alleen de staat van de firmware-beveiliging en het gebrek aan preventieve controles of hersteltactieken bloot, maar werpen ook licht op de zelfgenoegzaamheid en het gebrek aan bewustzijn met betrekking tot de huidige beveiligingsmaatregelen. Alarmerender is de consensus over weinig tot geen specifieke investeringen of middelen, en het algemene gebrek aan vaardigheden om een van de grootste bedreigingen op het gebied van cyberbeveiliging van vandaag aan te pakken. Gegevens tonen:
- Meer dan de helft (55%) was de afgelopen twee jaar meer dan eens het slachtoffer van een compromis op firmwareniveau.
- Bijna vier op de tien beschouwt gegevensverlies (en een inbreuk op de AVG) als de belangrijkste consequentie van een aanval; even belangrijk is de angst om kritische veiligheidscontroles kwijt te raken.
- Vernietiging van kritieke apparaten (35%), verlies van klanten (34%) en toegang van vijanden tot andere apparaten (34%) werden allemaal in gelijke mate gezien als schadelijke gevolgen na een firmware-gerelateerde aanval.
“Financiële dienstverleners zijn de belangrijkste doelwitten van cyberaanvallen. Dat verklaart waarom zij de voortrekkers zijn bij het adopteren van nieuwe beschermingstechnologieën, terwijl ze onder het constante toeziend oog staan van toezichthouders en andere industrieën die wachten om hun voorbeeld te volgen in hun streven om steeds evoluerende aanvalsvectoren te bestrijden. Maar in het geval van het beveiligen van firmware en de hardware-toeleveringsketen zien we potentiële blinde vlekken”, zegt Ramy Houssaini, Global Cyber Resilience Executive. “Een verschuiving in prioriteiten is van cruciaal belang als we de technologische toeleveringsketen effectief willen beschermen. Financiële organisaties moeten als pioniers blijven fungeren en de beveiligingskloof in de firmware dichten.”
Financiële organisaties hebben geen firmware-risico-inzichten om actie te ondernemen
Volgens het National Institute of Standards and Technology (NIST) zijn het aantal aanvallen op firmwareniveau sinds 500 met 2018% gestegen, maar toch is 93% van de respondenten verrast door het gebrek aan inzicht in de huidige firmwarebedreigingen. Alleen al in de afgelopen acht maanden heeft Eclypsium Research belangrijke ontdekkingen gedaan bedreigingen in het wild, waaronder Intel ME-aanvallen door de Conti-ransomwaregroep.
Helaas komt het gebrek aan inzicht voort uit aanzienlijke hiaten in de kennis van firmware en de toeleveringsketen. In werkelijkheid:
- Iets meer dan de helft (53%) weet dat hun beveiligingscontroles (firewalls, toegangscontroles, enz.) afhankelijk zijn van firmware, 44% is zich ervan bewust wanneer dezelfde vraag over laptops wordt gesteld, waardoor 56% niet geïnformeerd is.
- 47% gelooft dat ze volledig op de hoogte zijn van het algemene aanvalsoppervlak van hun organisatie op firmware, 49% is zich grotendeels bewust. Slechts 39% zegt dat ze onmiddellijk op de hoogte zouden worden gesteld als een apparaat is gecompromitteerd.
Ondanks de waargenomen kennis maakt 91% zich zorgen over het gat in de firmwarebeveiliging in de toeleveringsketen van hun organisatie.
Misvattingen, beperkte financiële middelen en een gebrek aan vaardigheden/middelen zijn de drijvende krachten achter de golf
Firmware is het meest fundamentele onderdeel van elk apparaat en dus van de algehele toeleveringsketen, maar toch blijft het het meest over het hoofd geziene en afgewezen onderdeel van de technologiestapel – waardoor een perfecte katalysator voor een aanval ontstaat. Vier op de vijf zijn het erover eens dat de kwetsbaarheden in firmware toenemen en bijna iedereen (93%) stelt dat het beveiligen van firmware een urgente prioriteit moet zijn. Om de doorslag te geven zijn financiële organisaties vrijwel unaniem van mening dat een verhoging van de investeringen en middelen absoluut noodzakelijk is. Positief is dat de respondenten verwachten dat het IT-beveiligingsbudget voor firmware de komende 8.5 à 1 jaar met 2% zal stijgen. Naast deze succesfactoren moeten deze organisaties ook mythen rond de huidige technologieën en methoden ontkrachten die een vals gevoel van veiligheid creëren, zoals:
- Oplossingen voor kwetsbaarheidsbeheer (81%) en/of hun eindpuntdetectie- en responsprogramma's (EDR) kunnen kwetsbaarheden in de firmware identificeren en helpen bij het herstel (83%).
- Bedreigingsmodelleringsoefeningen zijn volgens 37% van de respondenten een betrouwbare bron van deskundig inzicht in potentiële hiaten in de firmware; 57% geeft aan dit proces soms te gebruiken. Interessant genoeg geeft 96% aan dat de dreigingsmodelleringsoefeningen van hun organisatie niet aansluiten bij het huidige dreigingslandschap.
- 12 uur is de gemiddelde tijd die IT-teams nodig hebben om te reageren op een firmware-gebaseerde aanval, waarbij respondenten gebrek aan kennis (39%) en beperkte middelen (37%) als de belangrijkste redenen voor de onnodig lange tijd beschouwen. 71% beweert echter dat het budget geen factor is.
“Gebaseerd op de reeks firmware-gerelateerde aanvallen van de afgelopen maanden, is het duidelijk dat tegenstanders niet hard genoeg hoeven te werken om tekortkomingen in de technologische toeleveringsketen te misbruiken. Helaas vertegenwoordigen onze onderzoeksgegevens een achteruitgang die puur wordt veroorzaakt door een gebrek aan bewustzijn en de passiviteit die wordt veroorzaakt door 'uit het oog, uit het hart'', zegt Yuriy Bulygin, CEO en medeoprichter van Eclypsium. “Nieuwe overheidsrichtlijnen en -initiatieven zoals de Known Exploited Vulnerabilities Catalog van CISA en de bindende operationele richtlijn roepen op tot onmiddellijke actie om de kritische firmwarelaag van de toeleveringsketen beter te beschermen. De vooruitgang gaat misschien langzaam, maar we gaan in de goede richting.”
OVER ECLYPSIUM
Het cloudgebaseerde platform van Eclypsium identificeert, verifieert en versterkt firmware in laptops, servers, netwerkapparatuur en aangesloten apparaten. Het Eclypsium-platform beveiligt de toeleveringsketen van uw apparaten door apparaten te monitoren op bedreigingen, kritieke risico's en firmware te patchen voor het hele apparaatpark. Voor meer informatie bezoek eclypsium. com.
Over Vanson Bourne
Vanson Bourne is een onafhankelijk specialist in marktonderzoek voor de technologiesector. Hun reputatie voor robuuste en geloofwaardige, op onderzoek gebaseerde analyses is gebaseerd op rigoureuze onderzoeksprincipes en hun vermogen om de mening te vragen van senior besluitvormers in technische en zakelijke functies, in alle bedrijfssectoren en alle belangrijke markten. Voor meer informatie bezoek
www.vansonbourne.com.
