รายงาน: สถาบันการเงินถูกครอบงำเมื่อต้องเผชิญกับความปลอดภัยของเฟิร์มแวร์ที่เพิ่มขึ้นและภัยคุกคามด้านซัพพลายเชน

พอร์ตแลนด์ โอเรกอน – 23 ส.ค. 2022
- เอคลิปเซียม^®
และ แวนสัน บอร์น วันนี้ออกรายงานใหม่ที่เปิดเผยว่าภาคการเงินไม่มีความพร้อมในการจัดการกับภัยคุกคามอย่างต่อเนื่องของการโจมตีห่วงโซ่อุปทานที่เกี่ยวข้องกับเฟิร์มแวร์ ในความเป็นจริง 92% ของ CISO ในด้านการเงินเชื่อว่าฝ่ายตรงข้ามมีความพร้อมด้านเฟิร์มแวร์ติดอาวุธดีกว่าทีมของตนในการรักษาความปลอดภัย นอกจากนี้ สามในสี่รับทราบช่องว่างในการรับรู้เกี่ยวกับจุดบอดของเฟิร์มแวร์ขององค์กร ดังนั้น 88% ของผู้ตอบแบบสำรวจยอมรับว่าประสบกับการโจมตีทางไซเบอร์ที่เกี่ยวข้องกับเฟิร์มแวร์ในช่วงสองปีที่ผ่านมาเพียงปีเดียว

ความปลอดภัยของเฟิร์มแวร์ในซัพพลายเชนบริการทางการเงิน รายงานแบ่งปันข้อมูลเชิงลึกจากผู้มีอำนาจตัดสินใจด้านความปลอดภัยไอที 350 รายในภาคการเงิน โดยเฉพาะในสหรัฐอเมริกา แคนาดา สิงคโปร์ ออสเตรเลีย นิวซีแลนด์ และมาเลเซีย การค้นพบนี้ไม่เพียงแต่เปิดเผยสถานะความปลอดภัยของเฟิร์มแวร์และการขาดการควบคุมเชิงป้องกันหรือกลยุทธ์การแก้ไขเท่านั้น แต่ยังแสดงให้เห็นถึงความพึงพอใจและการขาดความตระหนักเกี่ยวกับมาตรการรักษาความปลอดภัยในปัจจุบัน ที่น่าตกใจยิ่งกว่าคือความเห็นพ้องต้องกันเกี่ยวกับการลงทุนหรือทรัพยากรที่แทบไม่มีเลย และการขาดทักษะทั่วไปในการจัดการกับหนึ่งในภัยคุกคามที่ใหญ่ที่สุดในด้านความปลอดภัยในโลกไซเบอร์ในปัจจุบัน ข้อมูลแสดง:

• กว่าครึ่ง (55%) ตกเป็นเหยื่อของการบุกรุกระดับเฟิร์มแวร์มากกว่าหนึ่งครั้งในสองปีที่ผ่านมา
• เกือบ 10 ใน XNUMX อัตราการสูญเสียข้อมูล (และการละเมิด GDPR) เป็นผลที่ตามมาสำหรับการโจมตี อันดับที่เท่ากันคือความกลัวที่จะสูญเสียการควบคุมความปลอดภัยที่สำคัญ
• การทำลายอุปกรณ์ที่สำคัญ (35%) การสูญเสียลูกค้า (34%) และการเข้าถึงอุปกรณ์อื่นๆ ของฝ่ายตรงข้าม (34%) ล้วนถูกบันทึกไว้ว่าเป็นผลกระทบที่เป็นอันตรายหลังจากการโจมตีที่เกี่ยวข้องกับเฟิร์มแวร์

“องค์กรบริการทางการเงินเป็นเป้าหมายหลักของการโจมตีทางไซเบอร์ นั่นอธิบายว่าทำไมพวกเขาถึงเป็นแนวหน้าในการนำเทคโนโลยีการป้องกันใหม่ๆ มาใช้ ทั้งหมดนี้อยู่ภายใต้การจับตามองอย่างต่อเนื่องของหน่วยงานกำกับดูแลและอุตสาหกรรมอื่นๆ ที่รอติดตามการนำของพวกเขาในขณะที่พวกเขาพยายามต่อสู้กับเวกเตอร์โจมตีที่พัฒนาตลอดเวลา แต่ในกรณีของการรักษาความปลอดภัยเฟิร์มแวร์และห่วงโซ่อุปทานของฮาร์ดแวร์ เรากำลังมองเห็นจุดบอดที่อาจเกิดขึ้น” Ramy Houssaini ผู้บริหาร Global Cyber ​​Resilience กล่าว “การเปลี่ยนแปลงลำดับความสำคัญเป็นสิ่งสำคัญหากเราจะปกป้องห่วงโซ่อุปทานเทคโนโลยีอย่างมีประสิทธิภาพ องค์กรทางการเงินต้องทำหน้าที่เป็นผู้บุกเบิกและปิดช่องว่างด้านความปลอดภัยของเฟิร์มแวร์ต่อไป”

องค์กรทางการเงินขาดข้อมูลเชิงลึกเกี่ยวกับความเสี่ยงของเฟิร์มแวร์ในการดำเนินการ

จากข้อมูลของ National Institute of Standards and Technology (NIST) การโจมตีระดับเฟิร์มแวร์ได้เพิ่มสูงขึ้นถึง 500% ตั้งแต่ปี 2018 แต่ 93% ของผู้ตอบแบบสอบถามรู้สึกประหลาดใจที่ขาดข้อมูลเชิงลึกเกี่ยวกับภัยคุกคามเฟิร์มแวร์ในปัจจุบัน ในช่วงแปดเดือนที่ผ่านมาเพียงลำพัง Eclypsium Research ได้ค้นพบสิ่งสำคัญ ภัยคุกคามในป่า รวมทั้ง การโจมตี Intel ME โดยกลุ่ม Conti ransomware
น่าเสียดายที่การขาดข้อมูลเชิงลึกเกิดจากช่องว่างจำนวนมากในความรู้เกี่ยวกับเฟิร์มแวร์และห่วงโซ่อุปทาน ในความเป็นจริง:

• กว่าครึ่งเล็กน้อย (53%) ทราบว่าการควบคุมความปลอดภัย (ไฟร์วอลล์ การควบคุมการเข้าถึง ฯลฯ) ใช้เฟิร์มแวร์ 44% ทราบเมื่อถามคำถามเดียวกันเกี่ยวกับแล็ปท็อป โดย 56% ไม่รู้ข้อมูล
• 47% เชื่อว่าพวกเขารับรู้ถึงพื้นผิวการโจมตีเฟิร์มแวร์โดยรวมขององค์กร โดย 49% ส่วนใหญ่รับรู้ มีเพียง 39% เท่านั้นที่บอกว่าพวกเขาจะได้รับแจ้งทันทีหากอุปกรณ์ถูกบุกรุก

แม้จะมีการรับรู้ที่รับรู้ แต่ 91% กังวลเกี่ยวกับช่องว่างในการรักษาความปลอดภัยเฟิร์มแวร์ในห่วงโซ่อุปทานขององค์กร

ความเข้าใจผิด เงินทุนจำกัด และการขาดทักษะ/ทรัพยากรกำลังขับเคลื่อนกระแสไฟ

เฟิร์มแวร์เป็นส่วนประกอบพื้นฐานที่สุดของอุปกรณ์ใดๆ และดังนั้นจึงเป็นห่วงโซ่อุปทานโดยรวม แต่ก็ยังคงเป็นส่วนที่ถูกมองข้ามและละเลยมากที่สุดในกลุ่มเทคโนโลยี — สร้างตัวเร่งปฏิกิริยาที่สมบูรณ์แบบสำหรับการโจมตี สี่ในห้าเห็นพ้องกันว่าช่องโหว่ของเฟิร์มแวร์กำลังเพิ่มสูงขึ้น และเกือบทั้งหมด (93%) ระบุว่าการรักษาความปลอดภัยเฟิร์มแวร์ควรมีความสำคัญเร่งด่วน ในการย้ายเข็มองค์กรทางการเงินเกือบจะเป็นเอกฉันท์เชื่อว่าการเพิ่มการลงทุนและทรัพยากรเป็นสิ่งจำเป็น ในแง่บวก ผู้ตอบแบบสอบถามคาดว่าจะมีงบประมาณด้านความปลอดภัยด้านไอทีเพิ่มขึ้น 8.5% สำหรับเฟิร์มแวร์ในอีก 1-2 ปีข้างหน้า นอกจากปัจจัยแห่งความสำเร็จเหล่านี้แล้ว องค์กรเหล่านี้ยังต้องขจัดความเชื่อผิดๆ เกี่ยวกับเทคโนโลยีและวิธีการปัจจุบันที่สร้างความรู้สึกผิดๆ เกี่ยวกับความปลอดภัย เช่น:

• โซลูชันการจัดการช่องโหว่ (81%) และ/หรือโปรแกรมตรวจจับและตอบสนองปลายทาง (EDR) สามารถระบุช่องโหว่ของเฟิร์มแวร์และช่วยเหลือในการแก้ไข (83%)
• แบบฝึกหัดการสร้างแบบจำลองภัยคุกคามเป็นแหล่งความรู้เชิงลึกที่เชื่อถือได้เกี่ยวกับช่องว่างของเฟิร์มแวร์ที่อาจเกิดขึ้น จากข้อมูลของผู้ตอบแบบสอบถาม 37% และ 57% ระบุว่าใช้กระบวนการนี้ในบางครั้ง ที่น่าสนใจคือ 96% รายงานว่าแบบฝึกหัดการสร้างแบบจำลองภัยคุกคามขององค์กรไม่ตรงกับแนวภัยคุกคามในปัจจุบัน
• 12 ชั่วโมงเป็นเวลาเฉลี่ยสำหรับทีมไอทีในการตอบสนองต่อการโจมตีด้วยเฟิร์มแวร์ โดยผู้ตอบระบุว่าขาดความรู้ (39%) และทรัพยากรที่จำกัด (37%) เป็นเหตุผลหลักสำหรับระยะเวลาที่นานเกินไป อย่างไรก็ตาม 71% อ้างว่างบประมาณไม่ได้เป็นปัจจัยสำคัญ

“จากการโจมตีที่เกี่ยวข้องกับเฟิร์มแวร์ในช่วงหลายเดือนที่ผ่านมา เห็นได้ชัดว่าฝ่ายตรงข้ามไม่ต้องทำงานหนักพอที่จะใช้ประโยชน์จากข้อบกพร่องในห่วงโซ่อุปทานของเทคโนโลยี น่าเสียดายที่ข้อมูลการวิจัยของเราแสดงถึงการถดถอยที่ขับเคลื่อนโดยขาดความตระหนักรู้อย่างแท้จริงและการเพิกเฉยซึ่งขับเคลื่อนโดย 'มองไม่เห็น ไม่สนใจ'” Yuriy Bulygin ซีอีโอและผู้ร่วมก่อตั้ง Eclypsium กล่าว “คำสั่งและความคิดริเริ่มใหม่ๆ ของรัฐบาล เช่น Known Exploited Vulnerabilities Catalog ของ CISA และ Binding Operational Directive เรียกร้องให้มีการดำเนินการทันทีเพื่อปกป้องชั้นเฟิร์มแวร์ที่สำคัญของซัพพลายเชนให้ดียิ่งขึ้น ความคืบหน้าอาจจะช้า แต่เรากำลังเดินไปในทิศทางที่ถูกต้อง”

เกี่ยวกับ ECLYPSIUM

แพลตฟอร์มบนคลาวด์ของ Eclypsium ระบุ ตรวจสอบ และเสริมความแข็งแกร่งของเฟิร์มแวร์ในแล็ปท็อป เซิร์ฟเวอร์ อุปกรณ์เครือข่าย และอุปกรณ์ที่เชื่อมต่อ แพลตฟอร์ม Eclypsium รักษาความปลอดภัยให้กับซัพพลายเชนของอุปกรณ์ของคุณโดยการตรวจสอบอุปกรณ์เพื่อหาภัยคุกคาม ความเสี่ยงที่สำคัญ และแพตช์เฟิร์มแวร์ทั่วทั้งฟลีตอุปกรณ์ สำหรับข้อมูลเพิ่มเติมโปรดเยี่ยมชม eclypsium.com.

เกี่ยวกับแวนสัน บอร์น

Vanson Bourne เป็นผู้เชี่ยวชาญอิสระด้านการวิจัยตลาดสำหรับภาคเทคโนโลยี ชื่อเสียงของพวกเขาในด้านการวิเคราะห์จากการวิจัยที่แข็งแกร่งและน่าเชื่อถือนั้นมีรากฐานมาจากหลักการการวิจัยที่เข้มงวดและความสามารถในการแสวงหาความคิดเห็นของผู้มีอำนาจตัดสินใจระดับสูงในสายงานด้านเทคนิคและธุรกิจ ในทุกภาคธุรกิจและทุกตลาดหลัก สำหรับข้อมูลเพิ่มเติมโปรดเยี่ยมชม
www.vansonbourne.com.