俄勒冈州波特兰市 – 23 年 2022 月 XNUMX 日
– 夹竹桃®
和 范森·伯恩 今天发布的一份新报告显示，金融部门没有能力有效应对与固件相关的供应链攻击的持续威胁。 事实上，92% 的财务 CISO 认为，与他们的团队在保护固件方面相比，对手在武器化固件方面的能力更强。 此外，四分之三的人承认对组织固件盲点的认识存在差距。 因此，88% 的受访者承认仅在过去两年内就遭受过与固件相关的网络攻击。
金融服务供应链中的固件安全 报告分享了金融领域 350 位 IT 安全决策者的见解，特别是来自美国、加拿大、新加坡、澳大利亚、新西兰和马来西亚的决策者。 这些发现不仅暴露了固件安全的状态以及缺乏预防控制或补救策略，而且还揭示了对当前安全措施的自满和缺乏意识。 更令人担忧的是，人们普遍认为几乎没有专门的投资或资源，而且普遍缺乏应对当今网络安全最大威胁之一的技能。 数据显示：
- 在过去两年中，超过一半 (55%) 的人不止一次受到固件级别的攻击。
- 几乎十分之四的比率数据丢失（和 GDPR 违规）是攻击的主要后果； 同样排名的还有对失去关键安全控制的恐惧。
- 关键设备的破坏 (35%)、客户损失 (34%) 和对手对其他设备的访问 (34%) 同样被视为固件相关攻击后的不利影响。
“金融服务组织是网络攻击的主要目标。 这就解释了为什么他们是采用新保护技术的先锋，同时在监管机构和其他行业的持续关注下，等待跟随他们的领导，努力对抗不断演变的攻击媒介。 然而，在保护固件和硬件供应链的情况下，我们看到了潜在的盲点，”全球网络弹性执行官 Ramy Houssaini 说。 “如果我们要有效保护技术供应链，优先事项的转变至关重要。 金融机构必须继续充当开拓者，弥合固件安全漏洞。”
金融机构缺乏采取行动的固件风险洞察力
根据美国国家标准与技术研究院 (NIST) 的数据，自 500 年以来，固件级别的攻击飙升了 2018%，但 93% 的受访者对缺乏对当前固件威胁的洞察力感到惊讶。 仅在过去八个月中，Eclypsium Research 就发现了主要的 野外威胁， 如： Conti 勒索软件组织发起的 Intel ME 攻击。
不幸的是，缺乏洞察力源于固件和供应链知识的巨大差距。 实际上：
- 略超过一半 (53%) 的人知道他们的安全控制（防火墙、访问控制等）依赖于固件，44% 的人在被问及有关笔记本电脑的相同问题时知道，56% 的人不知情。
- 47% 的人认为他们完全了解组织的整体固件攻击面，49% 的人大部分都知道。 只有 39% 的人表示，如果设备遭到入侵，他们会立即收到通知。
尽管有认知，但 91% 的人担心其组织供应链中固件安全方面的差距。
误解、资金有限和缺乏技能/资源正在推动激增
固件是任何设备以及整个供应链中最基本的组成部分，但它仍然是技术堆栈中最容易被忽视和忽视的部分——为攻击创造了完美的催化剂。 五分之四的人同意固件漏洞正在增加，并且几乎所有人 (93%) 都认为保护固件应该是当务之急。 为了改变现状，金融机构几乎一致认为增加投资和资源势在必行。 积极的一面是，受访者预计未来 8.5-1 年专用于固件的 IT 安全预算将增加 2%。 除了这些成功因素之外，这些组织还必须消除围绕当前技术和方法造成错误安全感的神话，例如：
- 漏洞管理解决方案 (81%) 和/或其端点检测和响应 (EDR) 程序可以识别固件漏洞并协助修复 (83%)。
- 37% 的受访者表示，威胁建模练习是深入了解潜在固件漏洞的可靠来源，57% 的受访者表示有时会使用该流程。 有趣的是，96% 的人报告他们组织的威胁建模练习与当今的威胁形势不符。
- 12 小时是 IT 团队响应基于固件的攻击的平均时间，受访者将缺乏知识 (39%) 和资源有限 (37%) 归咎于时间过长的主要原因。 但是，71% 的人声称预算不是一个因素。
“基于最近几个月与固件相关的攻击的猛烈攻击，很明显，攻击者不必努力工作以利用技术供应链中的缺陷。 不幸的是，我们的研究数据代表了一种回归，这种回归纯粹是由于缺乏意识和‘眼不见心不烦’所驱动的不作为，”Eclypsium 的首席执行官兼联合创始人 Yuriy Bulygin 说。 “新的政府指令和倡议，例如 CISA 的已知利用漏洞目录及其约束性操作指令，呼吁立即采取行动，以更好地保护供应链的关键固件层。 进展可能很缓慢，但我们正朝着正确的方向前进。”
关于 ECLYPSIUM
Eclypsium 基于云的平台可识别、验证和强化笔记本电脑、服务器、网络设备和连接设备中的固件。 Eclypsium 平台通过监控设备的威胁、关键风险和修补整个设备群的固件来保护您的设备供应链。 如需更多信息，请访问 eclypsium.com.
关于万森伯恩
Vanson Bourne 是技术领域市场研究的独立专家。 他们以稳健和可信的基于研究的分析而闻名，这建立在严格的研究原则以及他们在所有业务部门和所有主要市场中寻求技术和业务职能部门高级决策者意见的能力之上。 如需更多信息，请访问
www.vansonbourne.com.
