Firmware her yerde. Güvenliğiniz de öyle olmalı

Tehdit aktörlerinin, web tarayıcıları gibi daha geleneksel uygulamaların aksine, cihaz yazılımındaki ve bellenimdeki güvenlik açıklarından aktif olarak yararlandığına artık hiç şüphe yok.

Ve giderek karmaşıklaşan küresel tedarik zinciri yalnızca riski artırır. Güvenlik açıkları herhangi bir düzeyde tanıtılabilir.

CEO’su Yuriy Bulygin, “Cihazların içindeki yazılım ve bellenim en temel ve ayrıcalıklı koddur” dedi. tutulma. “Bulaşırsa veya kurcalanırsa, düşmanlara bir kuruluşun altyapısında bir dayanak sağlayabilir, uzun süre algılamadan kaçınabilir ve hatta cihaz altyapısında kalıcı hasara neden olabilir.”

Cihaz güvenliği veya sıfır güven ilkelerinin gerçekten etkili olması için kuruluşların tüm donanım, bellenim ve yazılım kodu katmanlarını anlaması gerektiğini söyledi. Eclypsium platformunun bu alandaki yeteneklerini desteklemek için şirket bugün bir B serisi turunda 25 milyon dolarlık bir infüzyon açıkladı.

Bulygin, günümüzün karmaşık tedarik zincirinin “hedefleri birçok kuruluşta aynı anda maksimum zararlı etkiyi elde etmek olan tehdit aktörleri için çekici ve hızla büyüyen bir oyun alanı yarattı” dedi.

Sürekli büyüyen saldırı yüzeyi

IBM 2022 Veri İhlali Raporunun Maliyeti Tedarik zinciri güvenliğinin ilk analizlerinden birini sunarak, yazılım tedarik zinciri uzlaşması nedeniyle kuruluşların yaklaşık beşte birinin ihlal edildiğini ortaya koydu.

Dünyanın dört bir yanındaki devlet kurumları giderek artan bir şekilde uyarılar ve emirler yayınlıyor – örneğin, Beyaz Saray OMB muhtırası tedarik zinciri güvenliğini artırmak. Cihaz yazılımı ve bellenim neredeyse dörtte birini oluşturuyor. Bilinen istismar edilen güvenlik açıkları Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA) tarafından yayınlanan

Bulygin, Conti ve TrickBot fidye yazılımı gruplarının genellikle uç nokta aygıt yazılımını hedeflediğini ve Rus devlet aktörlerinin uç noktaları ve SATCOM uydu terminallerini sildiğini belirtti.

Çok sayıda ihlalin, hemen hemen her satıcı tarafından ilk erişim vektörleri olarak inşa edilen ağ, VPN ve güvenlik ekipmanlarını kullandığını ve kritik sunucuların aşağıdakiler gibi uzaktan yönetim arayüzleri aracılığıyla tehlikeye atıldığını söyledi. iLOBleed. Ayrıca, botnet’ler IoT cihazlarına bulaşır ve kötü amaçlı yazılımlar, savunmasız OT sistemlerini hedefler.

Bulygin, “Giderek artan karmaşık bir küresel tedarik zinciri, bitmiş cihazların dünyanın dört bir yanındaki satıcılardan sağlanan donanım ve bellenim bileşenlerine sahip olabileceği anlamına geliyor ve bunların tümü bir cihazın güvenliğini sağlamanın riskini ve karmaşıklığını artırıyor” dedi.

Cihazlarda güven oluşturun

Yazılım tedarik zinciri güvenlik araçları sunan mevcut şirketler arasında Synopsys, Chainguard, Cycode, Aqua Security ve Veracode bulunmaktadır.

Eclypsium’un girişi ve hızlı büyümesi artan talebin göstergesidir; Bulygin, teklifinin yalnızca uygulama katmanına odaklanan diğer güvenlik çözümlerinden benzersiz olduğunu söyledi.

“Oysa cihazlar ve cihaz düzeyindeki yazılımlar ve bellenim en temel, ayrıcalıklı ve korumasız saldırı yüzeyidir” dedi ve “kötü niyetli istismar uzun süredir bu katmana kaymıştır.”

Eclypsium’un halihazırda birçok Fortune ve Global 2000 şirketine hizmet verdiğini ve platformunun ABD devlet kurumları tarafından kullanıldığını belirtti. Ayrıca yakın zamanda CISA Sürekli Tanılama ve Azaltma (CDM) Onaylı Ürünler Listesine donanım, bellenim ve yazılım tedarik zincirini güvence altına alan ilk ürün olarak eklendi.

Bulygin, platformun tedarik zinciri risklerini yalnızca keşfetmek ve vurgulamak yerine otomatik bir şekilde azalttığını söyledi. Kullanıcılar şunları yapabilir:

• Tüm donanım bileşenleriyle birlikte tüm BT ekipmanlarını ve aygıtlarla birlikte verilen aygıt yazılımı ve yazılımları envanterleyin.
• Malzeme listeleri oluşturun ve doğrulayın.
• İmplantlar tarafından enfekte olmuş veya tedarik zincirinde güvenliği ihlal edilmiş cihazları keşfedin.
• Tedarik zinciri güvenlik açıklarını belirleyin.
• Çok satıcılı cihaz filolarının tamamında yazılım ve ürün yazılımı güncellemelerini dağıtın.

Bulygin, temel olarak, bu, kullanıcıların “cihazlarına ve donanım ve yazılım tedarik zincirlerine güven oluşturmalarını” sağlar.

Güvenlik finansal anlam ifade ediyor

Örneğin, finansal hizmet satıcıları, her düzeydeki tehdit aktörleri için ana hedeflerdir. İlk Finansal800 milyon doları aşan varlıkları ve 85.000’den fazla üyesi olan bir New Mexico kredi birliği olan , kesinlikle bundan muaf değil.

First Financial’ın BT Başkan Yardımcısı Steve Coffey, “Sunuculardaki iLOBleed implantları ve uç noktalardaki FinSpy önyükleme setleri gibi ürün yazılımı düzeyindeki yeni saldırılar neredeyse her gün haberlere maruz kalıyor” dedi.

Firmware odaklı yeni saldırılar gören şirketin BT ekibi, yakın zamanda tedarik zinciri güvenliğine odaklandı. Coffey’e göre ilk soruları, sistemlerinin alt işletim sistemi alanlarında (firmware’in yaşadığı) mevcut araçlarının görünürlüğü ve etkinliği olup olmadığıydı.

Ekibinin araştırması, cihaz ve donanım yazılımı düzeyinde önemli görünürlük ve koruma boşlukları olduğunu ve saldırıyı yapanın yalnızca güçlü ulus devletler olmadığını buldu.

Firmware her yerde olduğundan, First Financial’ın dizüstü bilgisayarlar ve masaüstü bilgisayarlar gibi uç noktaların yanı sıra çok sayıda ağ cihazı ve sunucusunu kapsaması gerekiyordu, dedi Coffey. Ayrıca güvenlik ve operasyon ekipleri arasındaki kurumsal sınırları aşmaları gerekecek.

Eclypsium’un platformu, düşük seviyeli tehditlerin önünde kalmalarına ve “büyüdükçe daha fazla güvenlik değeri elde edebileceğimiz” katmanlı bir araca sahip olmalarını sağlıyor. Ayrıca, kredi birliklerinin karşı karşıya olduğu artan tehdit seviyeleri göz önüne alındığında herhangi bir zamanda gerçekleşebilecek ürün yazılımı korumalarına dair kanıt isteyen denetçiler için hazırlanmıştır.

Gelişmiş yetenekler, araştırma

Yeni finansman turu Eclypsium’un toplamını 50 milyon dolara çıkardı. Bulygin, şirketin yeni parayı ürün yeteneklerini genişletmek, satış ivmesini hızlandırmak ve tedarik zinciri güvenliği araştırması yapmak için kullanacağını söyledi.

2018’deki A serisinden bu yana, şirket çalışan sayısını beş katına çıkardığını ve 35 kat gelir artışı yaşadığını söyledi. Ayrıca müşteri tabanında 13 kat büyüme kaydetti.

En yeni tur liderliğindeki On On Bir Girişimkatılımıyla Küresel Beyin Andreessen Horowitz, Madrona Venture Group, Alumni Ventures, AV8 Ventures, Intel Capital, Mindset Ventures, Oregon Venture Fund (OVF), Translink Capital ve Ubiquity Ventures ile birlikte KDDI Açık İnovasyon Fonu (KOIF) ve J-Ventures.