數(shù)據(jù)中心的風(fēng)險(xiǎn)與對(duì)策 您的服務(wù)器固件安全嗎？最好確認(rèn)一下！

在當(dāng)今的數(shù)字世界中，數(shù)據(jù)為王。通過應(yīng)用數(shù)據(jù)分析來(lái)為新產(chǎn)品或服務(wù)提供信息，組織可以獲得顯著的競(jìng)爭(zhēng)優(yōu)勢(shì)。此外，在5G和物聯(lián)網(wǎng)等技術(shù)的加持下，設(shè)備可以比以往更輕松地連接到互聯(lián)網(wǎng)來(lái)共享數(shù)據(jù)。這引發(fā)了新數(shù)據(jù)的爆發(fā)狂潮；研究分析公司Statista預(yù)計(jì)，到2025年，全球創(chuàng)造的數(shù)據(jù)將達(dá)到180 ZB（澤字節(jié)）。這些數(shù)據(jù)中捕獲到的豐富信息（信用卡號(hào)、社保號(hào)、專有IP）使其成為對(duì)黑客有吸引力的目標(biāo)，隨著數(shù)據(jù)中心收集和存儲(chǔ)的數(shù)據(jù)量的增長(zhǎng)，針對(duì)它們的網(wǎng)絡(luò)攻擊的創(chuàng)新性和復(fù)雜性也日益提高。

中央處理單元（CPU）、圖形處理單元（GPU）存儲(chǔ)設(shè)備和網(wǎng)絡(luò)卡中的固件是特別誘人的目標(biāo)，因?yàn)樽鳛殡娮酉到y(tǒng)的基本元素，如果它們?cè)獾狡茐?，?huì)更加難以檢測(cè)。長(zhǎng)期以來(lái)，保護(hù)這些設(shè)備中的數(shù)據(jù)免遭竊取至關(guān)重要。事實(shí)上，在最大的數(shù)據(jù)中心，這些設(shè)備現(xiàn)在往往會(huì)受到良好的保護(hù)。

為了尋找其他潛在的漏洞，惡意黑客在試圖攻擊數(shù)據(jù)中心時(shí)，越來(lái)越多地以服務(wù)器組件為目標(biāo)。對(duì)于服務(wù)器中的許多常見半導(dǎo)體組件（例如，控制引導(dǎo)順序、風(fēng)扇控制和電池管理的嵌入式控制器），其固件可能會(huì)遭到破壞或被虛假固件替換，從而導(dǎo)致黑客可以未經(jīng)授權(quán)地訪問服務(wù)器上的數(shù)據(jù)或干擾正常的服務(wù)器操作。

固件攻擊的隱匿性非常強(qiáng)，因?yàn)榉?wù)器組件固件在服務(wù)器的操作系統(tǒng)運(yùn)行和任何反惡意軟件功能生效之前加載。這也會(huì)使固件攻擊難以被發(fā)現(xiàn)，即使被發(fā)現(xiàn)，也很難消除。

然而，許多公司對(duì)于固件安全的重視并不夠。在由Microsoft委托對(duì)IT和安全決策者進(jìn)行的一項(xiàng)調(diào)查中，受訪者認(rèn)為固件漏洞幾乎與軟件或硬件漏洞一樣具有破壞性，但用于保護(hù)固件的安全預(yù)算不到三分之一。

圖表來(lái)源：Microsoft Security Signals，2021年3月

企業(yè)必須認(rèn)真對(duì)待數(shù)據(jù)中心的固件安全，否則會(huì)自食其果。為此，在考慮固件安全時(shí)，IT和安全團(tuán)隊(duì)?wèi)?yīng)關(guān)注三個(gè)因素。

建立設(shè)備真實(shí)性

服務(wù)器的主板、工作負(fù)載加速器和購(gòu)買后安裝的附加板是由不同的供應(yīng)商設(shè)計(jì)并在全球范圍內(nèi)制造的。這些設(shè)備的供應(yīng)鏈容易受攻擊，非法固件或硬件可以在生產(chǎn)和測(cè)試的各個(gè)階段安裝到電路板上，等待毫無(wú)戒心的客戶在服務(wù)器中安裝已遭到破壞的設(shè)備。IT團(tuán)隊(duì)必須確保其添加到服務(wù)器的任何硬件都可以驗(yàn)證新硬件是否按規(guī)范運(yùn)行。

建立代碼真實(shí)性

數(shù)據(jù)盜竊并非遭到破壞的固件造成的惟一問題；IP盜竊也可能影響組件制造商的盈利能力和聲譽(yù)。如前文所述，半導(dǎo)體通常在一個(gè)國(guó)家/地區(qū)制造，在另一個(gè)國(guó)家/地區(qū)封裝，最后在第三個(gè)國(guó)家/地區(qū)集成到系統(tǒng)中。

由于供應(yīng)鏈中的接觸點(diǎn)如此之多，缺乏道德的承包商可以輕松復(fù)制供應(yīng)商的固件，將其安裝在未經(jīng)授權(quán)的芯片上，然后在灰色市場(chǎng)上銷售假冒的部件。這不僅會(huì)影響原始供應(yīng)商的利潤(rùn)，如果假冒設(shè)備的性能低下，還可能損害他們的聲譽(yù)。

保護(hù)數(shù)據(jù)安全

加密是一種防止未經(jīng)授權(quán)訪問數(shù)據(jù)的成熟方法，但新的加密威脅正在引起網(wǎng)絡(luò)安全領(lǐng)域的關(guān)注。如果應(yīng)用得當(dāng)，量子計(jì)算甚至可以破解最復(fù)雜的加密技術(shù)。

如今，大多數(shù)企業(yè)都在使用128位和256位加密；對(duì)于使用傳統(tǒng)計(jì)算技術(shù)的最堅(jiān)定攻擊者而言，這樣的措施已足以保護(hù)數(shù)據(jù)。但是，量子計(jì)算能夠以呈指數(shù)級(jí)增長(zhǎng)的速度處理數(shù)據(jù)，對(duì)于使用傳統(tǒng)計(jì)算方法可能需要數(shù)十年才能破解的加密算法，量子計(jì)算可能只需要幾天就能破解。

利用HRoT和穩(wěn)健的加密技術(shù)保護(hù)您的固件

值得慶幸的是，2018年，美國(guó)國(guó)家標(biāo)準(zhǔn)及技術(shù)研究所（NIST）發(fā)布了平臺(tái)固件彈性的SP 800-193指南。據(jù)NIST稱，這些指南提供了“保護(hù)平臺(tái)免受未經(jīng)授權(quán)（固件）更改、檢測(cè)發(fā)生的未經(jīng)授權(quán)更改，并快速安全地從攻擊中恢復(fù)的安全機(jī)制。包括原始設(shè)備制造商（OEM）和組件/設(shè)備供應(yīng)商在內(nèi)的實(shí)施者可以使用這些指南在平臺(tái)內(nèi)構(gòu)建更強(qiáng)大的安全機(jī)制。系統(tǒng)管理員、安全專業(yè)人員和用戶可以使用這份文檔來(lái)指導(dǎo)未來(lái)系統(tǒng)的采購(gòu)策略和優(yōu)先事項(xiàng)?！?

NIST SP 800-193標(biāo)準(zhǔn)推廣使用“硬件信任根”或HRoT，以確保在啟動(dòng)過程中，加載到服務(wù)器組件中的固件在激活之前驗(yàn)證為合法。當(dāng)服務(wù)器啟動(dòng)時(shí)，HRoT組件是第一個(gè)上電的組件，它包含了驗(yàn)證其自身固件和在HRoT激活后上電的任何組件的固件所需的加密元件。通過在服務(wù)器的嵌入式控制器中添加HRoT功能，企業(yè)不但可以在整個(gè)啟動(dòng)過程中保護(hù)服務(wù)器，甚至還可以在操作系統(tǒng)和反惡意軟件加載并運(yùn)行之前保護(hù)服務(wù)器。

NIST也在鼓勵(lì)企業(yè)采用更先進(jìn)的加密算法。2016年，NIST在最優(yōu)秀的密碼學(xué)家之間舉辦了一場(chǎng)比賽，以開發(fā)能夠抵御基于量子計(jì)算的攻擊的算法。比賽于去年結(jié)束，NIST宣布了四種將包含在其即將推出的后量子加密標(biāo)準(zhǔn)化項(xiàng)目中的新加密算法。

網(wǎng)絡(luò)安全就像是一場(chǎng)軍備競(jìng)賽，一方是致力于保護(hù)計(jì)算機(jī)系統(tǒng)的守護(hù)者，另一方是打算破壞這些系統(tǒng)的攻擊者（包括犯罪分子和國(guó)家支持的黑客）。雙方都在不停地抵抗對(duì)方的進(jìn)攻。固件已經(jīng)成為這場(chǎng)持久斗爭(zhēng)的最新戰(zhàn)場(chǎng)，那些忽視在威脅評(píng)估和安全計(jì)劃中包含固件的企業(yè)將自擔(dān)風(fēng)險(xiǎn)。