Nakliye, eğlence, sağlık ve refahlara, hayatımızın pratik olarak her yönüyle günün her yönüne katkıda bulunan milyarlarca bağlı cihazla çevriliyoruz. Bağlı cihazlar, birçok yetenek ve özellikleri için yazılıma giderek daha fazla güvendiğinizden beri, siber tehditlere maruz kalmaları katlanarak büyür.
Eski yazılımın, 24x7 işletiminin ve bilgiye erişimin kombinasyonu, bağlı cihazlar bilgisayar korsanları için değerli hedefler yapar. Gömülü, tescilli ve açık kaynaklı cihaz yazılımı, özellikle çekici bir saldırı yüzeyi sunar.
Cyberthreat peyzajı, geliştiricileri ve güvenlik ekiplerini geliştirmek, geliştiriciler ve güvenlik ekipleri, müşterilerinin ve kullanıcılarının bağlı cihazlarının güvenli ve güvenli bir şekilde yararlanabilmelerini sağlamak, çalışmalarını kendileri için kesmelerini sağlamakla görevlendirilmiştir. Tüm ürün yaşam döngüsü boyunca kusurlar bulma ve sabitleme - tasarımdan üretim sonrası - daha fazla agresif üretim zaman çizelgeleri sürdürürken, yaparken yeterince zor değildi.
İşte bağlı cihaz siber güvenliğinin her zamankinden daha kırılgan olduğu ilk üç nedeni.
Bilgisayar korsanları, bağlı cihazların kolayca tehlikeye girebileceği bir son nokta olabilir. Çünkü genellikle daha büyük bir sistemin bir parçası oldukları için - otomotiv, tıbbi, endüstriyel veya diğer cihazlar istenmeyen ağ geçitleri gibi davranabilirler. Bu nedenle, şirketin verilerinin veya diğer kötü amaçlı aktivitelerin ortaya çıkması için, büyük ağlar boyunca izinsiz girişler ve lateral hareketler için sömürülen hacker dikkatini çekiyorlar.
Bağlı tıbbi cihazlar (son) noktasında bir durumdur. Örneğin, bir bilgisayar korsanının işletim MRI makinesinin kontrolünü sağlamasını sağlayan bir cyberattack, hastaları kişisel riske sokabilir. Tehdit daha ileri gidiyor. Bir MRG tipik olarak teknisyenlerin görüntülerle çalışmasını sağlayan iş istasyonlarına bağlanır. MRG'nin kendisiyle birlikte, bağlı iş istasyonlarından herhangi biri - ve hatta diğer tümleşik sistemler, örneğin, resim arşivleme ve iletişim sistemleri (PACS) - saldırı için yanında olabilir. Kişisel sağlık bilgileri ve daha fazlası kolay bir hedef olabilir.
Tipik onkoloji ve farmakoloji bölümlerinde ve hastane laboratuvarlarında kullanılan bağlı cihazların% 50'sinden fazlasının eski tıbbi cihazlarda çalıştığını düşündüğünüzde, fırsat bağlı tıbbi cihazların bilgisayar korsanları için nasıl olduğunu anlamak kolaydır. Bazı önde gelen siber güvenlik uzmanları, silahlanmış bağlı cihazların gerçek bir tehdit olduğunu ve yanlış ellerde, toplu zayiat olaylarına neden olabilir.
Tıbbi cihaz endüstrisindeki ihlaller hakkında daha fazla başlık görüyorsak, muhtemelen okumadığımız diğerleri de vardı. Birçok tıbbi cihaz ve sağlık saldırısı kapalı kapıların arkasına kalır ve asıl saldırı sayısı medya raporlarından elde ettiğimizden çok daha büyük olabilir.
Cihazlarını güvende, güvenli ve operasyonel tutmak için, ürün güvenliği ekiplerinin, tasarım ve gelişmenin en eski aşamalarından, operasyonel kullanım ve tüm hayat sonuna kadar tüm portföylerinin tamamındaki siber riskini ve uyumunu proaktif olarak yönetmesi gerekir. .
Tedarik zinciri, tedarikçiler, hükümetler ve hackerlar tarafından çok dikkat çekiyor - iyi sebepler için ..
Karmaşık bağlı cihazlar için, bugünün araçları gibi - tekerlekler üzerindeki gerçek bilgisayar ağları - harici tedarikçilerin katmanları, güvenlik, drivetrain, infotainment ve diğer sistemlere gömülü ürün yazılımı ve yazılımın çoğunu sunar. Bitmiş bir ürüne bileşenlerin montajı, OEM, çok sayıda üçüncü taraf bileşende, son ürün, üreticisi ve birçok tüketicisi için yeni bir risk seviyesi oluşturan, çok sayıda üçüncü taraf bileşeninin neyin dayandığı, ancak sınırlı kontrol ve görünürlüğe sahiptir. .
Solarwinds Hack, üçüncü taraf Orion yazılımları aracılığıyla kötü amaçlı güncellemeler (Sunburst olarak bilinen) kuran 18.000'den fazla Solarwinds müşterisini etkiledi. ABD hükümet departmanları bile, normalde vatan güvenliği, devlet, ticaret ve hatta Hazine (!) Gibi son derece incelenmiş ve korunur.
Bu ünlü bir hack bir yıl önce olmuşken, birçok tedarik zinciri saldırısının raporları, o zamandan beri Solarwind'lerin tekil bir olay olmadığını kanıtlamıştır. Bunlarınki gibi saldırıların, yazılımın cihaz ve ürün üreticisinin tedarik zincirinde giderek daha büyük bir rol alması nedeniyle daha yaygın hale gelmesi bekleniyor.
Üçüncü taraf firmware ve yazılımı kullanan üreticiler, silahları, Solarwinds tipi saldırılarından kaçınmak için tedarikçilerine dikkatlice veterinere ihtiyaç duyulmaktadır. Ancak güvenilir bir tedarikçi ile rahatlamak yeterli değil. Tedarikçiler gelip bir ürünün ömrü boyunca gider - özellikle birçok tedarik zinciri kıtlığı üreticilerinin son zamanlarda karşılaştığını düşünüyor. Belki de yeni bir oyuncu daha iyi bir ürün yazılımı çözümü ile ortaya çıktı ya da güvenilir bir tedarikçi, gerekli yazılım bileşenlerini zamanında tedarik edemiyor ve değiştirilmelidir.
Her tedarikçi onboarding sıkıcı ve zorlu bir süreçtir. Yeni bir tedarikçi tarafından bir kayma - binlerce sürümün zaten alanda olduğuna dikkat edilmeyen koddaki bir hata - küresel bir devin markasını yok edebilir. Bir otomobilin direncesini veya hayat kurtarıcı bir tıbbi makinenin işleyişini ağır finansal hasar veya hatta insan zayiatlarıyla sonuçlanan cyberattack'a maruz bırakabilir.
Üçüncü taraf satıcıların diğer üçüncü taraf yazılımı kendi ürünlerinde kullanabileceğini unutmayın. Aslında, paketi almadan önce diğer üçüncü şahısları kullanan üçüncü şahısların çok uzun bir tedarik zinciri olabilir - bunların hepsi kullanılmadan önce ciddi bir veteriner gerektirir.
Açık kaynaklı kütüphaneler hemen hemen her yerde çalışıyor. Bir Web sayfasını her görüntülediğinizde, e-posta, sohbet, sohbet, akış müzik veya video oyunları oynayın, dizüstü bilgisayarınız, cep telefonunuz veya oyun konsolu açık kaynaklı yazılım kullanır.
Cihaz üreticileri farklı değil. Açık Kaynak Bileşenleri Yardım Cihazı ve Ürün Geliştiricileri, açık kaynaklı topluluk tarafından hazır olan güvenilir araçlar kullanarak daha hızlı yenilikçi yazılımlar yaratır. Bununla birlikte, açık kaynak kullanımı cihazın üreticilerinin sıkı gelişim zaman çizelgelerine ayak uydurmasına yardımcı olsa da, bir yakalama var.
Açık kaynak kimin var? Kimse. Ve ayrıca kullanan herkes.
Kodda bir güvenlik açığı varsa, kimin sorunu? Seninkar!
Popüler açık kaynaklı kütüphanelerin en büyük avantajlarından biri, sağlam bir kullanıcı topluluğuna sahip olmaları, sağlam ve sürekli olarak korunmasına izin vermenizi sağlar. Ancak, sürümün ve güvenlik güncelleştirmelerini izlemek için kullanıcılara kalmıştır. Güvenlik ve güvenliğinden emin olmak için, ürününüze açık kaynaklı bileşenler ekledikten sonra güvenlik güncelleştirmelerini izlemeniz ve hızlı bir şekilde yanıt vermelisiniz.
Ya da başka ne olabilir?
Son derece popüler açık kaynaklı kütüphane log4j, ilk birkaç gün içinde halka açık olduktan sonra 1,8 milyondan fazla saldırı oluşturuldu. Hacker'lara neden bu kadar çekici? Çünkü pek çok Java uygulaması doğrudan ya da dolaylı olarak log4j kullanıyor - milyonlarca saldırı vektörü sağlıyor.
Cihaz geliştiricileri her zamankinden daha fazla zorlukla karşı karşıya kalır. Ürün geliştirme ekosistemleri daha katmanlı ve karmaşık hale geliyor, çünkü tehdit peyzajı hızla genişliyor ve gelişiyor. İmkansız bir iş gibi görünüyor, manuel olarak üstlenmeye çok karmaşık. Ancak çok yararlı bir çözüm var.
Bağlı cihazın önünde kalmanın tek yolu Siber Güvenlik tehditleri, tüm envanteri gerçek zamanlı olarak takip etmek için her cihazın yazılım faturasını (SBOM) sürekli olarak izlemektir. Otomasyon, ürün güvenliği ekiplerinin, her şeyden önce üretimin en eski aşamalarından gelen güvenlik açıklarını yönetmelerini sağlayabilir. Geliştirme sürecine entegre olduğunda, gelişmiş bir ürün güvenlik platformu, ekiplerin güvenlik açıklarını algılamasına yardımcı olabilir, bunları bağlamda görebilir, böylece yanlış pozitifleri kolayca ortadan kaldırabilirler ve gerçekten önemli olan sorunları önyargısız hale getirebilirler ve bunları azaltabilirler.
Cybellum'un cihaz üreticilerinin, tasarımdan üretimden üretim sonrası ve ötesine kadar güvenli ve uyumlu ürünleri nasıl tutmalarını sağladığını öğrenin.
Cybellum tarafından sponsorlu
Üçüncü NPM Protestoware: 'Olay-Kaynak-Polyfill' Rusya'yı çağırıyor
BÜYÜK SABOTAJ: Ünlü NPM paketi, Ukrayna savaşını protesto etmek için dosyaları siler
Hackerlar, Rus şirketlerine saldırmak için Conti'nin sızdırılmış fidye yazılımını kullanıyor
Lüks Moda House Zegna Ağustos Ransomware Saldırısını Onaylar
Github şimdi yeni bağımlılıklarda tedarik zinciri böceklerini uyarabilir
Kaynak: Bleeping Computer