È tautologico affermare che le protezioni aziendali siano fondamentali per garantire la sicurezza dell’hardware. Il problema sono i volumi da gestire. Al punto che gli esperti affermano come, probabilmente, non esista società al mondo capace di progettare e produrre tutti i componenti hardware inclusi nella propria infrastruttura IT. Il che, in estrema sintesi, significa che la gestione della sicurezza di un ambiente IT è una supply chain che include molti programmi diversi e sistemi di monitoraggio di terze parti.
Recentemente la questione è stata affrontata da Bloomberg Businessweek, che ha pubblicato il caso di un fornitore di hardware che avrebbe spedito prodotti contenenti dei chip compromessi. La questione dell’hardware fisico compromesso riporta la questione alla gestione delle filiere dei fornitori.
Sicurezza fisica dell’hardware e vulnerabilità
Per chi compra una macchina o un dispositivo, dal punto di vista fisico, la sicurezza dell’hardware è la base dell’operatività ma anche della fiducia. Questo è il motivo per cui molte aziende, come Google, hanno investito risorse significative nella sicurezza fisica dell’hardware. Può essere difficile rilevare e correggere un server se nell’hardware è presente malware (ad esempio nel firmware di un disco rigido): le aziende più grandi possono gestire questi rischi, ma la maggior parte delle organizzazioni non ha le risorse per farlo.
La complessità della catena di fornitura
Per gestire la sicurezza fisica dell’hardware bisogna guardare quindi alla catena di approvvigionamento. È vero che la maggior parte delle aziende acquista i propri server da fornitori cosiddetti best of breed; in questo caso i fornitori di hardware progettano e assemblano i loro sistemi includendo informazioni su software, componenti e chip. Tuttavia, il fornitore a sua volta può lavorare con molti fornitori diversi, anche solo per cercare economie di scala più interessanti. Il che rende molto complessa l’alberatura della catena di fornitura, con fornitori diversi per competenze e caratteristiche.
A questo punto l’ipotesi di un hacker o di un insider della società del fornitore (o dei suoi fornitori) che, in fase di progettazione, altera un chip o un circuito specifico inserendo un design malware per compromettere l’hardware non è verificabile. Il malware o l’hardware dannoso potrebbero fare quasi tutto, andando a indebolire le operazioni crittografiche della macchina o permettendo addirittura il furto dei dati sensibili.
Le clausole di sicurezza da introdurre in un contratto
La tolleranza di un’impresa al rischio e le risorse disponibili per gestirlo guidano la gestione della sicurezza. Le aziende hanno un’ampia gamma di opzioni per gestire la sicurezza fisica dell’hardware e attuare le contromisure necessarie a gestire l’hardware potenzialmente compromesso dei propri ambienti.
Qualsiasi connessione di rete, come backup, gestione, monitoraggio e connessioni di rete interne, devono essere costantemente monitorate, ma questo si sa. Rispetto alla sicurezza fisica dell’hardware sono stati condotti diversi progetti di ricerca che confrontano il silicio prodotto con i disegni di progettazione originali; questo tipo di approccio può essere utilizzato in ambienti ad alta sicurezza su tutto il nuovo hardware o quando si scelgono nuovi componenti da includere nei sistemi progettati o realizzati dall’azienda.
In quest’ottica, un’azienda potrebbe aggiungere una clausola ai contratti di fornitura in cui viene specificato che i prodotti devono essere privi di difetti dannosi (anche se è improbabile che un vendor accetti questo tipo di clausola). Per una risposta più misurata, l’azienda dovrebbe comunque introdurre un sistema di monitoraggio dei server finalizzato a rilevare il traffico di rete anomalo. Qualsiasi connessione di rete, come backup, gestione, monitoraggio e connessioni di rete interne, devono essere monitorate a livello di traffico di rete, includendo il monitoraggio del flusso di dati per connessioni di rete inspiegabili piuttosto che l’utilizzo di deep-packet inspection su connessioni Internet.
Una volta identificate le connessioni anomale, è possibile investigare più in profondità. Questo non identificherà l’hardware che utilizza connessioni non-IP, cellulari, Bluetooth o satellitari per estrarre i dati dall’azienda, ma se questo è un problema, è possibile usare i rack del centro dati o persino progettare il data center per impedire alle frequenze radio di fuoriuscire dalla struttura.
Per le aziende che utilizzano i sistemi IaaS o altri sistemi hosted, i fornitori dovrebbero adottare misure tali da garantire che i sistemi siano fisicamente sicuri e che sia in atto anche una sicurezza fisica dell’hardware appropriata. Il provider può monitorare la propria infrastruttura per identificare connessioni di rete sospette, in quanto potrebbe non avere accesso alle connessioni di rete che potrebbero essere utilizzate come canali laterali.
Un’organizzazione a questo proposito potrebbe includere nel contratto con il fornitore che sia responsabilità di quest’ultimo assicurarsi che ciò avvenga. Come avvertono gli esperti, non tutti i fornitori potranno essere d’accordo ma chi sarà disposto a metterlo nero su bianco si connoterà come un partner più affidabile e di valore. Richiedere al fornitore di garantire che l’hardware sia privo di manomissioni esterne e che, se viene rilevata manomissione, risolverà i problemi a proprie spese, può essere la chiave della fiducia e dell’efficienza.
Capire per gestire meglio
Sebbene sia impossibile attenuare tutte le vulnerabilità e interrompere tutti gli attacchi prima che compromettano la sicurezza dei sistemi, la comprensione delle potenziali vulnerabilità che hanno origine dalla catena di fornitura è fondamentale per gestire efficacemente il rischio. Il che può includere la valutazione del rischio potenziale, l’implementazione di un controllo compensativo per minimizzare l’impatto di una vulnerabilità.
