Cách giữ sự tin cậy của thiết bị gần với áo vest

Đây là một thực tế đau đớn về an ninh mạng: Khi bạn củng cố một bề mặt tấn công, kẻ thù sẽ chuyển sang các mục tiêu mềm hơn. Kết quả là, chúng tôi đã thấy ngày càng có nhiều nỗ lực khai thác lỗ hổng ở cấp thiết bị, điều này từng được coi là hiếm gặp do kỹ năng kỹ thuật cần thiết để thực hiện các kiểu tấn công này. Theo một cuộc khảo sát năm 2023 về ITDM toàn cầu do Futurum Group thực hiện, 69% tổ chức báo cáo một cuộc tấn công ở cấp độ phần cứng hoặc phần sụn. Con số này tăng 1,5 lần kể từ nghiên cứu năm 2020!

Vi phạm có thể xảy ra ở hàng chục điểm trong vòng đời của thiết bị và như chúng ta đã thấy trong những năm gần đây, chuỗi cung ứng là một phương tiện tấn công ngày càng gia tăng. Sắc lệnh hành pháp năm 2021 là một bước quan trọng nhằm tăng cường khả năng phục hồi của chuỗi cung ứng của Hoa Kỳ nhưng vẫn còn nhiều việc phải làm. Khi các phương pháp của kẻ tấn công trở nên tinh vi hơn, việc giả mạo sản phẩm ngày càng khó phát hiện. Làm thế nào các tổ chức có thể giảm thiểu rủi ro giả mạo ở cấp độ chuỗi cung ứng?

Với chứng chỉ nền tảng. Hãy để tôi giải thích.

Gần đây, Bộ Quốc phòng Hoa Kỳ (DoD) đã ban hành một “kế hoạch chi tiết” về việc mua sắm phần cứng một cách an toàn, bao gồm máy tính xách tay, máy tính để bàn và máy chủ . Hướng dẫn này tạo ra một tiêu chuẩn công nghiệp mới một cách hiệu quả cho việc mua sắm và nhận phần cứng có thể áp dụng để xác minh tính xác thực. Bao gồm các tiêu chí để triển khai thử nghiệm chấp nhận cũng như các giải pháp ví dụ đủ điều kiện theo Viện Tiêu chuẩn và Công nghệ Quốc gia (NIST), tổ chức Liên bang cung cấp hướng dẫn về tiêu chuẩn và phép đo để cải tiến công nghệ.

Dell Technologies thực tế là một trong tám nhà cung cấp công nghệ đã tham gia phát triển ví dụ về Xác minh thành phần bảo mật (SCV). Được xây dựng theo tiêu chuẩn chứng chỉ thuộc tính nền tảng do Nhóm Máy tính Tin cậy (TCG) phát triển, SCV tuân thủ hướng dẫn gần đây của DoD. Nó cung cấp chứng chỉ kỹ thuật số không chỉ chứa danh sách tất cả các thành phần bên trong mà còn liên kết phần cứng với nhà sản xuất, kiểu máy và số sê-ri cụ thể. Với SCV được triển khai, khách hàng có được sự đảm bảo thông qua chứng chỉ nền tảng rằng các bộ phận được giao cho họ theo yêu cầu và theo thông số kỹ thuật. DoD xem chứng chỉ nền tảng của Dell như một vật phẩm quan trọng được sử dụng như một phần của bài kiểm tra chấp nhận cần được thực hiện khi thiết bị đến bộ phận tiếp nhận của tổ chức.

Dell đã cung cấp SCV một thời gian cho cả thiết bị và máy chủ. Hai điều làm cho chứng chỉ nền tảng của Dell trở nên độc nhất so với những chứng chỉ khác hiện có trên thị trường. Đầu tiên, Dell cung cấp hai phiên bản SCV cho các thiết bị nhằm đáp ứng môi trường CNTT riêng của khách hàng. SCV trên Đám mây cung cấp khả năng lưu trữ và truy xuất chứng chỉ an toàn trong môi trường đám mây an toàn của Dell. Nó tự động hóa quy trình bằng cách làm cho việc xác minh thành phần có thể dễ dàng xem được thông qua các công cụ như TechDirect (cổng trực tuyến của Dell), Nhật ký sự kiện Windows và trình quản lý điểm cuối như Microsoft Intune. Đối với những khách hàng phải sử dụng môi trường air-gapped (tức là những môi trường bị cô lập khỏi các hệ thống và mạng không bảo mật), SCV trên Thiết bị cũng có sẵn.*

Lý do thứ hai khiến SCV trở nên khác biệt trên thị trường: Dell quản lý toàn bộ giải pháp nội bộ, từ việc thu thập thông tin thành phần và tạo chứng chỉ cho đến lưu trữ và truy xuất. Đó là vì gốc của sự tin cậy (mã đầu tiên chạy trong PC khi nó được bật) là nền tảng của Dell Endpoint Security . Bằng cách đảm nhận quyền sở hữu toàn diện này và không nhượng lại các quy trình hoặc dữ liệu của khách hàng cho bên ngoài, chúng tôi duy trì quyền kiểm soát chặt chẽ hơn đối với chuỗi cung ứng của mình và giảm thiểu rủi ro tiềm ẩn do các bên bên ngoài gây ra.

Chúng tôi biết hướng dẫn của Bộ Quốc phòng sẽ được các tổ chức toàn cầu và chính phủ liên bang ghi nhớ khi chu kỳ mua hàng tiếp theo đến gần. Để tìm hiểu thêm về các phương pháp hay nhất trong mua sắm, hãy xem Hướng dẫn đảm bảo chuỗi cung ứng của NIST và xem bảng dữ liệu Xác minh thành phần bảo mật của chúng tôi