面對網(wǎng)絡(luò)攻擊，何不轉(zhuǎn)換安全防護思維方式？

受數(shù)據(jù)爆炸性增長并大規(guī)模向云端遷移、以及5G網(wǎng)絡(luò)全面部署等趨勢的影響，網(wǎng)絡(luò)攻擊(Cyberattacks)正變得更加肆無忌憚，其攻擊的速度和準(zhǔn)確性都在不斷增長。多家分析和調(diào)研機構(gòu)的數(shù)據(jù)證實了這一現(xiàn)象：根據(jù)埃森哲的報告，2020年，40%的網(wǎng)絡(luò)用戶攻擊源于供應(yīng)鏈問題；Gartner則預(yù)測稱，如果2022年這些公司還沒有去做及時的固件升級計劃，補上固件安全漏洞，那么2022年將會有70%的公司因為固件漏洞遭到各種入侵。

理論上來說，沒有一個系統(tǒng)能免受攻擊威脅，所有系統(tǒng)都有被攻擊的危險。傳統(tǒng)的網(wǎng)絡(luò)安全(Cyber Security)系統(tǒng)可能會阻止許多攻擊，但如果當(dāng)系統(tǒng)固件(Firmware)處于最低級別時，這種傳統(tǒng)的安全手段有時可能也會無能為力。

在長期的實踐積累中，萊迪思(Lattice)發(fā)現(xiàn)一個真正出色的安全解決方案，是通過增加網(wǎng)絡(luò)保護恢復(fù)(Cyber Resiliency)功能提升網(wǎng)絡(luò)安全系統(tǒng)等級，實時檢測任何正在進行的固件攻擊，并將系統(tǒng)恢復(fù)到已知狀態(tài)。而所有這一切的核心，就在于我們必須確保除了加密固件IP(encrypted firmware IP)的所有者之外，再沒有其他人可以訪問任何加密密鑰。

網(wǎng)絡(luò)安全與網(wǎng)絡(luò)保護恢復(fù)的區(qū)別

通常來說，網(wǎng)絡(luò)安全是指通過技術(shù)、流程和其他做法來保護網(wǎng)絡(luò)、設(shè)備、應(yīng)用(程序)和數(shù)據(jù)免受網(wǎng)絡(luò)攻擊；網(wǎng)絡(luò)保護恢復(fù)是指系統(tǒng)在不利的網(wǎng)絡(luò)事件(例如網(wǎng)絡(luò)攻擊)出現(xiàn)時依然能夠持續(xù)交付預(yù)期結(jié)果，它包括信息安全、企業(yè)持續(xù)經(jīng)營和全面的組織恢復(fù)能力。

簡單而言，兩者的主要區(qū)別在于檢測到網(wǎng)絡(luò)攻擊后的處理方式不同。雖然網(wǎng)絡(luò)安全包括了威脅檢測和預(yù)防的概念，但并非所有網(wǎng)絡(luò)安全解決方案都能讓系統(tǒng)根據(jù)這一概念實時采取行動緩和攻擊，解決攻擊造成的安全問題，并保持?jǐn)?shù)據(jù)流安全傳輸而不中斷業(yè)務(wù)。實時威脅檢測和恢復(fù)正是網(wǎng)絡(luò)保護恢復(fù)的核心所在。

2020年，微軟推出Pluton安全處理器，在可信平臺模塊(TPM)概念的基礎(chǔ)上做了改進。根據(jù)微軟的描述，“Pluton是從現(xiàn)代計算機中現(xiàn)有的可信平臺模塊演變而來。TPM存儲操作系統(tǒng)安全相關(guān)的信息并實現(xiàn)類似Windows Hello的功能?！蓖ㄟ^使用Pluton處理器，微軟將單獨的TPM功能集成到CPU中，成功阻斷對單獨放置在主板上的CPU和TPM之間的芯片間總線接口的攻擊。

作為網(wǎng)絡(luò)安全解決方案，Pluton無疑是非常強大的，但它在操作系統(tǒng)加載之前的啟動過程中并不能保系統(tǒng)。也就是說，主板上的組件從固件啟動、操作系統(tǒng)加載，直到網(wǎng)絡(luò)安全措施處于活動狀態(tài)，這之間短暫的時間窗口如今已成為網(wǎng)絡(luò)犯罪分子越來越感興趣的攻擊途徑。因此，為了增強像Pluton這樣的TPM安全性能，系統(tǒng)還需要在硬件可信根(HRoT)上實施強大的、動態(tài)的、網(wǎng)絡(luò)保護恢復(fù)機制。

例如，在進行安全啟動硬件時，主板上的每個組件僅在其固件被確認(rèn)合法后才被激活，整個驗證過程由HRoT執(zhí)行；此外，HRoT還會持續(xù)監(jiān)控受保護CPU的非易失性固件，以納秒級響應(yīng)對攻擊做出應(yīng)對，防止其受到攻擊，這種在沒有外部協(xié)助的情況下快速恢復(fù)系統(tǒng)正常運行的能力，是系統(tǒng)網(wǎng)絡(luò)保護恢復(fù)機制的核心所在。

如前文所述，設(shè)備固件已經(jīng)成為越來越流行的攻擊媒介，不管是廠商的路由器，還是在線的安全監(jiān)控設(shè)備，都曾遇到固件被入侵的情況。因此，針對于固件攻擊的保護，美國國家標(biāo)準(zhǔn)與技術(shù)研究所(NIST)定義了一種標(biāo)準(zhǔn)的安全機制(NIST SP-800-193)，稱為平臺固件保護恢復(fù)(PFR)。PFR可以用作系統(tǒng)中的硬件可信根，補充現(xiàn)有的基于BMC/MCU/TPM的體系，使之完全符合NIST SP-800-193標(biāo)準(zhǔn)，從而為保護企業(yè)服務(wù)器固件提供了一種全新的方法，可全面防止對服務(wù)器所有固件的攻擊。

NIST SP-800-193對整個硬件平臺上的固件保護提出的規(guī)范性要求主要包含三個部分：首先能夠檢測到黑客在對固件進行攻擊；第二是進行保護，例如有人在對固件進行非法的讀寫操作時，要阻止這些非法行為，并匯報給上層軟件，發(fā)出警告信息；第三是即使在固件遭到破壞的情況下，也能夠進行恢復(fù)，例如從備份文件中恢復(fù)。這三部分(恢復(fù)、檢測、保護)相互融合、相互配合，主要目的就是保護硬件平臺上的固件。

Sentry安全系統(tǒng)控制解決方案

Sentry方案并不僅僅只是一個硬件產(chǎn)品，它有一系列相配套的工具、軟件和服務(wù)，目前最新的版本為Sentry 2.0。

從上圖可以看出，Sentry 2.0底層硬件平臺基于MachXO3D和Mach-NX FPGA，這是Lattice符合NIST平臺固件保護恢復(fù)標(biāo)準(zhǔn)、面向控制的FPGA。當(dāng)使用上述硬件進行系統(tǒng)控制功能時，它們通常是電路板上“最先上電/最后斷電”的器件，通過集成安全和系統(tǒng)控制功能，MachXO3D和Mach-NX便成為系統(tǒng)保護信任鏈上的首個環(huán)節(jié)。

與TPM/MCU方案的控制流程和時序均采用串行處理方式不同，F(xiàn)PGA方案可以同時對多個外設(shè)進行監(jiān)控和保護，因此實時性較強。而在檢測和恢復(fù)方面，F(xiàn)PGA器件能夠進行主動驗證，在面對時間敏感型應(yīng)用或是強度較大的破壞時，可以做到更快的識別和響應(yīng)。

硬件平臺之上則是一系列經(jīng)過預(yù)驗證和測試的IP核、軟件工具、參考設(shè)計、演示示例、定制設(shè)計服務(wù)，它們共同構(gòu)成了完整的Sentry方案。在其加持下，PFR應(yīng)用的開發(fā)時間可以從10個月縮短到6周。

支持符合NIST平臺固件保護恢復(fù)(PFR)規(guī)范(NIST SP-800-193)和384位加密的下一代硬件可信根(HRoT)，是Sentry 2.0解決方案的核心亮點。其主要特性包括：

●   更強大的安全性能——考慮到許多下一代服務(wù)器平臺都要求支持384位加密，所以Sentry解決方案集合支持Mach-NX安全控制FPGA和安全的Enclave IP模塊，能實現(xiàn) 384位加密(ECC-256/384和HMAC-SHA-384)，更好地讓受到Sentry保護的固件防止未經(jīng)授權(quán)的訪問。

●   啟動前身份驗證速度提高4倍——Sentry 2.0支持更快的ECDSA(40毫秒)、SHA(高達70 Mbps)和QSPI性能(64 MHz)。這些特性讓Sentry 2.0可以提供更快的啟動時間，最大程度減少系統(tǒng)停機時間，并降低啟動過程中遭受固件攻擊的風(fēng)險。

●   實時監(jiān)控多達五個固件鏡像——為進一步擴展基于萊迪思Sentry、符合PFR標(biāo)準(zhǔn)的硬件可信根的功能，該方案能夠在啟動和運行過程中實時監(jiān)控系統(tǒng)中多達五個主板部件。相比之下，基于MCU的安全解決方案缺乏足夠的處理性能，無法實時準(zhǔn)確地監(jiān)控如此多的組件。

同時，為了讓開發(fā)人員可以在沒有任何FPGA設(shè)計經(jīng)驗的情況下也能快速進行開發(fā)，Sentry可將經(jīng)過驗證的IP模塊拖放到Lattice Propel設(shè)計環(huán)境中，修改所給的RISC-V/C語言參考代碼。

結(jié)語

面對網(wǎng)絡(luò)攻擊，新興的思維方式正在從“我們當(dāng)然可以防止攻擊”轉(zhuǎn)變?yōu)椤爱?dāng)攻擊發(fā)生時，我們是否能有更好的管理方式去應(yīng)對？”，或者是，“我們該如何變得更加適應(yīng)攻擊？”也許，答案就在于從固件級別起，腳踏實地的創(chuàng)建一套網(wǎng)絡(luò)保護恢復(fù)系統(tǒng)。