醫(yī)學(xué)研究中的安全挑戰(zhàn)加劇了重新定義零信任的需求

自 2019 年初以來(lái)，美利堅(jiān)合眾國(guó) (US) 和英國(guó) (UK) 政府和私人醫(yī)療組織試圖竊取甚至破壞關(guān)于 COVID-19 冠狀病毒對(duì)策研究的大量報(bào)道引發(fā)了對(duì)充分性的擔(dān)憂的安全性。據(jù)報(bào)道，這些攻擊據(jù)稱來(lái)自俄羅斯、中國(guó)、伊朗和朝鮮，據(jù)說(shuō)是通過(guò)一種稱為“密碼噴射”的方法進(jìn)行的。這為為什么零信任設(shè)計(jì)對(duì)數(shù)字系統(tǒng)及其更新至關(guān)重要。

根據(jù)醫(yī)療信息管理系統(tǒng)協(xié)會(huì) (HIMSS) 的年度調(diào)查，2019 年，超過(guò) 80% 的醫(yī)院和近三分之二的研究機(jī)構(gòu)報(bào)告稱其系統(tǒng)遭到了暴力攻擊。其余的人不知道他們是否受到攻擊，更不用說(shuō)受到攻擊了。2020 年的調(diào)查可能會(huì)顯示這些數(shù)字顯著上升。這是因?yàn)檫^(guò)時(shí)的網(wǎng)絡(luò)設(shè)備和糟糕的網(wǎng)絡(luò)安全實(shí)踐在這些組織中很常見(jiàn)，因此使它們特別容易受到此類攻擊。

暴力網(wǎng)絡(luò)攻擊眾所周知，是電視和電影中常見(jiàn)的情節(jié)機(jī)制。所需要的只是一個(gè)程序，該程序可以嘗試使用盡可能多的通用密碼登錄帳戶，然后再向安全性發(fā)出警告。這種單點(diǎn)攻擊很容易通過(guò)在三四次嘗試后鎖定一次嘗試來(lái)挫敗。但是，密碼噴灑通過(guò)針對(duì)網(wǎng)絡(luò)中盡可能多的帳戶，通過(guò)一次使用一個(gè)密碼直到他們獲得進(jìn)入來(lái)繞過(guò)這個(gè)障礙。以這種方式找到一個(gè)密碼較弱的帳戶的可能性對(duì)攻擊者有利。

這種類型的攻擊最適用于使用聯(lián)合身份驗(yàn)證協(xié)議的單點(diǎn)登錄 (SSO) 和基于云的應(yīng)用程序，允許惡意行為者破壞身份驗(yàn)證機(jī)制。一旦進(jìn)入，攻擊者就會(huì)橫向移動(dòng)，利用內(nèi)部網(wǎng)絡(luò)漏洞，獲取對(duì)關(guān)鍵應(yīng)用程序和敏感數(shù)據(jù)的訪問(wèn)權(quán)限。

零信任是這種情況下的第一道防線，它被簡(jiǎn)單地定義為不信任系統(tǒng)中的任何人。IT 經(jīng)理可以采用的一個(gè)基本步驟是要求每隔幾個(gè)月重置一次密碼。社會(huì)保障局要求用戶每 6 個(gè)月更改一次密碼，這仍然是慷慨的。應(yīng)要求網(wǎng)絡(luò)成員使用強(qiáng)密碼，越長(zhǎng)越好，以防止密碼被輕易猜到或太常見(jiàn)，并且混合使用字母（大寫(xiě)和小寫(xiě)）、數(shù)字和符號(hào)；與個(gè)人信息無(wú)關(guān)；并且沒(méi)有字典單詞。定期的安全意識(shí)培訓(xùn)也很有幫助。接下來(lái)，采用多因素身份驗(yàn)證 (MFA) 是一種令人難以忍受的痛苦，但它比僅僅更改密碼更好地減少了攻擊者的機(jī)會(huì)。

如果一個(gè)組織在其網(wǎng)絡(luò)上有 100 個(gè)帳戶，并且 99% 的成員都遵循零信任規(guī)則，那么這樣的組織在其安全性方面取得了一定程度的成功。這很好，因?yàn)槭昵暗膸醉?xiàng)研究一致表明，任何網(wǎng)絡(luò)上 75% 的網(wǎng)絡(luò)成員都不遵守這些既定規(guī)則。問(wèn)題是黑客只需要一個(gè)帳戶即可進(jìn)入，尤其是使用弱密碼或在多個(gè)帳戶上重復(fù)使用一串弱密碼的成員。

“每個(gè)網(wǎng)絡(luò)都有不同級(jí)別的安全性，”Axiado Corporation 首席執(zhí)行官 (CEO) Gopi Sirineni 說(shuō)?！澳鷵碛袀€(gè)人憑據(jù)，然后以虛擬專用網(wǎng)絡(luò) VPN 和移動(dòng)設(shè)備管理的形式獲得設(shè)備安全性。但如果一個(gè)人使用弱密碼，安全系統(tǒng)就會(huì)面臨風(fēng)險(xiǎn)?！?/p>

然而，這些被認(rèn)為非常耗時(shí)且昂貴，從而使其無(wú)效。弱點(diǎn)在于人類的易錯(cuò)性和懶惰，這支持了消除人類對(duì)安全的責(zé)任并通過(guò)自動(dòng)化強(qiáng)制執(zhí)行的論點(diǎn)。

身份驗(yàn)證可以通過(guò) Keyfactor 和 Intrinsic ID 等公司的固件和服務(wù)在設(shè)備級(jí)別直接進(jìn)行自動(dòng)化和監(jiān)控。但是，Keyfactor 的全球客戶群中只有 500 家公司，而 Intrinsic ID 僅用于 ATM 卡等金融交易設(shè)備。用戶不太可能相信他們的設(shè)備正在使用這些技術(shù)并且可以被認(rèn)為是安全的。就醫(yī)學(xué)研究領(lǐng)域而言，好消息是 Keyfactor 的主要客戶群。然而，即使這種方法是通用的，它也會(huì)使位于網(wǎng)絡(luò)核心的服務(wù)器容易受到攻擊。

在過(guò)去的三年中，關(guān)于 x86 和 ARM 內(nèi)核的安全漏洞的報(bào)道有很多，而且似乎每隔幾個(gè)月就會(huì)出現(xiàn)新的漏洞。Sirineni 指出，黑客訪問(wèn)這些服務(wù)器所需要的只是賄賂管理員將受感染的通用串行總線 (USB) 記憶棒帶入服務(wù)器機(jī)房并將其插入網(wǎng)絡(luò)。然后，惡意軟件可以竊取憑據(jù)并感染整個(gè)網(wǎng)絡(luò)數(shù)月之久，然后才被檢測(cè)到。

發(fā)現(xiàn)這種入侵本身是一個(gè)主要問(wèn)題，因?yàn)榉?wù)器中使用的標(biāo)準(zhǔn)微處理器有許多藏身之處，包括那些設(shè)計(jì)有安全功能的地方。由于這些功能被認(rèn)為是專有的，因此芯片制造商不希望任何人出于任何原因窺探設(shè)計(jì)。這使得尋找惡意軟件的取證變得如此困難。這是開(kāi)源 RISC-V 平臺(tái)的一大賣(mài)點(diǎn)。任何人都可以隨時(shí)查看芯片固件中的內(nèi)容。

SiFive 的法國(guó)子公司平臺(tái)安全總經(jīng)理 Dany Nativel 指出，一個(gè)有 15 年歷史的架構(gòu)在安全方面遇到了困難，因?yàn)檠a(bǔ)丁和更新使代碼越來(lái)越復(fù)雜。隨著復(fù)雜性的增加，黑客插入惡意軟件的攻擊數(shù)量也在增加。他說(shuō)，必須從網(wǎng)絡(luò)中消除遺留系統(tǒng)，并用真正的零信任系統(tǒng)取而代之，這些系統(tǒng)具有明確的信任根，易于審計(jì)。據(jù)他介紹，RISC-V 提供了一個(gè)全新的版本，在安全運(yùn)營(yíng)中心 (SoC) 上運(yùn)行簡(jiǎn)化、減少和更安全的代碼。

“隨著連接設(shè)備的數(shù)量呈指數(shù)級(jí)增長(zhǎng)，必須擁有清晰而干凈的信任根，”他強(qiáng)調(diào)說(shuō)。“有許多公司提供第三方補(bǔ)丁來(lái)提高 RISC-V 的安全性，但沒(méi)有一家解決系統(tǒng)級(jí)安全問(wèn)題，更重要的是，這些補(bǔ)丁不像 RISC-V 那樣開(kāi)放?！?/p>

Nativel 說(shuō)，RISC-V 已經(jīng)包含物理內(nèi)存保護(hù) (PMP)，可以保護(hù)內(nèi)核和在內(nèi)核中運(yùn)行的所有應(yīng)用程序，但他承認(rèn)它不能很好地跨多個(gè)內(nèi)核擴(kuò)展，因?yàn)槟枰趦蓚€(gè)內(nèi)核之間強(qiáng)制執(zhí)行相同的 PMP 配置不同的核心。

“沒(méi)有簡(jiǎn)單的方法可以保護(hù)你的個(gè)人任務(wù)，”他說(shuō)?！澳阈枰诤诵闹蟹峙湟粋€(gè) PMP 區(qū)域來(lái)保護(hù)每個(gè)外圍設(shè)備，而核心中沒(méi)有那么多區(qū)域。解決這些問(wèn)題的關(guān)鍵是采用開(kāi)放的硬件和軟件安全解決方案，這樣我們就可以擁有一個(gè)共享的安全方案。”

Axiado 同意 Nativel 的觀點(diǎn)，其方法基于整體 RISC-V 平臺(tái)。Axiado 不是專注于單點(diǎn)保護(hù)，例如設(shè)備或服務(wù)器，而是希望將其保護(hù)置于設(shè)備和服務(wù)器之間的云邊緣，以便將受感染的設(shè)備與網(wǎng)絡(luò)的其余部分隔離開(kāi)來(lái)并防止其他部位感染

為了解決取證問(wèn)題，Sirineni 表示，該公司正在開(kāi)發(fā)一種“金靴”，用于防御和人工智能，可以在攻擊進(jìn)入網(wǎng)絡(luò)之前檢測(cè)到攻擊，并評(píng)估成員的使用情況?！袄纾绻到y(tǒng)檢測(cè)到某個(gè)成員突然增加了在給定時(shí)間內(nèi)發(fā)送的電子郵件數(shù)量，它可以隔離該帳戶以確定它是否被黑客入侵?！?Sirineni 稱之為“重新定義零信任”。

“零信任”一詞由時(shí)任 Forrester Research Inc. 分析師、現(xiàn)任 Palo Alto Networks 現(xiàn)場(chǎng)首席技術(shù)官 (CTO) 的 John Kindervag 于 2010 年創(chuàng)造。谷歌是第一家采用該術(shù)語(yǔ)的公司，稱他們已經(jīng)在整個(gè)網(wǎng)絡(luò)中實(shí)施了該術(shù)語(yǔ)，我們都知道它的效果如何。這是一個(gè)行業(yè)流行語(yǔ)，每次在演示文稿中推出它時(shí)，我都會(huì)感到惱火，因?yàn)槲覀冸x真正能夠在任何地方實(shí)施它還差得很遠(yuǎn)。通過(guò)互聯(lián)網(wǎng)的安全功能對(duì)于用戶和黑客來(lái)說(shuō)太容易規(guī)避了。

Nativel 表示，SiFive 的物聯(lián)網(wǎng)客戶越來(lái)越接近要求嚴(yán)格的安全強(qiáng)化設(shè)備和系統(tǒng)，無(wú)論它對(duì)性能有何影響，但仍然無(wú)法解決遺留系統(tǒng)訪問(wèn)大多數(shù)網(wǎng)絡(luò)的問(wèn)題，尤其是在醫(yī)療行業(yè)。希望像 Axiado 這樣的公司能夠在不采取國(guó)際行動(dòng)消除遺留問(wèn)題的情況下執(zhí)行安全性。