供应链黑客和硬件在安全中的作用
在过去的几年中，我们看到各家公司竞相确保云计算和软件部署的不断扩大。 这是理所当然的，因为最近的 F5 实验室研究显示，超过一半已报告的违规行为的初始目标都是应用。 但是，当公司急于巩固这一业务时，他们也需要保持警惕，密切关注基础设施和硬件方面的情况。
彭博社最近的文章并不是第一篇关于供应链黑客攻击的报道。 至少在过去五年里，有关第三方拦截供应链中的网络设备以篡改、监视或以其他方式泄露数据的报道在互联网上流传。
事实上，篡改威胁并不局限于硬件供应链。 这是一种足够直接的进入流程的方法，但它并不是唯一的切入点。 需要明确的是，当今系统的任何部分——从硬件到固件到操作系统和软件——都受到某种威胁。 每天都会出现一些描述恶意软件和被利用的漏洞的文章，其中涉及操作系统和软件的入侵。 持续威胁已通过 BIOS（固件）rootkit 传播。 过去十年来，第三方制造子系统的使用日益增多，这证明了供应链黑客攻击影响板级硬件的可行性。
是的，有可能。 是的，供应链攻击很难被发现。 是的，只要硬件在数据中心和云环境中交付应用方面发挥作用（在可预见的未来），组织就需要考虑这个问题——特定供应商是否依赖自己的硬件或其他人的硬件。
安全系统需要考虑硬件
与其他类型的攻击相比，基于硬件和固件的攻击具有独特的风险，这在一定程度上解释了组织对该主题的深切关注。
基于硬件和固件的攻击对不良行为者具有吸引力，因为：
- 低可探测性。 固件在后台运行，通常对软件来说是不可见的。 现代系统甚至不鼓励访问 BIOS 固件，因为不适当的更改会导致系统无法使用。
- 持久性强。 一旦建立，就很难清除受感染平台上的恶意软件。 虽然操作系统可以相对轻松地重新安装，但将固件恢复到其原始状态却要困难得多。
- 高特权。 在硬件或固件中执行的任何代码都有直接硬件级访问。 具有此级别权限的恶意软件可以监视甚至控制整个系统。
总而言之，能够掌控自己硬件的公司具有切实的优势。 例如，F5 监督从设计、原型、制造到最终生产的每个步骤，以确保我们系统的完整性。 如果没有这种级别的控制，供应商就只能提供相对有限的保证来确保支持其系统的硬件受到保护。
保护你无法控制的东西的挑战
在这一点上，我要说的是，F5 与 Super Micro 或任何其他服务器主板 OEM不存在制造关系。 （更多详细信息请参考与最新行业新闻相关的AskF5 知识库文章。） 不过，此刻确实提供了一个很好的机会来强调公司在开发、制造和组装过程中的任何时候采用一套严格的流程来防止硬件、固件和软件被篡改的重要性。 毕竟，如果您必须在某些方面依赖硬件，那么依赖具有硬件专业知识的供应商不是更有意义吗？
尽管你无疑会发现有些供应商非常愿意将安全的硬件元素变成“别人的问题”，但这种方法往往是不完整的。 如果您需要有关支持基础设施的硬件的保证，您需要一个不会承担最终保护您资产责任的供应商。 因此，在本文的剩余部分，我们将解释 F5 为其客户降低了哪些风险，然后确定您可以向供应商提出的一些问题，以确保他们负责任地限制您的风险。 以下是 tl;dr 版本： 如果您不知道您的基础设施硬件是如何或在何处设计、制造、测试和组装的，您可能有理由担心——另一方面，对于 F5 来说，这个过程从未离开我们的监督。
F5 带来的优势： 复杂之处
F5 总部位于西雅图，我们的硬件设计和开发在西雅图东部斯波坎的公司工厂进行。 该团队负责监督 F5 硬件开发的各个方面。 出于开发专门用于支持我们的 ADC 平台 BIG-IP 的硬件的愿望，这使我们能够将狂热的关注（以一种好的方式！）融入到我们硬件的安全性中。
在这里暂停一下有助于（非常）快速了解硬件的设计和开发方式。 初步设计是在 CAD 软件中完成的，并从中生成电路板的矢量图像。 这被称为Gerber 文件，基于这些图像的事实上的行业标准格式。 根据该文件，制作出一块印刷电路板（PCB）。 PCB 只是基板——电路走线和引脚排列。 下一步是制造印刷电路组件 (PCA)，将实际组件（CPU、内存、IC、晶体管等）添加到 PCB 上。
F5 的流程还包括制造后测试，以帮助防止来自第三方供应商的供应链黑客攻击。 我们结合使用 AOI（自动光学检测）以及 5DX 或 AXI（X 射线）检测。 每个方法都旨在发现影响质量和系统完整性的各种问题，包括识别任何不属于产品设计的元素。
AOI 和 X 射线检测都是自动化过程，始于 Gerber 文件，该文件详细描述了电路板制造时的外观。 F5 制造工程师从第一个 PCA（印刷电路组装）开始监督这些测试子系统的设置和实施，并不断完善。 这使我们能够比较和验证最终产品，以确保它符合我们的预期。
除了这些保护措施之外，为了更好地抵御未经授权的固件和软件操纵的威胁，我们在硬件中嵌入了两种主要功能：篡改检测和篡改预防。 第一个是通过加入 TPM（可信平台模块）而实现的。 TPM（ISO/IEC 11889）是一种专用微控制器，可以使用加密技术验证系统完整性。 第二项功能涉及对后续固件更新进行加密签名并在安装之前进行验证，就像 F5 软件更新一样。
我还想指出的是，F5 的 IT 部门拥有并控制我们测试子系统的所有硬件和网络的访问权限。
向供应商提问
当谈到网络和安全的关键组件时，信任和开放的沟通应该始终被考虑在内。 尽管围绕超微报告中的事实仍存在争议，但它指出的威胁类型却非常真实且可信。 关于来自任何来源（供应链或其他）的硬件和固件攻击的可能性，您可以考虑向供应商询问以下几个问题：
- 您在系统设计中是否使用第三方开发的主板？
- 您控制硬件设计和开发过程的哪些部分（如果有的话）？
- 您对硬件进行什么级别的安全测试？什么时候进行？
- 您使用什么保护措施来确保固件和软件更新的安全？
- 最后，您采取了哪些保护措施来防止和检测整个供应链中任何来源的篡改行为？
____
有关 F5 如何增强您组织的应用安全性的更多信息，请访问： https://www.f5.com/solutions/应用-security