ABD’nin iki önemli siber güvenlik kurumu, işletmeleri anakart yönetim denetleyicilerine (BMC’ler) daha fazla dikkat etmeleri gerektiği konusunda uyarıyor.
Siber ve Altyapı Güvenliği Ajansı (CISA) ve Ulusal Güvenlik Ajansı (NSA), ortaklaşa bir BMC sağlamlaştırma kılavuzu yayınlamak için bir araya geldi [pdf].
BMC, sunucular gibi ana bilgisayarların uzaktan izlenmesini ve yönetimini sağlayan özel bir işlemcidir.
Bir ağ bağlantısı üzerinden erişilebilir, sensör donanımını, BIOS’u ve UEFI sabit yazılımını izler ve ana bilgisayarı açıp kapatmak ve günlüklerini okumak için konsol erişimi sağlar.
Bu, BMC’yi hatırı sayılır bir güven konumuna sokar ve Amerikan Megatrendleri ile Intel BMC’nin yüksek öncelikli etkinliklerinde görülenler gibi güvenlik açıklarını oluşturur.
CISA/NSA kılavuzunda belirtildiği gibi, “BMC bellenimi yüksek düzeyde ayrıcalıklıdır, işletim sistemi (OS) kontrollerinin kapsamı dışında çalışır ve üzerinde bulunduğu sunucu sınıfı platformun tüm kaynaklarına erişime sahiptir.
“Sunucuya güç verildiği anda çalışır. Bu nedenle, sunucu kapatılsa bile BMC çalıştığı için bir hipervizöre veya işletim sistemine önyükleme gerekli değildir.
“Hassas bir BMC, kötü niyetli aktörlere önyükleme öncesi yürütme potansiyeline sahip bir sahil başı oluşturmak gibi taktikler kullanma fırsatı sağlayarak saldırı vektörünü genişletir.
“Ayrıca, kötü niyetli bir aktör, güvenilir platform modülü (TPM) veya UEFI güvenli önyükleme gibi güvenlik çözümlerini devre dışı bırakabilir, herhangi bir bağlı depolama ortamındaki verileri manipüle edebilir veya bir ağ altyapısı boyunca implantlar veya yıkıcı talimatlar yayabilir.”
Güçlü BMC kimlik bilgilerinin ayarlanması ve korunması dahil olmak üzere güvenlik yöneticilerinin uygulaması gereken korumalar; ve yalnızca yönetim uç noktaları aracılığıyla erişilebilen, yalnızca ayrı VLAN bağlantıları üzerinden erişime izin verilmesi.
Ajanslar, bir satıcı bir BMC sağlamlaştırma kılavuzu yayınlarsa, bu kılavuzun uygulanması gerektiğini ve yöneticilerin BMC yazılımlarının ve bellenimlerinin en güncel yama düzeyi olduğunu kontrol etmek için bir rutin oluşturması gerektiğini tavsiye etti.
Kılavuzda “bazı BMC’lerin bütünlük verilerini bir güven köküne (RoT) rapor ettiğini” belirterek BMC bütünlüğünün izlenmesi de önerilir.
RoT, bir TPM, özel güvenlik yongası veya yardımcı işlemci (kullanımda olan birden fazla ticari marka adı) veya merkezi işlem birimi (CPU) güvenli bellek yerleşimi şeklini alabilir. Beklenmeyen değişiklikler ve platform uyarıları için bütünlük özelliklerini izleyin” tavsiyesinde bulundular.
Kuruluşlar ayrıca hassas iş yüklerinin yalnızca sağlamlaştırılmış cihazlarda yürütüldüğünden emin olmalıdır, bu da onları BMC sağlamlaştırmayı desteklemeyen eski ana bilgisayarlardan taşımak anlamına gelir.
Kuruluşlar ayrıca mevcut üretici yazılımı tarayıcılarını da kullanmalıdır.
Son olarak kılavuz, “BMC’leri göz ardı etmeyin” diyor. İşletmeler özellikle “kullanılmayan bir BMC’yi bir gün etkinleştirilebilecekmiş gibi ele almalıdır.”