Kritik altyapı, petrol ve doğal gaz, elektrik, su yönetimi, otomotiv, medikal, uydu, otonom sistemler ve insansız hava aracı sistemleri gibi sektörlerdeki gömülü cihazlara bağlıdır. Ancak bu cihazlar genellikle uygun güvenlik kontrollerine sahip değildir ve güvenlik açıklarına karşı yeterince test edilmemektedir.
Yaşam ve güvenlik açısından kritik birçok cihaza yönelik önemli tehditleri tanımlayan artan sayıda CISA ICS tavsiyesinin de gösterdiği gibi, siber saldırganlar bu cihazlardan giderek daha fazla yararlanmaya çalışıyor.
MITRE, Niyo Little Thunder Pearson (ONEGas), Red Balon Güvenliği ve Narf Industries’in ortak çalışması olan EMB3D Tehdit Modeli, gömülü cihazlara yönelik tehditler ve bunları azaltmak için gereken güvenlik mekanizmaları hakkında ortak bir anlayış sağlar.
EMB3D, Ortak Zayıflık Sayımı, MITRE ATT&CK ve Ortak Güvenlik Açıkları ve Etkilenmeler dahil olmak üzere mevcut birçok modelle uyum sağlar ve bunları genişletir, ancak belirli bir yerleşik cihaz odağına sahiptir. EMB3D, saha ortamında gözlemlenen veya kavram kanıtları ve/veya teorik araştırmalarla gösterilenler de dahil olmak üzere, cihazlara yönelik siber tehditlere ilişkin gelişmiş bir bilgi tabanı sağlar.
Bu tehditler, kullanıcıların belirli yerleşik cihazlar için doğru tehdit modelleri geliştirmesine ve uyarlamasına yardımcı olmak amacıyla cihaz özellikleriyle eşleştirilir. Her bir tehdit için önerilen hafifletme önlemleri, yalnızca cihaz satıcılarının, cihazın güvenliğini artırmak amacıyla belirli bir tehdide karşı koruma sağlamak için uygulaması gereken teknik mekanizmalara odaklanmaktadır. EMB3D’nin tüm güvenlik ekosistemi (cihaz satıcıları, üreticiler, varlık sahipleri, güvenlik araştırmacıları ve test kuruluşları) için kapsamlı bir çerçeve sunması amaçlanmaktadır.
MITRE Kamu Sektörü Kıdemli Başkan Yardımcısı, Genel Müdür Beth Meinert şunları söyledi: “EMB3D çerçevesi, MITRE’nin hem yenilikçi hem de bağlayıcı olarak rolünün mükemmel bir örneği olarak duruyor ve son teknoloji araçlar geliştirmek için endüstri liderleriyle el ele çalışıyor.”
“Birlikte, Operasyonel Teknoloji (OT) teknolojilerine dayanan kritik altyapı sektörlerinin siber duruşunu geliştirmeye kararlıyız. Bu işbirliği kolektif uzmanlığın gücünü örneklendiriyor ve MITRE’nin günümüzün birbirine bağlı dünyasında hayati sistemlerin dayanıklılığını ve güvenliğini artırma konusundaki kararlılığının altını çiziyor” diye ekledi Meinert.
Araştırmanın sponsoru ve ONEGas’tan Niyo Little Thunder Pearson, “Benimki gibi hizmet şirketleri, ICS cihazlarının güvensizliği konusundaki endişeler nedeniyle altyapılarımızı güvence altına almak için aşırı önlemler almak zorunda kaldı” diyor. “EMB3D modeli, ICS cihaz üreticilerinin, gelişen tehdit ortamını ve olası mevcut hafifletme önlemlerini tasarım döngüsünün başlarında anlamalarına olanak sağlayacak ve bu da doğası gereği daha güvenli cihazlara yol açacak. Bu, olaydan sonra güvenliği ‘civatalama’ ihtiyacını ortadan kaldıracak veya azaltacak, bu da daha güvenli bir altyapı ve daha düşük güvenlik maliyetleriyle sonuçlanacak.”
EMB3D’nin, yeni tehdit aktörleri ortaya çıktıkça ve güvenlik araştırmacıları yeni güvenlik açıkları, tehditler ve güvenlik savunması kategorilerini keşfettikçe yeni tehditlerin ve hafifletici önlemlerin eklendiği ve güncellendiği yaşayan bir çerçeve olması amaçlanıyor. 2024’ün başlarında piyasaya sürülmesi beklenen EMB3D, tüm bilgilerin açıkça mevcut olduğu ve güvenlik topluluğunun eklemeler ve revizyonlar sunabileceği halka açık bir topluluk kaynağı olacak.
Anavatanı Koruma Merkezi Başkan Yardımcısı ve Direktörü Yosry Barsoum şunları söyledi: “Cihaz satıcılarını, varlık sahiplerini, araştırmacıları ve akademisyenleri tehdit modelini incelemeye ve geri bildirim paylaşmaya teşvik ediyoruz; böylece kolektif çabalarımızın birbirine bağlı dünyamızı korumada ön planda kalmasını sağlıyoruz.” MITRE’de.
“Dijital altyapımızın dayanıklılığını güçlendirmek için birlikte çalışırken içgörü, uzmanlık ve işbirlikçi ruh çok değerlidir. Birlikte daha emniyetli ve emniyetli bir gelecek inşa edebiliriz” diye bitirdi Barsoum.