MITRE Corporation, resmi olarak yeni bir tehdit modelleme çerçevesini kullanıma sundu. EMB3D kritik altyapı ortamlarında kullanılan gömülü cihazların üreticileri için.
Kâr amacı gütmeyen kuruluş, hamleyi duyuran bir gönderide, “Model, gömülü cihazlara yönelik siber tehditlere ilişkin gelişmiş bir bilgi tabanı sağlayarak, bu tehditlerin azaltılması için gerekli güvenlik mekanizmalarıyla birlikte bu tehditlere ilişkin ortak bir anlayış sağlıyor.” dedi.
Niyo ‘Little Thunder’ Pearson, Red Balon Güvenliği ve Narf Industries işbirliğiyle tasarlanan modelin taslak versiyonu daha önce 13 Aralık 2023’te yayınlanmıştı.
ATT&CK çerçevesi gibi EMB3D’nin de yeni aktörler, güvenlik açıkları ve saldırı vektörleri ortaya çıktıkça zaman içinde eklenen ve güncellenen yeni ve azaltıcı önlemlerle “yaşayan bir çerçeve” olması bekleniyor, ancak gömülü cihazlara özel olarak odaklanılıyor.
Nihai amaç, cihaz satıcılarına teknolojilerindeki saldırılara açık farklı güvenlik açıklarının ve bu eksiklikleri azaltmaya yönelik güvenlik mekanizmalarının birleşik bir resmini sunmaktır.
ATT&CK’nin tehditleri izlemek ve iletmek için nasıl tek tip bir mekanizma sunduğuna benzer şekilde, EMB3D de gömülü cihazları hedef alan tehditlere ilişkin merkezi bir bilgi tabanı sunmayı amaçlamaktadır.
Pearson, o dönemde “EMB3D modeli, ICS cihaz üreticilerinin gelişen tehdit ortamını ve tasarım döngüsünün başlarında mevcut olası hafifletme önlemlerini anlamaları için bir araç sunacak ve bu da doğası gereği daha güvenli cihazlarla sonuçlanacak” dedi.
“Bu, olaydan sonra güvenliği ‘cıvatalama’ ihtiyacını ortadan kaldıracak veya azaltacak, bu da daha güvenli bir altyapı ve daha düşük güvenlik maliyetleriyle sonuçlanacak.”
Çerçeveyi piyasaya sürerken amaç, tasarım gereği güvenli bir yaklaşımı benimsemek ve böylece şirketlerin daha az sayıda sömürülebilir kusur içeren ve varsayılan olarak etkinleştirilmiş güvenli yapılandırmalara sahip ürünleri piyasaya sürmesine olanak sağlamaktır.
Operasyonel teknoloji (OT) siber güvenlik şirketi Nozomi Networks’ün geçen yıl yayınladığı araştırma, tehdit aktörlerinin güvenlik açıklarından yararlanarak, kimlik bilgilerini kötüye kullanarak ve ilk erişim için kimlik avı, DDoS girişimleri ve truva atı yürütme yoluyla fırsatçı bir şekilde endüstriyel ortamları hedef aldığını ortaya çıkardı.
Şirket, rakiplerin özellikle gıda ve tarım, kimya, su arıtma, imalat ve enerji sektörlerinde kullanılan OT ve IoT cihazlarında keşfedilen kusurları hedef alan saldırıları artırdığını söyledi.
Kâr amacı gütmeyen kuruluş, “EMB3D, saha ortamında gözlemlenen veya kavram kanıtları ve/veya teorik araştırmalarla gösterilenler de dahil olmak üzere cihazlara yönelik siber tehditlere ilişkin gelişmiş bir bilgi tabanı sağlıyor” dedi.
“Bu tehditler, kullanıcıların belirli yerleşik cihazlar için doğru tehdit modellerini geliştirmesine ve uyarlamasına yardımcı olmak amacıyla cihaz özellikleriyle eşleştirilir. Her tehdit için önerilen hafifletme yöntemleri, yalnızca cihaz satıcılarının belirli bir tehdide karşı koruma sağlamak için uygulaması gereken teknik mekanizmalara odaklanmaktadır. cihaza güvenlik sağlıyor.”