Risiken aus der Lieferkette Die Firmware als Angriffsvektor

Anbieter zum Thema

Lenovo (Deutschland) GmbH

bb-net media GmbH

WatchGuard Technologies GmbH

XOPERO SOFTWARE S.A.

Moderne IT-Sicherheit konzentriert sich auf Firewalls, Virenscanner und EDR-Systeme – doch ein entscheidender Schwachpunkt bleibt oft unbemerkt: die Firmware. Diese unsichtbare Schaltzentrale in Hardware-Komponenten eröffnet Hackern gefährliche Angriffsflächen.

Moderne Arbeitsgeräte sind Hochleistungsmaschinen, die es Arbeitnehmern ermöglichen, praktisch immer online zu sein und operative sowie planerische Tätigkeiten durchzuführen – egal an welchem Ort. Neben berufsspezifischen Anwendungen gehört auch Sicherheitssoftware zur Standardausstattung: Virenscanner, VPN-Verbindung ins Unternehmensnetzwerk und viele weitere Lösungen überwachen diskret im Hintergrund alle Daten, mit denen der Anwender konfrontiert wird.

Doch nicht alle Daten werden überwacht. Einige fließen, von der CPU gesteuert, von externen Quellen und Massenspeichern in den Hauptspeicher und zurück. Moderne Lösungen sind auch in der Lage, Netzwerke und Daten aus der Cloud zu analysieren. Keine dieser Lösungen jedoch betrachtet die Firmware der Komponenten auf der Hauptplatine. Jedes Subsystem hat dabei eine eigene Firmware, die im Hintergrund aktiv ist, was zu Lücken führt, die sich Hacker zunutze machen, um Schadcode auf Endgeräten zu platzieren.

In einer Studie von November 2021 der US Cybersecurity and Infrastructure Security Agency (CISA), einer Bundesbehörde der Vereinigten Staaten, die sich mit der Sicherheit von Informationstechnologie und kritischer Infrastruktur befasst, wurden alle sogenannten Known Exploited Vulnerabilities (KEV) in einem Katalog zusammengefasst. Mit 184 Einträgen führt die Firmware diese Liste noch vor Server-Software (168) und dem Betriebssystem (161) bei dokumentierten, erfolgreichen Angriffen an.

Die Unsicherheit globaler Lieferketten

Der Angriff auf eine solche Komponente, zum Beispiel den Netzwerk-Controller, kann schon vor der eigentlichen Auslieferung und Inbetriebnahme der Geräte geschehen. Globale Lieferketten sind komplex und werden aus Kostengründen oftmals nicht lückenlos überwacht. Dies birgt erhebliche Risiken für die Sicherheit von IT-Hardware, da die Firmware von Komponenten entweder manipuliert oder die Komponenten sogar ganz ausgetauscht werden können.

Ein Lösungsansatz dafür ist die technische Prüfung der Integrität aller verbauten Komponenten. Dazu wird die bestellte Hardware, beziehungsweise alle Bauteile und deren Firmware, einer Analyse unterzogen, die bestätigen soll, dass genau die Teile enthalten sind, die bestellt wurden. Ist dies nicht der Fall, kann das Gerät noch vor Inbetriebnahme aussortiert und Ersatz beschafft werden. Außerdem wird überprüft, ob die Firmware frei von Schadcode ist und welche Versionsnummer vorliegt.

Es kann auch sein, dass festgestellt wird, dass sich nicht die aktuelle Firmware auf dem Gerät befindet. Dies ist mit Blick auf globale Lieferketten leicht zu erklären, denn zwischen der Produktion im Werk und der Auslieferung an die Nutzer vergehen in globalen Lieferketten mitunter größere Zeiträume. Das liegt nicht nur am Transport an sich, sondern beispielsweise auch an einer verzögerten Ausgabe im Unternehmen. Vergleichbar ist das vielleicht am besten mit dem Betriebssystem bei modernen Smartphones: Auch hier liegen Produktion und Kaufzeitpunkt meist soweit auseinander, dass das installierte Betriebssystem bei Einrichtung nicht mehr aktuell ist.

Wenn sich also das neue Gerät sowieso noch in der Vorbereitung auf den Betrieb befindet, könnte dann gleich die neue Firmware eingespielt werden. Damit bekommen die Mitarbeiter Geräte, welche die neueste Hardware, Firmware und Software beinhalten.

Erst nach der Überprüfung und ggf. Aktualisierung der Firmware wird das neue Gerät also an den Mitarbeiter herausgegeben. Damit ist eine mögliche Gefahr in der Lieferkette abgeschaltet worden und die neuen Geräte können aus Hardware- und Firmware-Sicht bedenkenlos in das Unternehmensnetzwerk integriert werden.

Im Rahmen der NIS (Network and Infrastructure Security) Direktive ist dies auch ein wichtiger Punkt: Die relevanten Unternehmen haben nämlich die Pflicht für eine Absicherung der Lieferketten zu sorgen. Durch die Prüfung aller Komponenten vor Inbetriebnahme kann dies gewährleistet und entsprechend dokumentiert werden.

Der Firmware-Scan als zusätzliche Schutzmaßnahme

Leider ist das Thema Firmware-Sicherheit damit noch nicht abgeschlossen. Die meisten EDR (= Endpoint Detection Response)-Lösungen können mit Viren, Ransomware und anderen Angriffsvektoren recht gut umgehen. Leider besteht auch hier immer die fortwährende Gefahr, dass ein völlig neuer Angriff den Schutz der Geräte aushebelt und Schadcode implementieren kann. Der Fokus der EDR-Lösungen liegt allerdings auf der CPU, dem Hauptspeicher und den Massenspeichern. Je nach Umfang der Lösung kann auch das Netzwerk oder sogar die Peripherie – vor allem USB-Geräte – überwacht werden.

Auch hier besteht allerdings die Lücke, dass Komponenten mit eigener Firmware nicht überwacht werden. Im schlimmsten Fall kann ein Virus in der Firmware eines Bauteils einen Angriff starten, dem die übrigen Komponenten nicht standhalten können. Und selbst wenn das EDR-Tool den Angriff bemerkt, kann es zu spät sein, falls der Schadcode bereits in das Bauteil implementiert wurde, denn die Schutzmechanismen können hier nicht im Bauteil selbst prüfen, ob ein Angriff erfolgreich war oder nicht.

Hier kommt also die zweite Facette des Firmware-Schutzes zum Tragen: Das kontinuierliche Abtasten aller Firmware-Komponenten auf Schadcode. So eine Prüfung muss spätestens nach jedem neuen Start der Maschine erfolgen, weil sich ein Virus nur dann manifestieren kann, wenn die Maschine neu gestartet wurde. Also ist eine regelmäßige Prüfung für die Sicherheit der Komponente und damit der ganzen Maschine unabdingbar.

Die EDR-Tools müssen daher die Prüfung und den Schutz der Maschine praktisch während der gesamten Nutzungszeit durchführen. Deshalb achten IT-Abteilungen darauf, dass der EDR-Agent nicht zu ressourcenhungrig ist. Die Firmware-Überprüfung dagegen muss nur nach dem Neustart der Maschine durchgeführt werden.

Ergibt sich bei dieser Prüfung eine Bedrohung, so muss ähnlich wie bei einem Virus oder einer sonstigen Malware, sofort der Schadcode in Quarantäne gestellt und entfernt werden. Dazu ist der Firmware-Schutz in der Lage, eine adäquate Firmware des Herstellers zu laden und die Komponente mit diesem Code auszustatten.

Zu diesem Zweck lässt sich der Firmware-Schutz mit gängigen Tools integrieren, um automatisch ein Sicherheits-Ticket zu erzeugen. Security-Analysten aus der IT haben so eine Quelle, die über sicherheitsrelevante Ereignisse informiert. Je nach Vorfall können sie mit dem EDR-Tool, dem Firmware-Schutzprogramm und anderen Tools arbeiten, um die Gefahr einzudämmen und die notwendigen Entscheidungen zu treffen. Diese Entscheidungen müssen dann dokumentiert werden, um zukünftig keinen Fehlalarm auszulösen.

Üblicherweise wird nach der erfolgreichen Abwehr dann eine Untersuchung mit forensischen Tools durchgeführt. Auf diese Weise kann die Herkunft der schadhaften Firmware ermittelt werden, um beim nächsten Angriff noch besser vorbereitet zu sein.

Zusammengefasst lässt sich also folgendes ableiten:

• Transportwege lassen sich ohne hohen finanziellen Aufwand nicht lückenlos überwachen

• Durch eine Prüfung beim Empfänger können Hardware- oder Firmware-Angriffe abgewehrt werden

• Besser ist die kontinuierliche Prüfung aller Firmware-Komponenten, ähnlich wie bei einem Antivirus-Tool

Über den Autor: Sascha M. Köhler arbeitet seit 2022 als Software Solution Architect bei Lenovo Deutschland. Er identifiziert Anforderungen von Kunden und Geschäftspartnern aus dem europäischem Raum und kreiert dafür Lösungen aus dem ThinkShield Security-Portfolio.

(ID:50345310)