Как обнаружить биос руткитов на материнской плате сервера?
Недавно я читал о выступлении Кори Калленберга и Ксено Кова, которое было дано на конференции CanSecWest, в котором описывается, как можно перепрограммировать встроенное ПО системной платы сервера для включения вредоносного программного обеспечения. Это заставило меня действительно волноваться! Сейчас я ищу способ, как убедиться, что некоторые устройства не были изменены в этом отношении. Как я могу это сделать?
1 ответ
Ну, очевидным ответом будет сравнение имеющегося у вас BIOS с BIOS, выпущенным производителем... конечно, это работает, только если BIOS, выпущенный вашим производителем, не содержит новичка для начала.
Если это не удастся, у вас останется тема, на которую вы могли бы буквально написать несколько книг... или использовать миллионы долларов для консалтинга по ИТ-безопасности, так что эта тема слишком широка, чтобы ее охватить, но она не так уж отличается чем обнаружение любого другого руткита - вы изучаете журналы и содержимое памяти на низком уровне и ищете доказательства того, что система делает то, чего не должна делать. Джон Хеасман (John Heasman) выступил с интересной лекцией о руткитах ACPI BIOS в Blackhat Europe в 2006 году, которая, похоже, уместна здесь. (PDF)
Суть, однако, в том, что это все еще технически продвинутый и относительно редкий тип вредоносного ПО, который используется для целей высокой значимости, которые, вероятно, не включают вас. Если у вас действительно есть основания беспокоиться о том, что вы будете подвергаться такой атаке, вам нужно нанять несколько выделенных ресурсов безопасности и направить на них свои вопросы о вредоносном ПО BIOS. И помните, безопасность - это вид страхования. Нет смысла покупать сейфы за 10000 долларов для защиты стопки 1-долларовых банкнот, точно так же, как нет смысла тратить сотни тысяч долларов на команду безопасности, если данные, которые вы защищаете, не являются очень ценными.
Информационный сайт Security Stack Exchange, вероятно, лучше подходит для любых дальнейших запросов по этой теме, и уже существует ряд существующих вопросов и ответов о вредоносных программах BIOS, которые могут вас заинтересовать.