MITRE Debuta con el Modelado de Amenazas EMB3D para Sistemas embebidos

EMB3D, al igual que ATT&CK y CWE, busca proporcionar una comprensión común de las amenazas cibernéticas a dispositivos embebidos y de los mecanismos de seguridad para abordarlas.

MITRE, en colaboración con investigadores de otras tres organizaciones, lanzó esta semana un borrador de un nuevo marco de modelado de amenazas para fabricantes de dispositivos embebidos utilizados en entornos de infraestructuras críticas.

El objetivo del nuevo Modelo de Amenazas EMB3D es proporcionar a los fabricantes de dispositivos una comprensión común de las vulnerabilidades en sus tecnologías que los ataques están aprovechando, así como de los mecanismos de seguridad para abordar esas debilidades.

Modelo de Amenazas EMB3D

"EMB3D tiene la intención de ayudar a los vendedores/OEMs de dispositivos embebidos a construir seguridad", dice Marie Stanley Collins, gerente de departamento en MITRE. "Las mitigaciones se centran en lo que debería hacerse durante el diseño del dispositivo, en lugar de agregarse por el propietario del activo." Sin embargo, los propietarios de activos y los investigadores de seguridad también pueden utilizarlo para evaluar la seguridad de un dispositivo revisando las amenazas que probablemente existen y qué mitigaciones se incluyen, agrega.

Los dispositivos embebidos en entornos de ICS y OT son un objetivo atractivo para los atacantes debido a su relativa falta de seguridad adecuada y pruebas insuficientes de vulnerabilidades. Investigaciones de Nozomi Networks publicadas a principios de este año mostraron que los actores de amenazas intensificaron los ataques dirigidos a estos dispositivos durante el último año, especialmente en sectores como alimentos y agricultura, químicos, tratamiento de agua y manufactura. En el último año, también ha habido un aumento constante en los avisos y orientaciones de la Agencia de Ciberseguridad e Infraestructura de EE. UU. (CISA) relacionados con amenazas a entornos de ICS y OT.

"La seguridad de muchos dispositivos embebidos utilizados para respaldar la infraestructura crítica no está al ritmo de las amenazas observadas", dice Collins. "Muchos propietarios de activos ... a menudo tienen una comprensión insuficiente de sus dispositivos para mitigar adecuadamente estos riesgos."

¿El Equivalente de ATT&CK y CWE para Sistemas Embebidos?

EMB3D es el equivalente del sistema embebido de otros modelos y marcos de amenazas ampliamente utilizados de MITRE, como ATT&CK y la Common Weakness Enumeration (CWE). Así como ATT&CK brinda a los defensores un vocabulario común para tácticas, técnicas y procedimientos de actores de amenazas, y CWE proporciona una forma estándar de categorizar y describir vulnerabilidades de hardware y software, EMB3D ofrece una base de conocimientos central de amenazas a dispositivos embebidos.

"EMB3D proporciona un único repositorio de amenazas conocidas, propiedades de un dispositivo que son vulnerables a esa amenaza, y mitigaciones clave necesarias para abordar ese riesgo", dice Collins. Esta información es crucial porque, en un alto nivel, los dispositivos embebidos tienen más amenazas centradas en hardware y firmware que las típicas amenazas de TI. También tienen tecnologías únicas, como las destinadas a ejecutar lógica personalizada, como controladores lógicos programables, señala Collins.

Aunque los vendedores de dispositivos embebidos a menudo realizan el modelado de amenazas como un método para identificar mecanismos de seguridad en un dispositivo, las amenazas a los dispositivos evolucionan continuamente a medida que surgen más ataques e investigaciones de vulnerabilidades, dice. "Es difícil para un equipo de seguridad de productos rastrear todas estas amenazas e identificar qué mitigaciones son necesarias para protegerse contra ellas", agrega Collins. EMB3D proporciona un mecanismo uniforme para rastrear y comunicar amenazas y mecanismos de seguridad asociados en un dispositivo embebido.

MITRE y los investigadores de ONE Gas, Red Balloon Security y Narf Industries que desarrollaron EMB3D identificaron amenazas a sistemas embebidos revisando numerosas fuentes, incluidas las técnicas ATT&CK, investigaciones, demostraciones de concepto y vulnerabilidades descubiertas en dispositivos embebidos. Al igual que con ATT&CK y CWE, los mantenedores de EMB3D seguirán agregando nuevas amenazas y mitigaciones a la base de conocimientos a medida que surjan. Y al igual que con los modelos de amenazas anteriores, EMB3D también será un recurso comunitario público al que los interesados en seguridad pueden contribuir con adiciones y revisiones, según MITRE.

"Con este anuncio se hace un llamado a la acción a los vendedores interesados, propietarios de activos, investigadores y académicos para revisar este marco antes de su lanzamiento público oficial a principios de 2024", dijo MITRE.

Gran Avance para la Seguridad Embebida

Chris Grove, director de estrategia de ciberseguridad en Nozomi Networks, dice que EMB3D podría ser otro cambio de juego similar a ATT&CK de MITRE para la seguridad de dispositivos embebidos. "Lo emocionante de EMB3D es cómo se supone que tomará las mejores partes de los marcos existentes y las aplicará al mundo de los sistemas embebidos", dice Grove. "Esto es algo importante para la ciberseguridad hoy, donde los sistemas embebidos tienen sus propios desafíos únicos, bastante diferentes a los de TI, pero más críticos".

Grove percibe que EMB3D es un recurso útil para los pequeños propietarios de activos que no siempre tienen los recursos para abordar las amenazas por sí mismos. EMB3D es como un mapa que facilita la navegación por la ciberseguridad. Las empresas más pequeñas, que quizás no tengan la ventaja de herramientas de seguridad personalizadas, encontrarán esto particularmente útil, predice.

Al mismo tiempo, las empresas más grandes también podrían beneficiarse, ya que podría ahorrarles la molestia y el gasto de desarrollar sus propias métricas y medidas de seguridad. Grove dice: "EMB3D ofrece una manera estandarizada y eficiente de manejar los riesgos de ciberseguridad. No se trata solo de encontrar problemas; se trata de construir seguridad en los dispositivos desde el principio".

Fuente y créditos: MITRE Debuts ICS Threat Threat Modeling for Embedded Systems (darkreading.com)

Contenido traducido al español con fines informativos, cualquier cambio en la publicación original no será reflejada en esta entrada, favor referirse a la fuente para obtener el acceso a cualquier actualización del contenido. Para la traducción se utilizó un LLM, al ser una traducción automática puede contener errores gramaticales o de otro tipo, me pueden enviar un mensaje.