Безопасность конечной вычислительной точки традиционно рассматривается с точки зрения межсетевого экрана, системы предотвращения вторжений (HIPS), антивирусных продуктов и т. д. Однако этот подход упускает из виду аспекты киберугроз, связанные с компонентами, расположенными ниже ядра (Belower Kernel), которые могут быть направлены на гипервизор, прошивку или само оборудование. Вот некоторые атаки, направленные на компоненты, расположенные ниже ядра (Belower Kernel).
Атака с использованием прямого доступа к памяти (DMA) -> В этом случае злоумышленник проникает в систему через порты с поддержкой прямого доступа к памяти. Это физическая атака, при которой модифицированное устройство PCI, USB или FireWire может быть использовано для получения доступа ко всей физической памяти. Затем злоумышленник может получить доступ к ключам шифрования и, в свою очередь, скомпрометировать прошивку или оборудование. Злоумышленник может даже изменить поведение операционной системы, изменив свойства страниц!
Руткиты MBR -> В системах, где ОС загружается через MBR, злоумышленники, как известно, взламывают MBR и выполняют произвольный код при запуске системы. Благодаря этому механизму они могут оставаться незамеченными для решений безопасности. В некоторых случаях злоумышленники также взламывают загрузочную запись тома (VBR) и внедряют руткиты. Некоторые программы-вымогатели также используют эту технику для шифрования машины.
Руткиты UEFI -> В последнее время исследователи доказали возможность существования руткитов UEFI , позволяющих скомпрометировать и заразить прошивку во время обновления BIOS. Безопасную загрузку UEFI можно обойти путем поддельной подписи и модификации таблицы ключей UEFI.
Как видите, ландшафт «ниже ядра» предоставляет злоумышленнику множество возможностей для атаки на систему. Для защиты от таких атак Intel и AMD оснастили свои процессоры несколькими встроенными функциями безопасности. Примером может служить модуль доверенной платформы (Trusted Platform Module), который обеспечивает аппаратные функции безопасности. Чип TPM — это безопасный криптопроцессор, предназначенный для выполнения криптографических операций. Современные платформы используют этот чип для безопасной загрузки (Secure Boot).
Процессоры Intel поддерживают технологию SGX (Software Guard Extensions), которая позволяет определять приватные области физической памяти, тем самым контролируя доступ к данным в памяти. Процессоры AMD поддерживают функцию SME (Secure Memory Encryption), которая шифрует содержимое физической памяти. Оба производителя также внедрили в свои процессоры технологию AES NI (AES New Instruction). Эта функция позволяет процессорам использовать шифрование AES.
Чтобы узнать больше о безопасности и архитектуре ниже уровня ядра, ознакомьтесь с техническим документом «Кибербезопасность ниже уровня ядра».
