چرا کنترل‌کننده‌های مدیریت پایه به تهدیدی برای امنیت سرورها تبدیل شدند؟

تصور کنید کلیدی دارید که حتی وقتی سرور شما خاموش است، به قلب سخت‌افزاری آن دسترسی می‌دهد؛ حالا تصور کنید این کلید در دستان هکرها باشد. اگر شما مدیر زیرساخت یک مرکز داده هستید، این خبر به معنای آن است که لایه‌ای از امنیت شما که هرگز به آن شک نمی‌کردید، اکنون کاملاً آسیب‌پذیر است.

معماری نامرئی مراکز داده مدرن به شدت به لایه تخصصی از سخت‌افزار وابسته است که به عنوان کنترل‌کننده‌های مدیریت پایه یا BMC شناخته می‌شوند. این کامپیوترهای کوچک که مستقیماً روی مادربردهای تقریباً هر سرور سازمانی تعبیه شده‌اند، برای فراهم کردن مدیریت «خاموش» یا «خارج از باند» (Out-of-band) طراحی شده‌اند. این قابلیت به مدیران سیستم اجازه می‌دهد تا سلامت فیزیکی سرور را نظارت کنند، ماشین‌هایی که پاسخ نمی‌دهند را ری‌بوت کنند، به‌روزرسانی‌های حیاتی را نصب نمایند و حتی زمانی که سرور اصلی خاموش است، کل سیستم‌عامل را از راه دور مجدداً نصب کنند. با این حال، تحقیقات اخیر که در کنفرانس امنیتی بلک هت (Black Hat) در لاس‌وگاس ارائه شد، فاش می‌کند که این راحتی با هزینه‌ای تکان‌دهنده در حوزه امنیت همراه است. در حال حاضر هزاران سرور متصل به اینترنت از برجسته‌ترین تولیدکنندگان جهان، به دلیل آسیب‌پذیری‌های بحرانی که در اعماق کنترل‌کننده‌های مادربردشان نهفته است، در معرض ایجاد درهای پشتی (Backdooring) از راه دور قرار دارند.

اچ‌دی مور (HD Moore)، متخصص مشهور امنیت فریم‌ور و مؤسس شرکت runZero، بیش از دوازده آسیب‌پذیری جدید را در BMCهای تولید شده توسط غول‌های صنعت از جمله HPE، Supermicro، Avocent، Huawei، Lenovo و Dell شناسایی کرده است. همان‌طور که در تحلیل‌های پیشین ما درباره امنیت لایه‌های سخت‌افزاری اشاره کردیم، این یافته‌ها نشان‌دهنده یک شکست سیستماتیک در نحوه مدیریت امنیت فریم‌ور در سراسر اکوسیستم سخت‌افزار سازمانی است. برای بیش از یک دهه، متخصصان امنیتی هشدار داده‌اند که BMCها یک «سطح حمله موازی، فراگیر، با نظارت کم و وصله‌های امنیتی ناکافی» را تشکیل می‌دهند. از آنجایی که این کنترل‌کننده‌ها با سیستم‌عامل، پشته شبکه و آدرس IP مستقل خود عمل می‌کنند، اغلب لایه‌های امنیتی سنتی — مانند دیواره‌های آتش (Firewall) و ابزارهای شناسایی و پاسخ نقطه پایانی (EDR) — که از سیستم‌عامل اصلی سرور محافظت می‌کنند را دور می‌زنند. این وضعیت یک نقطه کور ایجاد می‌کند که در آن مهاجمان می‌توانند جایگاهی را ایجاد کنند که شناسایی آن با استفاده از ابزارهای نظارتی استاندارد مبتنی بر نرم‌افزار، تقریباً غیرممکن است.

بر اساس مستندات این تحقیق، مقصر اصلی تاریخی برای این لغزش‌های امنیتی، پروتکل رابط مدیریت پلتفرم هوشمند (IPMI) است. پروتکل IPMI برای این طراحی شده بود که به BMC اجازه دهد مستقل از سرور میزبان عمل کند، اما پیاده‌سازی آن همواره با نقصی همراه بوده است. آسیب‌پذیری‌های موجود در این فریم‌ور مدت‌هاست که مهاجمان را قادر ساخته تا کدهای مخرب را از راه دور روی کنترل‌کننده‌ها اجرا کنند. زمانی که یک مهاجم کنترل BMC را به دست می‌گیرد، عملاً مالک سرور می‌شود. او از این موقعیت ممتاز می‌تواند وضعیت برق سرور را دستکاری کند، به کنسول دسترسی یابد و کدهای مخرب را در حافظه یا فضای ذخیره‌سازی میزبان تزریق کند و بدین ترتیب یک درِ پشتی پایدار ایجاد کند که حتی با نصب مجدد سیستم‌عامل یا تعویض هارد دیسک نیز از بین نمی‌رود. تحقیقات ارائه شده توسط مور نشان می‌دهد که علی‌رغم سال‌ها هشدار، صنعت نتوانسته است از این الگوهای ناامن فاصله بگیرد و تعداد زیادی از سرورها را در معرض ریسک‌هایی قرار داده است که قدمت آن‌ها به بیش از ده سال پیش بازمی‌گردد.

خطرات زمانی بیشتر می‌شود که به ماهیت دسترسی BMC نگاه کنیم. از آنجایی که این کنترل‌کننده دسترسی مستقیم به حافظه سیستم و گذرگاه‌های (Buses) سخت‌افزاری دارد، می‌تواند حملات دسترسی مستقیم به حافظه (DMA) را اجرا کند. این قابلیت به یک BMC آلوده اجازه می‌دهد تا بدون اطلاع پردازنده (CPU) میزبان، در حافظه سیستم سرور بخواند و بنویسد. این بدان معناست که حتی اگر سروری در حال اجرای نسخه بسیار امن و سخت‌سازی شده (Hardened) از لینوکس یا ویندوز باشد، BMC زیربنایی می‌تواند برای دور زدن تمام مجوزهای سطح نرم‌افزاری مورد استفاده قرار گیرد. نتایج تحقیق نشان می‌دهد که بسیاری از این آسیب‌پذیری‌ها صرفاً تئوریک نیستند، بلکه در پیکربندی‌های دنیای واقعی فعالانه قابل بهره‌برداری‌اند. نبود مکانیزم‌های استاندارد برای وصله کردن (Patching) فریم‌ور BMC، مسئله را پیچیده‌تر می‌کند؛ به‌روزرسانی یک BMC اغلب نیازمند ابزارهای تخصصی یا ری‌بوت کامل سیستم است، که بسیاری از اپراتورهای مرکز داده به دلیل الزامات زمان فعال بودن (Uptime)، از انجام آن اجتناب می‌کنند.

علاوه بر این، زنجیره تأمین جهانی سخت‌افزار سرور، فرآیند اصلاح را دشوارتر می‌کند. با توجه به اینکه قطعات از تامین‌کنندگان مختلف تامین شده و توسط تولیدکنندگان تجهیزات اصلی (OEMs) یکپارچه‌سازی می‌شوند، مسئولیت وصله کردن اغلب در شکاف بین طراح تراشه و برند سرور گم می‌شود. این اکوسیستم تکه‌تکه تضمین می‌کند که آسیب‌پذیری‌ها مدت‌ها پس از کشف، باقی بمانند. این پژوهش تأکید می‌کند که ماهیت «خارج از باند» این کنترل‌کننده‌ها، آن‌ها را به هدفی ایده‌آل برای بازیگران دولتی یا تهدیدات پیشرفته و مستمر (APT) تبدیل می‌کند که به دنبال قابلیت‌های جاسوسی طولانی‌مدت هستند. با به دست آوردن کنترل BMC، یک مهاجم می‌تواند برای سال‌ها دسترسی خود به محیط هدف را حفظ کند، داده‌ها را بی‌صدا استخراج نماید یا منتظر لحظه‌ای استراتژیک برای غیرفعال کردن زیرساخت‌های حیاتی بماند.

برای کاهش این ریسک‌ها، متخصصان امنیتی توصیه می‌کنند که BMCها در شبکه‌های مدیریتی کاملاً ایزوله، سخت‌گیرانه کنترل شده و غیرقابل مسیریابی (Non-routable) قرار گیرند. دسترسی به این کنترل‌کننده‌ها باید از طریق احراز هویت قوی و تایید دو مرحله‌ای (MFA) محدود شود و هرگز نباید مستقیماً در معرض اینترنت عمومی باشند. با این حال، واقعیت در بسیاری از محیط‌های شرکتی این است که این کنترل‌کننده‌ها اغلب به دلیل پیکربندی اشتباه یا رها شدن با اعتبارنامه‌های پیش‌فرض (Default Credentials)، به «میوه‌های دم دست» برای مهاجمان تبدیل شده‌اند. یافته‌های بلک هت به عنوان یک یادآور هشداردهنده عمل می‌کند که بنیاد رایانش ابری و پردازش داده‌های سازمانی بر روی فریم‌وری بنا شده است که اغلب به نفع امنیت نرم‌افزارهای سطح بالاتر نادیده گرفته می‌شود. تا زمانی که تولیدکنندگان امنیت BMC را به اندازه پردازنده اصلی اولویت ندهند، تهدید درهای پشتی از راه دور به تسخیر راهروهای مراکز داده ادامه خواهد داد. صنعت باید به سمت رویکرد «امنیت در طراحی» (Secure by Design) برای کنترل‌کننده‌های مادربرد حرکت کند و مکانیزم‌های اعتماد ریشه‌دار در سخت‌افزار (Hardware-rooted trust) و به‌روزرسانی‌های خودکار و تأیید شده را برای بستن این شکاف خطرناک در محیط امنیتی اجرا نماید.

گام بعدی شما

• بررسی فوری دسترسی‌های شبکه مدیریت (Out-of-band) و اطمینان از عدم دسترسی مستقیم از اینترنت.
• به‌روزرسانی فریم‌ور BMCها طبق آخرین اطلاعیه‌های سازندگانی چون Dell و HPE.
• جایگزینی پروتکل‌های قدیمی IPMI با استانداردهای جدیدتر مانند Redfish در صورت پشتیبانی سخت‌افزاری.

اما پیچیدگی این موضوع زمانی بیشتر می‌شود که به معماری تراشه‌های جدید نگاه کنیم؛ در گزارش بعدی، اثرات مهاجرت به استانداردهای امنیتی جدید در سطح سخت‌افزار را بررسی خواهیم کرد.