SBOM e modelação de ameaças para dispositivos médicos
Sytance · Atualizado
Uma SBOM e um modelo de ameaças respondem a perguntas diferentes. A SBOM identifica os componentes de software e as relações de dependência. O modelo de ameaças explica como um dispositivo, sistema de software, utilizador, ambiente ou via de atualização pode ser atacado e de que forma esse ataque poderá afetar a segurança, o desempenho ou a proteção.
Registos diferentes
A vulnerabilidade de um componente torna-se uma questão específica do dispositivo quando se compreende o papel desse componente. Um analisador de rede pode receber diretamente entradas não fiáveis; a mesma biblioteca, compilada sem a função afetada, pode apresentar uma exposição diferente. A SBOM identifica o componente, e o modelo de ameaças fornece a arquitetura necessária para investigar essa diferença.
A NTIA define uma SBOM como um inventário legível por máquina dos componentes de software e das respetivas relações. Na avaliação de um dispositivo, isso ajuda a determinar que software está presente e onde procurar informações sobre fornecedores ou vulnerabilidades.
SBOM
Regista nomes de componentes, fornecedores, versões, identificadores, hashes, dependências e informações de autoria, para que o fabricante e o cliente possam acompanhar a exposição dos componentes e o estado do suporte.
Modelo de ameaças
Regista ativos, intervenientes, limites de confiança, fluxos de dados, interfaces, vias de ataque, ameaças, medidas de mitigação, pressupostos e decisões sobre riscos residuais.
Arquitetura de segurança
Mostra como os controlos, como autenticação, autorização, cifragem, registos, proteção de atualizações e recuperação, estão distribuídos pelo sistema e serviços relacionados.
Gestão de riscos
Determina se o risco restante é aceitável e de que forma as conclusões de cibersegurança afetam a segurança, o desempenho, a rotulagem, a vigilância pós-comercialização e as medidas corretivas.
Ligação à fase pré-comercialização
A atual orientação pré-comercialização da FDA espera que a SBOM, a modelação de ameaças, a avaliação dos riscos de cibersegurança, a arquitetura e os ensaios funcionem em conjunto. Para um ciberdispositivo abrangido pela secção 524B, a SBOM é um elemento legalmente exigido na submissão e tem de incluir componentes de software comerciais, de código aberto e disponíveis no mercado.
- O modelo de ameaças deve abranger o sistema do dispositivo, entidades externas, implementação, interoperabilidade, manutenção, atualizações, pressupostos sobre a cadeia de abastecimento e desativação.
- A SBOM deve incluir componentes desenvolvidos pelo fabricante e por terceiros, dependências a montante, estado do suporte e informações necessárias para avaliar vulnerabilidades conhecidas.
- As vistas da arquitetura devem explicar interfaces, protocolos, limites de confiança, utilizadores, controlos, sistemas relacionados e vias de atualização.
- Os ensaios devem demonstrar que os controlos de segurança e as medidas de mitigação de ameaças selecionados funcionam, incluindo testes de vulnerabilidades e testes de penetração quando pertinente.
Uma entrada da SBOM deve ser rastreável até à posição do componente na arquitetura e à análise de vulnerabilidades pertinente. Estas ligações relacionam o inventário com a modelação de ameaças, os ensaios, a rotulagem e a gestão pós-comercialização.
Ligação à fase pós-comercialização
Após a comercialização, a SBOM e o modelo de ameaças passam a ser registos operacionais. A SBOM ajuda a identificar exposições quando muda um fornecedor, um pacote de código aberto, um componente comercial ou uma dependência do sistema operativo. O modelo de ameaças ajuda a determinar se essa exposição pode causar danos aos doentes na arquitetura e no ambiente de utilização efetivos do dispositivo.
Verifique se a versão e o código afetados estão presentes no dispositivo e determine, em seguida, como um atacante lhes poderia aceder. Avalie os controlos existentes e os possíveis danos para os doentes. O resultado aplica-se às configurações analisadas; outras versões ainda em utilização podem necessitar de uma avaliação separada.
O modelo de ameaças deve ser atualizado quando uma nova vulnerabilidade, uma nova técnica de ataque, uma alteração dos pressupostos de implementação, uma nova interface, um novo serviço na nuvem ou uma alteração da via de atualização modifica o panorama dos riscos.
Vulnerability Exploitability eXchange (VEX) comunica uma avaliação de impacto para uma vulnerabilidade identificada e um produto específico. Identifique as versões e configurações abrangidas e explique as condições que o destinatário tem de manter. Se for necessária uma correção, indique a atualização ou outra medida disponível para o utilizador.
Manutenção de registos úteis
A SBOM e o modelo de ameaças devem identificar a versão do produto que descrevem e manter-se atualizados após a comercialização. A SBOM também tem de utilizar um formato legível por máquina. Ambos os registos devem estar ligados ao ficheiro de gestão de riscos.
A base de referência da NTIA de 2021 identifica elementos de dados como o nome do fornecedor, o nome do componente, a cadeia da versão, o identificador do componente, a relação de dependência, o nome do autor e a marca temporal. A FDA acrescenta expectativas específicas para dispositivos, como o estado do suporte do software, as vulnerabilidades conhecidas e a relação com os controlos de risco do dispositivo.
O modelo deve explicar como um atacante pode alcançar uma função do dispositivo e que proteção impede ou limita essa ação. Descreva o dispositivo e os sistemas ligados e, em seguida, relacione cada cenário de ataque com as respetivas condições, os controlos selecionados e o risco restante.
- Um dispositivo offline pode ainda receber entradas maliciosas através de uma interface de atualização ou manutenção. Inclua essas vias no modelo de ameaças.
- Uma SBOM sem CVE críticas conhecidas diz pouco sobre falhas de conceção ou controlos de acesso em falta. Avalie essas ameaças à luz da arquitetura.
- Um relatório de testes de penetração aplica-se ao âmbito e à configuração nele indicados. Utilize os resultados em conjunto com a análise da conceção e os controlos de manutenção planeados.
- Se a proteção depender da rede do cliente, indique os controlos necessários e verifique se respondem à ameaça. Comunique as condições que o cliente tem de manter.