近日，微软公司推送了名叫《Security Signals》的调查报告。结果报告显示，以往2年中，83%的组织最少遭到了一次固件攻击，而仅有29%的组织分派了费用预算来保护固件。
调研中绝大多数企业都表明，她们是固件攻击的受害人，但有关保护的开支是非常落后的。微软公司调研了来源于我国、法国、日本、英国和美国的1000个企业安全生产领导者，组织的大部分安全投资都用以安全补丁、漏洞扫描系统和高級威胁安全防护。
很多组织仍担忧恶意程序浏览其系统软件及其检验威胁的难度系数，而固件更无法监控和操纵，欠缺观念和欠缺自动化技术也加重了固件系统漏洞的威胁。
固件是一类特殊的计算机技术，能为机器设备的特殊硬件配置给予最底层操纵。由于固件通常会包括比较敏感信息内容，例如凭证和数据加密密匙，因此固件通常会变成攻击者的总体目标。美国国家行业标准技术性研究所(NIST)的我国系统漏洞数据库查询(NVD)的信息也验证了这一问题，在过去的的四年中，对于固件的攻击提升了五倍以上。
对固件保护技术性的投入也是远远不够的，如核心数据信息保护(KDP)或运行内存数据加密。
“根据硬件配置的安全作用可阻拦恶意程序或故意攻击者毁坏电脑操作系统的核心运行内存或在运作时载入该运行内存，这也是对于核心的繁杂攻击的提前准备”——结果报告显示。“仅有36%的企业融资于根据硬件配置的运行内存数据加密，而不上一半(46%)的企业融资于根据硬件配置的核心保护”。
汇报与此同时表明，有21%的领导者认可她们没法监管固件数据信息。接纳微软公司调研的受众中有82%认可她们沒有資源来避免固件攻击。
根据硬件配置的攻击愈来愈多，例如对于Thunderbolt端口号的ThunderSpy攻击，该攻击应用立即运行内存浏览(DMA)作用来侵入浏览Thunderbolt控制板的机器设备。
安全性精英团队将41%的時间耗费在可以自动化技术的固件补丁包上。幸运的是，对固件风险性的认识水平已经提升，进而促进了对该行业的大量项目投资。
“接受组织调查的法国企业中有81%提前准备并想要项目投资，比较之下，中国企业的95%和美国，法国和日本的91%的企业表明要对于此事开展项目投资。虽然金融信息服务领域的企业比不上别的行业的企业那麼非常容易作出决策，但是89%的受管控领域企业觉得想要并有工作能力项目投资于安全性解决方法”。
参照由来：SecurityAffairs