Quando Intel ha pubblicato un avviso di sicurezza critico 1 maggio relativo a una vulnerabilità nel proprio sistema di gestione remota che interessava milioni di chipset, il team di Technical Account Management di Tanium si è immediatamente attivato per assistere i nostri clienti. In questa sede, Chris Kachigian, direttore di TAM , illustra cosa comporti questa vulnerabilità per la vostra azienda e come utilizzare Tanium per individuare rapidamente il problema._
Una vulnerabilità nel sistema di gestione remota di Intel potrebbe consentire agli aggressori di ottenere il pieno controllo della vostra rete (si apre in una nuova scheda). La vulnerabilità, presente fin dal 2010 in milioni di chipset Intel, interessa le tecnologie Active Management Technology, Intel Small Business Technology e Intel Standard Manageability.
Sfruttando tale vulnerabilità, gli hacker possono assumere il controllo dell’hardware di un computer, amministrare da remoto i dispositivi ed estendere l’attacco all’intera rete. Secondo l’esperto di sicurezza Matthew Garrett (si apre in una nuova scheda), il servizio AMT vulnerabile fa parte della suite di funzionalità del processore Intel vPro (si apre in una nuova scheda) . Tuttavia, come sottolinea Garrett, «non è sufficiente disporre semplicemente di una CPU e di un chipset “vPRO”: il fornitore del sistema deve anche aver ottenuto la licenza per il codice AMT».
In sostanza, chiunque utilizzi un computer dotato di determinate funzionalità vPro e AMT è a rischio. I modelli più recenti di Mac Apple, che utilizzano chip Intel , non vengono forniti con il firmware AMT e non sono a rischio.
Il 1 maggio, Intel ha pubblicato un avviso di sicurezza critico (si apre in una nuova scheda) e un aggiornamento del firmware per risolvere la vulnerabilità, identificata come CVE-2017-5689. Abbiamo esaminato rapidamente la guida alla rilevazione “ Intel ” SA-00075 e abbiamo elaborato una risposta utilizzando Tanium per aiutarLa a individuare la vulnerabilità tramite il sensore “ Intel ” SA-00075 Risk e il sensore di esposizione “ Intel ” SA-00075. Tanium offre la possibilità di effettuare ricerche in modo rapido e su larga scala in tutta l'azienda per individuare gli elementi correlati a questa vulnerabilità. Intel raccomanda di utilizzare la propria guida al rilevamento per individuare i sistemi vPro dotati di CPU con firmware AMT presenti nel proprio ambiente. Tanium sta utilizzando i metodi descritti nella Guida alla rilevazione SA-00075 dell’ Intel .
Ecco ciò che è necessario sapere.
Che cosa si intende per “vulnerabile”?
Un sistema deve disporre di una CPU Intel con uno SKU Active Management e una versione del firmware compresa tra 6 e 11,6 , con un numero di build che non inizi con 3 (Esempio: 9,5,22.1760, pagina 2, Intel SA-00075 Guida al rilevamento) per essere considerato vulnerabile. In un avviso aggiornato (si apre in una nuova scheda) pubblicato su 5 maggio, Intel si afferma che i PC destinati al mercato consumer dotati di firmware consumer, nonché le workstation aziendali e i server che utilizzano i processori E3 e E5 Xeon e il firmware SPS non sono interessati dal problema.
Come si utilizza Tanium per Detect la vulnerabilità Intel ?
Importare i contenuti di " Intel-AMT" (forniti ai clienti di " Tanium " dal proprio TAM).
Quando si utilizza il servizio " MSI " (l'installazione di nuovo software è consentita dal cliente):
- Scaricate il documento “ MSI ” dai seguenti link: https://downloadcenter.intel.com/download/26755
- Importare il file “ MSI ” nel pacchetto “Install Intel SA-00075 Discovery Tool MSI”
- Nota: il pacchetto è stato scritto in modo tale da utilizzare il file MSI indipendentemente dal suo nome. Non è necessario modificare alcun campo. È necessario che abbia l'estensione MSI , altrimenti non funzionerà.
- “Deploy e il pacchetto di installazione “Install Intel SA-00075 Discovery Tool MSI” utilizzando le impostazioni di destinazione consigliate”:
- Rendere accessibili online tutti i computer che soddisfano le seguenti condizioni: (Is Virtual = “No” e CPU contenente “Intel” e Sistema operativo contenente “Windows”)
- “Eseguire il pacchetto di scansione: “Install Intel SA-00075 Discovery Tool Scan””: -Effettuare l’accesso online da tutti i computer che soddisfano i seguenti criteri: (Is Virtual = “No” e CPU contenente “Intel” e Sistema operativo contenente “Windows”)
- Acceda alla dashboard AMT SA-00075 dell’ Intel oppure attivi manualmente i sensori per acquisire i dati.
Quando si utilizzano il file zip e il pacchetto originale (l'installazione di nuovo software NON è consentita)
- Scaricate il documento “ MSI ” dai seguenti link: https://downloadcenter.intel.com/download/26755
- Apra una finestra del prompt dei comandi e passi alla directory in cui si trova il file scaricato MSI
- “Per estrarre i file dall’ MSI , esegua il seguente comando, modificando il percorso di conseguenza:”:
- “msiexec /a discoveryToolInstaller_1,0,1,39.msi /qb TARGETDIR=C:\Users\chris\Desktop\test\extracted\”
- “Acceda alla cartella contenente i file estratti (a 3 livelli di profondità) al percorso di esempio:”:
- C:\Users\chris\Desktop\test\extracted\PFiles\Intel\Intel-SA-00075 Strumento di ricerca\
- Selezioni la cartella “Licenses” e “ Windows ”, quindi le aggiunga a un file zip
- Se si utilizza la build 22 (1,0,0,0052-g3df15d8) o successive, è sufficiente aggiungere o sostituire il file zip nel pacchetto di scansione originale denominato “ “Intel-SA-00075 Scan”
- “Deployare il pacchetto ‘ “Intel-SA-00075 Scan’ utilizzando i criteri di selezione consigliati”: -Eseguire la scansione online da tutti i computer che soddisfano i seguenti criteri: (Is Virtual = “No” e CPU contenente “Intel” e Sistema operativo contenente “Windows”)
- Acceda alla dashboard AMT SA-00075 dell’ Intel oppure attivi manualmente i sensori per acquisire i dati.
NOTA: Il presente documento è stato testato e convalidato con le versioni 1,0,1,6 e 1,0,1,39 dello strumento Discovery SA-00075 dell’ Intel.
Per saperne di più:
- Intel Avviso (si apre in una nuova scheda)
- Intel SA-00075 Guida al rilevamento (si apre in una nuova scheda)
- Intel SA-00075 Guida alle misure di mitigazione (si apre in una nuova scheda)
- Come individuare i PC basati su vPro d Intel (si apre in una nuova scheda)
Nota per i clienti di “ Tanium ”: per ulteriori informazioni, vi preghiamo di contattare il vostro TAM.
(Nota della redazione: questo articolo del blog è stato aggiornato il 22 maggio per riflettere le nuove linee guida.)
Le interessa vedere “ Tanium ” in azione? Fissate un appuntamento con per una dimostrazione individuale oppure partecipate al nostro webinar settimanale. Si rivolga ai nostri esperti di “ Tanium” in occasione dei nostri prossimi eventi “ ”.
