确定安全实践的投资回报。
在当今世界，黑客、电脑病毒和网络恐怖分子几乎每天都成为头条新闻。安全已经成为生活各个方面的优先事项，最重要的是，在我们的业务中。
最近，黑客一直在攻击我们最复杂系统的核心，即特定应用集成电路(asic)和运行它们的芯片系统(soc)。与这些设备相关的风险正在不断增加。它们运行的硬件架构、处理器、驱动程序、操作系统和应用软件的范围正变得越来越复杂。由于物联网、汽车、数据中心和航空航天/国防市场中日益增长的安全问题和真实的硬件漏洞，防御安全堆栈现在必须包括硬件。为了降低风险，系统的安全性必须从ASIC或SoC开始架构，然后在堆栈的所有级别进行测量。
不幸的是，对于几家主要的行业巨头来说，硬件安全漏洞正在增加。这些巨人并不孤单。MITRE公司和国家漏洞数据库报告称，2016年至2019年间硬件漏洞的年复合增长率约为40%。这是因为:
大多数行业都认识到安全很重要，但多少才足够呢?企业如何知道其安全级别何时是合理的?最重要的是，应该投入多少金钱和时间?好消息是，如果设计团队在架构和实现时牢记安全最佳实践，许多硬件漏洞都可以避免。在硬件开发过程中识别和验证漏洞对于降低风险至关重要。
为了提供帮助，在2020年2月，MITRE公司发布了他们的4.0版本常见弱点枚举(CWE)列表。新版本现在包括硬件，它提供了一个有价值的常见硬件弱点列表，这些弱点是许多漏洞的根本原因。该列表分为主要主题，如安全流程问题、调试和测试问题、内存和存储问题、通用电路和逻辑设计问题等等。CWE列表可以帮助团队量化风险暴露，并为威胁建模和安全设计提供有价值的指南。通过及早识别潜在问题，可以显著降低安全事件的预期成本。
安全投资的回报在于降低风险。当投资于安全预防或降低风险时，团队应该将他们的ROI视为可衡量的风险降低。风险降低的ROI通常由网络安全社区使用安全投资回报(ROSI)来计算。
硬件ROSI的定义如下:
使用安全的设计实践和有效的工具可以极大地减轻漏洞。这为缓解率提供了可衡量的改进，并提供了显著更高的ROSI。
值得注意的是，降低风险与遵守安全标准有很大不同。标准侧重于为特定的细分市场建立保护和流程的基线。在大多数情况下，团队专注于满足标准的基本需求，而没有具体考虑风险。
换句话说，您可以遵从某个标准，但仍然面临很高的安全风险。如上所示，确保高缓解率对降低风险至关重要。
今天，在asic和SoC的设计中，有完善的流程和方法来确保它们正确运行。它们用于验证设备在特定操作条件下的预期行为。通常，这涉及到验证团队使用正式验证创建环境，使用自动化测试台架进行定向测试，以及完整的系统模拟。从历史上看，这些技术在生产正常功能的硅方面非常有效。但是，这些环境并不能在不大量增加时间和金钱的情况下发现未知的安全漏洞来降低风险。
例如，Tortuga Logic估计，只有大约12%的MITRE硬件CWEs可以通过现有的验证环境进行简单识别。假设现代SoC中一个安全漏洞的年预期损失为500万美元(仅考虑最新技术节点掩码集的成本，这是非常合理的)，在如此低的缓解比率下，安全投资的回报通常是负的。在现有的手工解决方案上的花费进一步加剧了这一点，这将花费大量的时间和金钱。
然而，Tortuga Logic的Radix覆盖了大约80%的硬件CWE列表。假设解决方案的成本与上述相同:ROSI总是更好，并且随着解决方案成本的降低，这种改进变得更加显著，这是Tortuga Logic的安全产品与现有方法进行权衡时的典型情况。要降低硬件安全风险，必须有技术解决方案来提供这种可衡量的降低。
Tortuga Logic专注于ASIC、SoC和FPGA开发的硬件安全解决方案和服务。Radix在设计过程的早期检测和预防硬件安全问题，并无缝地适合现有的设计和验证工具和方法。
|
|
|
|
|
|
|
|
留下回复