Auditoria de Firmware UEFI com CHIPSEC

Uso Autorizado Apenas: O CHIPSEC carrega um driver de kernel e lê/escreve registradores de hardware de baixo nível, flash SPI e SMM. Execute-o apenas em sistemas que você possui ou que tem autorização explícita para avaliar, idealmente em hardware de teste dedicado. O uso indevido (especialmente módulos de escrita/modificação) pode "brickar" uma máquina. Nunca execute módulos capazes de escrita em sistemas de produção.

Visão Geral

O CHIPSEC é o Framework de Avaliação de Segurança de Plataforma de código aberto criado pela equipe de Pesquisa de Ameaças Avançadas da Intel. Ele inspeciona a configuração de segurança de baixo nível do firmware e hardware de plataformas x86 — a camada abaixo do sistema operacional onde residem bootkits e implantes de firmware. O CHIPSEC carrega um driver de kernel assinado (Linux, Windows ou pode ser executado a partir do shell UEFI) para ler e escrever registradores de hardware, registradores específicos do modelo (MSRs), espaço de configuração PCI, flash SPI e variáveis UEFI, em seguida, executa um conjunto de testes automatizados que verifica se os bloqueios defensivos da plataforma estão realmente ativados.

A ameaça que o CHIPSEC aborda é a do MITRE ATT&CK T1542.001 — Pre-OS Boot: System Firmware: adversários que modificam o firmware do sistema (a imagem BIOS/UEFI no flash SPI) para obter controle furtivo, persistente e que sobrevive à reinstalação do SO. Implantes de firmware persistem após a reinstalação do SO e a substituição do disco e são invisíveis para a maioria dos EDRs. O valor do CHIPSEC é verificar os pré-requisitos que impedem tais implantes: que a região BIOS do flash SPI esteja protegida contra gravação (BIOS_CNTL BLE/SMM_BWP, SPI Protected Ranges), que os bloqueios do descritor de flash controlem o acesso à região, que SMRAM/SMRR estejam configurados e que as variáveis do Secure Boot estejam protegidas. Ele também faz dump do flash SPI para comparação forense offline.

Fontes: Projeto Intel/CHIPSEC (https://github.com/chipsec/chipsec), documentação do CHIPSEC (https://chipsec.github.io/).

Quando Usar

• Avaliação de linha de base da segurança do firmware de uma nova plataforma de laptop/servidor ou imagem de frota
• Verificação de que a proteção contra gravação do BIOS e os bloqueios do flash SPI estão corretamente ativados pelo OEM
• Forense de firmware: fazer dump do flash SPI para comparar com uma imagem conhecida e boa
• Validação da proteção de variáveis do Secure Boot e proteção de scripts de boot S3
• Busca por evidências de um implante de firmware ou má configuração que permita um

Pré-requisitos

• Acesso físico ou de administrador/root à plataforma x86 alvo (Intel ou AMD)
• Linux (root) ou Windows (Administrador), ou um ambiente de shell UEFI
• Capacidade de carregar um driver de kernel (o Secure Boot pode precisar permitir o driver CHIPSEC, ou usar --no_driver para verificações limitadas)
• Python 3.8+ e um compilador C/ferramentas de build para o módulo do kernel no Linux
• Hardware de teste dedicado fortemente recomendado

Instalar o CHIPSEC:

# From PyPI
pip install chipsec

# Or from source (builds the kernel helper/driver)
git clone https://github.com/chipsec/chipsec
cd chipsec
python setup.py install        # builds and installs, including the Linux driver

# Verify
sudo chipsec_main --help
sudo chipsec_util --help

Objetivos

• Executar o conjunto completo de testes automatizados de segurança de plataforma e interpretar PASS/FAIL/WARNING
• Verificar a proteção contra gravação do BIOS (BIOS_CNTL) e os Intervalos Protegidos SPI (SPI Protected Ranges)
• Verificar se os bloqueios de região de leitura/gravação do descritor de flash SPI estão ativos
• Verificar as proteções de SMRAM/SMRR e do manipulador SMI
• Verificar a proteção de variáveis do Secure Boot e proteção de scripts de boot S3
• Fazer dump do flash SPI e decodificá-lo para análise offline
• Enumerar variáveis UEFI e detectar entradas anômalas/inesperadas

Mapeamento MITRE ATT&CK

O CHIPSEC defende contra T1542.001 verificando se os controles que impedem a modificação não autorizada do firmware estão ativados. Um FAIL em common.bios_wp (BIOS não protegido contra gravação) ou chipsec.modules.common.spi_lock (descritor de flash desbloqueado) significa que um atacante com privilégios de SO poderia reescrever o flash SPI e implantar firmware persistente — exatamente o pré-requisito para esta técnica.

Fluxo de Trabalho

Etapa 1: Executar o conjunto completo de testes automatizados

chipsec_main sem argumento de módulo executa todas as verificações de segurança aplicáveis para a plataforma detectada e imprime um resumo dos resultados PASS/FAIL/WARNING/INFORMATION.

sudo chipsec_main

# Save machine-readable output for reporting / diffing
sudo chipsec_main -j results.json -x results.xml -l chipsec.log

Etapa 2: Executar os módulos principais de proteção de firmware individualmente

…