Darmowy e-book - dyrektywa NIS2 w pigułce

Wyłączasz laptopa. W procesorze nadal pracuje drugi komputer.

Intel Management Engine to mikrokontroler wbudowany w chipset, obecny w procesorach Intela od 2008 roku. Ma własny system operacyjny, własną pamięć i pełny dostęp do platformy — pamięci, sieci, magazynu. Działa w stanach uśpienia i po programowym wyłączeniu maszyny, wystarczy podłączone zasilanie.

I pożycza Twoją kartę sieciową.

Ruch przychodzący po kablu na porty 16992–16995 jest przekierowywany prosto do ME, zanim dotknie Twojego systemu. Firewall na hoście go nie zobaczy, bo do hosta w ogóle nie trafia. To musi być reguła na brzegu sieci.

W karuzeli:
→ dlaczego badacze mówią o tym „Ring -3” i co to oznacza dla Twojego EDR-a
→ bit HAP, który Intel dodał na potrzeby programu NSA — i którego Ty nie dostałeś
→ osiemnaście lat tego samego wzorca, od Black Hat 2009 po advisory z sierpnia 2026
→ cztery rzeczy, które możesz zrobić w tym tygodniu

Ważne zastrzeżenie, bo ten temat żyje w internecie własnym życiem: nie ma publicznego dowodu, że Intel umieścił tu backdoor. Firma temu konsekwentnie zaprzecza. Problem jest inny i poważniejszy — kod jest zamknięty, nikt z zewnątrz go nie zaudytuje, więc żadnego z tych twierdzeń nie da się niezależnie zweryfikować. Brak dowodu nadużycia to nie to samo, co dowód, że nadużycia nie ma.

Uczciwie też o postępie: od CSME 16.1 zdalne połączenia na nieszyfrowane porty nie są już wspierane, od CSME 19 wyłącznie TLS. Tylko że stary sprzęt żyje w firmach dłużej, niż przewiduje arkusz inwentaryzacji.

I jeszcze jedno: Qubes OS, maszyny wirtualne i szyfrowanie dysku działają powyżej tej warstwy. Izolacja nie sięga Ring -3 i nigdy nie miała sięgać.

Dla większości ludzi ME nie jest najpilniejszym ryzykiem — phishing i kradzież haseł wyprzedzają je o lata świetlne. Ale jeśli budujesz model zagrożeń, w którym liczy się każda warstwa, to jest ta, o której najczęściej się zapomina.

Zapisz i wyślij komuś z działu IT.

A w komentarzu napisz: sprawdzałeś kiedyś, czy Wasze firmowe laptopy mają otwarty port 16992? ...