Revolução na monitorização de firmware através de gémeos digitais
O Cyber Resilience Act (CRA) coloca os fabricantes de produtos digitais perante novos desafios: os riscos de segurança têm de ser monitorizados não apenas durante o desenvolvimento, mas continuamente ao longo de todo o ciclo de vida do produto. A empresa de cibersegurança de Düsseldorf Onekey desenvolveu para o efeito uma tecnologia inovadora de gémeos digitais, que vigia o firmware 24 horas por dia com análises automatizadas.
Esta solução de monitorização analisa diariamente o firmware e garante assim segurança contínua durante todo o ciclo de vida. Quando surgem novas vulnerabilidades, a base de dados permanentemente actualizada e as funções de detecção melhoradas alertam para desenvolvimentos relevantes que podem afectar a segurança do produto.
O firmware como ponto de ataque crítico dos sistemas modernos
O firmware constitui a camada de software basilar de muitos sistemas técnicos – de comandos industriais e dispositivos IoT a sistemas médicos e componentes de veículos. As falhas de segurança neste nível são especialmente críticas, pois permitem acesso directo a funções de hardware e são muitas vezes difíceis de corrigir a posteriori.
Os equipamentos modernos contêm uma multiplicidade de bibliotecas de software externas, componentes de código aberto e módulos proprietários. Cada um destes componentes pode trazer novos riscos de segurança, por exemplo quando são descobertas novas vulnerabilidades após o lançamento de um produto.
Como explica Jan Wendenburg, CEO da Onekey: "Só quando os fabricantes sabem a todo o momento que componentes de software estão presentes nos seus produtos e que novas vulnerabilidades surgem é que podem reagir depressa e proteger eficazmente os seus sistemas."
Da verificação única à monitorização contínua
No âmbito das abordagens modernas de monitorização de firmware, o firmware de um produto não é analisado apenas uma vez, mas vigiado de forma permanente. O objectivo é detectar automaticamente as falhas de segurança que surjam nos componentes de software usados e avaliar os seus efeitos nos produtos existentes.
O processo divide-se em vários passos:
- Análise detalhada do firmware para identificar todos os componentes de software presentes
- Elaboração de uma lista estruturada de componentes de software (Software Bill of Materials, SBOM)
- Representação transparente das dependências dentro da cadeia de fornecimento de software
- Confronto contínuo da SBOM com bases de dados globais de vulnerabilidades
Os gémeos digitais permitem análises de segurança virtuais
Um método inovador para concretizar esta abordagem são os gémeos digitais. Cria-se uma representação virtual do firmware que permite realizar análises de segurança independentemente do hardware físico. Estes modelos digitais podem ser vigiados de forma permanente e fornecem uma visão contínua do estado de segurança actual de um produto.
Os fabricantes obtêm assim uma base central de informação para detectar precocemente os riscos de segurança e tratá-los de forma priorizada. Assim que forem publicadas novas falhas de segurança – por exemplo numa biblioteca de código aberto – é possível determinar automaticamente se um produto afectado contém esse componente.
Avaliação de risco automatizada e tratamento priorizado
Outro aspecto importante da monitorização de firmware é a avaliação automatizada dos riscos. Nem toda a vulnerabilidade representa automaticamente uma ameaça crítica. Decisivo é saber se o componente de software afectado é efectivamente usado de forma activa no produto e que funções influencia.
A plataforma de monitorização da Onekey analisa, por isso, informação de contexto como:
- Componentes afectados
- Explorabilidade da vulnerabilidade
- Efeitos potenciais no sistema
Daí resulta uma lista priorizada de problemas de segurança, que podem ser tratados de forma dirigida. Estas informações alimentam directamente os processos de resposta a incidentes de segurança e ajudam as Product Security Incident Response Teams (PSIRT) a disponibilizar actualizações de segurança de forma mais rápida e dirigida.
CRA Fast Start: verificação estruturada de conformidade
A monitorização contínua ao longo de todo o ciclo de vida do produto faz parte do programa "CRA Fast Start" da Onekey, que pretende dar aos fabricantes de equipamentos, máquinas e instalações ligados em rede uma verificação rápida e estruturada da conformidade com o Cyber Resilience Act. Esta abordagem foi distinguida na Embedded World 2026 com o "Best in Show Award".
Mudança de paradigma para os fabricantes de produtos digitais
Para os fabricantes de produtos digitais, o Cyber Resilience Act significa uma alteração profunda da estratégia de segurança. As análises de segurança terão futuramente de ser realizadas ao longo de toda a vida útil de um produto – do desenvolvimento à operação e até ao fim de vida.
A monitorização de firmware constitui para isso uma base técnica essencial. Liga a análise automatizada de software, a observação contínua de vulnerabilidades e os processos estruturados de segurança numa gestão de segurança integrada.
Perspectiva de futuro: a verificação diária de vulnerabilidades torna-se norma
Como sublinha Jan Wendenburg: "Face ao número crescente de dispositivos ligados em rede e à complexidade crescente das arquitecturas de software modernas, a verificação diária de vulnerabilidades torna-se um factor decisivo para a conformidade regulamentar e a segurança."
A combinação de gémeos digitais, monitorização automatizada e avaliação inteligente de risco cria as condições técnicas para corresponder às exigências do CRA e, ao mesmo tempo, melhorar de forma duradoura a segurança dos sistemas ligados em rede.
