DLP системата DeviceLock 8.2 — дупчив штакетник на стража на вашата сигурност

През октомври 2017 година присъствах на рекламния семинар на DLP-системата DeviceLock, където, освен основната функционалност за защита от изтичане на информация чрез блокиране на USB портове, контекстен анализ на пощата и буфера за обмен, се рекламираше защита от администратора. Моделът е прост и красив – в малката фирма идва инсталатор, инсталира комплекс от програми, заключва BIOS, създава администраторски акаунт в DeviceLock, а на местния администратор оставя само правата за управление на самата Windows и останалия софтуер. Дори в случай на злонамерени намерения, този администратор не може да открадне нищо. Но това е всичко теория…

Тъй като през последните 20+ години работа в сферата на разработването на средства за защита на информацията съм се убедил, че администраторът може да прави всичко, особено ако има физически достъп до компютъра, основната защита срещу него могат да бъдат единствено организационни мерки като строга отчетност и физическа защита на компютрите, съхраняващи важна информация, веднага ми дойде наум да проверя устойчивостта на предложеното изделие.

Опитът да направя проверка веднага след края на семинара не успя, за блокиране на изтриването на основната услуга DlService.exe бяха предвидени мерки, а също така не забравиха за правата за достъп и избор на последната удачна конфигурация, в резултат на което да я повалиш, както повечето вируси, забранявайки на системата достъпа за четене и изпълнение, не се получи.

На всички въпроси относно защитата на потенциално наличните в продукта драйвери представителят на фирмата-разработчик Смарт Лайн уверено заявяваше, че „всичко е на същото ниво“.

На следващия ден реших да продължа изследванията, свалих пробната версия. Веднага ми направи впечатление размерът на дистрибутива, почти 2 Гб! Свикнал съм, че системното ПО, към което се отнасят средствата за защита на информация (СЗИ), обикновено има много по-компактен размер.

След инсталацията се учудих втори път – размерът на споменатия .exe файл също е доста внушителен – 13Мб. Веднага си помислих, че при такъв обем има какво да се хване. Опитах се да заменя модула чрез отложена запис – затворено. Разрових се в каталогите на програмата, а там имаше 11 драйвера! Проверих правата – не са затворени за промяна! Е, да видим, на всички забрана, перезареждаме!

Ефектът е просто фееричен — всички функции са деактивирани, услугата не стартира. Каква самозащита, взимай и копирай каквото искаш, било то на флашки или по мрежата. Излезе първият сериозен недостатък на системата — твърде силната взаимозависимост на компонентите. Да, услугата трябва да комуникира с драйверите, но защо да пада, ако никой не отговаря? В крайна сметка, има един метод за заобикаляне на защитата.

След като установих, че чудо услугата е толкова нежна и чувствителна, реших да проверя зависимостите ѝ от външни библиотеки. Тук е още по-просто, списъкът е голям, просто наслучай изтриваме библиотеката WinSock_II и наблюдаваме аналогична картина — услугата не стартира, системата е отворена.

В резултат на това имаме точно това, което описваше докладчикът на семинара — мощен заграждение, но ограждащ не целия охраняван периметър поради недостиг на средства, а на незакрития участък просто бодлив храст. В този случай, предвид архитектурата на софтуерния продукт, предвиждаща не затворена по подразбиране среда, а множество разнообразни запушалки, прихващачи и анализатори на трафика, това е по-скоро оградна решетка, като много от летвите са прикрепени с самонарезни винтове от външната страна и е много лесно да се отвият. Проблемите на повечето подобни решения се състоят в това, че в такова огромно количество потенциални дупки винаги има вероятност да забравите нещо, да пропуснете взаимовръзка или да повлияете на стабилността, неуспешно реализирайки някой от прихващачите. Съдейки по това, че предоставените в тази статия уязвимости просто лежат на повърхността, продуктът съдържа още много други, които трябва да търсите с няколко часа повече.

На пазара обаче има много примери за грамотна реализация на защита от деактивиране, например местни антивирусни средства, при които самозащита не може да бъде заобиколена просто така. Насколько ми е известно, те не са се колебали да преминат сертификацията на ФСТЕК.

След няколко разговора с служители на Смарт Лайн, бяха открити няколко подобни места, от които те дори не бяха чували. Един от примерите е механизмът АррInitDll.

Нека не е най-дълбокият, но в много случаи позволява да се мине без намеса в ядрото на ОС и без да се влияе на нейната стабилност. Драйверите на nVidia изцяло използват този механизъм за настройка на видеодаптера за конкретна игра.

Предизвиква въпроси напълното отсъствие на комплексен подход при изграждането на автоматизирана система на база DL 8.2. Предлага се да се опишат предимствата на продукта на клиента, да се провери изчислителната мощ на наличните компютри и сървъри (контекстните анализатори са много ресурсоемки и модерните в момента офисни моноблокове и неттопи на база Атом не са подходящи в случая) и просто да се инсталира продукта над него. В същото време термини като „ограничаване на достъпа“, „затворена софтуерна среда“ дори не бяха споменати на семинара. За криптирането бе споменато, че освен сложността, то ще предизвика въпроси от регулаторите, въпреки че всъщност няма никакви проблеми с това. Въпросите за сертификация дори във ФСТЕК се отхвърлят заради предполагаемата им сложност и забавяне. Като специалист по информационна сигурност, който многократно е участвал в подобни процедури, мога да кажа, че в процеса на тяхното провеждане се разкриват множество уязвимости, подобни на описаните в този материал, тъй като специалистите от сертифициращите лаборатории имат сериозно профильно обучение.

В крайна сметка представената DLP-система може да изпълнява доста ограничен набор от функции, свързани с осигуряване на информационна сигурност, генерирайки в същото време сериозна изчислителна натовареност и създавайки у неопитното в въпросите на информационната сигурност ръководство на компанията усещане за защита на корпоративните данни.

На практика тя може да защити само наистина големите данни от непривилегировани потребители, тъй като администраторът спокойно може да деактивира защитата, а за малките тайни дори и младият мениджър по почистването би могъл да се досети, че може незабелязано да снима екрана, или пък да запомни адреса или номера на кредитната карта, надниквайки в екрана през рамото на колега.
Това обаче важи само в случай, че служителите нямат физически достъп до вътрешностите на компютъра или поне до BIOS за активиране на зареждане от външни носители. Тогава дори BitLocker може да не помогне, тъй като вероятно не се прилага в компании, които едва сега обмислят защита на информацията.

Изводът, колкото и банално да звучи, е в комплексния подход към ИБ, който включва не само софтуерни/хардуерни решения, но и организационно-технически мерки за предотвратяване на фото/видеоснимки и недопускане на външни 'момчета с феноменална памет' на обекта. Не трябва по никакъв начин да се разчита на чудо-продукта DL 8.2, рекламиран като едноетапно решение на повечето проблеми със сигурността на предприятието.

Източник: habr.com