DeviceLock 8.2 DLP система - спукан предпазител за защита на вашата безопасност

През октомври 2017 г. имах възможността да присъствам на промоционален семинар за системата DeviceLock DLP, където в допълнение към основната функционалност на защита срещу течове като затваряне на USB портове, контекстуален анализ на пощата и клипборда, беше защита от администратора рекламиран. Моделът е прост и красив - инсталатор идва в малка компания, инсталира набор от програми, задава парола за BIOS, създава администраторски акаунт на DeviceLock и оставя само правата за управление на самия Windows и останалия софтуер на местния администратор Дори и да има умисъл, този админ няма да може да открадне нищо. Но всичко това е теория...

защото над 20+ години работа в областта на разработването на инструменти за информационна сигурност, бях ясно убеден, че администраторът може да направи всичко, особено с физически достъп до компютър, тогава основната защита срещу него могат да бъдат само организационни мерки като стриктно отчитане и физическа защита на компютри, съдържащи важна информация, след това веднага Възникна идеята да се тества издръжливостта на предложения продукт.

Опитът да се направи това веднага след края на семинара беше неуспешен, беше направена защита срещу изтриване на основната услуга DlService.exe и дори не забравиха правата за достъп и избора на последната успешна конфигурация, в резултат на което те го повалиха, както повечето вируси, отказаха достъп на системата за четене и изпълнение, Не се получи.

На всички въпроси относно защитата на драйверите, вероятно включени в продукта, представителят на разработчика на Smart Line уверено заяви, че „всичко е на същото ниво“.

Ден по-късно реших да продължа проучването си и изтеглих пробната версия. Веднага бях изненадан от размера на дистрибуцията, почти 2 GB! Свикнал съм с факта, че системният софтуер, който обикновено се класифицира като инструменти за информационна сигурност (ISIS), обикновено има много по-компактен размер.

След инсталацията бях изненадан за втори път - размерът на гореспоменатия изпълним файл също е доста голям - 2MB. Веднага си помислих, че при такъв обем има за какво да се хвана. Опитах се да заменя модула с отложен запис - беше затворен. Разрових се в каталозите на програмата и вече имаше 13 драйвера! Потърсих разрешенията - не са затворени за промени! Добре, всички са забранени, нека претоварваме!

Ефектът е просто очарователен - всички функции са деактивирани, услугата не стартира. Каква самозащита има, вземи и копирай каквото искаш, дори на флашки, дори през мрежата. Очертава се първият сериозен недостатък на системата - прекалено силна взаимосвързаност на компонентите. Да, услугата трябва да комуникира с драйверите, но защо да се срива, ако никой не реагира? В резултат на това има един метод за заобикаляне на защитата.

След като разбрах, че услугата чудо е толкова деликатна и чувствителна, реших да проверя нейните зависимости от библиотеки на трети страни. Тук е още по-просто, списъкът е голям, просто изтриваме произволно библиотеката WinSock_II и виждаме подобна картина - услугата не е стартирана, системата е отворена.

В резултат на това имаме същото, което говорителят описа на семинара, мощна ограда, но не ограждаща целия защитен периметър поради липса на пари, а в непокритата зона има просто бодливи шипки. В този случай, като се има предвид архитектурата на софтуерния продукт, който не предполага затворена среда по подразбиране, а разнообразие от различни щепсели, прихващачи, анализатори на трафика, това е по-скоро ограда с много от лентите, завинтени отвън със самонарезни винтове и много лесни за развиване. Проблемът с повечето от тези решения е, че при такъв огромен брой потенциални дупки винаги има възможност да забравите нещо, да пропуснете връзка или да повлияете на стабилността чрез неуспешно прилагане на един от прехващачите. Съдейки по факта, че уязвимостите, представени в тази статия, са просто на повърхността, продуктът съдържа много други, чието търсене ще отнеме няколко часа повече.

Освен това пазарът е пълен с примери за компетентно внедряване на защита при изключване, например домашни антивирусни продукти, където самозащитата не може просто да бъде заобиколена. Доколкото знам, те не са били твърде мързеливи, за да преминат сертифициране на FSTEC.

След провеждане на няколко разговора със служители на Smart Line бяха открити няколко подобни места, за които те дори не бяха чували. Един пример е механизмът AppInitDll.

Може да не е най-дълбокият, но в много случаи ви позволява да правите, без да влизате в ядрото на операционната система и да не засягате неговата стабилност. Драйверите на nVidia използват напълно този механизъм, за да настроят видео адаптера за конкретна игра.

Пълната липса на интегриран подход за изграждане на автоматизирана система, базирана на DL 8.2, поражда въпроси. Предлага се да се опишат на клиента предимствата на продукта, да се провери изчислителната мощност на съществуващите компютри и сървъри (контекстните анализатори са много ресурсоемки и сега модерните офис компютри "всичко в едно" и базирани на Atom неттопи не са подходящи в този случай) и просто разточете продукта отгоре. В същото време термини като „контрол на достъпа“ и „затворена софтуерна среда“ дори не бяха споменати на семинара. За криптирането беше казано, че в допълнение към сложността ще предизвика въпроси от регулаторите, въпреки че в действителност няма проблеми с него. Въпросите относно сертифицирането, дори във FSTEC, се отхвърлят поради предполагаемата им сложност и дълготрайност. Като специалист по информационна сигурност, който многократно е участвал в подобни процедури, мога да кажа, че в процеса на тяхното провеждане се разкриват много уязвимости, подобни на описаните в този материал, т.к. специалистите на сертификационните лаборатории имат сериозна специализирана подготовка.

В резултат на това представената DLP система може да изпълнява много малък набор от функции, които действително осигуряват информационна сигурност, като същевременно генерира сериозно изчислително натоварване и създава усещане за сигурност на корпоративните данни сред ръководството на компанията, което няма опит в областта на информационната сигурност.

Той може наистина да защити наистина големи данни от непривилегирован потребител, защото... администраторът е доста способен напълно да деактивира защитата, а за големи тайни дори младши мениджър по почистване ще може дискретно да направи снимка на екрана или дори да запомни адреса или номера на кредитната карта, като погледне екрана над колегата рамо.
Освен това всичко това е вярно само ако е невъзможно служителите да имат физически достъп до вътрешността на компютъра или поне до BIOS, за да активират зареждане от външен носител. Тогава дори BitLocker, който е малко вероятно да се използва в компании, които просто мислят за защита на информацията, може да не помогне.

Изводът, колкото и банално да звучи, е интегриран подход към информационната сигурност, включващ не само софтуерни/хардуерни решения, но и организационни и технически мерки за изключване на фото/видео заснемане и недопускане на неоторизирани „момчета с феноменална памет“ сайта. Никога не трябва да разчитате на чудотворния продукт DL 8.2, който се рекламира като едноетапно решение за повечето проблеми със сигурността на предприятието.

Източник: www.habr.com