I oktober 2017 deltog jeg i et reklameseminar for DLP-systemet DeviceLock, hvor ud over den primære funktionalitet til beskyttelse mod lækager som at lukke USB-porte, kontekstuel analyse af e-mail og udklipsholder, blev der også reklameret for beskyttelse mod administratoren. Modellen er simpel og elegant — en installer kommer til det små firma, installerer softwarepakken, låser BIOS, opretter en administratorbruger til DeviceLock, og overlader kun rettigheder til den lokale administrator til at styre Windows og anden software. Selv med ondsindede hensigter vil denne administrator ikke kunne stjæle noget. Men det er alt sammen teori ...
Da jeg i løbet af mine 20+ år i udviklingen af informationsbeskyttelsesværktøjer tydeligt har set, at administratoren kan gøre alt, især hvis de har fysisk adgang til computeren, så kan den primære beskyttelse mod dem udelukkende være organisatoriske foranstaltninger som streng rapportering og fysisk beskyttelse af computere, der indeholder vigtige oplysninger, voksede tanken straks frem om at teste det foreslåede produkt.
Mit forsøg på straks at gennemføre det efter seminaret mislykkedes. De havde indført beskyttelse mod sletning af hovedtjenesten DlService.exe, og de glemte ikke adgangsrettighederne og valget af den seneste vellykkede konfiguration, hvilket gjorde, at det ikke kunne fjernes, ligesom mange virusser, ved at nægte systemet læse- og eksekveringsadgang.
Til alle spørgsmål om beskyttelse af de medfølgende drivere udtalte repræsentanten fra udviklerfirmaet Smart Line selvsikkert, at "alt er på samme niveau".
Dagen efter besluttede jeg at fortsætte undersøgelserne, jeg downloadede en prøveversion. Jeg blev straks overrasket over størrelsen på distributionspakken, næsten 2 Gb! Jeg er vant til, at systemsoftware, som anses for at være informationsbeskyttelsesmidler (IBP), normalt har en meget mere kompakt størrelse.
Efter installationen blev jeg overrasket for anden gang — størrelsen på den førnævnte exe-fil er også temmelig stor — 13 Mb. Jeg tænkte straks, at der måtte være noget interessant ved så stor en fil. Jeg prøvede at ændre modulet ved hjælp af forsinket skrivning — lukket. Jeg kiggede i programmets mapper, og der var hele 11 drivere! Jeg prøvede at ændre adgangsrettighederne — ikke lukket for ændring! Nå, lad os begrænse alle og genstarte!
Effekten er simpelthen spektakulær - alle funktioner blev deaktiveret, tjenesten startede ikke. Hvad med selvbeskyttelse, tag og kopier hvad du vil, enten til USB nøgler eller over netværket. Den første alvorlige mangel ved systemet dukkede op - for stærk interdependens mellem komponenterne. Ja, tjenesten skal kommunikere med driverne, men hvorfor falde, hvis ingen svarer? I sidste ende er der en metode til at omgå beskyttelsen.
Efter at have indset, hvor sart og følsom denne fantastiske tjeneste er, besluttede jeg at tjekke dens afhængigheder fra tredjepartsbiblioteker. Det var endnu nemmere, listen er lang, vi sletter bare biblioteket WinSock_II tilfældigt og observerer et lignende billede - tjenesten startede ikke, systemet er åbent.
I resultatet har vi det, som oplægsholderen beskrev på seminaret, et kraftigt hegn, men som ikke omkranser hele det beskyttede område på grund af mangel på penge, og i det åbne område er der bare torne. I dette tilfælde, taget i betragtning arkitekturen af softwareproduktet, der ikke antager en lukket standardmiljø, men mange forskellige propper, opsnapper og trafikanalysatorer, er det snarere et stakit, og mange brædder er skruefastgjort udefra, hvilket gør dem meget nemme at skrue løs. Problemet med de fleste lignende løsninger er, at i så stort et antal potentielle huller er der altid en risiko for at glemme noget, anspore en interaktion eller påvirke stabiliteten ved dårlig implementering af en af opsnapperne. Baseret på at de sårbarheder, der præsenteres i denne artikel, simpelthen ligger lige foran, indeholder produktet mange andre, som skal søges i et par timer længere.
Desuden er der mange eksempler på fornuftig implementering af beskyttelse mod deaktivering på markedet, såsom vores egne antivirussystemer, hvor selvbeskyttelse ikke kan omgås så let. Hvis jeg ikke tager fejl, har de ikke været doven med at gennemgå certificering fra FSTEC.
Efter at have haft flere samtaler med medarbejdere fra Smart Line, blev der fundet flere lignende steder, som de endda ikke havde kendskab til. Et eksempel er mekanismen ArrInitDll.
Lad det ikke være det dybeste, men det tillader i mange tilfælde at klare sig uden at trænge ind i OS-kernen og ikke påvirke dens stabilitet. nVidia-drivere bruger i høj grad denne mekanisme til at tilpasse grafikkortet til et bestemt spil.
Det vækker spørgsmål, at der ikke er en helhedsorienteret tilgang til opbygningen af et automatiseret system baseret på DL 8.2. Det foreslås at præsentere for kunden fordelene ved produktet, tjekke den beregningsmæssige kapacitet af de eksisterende PC'er og servere (konkurrenceanalyseværktøjer er ret ressourcekrævende, og de moderne kontormonoblokke og nettoppe baseret på Atom er ikke egnede i dette tilfælde) og blot installere løsningen ovenpå. I den forbindelse blev selv sådanne termer som "adgangsafgrænsning", "lukket softwaremiljø" ikke nævnt på seminaret. Der blev sagt om kryptering, at udover kompleksiteten vil det rejse spørgsmål hos regulatorerne, selvom der i realiteten ikke er nogen problemer med det. Spørgsmål om certificering bliver endda afvist af FSTEK på grund af deres angivelige kompleksitet og forsinkelse. Som specialist inden for informationssikkerhed, der flere gange har deltaget i sådanne procedurer, kan jeg sige, at der i løbet af dem opdages mange sårbarheder, som ligner dem, der er beskrevet i dette materiale, fordi specialisterne i certificeringslaboratorierne har en solid faglig baggrund.
Som resultat kan det præsenterede DLP-system kun udføre et meget begrænset antal funktioner, der reelt sikrer informationssikkerhed, samtidig med at det genererer en betydelig beregningsmæssig belastning og skaber en illusion af sikkerhed for virksomhedens ledelse, der ikke er bekendt med problematikken inden for informationssikkerhed.
Det kan reelt kun beskytte rigtig store data fra uprivilegerede brugere, da administratoren let kan deaktivere beskyttelsen helt, og for små hemmeligheder vil selv en rengøringsmedarbejder sandsynligvis finde på at tage en diskret foto af skærmen eller huske en adresse eller et kreditkorts nummer ved at kigge over skulderen på en kollega.
Og alt dette er kun sandt, hvis de ansatte ikke har fysisk adgang til indmaden af PC'en eller i det mindste til BIOS for at aktivere opstart fra eksterne medier. I så fald kan selv BitLocker ikke hjælpe, hvilket næppe anvendes i virksomheder, som først overvejer informationbeskyttelse.
Som det lyder banalt, indebærer effektiv IT-sikkerhed en omfattende tilgang, der omfatter ikke kun hardware- og softwareløsninger, men også organisatoriske og tekniske foranstaltninger for at forhindre foto- og videooptagelse samt uautoriseret adgang til anlægget af såkaldte 'drenge med en fantastisk hukommelse'. Man kan under ingen omstændigheder stole på det vidunderlige produkt DL 8.2, der reklameres som en alt-i-en løsning på de fleste virksomheders sikkerhedsproblemer.
Kilde: habr.com
