Im Oktober 2017 hatte ich die Gelegenheit, an einem Werbeseminar für das DLP-System DeviceLock teilzunehmen. Neben den grundlegenden Funktionen zum Schutz vor Datenlecks, wie dem Schließen von USB-Ports und der kontextuellen Analyse von E-Mails und der Zwischenablage, wurde auch der Schutz vor dem Administrator beworben. Das Konzept ist einfach und ansprechend — ein Techniker kommt in eine kleine Firma, installiert die Software-Suite, sichert das BIOS mit einem Passwort, erstellt ein Administrator-Konto für DeviceLock und lässt dem lokalen Administrator lediglich Rechte zur Verwaltung des Betriebssystems und anderer Software. Selbst bei böswilliger Absicht hätte dieser Administrator keine Möglichkeit, etwas zu stehlen. Doch das ist alles Theorie...
Da ich in den über 20 Jahren meiner Tätigkeit im Bereich der Entwicklung von Informationssicherheitslösungen deutlich festgestellt habe, dass ein Administrator alles tun kann, insbesondere wenn er physischen Zugang zum Computer hat, können die wichtigsten Schutzmaßnahmen gegen ihn nur organisatorische Maßnahmen wie strenge Berichterstattung und physische Absicherung der Computer mit wichtigen Informationen sein, kam mir sofort der Gedanke, die Stabilität des vorgeschlagenen Produkts zu überprüfen.
Der Versuch, sofort nach dem Seminar fortzufahren, war nicht erfolgreich. Man hat im Voraus Schutz gegen das Löschen des Hauptdienstes DlService.exe eingerichtet und auch die Zugriffsrechte sowie die Auswahl der zuletzt erfolgreichen Konfiguration nicht vergessen. Daher ließ es sich nicht wie bei den meisten Viren umgehen, indem man dem System den Zugriff auf Lesen und Ausführen verweigert.
Auf alle Fragen zum Schutz der im Produkt enthaltenen Treiber erklärte der Vertreter des Herstellers Smart Line selbstbewusst, dass „alles auf demselben Niveau“ sei.
Am nächsten Tag beschloss ich, die Nachforschungen fortzusetzen und lud die Testversion herunter. Sofort war ich von der Größe des Distributionspakets überrascht, das fast 2 Gb groß war! Ich bin daran gewöhnt, dass Systemsoftware, zu der üblicherweise auch die Sicherheitssoftware (SZA) gehört, normalerweise deutlich kompakter ist.
Nach der Installation war ich zum zweiten Mal überrascht — die Größe der oben genannten EXE-Datei ist ebenfalls nicht klein — 13 MB. Sofort kam mir in den Sinn, dass es bei diesem Volumen etwas gibt, woran man sich festhalten kann. Ich versuchte, das Modul mit verzögertem Schreiben zu ändern — gesperrt. Ich durchsuchte die Programmverzeichnisse, und dort fanden sich ganze 11 Treiber! Ich testete die Berechtigungen — nicht für Änderungen gesperrt! Na gut, allen das Verbot auferlegen, wir starten neu!
Der Effekt ist einfach spektakulär — alle Funktionen wurden deaktiviert, der Dienst startete nicht. Welche Selbstschutzmechanismen, kopiere einfach, was du willst, sei es auf USB-Sticks oder über das Netzwerk. Es tauchte das erste ernsthafte Manko des Systems auf — die Komponenten sind zu stark miteinander verbunden. Ja, der Dienst sollte mit den Treibern kommunizieren, aber warum abstürzen, wenn niemand antwortet? Letztendlich gibt es eine Methode, um den Schutz zu umgehen.
Nachdem ich festgestellt hatte, dass der Wunder-Dienst so empfindlich ist, beschloss ich, seine Abhängigkeiten von Drittanbieterbibliotheken zu überprüfen. Hier ist es noch einfacher, die Liste ist groß, wir löschen einfach zufällig die WinSock_II-Bibliothek und beobachten ein ähnliches Bild — der Dienst startete nicht, das System ist offen.
Das Ergebnis ist wie von dem Referenten auf dem Seminar geschildert: ein mächtiger Zaun, der jedoch nicht den gesamten geschützten Bereich abgrenzt, aufgrund fehlender finanzieller Mittel, während ein offenes Stück einfach mit scharfen Dornen versehen ist. In diesem Fall, unter Berücksichtigung der Architektur des Softwareprodukts, das keine standardmäßig geschlossene Umgebung vorsieht, sondern eine Vielzahl von unterschiedlichen Stöpseln, Abfangern und Verkehrsanalyse-Tools, handelt es sich eher um einen Lattenzaun, wobei viele der Latten von außen mit Schrauben befestigt sind und sich sehr leicht lösen lassen. Die Probleme der meisten ähnlichen Lösungen liegen darin, dass es bei so vielen potenziellen Löchern immer die Wahrscheinlichkeit gibt, etwas zu vergessen, eine Verbindung zu übersehen oder die Stabilität zu beeinträchtigen, wenn einer der Abfänger schlecht implementiert wird. Angesichts der Tatsache, dass die in diesem Artikel aufgeführten Schwachstellen einfach offensichtlich sind, enthält das Produkt noch viele weitere, bei denen die Suche nach ihnen ein paar Stunden länger dauert.
Es gibt viele Beispiele für eine kompetente Umsetzung von Schutzmaßnahmen gegen Abschaltungen auf dem Markt, wie beispielsweise inländische Antivirenprogramme, bei denen eine Selbstschutzfunktion nicht umgangen werden kann. Soweit ich informiert bin, haben sie sich die Mühe gemacht, die Zertifizierung durch die FSTEC zu durchlaufen.
Nach mehreren Gesprächen mit den Mitarbeitern von Smart Line wurden einige ähnliche Orte gefunden, von denen sie nicht einmal gehört hatten. Ein Beispiel dafür ist der Mechanismus ArrInitDll.
Mag er nicht der tiefste sein, so ermöglicht er doch in vielen Fällen, dass man auf Eingriffe ins Betriebssystem-Kernel verzichten kann, ohne dessen Stabilität zu beeinträchtigen. Die nVidia-Treiber nutzen diesen Mechanismus umfassend, um den Grafikadapter an bestimmte Spiele anzupassen.
Fragen wirft das vollständige Fehlen eines ganzheitlichen Ansatzes beim Aufbau eines automatisierten Systems auf Basis von DL 8.2 auf. Es wird vorgeschlagen, dem Kunden die Vorteile des Produkts zu schildern, die Rechenleistung der vorhandenen PCs zu überprüfen und Server (Kontextanalysatoren sind sehr ressourcenintensiv und modische Büro-Monoblöcke sowie Nettops auf Atom-Basis sind in diesem Fall nicht geeignet) und einfach das Produkt darüber zu installieren. Dabei wurden Begriffe wie „Zugriffskontrolle“, „geschlossene Softwareumgebung“ nicht einmal beim Seminar erwähnt. Zum Thema Verschlüsselung wurde gesagt, dass neben der Komplexität dies Fragen der Regulierungsbehörden aufwerfen könnte, obwohl es in der Realität keine Probleme damit gibt. Fragen zur Zertifizierung werden sogar beim FSTEK aufgrund ihrer angeblichen Komplexität und Verspätung abgelehnt. Als Spezialist für Informationssicherheit, der mehrfach an solchen Verfahren teilgenommen hat, kann ich sagen, dass während ihres Ablaufs viele Schwachstellen entdeckt werden, ähnlich wie sie in diesem Material beschrieben sind, da die Spezialisten der zertifizierenden Labore eine ernsthafte Fachausbildung haben.
Insgesamt kann das präsentierte DLP-System nur eine sehr begrenzte Anzahl von Funktionen ausführen, die tatsächlich die Informationssicherheit gewährleisten, während es gleichzeitig eine erhebliche Rechenlast erzeugt und bei unbedarften Unternehmensleitern, die nicht in Fragen der Informationssicherheit bewandert sind, ein Gefühl von Sicherheit für die Unternehmensdaten vermittelt.
Ein echter Schutz kann nur für wirklich große Datenmengen vor nicht privilegierten Benutzern gewährleistet werden, da der Administrator in der Lage ist, den Schutz vollständig zu deaktivieren. Bei weniger sensiblen Informationen kann selbst ein Reinigungskraft schnell lernen, wie man unauffällig den Bildschirm fotografiert oder eine Adresse oder Kreditkartennummer merkt, indem er über die Schulter eines Kollegen schaut.
Dies gilt jedoch nur, wenn die Mitarbeiter keinen physischen Zugriff auf die Innereien des PCs oder zumindest das BIOS haben, um das Booten von externen Medien zu aktivieren. In diesem Fall wird selbst BitLocker kaum helfen, da es in Unternehmen, die erst anfangen, über den Schutz von Informationen nachzudenken, wahrscheinlich nicht eingesetzt wird.
Die Schlussfolgerung, so banal sie auch klingen mag, ist ein umfassender Ansatz zur Informationssicherheit, der nicht nur Software-/Hardwarelösungen, sondern auch organisatorisch-technische Maßnahmen umfasst, um Foto-/Videoaufnahmen zu verhindern und unbefugte „Jungs mit phänomenalem Gedächtnis“ vom Zugang zum Objekt auszuschließen. Man sollte auf das Wunderprodukt DL 8.2, das als All-in-One-Lösung für die meisten Sicherheitsprobleme im Unternehmen beworben wird, keineswegs vertrauen.
Quelle: habr.com
