Im Oktober 2017 hatte ich die Gelegenheit, an einem Werbeseminar fĂŒr die DLP-Systeme von DeviceLock teilzunehmen, bei dem neben dem HauptfunktionalitĂ€ten zum Schutz vor Datenlecks wie das Sperren von USB-Ports, kontextuellem E-Mail- und Clipboard-Analyse auch der Schutz vor Administratoren beworben wurde. Das Modell ist einfach und elegant â ein Installateur kommt in eine kleine Firma, installiert das Softwarepaket, prĂ€gt das BIOS, erstellt ein Administrator-Konto fĂŒr DeviceLock und lĂ€sst dem lokalen Administrator nur die Rechte zur Verwaltung von Windows und anderer Software. Selbst im Falle einer Absicht kann dieser Administrator nichts stehlen. Aber das ist alles Theorie...
Da ich in ĂŒber 20 Jahren TĂ€tigkeit im Bereich der Entwicklung von Informationsschutzmitteln deutlich festgestellt habe, dass ein Administrator alles tun kann, insbesondere wenn er physischen Zugang zu einem Computer hat, sind die einzigen wirksamen SchutzmaĂnahmen gegen ihn organisatorischer Natur, wie strenge Berichterstattung und physische Sicherheit der Computer, die wichtige Informationen enthalten, weshalb sofort der Gedanke kam, die WiderstandsfĂ€higkeit des angebotenen Produkts zu ĂŒberprĂŒfen.
Ein Versuch, dies sofort nach dem Seminar zu tun, schlug fehl, da der Schutz gegen die Löschung des Hauptdienstes DlService.exe direkt implementiert wurde und sogar die Zugriffsrechte und die Auswahl der letzten erfolgreichen Konfiguration nicht vergessen wurden. Infolgedessen war es nicht möglich, sie wie die meisten Viren zu entfernen, indem man dem System den Lese- und AusfĂŒhrungszugriff verweigert.
Auf alle Fragen zum Schutz der wahrscheinlich im Produkt enthaltenen Treiber erklĂ€rte der Vertreter der Entwicklerfirma Smart Line selbstbewusst, dass âalles auf demselben Niveau seiâ.
Einen Tag spĂ€ter beschloss ich, meine Nachforschungen fortzusetzen, und lud die Testversion herunter. Sofort fĂ€llte mich die GröĂe des Installationspakets von fast 2 GB in Erstaunen! Ich war es gewohnt, dass Systemsoftware, die man als Informationsschutzmittel (IZS) betrachtet, normalerweise viel kompakter ist.
Nach der Installation war ich zum zweiten Mal erstaunt â die GröĂe der erwĂ€hnten exe-Datei ist ebenfalls betrĂ€chtlich â 13 MB. Ich dachte sofort, dass es bei diesem Volumen einiges zu entdecken gĂ€be. Ich versuchte, das Modul mit Hilfe einer verzögerten Aufzeichnung zu ersetzen â geschlossen. Ich durchsuchte die Programmverzeichnisse und fand dort gleich 11 Treiber! Ich schaute mir die Berechtigungen an â die sind nicht zum Ăndern gesperrt! Nun gut, allen den Zugang verweigern, wir starten neu!
Der Effekt ist einfach spektakulĂ€r â alle Funktionen sind deaktiviert, der Dienst ist nicht gestartet. Welche Selbstschutzmechanismen? Nimm und kopiere, was du willst, auf USB-Sticks oder ĂŒber das Netzwerk. Der erste ernsthafte Mangel des Systems ist aufgetaucht â die Komponenten sind zu stark miteinander verknĂŒpft. Ja, der Dienst muss mit den Treibern kommunizieren, aber warum sollte er abstĂŒrzen, wenn niemand antwortet? Letztendlich gibt es nur eine Methode, den Schutz zu umgehen.
Nachdem ich herausgefunden hatte, dass der Wunder-Dienst so zart und empfindlich ist, beschloss ich, seine AbhĂ€ngigkeiten von Drittanbieter-Bibliotheken zu ĂŒberprĂŒfen. Hier ist es noch einfacher, die Liste ist lange, wir löschen einfach willkĂŒrlich die Bibliothek WinSock_II und beobachten das gleiche Bild â der Dienst ist nicht gestartet, das System ist offen.
Infolgedessen haben wir genau das, was der Referent im Seminar beschrieben hat: ein mĂ€chtiger Zaun, der jedoch nicht den gesamten geschĂŒtzten Bereich abdeckt, aufgrund von Geldmangel. An der ungeschĂŒtzten Stelle steht einfach nur ein Stacheldraht. In diesem Fall, unter BerĂŒcksichtigung der Architektur des Softwareprodukts, das eine nicht standardmĂ€Ăig geschlossene Umgebung und eine Vielzahl verschiedener Stopfen, AbfĂ€nger und Datenverkehrsanalysewerkzeuge vorsieht, ist es eher ein Lattenzaun, und viele der Latten sind von auĂen mit Schrauben befestigt und können sehr leicht abgeschraubt werden. Die Probleme der meisten Ă€hnlichen Lösungen bestehen darin, dass es bei so vielen potenziellen Schwachstellen immer die Möglichkeit gibt, etwas zu vergessen, eine Verbindung zu ĂŒbersehen oder die StabilitĂ€t zu beeintrĂ€chtigen, wenn einer der AbfĂ€nger nicht gut implementiert ist. Angesichts der Tatsache, dass die in diesem Artikel aufgefĂŒhrten Schwachstellen einfach offenliegen, enthĂ€lt das Produkt noch viele andere, deren Suche ein paar Stunden lĂ€nger dauern muss.
Zudem gibt es auf dem Markt viele Beispiele fĂŒr eine ordnungsgemĂ€Ăe Implementierung des Schutzes vor Deaktivierung, wie beispielsweise inlĂ€ndische Antivirenmittel, bei denen der Selbstschutz nicht einfach umgangen werden kann. Soweit ich weiĂ, haben sie sich nicht gescheut, die Zertifizierung durch das FSB zu durchlaufen.
Nach mehreren GesprÀchen mit den Mitarbeitern von Smart Line wurden einige Àhnliche Orte gefunden, von denen sie noch nicht einmal gehört hatten. Eines der Beispiele ist der Mechanismus ArrInitDll.
Zwar ist er nicht der tiefste, aber in vielen FÀllen ermöglicht er, ohne Eingriffe in den Kern des Betriebssystems auszukommen und dessen StabilitÀt nicht zu beeintrÀchtigen. Die nVidia-Treiber nutzen diesen Mechanismus umfassend, um den Grafikadapter an ein bestimmtes Spiel anzupassen.
Es wirft Fragen auf, dass ein umfassender Ansatz zur Implementierung eines automatisierten Systems auf der Basis von DL 8.2 vollstĂ€ndig fehlt. Es wird vorgeschlagen, dem Auftraggeber die Vorteile des Produkts zu schildern, die Rechenleistung der vorhandenen PCs zu ĂŒberprĂŒfen und Server (kontextuelle Analysatoren sind sehr ressourcenintensiv und moderne BĂŒro-Monoblöcke sowie Nettops auf Basis von Atom sind in diesem Fall unbrauchbar) und einfach das Produkt oben drauf zu installieren. Dabei wurden Begriffe wie âZugriffskontrolleâ, âgeschlossene Programmierumgebungâ nicht einmal beim Seminar erwĂ€hnt. Zum Thema VerschlĂŒsselung wurde gesagt, dass sie neben der KomplexitĂ€t regulatorische Fragen aufwerfen könnte, obwohl in Wirklichkeit keine Probleme damit bestehen. Fragen zur Zertifizierung werden selbst im FSTEC aufgrund ihrer angeblichen KomplexitĂ€t und Langwierigkeit abgelehnt. Als Fachmann fĂŒr IB, der mehrfach an solchen Verfahren teilgenommen hat, kann ich sagen, dass dabei viele Schwachstellen, Ă€hnlich denen, die in diesem Material beschrieben sind, aufgedeckt werden, da die Fachleute der zertifizierenden Labore eine fundierte Ausbildung haben.
Insgesamt kann das prĂ€sentierte DLP-System nur eine sehr begrenzte FunktionalitĂ€t im Bereich Informationssicherheit bereitstellen und erzeugt dabei eine erhebliche Rechenlast, wodurch bei der unerfahrenen UnternehmensfĂŒhrung der Eindruck von Sicherheit der Unternehmensdaten entsteht.
TatsĂ€chlich kann es nur groĂe Datenmengen vor unprivilegierten Benutzern schĂŒtzen, da der Administrator die Abwehr leicht vollstĂ€ndig deaktivieren kann. FĂŒr nicht umfangreiche Geheimnisse kann selbst der Hausmeister unbemerkt einen Screenshot machen oder sich eine Adresse oder eine Kreditkartennummer merken, indem er ĂŒber die Schulter eines Kollegen auf den Bildschirm schaut.
All dies gilt nur, wenn es den Mitarbeitern unmöglich ist, physischen Zugang zu den Innereien des PCs oder zumindest zum BIOS zu erhalten, um das Booten von externen TrĂ€gern zu aktivieren. Dann kann selbst BitLocker nicht helfen, das in Firmen, die erst darĂŒber nachdenken, Informationen zu schĂŒtzen, wahrscheinlich nicht verwendet wird.
Die Schlussfolgerung, so banal sie auch klingen mag, liegt in einem ganzheitlichen Ansatz zur Informationssicherheit, der nicht nur software- und hardwarebasierte Lösungen, sondern auch organisatorische und technische MaĂnahmen umfasst, um Fotografie und Videos aufzunehmen zu verhindern und den Zugang von unbefugten Personen mit 'phĂ€nomenalem GedĂ€chtnis' zum Objekt zu vermeiden. Man sollte keinesfalls auf das Wundermittel DL 8.2 vertrauen, das als unkomplizierte Lösung fĂŒr die meisten Sicherheitsprobleme des Unternehmens beworben wird.
Quelle: habr.com
