Im Oktober 2017 hatte ich die Gelegenheit, an einem Werbeseminar fĂŒr das DLP-System DeviceLock teilzunehmen. Neben den grundlegenden Funktionen zum Schutz vor Datenlecks, wie dem SchlieĂen von USB-Ports und der kontextuellen Analyse von E-Mails und der Zwischenablage, wurde auch der Schutz vor dem Administrator beworben. Das Konzept ist einfach und ansprechend â ein Techniker kommt in eine kleine Firma, installiert die Software-Suite, sichert das BIOS mit einem Passwort, erstellt ein Administrator-Konto fĂŒr DeviceLock und lĂ€sst dem lokalen Administrator lediglich Rechte zur Verwaltung des Betriebssystems und anderer Software. Selbst bei böswilliger Absicht hĂ€tte dieser Administrator keine Möglichkeit, etwas zu stehlen. Doch das ist alles Theorie...
Da ich in den ĂŒber 20 Jahren meiner TĂ€tigkeit im Bereich der Entwicklung von Informationssicherheitslösungen deutlich festgestellt habe, dass ein Administrator alles tun kann, insbesondere wenn er physischen Zugang zum Computer hat, können die wichtigsten SchutzmaĂnahmen gegen ihn nur organisatorische MaĂnahmen wie strenge Berichterstattung und physische Absicherung der Computer mit wichtigen Informationen sein, kam mir sofort der Gedanke, die StabilitĂ€t des vorgeschlagenen Produkts zu ĂŒberprĂŒfen.
Der Versuch, sofort nach dem Seminar fortzufahren, war nicht erfolgreich. Man hat im Voraus Schutz gegen das Löschen des Hauptdienstes DlService.exe eingerichtet und auch die Zugriffsrechte sowie die Auswahl der zuletzt erfolgreichen Konfiguration nicht vergessen. Daher lieĂ es sich nicht wie bei den meisten Viren umgehen, indem man dem System den Zugriff auf Lesen und AusfĂŒhren verweigert.
Auf alle Fragen zum Schutz der im Produkt enthaltenen Treiber erklĂ€rte der Vertreter des Herstellers Smart Line selbstbewusst, dass âalles auf demselben Niveauâ sei.
Am nĂ€chsten Tag beschloss ich, die Nachforschungen fortzusetzen und lud die Testversion herunter. Sofort war ich von der GröĂe des Distributionspakets ĂŒberrascht, das fast 2 Gb groĂ war! Ich bin daran gewöhnt, dass Systemsoftware, zu der ĂŒblicherweise auch die Sicherheitssoftware (SZA) gehört, normalerweise deutlich kompakter ist.
Nach der Installation war ich zum zweiten Mal ĂŒberrascht â die GröĂe der oben genannten EXE-Datei ist ebenfalls nicht klein â 13 MB. Sofort kam mir in den Sinn, dass es bei diesem Volumen etwas gibt, woran man sich festhalten kann. Ich versuchte, das Modul mit verzögertem Schreiben zu Ă€ndern â gesperrt. Ich durchsuchte die Programmverzeichnisse, und dort fanden sich ganze 11 Treiber! Ich testete die Berechtigungen â nicht fĂŒr Ănderungen gesperrt! Na gut, allen das Verbot auferlegen, wir starten neu!
Der Effekt ist einfach spektakulĂ€r â alle Funktionen wurden deaktiviert, der Dienst startete nicht. Welche Selbstschutzmechanismen, kopiere einfach, was du willst, sei es auf USB-Sticks oder ĂŒber das Netzwerk. Es tauchte das erste ernsthafte Manko des Systems auf â die Komponenten sind zu stark miteinander verbunden. Ja, der Dienst sollte mit den Treibern kommunizieren, aber warum abstĂŒrzen, wenn niemand antwortet? Letztendlich gibt es eine Methode, um den Schutz zu umgehen.
Nachdem ich festgestellt hatte, dass der Wunder-Dienst so empfindlich ist, beschloss ich, seine AbhĂ€ngigkeiten von Drittanbieterbibliotheken zu ĂŒberprĂŒfen. Hier ist es noch einfacher, die Liste ist groĂ, wir löschen einfach zufĂ€llig die WinSock_II-Bibliothek und beobachten ein Ă€hnliches Bild â der Dienst startete nicht, das System ist offen.
Das Ergebnis ist wie von dem Referenten auf dem Seminar geschildert: ein mĂ€chtiger Zaun, der jedoch nicht den gesamten geschĂŒtzten Bereich abgrenzt, aufgrund fehlender finanzieller Mittel, wĂ€hrend ein offenes StĂŒck einfach mit scharfen Dornen versehen ist. In diesem Fall, unter BerĂŒcksichtigung der Architektur des Softwareprodukts, das keine standardmĂ€Ăig geschlossene Umgebung vorsieht, sondern eine Vielzahl von unterschiedlichen Stöpseln, Abfangern und Verkehrsanalyse-Tools, handelt es sich eher um einen Lattenzaun, wobei viele der Latten von auĂen mit Schrauben befestigt sind und sich sehr leicht lösen lassen. Die Probleme der meisten Ă€hnlichen Lösungen liegen darin, dass es bei so vielen potenziellen Löchern immer die Wahrscheinlichkeit gibt, etwas zu vergessen, eine Verbindung zu ĂŒbersehen oder die StabilitĂ€t zu beeintrĂ€chtigen, wenn einer der AbfĂ€nger schlecht implementiert wird. Angesichts der Tatsache, dass die in diesem Artikel aufgefĂŒhrten Schwachstellen einfach offensichtlich sind, enthĂ€lt das Produkt noch viele weitere, bei denen die Suche nach ihnen ein paar Stunden lĂ€nger dauert.
Es gibt viele Beispiele fĂŒr eine kompetente Umsetzung von SchutzmaĂnahmen gegen Abschaltungen auf dem Markt, wie beispielsweise inlĂ€ndische Antivirenprogramme, bei denen eine Selbstschutzfunktion nicht umgangen werden kann. Soweit ich informiert bin, haben sie sich die MĂŒhe gemacht, die Zertifizierung durch die FSTEC zu durchlaufen.
Nach mehreren GesprĂ€chen mit den Mitarbeitern von Smart Line wurden einige Ă€hnliche Orte gefunden, von denen sie nicht einmal gehört hatten. Ein Beispiel dafĂŒr ist der Mechanismus ArrInitDll.
Mag er nicht der tiefste sein, so ermöglicht er doch in vielen FÀllen, dass man auf Eingriffe ins Betriebssystem-Kernel verzichten kann, ohne dessen StabilitÀt zu beeintrÀchtigen. Die nVidia-Treiber nutzen diesen Mechanismus umfassend, um den Grafikadapter an bestimmte Spiele anzupassen.
Fragen wirft das vollstĂ€ndige Fehlen eines ganzheitlichen Ansatzes beim Aufbau eines automatisierten Systems auf Basis von DL 8.2 auf. Es wird vorgeschlagen, dem Kunden die Vorteile des Produkts zu schildern, die Rechenleistung der vorhandenen PCs zu ĂŒberprĂŒfen und Server (Kontextanalysatoren sind sehr ressourcenintensiv und modische BĂŒro-Monoblöcke sowie Nettops auf Atom-Basis sind in diesem Fall nicht geeignet) und einfach das Produkt darĂŒber zu installieren. Dabei wurden Begriffe wie âZugriffskontrolleâ, âgeschlossene Softwareumgebungâ nicht einmal beim Seminar erwĂ€hnt. Zum Thema VerschlĂŒsselung wurde gesagt, dass neben der KomplexitĂ€t dies Fragen der Regulierungsbehörden aufwerfen könnte, obwohl es in der RealitĂ€t keine Probleme damit gibt. Fragen zur Zertifizierung werden sogar beim FSTEK aufgrund ihrer angeblichen KomplexitĂ€t und VerspĂ€tung abgelehnt. Als Spezialist fĂŒr Informationssicherheit, der mehrfach an solchen Verfahren teilgenommen hat, kann ich sagen, dass wĂ€hrend ihres Ablaufs viele Schwachstellen entdeckt werden, Ă€hnlich wie sie in diesem Material beschrieben sind, da die Spezialisten der zertifizierenden Labore eine ernsthafte Fachausbildung haben.
Insgesamt kann das prĂ€sentierte DLP-System nur eine sehr begrenzte Anzahl von Funktionen ausfĂŒhren, die tatsĂ€chlich die Informationssicherheit gewĂ€hrleisten, wĂ€hrend es gleichzeitig eine erhebliche Rechenlast erzeugt und bei unbedarften Unternehmensleitern, die nicht in Fragen der Informationssicherheit bewandert sind, ein GefĂŒhl von Sicherheit fĂŒr die Unternehmensdaten vermittelt.
Ein echter Schutz kann nur fĂŒr wirklich groĂe Datenmengen vor nicht privilegierten Benutzern gewĂ€hrleistet werden, da der Administrator in der Lage ist, den Schutz vollstĂ€ndig zu deaktivieren. Bei weniger sensiblen Informationen kann selbst ein Reinigungskraft schnell lernen, wie man unauffĂ€llig den Bildschirm fotografiert oder eine Adresse oder Kreditkartennummer merkt, indem er ĂŒber die Schulter eines Kollegen schaut.
Dies gilt jedoch nur, wenn die Mitarbeiter keinen physischen Zugriff auf die Innereien des PCs oder zumindest das BIOS haben, um das Booten von externen Medien zu aktivieren. In diesem Fall wird selbst BitLocker kaum helfen, da es in Unternehmen, die erst anfangen, ĂŒber den Schutz von Informationen nachzudenken, wahrscheinlich nicht eingesetzt wird.
Die Schlussfolgerung, so banal sie auch klingen mag, ist ein umfassender Ansatz zur Informationssicherheit, der nicht nur Software-/Hardwarelösungen, sondern auch organisatorisch-technische MaĂnahmen umfasst, um Foto-/Videoaufnahmen zu verhindern und unbefugte âJungs mit phĂ€nomenalem GedĂ€chtnisâ vom Zugang zum Objekt auszuschlieĂen. Man sollte auf das Wunderprodukt DL 8.2, das als All-in-One-Lösung fĂŒr die meisten Sicherheitsprobleme im Unternehmen beworben wird, keineswegs vertrauen.
Quelle: habr.com
