DLP-süsteem DeviceLock 8.2 — auklik puutüvi teie turvalisuse kaitseks

Oktoobris 2017 osalesin DeviceLock DLP-süsteemi reklaamiseminaril, kus lisaks peamisele funktsionaalsusele andmete lekete kaitsmiseks, nagu USB-portide sulgemine, e-posti ja lõikelaua kontekstianalüüs, reklaamiti ka kaitset administraatori eest. Mudel on lihtne ja ilus — väikeettevõttesse tuleb installija, paigaldab tarkvarakomplekti, paroolib BIOSi, loob DeviceLocki administraatori konto ning jätab kohalikule administraatorile ainult õigused Windowsi ja muu tarkvara haldamiseks. Isegi tahtlikult ei saa see administraator midagi varastada. Kuid see on kõik teooria…

Kuna olen üle 20 aasta töötanud teabe kaitse vahendite arendusvaldkonnas ja olen selgelt veendunud, et administraator suudab kõike, eriti füüsilise ligipääsu korral arvutile, siis võivad tema vastu tõhusaks kaitseks olla vaid organisatsioonilised meetmed, nagu range aruandlus ja füüsiline kaitse arvutitele, mis sisaldavad olulist teavet. Seetõttu tekkis mul kohe mõte kontrollida pakutava toote vastupidavust.

Püüe katsetada kohe pärast seminari lõppu ei õnnestunud, koheselt tehti kaitse peamise teenuse DlService.exe eemaldamise vastu ja isegi ligipääsuõigus ning viimane tõhus konfiguratsioon ei unustatud, mistõttu rikkuda seda, nagu enamik viirusi, keelates süsteemile lugemise ja käitamise õigused, ei õnnestunud.

Kõikidele küsimustele toote koosseisus tõenäoliselt olevate draiverite kaitse kohta vastas firma esindaja Smart Line kindlalt, et "kõik on endiselt samal tasemel".

Päev hiljem otsustasin jätkata uurimistööd, laadisin alla prooviversiooni. Tõeliselt üllatas mind, et distributsiooni suurus on peaaegu 2 GB! Olen harjunud, et süsteemitarkvara, mida tavaliselt peetakse teabe kaitse vahenditeks (KV), on tavaliselt palju kompaktses vormis.

Pärast installimist üllatusin teist korda — eespool nimetatud eksekutiivi suurus on samuti üsna suur — 13 MB. Hakkasin kohe mõtlema, et sellise mahtu juures on kindlasti midagi, mille kaudu sekkuda. Proovisin mooduli vahetada tükeldatud kirjutamise abil — kinni. Kaevusin programmi kataloogides ja seal oli lausa 11 draiverit! Proovisin õigusi — need ei olnud muutmiseks suletud! Nojah, kõigile keeld, restardime!

Mõju on lihtsalt hämmastav — kõik funktsioonid on välja lülitatud, teenus ei käivitu. Mis seal isekaitse, võta ja kopeeri, mida tahad kas mälupulkadele või võrgu kaudu. Ilmus esimesel tõsisel süsteemi puudus — komponentide liiga tugev omavaheline seos. Jah, teenus peab suhtlema draiveritega, kuid miks peaks see kokku kukkuma, kui keegi ei vasta? Tulemuseks on üks viis kaitse ümbersõiduks.

Mõistes, et see imeteenus on nii õrn ja tundlik, otsustasin kontrollida selle sõltuvusi kolmandate osapoolte teekidest. Siin on veelgi lihtsam, nimekiri on suur, lihtsalt juhuslikult kustutame teegi WinSock_II ja vaatame sarnast pilti — teenus ei käivitu, süsteem on avatud.

Kokkuvõttes on meil see, mida seminaril esitleja kirjeldas, tugev aed, kuid ei kaitse kogu valvatavat perimeetrit raha puudumise tõttu, vaid kinni jäävale alale on lihtsalt okkaline põõsas. Antud juhul, arvestades tarkvara arhitektuuri, mis eeldab mitte suletud keskkonda vaikimisi, vaid mitmekesiseid korgite, juhtide, liikluse analüsaatorite, on see pigem pigistustoru, kusjuures paljusid plaate on väljastpoolt kruvitud ja neid on väga lihtne lahti keerata. Enamik sarnaste lahenduste probleeme seisneb selles, et sellises tohutus potentsiaalsete aukude arvus on alati tõenäosus midagi unustada, omavaheline seos mööda lasta või põhjustada stabiilsuse rikkumist, ebaõnnestunult rakendades mõnda juhti. Arvestades, et artiklis toodud haavatavused on lihtsalt pinnal, sisaldab toode veel palju teisi, mille leidmine võtab paar tundi kauem.

Turul on palju näiteid mõistlikest katkestuste kaitse rakendustest, näiteks kodumaised viirusetõrjevahendid, kus isekaitse ei ole lihtsalt üle ujutatav. Niipalju kui mina tean, ei ole nad vaeva näinud FSTEK sertifitseerimisega.

Pärast mitmeid vestlusi Smart Line'i töötajatega leiti mitmeid sarnaseid kohti, millest nad isegi kuulnud ei olnud. Üks näide on mehhanism ArrInitDll.

Olgu ta mitte kõige sügavam, kuid paljude juhtumite puhul võimaldab see vältida OS-i tuuma sekkumist ja mitte mõjutada selle stabiilsust. nVidia draiverid kasutavad seda mehhanismi aktiivselt videokaardi kohandamiseks konkreetse mängu jaoks.

Teema, mida esindab automatiseeritud süsteemi ehitamine DL 8.2 baasil, tekitab küsimusi seoses täieliku lähenemise puudumisega. Klientidele pakutakse toote eeliste kirjeldamist, samuti tuleks kontrollida olemasolevate PC-de arvutusvõimet. serverid (konteksti analüsaatorid on üsna ressursimahukad ning moes olevad büroomonoblokid ja Atom baasil olevad nettopid ei sobi antud juhul) ja lihtsalt lisada tooted peale. Samas ei kõlanud seminaril isegi sellised terminid nagu "juurdepääsu piiramine" ja "suletud tarkvarakeskkond". Krüpteerimise osas öeldi, et lisaks keerukusele võivad tekkida regulatiivsed küsimused, kuigi tegelikult ei ole selle osas mingeid probleeme. Küsimused sertifitseerimise kohta lükatakse FSTEKis tagasi nende nii-öelda keerukuse ja venimise tõttu. Klienditeeninduse spetsialistina, kes on korduvalt osalenud sellistes protseduurides, võin öelda, et nende läbiviimise käigus tuvastatakse palju haavatavusi, mis sarnanevad käesolevas materjalis kirjeldatule, kuna sertifitseerimislaborite spetsialistidel on tõsine erialane ettevalmistus.

Kokkuvõttes suudab esitatud DLP-süsteem teostada väga piiratud hulga funktsioone, mis tõeliselt tagavad informatsioonitehnoloogia turvalisuse, samal ajal genereerides tõsist arvutuskoormust ja luues ettevõtte juhtkonnas, kes ei ole analüüsinud IT-turbe küsimusi, vale tunde ettevõtte andmete kaitse osas.

Tõeliselt suudab see kaitsta vaid suuri andmeid tavalise kasutaja eest, kuna administraator suudab kaitse täielikult deaktiveerida ning isegi noorem koristusteenindaja võib märkamata ekraani pildistada, või mälestada krediitkaardi numbrit või aadressi vaadates kolleegi õlast üle.
Ja see kõik kehtib ainult juhul, kui töötajatel ei ole füüsilist juurdepääsu PC-de sisu või vähemalt BIOS-i, et aktiveerida laadimist välistelt andmekandjatelt. Siis ei pruugi isegi BitLocker aidata, mida on ebatõenäoline, et kasutatakse ettevõtetes, kes alles kaaluvad andmete kaitsmise vajadust.

Väljend, kuigi see võib kõlada klišeena, on integreeritud lähenemine teabe turvamisele, mis hõlmab mitte ainult tark- ja riistvaralahendusi, vaid ka organisatsioonilisi ja tehnilisi meetmeid, et välistada fotode/video salvestamine ja vältida võõraste "poiste, kellel on fenomenaalne mälu", sattumist alale. Ei tohiks mingil juhul loota imetootele DL 8.2, mida reklaamitakse kui ühesammulist lahendust enamikule ettevõtte turvaprobleemidele.

Allikas: habr.com