Organisatsiooni sees ringluses oleva kogu teabe kontrollimine on üks peamisi ülesandeid organisatsioonilise ja juhtimisdokumendi (info kaitse poliitika ja muud madalama taseme sisemised dokumendid) praktilisel rakendamisel.
Salajase teabe lekkimise ennetamise süsteemid (Data Leak Prevention, DLP) suudavad suurel määral lahendada seda probleemi.
Tänapäeva turul on piisavalt erinevaid selliseid süsteeme, näiteks: SearchInform DLP, Infowatch Traffic Monitor DLP, Zecurion DLP, Symantec DLP ja teised. Kuid tänases artiklis keskendume OÜ „СёрчИнформ“ tootele.
SearchInformi info kaitse kontuur (КИБ Сёрчинформ) on tõsine ja paindlik programmikompleks, mis oma funktsionaalsuse ja ulatuslike analüütiliste tööriistadega loob tõsise konkurentsi teistele ettevõtetele selles valdkonnas. Kuid nagu kõikidel toodetel, on ka КИБ Сёрчинформil mõned puudused, millest nüüd juttu tuleb.
Joonis 1 – КИБ Сёрчинформ logo
КИБ Сёрчинformis on üheks teabe kogumise allikaks agent (Windows/Linux). Windowsi ja Linuxi OS-i agent has modulaarse teabe kogumise süsteemi, mida saab vajadusel sisse ja välja lülitada. Käsitleme seadmoodulit (kontroll välisseadmete, võrgu seadmete, protsesside jne). Toote demo versiooni saab ametlikult välja jätta arendaja veebisaidilt (täie toimimisega). Edasised toimingud viiakse läbi saadud litsentsivõti abil — programmiversiooni EndPointController 5.51.0.9 (agendi versioon 5.51.0.9).
Käesoleva mooduli peamine probleem on teabe krüpteerimise algoritm välistes eemaldatavatest seadmetest. Vaatleme krüpteerimise algoritmi toimimise põhimõtteid КИБ Сёрчинформis.
Paigaldame agendi tööjaama ja seadistame tööks välisseadmete kontrolli (seadmoodul) EndPointController 5.51.0.9 jaotises „Võrgukeskkond”.
Joonis 2 – Mooduli paigaldamine ja lubamine
Teeme seadistusi krüpteerimise osas seadmooduli seadetes vahekaart 'Krüpteerimine': genereerime võtme ja lubame krüpteerimise kõigi andmekandjate jaoks (võimalik on lubada krüpteerimine ainult teatud teabeside kandjatele).
Joonis 3 – Valge nimekirja seadistamine
Joonis 4 – Krüptimise konfiguratsioon
Jätkame selle tootega failide krüptimise algoritmi analüüsimisega. Kopeerime failid «Install.exe» ja «Õiguse alused.rtf» kontrollitud töökohast «WINOC» välistesse mäluseadmetesse «Removable Disk (E:)». Nagu on näha jooniselt 5, tekkisid peidetud kaustas «System Volume Information» objektid «Install.exe» ja «Õiguse alused.rtf». Seega võib järeldada, et kaust «System Volume Information» sisaldab nimekirja mäluseadmest krüptitud objektidest.
Joonis 5 – kaust «System Volume Information»
Joonis 6 – Välist mäluseadmest info juurkaust
Nagu teada, on informatsiooni turvalisuse kolm aspekti: terviklikkus, kättesaadavus ja konfidentsiaalsus. Need aspektid on antud krüptimise lähenemise tõttu ohustatud, kuna süsteemi teave, kas objekt on krüptitud või mitte, peaks asuma objekti pealkirjas.
Praeguse algoritmi ülesehituse korral on võimalikud juhusliku modifitseerimise/kaotamise variandid kaustas «System Volume Information» mäluseadmest koos edasise krüptitud objektide kaotamisega, samuti objekti enda modifitseerimine kontrollimatutes töötasjades (näiteks: objekti «Install.exe» ümbernimetamine, mille võrgutee on «E:\Install.exe» arvutis, kus agent puudub, samas jääb informatsiooniline fail programmtoote KIB SEARCHINFORM kaustas «System Volume Information» «Install.exe» võrguteega «E:\System Volume Information\Install.exe» muutumatuks, kuna puudub agent, kes muudaks teenuse teavet, ning antud faili avamine muutub võimatuks).
Loodame, et arendaja võtab arvesse antud funktsiooni krüptimise puuduse mäluseadmete info töötlemisel tootest KIB SEARCHINFORM ja muudab selle algoritmi.
Allikas: habr.com
