TL;DR Kui teie ettevõtte mobiilseadmetes on vajalik viirusetõrje, siis teete kõike valesti ja viirusetõrje ei aita teid.
See postitus on tulemus intensiivsetest aruteludest selle üle, kas ettevõtte mobiiltelefonidel on viirusetõrjet vaja, millal see töötab ja millal on see kasutu. Artiklis käsitletakse ohumudeleid, mille eest viirusetõrje teoreetiliselt peaks kaitsma.
Viirusetõrjetootjad suudavad sageli veenda ettevõtte kliente, et viirusetõrje suurendab nende turvalisust, kuid enamikul juhtudel on see illusoorne kaitse, mille tõttu väheneb nii kasutajate kui ka administraatorite valvsus.
Õige ettevõtte infrastruktuur
Kui ettevõttes on kümneid või isegi tuhandeid töötajaid, pole iga kasutaja seadme käsitsi seadistamine võimalik. Seade seadistused võivad igapäevaselt muutuda, uusi töötajaid tuleb, nende mobiiltelefonid ja sülearvutid saavad kahjustada või kaovad. Lõpptulemusena seisnes adminnide töö uute seadistuste igapäevases juurutamises töötajate seadmetes.
Töölauaarvutites on seda probleemi juba ammu lahendatud. Windowsi maailmas toimub see tavaliselt Active Directory kaudu, kesksel autentimissüsteemi (Single Sign In) abil jne. Kuid nüüd on kõigil töötajatel arvutite kõrval nutitelefonid, kus toimub suur osa tööprotsessidest ja kus hoitakse olulisi andmeid. Microsoft püüdis liita oma Windows Phone telefonid ühtseks ökosüsteemiks Windowsiga, kuid see idee suri koos Windows Phone'i ametliku surmaga. Seetõttu tuleb ärikeskkonnas igal juhul valida Androidi ja iOSi vahel.
Praegu on ärikeskkonnas töötajate seadmete haldamiseks populaarne UEM (Unified Endpoint Management) kontseptsioon. See on keskne mobiilseadmete ja töölauaarvutite haldussüsteem.
Keskne seadmehaldus (Unified Endpoint Management)
UEM süsteemiadministraator saab seadmete jaoks kehtestada erinevaid poliitikaid. Näiteks lubada kasutajal seadme üle suurem või väiksem kontroll, rakenduste installimine kolmandate osade allikatest jne.
Mida UEM teha saab:
Halda kõiki seade seadeid — administraator võib täielikult keelata kasutajal seade seadete muutmise ja neid kaugjuhtida.
Kontrollida rakendusi seadmes — lubada rakenduste installimise võimalust seadmes ja automaatselt installida rakendusi kasutaja teadmata. Samuti võib administraator keelata või lubada rakenduste installimist rakenduste poest või usaldamatest allikatest (APK-failide puhul Androidis).
Kaugblokeerimine — juhul, kui telefon on kadunud, saab administraator seadme blokeerida või andmeid kustutada. Mõned süsteemid võimaldavad samuti määrata automaatset andmete kustutamist, kui telefon ei ole N tunni jooksul serveriga ühendust saanud, et välistada võimalust offline-häkkerite ettevõtluseks, kus ründajad jõuavad SIM-kaardi välja võtta enne, kui server saadab kustutamisjoone.
Koguda statistikat — jälgida kasutaja aktiivsust, rakenduste kasutamise aega, asukohta, aku taset jne.
Milliseid UEM-e on
On kahe põhimõtteliselt erineva lähenemisega, kuidas keskajalt hallata töötajate nutitelefone: ühes juhul ostab ettevõte töötajatele seadmed ühe tootja poolt ja valib tavaliselt sama tarnija juhtimissüsteemi. Teises juhul kasutavad töötajad oma isiklikke seadmeid töö jaoks, millega kaasneb operatsioonisüsteemide, versioonide ja platvormide looduspark.
BYOD (Bring your own device, Too oma seade) — kontseptsioon, kus töötajad kasutavad tööks oma isiklikke seadmeid ja kontosid. Mõned keskse haldustarkvara süsteemid võimaldavad lisada teise töö konto ja täielikult eraldada andmed isiklike ja tööandmete vahel.
— Apple'i originaalne keskse halduse süsteem. Suudab hallata ainult Apple'i seadmeid, macOS arvuteid ja iOS telefone. Toetab BYOD-d, luuakse teine isoleeritud keskkond koos teise iCloud-i kontoga.
— võimaldab hallata Androidi ja Apple iOS telefone, samuti Windows 10 lauaarvuteid. Teatada BYOD toe olemasolust.
— toetab ainult Samsungi mobiilseadmeid. Sellega saab koheselt kasutada ainult .
Tegelikult on UEM-i pakkujaid palju rohkem, kuid me ei käsitle neid kõiki selles artiklis. Peamine, mida silmas pidada, on see, et sellised süsteemid juba eksisteerivad ja võimaldavad administraatoril konfigureerida kasutaja seadmeid vastavalt olemasolevatele ohtudele.
Ohtude mudel
Enne kaitsetööriistade valimist tuleb aru saada, millest me end kaitseme, mis võib meie konkreetses olukorras kõige hullem olla. Ütlematagi selge: meie keha on kerge tulirelvade ja isegi naeltega kahvli jaoks haavatav, kuid me ju ei pane kuuli kaitsvat vestit selga, kui kodust välja läheme. Seega ei kuulu meie ohtude mudeli hulka oht olla tööl käimise ajal tulistatud, kuigi statistiliselt ei ole see nii uskumatu. Samas teatud tingimustel võib kuuli kaitsevesti kandmine olla täiesti põhjendatud.
Erinevates ettevõtetes on ohumudelid erinevad. Võtame näiteks kulleri nutitelefoni, mis toimetab pakki kliendile. Tema nutitelefonis on ainult kohaletoimetamise aadress ja marsruut kaardil. Kõige kohutavam, mis tema andmetega juhtuda võib, on kohaletoimetamise aadresside lekkimine.
Aga siin on raamatupidaja nutitelefon. Tal on juurdepääs ettevõtte võrgule VPN-i kaudu, on installitud ettevõtte kliendipanga rakendus ja salvestatud dokumendid, mis sisaldavad väärtuslikku teavet. On ilmselge, et nende kahe seadme andmete väärtus erineb oluliselt ning neid tuleks kaitsta üsna erinevalt.
Kas viirusetõrje päästab meid?
Kahjuks kaob turunduslike lööklausete taga tõeline mõte ülesannetest, mida viirusetõrje mobiilseadmes täidab. Proovime üksikasjalikult aru saada, mida viirusetõrje telefonis teeb.
Turvaauditeerimine
Enamik kaasaegseid mobiilseid viirusetõrjeprogramme teostab seadme turvaseadete auditit. Mõnikord nimetatakse sellist auditeerimist „seadme maine kontrolliks“. Viirusetõrjed peavad seadet turvaliseks, kui on täidetud neli tingimust:
- Seade ei ole häkitud (root, jailbreak).
- Seadmest on määratud parool.
- Seadmest ei ole USB tõrkimine lubatud.
- Seadmest ei ole lubatud installida rakendusi mitteusaldusväärsetest allikatest (sideloading).
Kui seadme kontrollimise tulemusel tunnistatakse seade ebaturvaliseks, teavitab viirusetõrje selle omanikku ja pakub välja 'ohtliku' funktsionaalsuse keelamise või tehase seadmise, juhul kui avastatakse root või jailbreak.
Ettevõtete tava kohaselt ei piisa ainult kasutaja teavitamisest. On vajalik eemaldada ebaturvalised konfiguratsioonid. Selleks tuleb UEM-süsteemi abil seadistada mobiilseadmetele turvapoliitikad. Ja root'i/jailbreak'i avastamise korral tuleb kiiresti eemaldada seadme ettevõtteandmed ja blokeerida selle juurdepääs ettevõttevõrku. Seda on samuti võimalik teha UEM abil. Ainult pärast neid protseduure saab mobiilseadet pidada turvaliseks.
Viiruste otsimine ja eemaldamine
Vastupidiselt levinud arvamusele, et iOS-i ei eksisteeri viirusi, ei ole see tõsi. Looduses on ikka veel levinud exploit'id vanade iOS-i versioonide jaoks, mis brauserite haavatavuste ärakasutamise kaudu. Samas, iOS-i arhitektuuri tõttu on selle platvormi jaoks viirusetõrje arendamine võimatu. Peamine põhjus on see, et rakendused ei saa ligipääsu installitud rakenduste nimekirjale ning neil on failidele juurdepääsu osas palju piiranguid. Installitud iOS-rakenduste nimekirja saab kätte ainult UEM, kuid isegi UEM ei saa failidele juurde pääseda.
Androidi puhul on olukord teine. Rakendused saavad teavet seadmes installitud rakenduste kohta. Need saavad isegi ligipääsu nende jaotustele (näiteks Apk Extractor ja tema analoogid). Androidi rakendustel on ka võimalus ligipääsuks failidele (näiteks Total Commander jne). Androidi rakendusi on võimalik dekodeerida.
Selliste võimalustega näib loogiline järgnev viirusetõrje algoritm:
- Rakenduste kontrollimine
- Saada installitud rakenduste nimekiri ja nende jaotuste kontrollsummad (KS).
- Kontrollida rakendusi ja nende KS-e esmalt kohalikus, seejärel globaalses andmebaasis.
- Kui rakendus on tundmatu, edastada selle jaotus globaalsesse andmebaasi analüüsiks ja dekodeerimiseks.
- Failide kontrollimine, viiruslike allkirjade otsimine
- Kontrolli KSu faile kohalikus, seejärel globaalsetes andmebaasides.
- Kontrolli kohalikke ja seejärel globaalseid andmebaase, et leida failides ohtlikku sisu (skripte, ekspluite jne).
- Kui leitakse pahavara, teata kasutajale ja/või blokeeri kasutaja juurdepääs pahavara suhtes ja/või edasta teave UEM-ile. Teabe edastamine UEM-ile on vajalik, kuna viirusetõrje ei saa pahavara seadmest iseseisvalt eemaldada.
Kõige rohkem tekitab muret võimalus edastada rakenduste distribuutoreid seadmega välistesse serveritesse. Ilma selleta ei saa realiseerida antivirusetootjate lubatud „käitumisanalüüsi“, kuna seadmes ei saa rakendust käivitada eraldi „liivakastis“ ega teostada selle dekompileerimist (kui tõhus see ka ei oleks, kui kasutada obfuskeeringut – see on eraldi keeruline teema). Teisest küljest võivad töötajate mobiilseadmetes olla installitud ettevõtte rakendused, mis antiviruselt teadmata, kuna neid ei ole Google Play'is. Nendes mobiilrakendustes võivad olla tundlikud andmed, mille tõttu ei paigaldata neid avalikku poodi. Selliste distribuutorite edastamine antivirusetootjale tundub ebaausa turvalisuse seisukohalt. On mõistlik lisada need eranditesse, kuid ma ei tea seni sellise mehhanismi olemasolust.
Malware, millel ei ole root-õigusi, võib
1. Joonistada rakenduse peale oma nähtamatu akna või integreerida oma klaviatuur, et kopeerida kasutaja sisestatud andmeid – kontoandmed, pangakaardid jne. Viimane näide – haavatavus , mille abil on võimalik asendada avatud rakenduse ekraan ja seeläbi saada juurdepääs kasutaja sisestatud andmetele. Kasutaja jaoks tähendab see võimalust, et Google'i konto varastatakse koos seadme varukoopiate ja pangakaardiandmetega. Organisatsiooni jaoks on see aga oluline, et mitte kaotada oma andmeid. Kui andmed asuvad rakenduse privaatses mälus ja ei ole Google'i varukoopias, siis pahavara ei pääse neile juurde.
2. Andmete saamine avalikes kataloogides – allalaadimised, dokumendid, galerii. Nendes kataloogides ei ole soovitatav hoida ettevõtte jaoks väärtuslikku teavet, kuna igasuguseid rakendusi võib nendele ligi pääseda. Ja kasutaja saab alati jagada konfidentsiaalset dokumenti mis tahes kergesti kättesaadava rakenduse kaudu.
3. Kasutajale reklaamidega tüütamine, bitcoini kaevandamine, osalemine botnetis jne.. See võib negatiivselt mõjutada kasutaja ja/või seadme toimivust, kuid ei kujuta endast ohtu ettevõtte andmetele.
Root-i õigustega pahavara võib teha kõike. Need on haruldased, kuna kaasaegsete Android-seadmete häkkimine rakenduse kaudu on praktiliselt võimatu. Viimane sarnane haavatavus avastati 2016. aastal. See on kuulus Dirty COW, mis sai numbriks . Oluline on see, et kui kahtlustatakse häkkimist, kustutab UEM klient kogu ettevõtte teabe seadmest, seega on ettevõtte maailmas selliste pahavara andmete edukaks varguseks tõenäosus madal.
Pahavaratooted võivad kahjustada nii mobiilseadet kui ka ettevõttesiseseid süsteeme, millele tal on juurdepääs. Vaatame neid stsenaariume lähemalt.
Mobiilseadmele võib kahju tekitada näiteks siis, kui alla laadida pilt, mis avamisel või taustapildina seadme "kiviks" teeb või selle taaskäivitab. Tõenäoliselt kahjustab see seadet või kasutajat, kuid andmete privaatsusele see ei mõju. Kuigi erandeid on.
Hiljuti arutati haavatavust . On väidetud, et selle abil on võimalik pääseda Samsungi mobiilseadmete konsooli, kui see on nakatunud pildi kaudu, mis saadetakse e-posti, messengeri või MMS-i kaudu. Kuigi pääs konsoolile tähendab juurdepääsu ainult avalike kataloogide andmetele, kus konfidentsiaalset teavet ei peaks olema, seab see kasutajate isikuandmete privaatsuse ohtu, mis on kasutajaid hirmutanud. Kuigi tegelikult on seadmete ründamine võimalik ainult MMS-i kaudu. Eduka rünnaku jaoks tuleb saata 75 kuni 450 (!) sõnumit. Viirusetõrje ei aita siin, kuna tal puudub ligipääs sõnumite logile. Selle kaitsmiseks on vaid kaks võimalust. Uuendada operatsioonisüsteemi või blokeerida MMS. Esimese variandi puhul võib kaua oodata ning mitte oodata, kuna seadme tootjad ei väljastada uuendusi kõigile seadmetele. MMS-i vastuvõtmise väljalülitamine on antud juhul palju lihtsam.
Ettevõtete süsteemidele võivad kahju tekitada failid, mis on edastatud mobiilseadmetest. Näiteks mobiilseadmest võib olla nakkusohtlik fail, mis ei saa seadet kahjustada, kuid võib nakatada Windowsi arvuti. Kasutaja saadab sellise faili oma kolleegile e-postiga. Kui too avab selle arvutis, võib see nakatada. Kuid selle rünnakutee ees seisab vähemalt kaks viirusetõrjet – üks e-posti serveris ja teine vastuvõtja arvutis. Kolmanda viirusetõrje lisamine mobiilseadmest tundub küllaltki paranoidne.
Nagu selgelt näha, esindavad ettevõtte digitaalses maailmas suurimat ohtu õiguste vähemustega pahavara. Kust need mobiilseadmest tuleneda võivad?
Kõige sagedamini installitakse neid sideloadingu, adb või kolmandate osapoolte kaupluste kaudu, mis peaksid mobiilseadmetes, mis pääsevad ettevõtte võrku, olema keelatud. Järele jääb kaks võimalust pahavara sisenemiseks – Google Play kaudu või UEM-i kaudu.
Enne Google Play'sse avaldamist läbivad kõik rakendused kohustusliku kontrolli. Kuid rakenduste puhul, millel on vähe installatsioone, toimub kontroll sageli inimeste osaluseta, vaid automaatrežiimis. Seega satub Google Play'sse mõnikord pahavara, kuid ikkagi mitte sageli. Antiviirus, mille andmebaasid uuendatakse õigeaegselt, suudab tuvastada seadmes pahavara sisaldavad rakendused varem kui Google Play Protect, mis jääb antiviirusandmebaaside värskendamise kiirusest maha.
UEM võib mobiilseadmele paigaldada mis tahes rakenduse, sealhulgas pahavara, seega tuleb iga rakendust eelnevalt kontrollida. Rakendusi saab kontrollida nii arendamise käigus staatilise ja dünaamilise analüüsi tööriistade abil kui ka otse enne levitamist spetsialiseeritud "liivakastide" ja/või antiviiruslahenduste abil. Oluline on, et rakendust kontrollitakse ühe korra enne UEM-iga laadimist. Seega ei ole ka sel juhul mobiilseadmes antiviirus vajalik.
Võrgukaitse
Võrgukaitse koostises võib sõltuvalt viirusetõrje tootjast pakkuda ühte või mitut järgmistest funktsioonidest.
URL-filterdamist kasutatakse eesmärgiga:
- Blokeerida liiklust vastavalt ressursside kategooriatele. Näiteks, et keelata uudiste või muu mittetööstusliku sisu vaatamine enne lõunat, kui töötaja on kõige efektiivsem. Praktikas toimib blokkimine sageli mitmete piirangutega – viirusetõrje tootjatel ei õnnestu alati õigel ajal uuendada ressursside kategooriate nimistuid, arvestades paljude "peeglite" olemasolu. Lisaks on anonüümiseerijad ja Opera VPN, millele blokeering sageli ei laiene.
- Kaitse kalapüügi või sihthostide asendamise eest. Selle URL-i jaoks kontrollitakse seadmesse suunatud linkide ja ressursside (sealhulgas võimalike mitme suunamise) kaudu, et need vastaksid viirusetõrje andmebaasile. Samuti kontrollitakse domeeninime, sertifikaati ja IP-aadressi mobiiliseadmest usaldusväärse serveri vastu. Kui klient ja server saavad erinevaid andmeid, võib see viidata kas MITM-le ("mees keset", man-in-the-middle) või liikluse blokeerimisele viirusetõrje, erinevate proxy-de või veebifilterite kaudu, millega mobiilne seade on ühendatud. On keeruline kindlalt öelda, kas keegi on keset sekkumas.
Mobiilse liikluse kaitsmiseks ehitavad antivirused kas VPN-i või kasutavad Accessibility API (rakenduste liidest, mis on mõeldud puuetega inimestele). Samuti ei ole mitme VPN-i samaaegne töö mobiilseadmes võimalik, seega ei saa ettevõtetes VPN-i kaitset, mis loob oma VPN-i, rakendada. Antiviruse VPN ei toimi ettevõtte VPN-iga koos, mida kasutatakse ettevõtte võrku juurdepääsuks.
Antiviruse ligipääs Accessibility API-le toob endaga kaasa teise ohu. Accessibility API-le ligipääs tähendab tegelikult lubamist teha kasutaja eest mida iganes — näha seda, mida kasutaja näeb, teostada toiminguid rakendustes kasutaja asemel jne. Arvestades, et kasutaja peab antibakteriaalsete vahendite juurde sellise ligipääsu selgelt andma, tõenäoliselt keelduvad nad sellest. Või kui nad sunditakse, ostavad endale veel ühe telefoni ilma antiviruse tarkvarata.
Tulemüür
Selle üldise nimetuse all peituvad kolm funktsiooni:
- Võrgukasutuse statistika kogumine rakenduse ja võrgu tüübi (Wi-Fi, mobiilioperaator) lõikes. Enamik Android-seadmete tootjatest pakuvad neid andmeid rakenduses „Seaded“. Selle dubleerimine mobiilse viirusetõrje liideses tundub ülearune. Huvitav võib olla koguinformatsioon kõigilt seadmetelt. Seda koguvad ja analüüsivad edukalt UEM-süsteemid.
- Mobiilse andmehulga piiramine – limiidi seadistamine ja teavitamine selle saavutamisel. Enamik Android-seadmete kasutajatest pääseb nendele funktsioonidele ligi rakenduses „Seaded“. Keskne piirangute seadistamine on UEM-i, mitte viirusetõrje ülesanne.
- Sisuliselt tulemüüri (firewall) funktsioon. Teisisõnu, juurdepääsu blokeerimine teatud IP-aadressidele ja portidele. Arvestades DDNS-i kõigil populaarsetel ressurssidel ja vajadust nende eesmärkide jaoks VPN-i aktiveerimise järele, mis, nagu eespool mainitud, ei saa töötada samaaegselt põhivõrguga, tundub see funktsioon ettevõtte praktikas rakendatav mitte olevat.
Wi-Fi usaldusväärsuse kontroll
Mobiilinvastased viirusetõrjeprogrammid saavad hinnata Wi-Fi võrkude turvalisust, millega mobiilseade ühildub. Võib eeldada, et kontrollitakse krüpteerimise olemasolu ja tugevust. Sellega seonduvalt kasutavad tänapäevased programmid tundlike andmete edastamiseks krüpteerimist. Seetõttu, kui mõni programm on haavatav kanali tasemel, on selle kasutamine ohtlik igasuguste internetikanalite kaudu, mitte ainult avalikus Wi-Fi-võrgus.
Seetõttu ei ole avalik Wi-Fi, sealhulgas ilma krüpteerimiseta, ohtlikum ega vähem turvaline kui muud krüpteerimata usaldusväärsed andmeedastuse kanalid.
Rämpsposti kaitse
Kaitse seisneb enamasti sisse tulevate kõnede filtreerimises, kasutaja määratud nimekirja või tuntud spämmijate nimekirja alusel, kes lõputult tüütavad kindlustuste, laenude ja teatri kutsetega. Kuigi nad ei helista isoleerimise ajal, hakkavad nad peagi jälle. Filtreeritavad on üksnes kõned. Sõnumid kaasaegsetes Android telefonides ei kuulu filtreerimise alla. Arvestades, et spämmijad muudavad pidevalt oma numbreid ja tekstikanalite (SMS, messengeri) kaitse on võimatu, on see funktsionaalsus pigem turunduslik kui praktiline.
Varuvastane kaitse
Kaugtoimingute teostamine mobiilseadmest kaotuse või varguse korral. Alternatiiv teenustele Find My iPhone ja Find My Device vastavalt Apple'i ja Google'i poolt. Erinevalt oma analoogidest ei saa viirusetõrje tootjate teenused pakkuda seadme lukustamist, kui kurjategijal on õnnestunud see taastada tehase seadete juurde. Kuid kui seda pole veel juhtunud, saab seadmest eemalt teha järgmist:
- Lukustada. Kaitse, mis on suunatud tobedale vargale, kuna seadme tehase seadete taastamine recovery kaudu on lihtne.
- Selgitage seadme koordinaate. See on kasulik, kui seade on hiljuti kadunud.
- Käivitage heli, et leida seade, kui see on ülestõstetud režiimis.
- Taasta seade algseadetele. See on mõttekas olukordades, kus kasutaja tunnistab, et seade on pöördumatult kadunud, kuid ei soovi, et sellel salvestatud andmed avalikuks saaksid.
- Tehke foto. Fotografeerige ründajat, kui ta hoiab telefoni käes. See on kõige kahtlasem funktsionaalsus – ründajal on vähe tõenäosus telefoni valgel taustal imetleda. Kuid rakendus, mis võib kaamerat märkamatult juhtida, pilte teha ja neid enda serverisse saata, tekitab põhjendatud muret.
Kaugjuhtimise teostamine on igas UEM süsteemis põhiline. Ainus, mis puudub, on kaugfotograafia. See on kindel viis, et kasutajad võtavad pärast tööpäeva lõppu oma telefonidest akud välja ja asetavad need Faraday kotti.
Mobilsete antiviiruse funktsioonid on saadaval ainult Android-seadmetes. iOS-i seadmetes saab neid toiminguid teostada ainult UEM. iOS-seadmes võib olla ainult üks UEM – see on iOS-i arhitektuuriline eripära.
Järeldused
- Kasutaja olukord, kus ta võib oma telefonile pahavara paigaldada, ei ole lubatud.
- Õigesti seadistatud UEM ettevõtte seadmes välistab vajaduse antiviiruse järele.
- Kui operatsioonisüsteemis kasutatakse 0-päeva haavatavusi, on antiviirus kasutult. See suudab vaid administraatorile näidata, et seade on haavatav.
- Antiviirus ei saa tuvastada, kas haavatavust kasutatakse. Samuti ei saa see välja anda värskendust seadmele, mille tootja ei pakku juba turvalisuse värskendusi. Kõige rohkem – see on aasta, kaks.
- Kui kõrvale jätta regulatiivsete nõudmiste ja turunduse vajadused, on ettevõtete mobiilsed antiviirused vajalikud ainult Android-seadmetes, kus kasutajatele on saadaval Google Play ja võimalus installida rakendusi kolmandatest allikatest. Muudel juhtudel ei ole antiviiruste kasutamise efektiivsus suurem kui platseebo.
Allikas: habr.com
