TL; DR kui teie ettevõtte mobiilseadmed nõuavad viirusetõrjet, siis teete kõik valesti ja viirusetõrje teid ei aita.
See postitus on tuline arutelu selle üle, kas ettevõtte mobiiltelefonis on viirusetõrjet vaja, millistel juhtudel see töötab ja millistel juhtudel on see kasutu. Artiklis vaadeldakse ohumudeleid, mille eest teoreetiliselt peaks viirusetõrje kaitsma.
Viirusetõrjemüüjad suudavad sageli ärikliente veenda, et viirusetõrje parandab oluliselt nende turvalisust, kuid enamasti on see illusoorne kaitse, mis ainult vähendab nii kasutajate kui ka administraatorite valvsust.
Õige ettevõtte infrastruktuur
Kui ettevõttes on kümneid või isegi tuhandeid töötajaid, on võimatu iga kasutaja seadet käsitsi konfigureerida. Seaded võivad muutuda iga päev, uued töötajad tulevad sisse, nende mobiiltelefonid ja sülearvutid lähevad katki või lähevad kaduma. Selle tulemusena seisneks kogu administraatorite töö uute seadete igapäevases juurutamises töötajate seadmetesse.
Seda probleemi hakati lauaarvutites lahendama juba ammu. Windowsi maailmas toimub selline haldamine tavaliselt Active Directory, tsentraliseeritud autentimissüsteemide (Single Sign In) jne abil. Nüüd on aga kõikidel töötajatel arvutisse lisatud nutitelefonid, millel toimub oluline osa tööprotsessidest ja hoitakse olulisi andmeid. Microsoft üritas integreerida oma Windowsi telefone Windowsiga ühte ökosüsteemi, kuid see idee suri Windows Phone'i ametliku surmaga. Seetõttu tuleb ettevõtte keskkonnas igal juhul valida Androidi ja iOS-i vahel.
Nüüd on ettevõtte keskkonnas töötajate seadmete haldamisel moes kontseptsioon UEM (Unified Endpoint Management). See on tsentraliseeritud haldussüsteem mobiilseadmetele ja lauaarvutitele.
Kasutajaseadmete tsentraliseeritud haldus (ühendatud lõpp-punktide haldus)
UEM-i süsteemiadministraator saab määrata kasutajaseadmetele erinevaid reegleid. Näiteks kasutajale seadme üle suurema või väiksema kontrolli võimaldamine, rakenduste installimine kolmandate osapoolte allikatest jne.
Mida UEM saab teha:
Hallake kõiki seadeid — administraator saab täielikult keelata kasutajal seadme seadete muutmise ja neid eemalt muuta.
Juhtimistarkvara seadmes — võimaldab installida seadmesse programme ja installida programme automaatselt ilma kasutaja teadmata. Samuti saab administraator blokeerida või lubada programmide installimist rakenduste poest või ebausaldusväärsetest allikatest (Androidi puhul APK-failidest).
Kaugblokeerimine — telefoni kadumise korral saab administraator seadme blokeerida või andmed kustutada. Mõned süsteemid võimaldavad määrata ka automaatse andmete kustutamise, kui telefon pole serveriga ühendust võtnud üle N tunni, et välistada võrguühenduseta häkkimiskatsete võimalus, kui ründajatel õnnestus SIM-kaart eemaldada enne, kui serverist andmete kustutamise käsk saadeti. .
Koguge statistikat — jälgida kasutaja tegevust, rakenduse kasutusaega, asukohta, aku taset jne.
Mis on UEM-id?
Töötajate nutitelefonide tsentraliseeritud haldamisel on kaks põhimõtteliselt erinevat lähenemist: ühel juhul ostab ettevõte ühe tootja seadmeid töötajatele ja tavaliselt valib juhtimissüsteemi sama tarnija. Teisel juhul kasutavad töötajad tööks oma isiklikke seadmeid ja siit algab operatsioonisüsteemide, versioonide ja platvormide loomaaed.
BYOD (Too oma seade) on kontseptsioon, mille puhul töötajad kasutavad töötamiseks oma isiklikke seadmeid ja kontosid. Mõned tsentraliseeritud haldussüsteemid võimaldavad teil lisada teise töökonto ja eraldada oma andmed täielikult isiklikeks ja tööteks.
- Apple'i tsentraliseeritud haldussüsteem. Saab hallata ainult Apple'i seadmeid, macOS-iga arvuteid ja iOS-telefone. Toetab BYOD-i, luues teise isoleeritud keskkonna erineva iCloudi kontoga.
— võimaldab hallata telefone Androidis ja Apple iOS-is ning lauaarvuteid operatsioonisüsteemis Windows 10. BYOD tugi on deklareeritud.
- Toetab ainult Samsungi mobiilseadmeid. Sel juhul saate kohe kasutada ainult .
Tegelikult on UEM-i pakkujaid palju rohkem, kuid me ei analüüsi neid kõiki selles artiklis. Peamine asi, mida meeles pidada, on see, et sellised süsteemid on juba olemas ja võimaldavad administraatoril konfigureerida kasutaja seadmeid olemasoleva ohumudeliga adekvaatselt.
Ohu mudel
Enne kaitsevahendite valimist peame mõistma, mille eest me end kaitseme, mis võib meie konkreetsel juhul juhtuda halvimat. Suhteliselt öeldes: meie keha on kergesti haavatav kuuli ja isegi kahvli ja naela suhtes, kuid me ei pane kodust lahkudes selga kuulivesti. Seetõttu ei sisalda meie ohumudel ohtu sattuda teel tööle, kuigi statistiliselt pole see nii ebatõenäoline. Pealegi on teatud tingimustel kuulivesti kandmine igati õigustatud.
Ohumudelid on ettevõtteti erinevad. Võtame näiteks kulleri nutitelefoni, kes on teel kliendile pakki toimetama. Tema nutitelefon sisaldab ainult praeguse tarne aadressi ja marsruuti kaardil. Halvim, mis tema andmetega juhtuda võib, on pakkide kättetoimetamise aadresside lekkimine.
Ja siin on raamatupidaja nutitelefon. Tal on VPN-i kaudu juurdepääs ettevõtte võrgule, ta on installinud ettevõtte kliendi-panga rakenduse ja talletab väärtuslikku teavet sisaldavaid dokumente. Ilmselgelt erineb nende kahe seadme andmete väärtus oluliselt ja neid tuleks kaitsta erinevalt.
Kas viirusetõrje päästab meid?
Kahjuks kaob turundusloosungite taga viirusetõrje mobiilseadmes sooritatavate ülesannete tegelik tähendus. Proovime üksikasjalikult mõista, mida viirusetõrje telefonis teeb.
Turvaaudit
Enamik kaasaegseid mobiiliviirusetõrjeid kontrollivad seadme turvaseadeid. Seda auditit nimetatakse mõnikord "seadme mainekontrolliks". Viirusetõrjed peavad seadet ohutuks, kui on täidetud neli tingimust:
- Seade pole häkitud (root, jailbreak).
- Seadmel on konfigureeritud parool.
- USB-silumine pole seadmes lubatud.
- Ebausaldusväärsetest allikatest pärit rakenduste installimine (külglaadimine) pole seadmesse lubatud.
Kui skannimise tulemusena leitakse, et seade on ebaturvaline, teavitab viirusetõrje omanikku ja pakub juur- või jailbreak'i märke korral "ohtliku" funktsiooni keelamist või tehase püsivara tagastamist.
Ettevõtte tava kohaselt ei piisa ainult kasutaja teavitamisest. Ebaturvalised konfiguratsioonid tuleb kõrvaldada. Selleks peate konfigureerima UEM-süsteemi kasutavates mobiilseadmetes turvapoliitikad. Ja kui tuvastatakse juur- / jailbreak, peate kiiresti eemaldama seadmest ettevõtte andmed ja blokeerima selle juurdepääsu ettevõtte võrgule. Ja see on võimalik ka UEM-iga. Ja alles pärast neid protseduure saab mobiilseadet ohutuks pidada.
Otsige ja eemaldage viirused
Vastupidiselt levinud arvamusele, et iOS-i jaoks pole viirusi, pole see tõsi. IOS-i vanemate versioonide jaoks on looduses endiselt levinud ärakasutamine brauseri turvaaukude ärakasutamise kaudu. Samal ajal on iOS-i arhitektuuri tõttu selle platvormi jaoks viirusetõrjete arendamine võimatu. Peamine põhjus on see, et rakendused ei pääse juurde installitud rakenduste loendile ja neil on failidele juurdepääsul palju piiranguid. Ainult UEM saab installitud iOS-i rakenduste loendi, kuid isegi UEM ei pääse failidele juurde.
Androidiga on olukord erinev. Rakendused saavad teavet seadmesse installitud rakenduste kohta. Neil on isegi juurdepääs oma distributsioonidele (näiteks Apk Extractor ja selle analoogid). Androidi rakendustel on ka võimalus failidele juurde pääseda (näiteks Total Commander jne). Androidi rakendusi saab dekompileerida.
Selliste võimaluste korral näeb järgmine viirusetõrje algoritm loogiline:
- Rakenduse kontroll
- Hankige installitud rakenduste loend ja nende distributsioonide kontrollsummad (CS).
- Kontrollige rakendusi ja nende CS-i esmalt kohalikus ja seejärel globaalses andmebaasis.
- Kui rakendus pole teada, kandke selle levitamine analüüsiks ja dekompileerimiseks globaalsesse andmebaasi.
- Failide kontrollimine, viirusesignatuuride otsimine
- Kontrollige CS-faile kohalikus ja seejärel globaalses andmebaasis.
- Kontrollige faile ebaturvalise sisu (skriptide, ärakasutamise jne) suhtes, kasutades kohalikku ja seejärel globaalset andmebaasi.
- Pahavara tuvastamisel teavitage kasutajat ja/või blokeerige kasutaja juurdepääs pahavarale ja/või edastage teave UEM-ile. Teabe edastamine UEM-ile on vajalik, kuna viirusetõrje ei suuda iseseisvalt seadmest pahavara eemaldada.
Suurim murekoht on tarkvara distributsioonide ülekandmise võimalus seadmest välisserverisse. Ilma selleta on viirusetõrjetootjate väidetud "käitumisanalüüsi" rakendamine võimatu, kuna Seadmes ei saa rakendust eraldi “liivakastis” käivitada ega dekompileerida (kui tõhus see hägustamise kasutamisel on, on omaette keeruline küsimus). Teisest küljest võidakse ettevõtte rakendusi installida töötajate mobiilseadmetesse, mis on viirusetõrjele tundmatud, kuna need pole Google Plays. Need mobiilirakendused võivad sisaldada tundlikke andmeid, mille tõttu neid rakendusi avalikus poes ei kuvata. Selliste distributsioonide ülekandmine viirusetõrjetootjale tundub turvalisuse seisukohast ebakorrektne. On mõttekas lisada need erandite hulka, kuid ma ei tea veel sellise mehhanismi olemasolust.
Rootõigusteta pahavara võib
1. Joonistage rakenduse peale oma nähtamatu aken või rakendada oma klaviatuuri kasutaja sisestatud andmete – konto parameetrid, pangakaardid jne – kopeerimiseks. Hiljutine näide on haavatavus. , mille abil on võimalik asendada rakenduse aktiivne ekraan ja seeläbi pääseda ligi kasutaja sisestatud andmetele. Kasutaja jaoks tähendab see Google'i konto varguse võimalust koos juurdepääsuga seadme varukoopiale ja pangakaardi andmetele. Organisatsiooni jaoks on omakorda oluline mitte kaotada oma andmeid. Kui andmed on rakenduse privaatmälus ja ei sisaldu Google'i varukoopias, ei pääse pahavara neile juurde.
2. Juurdepääs andmetele avalikes kataloogides - allalaaditavad failid, dokumendid, galerii. Nendesse kataloogidesse ei ole soovitatav salvestada ettevõtte väärtuslikku teavet, kuna neile pääseb juurde mis tahes rakendus. Ja kasutaja ise saab alati mis tahes saadaoleva rakenduse abil konfidentsiaalset dokumenti jagada.
3. Tüüta kasutajat reklaamiga, kaevanda bitcoine, ole osa botnetist jne.. Sellel võib olla negatiivne mõju kasutaja ja/või seadme jõudlusele, kuid see ei ohusta ettevõtte andmeid.
Juurõigustega pahavara võib potentsiaalselt teha kõike. Need on haruldased, kuna tänapäevaste Android-seadmete häkkimine rakenduse abil on peaaegu võimatu. Viimati avastati selline haavatavus 2016. aastal. See on sensatsiooniline Dirty COW, millele anti number . Siin on võtmetähtsusega see, et kui klient tuvastab UEM-i kompromissi märke, kustutab klient seadmest kogu ettevõtte teabe, seega on ettevõttes sellist pahavara kasutades eduka andmevarguse tõenäosus väike.
Pahatahtlikud failid võivad kahjustada nii mobiilseadet kui ka ettevõtte süsteeme, millele sellel on juurdepääs. Vaatame neid stsenaariume üksikasjalikumalt.
Mobiilseadet võib kahjustada näiteks see, kui laadite sellele alla pildi, mis avamisel või taustapildi paigaldamisel muudab seadme "telliskiviks" või taaskäivitab selle. See kahjustab tõenäoliselt seadet või kasutajat, kuid ei mõjuta andmete privaatsust. Kuigi on ka erandeid.
Hiljuti arutati haavatavust . Väideti, et seda saab kasutada e-posti, kiirsõnumi või MMS-i teel saadetud nakatunud pildi abil Samsungi mobiilseadmete konsoolile juurdepääsu saamiseks. Kuigi konsoolijuurdepääs tähendab juurdepääsu ainult avalike kataloogide andmetele, kus tundlikku teavet ei tohiks olla, on kasutajate isikuandmete privaatsus ohus ja see on kasutajad hirmutanud. Kuigi tegelikult on seadmeid võimalik rünnata ainult MMS-i abil. Ja edukaks rünnakuks peate saatma 75 kuni 450 (!) sõnumit. Viirusetõrje siin kahjuks ei aita, sest tal pole juurdepääsu sõnumite logile. Selle eest kaitsmiseks on ainult kaks võimalust. Värskendage OS-i või blokeerige MMS. Esimest võimalust võid kaua oodata ja mitte oodata, sest... Seadmetootjad ei anna värskendusi välja kõikidele seadmetele. MMS-i vastuvõtmise keelamine on sel juhul palju lihtsam.
Mobiilseadmetest edastatud failid võivad ettevõtte süsteeme kahjustada. Näiteks mobiilseadmes on nakatunud fail, mis ei saa seadet kahjustada, kuid võib nakatada Windowsi arvutit. Kasutaja saadab sellise faili e-posti teel oma kolleegile. Ta avab selle arvutis ja võib selle seeläbi nakatada. Kuid vähemalt kaks viirusetõrjet takistavad seda ründevektorit – üks meiliserveris ja teine adressaadi arvutis. Kolmanda viirusetõrje lisamine sellele ahelale mobiilseadmes tundub lausa paranoiline.
Nagu näete, on ettevõtte digitaalmaailma suurimaks ohuks juurõigusteta pahavara. Kust need mobiilseadmest pärit võivad olla?
Enamasti installitakse need külglaadimise, adb või kolmanda osapoole poodide abil, mis tuleks ettevõtte võrgule juurdepääsuga mobiilseadmetes keelata. Pahavara saabumiseks on kaks võimalust: Google Playst või UEM-ist.
Enne Google Plays avaldamist läbivad kõik rakendused kohustusliku kinnitamise. Kuid väikese arvu installidega rakenduste puhul tehakse kontrolle enamasti ilma inimese sekkumiseta, ainult automaatrežiimis. Seetõttu satub pahavara mõnikord Google Playsse, kuid siiski mitte sageli. Viirusetõrje, mille andmebaase uuendatakse õigeaegselt, suudab tuvastada seadmes olevad pahavaraga rakendused enne Google Play Protecti, mis jääb viirusetõrje andmebaaside uuendamise kiiruses siiski maha.
UEM suudab mobiilseadmesse installida mis tahes rakendusi, sh. pahavara, nii et kõik rakendused tuleb kõigepealt skannida. Rakendusi saab kontrollida nii nende arendamise ajal staatiliste ja dünaamiliste analüüsivahendite abil kui ka vahetult enne levitamist spetsiaalsete liivakastide ja/või viirusetõrjelahenduste abil. On oluline, et rakendus kontrollitaks üks kord enne UEM-i üleslaadimist. Seetõttu pole sel juhul mobiilseadme viirusetõrjet vaja.
Võrgukaitse
Sõltuvalt viirusetõrje tootjast võib teie võrgukaitse pakkuda ühte või mitut järgmistest funktsioonidest.
URL-i filtreerimist kasutatakse selleks, et:
- Liikluse blokeerimine ressursikategooriate järgi. Näiteks keelata uudiste või muu ettevõttevälise sisu vaatamine enne lõunat, kui töötaja on kõige tõhusam. Praktikas töötab blokeerimine enamasti paljude piirangutega - viirusetõrjetootjatel ei õnnestu alati ressursikategooriate katalooge õigeaegselt värskendada, võttes arvesse paljude "peeglite" olemasolu. Lisaks on olemas anonüümisaatorid ja Opera VPN, mida enamasti ei blokeerita.
- Kaitse sihthostide andmepüügi või võltsimise eest. Selleks kontrollitakse esmalt seadme poolt ligipääsetavaid URL-e viirusetõrje andmebaasiga. Linke ja ressursse, kuhu need viivad (sh võimalikud mitmed ümbersuunamised), kontrollitakse teadaolevate andmepüügisaitide andmebaasiga. Mobiilseadme ja usaldusväärse serveri vahel kontrollitakse ka domeeninime, sertifikaati ja IP-aadressi. Kui klient ja server saavad erinevaid andmeid, siis on see kas MITM (“mees keskel”) või liikluse blokeerimine sama viirusetõrje või mitmesuguste puhverserverite ja veebifiltrite abil võrgus, millega mobiilseade on ühendatud. Raske on kindlalt väita, et keskel on keegi.
Mobiililiiklusele juurdepääsu saamiseks loob viirusetõrje VPN-i või kasutab ligipääsetavuse API (puuetega inimestele mõeldud rakenduste API) võimalusi. Mitme VPN-i samaaegne töötamine mobiilseadmes on võimatu, seega pole võrgukaitse oma VPN-i loovate viirusetõrjete eest ettevõttemaailmas rakendatav. Viirusetõrje VPN lihtsalt ei tööta koos ettevõtte VPN-iga, mida kasutatakse ettevõtte võrgule juurdepääsuks.
Viirusetõrjele juurdepääsu andmine Accessibility API-le kujutab endast veel üht ohtu. Ligipääs Accessibility API-le tähendab sisuliselt luba teha kasutaja eest kõike – vaadata, mida kasutaja näeb, teha kasutaja asemel rakendustega toiminguid jne. Arvestades, et kasutaja peab viirusetõrjele sellise juurdepääsu selgesõnaliselt andma, keeldub ta seda suure tõenäosusega tegemast. Või sunniviisiliselt ostab ta endale teise ilma viirusetõrjeta telefoni.
Tulemüür
Selle üldnime all on kolm funktsiooni:
- Võrgukasutuse statistika kogumine, jagatud rakenduse ja võrgutüübi järgi (Wi-Fi, mobiilsideoperaator). Enamik Android-seadmete tootjaid esitab selle teabe rakenduses Seaded. Selle dubleerimine mobiili viirusetõrje liideses tundub üleliigne. Huvi võib pakkuda koondteave kõigi seadmete kohta. Seda koguvad ja analüüsivad edukalt UEM-süsteemid.
- Mobiililiikluse piiramine – limiidi seadmine, selle saavutamisest teavitamine. Enamiku Android-seadmete kasutajate jaoks on need funktsioonid saadaval rakenduses Seaded. Piirangute tsentraliseeritud seadmine on UEM, mitte viirusetõrje ülesanne.
- Tegelikult tulemüür. Ehk teisisõnu juurdepääsu blokeerimine teatud IP-aadressidele ja portidele. Võttes arvesse kõigi populaarsete ressursside DDNS-i ja vajadust lubada nendel eesmärkidel VPN, mis, nagu ülalpool kirjutatud, ei saa töötada koos peamise VPN-iga, tundub see funktsioon ettevõtte praktikas rakendamatu.
Wi-Fi volikirja kontroll
Mobiiliviirusetõrjeprogrammid saavad hinnata Wi-Fi-võrkude turvalisust, millega mobiilseade ühendub. Võib eeldada, et krüptimise olemasolu ja tugevust kontrollitakse. Samal ajal kasutavad kõik kaasaegsed programmid tundlike andmete edastamiseks krüptimist. Seega, kui mõni programm on lingi tasemel haavatav, on ohtlik seda kasutada ka mis tahes Interneti-kanalite kaudu, mitte ainult avaliku WiFi kaudu.
Seetõttu pole avalik WiFi, sealhulgas ilma krüptimata, ohtlikum ega vähem turvaline kui mis tahes muud ebausaldusväärsed andmeedastuskanalid ilma krüptimata.
Rämpspostikaitse
Kaitse taandub reeglina sissetulevate kõnede filtreerimisele vastavalt kasutaja määratud nimekirjale või teadaolevate rämpspostitajate andmebaasile, kes lõpmatult kindlustuse, laenude ja teatrikutsetega tülitavad. Kuigi nad ei helista isolatsiooni ajal, alustavad nad peagi uuesti. Filtreeritakse ainult kõnesid. Praeguste Android-seadmete sõnumeid ei filtreerita. Arvestades rämpspostitajate regulaarset numbrimuutust ja tekstikanalite (SMS, kiirsõnumite) kaitsmise võimatust, on funktsionaalsus pigem turunduslik kui praktiline.
Vargusvastane kaitse
Kaugtoimingute tegemine mobiilseadmega, kui see on kadunud või varastatud. Alternatiiv vastavalt Apple'i ja Google'i teenustele Find My iPhone ja Find My Device. Erinevalt nende analoogidest ei saa viirusetõrjetootjate teenused seadet blokeerida, kui ründajal on õnnestunud see tehaseseadetele lähtestada. Kui aga seda pole veel juhtunud, saate seadmega eemalt teha järgmist.
- Blokeeri. Kaitse lihtsameelse varga eest, sest seda saab hõlpsasti teha taastamise teel seadme tehaseseadetele lähtestamisega.
- Uurige seadme koordinaadid. Kasulik, kui seade on hiljuti kadunud.
- Kui seade on vaikses režiimis, lülitage sisse vali piiks, mis aitab teil oma seadet leida.
- Lähtestage seade tehaseseadetele. See on mõttekas, kui kasutaja on tuvastanud, et seade on pöördumatult kadunud, kuid ei soovi, et sellele salvestatud andmed avalikustataks.
- Foto tegemiseks. Tehke ründajast foto, kui ta hoiab telefoni käes. Kõige küsitavam funktsionaalsus on see, et tõenäosus, et ründaja heas valguses telefoni imetleb, on väike. Kuid rakenduse olemasolu seadmes, mis suudab vaikselt juhtida nutitelefoni kaamerat, teha fotosid ja saata neid oma serverisse, tekitab põhjendatud muret.
Kaugkäskude täitmine on igas UEM-süsteemis põhiline. Ainus, mis neist puudu on, on kaugfotograafia. See on kindel viis panna kasutajad pärast tööpäeva lõppu telefonist akud välja võtma ja Faraday kotti panema.
Mobiilsete viirusetõrjeprogrammide vargusvastased funktsioonid on saadaval ainult Androidi jaoks. iOS-i puhul saab selliseid toiminguid teha ainult UEM. iOS-i seadmes saab olla ainult üks UEM – see on iOS-i arhitektuuriline funktsioon.
Järeldused
- Olukord, kus kasutaja saab telefoni installida pahavara, EI OLE VÕETA.
- Korralikult konfigureeritud UEM ettevõtte seadmes välistab vajaduse viirusetõrje järele.
- Kui operatsioonisüsteemi 0-päevaseid turvaauke kasutatakse ära, on viirusetõrje kasutu. See võib ainult administraatorile näidata, et seade on haavatav.
- Viirusetõrje ei saa kindlaks teha, kas haavatavust kasutatakse ära. Nagu ka värskenduse väljaandmine seadmele, millele tootja enam turvavärskendusi välja ei anna. Kõige rohkem on see aasta või kaks.
- Kui ignoreerida regulaatorite ja turunduse nõudeid, on ettevõtete mobiiliviirusetõrjeid vaja ainult Android-seadmetes, kus kasutajatel on juurdepääs Google Playle ja programmide installimine kolmandate osapoolte allikatest. Muudel juhtudel ei ole viirusetõrjete kasutamise efektiivsus suurem kui platseebo.
Allikas: www.habr.com