DLP-süsteem DeviceLock 8.2 — auklik aiapost teie turvalisuse kaitseks

Oktoobris 2017 osalesin DLP-süsteemi DeviceLock reklaamseminaril, kus lisaks peamisele funktsionaalsusele, mis kaitseb lekete eest, näiteks USB-portide sulgemine, e-kirjade ja lõikepasta kontekstianalüüs, reklaamiti ka kaitset administraatori eest. Mudel on lihtne ja kaunis — väikesele ettevõttele tuleb paigaldaja, kes installib tarkvarapaki, seadistab BIOSi parooli, loob DeviceLocki administraatori konto ning jätab kohaliku adminni vaid õigused Windowsi ja muu tarkvara haldamiseks. Isegi tahtliku käitumise korral ei saa see admin midagi varastada. Kuid see jääb kõik teooriaks…

Kuna üle 20 aasta kestnud töö kogemuses infokaitses olen selgelt veendunud, et administraator võib teha kõike, eriti kui tal on füüsiline juurdepääs arvutile, siis võib peamine kaitse tema eest olla ainult organisatsioonilised meetmed, nagu rangem aruandlus ja arvutite füüsiline kaitse, mis sisaldavad olulist teavet. Seetõttu tekkis kohe mõte kontrollida pakutud toote vastupidavust.

Seminari lõpus proovitud lahendused ei toimunud, kaitse DlService.exe peamise teenuse kustutamise vastu oli loodud, samuti ei unustatud õiguste ja viimase edukalt konfigureeritud versiooni valikut, mistõttu ei õnnestunud seda nagu enamik viiruseid kraaniga alla suruda ja keelata süsteemil lugemis- ja täitmisõigust.

Firma-arendaja Smarts Line esindaja kinnitas kindlalt, et tasuta toote draiverite kaitse on kindlasti sama tasemega.

Päev hiljem otsustasin jätkata uurimistööd, laadisin alla prooviversiooni. Esimene asi, mis üllatas, oli paketi suurus – peaaegu 2 GB! Olen harjunud, et süsteemitarkvara, mida mõistetakse andmekaitse vahendite alla, on tavaliselt palju kompaktsem.

Pärast installimist üllatusin teist korda — mainitud exe-faili suurus on samuti arvestatav — 13 MB. Tekkis mõte, et sellise mahuga on millegi külge kinni hoida. Proovisin moodulit vahetada edasi lükatud kirjutamise abil — suletud. Uurisin programmi kataloogis, ja seal oli lausa 11 draiverit! Põhjusin õigusi — need ei olnud muudatuste jaoks suletud! Noh, peame kõigile keelu peale panema, taaskäivitame!

Mõju on lihtsalt maagiline — kõik funktsioonid sulgesid end, teenus ei käivitunud. Mis seal isekaitse, kopeeri ja jaota, mida soovid, kas USB-le või võrku. Ilmus välja esimene tõsine puudus süsteemis — komponentide vahel on liiga tugev seos. Jah, teenus peab draiveritega suhtlema, aga miks see kokku kukkuda, kui keegi ei vasta? Lõppkokkuvõttes on üks meetod kaitse mööda minekuks olemas.

Selgitasin välja, et see imeteenus on nii õrn ja tundlik, otsustasin kontrollida, kui palju see sõltub kolmandate osapoolte teekidest. Siin on veel lihtsam, nimekiri on pikk, kustutame lihtsalt juhuslikult WinSock_II teegi ja jälgime sarnast pilti — teenus ei käivitunud, süsteem on avatud.

Tulemuseks on see, mida seminaril räägiti, nimelt jõuline aed, mis ei piira kogu kaitstud ala rahapuuduse tõttu, ja katmata alal on lihtsalt okkaline piibeleht. Antud juhul, arvestades tarkvaratoote arhitektuuri, mis ei ole vaikeseisundis suletud keskkond, vaid sisaldab mitmeid erinevaid pistikuid, interceptor'eid ja liiklusanalüsaatoreid, on see pigem aedik, kus paljud lauad on väljastpoolt kruvidega kinni ja neid on väga lihtne lahti keerata. Enamiku selliste lahenduste probleem on see, et tohutu hulga potentsiaalsete aukude olemasolu korral on alati võimalus midagi unustada, seoseid tähele panemata jätta või stabiilsust mõjutada, kui mõni intercepter on halvasti ellu viidud. Judging by the vulnerabilities mentioned in this article are simply lying on the surface, the product contains many more that will take a couple of hours to find.

Turul on turul palju näiteid tõhusast kaitse teostamisest kütusekatkestuste vastu, näiteks kodumaised viirusetõrje lahendused, kus enesekaitset ei saa lihtsalt mööda minna. Mida ma tean, ei oldud laisk ja läbiti FSTEK-i sertifitseerimine.

Pärast mitmeid vestlusi SmarLine'i töötajatega leiti mitmeid sarnaseid kohti, millest nad isegi ei teadnud. Üks näide on mehhanism ArrInitDll.

Kuigi see ei ole kõige sügavam, võimaldab see paljude juhtumite korral vältida süvitsi minekut OS-i tuuma ja mitte mõjutada selle stabiilsust. nVidia draiverid kasutavad seda mehhanismi täielikult graafikakaardi kohandamiseks konkreetse mängu jaoks.

Tehes küsimusi, tekitab täielik puuduolu kompleksse lähenemisviisi loomisel automatiseeritud süsteemi alusel DL 8.2. Soovitame tellijale toote eeliseid illustreerida, kontrollida olemasolevate arvutite arvutusvõimet ja serverite (kontekstsede analüsaatorid on väga ressursimahukad ja moes olevad kontorikomplektid ning nettopid Atomil põhinevatesse süsteemidesse ei sobi) ja lihtsalt uue toote peale peale panna. Samuti ei mainitud seminari käigus selliseid termineid nagu "ligipääsu piiramine", "sulgunud tarkvarakeskkond". Krüpteerimise osas öeldi vaid, et lisaks keerukusele tekib see reguleerivate asutuste seas küsimusi, kuigi reaalsuses pole sellega mingeid probleeme. Küsimused sertifitseerimise kohta lükatakse isegi FSTEK-is tagasi nende väidetava keerukuse ja venimise tõttu. Kogemustega IB spetsialisti, kes on korduvalt osalenud sarnastes protsessides, ütlen, et nende protseduuride käigus ilmnevad mitmed haavatavused, nagu on kirjeldatud selles materjalis, kuna sertifitseerimise laborite spetsialistidel on tõsine erialane ettevalmistus.

Kokkuvõttes suudab esitatud DLP-süsteem täita väga piiratud hulga funktsioone, mis tegelikult tagavad teabe turvalisuse, genereerides samal ajal tõsise arvutuskoormuse ja luues kogenematu ettevõtte juhtkonna seas tunde ettevõtte andmete kaitstusest.

Tegelikult suudab see kaitsta ainult suuri andmeid tavakasutaja eest, kuna administraator suudab kaitse täielikult deaktiveerida. Isegi vähem tähtsate saladuste puhul suudab koristustöötaja märkamatult ekraani fotografeerida või meelde jätta aadressi või krediitkaardi numbri, piiludes kaask töötaja õlast.
Kõik see kehtib aga ainult juhul, kui töötajatel ei ole füüsilist juurdepääsu arvuti sisemustele või vähemalt BIOS-ile, et aktiveerida käivitamine välisest kandjast. Siis ei pruugi aidata isegi BitLocker, mida tõenäoliselt ei kasutata ettevõtetes, mis alles mõtlevad info kaitsmisele.

Kokkuvõte, nagu see ka ei kõlaks, on kompleksselt läheneda infoturbele, sealhulgas mitte ainult tark- ja riistvaralistele lahendustele, vaid ka organisatsioonilistele ja tehnilistele meetmetele, et vältida foto-/videosalvestamist ja välistada objektilt 'ebatavalised mälukaelad'. Ei tohi kindlasti loota imeprodukti DL 8.2, mida reklaamitakse kui üheastmelist lahendust enamikele ettevõtte turvalisuse probleemidele.

Allikas: habr.com