2017 októberében részt vettem a DeviceLock DLP rendszerének reklám szemináriumán, ahol az USB-portok lezárásának, az e-mailek kontextuális elemzésének és a vágólap védelmének alapvető funkcionalitása mellett a rendszergazdától származó védelem is reklámozva lett. A modell egyszerű és elegáns – egy telepítő érkezik a kis céghez, telepíti a programcsomagot, lezárja a BIOS-t, létrehozza a DeviceLock adminisztrátori fiókot, míg a helyi adminnak csak a Windows és a további szoftverek kezelésére hagyja a jogokat. Még szándék esetén sem tudna ez az admin semmit ellopni. De ez mind elmélet…
Mivel 20+ év munkám során az információvédelmi eszközök fejlesztésének területén élesben meggyőződtem arról, hogy a rendszergazda mindent megtehet, különösen, ha fizikailag hozzáfér a számítógéphez, ezért a legfőbb védelem ellene kizárólag szervezési intézkedések lehetnek, mint a szigorú elszámoltathatóság és a fontos információkat tartalmazó számítógépek fizikai védelme, azonnal felmerült bennem a gondolat, hogy ellenőrizzem a javasolt termék ellenállását.
A szeminárium után azonnal megpróbáltam a tesztelést, de nem sikerült, a DlService.exe fő szolgáltatásának eltávolítása ellenállt, és még a hozzáférési jogokról és az utolsó sikeres konfiguráció kiválasztásáról sem feledkeztünk el, így nem tudtam leállítani a rendszert, mint a legtöbb vírust, megtiltva a rendszernek az olvasási és végrehajtási hozzáférést.
Minden kérdésre a termékben valószínűleg meglévő meghajtókkal kapcsolatban a fejlesztő cég, a Smart Line képviselője magabiztosan kijelentette, hogy "minden ugyanolyan szinten van."
Másnap úgy döntöttem, hogy folytatom a kutatásomat, letöltöttem a próbaverziót. Azonnal meglepett a csomag mérete, amely majdnem 2 GB! Arra számítottam, hogy az információvédelmi eszközökhöz tartozó rendszerprogramok általában sokkal kompaktabbak.
A telepítés után másodszor is meglepődtem – a fent említett exefájl mérete is meglehetősen nagy – 13 MB. Azonnal eszembe jutott, hogy ekkora méret mellett van miért felfedezni. Megpróbáltam a modult késleltetett felírás útján módosítani – zárva volt. Megnéztem a program mappáit, és ott egyedül 11 meghajtót találtam! Találgattam a jogosultságokat – nem voltak zárva a módosításra! Nos, mindenkinek tilalom, újraindítunk!
A hatás egyszerűen lenyűgöző — az összes funkció leállt, a szolgáltatás nem indult el. Milyen önvédelemről beszélünk, csak vedd és másold, amit akarsz, akár flash meghajtóra, akár hálózaton. Megjelent a rendszer első komoly hiányossága — a komponensek közötti túl erős összefüggés. Igen, a szolgáltatásnak kommunikálnia kell az illesztőprogramokkal, de miért esne le, ha senki sem válaszol? Végül egy módja van a védelem megkerülésének.
Miután kiderítettem, hogy ez a csodás szolgáltatás olyan érzékeny, úgy döntöttem, hogy tesztelem a külső könyvtáraktól való függőségeit. Itt még egyszerűbb, a lista nagy, csak találomra töröljük a WinSock_II könyvtárat, és megfigyeljük az analóg képet — a szolgáltatás nem indult el, a rendszer nyitott.
Ennek eredményeként azt kapjuk, amit az előadó is leírt a szemináriumon, egy hatalmas kerítést, de nem zárja körül az összes védett területet a pénzhiány miatt, míg a nyitott szakaszon csak tövisbokor van. Ebben az esetben, figyelembe véve a szoftverarchitektúrát, amely nem zárt alapértelmezett környezetet tartalmaz, hanem sokféle dugót, lehallgatót, forgalomelemzőt, inkább egy drótkerítés, és sok léce kívülről öncsavarokkal van rögzítve, amelyeket nagyon könnyű lecsavarozni. A hasonló megoldások többségének problémája az, hogy ilyen hatalmas számú potenciális lyukkal mindig van esély arra, hogy valamit elfelejtsünk, figyelmen kívül hagyjunk egy összefüggést, vagy a stabilitásra negatívan hassunk, ha sikertelenül valósítunk meg bármelyik lehallgatót. Az ebben a cikkben említett sebezhetőségek egyszerűen a felszínen hevernek, a termék még sok más sebezhetőséget tartalmaz, amelyek keresése néhány órával tovább tart.
A piacon rengeteg példa található a leállítás elleni védelem ügyes megvalósítására, például hazai antivírus szoftverek, ahol az önvédelem nem kerülhető el. Amennyire tudom, nem sajnálták az energiát a FSTEK tanúsítvány megszerzésére.
Néhány beszélgetést követően a Smart Line alkalmazottaival, számos hasonló helyet találtak, amelyekről még csak nem is hallottak. Az egyik példa az ArrInitDll mechanizmus.
Bár nem a legmélyebb, sok esetben lehetővé teszi, hogy ne kelljen belenyúlni az operációs rendszer kernelébe, és ne befolyásolja annak stabilitását. Az nVidia illesztőprogramok teljes mértékben kihasználják ezt a mechanizmust a videokártya játékra való hangolásához.
Felmerül a kérdés, hogy miért hiányzik a komplex megközelítés az automatizált rendszer kiépítésében a DL 8.2 alapjain. Javasolt, hogy a megrendelőnek bemutassuk a termék előnyeit, ellenőrizzük a meglévő számítógépek számítási teljesítményét és szerverek (a kontextuális elemzők igen erőforrás-igényesek, és a ma divatos irodai all-in-one gépek és Atom alapú nettóposok ebben az esetben nem alkalmasak) és egyszerűen rátenni a terméket. Közben olyan kifejezések, mint a „hozzáférés korlátozása”, „elkülönített programozási környezet”, egyáltalán nem hangzottak el a szemináriumon. Az adatvédelmi titkosítással kapcsolatban azt mondták, hogy a bonyolultsága miatt kérdéseket vet fel a szabályozók részéről, bár valójában ezzel nincs probléma. A tanúsítással kapcsolatos kérdéseket még a FSTEK-en belül is elvetik, mondván, hogy azok állítólag bonyolultak és időigényesek. Mint információbiztonsági szakember, aki többször részt vett hasonló eljárásokban, elmondhatom, hogy az eljárás során számos sebezhetőségre derül fény, hasonlóak azokhoz, amelyeket ebben az anyagban leírtak, mivel a tanúsító laborok szakemberei komoly szakterületre vonatkozó képzésen estek át.
Ennek eredményeként a bemutatott DLP-rendszer nagyon korlátozott funkciókat képes ellátni, amelyek valóban biztosítják az információbiztonságot, miközben komoly számítási terhelést generál, és a cég információbiztonságban járatlan vezetősége számára a vállalati adatok védettségének érzetét kelti.
Valójában csak a nagy adatok védelmezésére képes a nem privilegizált felhasználókkal szemben, mivel az adminisztrátor teljes mértékben deaktiválhatja a védelmet, és a kisebb titkokat akár egy takarító munkatárs is észrevétlenül fényképezheti le a képernyőről, vagy éppen emlékezhet a címre vagy a bankkártya számára, miközben átnéz kollégája válla felett.
Mindez csak abban az esetben igaz, ha nem lehetséges, hogy a dolgozók fizikailag hozzáférjenek a PC belső részeihez, vagy legalább a BIOS-hoz a külső eszközökről való bootolás aktiválásához. Ilyen esetben még a BitLocker sem segíthet, amely valószínűleg nem alkalmazható azoknál a vállalatoknál, akik csak most kezdettek el az információvédelem gondolatával foglalkozni.
A kimenetel, bármennyire banálisnak is hangzik, a komplex információbiztonsági megközelítés része, amely nemcsak szoftveres/hardveres megoldásokat, hanem szervezeti és technikai intézkedéseket is magában foglal a fényképezés/videózás kizárására és idegen "hasonló emlékező fiúkkal" való belépés megakadályozására. Soha nem szabad csodálatos DL 8.2 termékre támaszkodni, amelyet az üzleti biztonság legtöbb problémájának egylépéses megoldásaként reklámoznak.
Forrás: habr.com
