TL;DR Se sui dispositivi mobili aziendali è necessario un antivirus, significa che stai facendo tutto sbagliato e l'antivirus non ti aiuterà.
Questo post è il risultato di accese discussioni su se sia necessario avere un antivirus sul telefono aziendale, in quali casi funzioni e in quali sia inutile. L'articolo analizza i modelli di minaccia che teoricamente dovrebbero essere protetti dall'antivirus.
I venditori di antivirus riescono spesso a convincere i clienti aziendali che l'antivirus aumenterà notevolmente la loro sicurezza, ma nella maggior parte dei casi è una protezione illusoria, che riduce solo la vigilanza sia degli utenti che degli amministratori.
Un'infrastruttura aziendale corretta
Quando in un'azienda ci sono decine o addirittura migliaia di dipendenti, non è possibile configurare manualmente ogni dispositivo utente. Le impostazioni possono cambiare ogni giorno, arrivano nuovi dipendenti, i loro telefoni cellulari e computer portatili si rompono o vengono smarriti. Di conseguenza, il lavoro degli amministratori consistirebbe principalmente nel disporre quotidianamente nuove configurazioni sui dispositivi degli utenti.
Su computer desktop, questo problema è stato affrontato da tempo. Nel mondo Windows, di solito, tale gestione avviene tramite Active Directory, sistemi di autenticazione centralizzati (Single Sign In), ecc. Ma ora tutti i dipendenti hanno anche smartphone, sui quali avviene una parte significativa dei processi lavorativi e vengono memorizzati dati importanti. Microsoft ha tentato di integrare i suoi telefoni Windows Phone in un'unica ecosistema con Windows, ma questa idea è morta insieme alla morte ufficiale di Windows Phone. Pertanto, nell'ambiente aziendale, si deve comunque scegliere tra Android e iOS.
Attualmente nell'ambiente aziendale, per la gestione dei dispositivi dei dipendenti, è di moda il concetto di UEM (Unified Endpoint Management). Si tratta di un sistema di gestione centralizzata per dispositivi mobili e computer desktop.
Gestione centralizzata dei dispositivi utente (Unified Endpoint Management)
L'amministratore del sistema UEM può impostare diverse politiche per i dispositivi degli utenti. Ad esempio, può consentire all'utente un maggiore o minore controllo sul dispositivo, sull'installazione di applicazioni da fonti esterne, ecc.
Cosa può fare UEM:
Gestire tutte le impostazioni — l'amministratore può completamente vietare all'utente di modificare le impostazioni sul dispositivo e modificarle da remoto.
Controllare il software sul dispositivo — consentire l'installazione di programmi sul dispositivo e installare automaticamente programmi senza la conoscenza dell'utente. Inoltre, l'amministratore può vietare o consentire l'installazione di programmi dallo store di applicazioni o da fonti non fidate (da file APK nel caso di Android).
Blocco remoto — nel caso in cui il telefono venga smarrito, l'amministratore può bloccare il dispositivo o cancellarne i dati. Alcuni sistemi consentono anche di impostare l'eliminazione automatica dei dati se il telefono non si è connesso al server per più di N ore, per escludere la possibilità di tentativi di hacking offline, quando un aggressore riesce a estrarre la SIM prima che dal server venga inviato il comando di cancellazione dei dati.
Raccogliere statistiche — monitorare l'attività dell'utente, il tempo di utilizzo delle applicazioni, la posizione, il livello di carica della batteria, ecc.
Tipi di UEM
Ci sono due approcci fondamentalmente diversi per la gestione centralizzata degli smartphone dei dipendenti: in un caso, l'azienda acquista dispositivi di un unico produttore per i dipendenti e di solito sceglie un sistema di gestione dallo stesso fornitore. Nell'altro caso, i dipendenti utilizzano i propri dispositivi personali per lavorare, e qui inizia un vero e proprio zoo di sistemi operativi, versioni e piattaforme.
BYOD (Bring your own device) — è un concetto in cui i dipendenti utilizzano i propri dispositivi personali e account per lavorare. Alcuni sistemi di gestione centralizzata consentono di aggiungere un secondo account di lavoro e di separare completamente i dati tra personali e lavorativi.
— è il sistema nativo di gestione centralizzata di Apple. Può gestire solo dispositivi Apple, computer con macOS e telefoni su iOS. Supporta il BYOD, creando un secondo ambiente isolato con un altro account iCloud.
— consente di gestire telefoni Android e Apple iOS, oltre ai desktop con Windows 10. Viene dichiarato il supporto per il BYOD.
— supporta solo dispositivi mobili Samsung. Tuttavia, si può usare immediatamente solo .
In realtà ci sono molti più fornitori di UEM, ma non li analizzeremo tutti in questo articolo. L'importante da tenere a mente è che sistemi di questo tipo già esistono e consentono all'amministratore di configurare i dispositivi degli utenti in modo adeguato al modello di minaccia attuale.
Modello di minacce
Prima di scegliere gli strumenti di protezione, è fondamentale comprendere cosa stiamo proteggendo e quale potrebbe essere l'evento più grave nel nostro caso specifico. In altre parole: il nostro corpo è vulnerabile a un proiettile e persino a una forchetta con un chiodo, ma non indossiamo un giubbotto antiproiettile quando usciamo di casa. Pertanto, nella nostra valutazione delle minacce, non includiamo il rischio di essere colpiti mentre ci rechiamo al lavoro, anche se statisticamente non è così improbabile. Tuttavia, sotto certe condizioni, indossare un giubbotto antiproiettile può essere giustificato.
Nei diversi aziende, i modelli di minaccia variano. Prendiamo, ad esempio, lo smartphone di un corriere che sta consegnando un pacco al cliente. Sul suo smartphone ci sono solo l'indirizzo della consegna attuale e il percorso sulla mappa. Il rischio più grave che potrebbe correre i suoi dati è la fuga degli indirizzi di consegna dei pacchi.
Ora consideriamo lo smartphone di un contabile. Ha accesso alla rete aziendale tramite VPN, ha installata l'app del cliente bancario aziendale e conserva documenti con informazioni preziose. È evidente che il valore dei dati su questi due dispositivi è notevolmente diverso, e pertanto devono essere protetti in modo differente.
Un antivirus ci salverà?
Purtroppo, dietro agli slogan di marketing si cela il vero significato delle funzionalità che un antivirus svolge su un dispositivo mobile. Proviamo ad analizzare in dettaglio cosa fa un antivirus su un telefono.
Audit della sicurezza
La maggior parte degli antivirus mobili moderni svolge un audit delle impostazioni di sicurezza del dispositivo. A volte questo audit è indicato come "verifica della reputazione del dispositivo". Gli antivirus considerano un dispositivo sicuro se soddisfa quattro condizioni:
- Il dispositivo non è stato compromesso (root, jailbreak).
- È impostata una password sul dispositivo.
- Non è abilitata la modalità di debug USB sul dispositivo.
- Non è consentita l'installazione di applicazioni da fonti non attendibili (sideloading).
Se durante il check il dispositivo risulta non sicuro, l'antivirus notificherà il proprietario e offrirà di disattivare le funzionalità "pericolose" o di ripristinare le impostazioni di fabbrica in caso di segni di root o jailbreak.
Secondo le prassi aziendali, non è sufficiente informare l'utente. È necessario escludere configurazioni non sicure. A tal fine, mediante un sistema UEM, devono essere impostate politiche di sicurezza sui dispositivi mobili. E nel caso venga rilevato un root/jailbreak, è fondamentale rimuovere tempestivamente i dati aziendali dal dispositivo e bloccarne l'accesso alla rete aziendale. Anche questo è possibile grazie a UEM. Solo dopo queste procedure, il dispositivo mobile può essere considerato sicuro.
Ricerca e rimozione di virus
Contrariamente alla credenza popolare che non esistano virus per iOS, ciò è falso. In natura, esistono ancora exploit per versioni obsolete di iOS, che sfruttando vulnerabilità nel browser. Tuttavia, a causa dell'architettura di iOS, sviluppo di antivirus per questa piattaforma non è possibile. La ragione principale è che le applicazioni non possono accedere all'elenco delle applicazioni installate e hanno molte restrizioni nell'accesso ai file. Solo UEM può ottenere l'elenco delle applicazioni installate su iOS, ma neanche UEM può accedere ai file.
Con Android la situazione è diversa. Le applicazioni possono ottenere informazioni sulle applicazioni installate sul dispositivo. Possono anche accedere ai loro pacchetti di installazione (ad esempio, Apk Extractor e i suoi simili). Le applicazioni Android possono anche avere accesso ai file (ad esempio, Total Commander e altri). È possibile decompilare le applicazioni Android.
Con tali capacità, si presenta un algoritmo antivirus logico:
- Verifica delle applicazioni
- Ottenere l'elenco delle applicazioni installate e le relative somme di controllo (MD5).
- Verificare le applicazioni e le loro somme di controllo prima nella base dati locale e poi in quella globale.
- Se l'applicazione è sconosciuta, inviare il suo pacchetto per analisi e decompilazione alla base dati globale.
- Verifica dei file, ricerca delle firme virali
- Controllare le somme di controllo dei file nella base dati locale, poi in quella globale.
- Controllare la presenza di contenuti non sicuri (script, exploit, ecc.) nei file, prima nella base locale e poi in quella globale.
- Se viene rilevato malware, informare l'utente e/o bloccare l'accesso dell'utente al malware e/o inviare informazioni a UEM. È necessario fornire informazioni a UEM perché l'antivirus non può rimuovere autonomamente il malware dal dispositivo.
Le maggiori preoccupazioni riguardano la possibilità di trasferire distribuzioni software dal dispositivo a un server esterno. Senza questo non è possibile realizzare l'"analisi comportamentale" dichiarata dai produttori di antivirus, poiché non è possibile eseguire un'applicazione in una "sandbox" separata o procedere alla sua decompilazione (quanto sia efficace l'obfuscation è una questione complessa da trattare). D'altro canto, sui dispositivi mobili dei dipendenti possono essere installate applicazioni aziendali sconosciute all'antivirus, poiché non sono disponibili su Google Play. Queste applicazioni mobili possono contenere dati sensibili, motivo per cui non vengono collocate nel negozio pubblico. Trasferire tali distribuzioni al produttore dell'antivirus è considerato inadeguato dal punto di vista della sicurezza. Ha senso aggiungerle alle eccezioni, ma non sono a conoscenza dell'esistenza di un simile meccanismo.
Il malware senza privilegi di root può
1. Disegnare una finestra invisibile sopra l'applicazione oppure inserire la propria tastiera per copiare i dati immessi dall'utente - credenziali, dati delle carte bancarie, ecc. Un esempio recente è la vulnerabilità , che consente di sostituire lo schermo attivo dell'applicazione e così accedere ai dati immessi dall'utente. Per l'utente, ciò significa il rischio di furto dell'account Google con accesso al backup del dispositivo e ai dati delle carte bancarie. Per l'organizzazione è importante non perdere i propri dati. Se i dati si trovano nella memoria privata dell'applicazione e non sono inclusi nel backup di Google, il malware non sarà in grado di accedervi.
2. Accedere ai dati nelle directory pubbliche – download, documenti, galleria. In queste directory non è consigliabile memorizzare informazioni di valore per l'azienda, poiché possono essere accessibili da qualsiasi applicazione. Inoltre, l'utente potrà sempre condividere un documento riservato utilizzando qualsiasi applicazione disponibile.
3. Disturbare l'utente con pubblicità, mining di bitcoin, far parte di un botnet, ecc.. Ciò può influire negativamente sulle prestazioni dell'utente e/o del dispositivo, ma non costituirà una minaccia per i dati aziendali.
Il malware con privilegi di root può potenzialmente fare qualsiasi cosa. Si presentano raramente, poiché l'hacking dei moderni dispositivi Android tramite applicazioni è praticamente impossibile. L'ultima volta che è stata scoperta una vulnerabilità simile è stato nel 2016. È la famigerata Dirty COW, che ha ricevuto il numero . Il punto chiave è che, alla rilevazione di segni di hacking, il client UEM cancellerà tutte le informazioni aziendali dal dispositivo, quindi la probabilità di furti di dati tramite tali malware nel mondo aziendale è bassa.
I file dannosi possono nuocere sia al dispositivo mobile che ai sistemi aziendali a cui ha accesso. Analizziamo questi scenari più nel dettaglio.
Un dispositivo mobile può essere compromesso, ad esempio, scaricando un'immagine che, all'apertura o durante il tentativo di impostare come sfondo, trasforma il dispositivo in un "mattone" o lo riavvia. Probabilmente questo danneggerà il dispositivo o l'utente, ma non avrà effetti sulla riservatezza dei dati. Anche se ci possono essere eccezioni.
Recentemente si è discusso della vulnerabilità . Si sosteneva che fosse possibile accedere alla console dei dispositivi mobili Samsung tramite un'immagine infetta inviata via email, messaggistica o MMS. Anche se l'accesso alla console significa solo accedere ai dati nelle directory pubbliche, dove non dovrebbero trovarsi informazioni riservate, la riservatezza dei dati personali degli utenti è messa a rischio, e questo ha spaventato gli utenti. In realtà, attaccare i dispositivi è possibile solo tramite MMS. E per un attacco di successo è necessario inviare da 75 a 450 (!) messaggi. L'antivirus, purtroppo, non potrà aiutare, poiché non ha accesso al registro dei messaggi. Per proteggersi, ci sono solo due opzioni. Aggiornare il sistema operativo o bloccare gli MMS. Il primo opzione può richiedere molto tempo e potrebbe non arrivare, poiché i produttori di dispositivi non rilasciano aggiornamenti per tutti i dispositivi. Disattivare la ricezione di MMS è molto più semplice.
I file trasmessi da dispositivi mobili possono rappresentare una minaccia per i sistemi aziendali. Ad esempio, un dispositivo mobile potrebbe avere un file infetto che non causa danni al dispositivo stesso, ma può infettare un computer Windows. L'utente invia questo file via email a un collega, il quale lo apre sul proprio PC, infettandolo. Ma lungo questo vettore d'attacco vi sono almeno due antivirus a protezione: uno sul server di posta elettronica e l'altro sul PC del destinatario. Aggiungere un terzo antivirus sul dispositivo mobile sembra davvero eccessivo.
Come si può vedere, la maggiore minaccia nel mondo digitale aziendale è rappresentata da malware privi di privilegi di root. Da dove possono provenire su un dispositivo mobile?
Più frequentemente vengono installati tramite sideloading, adb o negozi di terze parti, che dovrebbero essere vietati sui dispositivi mobili con accesso alla rete aziendale. Rimangono due opzioni per l'entrata del malware: dal Google Play o dall'UEM.
Prima della pubblicazione su Google Play, tutte le applicazioni passano attraverso un controllo obbligatorio. Tuttavia, per le applicazioni con un numero limitato di installazioni, il controllo avviene spesso in modo automatico, senza intervento umano. Pertanto, talvolta il malware riesce ad infiltrarsi su Google Play, ma non avviene spesso. Un antivirus con database aggiornati in tempo utile sarà in grado di identificare applicazioni contenenti malware sul dispositivo prima di Google Play Protect, che attualmente è in ritardo con gli aggiornamenti delle basi antivirus.
L'UEM può installare su un dispositivo mobile qualsiasi applicazione, compresi malware, quindi ogni applicazione deve essere verificata in anticipo. Le applicazioni possono essere esaminate sia durante lo sviluppo con strumenti di analisi statica e dinamica, sia direttamente prima della distribuzione mediante apposite "sandbox" e/o soluzioni antivirus. È importante che l'app venga controllata una sola volta prima del caricamento nell'UEM. Pertanto, anche in questo caso non è necessario un antivirus sul dispositivo mobile.
Protezione della rete
Nell'ambito della protezione della rete, a seconda del produttore dell'antivirus, possono essere offerte una o più delle seguenti funzionalità.
La filtrazione degli URL viene utilizzata con l'obiettivo di:
- Bloccare il traffico in base alle categorie di risorse. Ad esempio, per vietare la visione di notizie o di altro contenuto non aziendale fino a pranzo, quando il dipendente è più produttivo. Nella pratica, il blocco funziona più spesso con numerosi vincoli: i produttori di antivirus non riescono sempre a tenere aggiornati i cataloghi delle categorie di risorse a causa della presenza di molte "specularità". Inoltre, ci sono anonimizatori e Opera VPN, a cui il blocco non si applica frequentemente.
- Protezione contro il phishing o l'intercettazione dei host target. A tal fine, gli URL a cui si accede dal dispositivo vengono controllati in base al database antivirus. I collegamenti, così come le risorse a cui conducono (inclusi possibili redirect multipli), vengono verificati rispetto al database di siti di phishing noti. Viene anche effettuato un controllo del nome di dominio, del certificato e dell'indirizzo IP tra il dispositivo mobile e il server di fiducia. Se il client e il server ricevono dati diversi, può trattarsi di MITM ("man in the middle") oppure di blocco del traffico da parte dello stesso antivirus o vari proxy e filtri web nella rete a cui è connesso il dispositivo mobile. È difficile affermare con certezza che ci sia qualcuno nel mezzo.
Per accedere al traffico mobile, l'antivirus crea una VPN oppure utilizza le funzionalità dell'Accessibility API (API per applicazioni destinate a persone con disabilità). Il funzionamento simultaneo di più VPN su un dispositivo mobile non è possibile, quindi la protezione della rete da parte degli antivirus che creano una propria VPN non è applicabile nel mondo aziendale. La VPN dell'antivirus semplicemente non funzionerà insieme alla VPN aziendale, utilizzata per accedere alla rete aziendale.
Fornire all'antivirus l'accesso all'Accessibility API comporta un'altra pericolosità. L'accesso all'Accessibility API significa di fatto dare il permesso di fare qualsiasi cosa per conto dell'utente: vedere ciò che vede l'utente, compiere azioni con le applicazioni al posto dell'utente, ecc. Dato che l'utente deve espressamente concedere all'antivirus tale accesso, è probabile che rifiuti di farlo. Oppure, se costretto, deciderà di acquistare un altro telefono senza antivirus.
Firewall
Sotto questo termine generale si nascondono tre funzioni:
- Raccolta delle statistiche sull'uso della rete suddivisa per applicazioni e tipo di rete (Wi-Fi, operatore mobile). La maggior parte dei produttori di dispositivi Android fornisce queste informazioni nell'app "Impostazioni". La duplicazione in un'interfaccia di antivirus mobile sembra superflua. Potrebbe essere di interesse un'aggregazione delle informazioni su tutti i dispositivi. Questo è raccolto e analizzato con successo dai sistemi UEM.
- Limitazione del traffico mobile – impostazione di un limite, avviso al raggiungimento. Per la maggior parte degli utenti di dispositivi Android, queste funzioni sono disponibili nell'app "Impostazioni". La configurazione centralizzata delle limitazioni è un compito del UEM, non dell'antivirus.
- In sostanza, firewall. Ovvero, blocco dell'accesso a determinati indirizzi IP e porte. Considerando il DDNS su tutte le risorse popolari e la necessità di attivare un VPN per queste funzioni, che, come scritto sopra, non può funzionare in tandem con il VPN principale, la funzione sembra inapplicabile nella pratica aziendale.
Verifica dell'affidabilità del Wi-Fi
Gli antivirus mobili possono valutare la sicurezza delle reti Wi-Fi a cui si connette il dispositivo mobile. Si può presumere che venga controllata la presenza e la robustezza della crittografia. Inoltre, tutti i programmi moderni utilizzano la crittografia per la trasmissione di dati sensibili. Quindi, se un certo programma è vulnerabile a livello di collegamento, è altrettanto pericoloso utilizzarlo attraverso qualsiasi canale internet, non solo tramite Wi-Fi pubblico.
Pertanto, il Wi-Fi pubblico, compreso senza crittografia, non è più pericoloso e non meno sicuro di qualsiasi altro canale di trasmissione dati non affidabile senza crittografia.
Protezione dallo spam
La protezione si riduce generalmente alla filtrazione delle chiamate in arrivo secondo un elenco fornito dall'utente, o a un database di spammer noti che molestano incessantemente con assicurazioni, prestiti e inviti a teatro. Anche se durante il confinamento non chiamano, presto ricominceranno. Solo le chiamate sono filtrate. I messaggi nei moderni Android non vengono filtrati. Considerando il regolare cambio di numeri da parte degli spammer e l'impossibilità di proteggere i canali di testo (SMS, messaggistiche), questa funzionalità ha un carattere più di marketing che pratico.
Protezione antitaccheggio
Esecuzione di azioni remote su un dispositivo mobile in caso di smarrimento o furto. Alternativa ai servizi Trova il mio iPhone e Trova il mio dispositivo di Apple e Google rispettivamente. A differenza dei loro omologhi, i servizi dei produttori di antivirus non possono fornire il blocco del dispositivo se l'aggressore ha già ripristinato le impostazioni di fabbrica. Ma se ciò non è ancora avvenuto, è possibile operare a distanza come segue:
- Bloccare. Protezione contro il ladro occasionale, poiché è facilmente eludibile ripristinando il dispositivo alle impostazioni di fabbrica tramite recovery.
- Trovare le coordinate del dispositivo. Utile quando il dispositivo è stato smarrito recentemente.
- Attivare un segnale acustico forte per trovare il dispositivo se è in modalità silenziosa.
- Ripristinare il dispositivo alle impostazioni di fabbrica. Ha senso quando l'utente riconosce che il dispositivo è stato perso in modo irreversibile, ma non vuole che i dati memorizzati siano divulgati.
- Fare una foto. Fotografare l'aggressore se tiene il telefono in mano. La funzionalità più discutibile è la probabilità che l'aggressore si guardi nello smartphone in buona luce. Ma la presenza su un dispositivo di un'app che può gestire la fotocamera in segreto, scattare foto e inviarle al proprio server solleva giuste preoccupazioni.
L'esecuzione remota di comandi è fondamentale in ogni sistema UEM. In essi manca solo la fotografia remota. Questo è un chiaro motivo per cui gli utenti devono rimuovere le batterie dai telefoni al termine della giornata lavorativa e metterle in un sacco di Faraday.
Le funzionalità di antifurto negli antivirus mobili sono disponibili solo per Android. Su iOS, tali azioni possono essere eseguite solo dal UEM. Su un dispositivo iOS può esserci solo un UEM – questa è una caratteristica architettonica di iOS.
Conclusioni
- Una situazione in cui l'utente può installare un software dannoso sul telefono è inaccettabile.
- Un UEM ben configurato su un dispositivo aziendale elimina la necessità di un antivirus.
- In caso di utilizzo di vulnerabilità 0-day nel sistema operativo, l'antivirus è inutile. Può solo segnalare all'amministratore che il dispositivo è vulnerabile.
- Stabilire se una vulnerabilità è sfruttabile è qualcosa che l'antivirus non può fare. Così come rilasciare un aggiornamento per un dispositivo per il quale il produttore non fornisce più aggiornamenti di sicurezza. Al massimo, questo è un anno o due.
- Se si astraggono i requisiti dei regolatori e del marketing, gli antivirus mobili aziendali sono necessari solo sui dispositivi Android, dove gli utenti hanno accesso a Google Play e possono installare programmi da fonti esterne. In altri casi, l'efficacia dell'uso degli antivirus non è più che un placebo.
Fonte: habr.com
