TL;DR Se sui vostri dispositivi mobili aziendali è necessario un antivirus, significa che state facendo tutto in modo sbagliato e l'antivirus non vi aiuterà.
Questo post è il risultato di accesi dibattiti sul tema se sia necessario un antivirus sui telefoni aziendali, in quali casi funzioni e in quali sia inutile. Nell'articolo si analizzano i modelli di minaccia che, in teoria, l'antivirus dovrebbe proteggere.
I venditori di antivirus riescono spesso a convincere i clienti aziendali che l'antivirus aumenterà significativamente la loro sicurezza, ma nella maggior parte dei casi si tratta di una protezione illusoria, che riduce solo la vigilanza sia degli utenti che degli amministratori.
Una corretta infrastruttura aziendale
Quando in un'azienda ci sono decine o addirittura migliaia di dipendenti, configurare manualmente ogni dispositivo dell'utente è impossibile. Le impostazioni possono cambiare ogni giorno, arrivano nuovi dipendenti, i loro telefoni cellulari e laptop si rompono o vengono persi. Di conseguenza, tutto il lavoro degli amministratori consisterebbe nel ripristinare quotidianamente nuove impostazioni sui dispositivi dei dipendenti.
Su computer desktop questo problema è stato affrontato da tempo. Nel mondo Windows, di solito, questa gestione avviene tramite Active Directory, sistemi di autenticazione centralizzati (Single Sign In), ecc. Ma ora tutti i dipendenti hanno aggiunto smartphone ai computer, dove avviene una parte significativa dei processi lavorativi e vengono memorizzati dati importanti. Microsoft ha cercato di unire i suoi telefoni su Windows Phone in un'unica ecosistema con Windows, ma questa idea è morta con la morte ufficiale di Windows Phone. Pertanto, nel contesto aziendale è comunque necessario scegliere tra Android e iOS.
Attualmente, nell'ambito aziendale, per la gestione dei dispositivi dei dipendenti, è in voga il concetto di UEM (Unified Endpoint Management). Si tratta di un sistema centralizzato per la gestione di dispositivi mobili e computer desktop.
Gestione centralizzata dei dispositivi degli utenti (Unified Endpoint Management)
L'amministratore del sistema UEM può impostare politiche diverse per i dispositivi degli utenti. Ad esempio, consentire all'utente un maggiore o minore controllo sul dispositivo, l'installazione di applicazioni da fonti esterne, ecc.
Cosa può fare l'UEM:
Gestire tutte le impostazioni — l'amministratore può vietare completamente all'utente di modificare le impostazioni sul dispositivo e di modificarle da remoto.
Controllare il software sul dispositivo — consentire l'installazione di programmi sul dispositivo e installare automaticamente i programmi senza il consenso dell'utente. Inoltre, l'amministratore può vietare o consentire l'installazione di programmi dallo store di applicazioni o da fonti non attendibili (da file APK nel caso di Android).
Blocco remoto — nel caso in cui il telefono venga smarrito, l'amministratore può bloccare il dispositivo o cancellare i dati. Alcuni sistemi consentono anche di impostare l'eliminazione automatica dei dati se il telefono non si è collegato al server per più di N ore, per escludere la possibilità di tentativi di hacking offline, nel momento in cui gli attaccanti riescono a rimuovere la SIM prima che venga inviata dal server un'istruzione di cancellazione dei dati.
Raccogliere statistiche — monitorare l'attività dell'utente, il tempo di utilizzo delle applicazioni, la posizione, il livello della batteria, ecc.
Quali sono i diversi UEM
Ci sono due approcci sostanzialmente diversi per la gestione centralizzata degli smartphone dei dipendenti: in un caso, l'azienda acquista dispositivi di un unico produttore per i propri dipendenti e di solito sceglie un sistema di gestione dallo stesso fornitore. Nell'altro caso, i dipendenti utilizzano i propri dispositivi personali per lavorare, e qui inizia un'ammucchiata di sistemi operativi, versioni e piattaforme.
BYOD (Bring your own device, Porta il tuo dispositivo) — una concezione in cui i dipendenti utilizzano i propri dispositivi e account personali per lavoro. Alcuni sistemi di gestione centralizzata consentono di aggiungere un secondo account di lavoro e di separare completamente i dati personali da quelli lavorativi.
— il sistema nativo di gestione centralizzata di Apple. Gestisce solo i dispositivi Apple, computer con macOS e telefoni su iOS. Supporta BYOD, creando un secondo ambiente isolato con un diverso account iCloud.
— consente di gestire telefoni Android e Apple iOS, oltre a desktop con Windows 10. È dichiarato il supporto per BYOD.
— supporta solo dispositivi mobili Samsung. In questo caso, è possibile utilizzare solo .
In realtà ci sono molti più fornitori di UEM, ma non esamineremo tutti in questo articolo. La cosa principale da tenere a mente è che queste sistemi esistono già e consentono all'amministratore di configurare i dispositivi degli utenti in base al modello di minaccia esistente.
Modello di minacce
Prima di scegliere gli strumenti di protezione, è necessario capire da cosa ci stiamo difendendo, quale potrebbe essere il rischio maggiore nel nostro caso specifico. In altre parole: il nostro corpo è facilmente vulnerabile a un proiettile e persino a una forchetta con un chiodo, ma non indossiamo un giubbotto antiproiettile quando usciamo di casa. Pertanto, il rischio di essere colpiti per strada non fa parte del nostro modello di minaccia, anche se statisticamente non è così improbabile. Detto ciò, in determinate circostanze, indossare un giubbotto antiproiettile è del tutto giustificato.
Nei vari aziende, i modelli di minaccia differiscono. Prendiamo ad esempio lo smartphone di un corriere che sta per consegnare un pacco al cliente. Nel suo smartphone c'è solo l'indirizzo della consegna attuale e il percorso sulla mappa. Il rischio maggiore per i suoi dati è la fuga degli indirizzi delle consegne.
Ecco lo smartphone di un contabile. Ha accesso alla rete aziendale tramite VPN, ha installato l'applicazione del client bancario aziendale e conserva documenti con informazioni sensibili. È evidente che il valore dei dati su questi due dispositivi è significativamente diverso e la protezione deve essere effettuata in modi diversi.
L'antivirus ci salverà?
Sfortunatamente, dietro ai slogan di marketing si perde il reale significato delle funzioni che un antivirus svolge su un dispositivo mobile. Cerchiamo di capire in dettaglio cosa fa un antivirus su un telefono.
Audit della sicurezza
La maggior parte degli antivirus mobili moderni esegue un audit delle impostazioni di sicurezza sul dispositivo. A volte questo audit è chiamato "verifica della reputazione del dispositivo". I programmatori di antivirus considerano un dispositivo sicuro se sono soddisfatte quattro condizioni:
- Il dispositivo non è stato compromesso (root, jailbreak).
- È impostata una password sul dispositivo.
- La debug USB non è abilitata sul dispositivo.
- Non è consentita l'installazione di applicazioni da fonti non attendibili (sideloading).
Se in seguito al controllo il dispositivo risulta non sicuro, l'antivirus informerà il proprietario e offrirà di disattivare la funzionalità "pericolosa" o di ripristinare il firmware di fabbrica in caso di segni di root o jailbreak.
Secondo le consuetudini aziendali, non è sufficiente avvisare l'utente. È necessario escludere configurazioni non sicure. A tal fine, con l'ausilio di un sistema UEM, è necessario configurare le politiche di sicurezza sui dispositivi mobili. E in caso di rilevamento di root / jailbreak, è necessario rimuovere rapidamente i dati aziendali dal dispositivo e bloccarne l'accesso alla rete aziendale. E anche questo è possibile grazie all'UEM. Solo dopo queste procedure si può considerare il dispositivo mobile sicuro.
Ricerca e rimozione di virus
Contrariamente a quanto comunemente si pensa, non esistono virus per iOS, è falso. In natura, esistono ancora exploit per versioni obsolete di iOS che sfruttando vulnerabilità nel browser. Tuttavia, a causa dell'architettura di iOS, lo sviluppo di antivirus per questa piattaforma non è possibile. La principale ragione è che le applicazioni non possono accedere all'elenco delle applicazioni installate e hanno molte limitazioni nell'accesso ai file. Solo UEM può ottenere l'elenco delle applicazioni iOS installate, ma nemmeno UEM può accedere ai file.
Con Android la situazione è diversa. Le applicazioni possono ottenere informazioni sulle applicazioni installate sul dispositivo. Possono anche accedere ai loro pacchetti (ad esempio, Apk Extractor e suoi analoghi). Le applicazioni Android hanno anche accesso ai file (ad esempio, Total Commander e altri). È possibile decompilare le applicazioni Android.
Con tali possibilità, appare logico un algoritmo antivirus di questo tipo:
- Verifica delle applicazioni
- Ottenere l'elenco delle applicazioni installate e i checksum (CS) dei loro pacchetti.
- Controllare le applicazioni e i loro CS prima nella base locale e poi in quella globale.
- Se l'applicazione è sconosciuta, trasferire il suo pacchetto nella base globale per analisi e decompilazione.
- Verifica dei file, ricerca di firme virali
- Controllare i CS dei file nella base locale e poi in quella globale.
- Controllare la presenza di contenuti non sicuri nei file (script, exploit, ecc.) utilizzando prima la base locale e poi quella globale.
- Se viene rilevato malware, informare l'utente e/o bloccare l'accesso dell'utente al malware e/o inviare informazioni a UEM. È necessario inviare informazioni a UEM perché l'antivirus non può rimuovere autonomamente il malware dal dispositivo.
La preoccupazione principale riguarda la possibilità di trasferire eseguibili dal dispositivo a un server esterno. Senza questo non è possibile effettuare l'"analisi comportamentale" dichiarata dai produttori di antivirus, poiché non è possibile eseguire un'applicazione in un "sandbox" separato o procedere alla sua decompilazione (l'efficacia della quale in caso di offuscamento è una questione complessa a parte). D'altra parte, sui dispositivi mobili dei dipendenti potrebbero essere installate applicazioni aziendali sconosciute all'antivirus, poiché non sono presenti su Google Play. Queste applicazioni mobili possono contenere dati sensibili, per i quali non vengono pubblicate nel negozio pubblico. Trasferire tali eseguibili al fornitore dell'antivirus appare inappropriato dal punto di vista della sicurezza. Ha senso aggiungerli alle eccezioni, ma finora non ho informazioni su un simile meccanismo.
Il malware senza privilegi di root può
1. Sovrapporre una finestra invisibile all'applicazione o inserire la propria tastiera per copiare i dati inseriti dall'utente, come le credenziali e i dati delle carte di credito. Un recente esempio è la vulnerabilità , che permette di sostituire lo schermo attivo dell'applicazione e ottenere così accesso ai dati immessi dall'utente. Per l'utente, questo significa la possibilità di furto dell'account Google con accesso al backup del dispositivo e ai dati delle carte di credito. Per l'organizzazione è fondamentale non perdere i propri dati. Se i dati si trovano nella memoria privata dell'applicazione e non sono inclusi nel backup di Google, il malware non potrà accedervi.
2. Ottenere accesso ai dati nelle cartelle pubbliche – download, documenti, galleria. In queste cartelle non è consigliabile conservare informazioni di valore per l'azienda, poiché qualsiasi applicazione può accedervi. Inoltre, l'utente stesso può sempre condividere documenti riservati tramite qualsiasi applicazione disponibile.
3. Disturbare l'utente con pubblicità, minare bitcoin, far parte di un botnet, ecc.Questo può avere un impatto negativo sulle prestazioni dell'utente e/o del dispositivo, ma non costituirà una minaccia per i dati aziendali.
Il malware con privilegi di root può fare praticamente qualsiasi cosa. Sono piuttosto rari, poiché compromettere i dispositivi Android moderni tramite un'app è praticamente impossibile. L'ultima vulnerabilità simile è stata scoperta nel 2016. Si tratta del noto Dirty COW, a cui è stato assegnato il numero . La chiave qui è che, al rilevamento di segni di compromissione, il client UEM cancellerà tutte le informazioni aziendali dal dispositivo, quindi la probabilità di furto riuscito di dati attraverso tali malware nel mondo aziendale è bassa.
I file dannosi possono danneggiare sia il dispositivo mobile che i sistemi aziendali ai quali ha accesso. Analizziamo questi scenari più nel dettaglio.
Il danno a un dispositivo mobile può verificarsi, ad esempio, se si scarica un'immagine che, all'apertura o al tentativo di impostare come sfondo, trasforma il dispositivo in un "mattoncino" o lo riavvia. Probabilmente questo danneggerà il dispositivo o l'utente, ma non influenzerà la riservatezza dei dati. Anche se ci sono delle eccezioni.
Recentemente è stata discussa una vulnerabilità . Si sosteneva che attraverso di essa fosse possibile accedere alla console dei dispositivi mobili Samsung tramite un'immagine infetta inviata tramite email, messaggeri o MMS. Sebbene l'accesso alla console significhi avere accesso solo ai dati nelle directory pubbliche, dove non dovrebbero esserci informazioni riservate, la privacy dei dati personali degli utenti risulta minacciata, e questo ha spaventato gli utenti. In realtà, attaccare i dispositivi è possibile solo tramite MMS. E per un attacco riuscito è necessario inviare da 75 a 450 (!) messaggi. L'antivirus, purtroppo, non può aiutare in questo caso, poiché non ha accesso al registro dei messaggi. Per proteggersi da ciò, ci sono solo due opzioni. Aggiornare il sistema operativo o bloccare gli MMS. Il primo potrebbe richiedere molto tempo e non arrivare mai, poiché i produttori di dispositivi non rilasciano aggiornamenti per tutti i dispositivi. Disabilitare la ricezione degli MMS in questo caso è molto più semplice.
I file trasferiti dai dispositivi mobili possono danneggiare i sistemi aziendali. Ad esempio, su un dispositivo mobile può esserci un file infetto che non può danneggiare il dispositivo stesso, ma che può infettare un computer Windows. L'utente invia questo file via email a un collega. Questi lo apre sul PC e, in questo modo, può infettarlo. Tuttavia, lungo questo vettore di attacco ci sono almeno due antivirus – uno nel server di posta elettronica e l'altro sul PC del destinatario. Aggiungere un terzo antivirus su un dispositivo mobile sembra essere pura paranoia.
Come si può vedere, la maggiore minaccia nel mondo digitale aziendale proviene da malware senza privilegi di root. Da dove possono provenire su un dispositivo mobile?
Più comunemente vengono installati tramite sideloading, adb o negozi di terze parti, che dovrebbero essere vietati sui dispositivi mobili con accesso alla rete aziendale. Rimangono due opzioni per l'ingresso del malware – da Google Play o da UEM.
Prima della pubblicazione su Google Play, tutte le applicazioni devono superare un controllo obbligatorio. Tuttavia, per le applicazioni con un numero limitato di installazioni, i controlli vengono effettuati più spesso senza l'intervento di esseri umani, solo in modalità automatica. Pertanto, a volte malware riesce a entrare in Google Play, ma non molto frequentemente. Un antivirus con database aggiornati in tempo utile sarà in grado di individuare le applicazioni con malware sul dispositivo prima di Google Play Protect, che attualmente è in ritardo nell'aggiornamento delle proprie banche dati antivirus.
UEM può installare qualsiasi applicazione su un dispositivo mobile, compreso il malware, quindi è necessario controllare preventivamente ogni applicazione. Le applicazioni possono essere verificate sia durante lo sviluppo tramite strumenti di analisi statica e dinamica, sia immediatamente prima della loro diffusione utilizzando "sandboxes" specializzate e/o soluzioni antivirus. È importante che l'applicazione venga controllata una sola volta prima del caricamento in UEM. Di conseguenza, in questo caso, un antivirus sul dispositivo mobile non è necessario.
Protezione di rete
All'interno della protezione di rete, a seconda del produttore dell'antivirus, possono essere offerte una o più delle seguenti funzionalità.
La filtrazione URL è applicata con lo scopo di:
- Bloccare il traffico per categorie di risorse. Ad esempio, per vietare la visione di notizie o di altri contenuti non aziendali fino all'ora di pranzo, quando il dipendente è più efficace. Nella pratica, il blocco funziona più spesso con molte limitazioni: i produttori di antivirus non riescono sempre ad aggiornare tempestivamente i cataloghi delle categorie dei siti web a causa della presenza di molti "mirror". Inoltre, ci sono gli anonymizer e Opera VPN, su cui il blocco di solito non si applica.
- Protezione da phishing o sostituzione di host di destinazione. A tal fine, gli URL a cui si connette il dispositivo vengono preventivamente controllati su una database antivirus. I link, così come le risorse a cui rimandano (inclusi eventuali molteplici reindirizzamenti), vengono verificati in un database di siti di phishing noti. Inoltre, viene effettuato un confronto tra il nome di dominio, il certificato e l'indirizzo IP tra il dispositivo mobile e il server di fiducia. Se il client e il server ricevono dati diversi, si tratta o di un MITM ("uomo nel mezzo", man in the middle), oppure di un blocco del traffico tramite lo stesso antivirus o vari tipi di proxy e filtri web nella rete a cui è connesso il dispositivo mobile. È difficile affermare con certezza che ci sia qualcuno nel mezzo.
Per accedere al traffico mobile, l'antivirus costruisce un VPN oppure utilizza le capacità dell'Accessibility API (API per applicazioni destinate a persone con disabilità). L'esecuzione simultanea di più VPN su un dispositivo mobile non è possibile, quindi la protezione di rete degli antivirus che costruiscono un proprio VPN non è applicabile nel mondo aziendale. Il VPN dell'antivirus semplicemente non funzionerà insieme al VPN aziendale utilizzato per accedere alla rete aziendale.
Fornire all'antivirus accesso all'Accessibility API comporta un altro rischio. L'accesso all'Accessibility API significa effettivamente consentire di fare qualsiasi cosa per conto dell'utente: vedere ciò che vede l'utente, effettuare azioni nelle applicazioni invece dell'utente, ecc. Visto che l'utente deve concedere esplicitamente tale accesso all'antivirus, probabilmente si rifiuterà di farlo. Oppure, se costretto, acquisterà un altro telefono senza antivirus.
Firewall
Sotto questo nome generale si nascondono tre funzioni:
- Raccolta di statistiche sull'utilizzo della rete, suddivise per applicazioni e tipo di rete (Wi-Fi, operatore mobile). La maggior parte dei produttori di dispositivi Android fornisce questi dati nell'applicazione "Impostazioni". La duplicazione in un'interfaccia di antivirus mobile sembra superflua. L'interesse potrebbe riguardare le informazioni aggregate su tutti i dispositivi. Vengono raccolte e analizzate con successo dai sistemi UEM.
- Limitazione del traffico mobile – impostazione di un limite, avviso al raggiungimento dello stesso. Gli utenti della maggior parte dei dispositivi Android hanno accesso a queste funzionalità nell'applicazione "Impostazioni". La configurazione centralizzata delle limitazioni è compito dell'UEM, non dell'antivirus.
- In sostanza, firewall. O, in altre parole, blocco dell'accesso a determinati indirizzi IP e porte. Considerando il DDNS su tutte le risorse popolari e la necessità di attivare per questi scopi una VPN, che, come detto in precedenza, non può funzionare insieme alla VPN principale, la funzione sembra inapplicabile nella pratica aziendale.
Verifica dell'affidabilità del Wi-Fi
Gli antivirus mobili possono valutare la sicurezza delle reti Wi-Fi a cui si connette un dispositivo mobile. Si può supporre che vengano controllate la presenza e la robustezza della crittografia. Tuttavia, tutti i programmi moderni utilizzano la crittografia per trasmettere dati sensibili. Pertanto, se un programma è vulnerabile a livello di collegamento, è altrettanto pericoloso utilizzarlo tramite qualsiasi canale Internet, non solo tramite Wi-Fi pubblico.
Pertanto, il Wi-Fi pubblico, anche senza crittografia, non è più pericoloso e non meno sicuro di qualsiasi altro canale di trasmissione dati non fidato senza crittografia.
Protezione dallo spam
La protezione consiste generalmente nella filtrazione delle chiamate in entrata secondo un elenco fornito dall'utente o una base di dati di noti spammer, che infastidiscono continuamente con assicurazioni, prestiti e inviti a teatro. Anche se durante l'autoisolamento non chiamano, presto riprenderanno. Solo le chiamate sono soggette a filtrazione. I messaggi sui moderni Android non vengono filtrati. Considerando il regolare cambio di numeri da parte degli spammer e l'impossibilità di proteggere i canali testuali (SMS, messenger), la funzionalità ha un carattere più di marketing che pratico.
Protezione contro il furto
Esecuzione di azioni remote con dispositivi mobili in caso di smarrimento o furto. Alternativa ai servizi Trova il mio iPhone di Apple e Trova il mio dispositivo di Google. A differenza dei loro omologhi, i servizi dei produttori di antivirus non possono fornire il blocco del dispositivo se il malintenzionato ha avuto il tempo di ripristinarlo alle impostazioni di fabbrica. Ma se ciò non è ancora accaduto, è possibile fare quanto segue in remoto con il dispositivo:
- Bloccare. Protezione contro il ladro distratto, poiché può facilmente aggirare il ripristino del dispositivo alle impostazioni di fabbrica tramite il recovery.
- Scoprire le coordinate del dispositivo. Utile quando il dispositivo è stato smarrito di recente.
- Attivare un segnale sonoro forte per ritrovare il dispositivo, se è in modalità silenziosa.
- Ripristinare il dispositivo alle impostazioni di fabbrica. Ha senso quando l'utente ha riconosciuto che il dispositivo è andato perduto in modo definitivo, ma non vuole che i dati memorizzati siano divulgati.
- Scattare una foto. Fotografare il malintenzionato, se tiene il telefono in mano. Funzionalità più discutibile – la probabilità che il malintenzionato si stia concentrando sul telefono in buona luce è bassa. Tuttavia, la presenza di un'app sul dispositivo che può gestire silenziosamente la fotocamera dello smartphone, scattare foto e inviarle a un server è motivo di preoccupazione.
L'esecuzione remota di comandi è fondamentale in qualsiasi sistema UEM. In essi manca solo la possibilità di scattare foto da remoto. Questo è un modo sicuro affinché gli utenti, alla fine della giornata lavorativa, tolgano le batterie dai telefoni e le mettano in un sacchetto di Faraday.
Le funzionalità anti-furto negli antivirus mobili sono disponibili solo per Android. Su iOS, tali azioni possono essere eseguite solo da UEM. Su un dispositivo iOS può esserci solo un UEM – è una peculiarità architettonica di iOS.
Conclusioni
- Una situazione in cui un utente può installare un malware sul telefono è INACCETTABILE.
- Un UEM correttamente configurato su un dispositivo aziendale elimina la necessità di un antivirus.
- In caso di utilizzo di vulnerabilità 0-day nel sistema operativo, l'antivirus è inutile. Può solo indicare all'amministratore che il dispositivo è vulnerabile.
- Determinare se la vulnerabilità venga sfruttata è qualcosa che l'antivirus non può fare. Allo stesso modo, non è possibile rilasciare un aggiornamento per un dispositivo per il quale il produttore non emette più aggiornamenti di sicurezza. Al massimo, questo può durare un anno o due.
- Se ci si astrae dalle esigenze dei regolatori e dal marketing, gli antivirus aziendali sono necessari solo sui dispositivi Android, dove gli utenti hanno accesso a Google Play e possono installare programmi da fonti esterne. In altri casi, l'efficacia degli antivirus non è più di un placebo.
Fonte: habr.com
