Nell'ottobre 2017 sono stato a un seminario pubblicitario sul sistema DLP DeviceLock, dove oltre alle principali funzionalità di protezione contro le perdite, come la chiusura delle porte USB, l'analisi contestuale della posta e degli appunti, è stata pubblicizzata anche la protezione dall'amministratore. Il modello è semplice e accattivante: un tecnico entra in una piccola azienda, installa un pacchetto di software, blocca il BIOS, crea un account amministrativo per DeviceLock e lascia solo i diritti di gestione di Windows e del resto del software all'amministratore locale. Anche in caso di intenzioni maligne, quest'ultimo non potrà rubare nulla. Ma questa è tutta teoria...
Poiché, dopo oltre 20 anni di lavoro nel campo dello sviluppo di strumenti di protezione delle informazioni, ho constatato che l'amministratore può fare tutto, specialmente se ha accesso fisico al computer, la principale protezione contro di lui può consistere esclusivamente in misure organizzative come report dettagliati e protezione fisica dei computer che contengono informazioni sensibili, mi è venuto subito in mente di verificare la robustezza del prodotto proposto.
Il tentativo di fare questo subito dopo il seminario non è riuscito, hanno implementato protezioni contro la rimozione del servizio principale DlService.exe e non hanno dimenticato i diritti di accesso e la scelta dell'ultima configurazione riuscita, quindi non è stato possibile estrometterlo, come la maggior parte dei virus, vietando al sistema l'accesso in lettura e esecuzione.
A tutte le domande sulla protezione dei driver, sicuramente presenti nel prodotto, il rappresentante della società sviluppatrice Smart Line ha risposto con sicurezza che "tutto è allo stesso livello".
Il giorno successivo ho deciso di continuare le mie ricerche e ho scaricato la versione di prova. Sono rimasto subito sorpreso dalla dimensione del pacchetto di installazione, quasi 2 Gb! Sono abituato a considerare i software di sistema, ai quali si riferiscono gli strumenti di protezione delle informazioni (SZU), solitamente di dimensioni molto più compatte.
Dopo l'installazione, sono rimasto sorpreso una seconda volta: la dimensione del file eseguibile menzionato sopra è anche piuttosto grande — 13 Mb. Ho subito pensato che, con un tale volume, ci potesse essere qualcosa da trovare. Ho provato a sostituire un modulo tramite scrittura posticipata — chiuso. Ho esplorato le directory del programma e ci sono ben 11 driver! Ho controllato le autorizzazioni — non sono bloccate per le modifiche! Va bene, divieto per tutti, riavviamoci!
L'effetto è semplicemente fantastico: tutte le funzioni si sono disattivate, il servizio non è partito. Quale auto-protezione, prendi e copia quello che vuoi, sia su pen drive che in rete. È emerso il primo serio difetto del sistema: la connessione troppo forte tra i componenti. Sì, il servizio deve comunicare con i driver, ma perché crollare se nessuno risponde? Alla fine c'è solo un metodo per aggirare la protezione.
Capendo che il meraviglioso servizio è così delicato e sensibile, ho deciso di verificare le sue dipendenze da librerie di terze parti. Qui è ancora più semplice, la lista è grande, basta cancellare a caso la libreria WinSock_II e osservare un quadro simile: il servizio non è partito, il sistema è aperto.
Di conseguenza, abbiamo proprio ciò che il relatore ha descritto nel seminario: una potente barriera, ma che non racchiude l'intero perimetro protetto a causa della mancanza di fondi, e su un tratto non chiuso ci sono semplicemente rovi spinati. In questo caso, considerando l'architettura del prodotto software, che non presuppone un ambiente chiuso per impostazione predefinita, ma una serie di diversi tappi, intercettatori, analizzatori di traffico, è più che altro una palizzata, e molte assi sono fissate con le viti dall'esterno e si possono svitare molto facilmente. I problemi della maggior parte di queste soluzioni simili stanno nel fatto che, con un così grande numero di potenziali buchi, c'è sempre la possibilità di dimenticare qualcosa, tralasciare una connessione oppure influenzare la stabilità, realizzando malamente uno degli intercettatori. A giudicare dal fatto che le vulnerabilità riportate in questo articolo giacciono semplicemente in superficie, il prodotto contiene molte altre vulnerabilità, il cui ritrovamento richiede qualche ora in più.
Inoltre, ci sono molti esempi sul mercato di una protezione ben implementata contro la disattivazione, per esempio i prodotti antivirus nazionali, dove l’auto-protezione non si può aggirare così facilmente. Per quanto ne sappia, non si sono risparmiati nella certificazione FSTEC.
Dopo aver condotto alcune conversazioni con i dipendenti di Smart Line, sono stati trovati diversi luoghi simili di cui non avevano mai sentito parlare. Uno degli esempi è il meccanismo ArrInitDll.
Sebbene non sia il più profondo, in molti casi permette di risparmiare sul coinvolgimento nel nucleo del sistema operativo e non influisce sulla sua stabilità. I driver nVidia utilizzano completamente questo meccanismo per ottimizzare la scheda video per un gioco specifico.
Sollevano interrogativi l'assenza totale di un approccio integrato alla costruzione di un sistema automatizzato basato su DL 8.2. Si propone di descrivere al cliente i vantaggi del prodotto, verificare la potenza di calcolo dei PC esistenti e server (analizzatori contestuali sono piuttosto esigenti in termini di risorse e i moderni all-in-one e nettop basati su Atom non sono adatti in questo caso) e semplicemente installare il prodotto sopra. In tal modo, termini come "controllo degli accessi", "ambiente software isolato" non sono stati nemmeno menzionati durante il seminario. Si è detto che la crittografia, oltre a essere complessa, solleverà domande da parte dei regolatori, sebbene in realtà non ci siano problemi a riguardo. Le domande sulla certificazione vengono scartate anche presso il FSTEK a causa della loro presunta complessità e lunghezza. Come esperto di sicurezza informatica che ha partecipato più volte a tali procedure, posso dire che durante la loro esecuzione emergono molte vulnerabilità simili a quelle descritte in questo materiale, poiché i professionisti dei laboratori di certificazione hanno una preparazione specialistica seria.
Di conseguenza, il sistema DLP presentato può svolgere un insieme molto limitato di funzioni, quelle effettivamente in grado di garantire la sicurezza delle informazioni, generando nel contempo un carico computazionale significativo e causando, presso una direzione aziendale poco esperta in materia di sicurezza informatica, una falsa sensazione di protezione dei dati aziendali.
Di fatto, può proteggere solo grandi quantità di dati da utenti non privilegiati, poiché l'amministratore è completamente in grado di disattivare la protezione, e per segreti non voluminosi anche un giovane manager addetto alle pulizie potrebbe riuscire a scattare una foto dello schermo senza farsi notare, se non altro a ricordare un indirizzo o un numero di carta di credito, sbirciando lo schermo oltre la spalla di un collega.
Inoltre, tutto ciò è valido solo nel caso in cui non sia possibile l'accesso fisico dei dipendenti ai componenti interni del PC o almeno al BIOS per attivare il boot da dispositivi esterni. Anche BitLocker potrebbe non essere utile, il quale difficilmente viene utilizzato nelle aziende che si sono appena appena preoccupate della protezione delle informazioni.
La conclusione, per quanto possa sembrare banale, è che un approccio complesso alla sicurezza informatica include non solo soluzioni hardware e software, ma anche misure organizzative e tecniche per escludere la registrazione fotografica e video e per evitare l'ingresso di estranei "ragazzi con una memoria fenomenale". Non si può assolutamente fare affidamento sul prodotto miracoloso DL 8.2, pubblicizzato come una soluzione unica alla maggior parte dei problemi di sicurezza aziendale.
Fonte: habr.com
