Nel ottobre 2017 ho partecipato a un seminario pubblicitario sul sistema DLP DeviceLock, dove oltre alle funzionalità principali di protezione contro le perdite, come la disattivazione delle porte USB, l'analisi contestuale delle email e degli appunti, è stata pubblicizzata anche la protezione contro l'amministratore. Il modello è semplice e affascinante: un installatore entra in una piccola azienda, installa un pacchetto software, blocca il BIOS, crea un account amministrativo per DeviceLock, e lascia all'amministratore locale solo i diritti per gestire Windows e il software correlato. Anche in caso di cattive intenzioni, questo amministratore non potrà rubare nulla. Ma tutto questo è teoria...
Dato che in oltre 20 anni di esperienza nel campo dello sviluppo di sistemi di protezione delle informazioni ho visto che un amministratore può fare praticamente tutto, specialmente avendo accesso fisico al computer, le uniche vere misure di protezione contro di lui possono essere solo misure organizzative come una rigorosa rendicontazione e la protezione fisica dei computer contenenti informazioni sensibili. Subito è emersa l'idea di testare la robustezza del prodotto proposto.
Il tentativo di completare subito dopo il seminario non ha avuto successo. Hanno implementato una protezione contro l'eliminazione del servizio principale DlService.exe e non hanno dimenticato neanche i diritti di accesso e la scelta dell'ultima configurazione riuscita. Tuttavia, non è stato possibile disattivarlo, come la maggior parte dei virus, impedendo al sistema l'accesso in lettura ed esecuzione.
A tutte le domande sulla protezione dei driver già presenti nel prodotto, un rappresentante dell'azienda sviluppatrice Smart Line ha affermato con sicurezza che "tutto rimane allo stesso livello".
Il giorno dopo ho deciso di continuare le mie ricerche e ho scaricato la versione di prova. Sono rimasto subito sorpreso dalle dimensioni del pacchetto, praticamente 2 GB! Sono abituato a pensare che il software di sistema, al quale si riconoscono le soluzioni di sicurezza informatica (SZI), abbia generalmente dimensioni molto più contenute.
Dopo l'installazione, sono rimasto sorpreso una seconda volta — anche la dimensione del suddetto file exe è abbastanza grande — 13 MB. Ho subito pensato che con un volume del genere ci fosse molto da esplorare. Ho provato a sostituire il modulo tramite una registrazione differita — chiuso. Ho sbirciato nelle cartelle del programma e ci sono ben 11 driver! Ho provato a modificare le impostazioni — non sono bloccate! Va bene, divieto per tutti, riavviamoci!
L'effetto è semplicemente straordinario — tutte le funzioni si sono disattivate, il servizio non è partito. Che auto-protezione c'è, prendi e copia quello che vuoi, sia su chiavette USB che in rete. È emerso il primo serio difetto del sistema — troppa interconnessione tra i componenti. Sì, il servizio deve comunicare con i driver, ma perché dovrebbe bloccarsi se nessuno risponde? Alla fine, esiste un metodo per aggirare la protezione.
Scoprendo che questo meraviglioso servizio è così delicato e sensibile, ho deciso di controllare le sue dipendenze da librerie di terze parti. Qui è ancora più semplice, la lista è lunga, eliminiamo a caso la libreria WinSock_II e osserviamo un quadro simile — il servizio non è partito, il sistema è aperto.
Abbiamo quello che il relatore ha descritto nel seminario: una potente recinzione, ma che non circonda l'intero perimetro sorvegliato a causa di una mancanza di fondi, e nel settore non chiuso c'è semplicemente un rovo spinoso. In questo caso, considerando l'architettura del software, che non prevede un ambiente chiuso per impostazione predefinita, ma una varietà di plug-in, intercettatori e analizzatori di traffico, si tratta più di un recinto di legno, con molte tavole fissate con viti dall'esterno, che possono essere facilmente svitate. I problemi della maggior parte di queste soluzioni risiedono nel fatto che in una tale quantità di potenziali falle c'è sempre la probabilità di dimenticare qualcosa, di trascurare delle interconnessioni o di influenzare la stabilità, realizzando male uno degli intercettatori. A giudicare dal fatto che le vulnerabilità indicate in questo articolo sono così evidenti, il prodotto contiene numerose altre falle, la cui ricerca richiede un paio d'ore in più.
Ci sono molti esempi di implementazioni efficaci della protezione contro le disconnessioni sul mercato, come ad esempio i programmi antivirus domestici, dove la protezione non può essere facilmente bypassata. A quanto ne so, non hanno esitato a ottenere la certificazione FSTEC.
Dopo alcune conversazioni con i dipendenti di Smart Line, sono stati trovati diversi luoghi simili di cui non erano nemmeno a conoscenza. Uno degli esempi è il meccanismo ArrInitDll.
Anche se non è il più profondo, in molti casi consente di evitare di intervenire nel kernel del sistema operativo, mantenendo la sua stabilità. I driver NVIDIA utilizzano ampiamente questo meccanismo per adattare la scheda grafica a un gioco specifico.
Solleva interrogativi l'assenza totale di un approccio integrato alla costruzione di un sistema automatizzato basato su DL 8.2. Si propone di illustrare al cliente i vantaggi del prodotto e di controllare la potenza di calcolo dei PC esistenti. server (Gli analizzatori di contesto sono piuttosto esigenti in termini di risorse e gli attuali all-in-one e nettop basati su Atom non sono adatti in questo caso) e basta applicare il prodotto sopra. Nel frattempo, termini come 'controllo degli accessi', 'ambiente software isolato' non sono nemmeno stati menzionati nel seminario. Per quanto riguarda la crittografia, è stato detto che oltre alla complessità potrebbe sollevare domande da parte dei regolatori, anche se in realtà non ci sono problemi al riguardo. Le domande sulla certificazione vengono respinte anche in FSTEK a causa della loro presunta complessità e lungaggine. Come esperto di sicurezza informatica, che ha partecipato più volte a procedure simili, posso affermare che durante il loro svolgimento emergono molte vulnerabilità, simili a quelle descritte in questo materiale, in quanto gli specialisti dei laboratori di certificazione hanno una preparazione professionale seria.
In definitiva, il sistema DLP presentato può svolgere un insieme piuttosto limitato di funzioni che effettivamente garantiscono la sicurezza delle informazioni, generando nel contempo un carico computazionale significativo e creando nei dirigenti aziendali poco esperti in materia di sicurezza dell'informazione la sensazione di protezione dei dati aziendali.
Può effettivamente proteggere solo grandi dati da un utente non privilegiato, poiché un amministratore può facilmente disattivare completamente la protezione, e per segreti meno importanti anche un semplice manager delle pulizie potrebbe accorgersi di scattare una foto dello schermo, o addirittura ricordarsi un indirizzo o un numero di carta di credito, sbirciando sopra la spalla di un collega.
Tutto questo è valido solo nel caso in cui sia impossibile l'accesso fisico degli impiegati all'hardware del PC o almeno al BIOS per attivare l'avvio da supporti esterni. In tal caso, non aiuterebbe nemmeno BitLocker, che difficilmente viene utilizzato in aziende che hanno appena cominciato a pensare alla sicurezza delle informazioni.
La conclusione, per quanto banale possa sembrare, è in un approccio integrato alla sicurezza informatica, che includa non solo soluzioni software/hardware, ma anche misure organizzativo-tecniche per escludere foto/video e impedire l'accesso a persone esterne con una 'memoria fenomenale'. Non si può assolutamente fare affidamento su un prodotto miracoloso DL 8.2, pubblicizzato come una soluzione semplice alla maggior parte dei problemi di sicurezza aziendale.
Fonte: habr.com
