מערכת DeviceLock 8.2 DLP - מגן כלונסאות דולף לשמירה על בטיחותך

באוקטובר 2017, הזדמן לי להשתתף בסמינר קידום מכירות עבור מערכת DeviceLock DLP, שבו, בנוסף לפונקציונליות העיקרית של הגנה מפני דליפות כמו סגירת יציאות USB, ניתוח הקשרי של דואר ולוח, הגנה מהמנהל הייתה פורסם. הדגם פשוט ויפה - מתקין מגיע לחברה קטנה, מתקין סט תוכנות, מגדיר סיסמת BIOS, יוצר חשבון מנהל DeviceLock ומשאיר רק את הזכויות לניהול ווינדוס עצמו ושאר התוכנה למקומיים מנהל. גם אם יש כוונה, המנהל הזה לא יוכל לגנוב שום דבר. אבל זה הכל תיאוריה...

כי מעל 20 שנות עבודה בתחום של פיתוח כלי אבטחת מידע, הייתי משוכנע בבירור שמנהל מערכת יכול לעשות הכל, במיוחד עם גישה פיזית למחשב, אז ההגנה העיקרית נגד זה יכולה להיות רק אמצעים ארגוניים כמו דיווח קפדני ו הגנה פיזית על מחשבים המכילים מידע חשוב, ואז מיד עלה הרעיון לבדוק את עמידות המוצר המוצע.

ניסיון לעשות זאת מיד לאחר סיום הסמינר לא צלח; נעשתה הגנה מפני מחיקת השירות הראשי DlService.exe ואף לא שכחו את זכויות הגישה ואת בחירת התצורה המוצלחת האחרונה, כתוצאה מכך. הם הפילו אותו, כמו רוב הווירוסים, מנעו מהמערכת גישה לקריאה וביצוע, לא הסתדר.

לכל השאלות על ההגנה על הדרייברים כנראה הכלולים במוצר, נציג מפתח Smart Line ציין בביטחון כי "הכל באותה רמה".

יום לאחר מכן החלטתי להמשיך במחקר והורדתי את גרסת הניסיון. הופתעתי מיד מגודל ההפצה, כמעט 2 ג'יגה! אני רגיל לעובדה שלתוכנת מערכת, שבדרך כלל מסווגת ככלי אבטחת מידע (ISIS), יש בדרך כלל גודל הרבה יותר קומפקטי.

לאחר ההתקנה הופתעתי בפעם השנייה - גם הגודל של קובץ ההפעלה הנ"ל די גדול - 2MB. מיד חשבתי שעם נפח כזה יש במה לתפוס. ניסיתי להחליף את המודול באמצעות הקלטה מושהית - הוא היה סגור. חפרתי בקטלוגים של התוכניות, וכבר היו 13 נהגים! חיטטתי בהרשאות - הן לא סגורות לשינויים! אוקיי, כולם אסורים, בואו נעמיס!

האפקט פשוט קסום - כל הפונקציות מושבתות, השירות לא מתחיל. איזה סוג של הגנה עצמית יש, קח והעתיק מה שאתה רוצה, אפילו על כונני הבזק, אפילו דרך הרשת. החיסרון הרציני הראשון של המערכת התגלה - החיבור בין הרכיבים היה חזק מדי. כן, השירות צריך לתקשר עם הנהגים, אבל למה לקרוס אם אף אחד לא מגיב? כתוצאה מכך, יש שיטה אחת לעקוף את ההגנה.

לאחר שגיליתי ששירות הנס כל כך עדין ורגיש, החלטתי לבדוק את התלות שלו בספריות של צד שלישי. זה אפילו יותר פשוט כאן, הרשימה גדולה, אנחנו פשוט מוחקים את ספריית WinSock_II באקראי ורואים תמונה דומה - השירות לא התחיל, המערכת פתוחה.

כתוצאה מכך, יש לנו את אותו הדבר שתיאר הדובר בסמינר, גדר עוצמתית, אך לא סוגרת את כל ההיקף המוגן מחוסר כסף, ובשטח החשוף יש פשוט ורדים קוצניים. במקרה זה, בהתחשב בארכיטקטורה של מוצר התוכנה, שאינה מרמזת על סביבה סגורה כברירת מחדל, אלא על מגוון רחב של תקעים, מיירטים, מנתחי תעבורה, מדובר בגדר כלונסאות, עם הרבה מהרצועות מוברגות. מבחוץ עם ברגים הקשה עצמית וקל מאוד לשחרר. הבעיה עם רוב הפתרונות הללו היא שעם מספר כה עצום של חורים פוטנציאליים, תמיד קיימת האפשרות לשכוח משהו, להחמיץ מערכת יחסים או להשפיע על היציבות על ידי יישום לא מוצלח של אחד המיירטים. אם לשפוט על פי העובדה שהחולשות המוצגות במאמר זה פשוט על פני השטח, המוצר מכיל הרבה אחרות שייקח כמה שעות יותר לחפש.

יתר על כן, השוק מלא בדוגמאות ליישום מוכשר של הגנת כיבוי, למשל, מוצרי אנטי-וירוס מקומיים, שבהם לא ניתן פשוט לעקוף הגנה עצמית. עד כמה שידוע לי, הם לא התעצלו לעבור אישור FSTEC.

לאחר ניהול מספר שיחות עם עובדי סמארט ליין, נמצאו כמה מקומות דומים שהם אפילו לא שמעו עליהם. דוגמה אחת היא מנגנון AppInitDll.

זה אולי לא הכי עמוק, אבל במקרים רבים זה מאפשר לך לעשות בלי להיכנס לקרנל של מערכת ההפעלה ולא להשפיע על היציבות שלה. מנהלי התקנים של nVidia עושים שימוש מלא במנגנון זה כדי להתאים את מתאם הווידאו למשחק ספציפי.

היעדר מוחלט של גישה משולבת לבניית מערכת אוטומטית המבוססת על DL 8.2 מעלה שאלות. מוצע לתאר ללקוח את יתרונות המוצר, לבדוק את כוח המחשוב של מחשבים ושרתים קיימים (מנתחי הקשר הם עתירי משאבים ומחשבי ה-all-in-one המשרדיים האופנתיים כעת וה-nettops מבוססי Atom אינם מתאימים. במקרה זה) ופשוט מגלגלים את המוצר למעלה. יחד עם זאת, מונחים כמו "בקרת גישה" ו"סביבת תוכנה סגורה" אפילו לא הוזכרו בסמינר. על ההצפנה נאמר שבנוסף למורכבות היא תעלה שאלות מהרגולטורים, למרות שבמציאות אין בה בעיות. שאלות לגבי הסמכה, אפילו ב- FSTEC, נדחות הצידה בגלל המורכבות והאריכות לכאורה. בתור מומחה אבטחת מידע שנטל חלק שוב ושוב בהליכים מסוג זה, אני יכול לומר שבתהליך ביצועם מתגלות נקודות תורפה רבות הדומות לאלו המתוארות בחומר זה, מכיוון למומחים של מעבדות הסמכה יש הכשרה מקצועית רצינית.

כתוצאה מכך, מערכת ה-DLP המוצגת יכולה לבצע סט קטן מאוד של פונקציות המבטיחות למעשה אבטחת מידע, תוך יצירת עומס מחשוב רציני ויצירת תחושת אבטחה לנתונים ארגוניים בקרב הנהלת חברה חסרת ניסיון בענייני אבטחת מידע.

זה יכול להגן באמת על נתונים גדולים באמת ממשתמש חסר זכויות, כי... המנהל די מסוגל לבטל לחלוטין את ההגנה, ולסודות גדולים, אפילו מנהל ניקיון זוטר יוכל לצלם בדיסקרטיות את המסך, או אפילו לזכור את הכתובת או מספר כרטיס האשראי על ידי הסתכלות על המסך מעל הקולגה של עמית. כָּתֵף.
יתרה מכך, כל זה נכון רק אם לא תהיה לעובדים גישה פיזית לחלק הפנימי של המחשב האישי או לפחות ל-BIOS כדי להפעיל אתחול ממדיה חיצונית. אז אפילו BitLocker, שלא סביר שישמש בחברות שחושבות רק על הגנה על מידע, עשוי שלא לעזור.

המסקנה, בנאלית ככל שתשמע, היא גישה משולבת לאבטחת מידע, הכוללת לא רק פתרונות תוכנה/חומרה, אלא גם אמצעים ארגוניים וטכניים להחריג צילום תמונות/וידאו ולמנוע כניסת "בנים עם זיכרון פנומנלי" לא מורשים. האתר. לעולם אל תסתמכו על מוצר הפלא DL 8.2, אשר מפורסם כפתרון חד-שלבי לרוב בעיות האבטחה הארגוניות.

מקור: www.habr.com