DeviceLock 8.2 DLP 시스템 - 안전을 보호하는 누출 피켓 가드

2017년 XNUMX월 DeviceLock DLP 시스템 홍보 세미나에 참석할 기회가 있었는데, 여기서는 USB 포트 닫기, 메일 및 클립보드의 상황별 분석 등 유출 방지의 주요 기능 외에도 관리자로부터 보호하는 기능이 포함되었습니다. 광고. 모델은 간단하고 아름답습니다. 설치 프로그램이 소규모 회사에 와서 일련의 프로그램을 설치하고 BIOS 암호를 설정하고 DeviceLock 관리자 계정을 생성하고 Windows 자체 및 나머지 소프트웨어를 관리할 수 있는 권한만 로컬에 남깁니다. 관리자. 의도가 있더라도 이 관리자는 아무것도 훔칠 수 없습니다. 그러나 이것은 모두 이론입니다 ...

왜냐하면 정보 보안 도구 개발 분야에서 20년 이상 일하면서 저는 관리자가 특히 컴퓨터에 대한 물리적 접근을 통해 무엇이든 할 수 있으며 이에 대한 주요 보호는 엄격한 보고 및 중요한 정보가 담긴 컴퓨터를 물리적으로 보호한 후 즉시 제안된 제품의 내구성을 테스트하려는 아이디어가 떠 올랐습니다.

세미나가 끝난 직후 이 작업을 수행하려는 시도가 실패했습니다. 기본 서비스 DlService.exe 삭제에 대한 보호가 이루어졌으며 액세스 권한과 마지막 성공적인 구성 선택도 잊지 않았습니다. 그들은 대부분의 바이러스와 마찬가지로 시스템의 읽기 및 실행 액세스를 거부하여 문제를 해결하지 못했습니다.

제품에 포함될 드라이버 보호에 대한 모든 질문에 스마트라인 개발사 대표는 “모든 것이 동일한 수준”이라고 자신있게 말했다.

하루 후 나는 연구를 계속하기로 결정하고 평가판을 다운로드했습니다. 나는 거의 2GB에 달하는 배포 크기에 즉시 놀랐습니다! 나는 일반적으로 정보 보안 도구(ISIS)로 분류되는 시스템 소프트웨어가 일반적으로 훨씬 더 컴팩트한 크기를 가지고 있다는 사실에 익숙합니다.

설치 후 두 번째로 놀랐습니다. 위에서 언급 한 실행 파일의 크기도 2MB로 상당히 큽니다. 나는 그 정도의 볼륨으로 잡을 것이 있다고 즉시 생각했습니다. 지연 녹화를 사용하여 모듈을 교체하려고 했는데 모듈이 닫혔습니다. 프로그램 카탈로그를 뒤져보니 이미 13명의 드라이버가 있었습니다! 나는 권한을 찔렀습니다. 변경 사항이 닫히지 않았습니다! 좋아, 모두 금지됐어, 과부하하자!

효과는 매우 매혹적입니다. 모든 기능이 비활성화되고 서비스가 시작되지 않습니다. 어떤 종류의 자기 방어가 있습니까? 플래시 드라이브, 심지어 네트워크를 통해서도 원하는 것을 무엇이든 가져 와서 복사하십시오. 시스템의 첫 번째 심각한 단점이 나타났습니다. 구성 요소의 상호 연결이 너무 강했습니다. 예, 서비스는 운전자와 통신해야 하지만, 아무도 응답하지 않으면 왜 충돌이 발생할까요? 결과적으로 보호를 우회하는 한 가지 방법이 있습니다.

기적의 서비스가 매우 온화하고 민감하다는 사실을 알게 된 후, 나는 타사 라이브러리에 대한 종속성을 확인하기로 결정했습니다. 여기에서는 훨씬 더 간단하고 목록이 큽니다. WinSock_II 라이브러리를 무작위로 지우고 비슷한 그림을 봅니다. 서비스가 시작되지 않았고 시스템이 열려 있습니다.

결과적으로 우리는 연사가 세미나에서 설명한 것과 동일한 강력한 울타리를 가지고 있지만 돈 부족으로 인해 보호 경계 전체를 둘러싸 지 못하고 노출되지 않은 영역에는 단순히 가시가 많은 장미 엉덩이가 있습니다. 이 경우 기본적으로 폐쇄된 환경을 의미하지 않고 다양한 플러그, 인터셉터, 트래픽 분석기를 포함하는 소프트웨어 제품의 아키텍처를 고려하면 많은 스트립이 나사로 고정되어 있는 울타리에 가깝습니다. 셀프 태핑 나사로 외부를 풀 수 있으며 나사가 매우 쉽습니다. 대부분의 이러한 솔루션의 문제점은 엄청난 수의 잠재적 허점이 있기 때문에 인터셉터 중 하나를 성공적으로 구현하지 못하여 무언가를 잊어버리거나, 관계가 누락되거나, 안정성에 영향을 미칠 가능성이 항상 있다는 것입니다. 이 기사에 제시된 취약점이 단순히 표면에 있다는 사실로 판단하면, 제품에는 검색하는 데 몇 시간 더 걸리는 다른 취약점도 많이 포함되어 있습니다.

더욱이 시장에는 자기 방어를 간단히 우회할 수 없는 국내 안티 바이러스 제품과 같이 유능한 종료 보호 구현 사례가 가득합니다. 내가 아는 한 그들은 FSTEC 인증을 받기에는 너무 게으르지 않았습니다.

스마트라인 직원들과 여러 차례 대화를 나눈 결과, 들어본 적도 없는 비슷한 장소를 여러 군데 발견했습니다. 한 가지 예는 AppInitDll 메커니즘입니다.

가장 깊지는 않을 수도 있지만 대부분의 경우 OS 커널에 들어가지 않고 안정성에 영향을 주지 않고 수행할 수 있습니다. nVidia 드라이버는 이 메커니즘을 최대한 활용하여 특정 게임에 맞게 비디오 어댑터를 조정합니다.

DL 8.2를 기반으로 자동화된 시스템을 구축하는 데 통합된 접근 방식이 전혀 없다는 사실은 의문을 제기합니다. 고객에게 제품의 장점을 설명하고 기존 PC 및 서버의 컴퓨팅 성능을 확인하는 것이 좋습니다. (컨텍스트 분석기는 리소스 집약적이며 현재 유행하는 사무용 일체형 컴퓨터 및 Atom 기반 넷탑은 적합하지 않습니다. 이 경우) 제품을 그 위에 펼쳐 놓기만 하면 됩니다. 동시에 세미나에서는 '접근통제', '폐쇄형 소프트웨어 환경' 등의 용어도 언급되지 않았다. 암호화에 대해서는 복잡성 외에도 규제 기관의 질문이 제기될 것이라고 말했지만 실제로는 문제가 없습니다. FSTEC에서도 인증에 관한 질문은 예상되는 복잡성과 긴 시간 때문에 무시됩니다. 이러한 절차에 반복적으로 참여해 온 정보 보안 전문가로서 이러한 절차를 수행하는 과정에서 이 자료에 설명된 것과 유사한 취약점이 많이 드러났다고 말할 수 있습니다. 인증 연구소의 전문가는 진지한 전문 교육을 받았습니다.

결과적으로, 제시된 DLP 시스템은 실제로 정보 보안을 보장하는 아주 작은 기능 세트를 수행하는 동시에 정보 보안 문제에 경험이 없는 회사 경영진에게 심각한 컴퓨팅 부하를 발생시키고 기업 데이터에 대한 보안감을 조성할 수 있습니다.

권한이 없는 사용자로부터 정말 큰 데이터만 보호할 수 있습니다. 왜냐하면... 관리자는 보호 기능을 완전히 비활성화할 수 있으며 큰 비밀의 경우 하급 청소 관리자라도 몰래 화면 사진을 찍을 수 있고 동료의 화면을 통해 주소나 신용 카드 번호를 기억할 수도 있습니다. 어깨.
또한 이 모든 것은 직원이 외부 미디어에서 부팅을 활성화하기 위해 PC 내부 또는 최소한 BIOS에 물리적으로 액세스하는 것이 불가능한 경우에만 해당됩니다. 그러면 단지 정보 보호만 생각하는 기업에서는 거의 사용되지 않는 BitLocker도 도움이 되지 않을 수 있습니다.

진부하게 들리겠지만 결론은 소프트웨어/하드웨어 솔루션뿐만 아니라 사진/영상 촬영을 배제하고 허가받지 않은 '경이로운 기억력을 가진 소년'의 진입을 방지하기 위한 조직적, 기술적 조치를 포함하는 정보 보안에 대한 통합적 접근 방식입니다. 사이트. 대부분의 기업 보안 문제에 대한 원스텝 솔루션으로 광고되는 기적의 제품인 DL 8.2에 절대 의존해서는 안 됩니다.

출처 : habr.com