Em outubro de 2017, tive a oportunidade de participar de um seminário promocional do sistema DLP DeviceLock, onde, além de sua funcionalidade principal de proteção contra vazamentos, como o bloqueio de portas USB, análise contextual de e-mails e clipboard, foi promovida a proteção contra administradores. O modelo é simples e elegante — um instalador chega a uma pequena empresa, instala um conjunto de programas, bloqueia o BIOS, cria uma conta de administrador para o DeviceLock e deixa ao administrador local apenas os direitos de gerenciar o próprio Windows e o restante do software. Mesmo em caso de má intenção, esse administrador não poderá roubar nada. Mas isso é tudo teoria...
Como, após mais de 20 anos de trabalho na área de desenvolvimento de meios de proteção da informação, eu vi claramente que um administrador pode fazer tudo, especialmente tendo acesso físico ao computador, as principais defesas contra ele devem ser exclusivamente medidas organizacionais, como relatórios rigorosos e proteção física dos computadores que contêm informações importantes, então imediatamente surgiu a ideia de verificar a robustez do produto proposto.
A tentativa de fazer isso logo após o seminário não teve sucesso; bloquearam diretamente a remoção do serviço principal DlService.exe e até lembraram dos direitos de acesso e da escolha da última configuração bem-sucedida, resultando na impossibilidade de derrubá-lo, como a maioria dos vírus, ao negar ao sistema o acesso de leitura e execução.
A todas as perguntas sobre a proteção, certamente já existentes nos drivers do produto, o representante da empresa desenvolvedora Smart Line afirmou com confiança que "tudo está no mesmo nível".
Um dia depois, decidi continuar as investigações e baixei a versão de teste. Fiquei imediatamente surpreso com o tamanho do pacote, quase 2 GB! Estou acostumado a que o software de sistema, que se costuma classificar como meios de proteção da informação (MPI), tenha um tamanho muito mais compacto.
Após a instalação, fiquei surpreso pela segunda vez — o tamanho do mencionado executável também é considerável — 13 MB. Pensei imediatamente que, com esse volume, deveria haver algo para explorar. Tentei substituir o módulo usando gravação adiada — bloqueado. Investiguei nas pastas do programa, e havia nada menos que 11 drivers! Testei as permissões — não estavam bloqueadas para alteração! Bem, tudo bem, é um bloqueio geral, vamos reiniciar!
O efeito é simplesmente espetacular — todas as funções foram desativadas, o serviço não iniciou. Que proteção pode haver, se pode simplesmente copiar o que quiser, seja em pen drives ou através da rede? Apareceu a primeira falha séria do sistema — a interdependência excessiva dos componentes. Sim, o serviço deve se comunicar com os drivers, mas por que ele deve falhar se ninguém responde? No final, existe um método de contornar a proteção.
Descobrindo que o serviço é tão delicado e sensível, decidi testar suas dependências de bibliotecas externas. Aqui é ainda mais simples, a lista é longa, simplesmente apagamos aleatoriamente a biblioteca WinSock_II e observamos a mesma situação — o serviço não iniciou, o sistema está aberto.
Como resultado, temos o que foi descrito pelo palestrante no seminário, uma cerca poderosa, mas que não cerca todo o perímetro protegido devido à falta de verba, e na área não cercada, apenas um espinho. Neste caso, considerando a arquitetura do produto de software, que não pressupõe um ambiente fechado por padrão, mas sim uma série de tampões variados, interceptores, e analisadores de tráfego, isso é mais como uma cerca de estacas, onde muitas tábuas estão pregadas com parafusos, tornando-as muito fáceis de desatarrachar. O problema da maioria dessas soluções é que, com tantas brechas potenciais, sempre há a chance de esquecer algo, perder uma interdependência ou impactar a estabilidade ao implementar mal algum dos interceptores. Judging pela superfície das vulnerabilidades apresentadas neste artigo, o produto contém ainda muitas outras, cujas busca pode levar algumas horas a mais.
Além disso, o mercado está cheio de exemplos de implementação eficaz de proteção contra desativação, como os softwares antivírus nacionais, onde a autodefesa não pode ser facilmente contornada. Pelo que sei, eles não economizaram esforço para passar pela certificação do FSTEC.
Após várias conversas com os funcionários da Smart Line, foram encontrados vários locais semelhantes dos quais eles nunca tinham ouvido falar. Um dos exemplos é o mecanismo ArrInitDll.
Embora não seja o mais profundo, muitas vezes permite evitar a interferência no núcleo do sistema operacional sem afetar sua estabilidade. Os drivers da nVidia utilizam esse mecanismo amplamente para ajustar a placa de vídeo para um jogo específico.
Levanta questões a completa ausência de uma abordagem integrada para a construção de um sistema automatizado com base no DL 8.2. É sugerido descrever ao cliente as vantagens do produto, verificar a capacidade de processamento dos PCs existentes e servidores (analisadores contextuais são bastante exigentes em recursos, e os monitores tudo-em-um e nettops baseados em Atom não são adequados neste caso) e simplesmente implementar a solução por cima. Neste processo, termos como "controle de acesso", "ambiente de software fechado" nem sequer foram mencionados no seminário. Sobre a criptografia, foi dito que, além da complexidade, isso levantará questões para os reguladores, embora na realidade não haja problemas com isso. Questões sobre certificação são rejeitadas até mesmo pela FSTEC devido à sua suposta complexidade e lentidão. Como especialista em segurança da informação que já participou de procedimentos semelhantes, posso afirmar que, durante sua execução, muitas vulnerabilidades, semelhantes às descritas neste material, são descobertas, pois os especialistas dos laboratórios certificadores possuem uma formação técnica séria.
Como resultado, o sistema DLP apresentado pode desempenhar um conjunto bastante limitado de funções que realmente garantem a segurança da informação, gerando, ao mesmo tempo, uma carga computacional significativa e criando a falsa sensação de proteção dos dados corporativos para a gerência não experiente em questões de segurança da informação.
Na realidade, ele pode proteger apenas dados realmente grandes de usuários não privilegiados, uma vez que o administrador é totalmente capaz de desativar completamente a proteção, e para segredos menores, até um gerente de limpeza pode facilmente tirar uma foto da tela de forma discreta, ou até memorizar um endereço ou número de cartão de crédito, olhando por cima do ombro de um colega.
E tudo isso é válido apenas na impossibilidade de acesso físico dos funcionários aos componentes internos dos PCs ou pelo menos à BIOS para ativar o boot a partir de dispositivos externos. Nesse caso, mesmo o BitLocker pode não ajudar, que provavelmente não é aplicado em empresas que estão apenas considerando a proteção da informação.
A conclusão, por mais clichê que pareça, é que na abordagem abrangente à segurança da informação, devemos incluir não apenas soluções de software e hardware, mas também medidas organizacionais e técnicas para evitar gravações de fotos/vídeos e prevenir a entrada de pessoas não autorizadas, como aqueles 'meninos com memória fenomenal'. Não se deve, em hipótese alguma, depender do produto milagroso DL 8.2, anunciado como a solução única para a maioria dos problemas de segurança empresarial.
Fonte: habr.com
