V októbri 2017 som sa zúčastnil reklamného seminára DLP systému DeviceLock, kde okrem základných funkcií na ochranu proti únikom, ako je blokovanie USB portov, kontextová analýza e-mailov a schránky, bola propagovaná aj ochrana pred administrátorom. Model je jednoduchý a prehľadný — do malej firmy príde inštalátor, nainštaluje softvérový balík, uzamkne BIOS, vytvorí administrátorsky účet DeviceLock a miestnemu adminovi ponechá len práva na správu samotného Windowsu a ostatného softvéru. Aj v prípade zlého úmyslu tento administrátor nič ukradnúť nemôže. Ale to je všetko teória…
Keďže za viac ako 20 rokov práce v oblasti vývoja prostriedkov na ochranu informácií som sa jasne presvedčil, že administrátor môže spraviť všetko, najmä pokiaľ má fyzický prístup k počítaču, jediné, čo môže slúžiť ako hlavná ochrana proti nemu, sú organizačné opatrenia, ako je prísna evidencia a fyzická ochrana počítačov, ktoré obsahujú dôležité informácie, okamžite ma napadlo otestovať odolnosť odporúčaného produktu.
Pokús o realizáciu hneď po skončení seminára zlyhal, v zásade bola implementovaná ochrana pred odstránením hlavnej služby DlService.exe a zabudli sme aj na prístupové práva a výber poslednej úspešnej konfigurácie, v dôsledku čoho nebolo možné ju odstrániť, ako väčšinu vírusov, zakázaním systému prístup k čítaniu a vykonávaniu.
Na všetky otázky o ochrane pred zjavne existujúcimi v produkte ovládačmi zástupca firmy Smart Line s dôverou vyhlásil, že „všetko zostáva na tej istej úrovni“.
O deň neskôr som sa rozhodol pokračovať v skúmaní, stiahol som skúšobnú verziu. Hneď ma prekvapila veľkosť distribuovania, takmer 2 GB! Som zvyknutý, že systémový softvér, ktorý sa zvyčajne považuje za prostriedky na ochranu informácií (PZI), má obvykle oveľa kompaktnejšiu veľkosť.
Po inštalácii som sa opäť prekvapil — veľkosť vyššie uvedeného exe súboru je tiež pomerne veľká — 13 MB. Hneď sa mi zdalo, že pri takejto veľkosti je tam za čo chytiť. Skúšal som nahradiť modul pomocou oneskorenej zápisu — uzavreté. Prehľadal som adresáre programu a tam bolo dokopy 11 ovládačov! Skontroloval som oprávnenia — nie sú uzavreté na zmenu! Nuž dobre, všetkým zakážime, reštartujeme!
Efekt je jednoducho ohromujúci — všetky funkcie sa vypnuli, služba sa nespustila. Aká samoochrana, vezmi si a kopíruj, čo chceš, či už na USB kľúče alebo cez sieť. Vyskytla sa prvá vážna nevýhoda systému — príliš silná previazanost komponentov. Áno, služba by mala komunikovať s ovládačmi, ale prečo padnúť, ak nikto neodpovedá? Napokon existuje len jedna metóda obídenia ochrany.
Keď som zistil, že zázračná služba je taká krehká a citlivá, rozhodol som sa overiť jej závislosti na externých knižniciach. Tu je to ešte jednoduchšie, zoznam je veľký, jednoducho náhodne vymažeme knižnicu WinSock_II a sledujeme podobný obraz — služba sa nespustila, systém je otvorený.
V dôsledku toho máme to, čo opísal prednášajúci na seminári, silný plot, ktorý však neobklopuje celý chránený perimetr kvôli nedostatku peňazí, a na nezaistenom úseku je jednoducho trňový ker. V tomto prípade, s ohľadom na architektúru programového produktu, ktorá nepripúšťa uzavretú predvolenú prostredie, ale množstvo rôznych zátok, zachytávačov a analyzátorov prevádzky, je to skôr plot, pričom mnohé latky sú pripevnené samorezkami z vonku a veľmi ľahko sa dajú odskrutkovať. Problémy väčšiny podobných riešení spočívajú v tom, že pri takom obrovskom množstve potenciálnych dier je vždy pravdepodobnosť niečo zabudnúť, prehliadnuť previazanost alebo ovplyvniť stabilitu nešťastným zrealizovaním niektorého z zachytávačov. Súdne podľa toho, že uvedené v tomto článku zraniteľnosti sú len na povrchu, produkt obsahuje ešte množstvo ďalších, ktorých hľadanie trvá o pár hodín dlhšie.
Na trhu je množstvo príkladov kvalitnej realizácie ochrany pred vypnutím, napríklad domáce antivírusové prostriedky, kde sa samoochranu tak ľahko obísť nedá. Pokiaľ viem, nešetrili námahou na certifikáciu FSTEK.
Po niekoľkých rozhovoroch so zamestnancami Smart Line bolo nájdených niekoľko podobných miest, o ktorých ani nepočuli. Jeden z príkladov — mechanizmus ArrInitDll.
Nech je to nie najhlbšie, predsa len v mnohých prípadoch umožňuje obísť zasahovanie do jadra OS a neovplyvňuje jej stabilitu. Ovládače nVidia naplno využívajú tento mechanizmus na prispôsobenie grafického adaptéra konkrétnej hre.
Vyvoláva otázky úplný nedostatok komplexného prístupu k vytváraniu automatizovaného systému na báze DL 8.2. Navrhuje sa predložiť zákazníkovi výhody produktu, skontrolovať výpočtový výkon existujúcich PC a serverov (kontextové analyzátory sú veľmi náročné na zdroje a módne teraz kancelárske monobloky a nettopy na báze Atomu v tomto prípade nie sú vhodné) a jednoducho ho aplikovať. Pri tom také pojmy ako „práva prístupu“, „uzavretý softvérový prostredie“, sa na seminári ani nespomenuli. O šifrovaní sa povedalo, že okrem zložitosti vyvolá otázky regulátorov, aj keď v skutočnosti s tým nie sú žiadne problémy. Otázky o certifikácii sú dokonca vo FSTEK odmietané kvôli ich údajnej zložitosti a zdĺhavosti. Ako odborník na informačnú bezpečnosť, ktorý sa viackrát zúčastnil podobných procedúr, môžem povedať, že počas ich vykonávania sa odhaľuje množstvo zraniteľností, podobných tým, ktoré sú popísané v tomto materiáli, pretože odborníci certifikačných laboratórií majú vážnu odbornú prípravu.
Nakoniec môže predložený DLP systém vykonávať veľmi obmedzený súbor funkcií, ktoré skutočne zaisťujú informačnú bezpečnosť, pričom generuje vážnu výpočtovú záťaž a vytvára pocit ochrany firemných údajov u menej znalého vedenia spoločnosti.
V skutočnosti môže chrániť len naozaj veľké dáta pred nepovoleným používateľom, pretože správca môže plne deaktivovať ochranu, a pre malé tajomstvá sa aj nižší manažér čistiacej služby môže bez problémov nápadne odfotiť obrazovku, alebo si zapamätať adresu či číslo kreditnej karty, keď sa pozrie cez plece kolegu.
A to všetko platí len v prípade, ak je fyzický prístup zamestnancov k vnútornostiam počítača, alebo aspoň k BIOS-u na aktiváciu spúšťania z externých nosičov nemožný. Potom môže nepomôcť ani BitLocker, ktorý sa pravdepodobne neaplikuje vo firmách, ktoré len zvažujú ochranu informácií.
Vyvod, hoci to znie banálne, je súčasťou komplexného prístupu k informačnej bezpečnosti, ktorý zahŕňa nielen softvérové/hardvérové riešenia, ale aj organizačno-technické opatrenia na vylúčenie fotenia/videonahrávania a zabránenie prístupu cudzím "chlapcom s fenomenálnou pamäťou". Na zázračný produkt DL 8.2, propagovaný ako jednorazové riešenie väčšiny problémov s bezpečnosťou podniku, sa nesmie spoľahnúť v žiadnom prípade.
Zdroj: habr.com
