TL; DR ak vaše firemné mobilné zariadenia vyžadujú antivírus, tak robíte všetko zle a antivírus vám nepomôže.
Tento príspevok je výsledkom búrlivej diskusie o tom, či je na firemnom mobilnom telefóne potrebný antivírus, v akých prípadoch funguje a v akých je zbytočný. Článok skúma modely hrozieb, pred ktorými by teoreticky mal antivírus chrániť.
Dodávateľom antivírusov sa často podarí presvedčiť firemných klientov, že antivírus výrazne zlepší ich bezpečnosť, no vo väčšine prípadov ide o iluzórnu ochranu, ktorá len znižuje ostražitosť používateľov aj správcov.
Správna firemná infraštruktúra
Keď má spoločnosť desiatky alebo dokonca tisíce zamestnancov, nie je možné manuálne nakonfigurovať každé používateľské zariadenie. Nastavenia sa môžu meniť každý deň, prichádzajú noví zamestnanci, ich mobilné telefóny a notebooky sa pokazia alebo stratia. V dôsledku toho by všetka práca administrátorov pozostávala z každodenného nasadzovania nových nastavení na zariadeniach zamestnancov.
Tento problém sa na stolných počítačoch začal riešiť už dávno. Vo svete Windows sa takáto správa zvyčajne uskutočňuje pomocou Active Directory, centralizovaných autentifikačných systémov (Single Sign In) atď. Teraz však majú všetci zamestnanci do svojich počítačov pridané smartfóny, na ktorých prebieha značná časť pracovných procesov a ukladajú sa dôležité dáta. Microsoft sa pokúsil integrovať svoje Windows Phones do jedného ekosystému s Windowsom, no tento nápad zomrel s oficiálnou smrťou Windows Phone. Vo firemnom prostredí si preto v každom prípade musíte vybrať medzi Androidom a iOS.
Teraz v podnikovom prostredí je koncept UEM (Unified endpoint management) v móde pre správu zariadení zamestnancov. Ide o centralizovaný systém správy pre mobilné zariadenia a stolné počítače.
Centralizovaná správa používateľských zariadení (Unified endpoint management)
Správca systému UEM môže nastaviť rôzne politiky pre zariadenia používateľov. Napríklad umožnenie používateľovi väčšiu či menšiu kontrolu nad zariadením, inštalácia aplikácií zo zdrojov tretích strán atď.
Čo dokáže UEM:
Spravujte všetky nastavenia — správca môže používateľovi úplne zakázať meniť nastavenia na zariadení a meniť ich na diaľku.
Ovládanie softvéru na zariadení — umožniť inštaláciu programov do zariadenia a automatickú inštaláciu programov bez vedomia používateľa. Administrátor môže tiež zablokovať alebo povoliť inštaláciu programov z obchodu s aplikáciami alebo z nedôveryhodných zdrojov (zo súborov APK v prípade Androidu).
Diaľkové blokovanie — ak sa telefón stratí, správca môže zablokovať zariadenie alebo vymazať údaje. Niektoré systémy tiež umožňujú nastaviť automatické vymazanie údajov, ak telefón nekontaktuje server dlhšie ako N hodín, aby sa eliminovala možnosť offline pokusov o hackovanie, keď sa útočníkom podarilo odstrániť SIM kartu pred odoslaním príkazu na vymazanie údajov zo servera. .
Zbierajte štatistiky — sledovať aktivitu používateľa, čas používania aplikácie, polohu, úroveň nabitia batérie atď.
Čo sú UEM?
Pre centralizovanú správu zamestnaneckých smartfónov existujú dva zásadne odlišné prístupy: v jednom prípade spoločnosť nakupuje pre zamestnancov zariadenia od jedného výrobcu a zvyčajne si zvolí systém správy od toho istého dodávateľa. V inom prípade zamestnanci využívajú na prácu svoje osobné zariadenia a tu sa začína zoo operačných systémov, verzií a platforiem.
BYOD (Bring your own device) je koncept, v ktorom zamestnanci používajú na prácu svoje osobné zariadenia a účty. Niektoré systémy centralizovanej správy vám umožňujú pridať druhý pracovný účet a úplne oddeliť vaše údaje na osobné a pracovné.
- Natívny systém centralizovaného riadenia spoločnosti Apple. Môže spravovať iba zariadenia Apple, počítače s macOS a telefóny so systémom iOS. Podporuje BYOD, čím vytvára druhé izolované prostredie s iným účtom iCloud.
— umožňuje spravovať telefóny na Android a Apple iOS, ako aj desktopy na Windows 10. Je ohlásená podpora BYOD.
- Podporuje iba mobilné zariadenia Samsung. V tomto prípade môžete okamžite použiť iba .
V skutočnosti existuje oveľa viac poskytovateľov UEM, ale v tomto článku ich nebudeme všetkých analyzovať. Hlavná vec, ktorú treba mať na pamäti, je, že takéto systémy už existujú a umožňujú správcovi nakonfigurovať používateľské zariadenia adekvátne k existujúcemu modelu hrozby.
Model ohrozenia
Pred výberom ochranných nástrojov musíme pochopiť, pred čím sa chránime, čo najhoršie sa môže v našom konkrétnom prípade stať. Relatívne povedané: naše telo je ľahko zraniteľné guľkou a dokonca aj vidličkou a klincom, ale pri odchode z domu si neobliekame nepriestrelnú vestu. Náš model ohrozenia preto nezahŕňa riziko zastrelenia cestou do práce, hoci štatisticky to nie je až také nepravdepodobné. Navyše za určitých podmienok je nosenie nepriestrelnej vesty úplne opodstatnené.
Modely hrozieb sa líšia od spoločnosti k spoločnosti. Vezmime si napríklad smartfón kuriéra, ktorý je na ceste doručiť balík klientovi. Jeho smartfón obsahuje iba adresu aktuálneho doručenia a trasu na mape. Najhoršie, čo sa s jeho údajmi môže stať, je únik doručovacích adries balíkov.
A tu je smartfón účtovníka. Má prístup do firemnej siete cez VPN, má nainštalovanú firemnú klientsko-bankovú aplikáciu a uchováva dokumenty s cennými informáciami. Je zrejmé, že hodnota údajov na týchto dvoch zariadeniach sa výrazne líši a mali by byť chránené odlišne.
Zachráni nás antivírus?
Bohužiaľ, za marketingovými sloganmi sa stráca skutočný význam úloh, ktoré antivírus vykonáva na mobilnom zariadení. Pokúsme sa podrobne pochopiť, čo antivírus robí v telefóne.
Bezpečnostný audit
Väčšina moderných mobilných antivírusov kontroluje nastavenia zabezpečenia v zariadení. Tento audit sa niekedy nazýva „kontrola reputácie zariadenia“. Antivírusy považujú zariadenie za bezpečné, ak sú splnené štyri podmienky:
- Zariadenie nie je hacknuté (root, útek z väzenia).
- Zariadenie má nakonfigurované heslo.
- Na zariadení nie je povolené ladenie USB.
- Inštalácia aplikácií z nedôveryhodných zdrojov (sideloading) nie je na zariadení povolená.
Ak sa v dôsledku kontroly zistí, že zariadenie nie je bezpečné, antivírus upozorní vlastníka a ponúkne mu deaktiváciu „nebezpečnej“ funkcie alebo vrátenie firmvéru z výroby, ak sa objavia známky root alebo útek z väzenia.
Podľa firemných zvyklostí nestačí len upozorniť používateľa. Nebezpečné konfigurácie musia byť odstránené. Ak to chcete urobiť, musíte nakonfigurovať zásady zabezpečenia na mobilných zariadeniach pomocou systému UEM. A ak sa zistí root / útek z väzenia, musíte rýchlo odstrániť podnikové údaje zo zariadenia a zablokovať jeho prístup do podnikovej siete. A to je možné aj s UEM. A až po týchto postupoch možno mobilné zariadenie považovať za bezpečné.
Vyhľadajte a odstráňte vírusy
Na rozdiel od všeobecného presvedčenia, že pre iOS neexistujú žiadne vírusy, to nie je pravda. Vo voľnej prírode stále existujú bežné exploity pre staršie verzie systému iOS, ktoré prostredníctvom zneužitia zraniteľností prehliadača. Zároveň je vzhľadom na architektúru iOS vývoj antivírusov pre túto platformu nemožný. Hlavným dôvodom je, že aplikácie nemajú prístup k zoznamu nainštalovaných aplikácií a majú veľa obmedzení pri prístupe k súborom. Iba UEM môže získať zoznam nainštalovaných aplikácií pre iOS, ale ani UEM nemá prístup k súborom.
V prípade Androidu je situácia iná. Aplikácie môžu získať informácie o aplikáciách nainštalovaných v zariadení. Môžu dokonca pristupovať k ich distribúciám (napríklad Apk Extractor a jeho analógy). Aplikácie pre Android majú tiež možnosť prístupu k súborom (napríklad Total Commander atď.). Aplikácie pre Android je možné dekompilovať.
S takýmito schopnosťami vyzerá nasledujúci antivírusový algoritmus logicky:
- Kontrola aplikácie
- Získajte zoznam nainštalovaných aplikácií a kontrolné súčty (CS) ich distribúcií.
- Skontrolujte aplikácie a ich CS najprv v lokálnej a potom v globálnej databáze.
- Ak aplikácia nie je známa, preneste jej distribúciu do globálnej databázy na analýzu a dekompiláciu.
- Kontrola súborov, vyhľadávanie vírusových podpisov
- Skontrolujte súbory CS v lokálnej a potom v globálnej databáze.
- Skontrolujte súbory na nebezpečný obsah (skripty, exploity atď.) pomocou lokálnej a potom globálnej databázy.
- Ak sa zistí malvér, upozornite používateľa a/alebo zablokujte prístup používateľa k malvéru a/alebo pošlite informácie UEM. Je potrebné preniesť informácie do UEM, pretože antivírus nemôže nezávisle odstrániť malvér zo zariadenia.
Najväčšou obavou je možnosť prenosu softvérových distribúcií zo zariadenia na externý server. Bez toho nie je možné implementovať „analýzu správania“, ktorú tvrdia výrobcovia antivírusov, pretože Na zariadení nemôžete spustiť aplikáciu v samostatnom „sandboxe“ alebo ju dekompilovať (nakoľko efektívna je pri používaní zahmlievania, je samostatná komplexná otázka). Na druhej strane, firemné aplikácie môžu byť nainštalované na mobilných zariadeniach zamestnancov, ktoré antivírus nepozná, pretože nie sú v Google Play. Tieto mobilné aplikácie môžu obsahovať citlivé údaje, ktoré môžu spôsobiť, že tieto aplikácie nebudú uvedené vo verejnom obchode. Prenos takýchto distribúcií na výrobcu antivírusu sa z hľadiska bezpečnosti javí ako nesprávny. Má zmysel ich pridávať k výnimkám, ale o existencii takéhoto mechanizmu zatiaľ neviem.
Malvér bez oprávnení root môže
1. Nakreslite svoje vlastné neviditeľné okno na vrch aplikácie alebo implementujte vlastnú klávesnicu na kopírovanie údajov zadaných používateľom – parametre účtu, bankové karty a pod. Nedávnym príkladom je zraniteľnosť. , pomocou ktorého je možné nahradiť aktívnu obrazovku aplikácie a získať tak prístup k užívateľom zadaným údajom. Pre používateľa to znamená možnosť odcudzenia účtu Google s prístupom k zálohe zariadenia a údajom o bankovej karte. Pre organizáciu je zasa dôležité nestratiť svoje dáta. Ak sú údaje v súkromnej pamäti aplikácie a nie sú obsiahnuté v zálohe Google, malvér k nim nebude mať prístup.
2. Prístup k údajom vo verejných adresároch – súbory na stiahnutie, dokumenty, galéria. Neodporúča sa ukladať do týchto adresárov informácie o firme, pretože k nim má prístup akákoľvek aplikácia. A samotný používateľ bude môcť vždy zdieľať dôverný dokument pomocou akejkoľvek dostupnej aplikácie.
3. Obťažujte užívateľa reklamou, ťažte bitcoiny, buďte súčasťou botnetu atď.. To môže mať negatívny vplyv na výkon používateľa a/alebo zariadenia, ale nebude to predstavovať hrozbu pre podnikové dáta.
Malvér s oprávneniami root môže potenciálne robiť čokoľvek. Sú zriedkavé, pretože hackovanie moderných zariadení Android pomocou aplikácie je takmer nemožné. Naposledy bola takáto zraniteľnosť objavená v roku 2016. Toto je senzačná Dirty COW, ktorá dostala číslo . Kľúčom v tomto prípade je, že ak klient zistí známky kompromisu UEM, klient vymaže zo zariadenia všetky podnikové informácie, takže pravdepodobnosť úspešnej krádeže údajov pomocou takéhoto malvéru v podnikovom svete je nízka.
Škodlivé súbory môžu poškodiť mobilné zariadenie aj podnikové systémy, ku ktorým má prístup. Pozrime sa na tieto scenáre podrobnejšie.
Poškodenie mobilného zariadenia môže byť spôsobené napríklad tým, že si naň stiahnete obrázok, ktorý po otvorení alebo pri pokuse o inštaláciu tapety zmení zariadenie na „tehlu“ alebo ho reštartuje. S najväčšou pravdepodobnosťou to poškodí zariadenie alebo používateľa, ale neovplyvní to súkromie údajov. Aj keď existujú výnimky.
Nedávno sa diskutovalo o zraniteľnosti . Tvrdilo sa, že by sa dal použiť na získanie prístupu ku konzole mobilných zariadení Samsung pomocou infikovaného obrázka odoslaného prostredníctvom e-mailu, instant messenger alebo MMS. Hoci prístup cez konzolu znamená mať prístup iba k údajom vo verejných adresároch, kde by citlivé informácie nemali byť, súkromie osobných údajov používateľov je ohrozené, čo používateľov vystrašilo. Hoci v skutočnosti je možné útočiť iba na zariadenia pomocou MMS. A pre úspešný útok potrebujete poslať 75 až 450 (!) správ. Antivírus tu bohužiaľ nepomôže, pretože nemá prístup k denníku správ. Na ochranu pred týmto existujú iba dve možnosti. Aktualizujte OS alebo zablokujte MMS. Na prvú možnosť môžete dlho čakať a nečakať, pretože... Výrobcovia zariadení nevydávajú aktualizácie pre všetky zariadenia. Vypnutie príjmu MMS je v tomto prípade oveľa jednoduchšie.
Súbory prenášané z mobilných zariadení môžu poškodiť podnikové systémy. Napríklad v mobilnom zariadení je infikovaný súbor, ktorý nemôže poškodiť zariadenie, ale môže infikovať počítač so systémom Windows. Používateľ pošle takýto súbor emailom svojmu kolegovi. Otvorí ho na PC a tým ho môže infikovať. Tomuto vektoru útoku však stoja v ceste minimálne dva antivírusy – jeden na e-mailovom serveri a druhý na PC príjemcu. Pridanie tretieho antivírusu do tohto reťazca na mobilnom zariadení sa zdá byť priam paranoidné.
Ako vidíte, najväčšou hrozbou v podnikovom digitálnom svete je malvér bez oprávnení root. Odkiaľ môžu pochádzať z mobilného zariadenia?
Najčastejšie sa inštalujú pomocou sideloadingu, adb alebo obchodov tretích strán, čo by malo byť zakázané na mobilných zariadeniach s prístupom do firemnej siete. Existujú dve možnosti, ako môže malvér prísť: zo služby Google Play alebo z UEM.
Pred zverejnením v službe Google Play prechádzajú všetky aplikácie povinným overením. Ale pre aplikácie s malým počtom inštalácií sa kontroly najčastejšie vykonávajú bez ľudského zásahu, iba v automatickom režime. Preto sa niekedy malvér dostane do Google Play, ale stále nie často. Antivírus, ktorého databázy sa aktualizujú včas, bude schopný detekovať aplikácie s malvérom v zariadení pred Google Play Protect, ktorý v rýchlosti aktualizácie antivírusových databáz stále zaostáva.
UEM môže nainštalovať akúkoľvek aplikáciu na mobilné zariadenie, vrát. malvér, takže každá aplikácia musí byť najprv skontrolovaná. Aplikácie je možné kontrolovať počas ich vývoja pomocou nástrojov statickej a dynamickej analýzy, ako aj bezprostredne pred ich distribúciou pomocou špecializovaných sandboxov a/alebo antivírusových riešení. Je dôležité, aby bola aplikácia pred odovzdaním do UEM raz overená. Preto v tomto prípade nie je potrebný antivírus na mobilnom zariadení.
Ochrana siete
V závislosti od výrobcu antivírusu môže vaša sieťová ochrana ponúkať jednu alebo viacero z nasledujúcich funkcií.
Filtrovanie adries URL sa používa na:
- Blokovanie prevádzky podľa kategórií zdrojov. Napríklad zakázať sledovanie správ alebo iného nefiremného obsahu pred obedom, keď je zamestnanec najefektívnejší. V praxi blokovanie najčastejšie funguje s mnohými obmedzeniami - výrobcovia antivírusov nie vždy dokážu aktualizovať adresáre kategórií zdrojov včas, berúc do úvahy prítomnosť mnohých „zrkadiel“. Okrem toho existujú anonymizátory a Opera VPN, ktoré väčšinou nie sú blokované.
- Ochrana pred phishingom alebo spoofingom cieľových hostiteľov. Za týmto účelom sa najprv skontrolujú adresy URL, ku ktorým pristupuje zariadenie, v porovnaní s antivírusovou databázou. Odkazy, ako aj zdroje, na ktoré vedú (vrátane možných viacnásobných presmerovaní), sa kontrolujú v porovnaní s databázou známych phishingových stránok. Medzi mobilným zariadením a dôveryhodným serverom sa overuje aj názov domény, certifikát a IP adresa. Ak klient a server prijímajú odlišné údaje, ide buď o MITM („muž v strede“), alebo o blokovanie prevádzky pomocou rovnakého antivírusu alebo rôznych druhov proxy a webových filtrov v sieti, ku ktorej je mobilné zariadenie pripojené. Je ťažké s istotou povedať, že je niekto uprostred.
Na získanie prístupu k mobilnej prevádzke antivírus bud vybuduje VPN alebo využíva možnosti Accessibility API (API pre aplikácie určené pre ľudí so zdravotným postihnutím). Súčasná prevádzka viacerých VPN na mobilnom zariadení je nemožná, takže ochrana siete pred antivírusmi, ktoré si budujú vlastnú VPN, nie je v podnikovom svete použiteľná. VPN z antivírusu jednoducho nebude fungovať spolu s firemnou VPN, ktorá sa používa na prístup do podnikovej siete.
Poskytnutie antivírusového prístupu k API Accessibility predstavuje ďalšie nebezpečenstvo. Prístup k API Accessibility v podstate znamená povolenie urobiť pre používateľa čokoľvek – vidieť, čo používateľ vidí, vykonávať akcie s aplikáciami namiesto používateľa atď. Vzhľadom na to, že používateľ musí výslovne udeliť antivírusu takýto prístup, s najväčšou pravdepodobnosťou to odmietne. Alebo ak bude nútený, kúpi si ďalší telefón bez antivírusu.
POŽARNE DVERE
Pod týmto všeobecným názvom sa skrývajú tri funkcie:
- Zbierka štatistík o využívaní siete, rozdelená podľa aplikácie a typu siete (Wi-Fi, mobilný operátor). Väčšina výrobcov zariadení so systémom Android poskytuje tieto informácie v aplikácii Nastavenia. Duplikovať ho v mobilnom antivírusovom rozhraní sa zdá byť zbytočné. Súhrnné informácie o všetkých zariadeniach môžu byť zaujímavé. Úspešne ho zbierajú a analyzujú systémy UEM.
- Obmedzenie mobilnej prevádzky – nastavenie limitu, ktorý vás upozorní na jeho dosiahnutie. Pre väčšinu používateľov zariadení so systémom Android sú tieto funkcie dostupné v aplikácii Nastavenia. Centralizované nastavenie obmedzení je úlohou UEM, nie antivírusu.
- Vlastne firewall. Alebo, inými slovami, blokovanie prístupu k určitým IP adresám a portom. Ak vezmeme do úvahy DDNS na všetkých populárnych zdrojoch a potrebu povoliť VPN pre tieto účely, ktorá, ako je napísané vyššie, nemôže fungovať v spojení s hlavnou VPN, funkcia sa zdá byť v podnikovej praxi nepoužiteľná.
Kontrola splnomocnenia pre Wi-Fi
Mobilné antivírusy dokážu vyhodnotiť bezpečnosť Wi-Fi sietí, ku ktorým sa mobilné zariadenie pripája. Dá sa predpokladať, že sa kontroluje prítomnosť a sila šifrovania. Všetky moderné programy zároveň využívajú na prenos citlivých údajov šifrovanie. Preto, ak je niektorý program zraniteľný na úrovni prepojenia, je tiež nebezpečné ho používať prostredníctvom akýchkoľvek internetových kanálov, nielen cez verejné Wi-Fi.
Verejná Wi-Fi, vrátane siete bez šifrovania, preto nie je o nič nebezpečnejšia a o nič menej bezpečná ako akékoľvek iné nedôveryhodné kanály na prenos údajov bez šifrovania.
Ochrana proti spamu
Ochrana spravidla spočíva vo filtrovaní prichádzajúcich hovorov podľa zoznamu určeného používateľom alebo podľa databázy známych spamerov, ktorí donekonečna otravujú poistenie, pôžičky a pozvánky do divadla. Hoci počas sebaizolácie nevolajú, čoskoro začnú znova. Filtrovaniu podliehajú iba hovory. Správy na aktuálnych zariadeniach so systémom Android nie sú filtrované. Vzhľadom na pravidelnú zmenu počtu spamerov a nemožnosť ochrany textových kanálov (SMS, instant messenger) je funkcionalita skôr marketingového ako praktického charakteru.
Ochrana proti krádeži
Vykonávanie akcií na diaľku s mobilným zariadením v prípade straty alebo krádeže. Alternatíva k službám Find My iPhone a Find My Device od Apple a Google, resp. Na rozdiel od svojich analógov nemôžu služby výrobcov antivírusov zablokovať zariadenie, ak sa útočníkovi podarilo obnoviť továrenské nastavenia. Ak sa tak však ešte nestalo, môžete so zariadením na diaľku vykonať nasledovné:
- Blokovať. Ochrana pred jednoduchým zlodejom, pretože to možno ľahko vykonať obnovením továrenského nastavenia zariadenia prostredníctvom obnovenia.
- Zistite súradnice zariadenia. Užitočné, keď sa zariadenie nedávno stratilo.
- Zapnite hlasné pípnutie, ktoré vám pomôže nájsť vaše zariadenie, ak je v tichom režime.
- Obnovte výrobné nastavenia zariadenia. Dáva to zmysel, keď používateľ rozpoznal zariadenie ako nenávratne stratené, ale nechce, aby boli zverejnené údaje na ňom uložené.
- Ak chcete urobiť fotografiu. Odfoťte útočníka, ak drží telefón v rukách. Najspornejšou funkcionalitou je, že pravdepodobnosť, že by útočník obdivoval telefón pri dobrom osvetlení, je nízka. Prítomnosť aplikácie, ktorá dokáže potichu ovládať fotoaparát smartfónu, fotografovať a odosielať ich na server, však vyvoláva dôvodné obavy.
Vzdialené vykonávanie príkazov je základom každého systému UEM. Jediné, čo im chýba, je fotografovanie na diaľku. Toto je spoľahlivý spôsob, ako prinútiť používateľov, aby po skončení pracovného dňa vybrali batérie zo svojich telefónov a vložili ich do Faradayovej tašky.
Funkcie ochrany proti krádeži v mobilných antivírusoch sú dostupné iba pre Android. Pre iOS môže takéto akcie vykonávať iba UEM. Na zariadení so systémom iOS môže byť iba jeden UEM – ide o architektonický prvok systému iOS.
Závery
- Situácia, v ktorej si používateľ môže nainštalovať malvér do telefónu, NIE JE PRIJATNÁ.
- Správne nakonfigurované UEM na podnikovom zariadení eliminuje potrebu antivírusu.
- Ak sa zneužijú 0-dňové zraniteľnosti v operačnom systéme, antivírus je zbytočný. Môže iba upozorniť správcu, že zariadenie je zraniteľné.
- Antivírus nedokáže určiť, či je zraniteľnosť zneužitá. Rovnako ako vydanie aktualizácie pre zariadenie, pre ktoré už výrobca nevydáva bezpečnostné aktualizácie. Maximálne je to rok alebo dva.
- Ak odignorujeme požiadavky regulátorov a marketingu, tak firemné mobilné antivírusy sú potrebné len na zariadeniach s Androidom, kde majú používatelia prístup do Google Play a inštaláciu programov zo zdrojov tretích strán. V iných prípadoch nie je účinnosť používania antivírusov väčšia ako placebo.
Zdroj: hab.com