Në tetor 2017, pata mundësinë të merrja pjesë në një seminar promovues për sistemin DLP DeviceLock, ku përveç funksioneve kryesore të mbrojtjes nga daljet e dhënave si mbyllja e porteve USB, analiza kontekstuale e postës elektronike dhe kopjimi, u reklamua gjithashtu mbrojtja nga administratori. Modeli është i thjeshtë dhe i bukur — një instalues vjen në kompani të vogla, instalon kompleksin e programeve, parolon BIOS-in, krijon një llogari administratori DeviceLock, dhe i lë administratorit të lokal vetëm të drejtat për të menaxhuar Windows-in dhe softuerin tjetër. Edhe nëse ka ndonjë qëllim, ky admin nuk mund të vjedhë asgjë. Por gjithë kjo është teori...
Duke e konsideruar se pas 20+ vjetësh të punës në fushën e zhvillimit të mjeteve për mbrojtjen e informacionit, kam parë qartë se administratori mund të bëjë gjithçka, posaçërisht nëse ka akses fizik në kompjuter, mbrojtja kryesore ndaj tij mund të jetë vetëm masa organizative si raportimi rigoroz dhe mbrojtja fizike e kompjuterëve që përmbajnë informacion të rëndësishëm, më erdhi menjëherë në mendje ideja për të verifikuar qëndrueshmërinë e produktit të propozuar.
Përpjekja për ta bërë këtë menjëherë pas përfundimit të seminarit dështoi, mbrojtja ndaj fshirjes së shërbimit kryesor DlService.exe u bë dhe madje nuk u harrua as për të drejtat e aksesit dhe zgjedhjen e konfigurimit të fundit të suksesshëm, si rezultat i së cilës nuk arrita ta bëja atë të bjerë si shumica e viruseve, duke i ndaluar sistemit aksesin për të lexuar dhe ekzekutuar.
Për çdo pyetje mbi mbrojtjen e drejtorëve të pranishëm në produktin, përfaqësuesi i firmës zhvillues Smarter Line e tha me siguri se „të gjitha janë në të njëjtin nivel“.
Pasi një ditë vendosa ta vazhdoj kërkimin, shkarkova versionin provues. Menjëherë u befasova nga madhësia e distrobit prej gati 2 GB! U mësova që softueri sistemor, i cili zakonisht përfshin mjetet për mbrojtjen e informacionit (MIZ), zakonisht ka një madhësi shumë më kompakte.
Pas instalimit u befasova për herë të dytë — madhësia e ekzekutuesit ishte gjithashtu e konsiderueshme — 13 MB. Menjëherë mendova se me një volum të tillë kishte diçka për të kapur. Provova të zëvendësoj modulatin me ndihmën e regjistrimit të vonuar — e mbyllur. Kerkova në katalogët e programit, dhe aty kishte 11 driver-a! I provova për të drejtat — nuk ishin të mbyllura për ndryshime! Mirë, të gjithë ndalojnë, po ripozohemi!
Efekti është thjesht mahnitës - të gjitha funksionet u ndërprenë, shërbimi nuk u aktivizua. Çfarë vetëmbrojtjeje, merr dhe kopjo çfarë dëshiron, qoftë në USB, qoftë në rrjet. Doli disavantazhi i parë serioz i sistemit - lidhja shumë e fortë mes komponentëve. Po, shërbimi duhet të komunikojë me drejtuesit, por pse të bjerë nëse askush nuk përgjigjet? Si përfundim, ka një metodë për të anashkaluar mbrojtjen.
Pas kuptimit se shërbimi i mrekullueshëm është kaq delikat dhe i ndjeshëm, vendosa të verifikoj varësitë e tij nga bibliotekat e palëve të treta. Këtu është ende më e thjeshtë, lista është e madhe, thjesht izolojmë rastësisht bibliotekën WinSock_II dhe vëzhgojmë një pamje të ngjashme - shërbimi nuk u aktivizua, sistemi u hap.
Si rezultat, kemi atë që prezantuesi në seminar e përshkroi, një mur të fuqishëm, por që nuk e mbulon të gjithë perimetrin e mbrojtur për shkak të mungesës së fondeve, dhe në pjesën e paplotësuar ka thjesht një shkurre të thikë. Në këtë rast, duke marrë parasysh arkitekturën e produktit software, e cila supozon një mjedis të hapur si parazgjedhje dhe një shumëllojshmëri bllokuesish, kapësish, analizuesish të trafikut, kjo është më së shumti një gardh me kanale, për më tepër shumë viljeta janë të ngjitura me vetë-kryqëza jashtë dhe është shumë e lehtë t'i çoroditësh. Problemi i shumicës së zgjidhjeve të tilla është se me kaq shumë potenciale vrima, gjithmonë ekziston mundësia për të harruar diçka, për të humbur lidhjet ose për të ndikuar në stabilitet, duke e realizuar me pak fat ndonjë prej kapësve. Duke parë se vulnerabilitetet e përmendura në këtë artikull thjesht gjenden në sipërfaqe, produkti përmban ende shumë të tjera, të cilat duhet kërkuar për disa orë më shumë.
Dhe në treg ka shumë shembuj të realizimeve të mira të mbrojtjes nga fikja, për shembull, mjetet antivirus të vendit, ku vetëmbrojtja nuk mund të anashkalohet kaq lehtë. Sipas asaj që di, ata nuk u lodhën të kalojnë certifikimin FSTEC.
Pas bisedave me punonjësit e Smart Line, u gjetën disa vende të ngjashme, për të cilat ata as që ishin të njohur. Një nga shembujt është mekanizmi ArrInitDll.
Le t'i japim se nuk është më i thellë, megjithatë, në shumë raste lejon të kalosh pa hyrë në bërthamën e OS dhe pa ndikuar në stabilitetin e saj. Drejtuesit e nVidia e përdorin këtë mekanizëm për të përshtatur kartën grafike për një lojë specifike.
Këtu ngrejnë shqetësime, mungesa e plotë e një qasjeje të integruar për ndërtimin e një sistemi të automatizuar mbi DL 8.2. Propozohet që të ilustrohen përfitimet e produktit për klientin, të kontrollohet fuqia llogaritëse e PC-ve ekzistuese dhe serverësh (analizuesit konjuktivë janë shumë të konsumueshëm dhe këto monoblokë zyrtarë dhe nettops mbi bazën e Atom-it në këtë rast nuk përshtaten) dhe thjesht të instalohen sipër produkti. Gjatë këtij procesi, terma të tillë si 'nënndarje e aksesit', 'ambiente programore të mbyllura', as që u përmendën në seminar. Për kodimin u tha se, përveç kompleksitetit, do të shkaktojë shqetësime te institucionet rregulluese, megjithatë realisht nuk ka asnjë problem me këtë. Pyetjet për certifikimin madje refuzohen nga FSTEK për shkak të kompleksitetit dhe zvarritjes së tyre. Si specialist i sigurisë së informacionit, i cili ka marrë pjesë disa herë në procedurat e tilla, mund të them se gjatë procesit zbulohet një numër i madh dobësish, si ato të përshkruara në këtë material, pasi specialistët e laboratorëve të certifikimit kanë një përgatitje të thelluar profesionale.
Si rezultat, sistemi DLP i paraqitur mund të kryejë një sërë të vogël funksionesh, që realisht sigurojnë sigurinë e informacionit, duke gjeneruar në të njëjtën kohë një ngarkesë të rëndë llogaritëse dhe duke krijuar për udhëheqësit e paqenë të sigurisë në kompani një ndjenjë të mbrojtjes së të dhënave korporative.
Realistikisht, ajo mund të mbrojë të dhëna të mëdha nga përdorues të pa privilegjuar, pasi administratorët janë në gjendje të deaktivizojnë plotësisht mbrojtjen, dhe për sekrete të vogla, një menaxher i thjeshtë i pastrimit do ta kuptojë pa e vënë re, duke bërë një fotografi të ekranit, ose edhe duke mbajtur mend adresën ose numrin e kartës së kreditit, duke shikuar në ekran nga pas shpatullës së kolegut.
Gjithsesi, e gjithë kjo është e saktë vetëm në rast se nuk ka mundësi fizik për punonjësit për të qasje në brendësi të PC-ve apo të paktën në BIOS për të aktivizuar ngarkimin nga mjete të jashtme. Atëherë, madje as BitLocker nuk do të ndihmojë, i cili ka të ngjarë të mos përdoret në kompanitë që sapo e kanë menduar mbrojtjen e informacionit.
Sido, sa e thjeshtë si për ta thënë, në një qasje të përgjithshme ndaj sigurisë së informacionit, përfshirë jo vetëm zgjidhjet softuerike/harduerike, por edhe masat organizatare-teknike për të eliminuar fotografimin dhe videokamerat dhe për të parandaluar hyrjen e personave të panjohur "djaloshëve me kujtesë fenomenale" në objekt. Nuk duhet të mbështeteni në produktin mrekulli DL 8.2, i reklamuar si një zgjidhje një-hapa për shumicën e problemeve me sigurinë e kompanisë.
Burimi: habr.com
