Контроль запуска программ как залог безопасности сети

888images.jpg

Безопасность корпоративных сетей является одной из наиболее острых проблем современных компаний. Вредоносные программы наносят значительный урон бизнесу, и репутация фирмы страдает не в последнюю очередь.

Компании, специализирующиеся на IT-безопасности, предлагают различные дорогостоящие решения, однако во многих случаях внедрение этих решений ведет к значительному увеличению затрат на обслуживание и поддержку сети. А обеспечить гарантированную защиту от неизвестных угроз, особенно от целевых атак, традиционные решения могут далеко не всегда.

Наша статья посвящена альтернативному подходу к защите корпоративных сетей, который мы назвали Whitelist Security Approach.

Этот подход является продолжением развития технологии контроля запуска и исполнения программ (Application Control), дополненной реализацией развитой поддержки режима "Запрет по умолчанию" (Default Deny), а также инновационной технологии белых списков (Dynamic Whitelist).

Мы в "Лаборатории Касперского" считаем Whitelist Security Approach одним из ключевых элементов средств защиты корпоративных сетей будущего. Продукты, в которых реализован такой подход, способны не только защитить от неизвестных угроз, но и предложить системным администраторам сетей, инженерам по информационной безопасности развитые средства учета и контроля программного обеспечения, включая посторонние (не имеющие отношения к производственным задачам), нежелательные и нелицензионные программы. Предпосылки поиска альтернативных подходов к защите

Количество нового ПО стремительно растет с каждым годом. Для обеспечения качественной защиты пользователей антивирусные компании должны оперативно анализировать гигантские потоки информации и ежедневно обрабатывать терабайты данных, классифицируя десятки миллионов файлов. Если говорить о классификации, то все программное обеспечение можно разделить на три категории: известное вредоносное, известное чистое и неизвестное ПО.

ПО, которое однозначно не классифицировано антивирусной компанией как чистое или вредоносное, считается неизвестным.

Часть неизвестного ПО содержит вредоносный код, и именно такие программы являются самыми опасными для пользователя и самыми проблемным для детектирования АВ-продуктами, именно отсюда стоит ждать угрозы, поскольку вирусописатели постоянно оттачивают свое мастерство и появляются все новые и новые и новые вредоносные программы.

В большинстве случаев антивирусным компаниям приходится играть роль догоняющих: за появлением новой технологии вирусописателей следует новый виток развития средств защиты. В настоящее время для повышения уровня безопасности используются не только традиционные сигнатурные технологии, но и целый арсенал современных технологий защиты. Это и проактивные эвристические методы (как статические, так и динамические), и облачные технологии, которые не только обеспечивают практически мгновенную реакцию на новые угрозы, но и расширяют стандартные мощности "коробочных" средств защиты мощностью ранее недоступной инфраструктуры online-сервисов.

Традиционный подход к защите предполагает блокирование известных угроз, в том числе известных шаблонов вредоносного поведения. Однако истории с троянцами Stuxnet, Duqu и Flame показывают, что против некоторых новых угроз и целевых атак традиционная защита предлагаемых на рынке решений практически бессильна. Следствием этого являются постоянно растущие требования к безопасности корпоративных сетей.

В сложившейся ситуации перед разработчиками ПО в области IT-безопасности стоит задача поиска альтернативных решений, способных существенно повысить уровень защиты корпоративных сетей. Предлагаемый в данной статье альтернативный подход - Whitelist Security Approach - не только обеспечит соответствующий современным требованиям уровень защиты, но и позволит антивирусным компаниям перестать быть догоняющими и начать играть по своим правилам.

Whitelist Security Approach базируется не только на нашем знании принципов развития и распространения корпоративных угроз, но и на понимании бизнес- потребностей компаний-заказчиков, а также того, какие средства защиты требуются для реализации надежного, и при этом сбалансированного решения. Рассматриваемое ниже решение отличается простотой интеграции и управления и, что тоже важно, относительно невысокой стоимостью его владения (ТСО) при достигаемом высоком уровне информационной безопасности.

Реализация данного подхода потребовала не только пересмотра десятилетней "парадигмы преследования", но и инициировала принципиально новый этап развития технологии контроля запуска и исполнения программ (Application Control). Компонентный состав современных продуктов безопасности

Надежная информационная защита требует комплексного подхода. Современные средства защиты состоят из нескольких компонентов, каждый из которых выполняет определенные задачи.

Компонентная модель современных средств защиты

В данной модели можно выделить четыре основных группы компонентов: перехватчики, антивирусные движки, компонент контроля запуска и исполнения приложений, облачные сервисы.

Рассмотрим функциональные задачи каждого из компонентов.

Перехватчики - это некие "сенсоры", которые позволяют антивирусным продуктам встраиваться в процесс работы ОС так, чтобы другие компоненты АВ- защиты имели возможность проверять объекты и события в нужный момент времени.

В качестве перехватчиков работают: Драйвер, осуществляющий перехват обращения приложений к файлам. Перехватив обращение к файлу, АВ-продукт может проверить этот файл на наличие вредоносного кода или проверить допустимость такой операции согласно правилам контроля активности приложений (HIPS). В случае наличия вредоносного кода или противоречия правилам активности приложения, драйвер может запретить либо обращение к файлу, либо запуск приложения.
Сетевой драйвер позволяет осуществлять контроль сетевой активности приложений (предотвращение утечек данных по сети, блокировка сетевых атак и т.д.).
Плагины - библиотеки (модули), встраиваемые в популярные приложения (в почтовые клиенты, браузеры, IM-клиенты и т.д.), обеспечивающие проверку передаваемых данных.

Движки - это модули продукта, предназначенные для проверки потенциально вредоносных объектов. Методов проверки может быть несколько, и их перечень и названия у каждого АВ-вендора могут быть свои.

Можно выделить основные типы движков: Статические анализаторы позволяют детектировать вредоносные объекты по каким-либо характерным статическим признакам (чаще всего это связано со структурой файлов специфичных форматов).
Анализаторы URL проверяют, есть ли URL-адрес, на который переходит пользователь или который ему прислали по почте, в базах вредоносных или фишинговых URL, в базе URL-адресов сайтов определенных тематических категорий (компонент "Родительский контроль").
Эвристические анализаторы - технология, которая дает возможность одной сигнатурой детектировать множество вредоносных файлов, в том числе и ранее неизвестные модификации вредоносного ПО, одновременно позволяя добиться повышения качества детектирования и уменьшения размера антивирусных баз. Эмуляторы - модули, которые осуществляют исполнение программного кода в изолированной среде для последующего анализа его поведения.

В большинстве современных антивирусных продуктов одной из составляющих информационной защиты является набор технологий, реализованных в компоненте Контроль запуска и исполнения приложений (Application Control). Контроль запуска и исполнения приложений (Application Control) работает с использованием событий от "перехватчиков", обработка этих событий осуществляется с помощью разных компонентов: PDM (Proactive Defense Module). Поиск и обнаружение известных вредоносных моделей поведения программ (последовательностей, паттернов) по базам вредоносных паттернов поведения.
HIPS (Host Intrusion Prevention System). Проверка каждого потенциально опасного действия программы (чаще атомарного действия) по перечню правил, определяющих допустимые для этой программы действия. Причем эти правила могут создаваться разными для разных категорий ПО. Например "доверенным" программам можно делать "все", а "неизвестным и подозрительным" что-то можно запрещать.
Exploit protection. Предназначен для защиты от вредоносного ПО, использующего уязвимости в программах и операционной системе.

В настоящее время Exploit Protection есть в арсенале лишь некоторых компаний, но мы считаем этот уровень защиты необходимым. У "Лаборатории Касперского" соответствующий набор технологий называется Automatic Exploit Prevention (AEP). В его основе лежит анализ поведения эксплойтов, а также особый контроль приложений, которые чаще других подвергаются атакам злоумышленников. AEP препятствует срабатыванию эксплойтов и развитию вредоносного поведения, если эксплойт все-таки сработал.

EAC (Enterprise Application Control). Запуск программ разных категорий и/или версий ПО в соответствии с разными правилами.

Взаимодействие с облачными сервисами (CLOUD Services) позволяет расширить возможности как движков, так и технологий контроля активности программ. Использование облака позволяет скрыть часть логики проверки (чтобы осложнить злоумышленникам процесс реверс-инжиниринга и обход логики проверки вредоносных программ) и уменьшить размер обновлений баз сигнатур и баз поведенческих шаблонов на стороне пользователя/клиента. Application Control как ключевой инструмент контроля приложений в корпоративных сетях

В описанной выше компонентной модели Аpplication Control позволяет гибко регулировать активность приложений с помощью HIPS-политик, изначально задаваемых производителем АВ-решений. Приложения, рассматриваемые в контексте Аpplication Control, делятся на четыре категории: безопасные, опасные, с сильными ограничениями и слабыми ограничениями. В соответствии с данными категориями определяется уровень накладываемых на приложения ограничений (HIPS-политик). Для каждой категории приложений определяются правила, в соответствии с которыми регулируется доступ приложений к различным ресурсам (файлам, папкам, регистрам, сетевым адресам). Например, если приложению требуется доступ к определенному ресурсу, Application Control проверяет, имеет ли оно соответствующие права, и далее осуществляет операцию в соответствии с заданными правилами.

Application Control позволяет также протоколировать запуски приложений. Эта информация может использоваться в ходе расследований инцидентов и различных проверок. Имея в своем арсенале подобную функциональность, инженер информационной безопасности или администратор оперативно и в структурированной форме получает ответы на следующие вопросы: Какие приложения запускались и когда именно в заданный интервал времени? На каких ПК и под какими учетными записями?
Как давно используется та или иная программа?

Именно от функциональных возможностей (мощности и удобства использования) данного компонента зависит, насколько эффективно администраторы сети смогут внедрять и поддерживать различные политики безопасности. Баланс между свободой действий и безопасностью

При выборе модели информационной защиты важен разумный баланс свободы и безопасности.

Для домашних пользователей важна возможность устанавливать и использовать любое ПО без ограничений. И хотя риск заражения в таком случае больше, чем при жестком режиме запретов, домашний пользователь распоряжается только своей персональной информацией и самостоятельно принимает решение с учетом существования риска разглашения или утраты информации.

Корпоративный пользователь, напротив, оперирует информацией, собственником которой он не является. Чем жестче контроль, тем меньше риски информационной безопасности: утечка/потеря критически важных для бизнеса данных, нарушение бизнес-процессов компании и, как следствие, финансовые и репутационные потери.

Для компаний баланс безопасности и свободы действий означает баланс возможного риска и удобства, которое получают корпоративные пользователи. Если для небольших компаний приоритетом, как правило, является удобство пользователей и, как следствие, минимум ограничений для них, то в случае больших корпоративных сетей на первый план выходит обеспечение максимального уровня защищенности. В крупных компаниях внедряются централизованные политики безопасности - единые правила использования корпоративных информационных ресурсов. Удобство конечных пользователей уступает место унификации ПО и максимальной прозрачности процессов для системных администраторов.

Для выполнения рабочих задач сотрудникам компании, как правило, достаточно использовать определенный набор программ. Возможность ограничить состав используемого ПО только теми приложениями, которые определит администратор, и заблокировать остальные нежелательные программы (неавторизованное, нелегитимное и нецелевое ПО) - чрезвычайно важная опция для корпоративной сети, не говоря уже об управляющих центрах, промышленных объектах, финансовых организациях, военных предприятиях и устройствах специализированного назначения (например, банкоматы и различного рода терминалы).

Максимальное удобство пользователей обеспечивает режим "Разрешение по умолчанию" (Default Allow), а максимальную защиту - режим "Запрет по умолчанию" (Default Deny). Традиционный подход к защите: Default Allow

При традиционно используемом и в персональных, и в корпоративных продуктах режиме "Разрешение по умолчанию" (Default Allow) пользователь может запускать любые приложения, за исключением заблокированных или таких, на запуск которых установлены ограничения. Применение данной парадигмы обусловлено тем, что предлагаемые на рынке решения ориентированы на максимальное удобство пользователя.

Очевидно, что возможность запуска любых приложений требует качественных технологий детектирования. В режиме Default Allow все представленные выше компоненты защиты участвуют в анализе исполняемых программ. Это позволяет детектировать не только известные, но и некоторые неизвестные угрозы. Качество детектирования при этом зависит от производителя антивирусного решения.

Однако, как было сказано выше, антивирусные компании, как правило, идут за вирусописателями и являются догоняющими, то есть всегда существует вредоносное ПО, еще не детектируемое антивирусной защитой. При этом в режиме Default Allow, если программа не попала в число запрещенных, то ее запуск и исполнение по умолчанию разрешены. А это значит, что режим Default Allow предполагает определенный риск: допущенный к запуску код может нести еще не идентифицированную угрозу.

Помимо вредоносных программ, существует легитимное, но нежелательное для конкретной сети ПО. Оно не подпадает под политику блокирования, поэтому в режиме Default Allow, если нет специального запрета, такое ПО также можно запустить в корпоративной сети без каких-либо ограничений.

Приведем два примера того, как программа, не заблокированная политиками безопасности, может нанести ущерб компании.

Сотрудник устанавливает на компьютер программу мгновенного обмена сообщениями - Skype. Отличительной особенностью Skype является шифрование данных, передаваемых по каналам связи. Это значит, что DLP-системы (Data Loss Prevention) не способны отследить передачу конфиденциальной информации за пределы защищаемого периметра и вычислить получателя данной информации. Антивирусные технологии также не запрещают использование данного приложения, так как оно не является вредоносным. Злоумышленник, вступив в сговор с сотрудником компании, имеет возможность получать от сотрудника конфиденциальную информацию, используя Skype в качестве средства передачи данных.

Другой пример. Сотрудники "Лаборатории" оказывали помощь в расследовании инцидента в одной компании. Вредоносных программ обнаружено не было, а причина инцидента была в том, что IT-специалист установил на ряд ПК легитимную утилиту удаленного администрирования. Специалист этот был уволен более года назад, про утилиту никто не знал - тем не менее, она продолжала работать, открывая уволенному сотруднику несанкционированный доступ к корпоративной сети и хранящимся в ней данным.

Таким образом, при максимальном удобстве для конечного пользователя режим Default Allow оставляет корпоративную сеть уязвимой для неизвестных угроз и нежелательного ПО. При этом контроль за всеми исполняемыми программами требует существенных ресурсов.

Однако в большинстве случаев для выполнения своих задач сотрудникам компаний достаточно использовать ограниченный, конкретный набор программ. А это значит, что логичным было бы простое решение: все необходимое и чистое ПО занести в белые списки, а запуск в сети всех остальных программ запретить по умолчанию. Такой режим работы называется Default Deny. Режим Default Deny

В противоположность Default Allow, режим Default Deny запрещает выполнение любого ПО, не занесенного в доверенные (белые) списки. Таким образом, никакое неизвестное или нежелательное ПО не допускается к запуску.

По сути в режиме Default Deny корпоративная сеть работает в изолированной программной среде, в которой разрешен запуск только тех программ, которые необходимы и достаточны для выполнения бизнес-задач компании.

В дополнение к этому запрет запуска вредоносного, нецелевого, нелицензионного, неизвестного ПО снижает затраты на анализ тех программ, которые в случае режима Default Allow были бы разрешены к запуску. При работе в режиме Default Deny существенно снижаются требования к производительности контролируемых систем и к объему ресурсов, необходимых для анализа программ. Как следствие, снижается влияние системы безопасности на работу сети в целом.

Как видно на рисунке, в отличие от традиционной модели защиты, в режиме Default Deny контроль и мониторинг приложений осуществляется не в процессе исполнения, а в момент запуска разрешенных программ. Тем самым риски информационной безопасности минимизируются на самых ранних этапах обеспечения защиты.

Основные преимущества Default Deny: Минимизация рисков запуска вредоносного и нежелательного ПО: Блокирование неизвестных приложений, включая новые разновидности вредоносных программ, в том числе используемых при целевых атаках. Как следствие, обеспечение безопасной среды.
Возможность блокировать установку, запуск и исполнение нелегитимного/нелицензионного и не связанного с рабочими задачами ПО - разнообразных интернет-пейджеров, игр, заведомо уязвимых версий ПО, "оптимизаторов" и "ускорителей" системы. Как следствие, ориентация персонала на конкретные должностные обязанности и улучшение производственных показателей.
Снижение требований к производительности ресурсов, необходимых для анализа приложений. Как следствие, уменьшение влияния системы безопасности на штатную работу контролируемых систем.
И последнее, но не менее важное - снижение затрат, а в конечном итоге снижение совокупной стоимости сопровождения и поддержки системы безопасности в целом: меньше сбоев, меньше жалоб, меньше нагрузка на службу технической поддержки.

Таким образом, применяя альтернативный подход, реализованный в мощных средствах мониторинга и контроля запуска и исполнения приложений, можно существенно повысить уровень информационной безопасности корпоративной сети, при этом значительно снизив затраты на ее обеспечение и последующую поддержку. Как мы уже писали выше, это принципиально другой, проактивный подход к защите, который, по мнению экспертов "Лаборатории Касперского", в ближайшем будущем может перевернуть традиционное представление о безопасности корпоративных сетей.

Авторы выражают благодарность Владиславу Мартыненко за помощь в подготовке главы "Компонентный состав современных продуктов безопасности".

Все гениальное – просто?

Идея Default Deny очень проста и логична. Однако до настоящего момента этот подход был ориентирован на исключительно узкую аудиторию. В первую очередь, это связано с техническими трудностями, возникающими на пути реализации решения, приемлемого для широкого использования и снимающего ряд критических ограничений.

Новый этап развития Application Control

Использование режима Default Deny означает смещение приоритетов при выборе политики безопасности: от свободы действий и удобства конечных пользователей в сторону выполнения главной задачи любой системы защиты информации – сведения к минимуму риска утечки и/или потери критически важных для бизнеса данных.

Однако ранее внедрение жесткого режима контроля запуска и исполнения приложений приводило к возникновению серьезных функциональных ограничений, что делало использование такого режима практически невозможным. Обеспечение качественной поддержки режима Default Deny требует дополнительного функционала, без реализации которого переход на этот режим может нарушить нормальную работу корпоративной сети.

При переходе в Default Deny перед системными администраторами встает ряд задач, и, чтобы облегчить им решение этих задач, Application Control как основной компонент, осуществляющий управление приложениями корпоративной сети, должен был претерпеть существенные изменения.

Итак, использование режима Default Deny стало возможным только после внедрения следующего функционала:

  • Инвентаризация – сбор информации обо всем ПО, установленном в корпоративной сети, - на всех компьютерах и сетевых ресурсах.
  • Категоризация – деление идентифицированного в сети ПО на функциональные группы: компоненты ОС, браузеры, мультимедиа, игры и т.д.
  • Конфигурирование, или Application Management – введение для пользователей/групп пользователей ограничений на запуск и исполнение приложений определенных категорий (собственно, определение политик безопасности).
  • Dynamic Whitelist – база знаний обо всём многообразии выпускаемого в мире ПО. Актуальная и регулярно обновляемая информация о приложениях, их репутации, категориях и популярных/рекомендованных аналогах. Это экспертные данные, которые поставляются производителями решений по безопасности.
  • Безопасные механизмы обновления ПО – автономные средства поддержки регулярных обновлений популярного ПО, избавляющие администраторов от необходимости повторно проводить утомительную процедуру идентификации и легализации обновлённых в сети приложений.
  • Поддержка списков доверенных пользователей, источников ПО – инструментарий, предоставляющий администраторам сетей, инженерам информационной безопасности простые и удобные способы легализации ПО. В частности, создание списков доверенных сетевых ресурсов в интернете и в локальной корпоративной сети (HTTP/FTP/Shared folders/etc.) - источников чистых приложений, которые разрешено устанавливать и использовать.
  • Тестирование и поддержка режима опытной эксплуатации – средства статического или динамического обнаружения системных коллизий, возникающих в ходе внедрения тех или иных политик безопасности (несовместимости/неработоспособности различных приложений), в результате которых могут быть нарушены бизнес-процессы.
  • Обратная связь и поддержка пользователей – инструменты управления возникающими инцидентами для максимального облегчения процесса сопровождения и поддержки пользователей.
  • Мониторинг и аудит – развитые средства для сбора, агрегации и систематизации отчётности.

Остановимся на ключевой составляющей Whitelist Security Approach – динамической базе чистых файлов (Dynamic Whitelist). Интерес к Dynamic Whitelist обусловлен не только ее техническими, но и организационными составляющими, без которых невозможно обеспечить максимальную эффективность базы Whitelist.

Dynamic Whitelist: динамическая база знаний о ПО

Что же такое база Dynamic Whitelist? Это база знаний обо всём многообразии легитимного ПО. С технической точки зрения Dynamic Whitelist представляет собой огромную базу «чистого» программного обеспечения, которая непрерывно пополняется новыми дистрибутивами, различного рода файлами, а главное – знаниями о данных объектах. Качество и полнота данных в такого рода источниках экспертных данных зависит от их поставщиков. Ведущие компании – производители решений по безопасности сами формируют базы Dynamic Whitelist.

Dynamic Whitelist является компонентом, который необходим для решения трёх из семи задач, стоящих при реализации Default Deny (см. таблицу выше). Очевидно, что качество предлагаемого вендором решения будет напрямую зависеть от качества используемой в нем базы знаний.

Для решения перечисленных выше задач база должна содержать:

  1. Базовую информацию о ПО: производитель, название продукта, версия последнего, прочая информация, главным образом извлекаемая из атрибутов самих объектов.
  2. Расширенную информацию (экспертные знания):
    • данные о степени риска – классификация ПО, его репутация: доверенное, недоверенное, сомнительное и т.п.;
    • категория ПО: системное ПО, браузеры, игры, офисные приложения и т.д.;
    • бизнес-ориентация приложений: бухгалтерия и финансы, маркетинг, HR, CRM, логистика и т.д.;
    • альтернативное ПО – информация об аналогах ПО;
    • статистические данные – например, популярность ПО, его распределение по регионам и т.д.

Какие ещё требования, помимо состава данных, предъявляются к таким базам знаний?

Прежде всего, база Dynamic Whitelist должна быть динамичной, что, собственно, и отражено в её названии. Ежедневно в свет выходит множество новых легитимных приложений и обновлений к уже существующему ПО, а это означает, что поставщики решений по безопасности должны незамедлительно реагировать на любые изменения в мире ПО, оперативно обновляя свои базы знаний. А для этого следует обеспечить регулярное и своевременное пополнение базы чистого ПО из множества источников из разных регионов мира. И это обновление должно происходить в автоматическом режиме, ведь речь идет о гигантских объемах информации (терабайты данных в сутки). Для этих целей поставщики баз Dynamic Whitelist разворачивают в Сети так называемые краулеры (от англ. crawler) – поисковые агенты, которые осуществляют мониторинг нового ПО и при необходимости – загрузку новых приложений.

Для поддержки актуальности базы данных необходимо также развитие технологических партнерских отношений вендора с крупными производителями и дистрибуторами ПО (Independent Software Vendors). Цель такого партнерства — получение, обработка и анализ (классификация и категоризация) нового ПО до выхода его публичных релизов с целью минимизации ложных срабатываний: случаев несовместимости решений по безопасности и ПО вендора-партнера.

Еще один возможный источник пополнения базы — глобальная информационная сеть, созданная вендором на базе сообщества его пользователей. Отметим, что такая информационная сеть является серьёзным конкурентным преимуществом. Она позволяет отслеживать метаданные о ПО, запускаемом на компьютерах пользователей, и снабжать базу знаний информацией о появлении новых приложений и выпуске различных обновлений ПО.

У «Лаборатории Касперского» есть все перечисленные компоненты пополнения базы Dynamic Whitelist. В настоящее время развитая партнерская программа, насчитывающая несколько сотен международных партнеров, десятки миллионов участников глобальной информационной сети Kaspersky Security Network во всём мире, а также обширная сеть автоматических поисковых агентов обеспечивают беспрерывное пополнение динамической базы знаний «Лаборатории Касперского» — в среднем более чем на 1 миллион новых файлов в сутки.

Качество динамической базы Whitelist «Лаборатории Касперского» было доказано в независимом тесте, проведенном компанией West Coast Labs. Согласно результатам тестирования в нашей базе содержится информация о 94% всего чистого ПО, выпущенного в мире.

Необходимо внимательно контролировать все поступающие в базу Dynamic Whitelist объекты, а главное, поддерживать репутацию о них в актуальном состоянии. Ведь ПО, которое сегодня может быть классифицировано как «чистое», завтра, при более тщательном анализе, может оказаться носителем опасного вредоносного кода.

Надо отметить, что регулярное сканирование базы Dynamic Whitelist — весьма нетривиальная задача. Для ее решения, кроме автоматических средств обработки и анализа информации, необходима команда выделенных экспертов, способная в случаях возможных логических коллизий анализировать программный код и выносить финальный вердикт. Маленькие компании или производители «бесплатных» антивирусных продуктов позволить себе такой выделенной антивирусной лаборатории не могут. Кроме того, специфика обработки вредоносного и чистого ПО разная. В идеале компания должна располагать не только антивирусной, но и специализированной Whitelisting лабораторией, которая будет отслеживать входящие информационные потоки, заниматься обучением интеллектуальных систем, а также незамедлительно реагировать в экстренных случаях (такая Whitelisting лаборатория есть у «Лаборатории Касперского»).

От теории к практике: Endpoint 10 «Лаборатории Касперского»

Администраторы корпоративных сетей выполняют сложные, часто повторяемые задачи по обслуживанию множества рабочих станций различного назначения. Использование подхода Whitelist Security Approach (режима Default Deny) гарантирует значительно более высокий уровень безопасности в корпоративной сети. При этом внедрение режима Default Deny с его жёсткой системой ограничений требует реализации в соответствующих продуктах серьёзных средств автоматизации задач, которые встают перед администратором.

Рассмотрим, как осуществляется переход от теории к практике на примере продуктах класса Endpoint Security «Лаборатории Касперского», последовательно проследив все этапы жизненного цикла от инвентаризации ПО до поддержки корпоративной сети (после внедрения продукта).

Впервые Whitelist Security Approach был реализован в Kaspersky Endpoint Security 8 for Windows в 2011 году. В 2013 году Kaspersky Endpoint Security 10 for Windows представит еще более широкую функциональность, в том числе в области Application Control.


Этапы жизненного цикла (Default Deny)

  • Инвентаризация. В самом начале, после установки продукта, администратор должен провести автоматическую процедуру инвентаризации всего ПО, установленного в корпоративной сети. В рамках этой задачи Kaspersky Endpoint Security собирает информацию обо всем ПО, установленном на компьютерах сети и сетевых ресурсах.


    Результат инвентаризации приложений в указанной директории

  • Категоризация (автоматическая, на базе Dynamic Whitelist). По окончании инвентаризации автоматически проходит категоризация всего ПО — разбиение на соответствующие группы согласно правилам, заложенным в продукте (ОС, мультимедиа, периферия, игры, браузеры и т.д.). Отметим, что такой функционал есть не у всех вендоров, реализовавших Application Control. Однако мы сочли, что для удобства управления огромным разнообразием ПО, установленного в корпоративной сети, он просто необходим. Поэтому разделили нашу базу Whitelist на 16 категорий верхнего уровня и 96 листовых категорий.


    Каталог категорий «Лаборатории Касперского»

    Для определения критически важных компонентов ОС и драйверов в Kaspersky Endpoint Security реализована особая категория файлов ОС — Golden Image. В нее входят все необходимые компоненты для Win XP, Vista, Win7, Win8 (32 и 64) и более 15 локализаций для каждой (всего более 100 версий и локализаций). Администратору достаточно добавить в категорию Golden Image файлы из локальной Whitelist базы — и конфигурация Default Deny готова.

  • Категоризация (ручная). Важно учитывать, что белый список любого производителя защитных решений не может содержать информацию обо всем ПО, установленном в сети конкретной компании. Например, компании нередко имеют специализированный проприетарный софт, разработанный на месте или по заказу. В новом Kaspersky Endpoint Security 10 в Application Control администратор имеет возможность создать локальный белый список.

    Также в Kaspersky Endpoint Security 10 добавлена функциональность мультивекторной категоризации. Т.е. одно приложение может одновременно принадлежать сразу нескольким категориям.


    Возможности пользовательской категоризации файлов

  • Конфигурирование. В Kaspersky Endpoint Security существует возможность управлять категоризированным ПО в зависимости от пользователей и групп пользователей. К примеру, можно разрешить использовать ПО категории «Accounting» только бухгалтерии, чтобы никто больше не имел доступа к финансовой информации компании. Именно на этом этапе можно ограничить использование нелицензионного и не связанного с работой ПО. Т.е., к примеру, запретить использование любого ПО, лицензиями на которое не располагает компания, или запретить все IM, кроме Skype например. Также можно запретить использование конкретных версий ПО, например, запретить все браузеры, кроме указанной версии Internet Explorer.
  • Безопасные механизмы обновлений ПО. Режим автоматического обновления ПО в Kaspersky Endpoint Security обеспечивает технология Trusted updaters. Она позволяет реализовать безопасную процедуру обновления продуктов, учитывающую сложные цепочки программных вызовов, выполняемых в процессе обновления.
  • Тестирование и поддержка режима опытной эксплуатации. Поскольку внедрение жестких политик в сети достаточно ответственное дело, мы предусмотрели специальный режим Test Mode, который администратор может использовать для моделирования и оценки работы любого правила. Реальная блокировка приложений в режиме Test Mode не происходит, но администратор по отчётам системы видит, что было бы, если бы данный режим работал. Это позволяет внести соответствующие коррективы в правила перед боевой реализацией, не вызывая негативной реакции со стороны пользователей и не нарушая бизнес-процессов компании в случае некорректной работы отлаживаемых правил.
  • Обратная связь и поддержка пользователей. IT-среда компании динамична, поэтому пользователь всегда должен иметь возможность запросить у администратора разрешение на запуск нового ПО, а администратор должен иметь возможность простым нажатием кнопки в удобном интерфейсе запретить или разрешить соответствующий запрос. В нашем продукте реализованы обе возможности. Для обеспечения гибкости работы даже в режиме Default Deny мы внедрили возможность обслуживания администратором пользовательских жалоб. В случае если какое-либо приложение оказалось заблокированным, а пользователь считает, что оно необходимо ему для работы, ему достаточно нажать кнопку «Отправить запрос», и соответствующая нотификация поступит администратору автоматически.


    Пример сообщения, которое автоматически отправляется системному администратору в случае блокировки запуска приложения

    Последний год независимые тестовые лаборатории активизировались в новом для себя направлении тестирования Application Control. Сразу две компании проверили эффективность технологии Application Control для защиты от целевых атак и управления неавторизованным ПО. В начале 2012 года компания West Coast Labs опубликовала отчет по результатам первого в индустрии независимого теста, где технология «Лаборатории Касперского» заняла первое место. Позднее компания Dennis Labs также провела сравнительное тестирование и в начале 2013 года предоставила результат публике. Наше решение второй раз подряд получило высшую оценку.

Заключение

Увеличение количества и, главное, усложнение угроз заставляет производителей антивирусного ПО искать новые решения для эффективной защиты корпоративных сетей. Новый подход — Whitelist Security Approach — позволяет запуск и исполнение в системе только проверенного ПО из белых списков. Соответственно, запрещается запуск любого неизвестного или неавторизованного ПО. В результате любая вредоносная программа просто не может запуститься в системе. Такой подход позволяет обеспечить защиту от сложных и неизвестных угроз, в том числе целевых атак.

Whitelist Security Approach является новым витком развития технологии контроля запуска и исполнения программ (Application Control), дополненной реализацией развитой поддержки режима «Запрет по умолчанию» (Default Deny), а также инновационной технологии белых списков (Dynamic Whitelist).

Реализация режима повышенной безопасности Default Deny требует внедрения дополнительного функционала. Сценарий работы Application Control должен предусматривать несколько простых механизмов, таких как инвентаризация, категоризация, конфигурирование (Application Management), гибкое управление политиками локального белого списка и возможность использовать облачную базу Dynamic Whitelist, которая способна незамедлительно реагировать на регулярные изменения в мире ПО. А такой функционал как тестирование и поддержка режима опытной эксплуатации необходим для грамотного перехода в режим Default Deny.

Whitelist Security Approach помогает системному администратору выполнять ряд задач:

  • Контролировать (разрешать, запрещать, гибко ограничивать и осуществлять аудит) запуск на рабочих станциях чистых программ в соответствии с политикой безопасности, действующей в компании.
  • От поставщика решения получать экспертизу о чистоте файлов из базы Dynamic Whitelist.
  • Гарантировать нормальную работу чистого и разрешенного ПО.
  • Управлять категориями ПО, а не отдельными программами.
  • На этапе промышленной эксплуатации осуществлять мониторинг, контроль и реагировать на проблемы, возникающие вследствие блокирования того или иного ПО.
  • Оптимизировать использование IT-ресурсов компании и повышать их производительность за счет контроля использования постороннего и нелицензионного ПО в сети.

Application Control в совокупности с поддержкой Default Deny является мощным и удобным инструментом, который упрощает системному администратору задачу обслуживания рабочих станций в корпоративной сети и обеспечивает ее безопасность.

Мы в «Лаборатории Касперского» считаем Whitelist Security Approach одним из ключевых средств защиты корпоративных сетей будущего. В то же время мы полагаем, что не существует панацеи или единственной технологии, способной обеспечить защиту от всех угроз. Поэтому для корпоративных сетей целесообразно использование мощного endpoint-продукта, сочетающего различные технологии защиты. Только многоуровневая система защиты и контроля позволяет обеспечить максимально возможный уровень защиты корпоративной сети. Авторы выражают благодарность Владиславу Мартыненко за помощь в подготовке главы «Компонентный состав современных продуктов безопасности».

Андрей Ефремов, Владимир Заполянский

Securelist