Ένας εργαζόμενος κατεβάζει ένα πρόγραμμα από το Internet και το εκτελεί στον εταιρικό υπολογιστή. Το αρχείο δεν έχει αναγνωριστεί ακόμη ως malware και το antivirus δεν το μπλοκάρει. Πρέπει η συσκευή να του επιτρέψει να εκτελεστεί μόνο και μόνο επειδή δεν έχει χαρακτηριστεί κακόβουλο;
Το Application Control προσεγγίζει το πρόβλημα διαφορετικά. Αντί να προσπαθεί αποκλειστικά να αναγνωρίσει τι είναι κακόβουλο, μπορεί να περιορίζει την εκτέλεση λογισμικού σύμφωνα με κανόνες που καθορίζουν τι είναι εγκεκριμένο για το συγκεκριμένο εταιρικό περιβάλλον.
Όταν σχεδιαστεί σωστά, προσθέτει ένα ισχυρό προληπτικό επίπεδο άμυνας. Όταν εφαρμοστεί βιαστικά, όμως, μπορεί να μπλοκάρει νόμιμες εφαρμογές και να δημιουργήσει σοβαρά λειτουργικά προβλήματα.
Τι είναι το Application Control;
Application Control είναι μια προσέγγιση ασφάλειας που ελέγχει ποιο λογισμικό ή executable content επιτρέπεται να εκτελείται σε μια συσκευή.
Μια αυστηρή προσέγγιση application allowlisting βασίζεται σε ένα εγκεκριμένο σύνολο εφαρμογών και components. Λογισμικό που δεν ικανοποιεί τους καθορισμένους κανόνες δεν επιτρέπεται να εκτελεστεί.
Το NIST SP 800-167 περιγράφει το application whitelisting ως τεχνολογία που ελέγχει ποιες εφαρμογές επιτρέπεται να εκτελούνται σε έναν host και μπορεί να βοηθήσει στην αποτροπή εκτέλεσης malware και άλλου μη εξουσιοδοτημένου λογισμικού.
Application Allowlisting ή Blocklisting;
Οι δύο προσεγγίσεις ξεκινούν από διαφορετική λογική.
Με ένα blocklist, η εκτέλεση επιτρέπεται γενικά εκτός αν το πρόγραμμα ή component βρίσκεται σε λίστα με όσα πρέπει να αποκλειστούν.
Με ένα allowlist, η λογική αντιστρέφεται: επιτρέπεται μόνο ό,τι ικανοποιεί τους εγκεκριμένους κανόνες.
Αυτό μπορεί να περιορίσει σημαντικά την εκτέλεση άγνωστου ή μη εγκεκριμένου λογισμικού, αλλά απαιτεί καλύτερη γνώση του περιβάλλοντος και οργανωμένη διαχείριση των αλλαγών.
Γιατί δεν αρκεί το Antivirus;
Το antivirus και το Application Control δεν επιλύουν ακριβώς το ίδιο πρόβλημα.
Ένα endpoint-security προϊόν μπορεί να χρησιμοποιεί signatures, reputation, behavioral analysis και άλλους μηχανισμούς για να εντοπίζει ύποπτο ή κακόβουλο λογισμικό. Αυτό παραμένει σημαντικό επίπεδο προστασίας.
Το Application Control μπορεί να προσθέσει έναν διαφορετικό περιορισμό: ακόμη και αν ένα πρόγραμμα δεν έχει χαρακτηριστεί malware, επιτρέπεται να εκτελεστεί στο συγκεκριμένο περιβάλλον;
Για αυτό δεν πρέπει να αντιμετωπίζεται ως αντικατάσταση antivirus ή EDR. Τα controls μπορούν να λειτουργούν συμπληρωματικά.
Δείτε επίσης τη διαφορά ανάμεσα σε EDR και Antivirus για επιχειρήσεις.
Τι μπορεί να ελέγχει;
Το Application Control δεν αφορά μόνο τα συνηθισμένα εκτελέσιμα προγράμματα.
Ανάλογα με το λειτουργικό σύστημα και την τεχνολογία που χρησιμοποιείται, οι πολιτικές μπορούν να καλύπτουν διαφορετικούς τύπους executable content. Η guidance του Australian Cyber Security Centre αναφέρεται, μεταξύ άλλων, σε:
- executables,
- software libraries,
- scripts,
- installers,
- compiled HTML και HTML applications,
- control panel applets,
- και, σε κατάλληλα επίπεδα εφαρμογής, drivers.
Η πραγματική κάλυψη εξαρτάται από το application-control προϊόν, το λειτουργικό σύστημα και τη διαμόρφωση. Δεν πρέπει επομένως να θεωρείται δεδομένο ότι κάθε λύση ελέγχει όλους τους παραπάνω τύπους με τον ίδιο τρόπο.
Πώς αποφασίζει τι επιτρέπεται;
Οι application-control τεχνολογίες μπορούν να χρησιμοποιούν διαφορετικά χαρακτηριστικά για τη δημιουργία κανόνων. Ανάλογα με τη λύση, μπορεί να χρησιμοποιούνται στοιχεία όπως:
- κρυπτογραφικό hash συγκεκριμένου αρχείου,
- digital signature ή publisher information,
- χαρακτηριστικά του προϊόντος ή της έκδοσης,
- διαδρομή αρχείου,
- άλλα metadata ή trust criteria που υποστηρίζει η πλατφόρμα.
Δεν είναι όλες οι μέθοδοι ισοδύναμες. Για παράδειγμα, ένα hash συνδέεται στενά με μια συγκεκριμένη έκδοση ενός αρχείου και μπορεί να αλλάξει μετά από update. Ένας publisher-based κανόνας μπορεί να είναι ευκολότερος στη συντήρηση, αλλά πρέπει να είναι αρκετά συγκεκριμένος ώστε να μην επιτρέπει περισσότερο λογισμικό από όσο πραγματικά χρειάζεται.
Γιατί χρειάζεται προσοχή στα Path Rules;
Ένας κανόνας που επιτρέπει την εκτέλεση από έναν συγκεκριμένο φάκελο μπορεί να φαίνεται εύκολος στη διαχείριση. Δημιουργεί όμως πρόβλημα αν ένας μη προνομιούχος χρήστης μπορεί να γράψει ή να αντικαταστήσει αρχεία μέσα στην επιτρεπόμενη τοποθεσία.
Για αυτό, όταν χρησιμοποιούνται path-based rules, πρέπει να ελέγχεται ποιος μπορεί να δημιουργεί, να τροποποιεί ή να αντικαθιστά αρχεία στις συγκεκριμένες διαδρομές. Το ACSC επισημαίνει ρητά την ανάγκη τα approved paths να μην είναι τροποποιήσιμα από μη εγκεκριμένους χρήστες.
Application Control και Least Privilege
Το Application Control γίνεται αποτελεσματικότερο όταν συνδυάζεται με περιορισμένα δικαιώματα χρηστών.
Αν όλοι οι εργαζόμενοι διαθέτουν local administrator privileges, μπορούν να έχουν πολύ μεγαλύτερη δυνατότητα εγκατάστασης λογισμικού, αλλαγής ρυθμίσεων ή παράκαμψης ορισμένων προστατευτικών μηχανισμών.
Η επιχείρηση πρέπει επομένως να εφαρμόζει την αρχή του least privilege και να παρέχει administrative access μόνο όταν υπάρχει πραγματική ανάγκη.
Application Control και privilege management είναι διαφορετικά controls, αλλά λειτουργούν καλύτερα όταν σχεδιάζονται μαζί.
Γιατί τα Scripts χρειάζονται ιδιαίτερη προσοχή;
Η εκτέλεση κακόβουλου κώδικα δεν απαιτεί πάντα ένα παραδοσιακό νέο executable.
Scripts και εργαλεία που υπάρχουν νόμιμα σε ένα λειτουργικό σύστημα μπορούν να χρησιμοποιηθούν και για κακόβουλες ενέργειες. Για αυτό μια application-control στρατηγική δεν πρέπει να εξετάζει μόνο ποια αρχεία EXE μπορούν να εκτελεστούν.
Η κοινή guidance που δημοσιεύει η CISA για τεχνικές Living off the Land συστήνει application allowlisting για τον περιορισμό του execution environment και ξεχωριστή προσοχή σε command-line και scripting δραστηριότητες.
Αυτό δεν σημαίνει ότι πρέπει να απενεργοποιηθεί κάθε scripting δυνατότητα. Administrators, automation εργαλεία και επιχειρηματικές εφαρμογές μπορεί να τις χρειάζονται. Ο στόχος είναι να επιτρέπεται η απαιτούμενη χρήση και να περιορίζεται η περιττή.
Application Control και Software Inventory
Πριν αποφασίσετε ποιο λογισμικό επιτρέπεται, πρέπει πρώτα να γνωρίζετε τι πραγματικά χρειάζεται η επιχείρηση.
Ένα ενημερωμένο software inventory βοηθά να καταγραφούν:
- οι βασικές επιχειρηματικές εφαρμογές,
- οι εκδόσεις τους,
- ποιοι χρήστες ή τμήματα τις χρειάζονται,
- ποιος τις υποστηρίζει,
- ποια εργαλεία έχουν εγκατασταθεί χωρίς σαφή επιχειρηματική ανάγκη.
Χωρίς αυτή την εικόνα, ένα αυστηρό allowlisting rollout μπορεί να μετατραπεί σε συνεχή διαδικασία αντιμετώπισης απρόβλεπτων blocks.
Για τη βάση αυτής της διαδικασίας δείτε τον οδηγό για το IT Asset Inventory σε συσκευές, λογισμικό και cloud υπηρεσίες.
Μην ξεκινήσετε κατευθείαν με Block Mode
Ένα από τα σημαντικότερα πρακτικά βήματα είναι να καταλάβετε τι θα επηρεάσει μια policy πριν αρχίσει να διακόπτει εφαρμογές.
Όπου η επιλεγμένη τεχνολογία παρέχει audit, monitoring ή αντίστοιχη μη επιβλητική λειτουργία, είναι συνήθως προτιμότερο να ξεκινάτε με παρατήρηση σε αντιπροσωπευτική ομάδα συσκευών.
Η διαδικασία μπορεί να είναι:
- καταγραφή του λογισμικού που χρησιμοποιείται,
- δημιουργία αρχικής policy,
- δοκιμή σε περιορισμένο pilot group,
- συλλογή events για όσα θα επιτρέπονταν ή θα μπλοκάρονταν,
- διόρθωση των κανόνων και των απαραίτητων exceptions,
- σταδιακή μετάβαση σε enforcement,
- επέκταση του rollout μόνο όταν η policy είναι αρκετά ώριμη.
Η ακριβής δυνατότητα audit mode και η συμπεριφορά της εξαρτώνται από το προϊόν. Η αρχή όμως παραμένει: δοκιμή πριν από ευρεία επιβολή.
Τι είναι ένα False Positive στο Application Control;
Στην πράξη, ένας νόμιμος χρήστης μπορεί να χρειάζεται μια εφαρμογή που η υπάρχουσα policy δεν έχει ακόμη εγκρίνει.
Αυτό δεν σημαίνει απαραίτητα ότι το Application Control «δεν λειτουργεί». Μπορεί να σημαίνει ότι η επιχειρηματική ανάγκη δεν είχε καταγραφεί ή ότι μια εφαρμογή άλλαξε μετά από update.
Χρειάζεται λοιπόν οργανωμένη διαδικασία exception ώστε να απαντώνται ερωτήσεις όπως:
- Ποιος ζητά την εφαρμογή;
- Για ποιον επιχειρηματικό λόγο χρειάζεται;
- Από πού προέρχεται;
- Έχει αξιολογηθεί πριν εγκριθεί;
- Πρέπει να επιτραπεί σε όλους ή μόνο σε συγκεκριμένους χρήστες ή συσκευές;
- Η εξαίρεση είναι μόνιμη ή προσωρινή;
Το «Allow» δεν σημαίνει ότι ένα πρόγραμμα είναι ασφαλές για πάντα
Ένα εγκεκριμένο application μπορεί αργότερα να εμφανίσει ευπάθεια, να φτάσει σε End of Support ή να μην είναι πλέον απαραίτητο.
Επίσης, ορισμένα νόμιμα εργαλεία έχουν δυνατότητες που μπορούν να χρησιμοποιηθούν καταχρηστικά από έναν attacker.
Για αυτό το allowlist δεν πρέπει να δημιουργείται μία φορά και να παραμένει αμετάβλητο. Οι policies και οι κανόνες χρειάζονται περιοδική επανεξέταση και αλλαγές όταν μεταβάλλεται το περιβάλλον.
Το Australian Cyber Security Centre προβλέπει τακτική validation των application-control rulesets στα υψηλότερα επίπεδα του Essential Eight maturity model και επισημαίνει τον κίνδυνο παλιές εξαιρέσεις ή ευάλωτες εφαρμογές να παραμένουν εγκεκριμένες.
Γιατί χρειάζεται Logging;
Τα application-control events είναι χρήσιμα όχι μόνο για troubleshooting αλλά και για security monitoring.
Ένα block event μπορεί να δείχνει:
- εργαζόμενο που προσπάθησε να χρησιμοποιήσει μη εγκεκριμένο business application,
- λογισμικό που άλλαξε μετά από update,
- προσπάθεια εκτέλεσης μη εξουσιοδοτημένου εργαλείου,
- ύποπτη δραστηριότητα που χρειάζεται περαιτέρω διερεύνηση.
Η συλλογή χιλιάδων events χωρίς διαδικασία αξιολόγησης δεν αρκεί. Τα σημαντικά logs πρέπει να μπορούν να συσχετιστούν με συσκευή, χρήστη και policy και να υπάρχει διαδικασία για την εξέταση ασυνήθιστων ή επαναλαμβανόμενων blocks.
Application Control και Malware
Ένα σωστά σχεδιασμένο allowlisting policy μπορεί να εμποδίσει την εκτέλεση ενός μη εγκεκριμένου κακόβουλου executable ακόμη και όταν αυτό δεν έχει αναγνωριστεί με τον συνηθισμένο τρόπο από άλλο security control.
Αυτό είναι σημαντικό, αλλά δεν σημαίνει ότι το Application Control σταματά κάθε μορφή malware ή κυβερνοεπίθεσης.
Ένας attacker μπορεί να προσπαθήσει να χρησιμοποιήσει ήδη εγκεκριμένα εργαλεία, κλεμμένα credentials, scripts, browser sessions ή άλλες τεχνικές. Η προστασία χρειάζεται επομένως πολλαπλά επίπεδα.
Για το ευρύτερο πλαίσιο δείτε τον οδηγό της DataShield για την προστασία επιχειρήσεων από ιούς και κακόβουλο λογισμικό.
Μπορεί να βοηθήσει απέναντι σε Infostealers;
Τα infostealers συχνά αποτελούν μέρος μιας αλυσίδας όπου κακόβουλος κώδικας πρέπει να φτάσει και να εκτελεστεί σε ένα endpoint. Το Application Control μπορεί να αποτελέσει ένα από τα προληπτικά controls που δυσκολεύουν την εκτέλεση μη εγκεκριμένου code.
Δεν αποτελεί όμως πλήρη λύση απέναντι σε credential ή session theft. Αν ένας attacker χρησιμοποιεί ήδη επιτρεπόμενο λογισμικό, έχει αποκτήσει νόμιμα credentials ή έχει βρει άλλο δρόμο εκτέλεσης, απαιτούνται επιπλέον controls και detection.
Δείτε επίσης πώς λειτουργεί το Infostealer Malware και τι μπορεί να εκθέσει σε μια εταιρική συσκευή.
Ποιοι υπολογιστές πρέπει να καλύπτονται;
Η προτεραιότητα εξαρτάται από τον κίνδυνο και την υποδομή.
Για πολλές επιχειρήσεις, τα managed workstations αποτελούν λογικό σημείο εκκίνησης επειδή εκεί οι χρήστες λαμβάνουν email, χρησιμοποιούν browsers, κατεβάζουν αρχεία και εκτελούν καθημερινές εφαρμογές.
Application Control μπορεί επίσης να έχει αξία σε servers και ιδιαίτερα ευαίσθητα συστήματα, αλλά η πολιτική πρέπει να σχεδιάζεται για τον πραγματικό ρόλο κάθε συστήματος. Ένας server και ένα laptop χρήστη δεν έχουν απαραίτητα το ίδιο application baseline.
Πρέπει όλοι οι χρήστες να έχουν την ίδια Policy;
Όχι απαραίτητα.
Το λογιστήριο, οι τεχνικοί, οι designers και οι administrators μπορεί να χρειάζονται διαφορετικές εφαρμογές. Ένα υπερβολικά γενικό allowlist μπορεί είτε να επιτρέπει περισσότερα από όσα χρειάζονται οι περισσότεροι χρήστες είτε να προκαλεί συνεχείς εξαιρέσεις.
Όπου η τεχνολογία το επιτρέπει, είναι χρήσιμο οι policies να ευθυγραμμίζονται με πραγματικούς επιχειρηματικούς ρόλους και ομάδες συσκευών.
Πρακτικό πλάνο εφαρμογής για μια ΜΜΕ
- Καταγράψτε τις εφαρμογές: εντοπίστε το λογισμικό που είναι πραγματικά απαραίτητο.
- Αφαιρέστε ό,τι δεν χρειάζεται: μειώστε το baseline πριν δημιουργήσετε allow rules.
- Χωρίστε τις ανάγκες ανά ρόλο: μην υποθέσετε ότι όλοι χρειάζονται τα ίδια εργαλεία.
- Επιλέξτε κατάλληλο application-control μηχανισμό: εξετάστε τι file types, rules, logging και deployment δυνατότητες υποστηρίζει.
- Δημιουργήστε αρχική policy: βασιστείτε σε γνωστές και εγκεκριμένες επιχειρηματικές εφαρμογές.
- Ξεκινήστε με pilot: δοκιμάστε σε αντιπροσωπευτικές συσκευές πριν από ευρεία επιβολή.
- Ελέγξτε τα events: εντοπίστε νόμιμο λογισμικό που θα μπλοκαριζόταν.
- Δημιουργήστε διαδικασία exceptions: μην επιτρέπετε ad-hoc παρακάμψεις χωρίς έλεγχο.
- Περάστε σταδιακά σε enforcement: επεκτείνετε την policy αφού επιβεβαιωθεί ότι οι κρίσιμες εργασίες λειτουργούν.
- Συντηρείτε τους κανόνες: ελέγχετε updates, νέες εφαρμογές, παλιές εξαιρέσεις και λογισμικό που δεν χρησιμοποιείται πλέον.
Checklist πριν ενεργοποιήσετε Enforcement
- Γνωρίζουμε ποιες εφαρμογές χρειάζεται κάθε βασικός επιχειρηματικός ρόλος;
- Έχουμε ελέγξει executables, scripts και installers που χρησιμοποιούνται νόμιμα;
- Έχουμε δοκιμάσει την policy σε αντιπροσωπευτικές συσκευές;
- Έχουμε εξετάσει τι συμβαίνει μετά από application updates;
- Οι path-based κανόνες αποφεύγουν τοποθεσίες όπου μπορούν να γράψουν μη εξουσιοδοτημένοι χρήστες;
- Υπάρχει διαδικασία για νόμιμα exceptions;
- Καταγράφονται allowed και blocked events όπου το υποστηρίζει η λύση;
- Υπάρχει υπεύθυνος που εξετάζει σημαντικά ή επαναλαμβανόμενα blocks;
- Έχουμε σχέδιο rollback αν η policy προκαλέσει επιχειρησιακό πρόβλημα;
- Υπάρχει διαδικασία περιοδικής επανεξέτασης του ruleset;
Συχνά λάθη στο Application Control
Ενεργοποίηση αυστηρού blocking χωρίς pilot
Η άμεση επιβολή σε όλους τους υπολογιστές μπορεί να μπλοκάρει κρίσιμες εφαρμογές που δεν είχαν καταγραφεί.
Υπερβολικά γενικά Allow Rules
Αν ένας κανόνας επιτρέπει πολύ μεγαλύτερο σύνολο εφαρμογών από όσο απαιτείται, μειώνεται η αξία του control.
Μόνιμες εξαιρέσεις για κάθε πρόβλημα
Οι προσωρινές εξαιρέσεις που δεν επανεξετάζονται μπορούν σταδιακά να μετατρέψουν μια αυστηρή policy σε ένα σύνολο πολύ χαλαρών κανόνων.
Έλεγχος μόνο αρχείων EXE
Scripts, libraries, installers και άλλοι executable τύποι μπορούν επίσης να έχουν σημασία ανάλογα με το περιβάλλον και τη λύση.
Καμία παρακολούθηση των Logs
Τα blocked events μπορούν να αποκαλύψουν τόσο λειτουργικά προβλήματα όσο και ύποπτη δραστηριότητα. Αν δεν εξετάζονται ποτέ, χάνεται σημαντικό μέρος της αξίας του control.
Application Control δεν σημαίνει «δεν εγκαθιστούμε τίποτα»
Ο στόχος δεν είναι να εμποδίζεται η επιχείρηση να χρησιμοποιεί νέο λογισμικό.
Ο στόχος είναι η εγκατάσταση και εκτέλεση εφαρμογών να ακολουθούν ελεγχόμενη διαδικασία: επιχειρηματική ανάγκη, αξιολόγηση, έγκριση, κατάλληλο deployment και μελλοντική συντήρηση.
Μια αποτελεσματική policy πρέπει επομένως να προστατεύει την επιχείρηση χωρίς να αναγκάζει τους εργαζομένους να αναζητούν ανεπίσημους τρόπους παράκαμψης των controls.
Πώς μπορεί να βοηθήσει η DataShield
Η εφαρμογή Application Control απαιτεί καλή εικόνα των endpoints, του εγκατεστημένου λογισμικού και των πραγματικών αναγκών των χρηστών.
Η DataShield μπορεί να αξιολογήσει το υπάρχον endpoint environment, τα administrative privileges και το software inventory μιας επιχείρησης και να βοηθήσει στον σχεδιασμό μιας σταδιακής application-control προσέγγισης που περιορίζει μη εγκεκριμένο λογισμικό χωρίς να εμποδίζει τις απαραίτητες επιχειρηματικές εφαρμογές.
Συμπέρασμα
Το Application Control αλλάζει μια βασική παραδοχή στην ασφάλεια endpoints. Αντί κάθε πρόγραμμα να μπορεί να εκτελείται μέχρι να αποδειχθεί κακόβουλο, η επιχείρηση μπορεί να ορίσει ποιο λογισμικό είναι εγκεκριμένο για το περιβάλλον της.
Η προσέγγιση αυτή μπορεί να περιορίσει την εκτέλεση malware και μη εξουσιοδοτημένων εργαλείων, αλλά χρειάζεται σωστό inventory, προσεκτικά rules, pilot deployment, ελεγχόμενες exceptions, logging και συνεχή συντήρηση.
Δεν αντικαθιστά antivirus, EDR, patching ή least privilege. Λειτουργεί ως ένα ακόμη προληπτικό επίπεδο σε μια πολυεπίπεδη στρατηγική endpoint security.
