Почему сертифицированные решения не защищают

Новости безопасности с портала securitylab.ru за 26-27 августа 2019

Каждый день появляются новые приложения и находят новые уязвимости. Каждый день новости про очередной ботнет или очередной вектор атаки.  Если в продукт защиты информация о защите приходит своевременно, то значит он может защитить Вас от новой атаки. 

Сегодня вы покупаете не какую-то голую железку для защиты, а к ней прилагается сервис, в котором задействованы сотни человек, которые круглосуточно отслеживают атаки всего мира, пишут новые сигнатуры для антивируса, IPS, изучают новые приложения (майнеры, анонимайзеры, туннели), смотрят где появились новые вредоносные URL, DNS, IP и все это своевременно поставляют в Ваше устройство защиты. То есть устройство защиты сегодня - живое. Оно меняется с той же скоростью, с какой меняются угрозы.

Но! С точки зрения сертификации в РФ и многих других странах в продукт не может вноситься никакая техника защиты извне. Поэтому после сертификации продукт представляет из себя конечный автомат, обновить функции защиты которого можно только повторной проверки. Поскольку сертификация занимает годы, то вам в сеть это устройство попадает значительно устаревшим. И новые угрозы вам блокировать нечем. Поэтому сертифицированное устройство защищает от угроз, которые были актуальны на момент начала сертификации.

Почему так происходит? Если мы защищаем государство, то мы рассматриваем угрозу наличия программных и аппаратных закладок. И поэтому по-умолчанию любому продукту (особенно из-за рубежа) нет доверия. И регуляторы требуют проверки исходного кода. Для производителя этот шаг скорее выражение открытости и чистоты своих намерений, потому что реально найти что-то в миллиардах строк кода операционной системы невозможно.

Для заказчика шансов остаться без закладок нет, даже если все сертифицировано, потому что закладку могут вставить в любой момент цепочки поставки от производства до доставки в ЦОД, о чем рассказывал Александр Матросов на Offzone 2019.

Может ли производитель намеренно вставлять закладки в свой код? В принципе можно гипотетически представить, что компания из top5, которая зарабатывает несколько миллиардов долларов в квартал, у которой продукты установлены в 160 странах мира, вдруг сделает закладку для взлома Вашей компании. Когда об этом станет известно, возможно, это сразу же перечеркнет её бизнес, потому что ей не будет доверия нигде. Понятно, что для этого шага сама информация должна стоить эти несколько миллиардов, чтобы такой шаг окупился. Существует ли такая дорогая информация? Возможно. Но тогда дешевле подкупить какого-то сотрудника компании, как это описывают в шпионских романах.

Другая проблема сертификации - уязвимости в самом продукте. Как только находится уязвимость в продукте ИБ он по-сути теряет свой сертификат. А уязвимости находят непрерывно, какого вендора ни возьми. И тут надо бы поставить исправление уязвимости - а нельзя - это исправление надо сначала проверить! И снова Вы вынуждены работать на сертифицированном несколько лет назад, да еще и уязвимом. (Шучу конечно. Да, я догадываюсь, что все адекватные люди делают.)

Почему верно проверять исходный код или среду разработки, включая обновления? Потому что даже сама компания-производитель может непроизвольно вставить в свой код вредоносный код. Так уже было с производителем бухгалтерского софта M.E.Doc, в обновлениях которого был вредоносный код Petya. Но, к сожалению, мы как пользователи можем только принять такие риски и скачивать обновления, начиная, с операционных систем, браузеров и продолжая смартфонами и приложениями на нем.

Если мы в нашей стране защищаем обычные компании, то лучше разделить два понятия сертификация и уровень доверия. Сертификация должна означать, что проверены функции ИБ. Уровень доверия должен появляться при защите гос. органов. Да, там логично: посмотрели в исходный код - то есть проверили нет ли закладок, начали работать. Но лично для меня нелогично то, что самые критичные наши госорганы нельзя защищать самым топовым и современным софтом - нужно ждать сертификации! Да уж. 

Сейчас, любой здравомыслящий отдел безопасности проводит тестирование продуктов, поскольку появилось очень много маркетинга и любой продукт сейчас "самый лучший в мире".  Любой, кто прослушал все презентации вендоров по ИБ теперь хорошо разбирается в презентациях вендоров по ИБ. Тестирование - по сути это и есть сертификация, которую все-равно проводят все заказчики. И слава богу (а кому еще?), этот пункт проверки соответствия включен в 239 приказ ФСТЭК.

Сейчас сертификация, уровень доверия и криптография связаны, поэтому сертифицировать можно только обрубленный функционал, который возможно еще как-то проверить. Алексей Лукацкий в своем блоге уже привел пример, почему сейчас NGFW нельзя сертифицировать: можно сертифицировать только L4 firewall, без VPN, SSL и удаленного управления, ведь SSH и HTTPS для управления уже нельзя использовать.

Итак, сертификация - это хорошо и правильно, но она не достигает цели, потому что

- сертифицирован всегда старый код, который уже не актуален;

- сертифицирован только обрезанный код продукта, который не является лучшим современным решением;

- обновления не приходят своевременно, как нужно для реальной защиты;

- управление группой устройств с одной точки и их обновлениями чаще всего отключается.

Можно ли изменить процесс сертификации, чтобы актуальная защита была проверена быстрее?

Почему компании, купив L7 firewall, настраивают правила L4

В то время как я писал статью про разницу L4 и L7 правил, я еще не думал, что реально, покупая NGFW компания по сути покупает еще 

- обучение сотрудников

- внедрение новых процессов

Обучение сотрудников и процессы

Оказалось, что те два сотрудника (которых как правило отправляют на обучение по NGFW после покупки) никак не влияют на всех сотрудников компании. Они начинают жить в своем L7 мире, а все другие сотрудники остаются жить с обычными L4 вендорами. Происходит разрыв шаблона. 

Для 99% ИТ сотрудников является нормальным открыть наружу в Интернет порт 80. А для обученных в инновационных компаниях двух сотрудников это дико - ведь по 80 порту ходит 1332 разных приложения и какое реально L7 приложение они должны пропустить по этому порту? L4 люди забывают сказать, потому что они просто не в курсе, что приложений много, а не только браузер. Вы как думаете? Вот что можно разрешить на порту 80, если поискать по протоколу tcp и порту 80 в базе приложений NGFW:

Соответственно, идеология L4 отражается в HelpDesk системах: они содержат просьбы открыть им только порты, без объяснения, что за приложения реально нужны. 

А если нужно открыть более сложные приложения, например в DMZ, то я просто в ужасе что же пишут в запрос (тикет) cлужбы поддержки. В ужасе, потому что догадываюсь!

И этот тренд 2019 года продолжают сам вендора которыми мы пользуемся. Если читать их документацию, то они пишут про что? Про L4 правила! Например, если нужно открыть Microsoft Skype For Business, существует только документация портовая у компании Микрософт! Здрасьте, приплыли!

Вот что по мнению Микрософт должен сделать владелец L4 Firewall:

Что делает владелец L4 firewall глядя на этот список? Правильно! Он разрешает все порты выше 1024 на сервер! Ему же надо доступ дать, а не башню на танк поднять (я про анекдот).

В то время как владелец NGFW должен разрешить одно приложение ms-lync. Удобно ли это? Ему удобно, бизнесу удобно, и компании безопасно и быстро! Ну впрочем, если, правда, в компании безопасность - важна и сотрудников ИТ - ценят.

Итог

В итоге к чему я клоню. Мне как сотруднику компании, которая придумала и сделала NGFW - выговор. Я должен позаботиться, чтобы все ИТ сотрудники знали, что существуют более удобные методики межсетевого экранирования. А я этим не занимаюсь? Занимаюсь, но недостаточно.

А надо ли это этим счастливчикам, которые живут в L4 и разрешают все возможные 1332 приложения по порту 80 всем?  

5G, CIoT, NB-IoT, LPWAN и другие технологии защищены в межсетевом экране K2

https://www.paloaltonetworks.com/solutions/industries/service-providers/mobile-network-operators

Довольно поверхностно я освещаю тему защиты на уровне телекомов и никогда не рассказывал про специализированный межсетевой экран K2. Попробую осветить сегодня, по аналогии как это сделано в этой англоязычной статье.

Развитие технологий происходит очень бурно особенно мир IoT. Мир идет в сторону LPWAN (Low-power Wide-area Network — «энергоэффективная сеть дальнего радиуса действия») куда может быть подключено огромное число различных датчиков.

Или другой стандарт NB-IoT (поддерживаемый Huawei, Ericsson, Qualcomm и Vodafone), который предлагает подключать неиспользуемые полосы 200 кГц для подключения миллиардов устройств IoT через «глобальные сети с низким энергопотреблением». Это могут быть медицинские датчики или системы умного дома, удаленный сбор данных счетчиков воды и электроэнергии, контроль влажности, пожаров, уровня воды.

Ожидается что к 2025 году в мире будет 25 миллиардов подключенных устройств IoT.

В нашей стране Мегафон, МТС и Билайн уже заявили о поддержке этих технологий и возможности подключать датчики через их сети. Уже есть запущенные на этой технологии системы, например, интеллектуального учета электроэнергии.

Одновременно такие датчики содержат небольшие процессоры, память и программисты  и пользователи не ставят задачи их защиты. Посмотрите даже на свои устройства bluetooth: у вас стоит пароль по-умолчанию 0000? И вы ни разу не захотели его поменять?

Мир пестрит объявлениями об удаленных взломах самолетов и автомобилей, что уж говорить про простейшие датчики и создании целых бот-сетей на их основе Mirai, Satori, Asuna. Вот пример бота RIFT, который использует сразу 17 эксплойтов https://threatpost.ru/iot-botnet-rift-targeting-17-cves/30347/

Устройство OwnStar для взлома системы управления автомобилем компании General Motors OnStar RemoteLink.

В 2018 году компания Palo Alto Networks выпустила впечатляющий по скорости 1 Террабитный межсетевой экран K2 специально для защиты от новых угроз. K2 защитит мобильную сеть от штормов сигнализации, включая различные атаки на туннельном уровне и уровне приложений, проходящие через сети GRX / IPX на интерфейсах S8, S6a / S6d. Этот межсетевой экран был представлен также на Mobile World Congress 2019. Его задача - определение приложений, какие бы они не были: медицинские, ICS/SCADA, телеком, транспорт, нефтяные или энергетические системы. После задач визуализации того что творится, его задача знать и защищать от уже известных атак и также обнаруживать новые атаки методами корреляции с уже имеющимися знаниями всего мира и на основе поведенческого анализа. 

Однажды слышал на конференции "В общем тут артифишал интелидженс на биг дата". Что-то в этом есть ;-)

K2 серия межсетевых экранов Palo Alto Networks поддерживает все возможные применения мобильных устройств: роуминг, RAN, SGi, защита доступа к не-3GPP сетям.

Таким образом типовые схемы инсталляции:

• Защита от угроз Интернет (S/Gi)
• Защита роуминга (S8/Gp)
• Radio access network security (S1/S11)
• Non-3GPP network access (S2)
• IoT безопасность
• Защита сигнализации

Выступление на MWC2019 "K2 series 5G Firewall"

https://www.cnbc.com/video/2019/03/21/its-hard-to-say-whos-ahead-in-the-5g-race-palo-alto-networks.html