Prakticky nejbezpečnější provoz je na železničních kolejích – závory jsou spuštěny, na všech semaforech je červená a vlak stojí ve stanici. Pak výpravčí zvedne zelenou „plácačku“ a vlak se může rozjet. Analogií v IT je white-listing, který má také svoje pravidla. Jaká a jak se liší od black-listingu jsme se ptali René Pospíšila, obchodního ředitele is4technologies.
Co znamená ohledně bezpečnosti IT white-listing a black-listing a jaké jsou jejich výhody a nevýhody?
White-listing a black-listing se používají při definici bezpečnostních pravidel.
V případě black-listingu se definuje provoz, tj. služby nebo aplikace, jejichž spouštění nechceme povolit. To znamená, že například pro každou nechtěnou aplikaci máme separátní pravidlo, kterým zakážeme její spuštění v případě, zda ji nechceme ve firemním prostředí spouštět. Nevýhodou tohoto přístupu je, že jste vždy pozadu s psaním pravidel na každou útočnou nebo nechtěnou aplikaci. Ale hlavně vás tento přístup nechrání proti tzv. útokům nultého dne.
Application white-listing znamená přesný opak black-listingu, tedy definování jen těch aplikací které chci, ostatní jsou automaticky zakázány. Z definice bezpečnosti provozu je lepší white-listing, protože eliminuje jakékoliv neznámé aplikace a hrozby, pokud v applications white-listingu nejsou povoleny, nemohou se spustit, tudíž vás nemůžou ani ohrozit. Application white-listing se tedy používá pro ohraničení pouze chtěných aplikací.
Těch dnešní firmy k chodu svého byznysu používají zpravidla jen několik desítek, což také znamená jen několik desítek pravidel pro jejich spouštění. Ostatní jsou by-default zakázány, čímž docílíte velmi silné ochrany proti útokům nultého dne. Pokud totiž jakýkoliv „vir“ (tedy i onen zatím neznámý vir, na který ještě nemáme signaturu – třeba ten, který používá zranitelnosti nultého dne) není zapsán v databázi povolených aplikací whitelistu, tak se nemůže spustit… a tím pádem nemůže ani škodit.
Lze nějak vytváření white-listingu usnadnit?
Pro usnadnění vytváření white-listu existují v zásadě dvě následující možnosti, obě znamenají jeho automatizaci.
První možnosti automatizace vytváření white-listingu se používá pro známé aplikace, jako například pro Microsoft Word.exe. Přijde-li jeho nová verze přes patch management, nebo nový update (aktualizace), můžete nadefinovat tzv. trusted updaters. Znamená to, že jeho tvůrci naprosto důvěřujete, v tomto případě Microsoftu, a jím vydaná aktualizovaná aplikace s novým tzv. fingerprintem bude považována opět za bezpečnou a dostane se automaticky na white-list. Způsob třídění podle fingerprintu a trusted updaters využívá například Heat Software (dříve Lumension) ve svém řešení Heat Endpoint Protection, které umí nastavovat trusted updaters pro aplikační zdroje automaticky.
Technologie fingerprint znamená, že se tímto „otiskem“ ohlašují do globální databáze všechny soubory, které na počítači existují. Nahlášené soubory s povoleným fingerprintem a od trusted updaters se pak automaticky spustit mohou, ostatní ne. Díky tomu nemusíte do application white listu zadávat každou novou aktualizaci dané aplikace a definovat pravidla pro její spouštění ručně.
Druhou možností automatizace vytváření white-listu je využít aplikaci, která jej řeší, například Bitdefender. Máte-li na světě půl miliardy počítačů s nainstalovanými aplikacemi, jejich fingerprinty jsou touto aplikací monitorovány v bezpečnostní síti, kterou Bitdefender nazývá Gravity Zone. Jestliže pak jde o aplikaci, která byla nainstalována na několika tisících až desítkách tisíc počítačů a nevyvolala žádnou bezpečnostní hrozbu, dá ji Bitdefender automaticky do svého applications white-listu, resp. její fingerprint. Bitdefender nazývá tuto technologii Foton a má ji patentovanou. Tato informace je sdílená pro oněch půl miliardy počítačů na celém světě a tuto aplikaci mohou bez obav používat, nemusejí se na ni soustředit a plýtvat na ní výpočetním výkonem pro její skenování.
S ohledem na pracnost správy white-listingu pro každou novou aplikaci je nejlepším řešením přenechat pak automatický whitelisting nejlépe pomocí analýzy tzv. reputací v globální ochranné síti. Takto funguje Bitdefender v Gravity Zone (Nimbus) síť, kde se soustředí více než 1 600 serverů na analýzu a zpracovává vzorky z 500 miliónů počítačů. Výsledkem je, že aplikace s dobrou reputací se zařadí do whitelistingu automaticky, už byl na ni totiž věnován globální výkon a globální dosah řešení Gravity Zone od Bitdefenderu.
Kde a jak se lze k těmto nástrojům pro application white-listing dostat?
Řešení Endpoint Security Suite od společnosti Heat Software a Bitdefender, který zase disponuje Gravity Zone a technologií Foton, lze získat od společnosti IS4 Technologies, která je jejich zastoupením pro český a slovenský trh.