Exploit Windows pentru atacuri direcționate descoperit de ESET

Exploit-ul abuzează de o vulnerabilitate de tip privilege escalation în Microsoft Windows

Cercetătorii ESET au descoperit și au analizat recent un exploit de tip zero day, utilizat într-un atac direcționat în Europa de Est. Exploit-ul a folosit o vulnerabilitate locală care escaladează privilegiile în Microsoft Windows. ESET a raportat imediat problema la Microsoft Security Response Center, care a reparat vulnerabilitatea și a lansat un patch pentru aceasta.

Vulnerabilitatea afectează următoarele versiuni de Windows:

  • Windows 7 pentru sistemele de 32 de biți Service Pack 1
  • Windows 7 pentru sistemele bazate pe 64 de biți Service Pack 1
  • Windows Server 2008 pentru sistemele de 32 de biți Service Pack 2
  • Windows Server 2008 pentru sistemele bazate pe Itanium Service Pack 2
  • Windows Server 2008 pentru sistemele bazate pe 64 de biți Service Pack 2
  • Windows Server 2008 R2 pentru sistemele bazate pe Itanium Service Pack 1
  • Windows Server 2008 R2 pentru sistemele bazate pe 64 de biți Service Pack 1

Această vulnerabilitate specifică Windows win32k.sys utilizează meniul pop-up pentru implementare. „De exemplu, exploitul de escaladare a privilegiilor locale folosit de grupul Sednit, analizat în 2017, a folosit obiecte de meniu și tehnici de exploatare, care sunt foarte asemănătoare exploit-ului curent“, explică Anton Cherepanov, cercetătorul ESET care a descoperit această vulnerabilitate.

Exploit-ul funcționează numai în cazul versiunilor mai vechi de Windows, întrucât de la versiunea Windows 8 încoace un proces de utilizator nu are permisiunea de a mapa pagina NULL. Microsoft a retro dotat această rezolvare și la Windows 7 pentru sistemele x64.

Persoanele care utilizează în continuare Windows 7 pentru sistemele pe 32 de biți Service Pack 1 ar trebui să aibă în vedere actualizarea la sisteme de operare mai noi, deoarece suportul extins al Windows 7 Service Pack 1 se încheie la data de 14 ianuarie 2020, ceea ce înseamnă că utilizatorii Windows 7 nu vor primi actualizări critice de securitate. Astfel, vulnerabilitățile precum aceasta vor rămâne persistente pentru totdeauna.

Pentru mai multe detalii tehnice despre acest exploit zero-day, citiți articolul semnat de Anton Cherepanov pe blogul ESET despre vulnerabilitatea CVE-2019-1132 folosită în acest atac direcționat.

 

 

Advertisements

SOLUȚII ESET DE ASIGURARE A CONFORMITĂȚII GDPR

Cu ocazia evenimentului GDPR Talks din 21 mai 2019, Cătălin GLIGAN Marketing Coordinator la ESET Romania (Axel Soft IT Group) a susținut o prezentare despre modul în care soluțiile de criptare și DLP oferite de ESET pot ajuta companiile în asigurarea unui nivel optim de conformitate privitoare la protecția datelor personale.

Catalin Gligan

În deschiderea prezentării au fost subliniate câteva dintre rezultatele unui studiu de piață realizat de IDC la solicitarea ESET. Studiul, care a vizat peste 700 de organizații din 7 țări relevă faptul că amenințările legate de securitatea datelor sunt principalele cauze ce determină breșe la nivelul securității datelor personale. Conform studiului, peste 300.000 de atacuri malițioase sunt semnalate zilnic, 40% din companiile chestionate au suferit cel puțin o breșă de date, iar 67% au raportat costuri asociate breșelor de peste 10.000 Euro

Printre cele mai serioase amenințări generate de breșele de date trebuie luate în considerație: costurile asociate atacurilor malware, pierderea datelor despre clienți, diminuarea încrederii clienților, indisponibilitatea site-ului Web, pierderea capacității operaționale și în cele din urmă pierderea clienților.

Compania ESET oferă un larg spectru de soluții de Securitate deosebit de utile în asigurarea conformității GDPR, printre care soluții pentru securizarea prin criptarea datelor, pentru autentificare securizată, precum și pentru prevenirea scurgerilor de date.

Cea mai veche măsură de precauție: criptarea datelor senzitive

Criptarea este una dintre măsurile de asigurare a integrității datelor recomandată de GDPR prin conceptul Privacy by Design și by Default. În Art.25., Alin.1 – Asigurarea protecţiei datelor începând cu momentul conceperii şi în mod implicit se arată că: ”Având în vedere stadiul actual al tehnologiei, costurile implementării, şi natura, domeniul de aplicare, contextul şi scopurile prelucrării, precum şi riscurile cu grade diferite de probabilitate şi gravitate pentru drepturile şi libertăţile persoanelor fizice pe care le prezintă prelucrarea, operatorul, atât în momentul stabilirii mijloacelor de prelucrare, cât şi în cel al prelucrării în sine, pune în aplicare măsuri tehnice şi organizatorice adecvate, cum ar fi pseudonimizarea, care sunt destinate să pună în aplicare în mod eficient principiile de protecţie a datelor, precum reducerea la minimum a datelor, şi să integreze garanţiile necesare în cadrul prelucrării, pentru a îndeplini cerinţele prezentului regulament şi a proteja drepturile persoanelor vizate.” Totodată, operatorul trebuie să pună în aplicare măsuri tehnice şi organizatorice adecvate pentru a asigura că, în mod implicit, sunt prelucrate numai date cu caracter personal care sunt necesare pentru fiecare scop specific al prelucrării. Respectiva obligaţie se aplică volumului de date colectate, gradului de prelucrare a acestora, perioadei lor de stocare şi accesibilităţii lor.

Mai mult de atât, în Art. 32, Alin.1 – Securitatea prelucrării se precizează: ”(…) operatorul şi procesatorul implementează măsuri tehnice şi organizatorice adecvate în vederea asigurării unui nivel de securitate corespunzător (…), incluzând printre altele, după caz:

  1. pseudonimizarea şi criptarea datelor cu caracter personal;
  2. capacitatea de a asigura confidenţialitatea, integritatea, disponibilitatea şi rezistenţa continue ale sistemelor şi serviciilor de prelucrare;
  3. capacitatea de a restabili disponibilitatea datelor cu caracter personal şi accesul la acestea în timp util în cazul în care are loc un incident de natură fizică sau tehnică;
  4. un proces pentru testarea, evaluarea şi aprecierea periodice ale eficacităţii măsurilor tehnice şi organizatorice pentru a garanta securitatea prelucrării. (…)”

Tehnologia este un mijloc stabilit de protejare a informațiilor vulnerabile în caz de furt sau de  pierdere. GDPR face referire de asemenea la necesitatea existenței unor planuri eficiente de restaurare în caz de dezastru, la proceduri de recuperare a parolei și de gestionare a cheilor.

Unul dintre principiile cheie al GDPR este asigurarea securității corespunzătoare a datelor cu caracter personal. Criptarea este considerată o măsură tehnică adecvată pentru a realiza acest lucru. În cazul în care criptarea este utilizată ca o măsură tehnică, ea trebuie să fie însoțită de posibilitatea restabilirii datelor imediat după un incident, iar înregistrările trebuie să fie păstrate pentru a dovedi permanent că sistemele sunt sigure și recuperabile.

Criptare de text și de clipboardpentru orice client de e-mail, inclusiv web-mail

Dintre toate aceste recomandări, tehnologia de criptare este un mijloc simplu, stabil și solid de asigurare a acestor măsuri tehnice și organizatorice adecvate. Criptarea datelor sensibile din sistemele companiilor care colectează astfel de date poate ajuta la îndeplinirea multor cerințe esențiale din GDPR. Soluția ESET Endpoint Encryption este simplu de instalat și poate cripta în condiții de siguranță diferite tipuri de medii sau fișiere. ESET Endpoint Encryption permite îndeplinirea obligațiilor privind securitatea datelor, prin implementarea facilă a unei politici de criptare, păstrând în același timp o productivitate ridicată. Cu un consum redus de resurse și cicluri de desfășurare scurte, soluția se distinge prin flexibilitate și ușurință în utilizare.

Soluția Endpoint Encryption asigură:

  • Criptare simplă și puternică (full disk, partiție, folder, fișier, email) pentru organizațiile de toate dimensiunile, criptând în siguranță fișierele de pe hard disk-uri, dispozitivele portabile și documentele trimise prin e-mail
  • Certificare: criptare FIPS 140-2 cu validare 256 bit AES;
  • Server de management hibrid bazat pe cloud pentru un control complet de la distanță a cheilor de criptare endpoint și a politicii de securitate;
  • Suport extins pentru Windows 10, 8, 7, Vista, XP SP 3; Microsoft Windows Server 2003-2012; Apple iOS. La nivel de client este necesară o interacțiune minimă cu utilizatorul, securizarea datelor companiei fiind posibilă prin instalarea unui singur pachet MSI. La nivel de server se asigură administrarea avansată, în grupuri, a utilizatorilor și a stațiilor de lucru și se extinde protecția companiei dincolo de rețeaua proprie.

Una dintre noutățile noului Regulament UE 679/2016 este introducerea obligativității notificărilor către Autoritatea de Supraveghere a oricărei  încălcări a securității datelor cu caracter personal, nu mai târziu de 72 de ore după ce organizația în cauză devine conștientă de breșa respectivă. În plus, atunci când încălcarea securității datelor poate duce la un risc ridicat în privința drepturilor și libertăților persoanelor fizice, operatorul de date personale este obligat să comunice apariția breșei către persoana vizată, fără întârzieri nejustificate.

Dar e bine să ținem cont de faptul  că nu este necesară notificarea breșelor dacă operatorul a pus în aplicare măsuri tehnice de protecție și de organizare adecvate, iar aceste măsuri au fost aplicate în prealabil datelor afectate în urma breșei, în special măsuri prin care datele personale scurse să nu poată fi accesate de persoane neautorizate, cum ar fi criptarea.

Criptarea este considerată fără dubiu o garanție suficientă pentru a exclude aceste riscuri și consecințele implicite pentru reputația corporativă. Soluția ESET Enpoint Encryption este disponibilă pentru descărcare în versiune de evaluare (trial) pe http://www.eset.ro, alături de multe informații utile care analizează în detaliu cerințele GDPR și modul în care acestea sunt acoperite de soluția de criptare ESET.

Securizarea autentificării

One Time Password – Two Factor Authentification.

Una dintre marile probleme ale politicilor interne de Securitate IT este respectarea unor reguli foarte stricte de stabilire și utilizare a parolelor. Multe dintre vulnerabilitățile de securitate care apar într-o organizație, de natură internă sau externă, se datorează folosirii unor parole slabe, păstrarea aceleiași parole pe o perioadă foarte mare de timp sau utilizarea aceleiași parole pentru mai multe conturi de utilizator. ESET oferă o soluție dedicată pentru securizarea autentificării prin validarea identității utilizatorilor cu One Time Password – Two Factor Authentification.

Soluția rezolvă problema:

  • Parolelor ușor de prezis sau sustras
  • Parolelor statice care pot fi interceptate
  • Parolelor simple care nu conțin combinații aleatoare
  • Reutilizării parolelor conturilor din companie pentru conturi private
  • Parolelor care conțin informații legate de utilizator (data de naștere, nume)
  • Variațiilor simple prin care sunt derivate noi parole, ex: “mihai1”, “mihai2”, etc.

Prevenirea pierderilor de date

Safetica DLP

Soluția ESET care contribuie la asigurarea conformității GDPR prin prevenirea pierderilor de date se numește Safetica –DLP. Soluția urmărește traseul documentelor sensibile: cine le deschide și cum sunt gestionate, oferind și un ghid de utilizare al documentelor bazat pe reguli clare pentru persoanele care pot opera cu date sensibile. Iată câteva dintre avantajele oferite:

  • Găsește fișiere greșite – Împiedică pătrunderea unor fișiere importante în a intra pe mâini greșite,  în interiorul sau în afara unei organizații, și avertizează managementul față de potențialele pericole.
  • Detectează atacurile – Safetica identifică atacurile de tip social engineering și încercările de șantaj în etapele inițiale, împiedicându-le să dăuneze companiei dvs.
  • Criptează datele pentru a preveni utilizarea greșită – Datele importante sunt protejate chiar dacă laptopurile sau unitățile de memorie externă sunt pierdute sau furate. Întregul disc sau fișierele selectate rămân criptate și greu de citit.
  • Gestionează resursele – Safetica controlează utilizarea imprimantei, aplicațiile și limitează activitățile online excesive. Ea identifică schimbările în productivitate pentru a descoperi tendințele potențial periculoase în timp util.

Totodată, Safetica – DLP asigură:

Soluție DLP completă – prin capacitatea de prevenire a pierderilor de date, Safetica acoperă o gamă largă de evenimente și domenii, ajutând organizația să prevină incidentele nedorite.

Raportarea și blocarea activităților – Raportează toate operațiile de fișiere, tendințele pe termen lung, fluctuațiile pe termen scurt în activitate, toate site-urile Web, e-mailurile și webmail-urile, mesageria instantanee, imprimantele, activitatea pe ecran și keylogging-ul.

Litigii și zone de prevenire a pierderilor de date – Extinde la toate unitățile de hard disk, transferul de fișiere în rețea, e-mailuri, SSL / HTTPS, imprimante, Bluetooth, cititoare și înregistratoare CD / DVD / BluRay, controlul accesului la fișierele aplicației și detectarea și restricționarea discurilor în Cloud. Versiuni Safedica DLP sunt disponibile pentru Safetica Endpoint Client, Safetica Management Services & SQL database, Safetica Management Console și WebSafetica

Concluzionând, soluția Safetica oferă organizațiilor o experiență DLP completă care acoperă o gamă largă de funcții de securitate pentru amenințările care provin dintr-o sursă comună – factorul uman. Safetica previne scurgerile de date accidentale, demascând acțiunile rău intenționate, problemele de productivitate, pericolele BYOD și shadow IT. Mai mult, filosofia de securitate este bazată pe trei atuuri majore: caracterul complet, flexibilitate și ușurința de utilizare.

Câteva considerații practice despre GDPR/ „Privacy by design and by default” în dezvoltarea de software

 

Autor Daniel Suciu

Acest material se adresează în special dezvoltatorilor din firmele mici, fără o structură organizatorică, funcții de suport dedicate sau o metodologie complexă in ajutor.

O să încep menționând că pentru a respecta cu adevărat principul de „Privacy by design and by default” pentru orice aplicție sau sistem not, trebuie avut în vedere scopul pentru care sunt folosite datele (personale), modul de prelucrare, de la acces, la prelucrările interne, stocare și distribuire precum și procesele operaționale, de operare, administrare și de suport, licențiere, actualizările aplicației, instruirea celor ce o operează și administrează…

Mai jos găsiți câteva exemple de cerințe sau doar bune practici, din experiența mea personală – de fost programator, tester, business analyst,  QA, admin, PM, manager… și acum consultant GDPR- care pot ajuta la dezvoltarea unei aplicații în acord cu aceste principii. Nu este o listă exhustivă și nici obligatorie, dar poate fi un punct de plecare pentru analiză. Evident ca lista poate fi mult mai lungă sau mai bine organizată. La final o să incerc să creez și să mențin o listă cu materialele mai formale pe aceasta temă, pe baza recomandărilor si sugestiilor primite.

Câteva considerații generale

  • Atât GDPR-ul cât și recomandările specifice implică necesitatea demonstrării respectării acestor principii din faza de design considerând toata durata de viață a produsului (SLC) nu doar dezvoltarea, iar dezvoltarea ar fi indicat să conțină și partea de analiză, cerințe, design, testare… stiu, pare evident
  • Trebuie să existe documentație – nu doar cea de produs (pentru useri și administrare/mentenanță) ci și pentru proiect/ development, incepând de la cerințe)
  • Cerințele inițiale ale aplicației/serviciului trebuie să conțină referințe la principiile GDPR ce trebuie avute in vedere de la bun început (câteva articole din GDPR ce pot avea legătură și ar merita citite sunt 5,7,11, 12, 15-22, 25,32,35,44…)
  • Trebuie să existe o trasabilitate pentru modul in care acestea sunt implementate in produs… sau proces, prin care să se poata demonstra ce funcțiune implementează o anumită cerință
  • Ar fi bine să existe evidente ca este urmata o metodologie (incluzând toate activitatile de dezvoltare). Se acceptă și Agile și DevOps, dar nu varianta fară arhitectură/design și documentație…

Acum, mai la concret:

–          despre Baze de date

  • Separarea informațiilor despre utilizatori de cele de business, eventual și cu criptarea celor ce pot identifica utilizatorii este utilă;
  • Normalizarea datelor ajută atât la consisten,a datelor, cât și la minimizarea impactului in cazul breșelor de securitate. Posibilitatea de a utiliza datele ca întreg și a identifica subiecții scade;
  • Normalizarea ajută și la implementarea unor măsuri de siguranță sau chiar de acces granular pentru anumite date considerate sensibile;
  • Ar fi indicat să existe un Data dictionary , cu descrierea datelor – ajută la identificare și mapare și este util în definirea scopului acestora de la început și la demonstrarea atât a minimizării datelor cât și a limitării scopului;
  • Stergerea și arhivarea automată a datelor, bazate pe anumite reguli, ar trebui avută in vedere din stadiul de design. Sigur va fi nevoie.

–          despre Managementul utilizatorilor și drepturilor

  • Managementul utilizatorilor ar trebui facut pe baza de roluri, cu drepturi bine definite pentru fiecare rol , luând în cosiderare și datele, nu doar funcțiile;
  • Managementul utilizatorilor și a drepturilor nu ar trebui limitat doar la utilizatorii finali, ci și la cei ce se vor ocupa de administrare, mentenanță…
  • Definirea utilizatorilor de la nivel de sistem de operare, baze de date, aplicație și utilizarea lor de la bun inceput pot face posibile operațiile de mentenanță sau administrare fără drepturi de a acces la continuțul bazelor de date și pot limita riscul de a produce incidente din greșeală (acordâdu-se drepturi doar pentru nevoile funcțiilor respective);
  • Folosind doar conturi de „root”/ „admin” pentru instalare, dezvoltare, administrare și mentenanță face inutile eforturile de „securizare” a aplicației;
  • Nu mai pomenesc de „utilizatorii” la nivel de aplicatie/modul, de care nu se prea știe, care in multe aplicații folosesc tehnologii ce necesită numele de utilizator și parola in clar;
  • Bănuiesc că schimbarea parolelor inițiale ale tuturor produselor COTS folosite este evidentă… nu că nu se uită de multe ori.

–          despre Corectitudinea datelor

  • Validarea tranzacțiilor end2end pentru a preîntâmpina erorile sau inconsistențele în date datorită prelucrărilor incomplete;
  • Ar trebui avute in vedere validări ale acestora (atât ca tip de date, valori căt și ca reguli de business, în relație cu alte date) începând de la colectare, pentru a preveni introducerile greșite;
  • Baza de date ar trebui să conțină informatii atât despre vechimea datelor, cât și a ultimelor operații efectuate pe ele = problema este de a determina pentru ce entități este nevoie și pentru ce operațiuni.

–          despre Securitate

  • Managementul sesiunilor e unul din aspectele de securitate ce poate preveni problemele;
  • Autentificarea utilizatorilor folosind cele mai potrivite metode (acum au apărut multe dar tot username-ul și parola „rules”), dar măcar existența unor politici minime pentru parole (care ar fi chiar indicat să nu se pastreze in clar… evident, nu?) și utilizarea a doi factori pentru autentificare ar fi bune;
  • Managementul licențelor produselor COTS folosite și a update-urilor acestora este un alt aspect de avut in vedere;
  • Nu uitati cerintele de infrastructură (hardware, software, retea) necesare funcționării aplicației, care pot introduce vulnerabilități, oricât de securizată ar fi aplicația;
  • Pentru administrare, pe lângă utilizarea conturilor dedicate, cu permisiuni specifice și limitate, ar fi indicat să fie identificate modalități de lucru la distanță printr-un canal sigur – aspect care mi se pare cel mai neglijat;
  • Auditarea operațiilor efectuate de clienți asupra datelor este un factor ce permite o analiză mult mai ușoară in caz de breșe de securitate, plus responsabilizarea celor ce utilizează aplicația. Pentru cei ce nu fac diferența, spre deosebire de log-urile tehnice, auditarea este un proces similar dar informațiile stocate sunt altele, de genul ce utilizator a efecutuat o anumită operație și când. Salvarea acestor informații la nivel de bază de date face utilizarea lor mai ușoara, dar nu este obligatorie.

–          Back-up & restore

  • In primul rând să nu se uite de procesul de restaurare, nu doar de back-up… ceea ce in general (macar 99%) nu inseamnă doar să pui baza de date veche in locul celei corupte, pierdute…;
  • In cel de-al doilea rând, back-upul ar trebui să nu fie limitat la date, ci și la aplicatie, fișierele de configurare, log-uri… pentru a permite restaurarea SERVICIILOR in caz de probleme și analiza incidentelor atunci cândva fi cazul (sigur va fi);
  • Combinarea mai multor tipuri de back-up pentru diferite tipuri de informații este o alternativă de considerat, de exemplu back-ul frecvent al log-urilor permite obținerea datelor despre tranzacțiile efectuate de la ultimul back-up al datelor (care de multe ori nu se poate face foarte des);
  • Daca datele sunt distribuite sau unele pot fi salvate in dispozitivele clientilor, o metoda de back-up pentru aceasta trebuie luată in considerare.

Alte chestii specifice GDPR

care nu tin neapărat de bune practici generale in dezvolatarea, administrarea și operarea unei aplicatii:

  • Introducerea in aplicație a functiilor ce permit exercitarea drepturilor persoanelor vizate, accesul la informatii (istoricul datelr și tranzactiilor), actualizarea informatiilor, exportul datelor, stergerea datelor- și chiar a contului;
  • Cel mai delicat drept este cel de restrictionare a prelucrării, in care datele trebuie marcate ca restricționate – nu șterse, dar să nu se permita nicio prelucrare. Atentie, accesul la date este o prelucrare. Implementarea drepturilor de acces la date cât mai granular face mai usoara implementarea – datele pentru un anumit client marcat nu vor avea nici dreptul de „view”, permițând doar accesul administratorului pentru taskurile de mentenanță;
  • Pentru a ușura exercitarea drepturilor, sau obținerea consimțământului, acolo unde este nevoie, o metodă ar fi utilizarea unor soluții dedicate, sau introducerea acestora in functionalitățile aplicației, la nivelul customizării preferințelor conturilor, care oricum există în majoritatea aplicațiilor;
  • Un amănunt important este obligativitatea ca retragerea unui consimțământ trebuie să fie la fel de ușoară ca acordarea lui. Pentru aceasta pozitionarea celor două opțiuni în același loc este o metoda bună de a rezolva problema;
  • A nu se uita că toate operațiile de exercitare ale drepturilor clienților, obținerea și retragerea consimțământului, obiecțiile la prelucrare… trebuie să fie salvate pentru a le putea demonstra oricând.

Alte matriale utile

GDPR explicitat (9): Data protection by design and by default – de la Cloudmania

THE CNIL’S GUIDES – 2018 EDITION- SECURITY OF PERSONAL DATA  – de la CNIL –autoritatea Franceză in domeniu ( document în Engleză)

Software development with Data Protection by Design and by Default – de la Datatilsynet

Notă: materialele au fost primite după redactarea articolului, și conțin informații suplimentare utile, ce nu au fost adresate în acest material

Despre autor: Daniel SUCIU este specialist în managementul proceselor, managementul schimbării, managementul riscului, auditul intern, guvernanța și administrarea datelor, dezvoltarea de software, operarea și suportul IT, securitatea informațiilor dar și managementul proiectelor și al echipelor crossfunționale, cu rezultate măsurabile la intersecția sistemelor, tehnologiei, proceselor, oamenilor și datelor. 30 de ani de experiențe de lucru între IT / tehnologie si echipele de business, între clienți, parteneri / furnizori, angajați și conducere. Nu în ultimul rând, certificat ca ofițer cu protecția datelor, fiind implicat în conformarea la GDPR a mai multor organizații, din diferite domenii: învățământ, ONG, turism, medical, servicii IT, afaceri sau comerț online.