Глава 2. Применение «белого списка» ПО
Инвентаризация ПО является базисом для создания «белого списка». Этот список может быть внедрен путем применения специализированных коммерческих программ или с прикладными программами «белых списков», встроенными в антивирусные пакеты или ОС Windows. Системы инвентаризации ПО доступны и используются сегодня на многих предприятиях. Лучшие из них обеспечивают инвентаризацию сотни установленных и эксплуатируемых на предприятии приложений, извлекая информацию о версиях патчей каждой используемой программы, чтобы подтвердить актуальность и принадлежность программного приложения к общему перечню легального ПО.
Функции проверки по внедренным «белым спискам» разрешенных для запуска программ включены во многие современные комплексы безопасности. Более того, коммерческие решения все чаще комплектуются антишпионскими, антивирусными программами, персональным файерволом (firewall) и встроенными системами обнаружения вторжений (IDS) и предотвращения вторжений (IPS). Могут одновременно применяться и «белый» и «черный» списки. Большинство решений для такой защиты указывает наименование, расположение файловой системы и/или криптографический хэш[4], дающий исполнителю возможность определить, следует ли разрешить приложению работать на защищаемом компьютере.
Наиболее эффективны инструменты из специализированных «белых списков». Иногда применяются функции типа «серого списка», который составлен администраторами и определяет правила для выполнения конкретных программ только для уполномоченных пользователей и/или в определенное время суток.
Разрабатывая на предприятии список санкционированного ПО, необходимо учесть каждый тип системы и оборудования. Обязательно установите средства проверки целостности файлов для обеспечения гарантии того, что критические системные файлы (важных систем, исполняемых приложений, библиотечных модулей и настроек конфигураций) и файлы ПО из «белого списка» неизменны. Все изменения в таких файлах должны автоматически оповещать о событиях специалистов безопасности. Система оповещения должна иметь возможность отличить штатные изменения и выделять необычные события.
Внедренная технология «белых списков» приложений позволяет системе запускать ПО, если оно включено в «белый список», и запрещает запускать все остальное ПО. «Белый список» может быть очень обширным и включать дополнительные «белые списки» от вендоров коммерческих программ, чтобы пользователи не испытывали неудобства при использовании офисного ПО общего назначения. Для специальных систем, которые используют строго ограниченное число программ для своей необходимой бизнес-функциональности, «белый список» может быть довольно узкий. При защите системы со специализированным ПО возможно использование виртуальной среды, которая более защищена от вторжений и легко восстанавливается из копии предыдущего состояния.
Технологию «белых списков» необходимо поддерживать регулярным сканированием для обнаружения нелегального ПО. Чтобы обнаружить любые изменения или установки ПО на устройствах в сети, должен быть реализован строгий процесс контроля изменений. Например, с помощью контроля целостности файлов или состояния системы. Этот процесс включает оповещение, когда неопознанные объекты (исполняемые файлы, библиотеки DLL и т. п.) выявлены в системе. Контроль изменений должен включать проверку модифицированных версий ПО с использованием сравнения хэш-значений файлов. Злоумышленники часто используют измененные версии известных программ для нападения, а сравнение файлового хэша укажет на взломанные программные компоненты.
С практическим контролем списка исполняемых модулей при помощи программы «СКЗИ инфо» можно ознакомиться в рекомендациях Банка России http://www.cbr.ru/mcirabis/po/recommend.pdf [1].