Defensas contra el troyano de distribución de software

Share

|

Defensas contra este tipo de caída ataque en tres categorías: el conocimiento del usuario, los controles de administrador integridad, cuidado y prueba de nuevo software. En primer lugar, usted y su organización deben ser conscientes de la amenaza. Sin el conocimiento fundamental de lo que está en contra, tiene la garantía de perder. Sus políticas debe establecer claramente que los usuarios tienen estrictamente prohibido la instalación de programas no autorizados en los sistemas de su organización. Los usuarios no deben instalar las actualizaciones de software inesperados que llegan por correo, no importa cómo "oficial" que parecen ser. No me importa si el paquete incluye el logotipo de la empresa, nunca debe ser instalado. Si las actualizaciones llegan, de inmediato debe ser enviado al equipo de seguridad. Si necesita actualizar los sistemas de los usuarios, debe tener un plan formal de anunciar cómo va a ser la distribución de software para ellos. Este plan debe ser incluido en los materiales de sensibilización de los usuarios.

Además, en conjunto una campaña de sensibilización para que sus usuarios de computadoras y los administradores saben que los atacantes a veces desagradable distribuir software a través de Internet o incluso a través de correo postal. Viste a tus esfuerzos de sensibilización mediante la creación de un puesto fuera de una cafetería con coloridos carteles y globos. Yo llamo a esto los componentes de la Froo Froo de una campaña de concienciación sobre la seguridad, porque no es ni profundo ni técnica. Sin embargo, el Froo-Froo es importante, ya que llama la atención de los usuarios. Distribuir folletos simples con caricaturas tontas a su base de usuarios para que sepan cómo hacer lo correcto. Aunque un programa de seguridad sólida conciencia tiene mucho trabajo, puede ser divertido. De hecho, va a ser mucho más eficaz si es entretenido y lleno de Froo Froo-y no sólo el zumbido de siempre sobre la política en esta política, bla-bla-bla que bla-bla-bla. Los usuarios típicos sintonizar rápidamente cualquier diálogo que no entienden o no se preocupan, pero si tiene globos fresco y dibujos animados, que sólo puede escuchar.

Otra área importante para la defensa contra estos ataques consiste en los procedimientos administrativos para verificar la integridad de los paquetes que descargue. Siempre que puedo actualizar una herramienta de software a través de Internet, siempre descargar copias de al menos tres diferentes espejos. Luego de verificar la integridad de los programas mediante un hash criptográficamente fuerte contra la copia de cada espejo para asegurarse de que todo el partido. Usted puede crear un hash MD5, como una especie de huella digital, para cualquier archivo con el programa md5sum grandes incluido en muchas distribuciones de Linux. En Windows, puede utilizar el programa md5summer libre escrito por Lucas Pascual, disponible en www.md5summer.org. Debido a que MD5 es una función hash unidireccional, el atacante tendría que encontrar muy, muy difícil crear un caballo de Troya con el hash exactamente igual que el programa legítimo. Por difícil, me refiero a que sería necesario un supercomputador ejecutando desde hace miles de años para crear un programa maligno que tiene exactamente el mismo valor hash como su buen programa. Al menos, esa es la idea de si estos algoritmos de un solo sentido son tan buenos como esperamos que sean.

Una gran cantidad de sitios Web que distribuyen software incluyen un archivo que contiene el hash MD5 de la versión más reciente en el sitio mismo. Sin embargo, me siento incómodo descargar un programa de apenas un solo espejo y comprobar este hash único desde el mismo sitio exacto. Piense en ello. Si los atacantes pueden comprometer un sitio web único y Trojanize el software, por supuesto que podría alterar el archivo que contiene el hash de ese mismo servidor Web. La idea aquí es que el atacante tendría un tiempo más difícil de poner en peligro varios espejos del código, y por lo tanto voy a ser capaz de atrapar su traición mediante la observación de las diferentes versiones en los espejos. Al realizar la descarga de múltiples espejos y la comprobación de la coherencia a través de ellas, me las probabilidades mucho mejor que el atacante no ha puesto en peligro a todos, y voy a tener un programa para ejecutar intacta. Desafortunadamente, si los espejos se actualizan automáticamente desde un servidor central único, yo todavía perder si el malo contamina el código en el servidor principal. He subido el listón algunos mediante la comparación de valores hash a través de espejos múltiples, pero los malos todavía podía saltar por encima de la barra superior.

Algunos sitios de descarga de software van más allá de los hashes e incluyen una firma digital del software, utilizando un paquete de cifrado de clave pública como Pretty Good Privacy (PGP). Si descarga el software con las firmas tales, debe verificar las firmas con un paquete adecuado, como el clon de código abierto de PGP llamado "GNU Privacy Guard", disponible de forma gratuita en www.gnupg.org. Por supuesto, un atacante podría modificar la firma digital o incluso sustituir la clave utilizada para firmar el paquete. Sin embargo, este tipo de ataques será mucho más difícil, y por lo tanto mucho menos probable.

Por último, siempre debe probar nuevos instrumentos antes de rodar en producción. Este proceso de prueba no sólo le da la oportunidad de detectar el software malicioso de antemano, sino que también le da un tiempo precioso para los demás a descubrir el problema antes de colocar el código oculto en la producción. Yo estaba trabajando con un banco cuya tocino se salvó sólo porque pasan al menos un mes de examinar la nueva versión de Sendmail antes de ponerlo en producción. Me encantaría decirles que descubrieron la puerta de atrás de Sendmail, mientras que buscaban a través del programa en su red de evaluación. Sin embargo, no lo encontré. Sin embargo, antes de que se estaban analizando la nueva versión para que los requisitos de las empresas que se reunió con la funcionalidad, la otra gente había descubierto y publicado la puerta de atrás en octubre de 2002. Cuando el banco oído hablar del descubrimiento de una puerta trasera en esta versión de Sendmail, que se tiró de sus sistemas de prueba y nunca se rodó en la producción. El built-in retraso de su proceso de análisis sin duda ayudó a esta organización evitar una catástrofe. Para los parches críticos de seguridad, el despliegue rápido es crucial. Para una actualización simple o nuevas características, un retraso de algunas semanas puede realmente ayudar a mejorar la seguridad.

---