Qu'est-ce que l'Application Whitelisting ?

L'application whitelisting est un concept dans lequel vous disposez d'une liste de programmes autorisés à fonctionner, et tout le reste n'est pas autorisé à fonctionner.

Les technologies de liste blanche d'applications les plus avancées combineront un certain type de logique de source et de destination. Par exemple, une liste blanche d'applications peut indiquer : « Le Bloc-notes Windows est autorisé à accéder au dossier Taxes de mon bureau, mais pas Microsoft Word. »

Nous approfondirons ce point, mais de manière générale, les stratégies défensives de liste blanche d'applications reposent fortement sur ces deux variables :

1. Les attaquants acceptent de suivre les règles que vous avez établies pour eux concernant votre outil de cybersécurité de liste blanche d'applications.

2. Votre environnement est très petit, avec peu d'applications qui restent assez stables, et sans exploits.

Inconvénients des technologies de liste blanche d'applications

Complexité

Les réseaux informatiques sont comme des organismes complexes

Même les petits réseaux informatiques sont des entités en constante évolution, avec une myriade de comportements. Les applications sont constamment ajoutées et supprimées par les utilisateurs. Les modules à l'intérieur des applications sont constamment ajoutés et supprimés par les créateurs de programmes, en particulier lors des mises à jour. Enfin, les comportements des applications, en plus des changements de code entraînant des modifications de comportement, sont utilisés de différentes manières par différents utilisateurs à différents moments. Imaginez maintenant l'équipe qui devrait assurer le suivi constant de tout cela, ainsi que les tickets d'assistance informatique qui devraient constamment être ouverts.

En réalité, le seul environnement informatique stable est celui piloté par des kiosques, dans lesquels les programmes sont installés sans possibilité de mise à niveau, d'ajout ou de suppression, et où les utilisateurs sont strictement autorisés à effectuer une ou deux fonctions seulement. Peut-être un kiosque d'impression de photos ou quelque chose de similaire. Dans ce cas, la liste blanche d'applications ne devrait être mise à jour qu'à chaque mise à niveau du terminal du kiosque, disons deux fois par an.

Des listes blanches d'applications plus avancées signifient plus de complexité

Les listes blanches d'applications les plus simples se limitent à des listes de programmes autorisés à exister sur le système d'un utilisateur.

Cela peut déjà être difficile à gérer en soi, mais cela conduit à une variété d'améliorations potentielles.

Par exemple, ce n'est pas parce que le service de paie dispose d'une application pour interagir avec le système de paie de l'entreprise qu'il ne devrait pas y avoir un ensemble de règles distinct pour l'équipe de l'entrepôt, qui utilise des applications différentes (non liées à la paie) ?

Ainsi, des améliorations concernant les divisions ou les utilisateurs pouvant exécuter quelles applications constituent une amélioration évidente. Une amélioration qui a désormais créé une complexité supplémentaire, en plus du simple suivi du nombre, du type et des versions des programmes présents sur votre réseau.

Maintenant, supposons que nous ayons besoin d'un autre ensemble d'améliorations : nous devons décider quel utilisateur a accès à quelle application, pour quel ensemble de données.

Cela aussi a parfaitement du sens, n'est-ce pas ? Vous ne voulez pas que votre équipe de l'entrepôt ait accès aux dossiers RH, et l'équipe RH n'a probablement pas besoin d'accéder aux données opérationnelles de l'équipe de livraison de l'entrepôt.

Il s'agit d'un ensemble de combinaisons ridiculement complexe à suivre, maintenant que l'emplacement des données a été ajouté comme variable.

Ainsi, avec chaque amélioration nécessaire pour rendre les technologies de liste blanche d'applications efficaces, la gestion, la configuration et le support continu (sans doute sans fin, toujours croissant) nécessaire pour la maintenir fonctionnelle rend la technologie inutilisable. Le résultat est généralement que de grands groupes d'utilisateurs se voient accorder l'accès à de grands groupes d'applications, et probablement à la quasi-totalité des données. Il en résulte donc une configuration de la technologie presque inutile, car aucune entreprise ne dispose des ressources nécessaires pour la gérer correctement.

Les applications interagissent entre elles

Il est courant dans les systèmes d'exploitation modernes que les applications interagissent avec d'autres applications. Parfois, cette interaction est due à une intégration entre deux applications, qui améliore l'expérience utilisateur, comme un document Word ouvrant Microsoft Photos. À d'autres moments (cela est très courant), il existe des appels entre programmes qui sont effectués d'une manière généralement invisible pour l'utilisateur final.

Introduction

La mise en liste blanche des applications, dans le contexte de Cyber Crucible, consiste à accorder à une application l'autorisation d'effectuer une action qui, autrement, pourrait être considérée comme suspecte ou malveillante.

La technologie de mise en liste blanche des applications se retrouve généralement dans les techniques défensives d'analyse comportementale, bien que certains attaquants l'utilisent également (non traité ici) dans leurs opérations.

Pensez-y comme à l'école, où les élèves n'étaient normalement pas autorisés à circuler dans les couloirs pendant les cours. Cependant, s'ils recevaient un « laissez-passer » sous une forme ou une autre d'une figure d'autorité, les élèves n'étaient pas renvoyés dans leur classe ni conduits au bureau du principal.

Types de mise en liste blanche des applications - une description non technique

Si nous poursuivons avec l'analogie du « laissez-passer », il peut exister différentes techniques que les responsables de l'administration scolaire ont apprises, qui ont contribué à formaliser les comportements que certains élèves (certainement pas notre PDG Dennis) auraient pu tenter d'adopter. Toutes ces techniques ont une corrélation directe avec les opérations de sécurité.

Le laissez-passer évident et encombrant (une bonne chose)

Vous souvenez-vous d'avoir eu un laissez-passer, ou une clé pour une salle quelconque, qui était incroyablement grande et voyante ?

Il y avait plusieurs bonnes raisons à cela :

1. Pour qu'il ne se perde pas.

2. Pour réduire le temps et l'énergie qu'une figure d'autorité devait investir pour vérifier rapidement les activités approuvées de l'élève.

Un bon logiciel ne « perdra » pas une liste blanche, mais un logiciel de mise en liste blanche des applications devrait permettre une validation rapide et économe en ressources du fait que l'application a été inspectée.

Le laissez-passer générique (probablement pas une bonne chose)

C'est probablement le moins utile pour la surveillance des applications comme pour les écoles, mais il nécessite le moins de gestion ou d'expertise.

Dans ce cas, l'élève est autorisé à effectuer sa course dans le couloir. L'enseignant peut être au courant, par exemple, mais il n'y a aucune validation par les surveillants de couloir quant à ce que fait l'élève. De plus, en cas de tentative de validation, il existe deux niveaux d'investissement considérable en ressources :

1. le niveau d'effort pour approcher l'élève et l'interroger sur ses comportements et ses intentions

2. le niveau d'effort pour s'assurer que l'élève est honnête, afin de valider son explication

Pour les applications, cela se produit le plus souvent lorsqu'un programme est ajouté à une liste blanche, sans qu'aucune validation supplémentaire des comportements ou des activités autorisées ne soit effectuée. Malheureusement, la capacité d'obtenir du contexte sur les comportements d'une application n'est généralement pas disponible à l'acquisition, si elle n'est pas suivie en externe par un autre cadre.

Le laissez-passer génériquement spécifique

À ne pas confondre avec : « vas-y Application, fais ce que tu veux ! »

Revenons au laissez-passer pour les toilettes, car il est particulièrement approprié ici. Étant donné la visibilité du laissez-passer, il est relativement facile d'évaluer ce que l'élève devrait faire. Les comportements flagrants en dehors des comportements « aller aux toilettes » peuvent être évalués sans grande difficulté.

La mise en liste blanche des applications avec des limites génériques d'activités est la plus courante, bien que dans de nombreux cas, ces limites équivalent à autoriser un élève muni d'un laissez-passer pour les toilettes à jouer dans la cour de récréation.

Le laissez-passer spécifique-spécifique

À ne pas confondre avec le laissez-passer « génériquement spécifique » !

Alors qu'avec le laissez-passer génériquement spécifique, nous savons que l'élève utilise les toilettes - dans une grande école, nous ne savons pas :
1. Qui a donné la permission à l'élève

2. D'où il venait juste avant.

3. Quelles toilettes la figure d'autorité avait en tête lorsqu'elle a donné son approbation.

4. Depuis combien de temps l'élève est « dehors et en déplacement ».

Cela a nécessité davantage de travail sur le cadre d'autorité de l'école.

Pour revenir à la mise en liste blanche des applications, l'analyse comportementale est plus précise lorsque davantage de variables sont ajoutées à toute capacité de prise de décision.

De plus, lors de l'examen d'un laissez-passer délivré, il n'est normalement pas nécessaire de remonter une chaîne de 5 enseignants pour retrouver la source. Vous pouvez également presque toujours faire confiance au fait que l'enseignant n'était pas un « mauvais enseignant » incitant les élèves à mal se comporter. La mise en liste blanche des applications, dans un exemple de liste blanche spécifique-spécifique, nécessite de remonter le fil, pour examiner chaque application parente ou ancêtre ayant ouvert l'application suivante. Par exemple, un logiciel malveillant peut avoir ouvert un utilitaire Windows légitime.

Les questions suivantes sont à peu près équivalentes au « laissez-passer d'élève » évoqué ci-dessus :

1. Pour quoi l'application a-t-elle été lancée, ou que lui a-t-on demandé de faire ? Nous devons connaître le comportement prévu.

2. Qui a lancé l'application ? Il s'agit généralement d'un autre programme.

3. Quels programmes « parents » ou « ancêtres » ont conduit à l'ouverture de ce programme ? Que faisait, ou avait l'intention de faire, chacun d'entre eux ?

L'application compromise

Vous souvenez-vous, dans divers récits ou films de science-fiction ou d'horreur, lorsqu'un imposteur a en quelque sorte pris

le contrôle du comportement d'un personnage ? Dans les écoles, il y a peu de chances qu'un enseignant soit pris de contrôle par des extraterrestres.

La prise de contrôle d'une application est une technique privilégiée par les attaquants car, comme dans les films, la plupart des observateurs ne remarquent rien d'anormal jusqu'à ce qu'il soit trop tard.

Dans ce cas, un attaquant s'empare d'un programme en cours d'exécution, actuellement chargé en mémoire. Ainsi, le programme intact présent dans le système de fichiers est ignoré. Le programme en mémoire est modifié pour y ajouter le code de l'attaquant. Un peu comme un extraterrestre à l'intérieur du corps d'un humain. L'attaquant accomplit ses actes criminels, et lorsque le programme termine son exécution, la plupart des preuves ont disparu. Lorsque le programme légitime s'exécute à nouveau, si l'attaquant ne modifie pas le code une nouvelle fois, il fonctionne exactement comme les concepteurs légitimes l'avaient prévu à l'origine. Peut-être qu'une meilleure analogie, dans ce cas, serait celle d'un loup-garou ?

Une liste blanche d'applications doit donc nécessiter un travail supplémentaire pour s'assurer que le programme, ainsi que tous ses ancêtres ou programmes parents, sont intacts, sans qu'un pirate n'ait modifié les programmes pendant leur exécution.

En résumé - Questions à poser lors de l'examen d'une fonctionnalité de liste blanche d'applications

Assurez-vous de bien comprendre les limites de ce qu'autorise une liste blanche, lorsque vous discutez de la mise en liste blanche des applications avec votre équipe technique ou votre fournisseur.

1. Cette fonctionnalité examine-t-elle et suit-elle ce qu'un programme est censé faire, et compare-t-elle les comportements attendus aux comportements observés ?

2. Quel niveau de détail la fonctionnalité de liste blanche capture-t-elle dans sa prise de décision ? Plus, ou moins, qu'un laissez-passer d'élève détaillé ?

3. La fonctionnalité de liste blanche suit-elle et examine-t-elle les programmes parents et ancêtres à la recherche d'une éventuelle malveillance ? (Le programme A ouvre B, qui ouvre C, qui ouvre D - très courant)

4. La fonctionnalité de liste blanche valide-t-elle que le programme en cours d'exécution n'a pas été altéré ?

Lecture approfondie du National Institute of Standards & Technology (NIST)

Une publication faisant autorité, qui ne se prête pas à une lecture occasionnelle, mais qui est très détaillée.

Bien qu'elle ne couvre pas tous les scénarios, et que les spécificités ne soient pas mises à jour assez fréquemment pour suivre chaque scénario, les descriptions sont suffisamment stratégiques pour être utiles dans la plupart des circonstances.

L'équipe de Cyber Crucible accorde toujours une grande valeur aux enseignements tirés des publications du NIST, et y consacre du temps en conséquence.

https://nvlpubs.nist.gov/nistpubs/specialpublications/nist.sp.800-167.pdf

Les utilisateurs peuvent voir quelles réponses à l'extorsion auraient été suspendues si un comportement personnalisé n'existait pas, en accédant d'abord à la page Réponses à l'extorsion, disponible sous l'onglet Opérations dans la barre latérale.

La colonne Exclu indique si une réponse à l'extorsion a été exclue ou non, et le filtre de colonne par défaut affiche les réponses non exclues et non silencieuses.

Pour afficher les réponses exclues, ouvrez le filtre de la colonne Exclu et sélectionnez uniquement Exclu.

Après avoir cliqué sur Appliquer, la grille affichera les réponses à l'extorsion exclues qui auraient été suspendues si le comportement personnalisé n'existait pas.

Pour voir quel comportement personnalisé a été appliqué à une réponse, cliquez d'abord sur la flèche dans la colonne Nombre d'incidents de la ligne concernée. Dans la grille interne qui apparaît après avoir cliqué sur la flèche, la colonne Règle de masquage affichera le nom du comportement personnalisé qui a été appliqué à la réponse.

La page des comportements personnalisés se trouve sous l’onglet Opérations dans la barre latérale. Notez que les utilisateurs doivent disposer de l’autorisation « View Tailored Behaviors » pour un groupe afin de pouvoir voir les comportements personnalisés de ce groupe sur cette page

Comment créer un comportement personnalisé

Après avoir accédé à la page des comportements personnalisés, cliquez sur l’icône d’exclusion de processus au-dessus de cette grille.

Cliquer sur cette icône fera apparaître une fenêtre modale permettant de créer le comportement personnalisé.

Les utilisateurs ont la possibilité de spécifier un programme parent avec l’exception

Saisissez les restrictions supplémentaires à appliquer

Les utilisateurs ont désormais la possibilité de limiter l’exception à des déclencheurs d’accès aux fichiers spécifiques ; tous les déclencheurs d’accès aux fichiers sont inclus par défaut. Notez que seuls les agents en version 4.4.6.2 et supérieure disposent de cette capacité de déclencheur d’accès aux fichiers.

Les utilisateurs ont également la possibilité de créer des comportements temporaires, voir plus de détails dans la section suivante

Comment créer et modifier des comportements personnalisés temporaires

Les utilisateurs peuvent créer un comportement personnalisé temporaire en suivant le processus normal de création d’un comportement expliqué ci-dessus, puis en activant le bouton « Make This Tailored Behavior Temporary ». Les utilisateurs peuvent alors saisir le nombre d’heures avant l’expiration du comportement temporaire (jusqu’à une semaine maximum).

La date d’expiration du comportement peut être consultée dans la colonne Expiration Date de la grille.

Pour modifier un comportement temporaire afin de prolonger la date d’expiration, rendre un comportement temporaire permanent, ou rendre un comportement permanent temporaire, cliquez sur l’icône de modification du comportement souhaité dans la colonne Expiration Date.

Cliquer sur cette icône ouvrira une fenêtre modale où les utilisateurs pourront modifier la date d’expiration du comportement selon leurs besoins

Comment supprimer des comportements personnalisés

Pour supprimer un comportement, ou plusieurs comportements à la fois, sélectionnez d’abord le(s) comportement(s) à supprimer dans la grille et cliquez sur l’icône de la corbeille au-dessus de la grille.

Ensuite, tapez « delete » et cliquez sur le bouton Delete.

Comment copier des comportements personnalisés vers un autre groupe

Pour copier un comportement (ou plusieurs comportements à la fois) vers un autre groupe, sélectionnez le(s) comportement(s) à copier dans la grille et cliquez sur l’icône de copie au-dessus de la grille.

Cliquer sur cette icône fera apparaître une fenêtre modale dans laquelle vous pouvez sélectionner le groupe vers lequel le(s) comportement(s) doivent être copiés.

Cette fenêtre modale propose également une option permettant de supprimer les comportements existants dans le groupe sélectionné (à l’exception des comportements générés automatiquement), et de ne conserver que les comportements copiés dans le groupe sélectionné après l’envoi de la demande.

Après l’envoi de la demande, les comportements copiés apparaîtront désormais pour le groupe sélectionné.

Créer un comportement personnalisé depuis la page des réponses à l’extorsion

Les utilisateurs ont la possibilité de créer des comportements personnalisés depuis la page des réponses à l’extorsion.

Tout d’abord, cliquez sur la flèche de la ligne de réponse à l’extorsion souhaitée dans la colonne Number of Incidents pour afficher la grille interne.

Ensuite, cliquez sur l’icône d’exclusion de réponse dans la colonne Response Name, ce qui fera apparaître une fenêtre modale permettant de créer le comportement personnalisé.

Dans cette fenêtre modale, vous pouvez créer des comportements en utilisant les chemins d’exécutables suggérés ou soumettre la réponse pour examen si les chemins suggérés ne correspondent pas à vos besoins.

Vous pouvez également cliquer sur le bouton Take me to Tailored Behaviors Page, qui vous redirigera vers la page des comportements personnalisés et préremplira automatiquement la fenêtre modale de création de comportement avec le même groupe, chemin et arguments de programme provenant de la réponse.

Notez que par défaut, l’option Limit Exception to Program + Parent Program est désactivée. Le chemin du programme parent et les arguments de la réponse à l’extorsion seront également remplis automatiquement si vous activez ce paramètre.

L’exclusion du comportement personnalisé après avoir cliqué sur Create avec le paramètre Limit Exception to Program + Parent Program activé :