Introduction

La mise en liste blanche des applications, dans le contexte de Cyber Crucible, consiste à accorder à une application l'autorisation d'effectuer une action qui, autrement, pourrait être considérée comme suspecte ou malveillante.

La technologie de mise en liste blanche des applications se retrouve généralement dans les techniques défensives d'analyse comportementale, bien que certains attaquants l'utilisent également (non traité ici) dans leurs opérations.

Pensez-y comme à l'école, où les élèves n'étaient normalement pas autorisés à circuler dans les couloirs pendant les cours. Cependant, s'ils recevaient un « laissez-passer » sous une forme ou une autre d'une figure d'autorité, les élèves n'étaient pas renvoyés dans leur classe ni conduits au bureau du principal.

Types de mise en liste blanche des applications - une description non technique

Si nous poursuivons avec l'analogie du « laissez-passer », il peut exister différentes techniques que les responsables de l'administration scolaire ont apprises, qui ont contribué à formaliser les comportements que certains élèves (certainement pas notre PDG Dennis) auraient pu tenter d'adopter. Toutes ces techniques ont une corrélation directe avec les opérations de sécurité.

Le laissez-passer évident et encombrant (une bonne chose)

Vous souvenez-vous d'avoir eu un laissez-passer, ou une clé pour une salle quelconque, qui était incroyablement grande et voyante ?

Il y avait plusieurs bonnes raisons à cela :

1. Pour qu'il ne se perde pas.

2. Pour réduire le temps et l'énergie qu'une figure d'autorité devait investir pour vérifier rapidement les activités approuvées de l'élève.

Un bon logiciel ne « perdra » pas une liste blanche, mais un logiciel de mise en liste blanche des applications devrait permettre une validation rapide et économe en ressources du fait que l'application a été inspectée.

Le laissez-passer générique (probablement pas une bonne chose)

C'est probablement le moins utile pour la surveillance des applications comme pour les écoles, mais il nécessite le moins de gestion ou d'expertise.

Dans ce cas, l'élève est autorisé à effectuer sa course dans le couloir. L'enseignant peut être au courant, par exemple, mais il n'y a aucune validation par les surveillants de couloir quant à ce que fait l'élève. De plus, en cas de tentative de validation, il existe deux niveaux d'investissement considérable en ressources :

1. le niveau d'effort pour approcher l'élève et l'interroger sur ses comportements et ses intentions

2. le niveau d'effort pour s'assurer que l'élève est honnête, afin de valider son explication

Pour les applications, cela se produit le plus souvent lorsqu'un programme est ajouté à une liste blanche, sans qu'aucune validation supplémentaire des comportements ou des activités autorisées ne soit effectuée. Malheureusement, la capacité d'obtenir du contexte sur les comportements d'une application n'est généralement pas disponible à l'acquisition, si elle n'est pas suivie en externe par un autre cadre.

Le laissez-passer génériquement spécifique

À ne pas confondre avec : « vas-y Application, fais ce que tu veux ! »

Revenons au laissez-passer pour les toilettes, car il est particulièrement approprié ici. Étant donné la visibilité du laissez-passer, il est relativement facile d'évaluer ce que l'élève devrait faire. Les comportements flagrants en dehors des comportements « aller aux toilettes » peuvent être évalués sans grande difficulté.

La mise en liste blanche des applications avec des limites génériques d'activités est la plus courante, bien que dans de nombreux cas, ces limites équivalent à autoriser un élève muni d'un laissez-passer pour les toilettes à jouer dans la cour de récréation.

Le laissez-passer spécifique-spécifique

À ne pas confondre avec le laissez-passer « génériquement spécifique » !

Alors qu'avec le laissez-passer génériquement spécifique, nous savons que l'élève utilise les toilettes - dans une grande école, nous ne savons pas :
1. Qui a donné la permission à l'élève

2. D'où il venait juste avant.

3. Quelles toilettes la figure d'autorité avait en tête lorsqu'elle a donné son approbation.

4. Depuis combien de temps l'élève est « dehors et en déplacement ».

Cela a nécessité davantage de travail sur le cadre d'autorité de l'école.

Pour revenir à la mise en liste blanche des applications, l'analyse comportementale est plus précise lorsque davantage de variables sont ajoutées à toute capacité de prise de décision.

De plus, lors de l'examen d'un laissez-passer délivré, il n'est normalement pas nécessaire de remonter une chaîne de 5 enseignants pour retrouver la source. Vous pouvez également presque toujours faire confiance au fait que l'enseignant n'était pas un « mauvais enseignant » incitant les élèves à mal se comporter. La mise en liste blanche des applications, dans un exemple de liste blanche spécifique-spécifique, nécessite de remonter le fil, pour examiner chaque application parente ou ancêtre ayant ouvert l'application suivante. Par exemple, un logiciel malveillant peut avoir ouvert un utilitaire Windows légitime.

Les questions suivantes sont à peu près équivalentes au « laissez-passer d'élève » évoqué ci-dessus :

1. Pour quoi l'application a-t-elle été lancée, ou que lui a-t-on demandé de faire ? Nous devons connaître le comportement prévu.

2. Qui a lancé l'application ? Il s'agit généralement d'un autre programme.

3. Quels programmes « parents » ou « ancêtres » ont conduit à l'ouverture de ce programme ? Que faisait, ou avait l'intention de faire, chacun d'entre eux ?

L'application compromise

Vous souvenez-vous, dans divers récits ou films de science-fiction ou d'horreur, lorsqu'un imposteur a en quelque sorte pris

le contrôle du comportement d'un personnage ? Dans les écoles, il y a peu de chances qu'un enseignant soit pris de contrôle par des extraterrestres.

La prise de contrôle d'une application est une technique privilégiée par les attaquants car, comme dans les films, la plupart des observateurs ne remarquent rien d'anormal jusqu'à ce qu'il soit trop tard.

Dans ce cas, un attaquant s'empare d'un programme en cours d'exécution, actuellement chargé en mémoire. Ainsi, le programme intact présent dans le système de fichiers est ignoré. Le programme en mémoire est modifié pour y ajouter le code de l'attaquant. Un peu comme un extraterrestre à l'intérieur du corps d'un humain. L'attaquant accomplit ses actes criminels, et lorsque le programme termine son exécution, la plupart des preuves ont disparu. Lorsque le programme légitime s'exécute à nouveau, si l'attaquant ne modifie pas le code une nouvelle fois, il fonctionne exactement comme les concepteurs légitimes l'avaient prévu à l'origine. Peut-être qu'une meilleure analogie, dans ce cas, serait celle d'un loup-garou ?

Une liste blanche d'applications doit donc nécessiter un travail supplémentaire pour s'assurer que le programme, ainsi que tous ses ancêtres ou programmes parents, sont intacts, sans qu'un pirate n'ait modifié les programmes pendant leur exécution.

En résumé - Questions à poser lors de l'examen d'une fonctionnalité de liste blanche d'applications

Assurez-vous de bien comprendre les limites de ce qu'autorise une liste blanche, lorsque vous discutez de la mise en liste blanche des applications avec votre équipe technique ou votre fournisseur.

1. Cette fonctionnalité examine-t-elle et suit-elle ce qu'un programme est censé faire, et compare-t-elle les comportements attendus aux comportements observés ?

2. Quel niveau de détail la fonctionnalité de liste blanche capture-t-elle dans sa prise de décision ? Plus, ou moins, qu'un laissez-passer d'élève détaillé ?

3. La fonctionnalité de liste blanche suit-elle et examine-t-elle les programmes parents et ancêtres à la recherche d'une éventuelle malveillance ? (Le programme A ouvre B, qui ouvre C, qui ouvre D - très courant)

4. La fonctionnalité de liste blanche valide-t-elle que le programme en cours d'exécution n'a pas été altéré ?

Lecture approfondie du National Institute of Standards & Technology (NIST)

Une publication faisant autorité, qui ne se prête pas à une lecture occasionnelle, mais qui est très détaillée.

Bien qu'elle ne couvre pas tous les scénarios, et que les spécificités ne soient pas mises à jour assez fréquemment pour suivre chaque scénario, les descriptions sont suffisamment stratégiques pour être utiles dans la plupart des circonstances.

L'équipe de Cyber Crucible accorde toujours une grande valeur aux enseignements tirés des publications du NIST, et y consacre du temps en conséquence.

https://nvlpubs.nist.gov/nistpubs/specialpublications/nist.sp.800-167.pdf