Anvendelse af SEP 12.1 RU1 MP1 lockdown

Transkript

1 Anvendelse af SEP 12.1 RU1 MP1 lockdown Dette dokument beskriver hvorledes SEP 12.1 s Lockdown funktionalitet virker. Den beskrevne version af SEP er SEP 12.1 RU1 MP1 og Lockdown funktionaliteten anvendes i Log unapproved appliactions only mode. Application Control og Lockdown kræver at den fulde SEP anvendes, SEP Small Business har ikke denne funktionalitet. Ideen i SEPs Lockdown funtionalitet er, at hver gang en eksekverbar fil skal køres, checkes om det nu er den forventede fil/program og om filen har ændret sig ift. baseline. Hvis den har det, kan det f.eks. være fordi nogen eller noget har ændret filen, f.eks. uautoriseret ændring eller det kan være nogen eller noget har installeret et program uden IT-administrators viden. Lockdown kan sørge for at kun autoriserede programmer der overholder baseline kan eksekveres. For at komme i gang skal der laves en File Fingerprint List fil. Dette gøres med programmet checksum.exe, som ligger i SEP klientens hovedkatalog. Hvis der ønskes lavet en File Fingerprint List fil for C-drevet vil følgende kommando kunne bruges (forudsætter at checksum.exe køres fra SEP klientens hovedkatalog): checksum.exe C: file_fingerprint.txt (file_fingerprint.txt vil nu indeholde filnavn og en hash af filen). File Fingerprint filen importeres i SEP Manageren der kan naturligvis importeres mere end 1 fil. I eksemplet ovenfor er der installeret en Opera browser på testmaskinen, men opera.exe er fjernet (pr. Håndkraft med notepad.exe) fra File Fingerprint filen. Dokument version 1.0 1

2 For at Lockdown funktionaliteten skal virke er det nødvendigt både at enable Network Application Monitoring og System Lockdown som vist nedenfor. Yderligere er Step 1 valgt vinduet fremkommer ved at trykke på System Lockdown. Dokument version 1.0 2

3 Hvis man trykker på knappen Unapproved applications fremkommer nedenstående vindue Opera.exe har jo heller ikke været startet endnu. På dette tidspunkt starter jeg opera.exe op, da netop denne ene.exe fil ikke er approved (den er ikke inkluderet i den File Fingerprint fil jeg har oploadet til SEP Manageren), skal der komme noget i loggen. Og rigtigt nok nedenfor ses en linie (har trykket på View Unapproved Applications for Opera.exe. Dokument version 1.0 3

4 Hvis man highlighter linien med Opera.exe får man ikke mulighed for at inkluderer den som en approved fil. Symantecs Lockdown funktionalitet fungerer ved, at man whitelister filer på baggrund af en hash. Ved at checken hash værdien hver gang en fil eksekveres kan man sikre at filen ikke har ændret sig, f.eks. som følge af en virus. Det at hashe filen sikrer ikke at der ikke er sårbarheder i den eksekverbare fil der kan udnyttes, det sikrer heller ikke at filen ikke var virus inficeret inden hashen blev lavet. Det er derfor vigtigt at det er trustede filer man hasher (whitelister). I vinduet ovenfor kan man se dels hvilken fil der ikke er approved (opera.exe) såvel som hvilken fil der har kaldt Opera.exe (Explorer.exe). Vinduet Unapproved Applications har en begrænset størrelse, så derfor kan det give god mening at kigge i Sep Managerens logs for at finde den nødvendige information hvis der er meget information der skal kigges igennem. Ovenfor vises hvordan man bl.a. kan anvende et tidspunkt (hvis man kender dette), man kan anvende Advanced Settings eller en kombination af de to for at skære ned på det antal log entries man skal kigge på. Dokument version 1.0 4

5 Nedenfor vises samme entry som der blev vist i Unapproved Applications vinduet læg mærke til Caller process og Target. Det er muligt at highlighte det specifikke log entry og trykke på start for at Add process to Exception Policy. Hvis man gør det, fremkommer vinduet nedenfor. Der er kun mulighed for at addere til Exceptions Policy men læg mærke til at det er Caller Process, ikke Target der adderes til Exception Policy. I mit tilfælde ville jeg have Opera.exe fjernet fra at være en Unapproved Process men ved at highlighte log entry og bede om at få en Add process to Exception Policy opnår jeg ikke det ønskede resultat! Dokument version 1.0 5

6 Nedenfor har jeg sat hak i Exceptions Policy og trykket på OK. For at se konfirmere hvad der blev Excepted og hvordan det er Excepted, check Exceptions Policy som vist nedenfor. Dokument version 1.0 6

7 Som det ses nedenfor, er der sket det at Explorer.exe er blevet Excepted for Tamper Protection derimod er Opera.exe ikke blevet en Approved Application. Ergo dette er ikke måden at Approve Opera.exe på! Det er muligt at addere andre applikationer som skal være approved. Trykker man på Add får man mulighed for at taste et filnavn ind pr. Håndkraft. Dokument version 1.0 7

8 Her er jeg ved at taste Opera.exe ind, absolut path. August 2012 Resultat ses nedenfor. Anvendes denne metode til at addere enkelte filer (det er ikke meningen at denne metode anvendes for et større antal filer) er der nogen sikkerhedsmæssige aspekter man skal være klar over. Sikkerhedsmæssigt giver det slet ikke samme sikkerhed at lave en hash af en specifik fil, og derved både kunne checke en fil med et absolut path kaldes samt om den har den baseline man forventer i forhold til bare at approve en fil med et filnavn. I mit eksempel har jeg dog lavet et absolut path, men det er muligt at anvende wildcards om nødvendigt. Hvis man kun adderer en fil som vist her, har man ikke noget check af hvorvidt filen ikke har ændret sig (måske på grund af virus?) eller ej. Denne metode til at approve filer er ikke optimal sikkerhedsmæssigt og bør kun bruges midlertidigt indtil man kan addere en File Fingerprint med en hash. Dokument version 1.0 8