Гайд по динамическому контролю целостности приложений и DLL в ViPNet Endpoint Security, SafeBoot

Гайд по динамическому контролю целостности приложений и DLL в ViPNet Endpoint Security, SafeBoot ViPNet SafeBoot — это сертифицированный программный модуль доверенной загрузки (ПМДЗ). Его задача — обеспечить статический контроль целостности на этапе загрузки (проверка UEFI/BIOS, загрузчика, ядра ОС и критических драйверов до старта операционной системы). Он не осуществляет динамический контроль во время работы ОС.

Динамический контроль целостности запускаемых приложений и разделяемых библиотек (DLL) в режиме реального времени реализуется другим продуктом линейки — ViPNet Endpoint Security (ViPNet EPS) или модулем «Контроль приложений» (HIPS) в составе ViPNet Client.

На практике эти решения развертываются совместно:

ViPNet SafeBoot гарантирует, что сама ОС и агент защиты не были скомпрометированы до запуска, а ViPNet Endpoint Security обеспечивает непрерывный динамический контроль во время работы системы.

Гайд по настройке именно динамического контроля целостности приложений и библиотек в экосистеме ViPNet.

Подробный гайд: Настройка динамического контроля приложений и DLL в ViPNet Endpoint Security / ViPNet Client

1. Предварительные требования

• Установленный и активированный ViPNet Client (версии 4.x или 5.x) или ViPNet Endpoint Protection (EPP) на конечных узлах.
• Наличие прав локального администратора на рабочей станции или сервере.
• Подключение узла к ViPNet Coordinator (для централизованного управления политиками) или готовность к настройке в автономном режиме.

2. Включение модуля контроля приложений

1. Откройте интерфейс управления ViPNet Client Монитор или ViPNet EPP Агент.
2. Перейдите в раздел «Приложения» или «Компоненты защиты».
3. Найдите модуль «Контроль приложений» (Application Control / HIPS) и убедитесь, что он включен. Если он отключен, активируйте его (может потребоваться перезагрузка для корректной загрузки фильтров ядра).

3. Создание правил контроля запуска программ и DLL

Для обеспечения динамического контроля целостности необходимо настроить правила, которые будут проверять подписи, хеш-суммы и пути к файлам при их запуске или попытке загрузки в адресное пространство процесса.

Основные параметры правил:

• Тип объекта: Исполняемый файл (.exe, .com), динамическая библиотека (.dll) или драйвер (.sys).
• Условие проверки:
  • Путь к файлу: Например, C:\Program Files\TrustedApp\* (поддержка масок и переменных окружения).
  • Хеш-сумма (SHA-256): Для строгого контроля целостности конкретного файла. Любое изменение файла (даже один байт) приведет к блокировке его запуска или загрузки.
  • Цифровая подпись: Проверка сертификата издателя (Certificate Publisher). Это предпочтительный метод, так как он позволяет легитимным обновлениям ПО проходить контроль без необходимости постоянного обновления правил.
• Действие:
  • Разрешить (Allow)
  • Блокировать (Block)
  • Журналировать (Log only) — настоятельно рекомендуется для начального этапа внедрения.

4. Централизованная настройка через ViPNet Coordinator (Рекомендуемый способ)

Для массового применения политик на группе узлов:

1. Откройте ViPNet Admin Studio (консоль управления координатором).
2. Создайте новую Политику или отредактируйте существующую для целевой группы узлов.
3. Добавьте шаблон настроек «Контроль приложений».
4. Настройте правила:
   • Добавьте доверенные каталоги и хеши легитимного корпоративного ПО.
   • Включите опцию «Контроль загрузки DLL-модулей и драйверов» для предотвращения атак типа DLL Hijacking и инъекций вредоносного кода в легитимные процессы.
   • Установите режим применения: «Блокировка с журналированием» или «Только журналирование» (для сбора статистики без влияния на бизнес-процессы).
5. Сохраните и примените политику. Узлы получат обновления при следующем сеансе криптографически защищенной связи с координатором.

5. Контроль целостности файлов самого агента ViPNet

ViPNet EPP включает встроенную утилиту для контроля целостности и проверки хеш-сумм собственных файлов, а также критических объектов ОС:

• Эта функция автоматически проверяет целостность важных файлов ПО ViPNet EPP при старте системы, предотвращая их модификацию, удаление или отключение злоумышленником.
• Убедитесь, что в настройках агента включена опция самозащиты (Self-Protection), которая запрещает даже администраторам завершать процессы ViPNet или изменять его конфигурационные файлы без использования специальных утилит разблокировки.

6. Мониторинг и устранение неполадок

• Локальные журналы: В ViPNet Client Монитор перейдите в раздел «Журнал событий» (Logs). Фильтруйте события по источнику «Контроль приложений» для анализа заблокированных запусков или попыток загрузки DLL.
• Централизованные отчеты: В ViPNet Coordinator используйте отчеты по инцидентам безопасности для выявления узлов, на которых массово срабатывают правила блокировки.
• Ложные срабатывания: Если легитимное приложение блокируется, добавьте его хеш-сумму, путь или сертификат издателя в список исключений (White List) в политике контроля приложений.

Роль ViPNet SafeBoot в общей схеме защиты (Defense-in-Depth)

Хотя SafeBoot не занимается динамическим контролем DLL, он критически важен для защиты самого механизма контроля:

1. Доверенная загрузка: SafeBoot проверяет контрольные суммы загрузчика ОС, ядра и драйверов ViPNet до их выполнения, не позволяя загрузить скомпрометированную систему.
2. Защита от обхода: Гарантирует, что злоумышленник не может подменить драйверы ViPNet Endpoint Security или отключить их загрузку через изменение конфигурации BCD (Windows) или GRUB (Linux).
3. Сквозное управление: ViPNet SafeBoot может централизованно управляться через тот же ViPNet Coordinator (с помощью модуля ViPNet SafeBoot MC или ViPNet EPP), что и политики контроля приложений, обеспечивая единый контур управления от момента включения питания до завершения работы ОС.

Лучшие практики внедрения

1. Поэтапное развертывание: Начинайте применение правил в режиме «Журналирование» (Log only). Проанализируйте логи в течение 1–2 недель, чтобы выявить все легитимные сценарии загрузки DLL, и только затем переключайтесь в режим «Блокировка».
2. Приоритет цифровых подписей: Используйте проверку издателя (Certificate Publisher) вместо жестких хешей там, где это возможно, чтобы избежать массовых сбоев при штатном обновлении стороннего ПО.
3. Комплексный подход: Используйте связку ViPNet SafeBoot (защита на этапе загрузки) + ViPNet Endpoint Security (динамический контроль в runtime) для достижения максимального уровня защищенности и соответствия требованиям регуляторов (ФСТЭК, ФСБ России).

Информация предоставлена в ознакомительных целях. Применение описанных настроек в системах, должно осуществляться только после согласования с ответственными за информационную безопасность и в соответствии с требованиями ФСТЭК, ФСБ и иных уполномоченных органов.