Защита от вторжений на основе Java

[Carder]

Приложения Java широко используются организациями. Таким образом, использование уязвимостей безопасности в платформе Java особенно привлекательно для злоумышленников, стремящихся получить несанкционированный доступ к сетям организации.

Введение​

Приложения Java широко используются организациями. Таким образом, использование уязвимостей безопасности в платформе Java особенно привлекательно для злоумышленников, стремящихся получить несанкционированный доступ к сетям организации.

Что такое Java?​

Java - это программная платформа, принадлежащая и поддерживаемая Oracle. Платформа Java состоит из виртуальной машины Java (JVM) и приложений Java, написанных с использованием языка программирования Java. JVM является мощной, гибкой и легко развертываемой на широком спектре устройств связью между Java-приложениями и устройствами, на которых они работают.
Приложения Java обеспечивают единообразие взаимодействия с пользователем независимо от используемых базовых устройств. Это делает Java очень желанной для многих организаций. В отличие от большинства приложений, приложения Java требуют использования JVM и не работают на устройствах изначально. Приложения Java могут быть представлены в веб-браузере как апплет или запускаться вне веб-браузера как приложение Java Web Start. Приложения Java могут работать в привилегированном режиме или режиме песочницы.

Какие проблемы с безопасностью?​

Java регулярно проверяется на наличие недостатков безопасности, и в ней есть история уязвимостей, которые можно использовать. Два метода вторжения на основе Java:

• эксплойты, которые нацелены на уязвимости безопасности в JVM через попутные загрузки
• вредоносные Java-приложения, которые запускаются вне изолированной программной среды как привилегированные приложения.

После того, как злоумышленник выполнит вредоносный код, используя любой из методов, взломанное устройство может использоваться для выполнения таких действий, как кража ценной информации из организации или получение доступа к другим устройствам в сети организации.

Использование уязвимостей безопасности в JVM​

Эксплуатация JVM в основном связана с вредоносными или взломанными веб-сайтами, но также может происходить при открытии электронного письма или вложения к нему. Этот тип эксплуатации позволяет злоумышленнику запускать вредоносный код, отличный от Java, вне JVM, тем самым компрометируя устройство. При этом злоумышленник может получить тот же уровень доступа, что и пользователь, или, возможно, даже выше. Эксплойты Java ценятся, поскольку они могут предоставить доступ к устройству без ведома пользователей.
Уязвимости безопасности JVM, как правило, можно использовать до тех пор, пока не будет применен патч. Это очень привлекательное окно возможностей для противников. Между тем, как патч становится доступным и применяется, увеличивается как количество, так и качество эксплойтов. Таким образом, установка исправлений настоятельно рекомендуется как часть комплексного подхода к безопасности Java; однако меры безопасности могут использоваться для минимизации вреда и защиты устройств до тех пор, пока не будут установлены исправления.

Вредоносные Java-приложения​

Вредоносные Java-апплеты часто запрашивают у пользователя разрешение на запуск через всплывающее диалоговое окно. Если пользователь уверен, что апплет безопасен, и принимает сертификат, вредоносный апплет может работать в привилегированном режиме. После запуска в привилегированном режиме злоумышленник может получить доступ к частям устройства, которые были ранее защищены, например к файлам и сетевым соединениям.
По умолчанию Java-апплеты, работающие в веб-браузере, требующие привилегированного режима, будут делать это с помощью всплывающего диалогового окна; однако это требование можно отключить в панели управления безопасностью Java. Изменение этой настройки на более разрешительную приведет к большему риску для устройств, и этого не следует делать. Если пользователь отклоняет сертификат, Java-апплет по-прежнему может работать в режиме песочницы и собирать информацию, которая может быть полезна злоумышленнику, но у него не будет такой свободы причинения вреда, как если бы он был запущен в привилегированном режиме. .

Как можно безопасно использовать Java?​

Организации должны определить свои бизнес-требования и варианты использования Java. Сценарии использования должны указывать, какие приложения Java необходимо запускать, и степень доверия, связанного с каждым. Например, пользовательский интерфейс Java для внутренней базы данных может быть необходим для доступа к базе данных и иметь высокий уровень доверия. И наоборот, приложение Java для просмотра видеофайлов в сети может иметь как низкие бизнес-требования, так и низкий уровень доверия.
Бизнес-требования могут быть использованы для определения того, какую из приведенных ниже стратегий смягчения последствий реализовать. Эти стратегии смягчения последствий не исключают друг друга, и их следует комбинировать для реализации надежной глубокоэшелонированной защиты. Если нет бизнес-требований для использования Java, ее не следует устанавливать на устройствах (т.е. Устройства, на которых не работает Java, не могут быть скомпрометированы Java).
Рекомендуемые стратегии смягчения последствий включают, но не ограничиваются:

• применение исправлений безопасности
• использование наборов правил развертывания для управления использованием приложений Java
• разрешение использования приложений Java только из надежных источников
• фильтрация контента на шлюзе
• настройка отдельных браузеров для внутреннего и внешнего использования
• обнаружение на основе хоста с использованием Enhanced Mitigation Experience Toolkit (EMET).

Применение исправлений безопасности​

Патчи безопасности защитят устройства от использования известных уязвимостей безопасности JVM. Многие злоумышленники полагаются на программное обеспечение без исправлений, и их можно остановить, установив исправления для JVM. Однако обратите внимание, что Java-приложения, работающие с привилегиями, все же могут скомпрометировать исправленную JVM, поскольку они полагаются на социальную инженерию и им не нужно использовать незащищенную уязвимость безопасности JVM.

Использование наборов правил развертывания для управления использованием приложений Java​

В Oracle Java 7 Update 40 была добавлена функция безопасности «Наборы правил развертывания». Эта функция позволяет администраторам контролировать использование приложений Java на основе таких атрибутов, как местоположение, хэш файла или хэш подписи. Примечательно, что хэш подписи - это мощный способ идентификации и проверки приложений Java из надежных источников.
Наборы правил развертывания также позволяют администраторам указывать версию Java, которая требуется для запуска приложения Java. По умолчанию приложения Java будут пытаться запускаться в новейшей доступной версии JVM. Однако унаследованные приложения, которые не работают в более новых версиях JVM, можно запускать в более старых версиях. Наборы правил развертывания настоятельно рекомендуются организациям, которые полагаются на устаревшие приложения Java.

Разрешение использования приложений Java только из надежных источников​

Разрешение запуску приложений Java только из надежных источников, таких как интрасеть организации, может снизить риск безопасности, связанный с использованием приложений Java. Кроме того, поскольку подписанные Java-приложения могут работать с высоким уровнем привилегий, запрашивая согласие пользователя, только доверенные подписывающие сертификаты должны иметь право на этот уровень привилегий.
Доверенные домены можно настроить в веб-браузере, на шлюзе или с помощью наборов правил развертывания. Средства управления безопасностью на основе веб-браузера эффективно работают при использовании с отдельными браузерами. Это может быть реализовано в сочетании с фильтрацией содержимого на уровне шлюза. Наборы правил развертывания - это наиболее гибкий способ настройки как доверенных источников, так и доверенных сертификатов подписи кода.

Настройка отдельных веб-браузеров для внутреннего и внешнего использования​

Различные веб-браузеры можно настроить для использования с внутренними (интрасеть) и внешними (Интернет) веб-сайтами. Использование отдельных веб-браузеров просто, но позволяет эффективно контролировать использование приложений Java.
Внешние веб-браузеры должны быть настроены так, чтобы блокировать или сильно ограничивать приложения Java, учитывая, что это может препятствовать законному использованию приложений Java из Интернета. Если требуется Java с внешних веб-сайтов, тогда веб-браузер должен быть настроен так, чтобы разрешать использование Java только из надежных источников. Приложения Java с ненадежных веб-сайтов по-прежнему следует контролировать или блокировать.
Внутренний веб-браузер по сравнению с ним может быть более терпимым при запуске приложений Java, поскольку веб-сайты интрасети по своей природе более надежны. Однако веб-браузер, используемый для трафика интрасети, должен быть заблокирован на интернет-шлюзе организации, чтобы предотвратить его использование для доступа к внешним веб-сайтам.
При необходимости можно использовать несколько веб-браузеров с разными версиями Java. Например, внутреннему веб-браузеру может потребоваться запустить Java 6 для совместимости с устаревшим бизнес-приложением, но внешний браузер может быть обновлен до последней версии по соображениям безопасности.

Контентная фильтрация на шлюзе​

Доставкой содержимого Java пользователям можно управлять с помощью веб-прокси или фильтра веб-содержимого. Такие устройства можно настроить так, чтобы они отклоняли исходящие запросы содержимого Java на основе расширения файла или типа MIME. Расширения файлов Java включают .class, .jar и .jnlp. Типы Java MIME включают приложение /.*- java -. * и приложение / java-archive. Кроме того, ограничение доверенных источников может быть реализовано путем создания исключений для доверенных доменов. Например, настройка веб-прокси на отбрасывание всех запросов на расширения файлов Java, если только запрос не относится к диапазону адресов локальной интрасети, и в этом случае запрос будет разрешен.