EMET, ऑपरेशन की रोकथाम और गैर-स्पष्ट सेटिंग्स

हमने पहले से ही EMET [ 1 , 2 , 3 , 4 ] और इंटरनेट एक्सप्लोरर 10+ [ 1 , 2 ] के "उन्नत संरक्षित मोड" (EPM) और टैब के लिए लगभग 64-बिट प्रक्रियाओं के बारे में कई बार लिखा है [ 1 , 2 ], और विंडोज 8 / 8.1 [ 1 ] के नवाचार, जो ऑपरेशन के खिलाफ सुरक्षा का उपयोग करते हैं। इस तथ्य के बावजूद कि माइक्रोसॉफ्ट, हाल ही में, विंडोज में कारनामों के खिलाफ सुरक्षा के लिए पर्याप्त प्रयास कर रहा है, दर्ज की गई कई सेटिंग्स डिफ़ॉल्ट रूप से बंद हो जाती हैं। जाहिर है, कंपनी का दृष्टिकोण यह है कि यह ओएस के साथ आवेदन संगतता को पहले स्थान पर रखता है, और सुरक्षा सेटिंग्स का समावेश उपयोगकर्ताओं के कंधों पर छोड़ दिया जाता है (घोषित संगतता मुद्दों के कारण)।







उदाहरण के लिए, SA 2963983 के लिए हाल ही में MSRC पोस्ट में निम्नलिखित वाक्य शामिल हैं।

हमारी प्रारंभिक जांच से पता चला है कि इंटरनेट एक्सप्लोरर 10 और इंटरनेट एक्सप्लोरर 11 में आधुनिक ब्राउज़िंग अनुभव के लिए डिफ़ॉल्ट रूप से एन्हांस्ड प्रोटेक्टेड मोड।

यह इस तथ्य के बावजूद है कि कंपनी ने पिछले साल अपडेट MS13-088 ( KB2907803 देखें) जारी किया है, जो इंटरनेट एक्सप्लोरर 11 के लिए डिफ़ॉल्ट ईपीएम के उपयोग को शब्दों के साथ अक्षम करता है:

विंडोज 8.1 और इंटरनेट एक्सप्लोरर 11 के पूर्वावलोकन रिलीज के दौरान, हमने इंटरनेट एक्सप्लोरर के डेस्कटॉप और इमर्सिव मोड दोनों में डिफ़ॉल्ट रूप से एन्हांस्ड संरक्षित मोड को सक्षम किया। ऐसा इसलिए किया गया ताकि हम ऐड-ऑन का उपयोग करने वाली साइटों के बारे में फीडबैक और डेटा प्राप्त कर सकें जो एन्हांस्ड प्रोटेक्टेड मोड के साथ असंगत हैं।

इस प्रकार, पहली बार इंटरनेट एक्सप्लोरर का उपयोग करने से पहले, यह जांचना सुनिश्चित करें कि आपके पास उपयुक्त सुरक्षा सेटिंग्स सक्षम हैं, जिसे कंपनी "सुरक्षित होने के लिए बुनियादी" घोषित करती है, लेकिन जो डिफ़ॉल्ट रूप से अक्षम हैं।





अंजीर। MS13-088 के साथ विंडोज 8.1 पर IE11 स्थापित किया गया था, बाईं ओर मैन्युअल रूप से सुरक्षा विकल्प स्थापित किए गए थे, फिर डिफ़ॉल्ट सेटिंग्स को पुनर्स्थापित करने के लिए फ़ंक्शन को सक्रिय किया गया था।



इसी तरह की सेटिंग्स EMET में मौजूद हैं।





अंजीर। EMET v4.1 "अधिकतम सुरक्षा सेटिंग्स" मोड में रिलीज़, "डीप हुक" सेटिंग अक्षम है। सीवीई -2014-1776 के लिए शोषण कार्यों को ब्लॉक करने के लिए उपयोग किया जाता है। सुरक्षा सलाहकार 2963983 IE 0day के बारे में अधिक जानकारी देखें।





अंजीर। EMET v5.0 TP, डिफ़ॉल्ट सेटिंग्स "डीप हुक" और ASR हैं।



हमने अभी तक EMET 5.0 टीपी पर विस्तृत जानकारी नहीं दी है; उपयोगकर्ता इसे MS Security TechCenter वेबसाइट से डाउनलोड कर सकते हैं। इस संस्करण में अटैक सर्फेस रिडक्शन (ASR) और एक्सपोर्ट एड्रेस टेबल फ़िल्टरिंग प्लस (EAF +) नामक दो नए विकल्प हैं। जैसा कि आप ऊपर दिए गए स्क्रीनशॉट में देख सकते हैं, इंटरनेट एक्सप्लोरर के लिए ASR सक्षम है और इसका उपयोग CVE-2014-1776 के संचालन को रोकने के लिए किया जा सकता है। इस तथ्य के कारण कि EMET के इस संस्करण में तकनीकी पूर्वावलोकन की स्थिति है, कंपनी इसे "डीप हुक" सेटिंग के साथ पहले से ही सक्षम बनाती है।



हमले की सतह में कमी



एक संकीर्ण अर्थ में, एएसआर इंटरनेट एक्सप्लोरर पर लागू होता है और प्लग-इन का उपयोग करने के लिए ब्राउज़र-विशिष्ट सुरक्षा ज़ोन URL स्तरों का उपयोग करता है, जैसे कि ओरेकल जावा या एडोब फ्लैश प्लेयर को निष्पादित करने की अनुमति देता है, जिसके आधार पर उपयोगकर्ता दौरा कर रहा है। अधिक आम तौर पर, यह अनुप्रयोगों के लिए लागू किया जाता है ताकि उन्हें ऑपरेशन के लिए उपयोग किए जा सकने वाले संबंधित प्लग-इन के सक्रियण पर रोक लगाने के लिए मजबूर किया जा सके।





अंजीर। URL सुरक्षा क्षेत्र जो IE के बीच अंतर करता है, EMET अटैक सर्फेस रिडक्शन के लिए उपयोग किया जाता है।



IE के लिए ASR EMET का मुख्य बिंदु यह है कि यह उन वेबसाइटों के लिए संभावित रूप से असुरक्षित जावा और फ्लैश प्लेयर प्लग-इन का उपयोग करने की अनुमति देता है जो संगठन के नेटवर्क (इंट्रानेट) पर हैं और उन्हें इंटरनेट के लिए प्रतिबंधित करता है, जहां सामग्री संभवतः असुरक्षित हो सकती है। इसके अलावा, प्लगइन्स को विश्वसनीय ज़ोन में उपयोग करने की अनुमति है, नीचे देखें।



डिफ़ॉल्ट रूप से, EMET 5.0 टीपी में निम्नलिखित अनुप्रयोगों के लिए ASR शामिल है:

• एमएस इंटरनेट एक्सप्लोरर;
• एमएस एक्सेल;
• एमएस वर्ड।

प्लगइन्स को मुखौटा, या पुस्तकालय के पूर्ण नाम से अवरुद्ध किया जाता है।





अंजीर। IE के लिए ASR जावा ब्राउज़र (npjpi * .dll, jp2iexp.dll), वेक्टर मार्कअप लैंग्वेज DLL (vgx.dll) ( SA 2963983 देखें) और फ्लैश प्लेयर (फ़्लैश * .ocx) में सक्रियण को रोकता है।



EMET 5.0 टीपी में एएसआर केवल ऊपर सूचीबद्ध तीन कार्यक्रमों के लिए काम कर सकता है।







ज़ोन सेटिंग को रजिस्ट्री पैरामीटर asr_zones द्वारा सेट किया जाता है, जो निम्न मान ले सकता है: स्थानीय (0), इंट्रानेट (1), ट्रस्टेड (2), इंटरनेट (3), अनट्रस्टेड (4)।



इस कॉन्फ़िगरेशन में, यदि आप Word या Excel में अंतर्निहित फ़्लैश प्लेयर (SWF) ऑब्जेक्ट के साथ कोई दस्तावेज़ खोलने का प्रयास करते हैं, तो उसे जबरन ब्लॉक किया जाएगा (या उपयोगकर्ता को सूचित किया जाएगा, एप्लिकेशन कॉन्फ़िगरेशन देखें - केवल शोषण या ऑडिट पर रोकें)।



निर्यात पता तालिका फ़िल्टरिंग प्लस



सेटअप को और अधिक विस्तृत तकनीकी समीक्षा की आवश्यकता है, EMET 5.0 तकनीकी पूर्वावलोकन की घोषणा करें । मौजूदा ईएएफ सेटिंग को विस्तारित करता है , जिसका उपयोग शेल कोड के खिलाफ सुरक्षा के लिए किया जाता है और सिस्टम लाइब्रेरी मॉड्यूल (k गिने 32.ll और ntdll.dll) के निर्यात की अनुमति देता है केवल ज्ञात EMET निष्पादन योग्य मॉड्यूल के कोड तक।



EAF + चेक किए गए पुस्तकालयों की सूची में kernelbase.dll को जोड़ता है (सूची का विस्तार किया जा सकता है, नीचे सेटिंग देखें)।





अंजीर। EAF + को EMET 5.0 TP के लिए डिफ़ॉल्ट रूप से सक्रिय किया गया है। लेकिन इसका उपयोग केवल Internet Explorer के लिए किया जाता है, नीचे स्क्रीनशॉट देखें।





अंजीर। डिफ़ॉल्ट रूप से, EAF + केवल IE के लिए सक्रिय है और निम्न मॉड्यूल के कोड से कर्नेलबेस, कर्नेल 32 और ntdll के निर्यात तालिकाओं की सुरक्षा के लिए कॉन्फ़िगर किया गया है: इमेज रेंडरिंग DLL (mshtml.dll), फ़्लैश प्लेयर ऑब्जेक्ट्स (फ़्लैश * .ocx), JScript DLL (jscript.dll)। VBScript DLL (vbscript.dll) और वेक्टर मार्कअप लैंग्वेज DLL (vgx.dll)। ROP चेन बनाने के लिए हमलों में मॉड्यूल का उपयोग किया गया था।



EAF + भी संदिग्ध कोड के लिए आयात तालिकाओं तक पहुंच को अवरुद्ध करता है जो पहले से ही हमलों में उपयोग किया गया है (उदाहरण के लिए, IE CVE-2013-3163 और CVE-2014-0322 देखें) जब एक्शनस्क्रिप्ट (SWF) कोड के माध्यम से निर्यात पते तक पहुंच बनाई जाए। विकल्प ईएएफ + देखें।

... यह शमन, संरक्षित निर्यात तालिका पते तक पहुंच प्रयासों को पढ़ेगा जब स्मृति भ्रष्टाचार भेद्यता का उपयोग करते हुए आमतौर पर जांच के लिए उपयोग किए जाने वाले मॉड्यूल से उत्पन्न होता है।

सामान्य ईएएफ सूची से सभी अनुप्रयोगों के लिए सक्रिय है, एप्लिकेशन कॉन्फ़िगरेशन देखें -> अन्य -> ​​ईएएफ पैरामीटर और इसका उपयोग केवल कर्नेल 32 और एनडीटीएल की सुरक्षा के लिए किया जाता है।





अंजीर। ईएमईटी 4.1 रिलीज में ईएएफ सभी प्रक्रियाओं के लिए डिफ़ॉल्ट रूप से सक्रिय है और इसका उपयोग कर्नेल 32 और एनडीटीएल पुस्तकालयों के ईएटी (निर्यात तालिकाओं) तक अनधिकृत पहुंच को ब्लॉक करने के लिए किया जाता है।