EMET va scapa de exploiturile 0-day

Toata lumea doreste sa se protejeze de atacurile bazate pe vulnerabilitatile aplicatiilor. Un soft precum Secunia PSI este necesar, dar
nu suficient. In caz ca un update nu este disponibil, practic, nu ai ce face decat sa renunti la folosirea aplicatiei pana un update va fi lansat. Aici ne vine in ajutor Microsoft, si anume cu programul EMET, ajuns la versiunea 2.0. EMET este un acronim pentru Enhanced Mitigation Experience Toolkit, un program care iti protejeaza aplicatiile folosite de posibile exploituri 0-day, printre care si exploiturile 0-day aparute in Adobe Acrobat/Reader.

Cu ce ne ajuta EMET?

Ne ofera posibilitatea de a activa DEP (Data Execution Prevention), ASLR (Address Space Layout Randomization), SEHOP (Structured Exception Handling Overwrite Protection) si EAF (Export Address Table Access Filtering) aplicatiilor pe care le folosim.
Toate aceste protectii au rolul de a impiedica exploatarea cu succes a unei vulnerabilitati. In plus, ofera si protectia impotriva exploiturilor de tip HeapSpray sau NULL Page (o denumire mai comuna fiind NULL pointer dereference).

Interfata programului este una simpla, oferind un tabel cu procesele care ruleaza, de asemenea, specificand care dintre ele sunt protejate de EMET, si care au DEP activat. Avem doua posibilitati pentru protejarea aplicatiilor. Una globala, care face modificarea asupra tuturor aplicatiilor. Modificarea se poate face prin „Configure System”, buton ce ne afiseaza o interfata din care putem configura sistemul.

Aici putem opta pentru a forta toate aplicatiile sa foloseasca DEP (nu este recomandat), sau sa le lasam asa cum sunt (DEP activ sau nu). ASLR si SEHOP nu pot fi fortate, ele putand fi doar dezactivate sau pot folosi optiunea implicita de care beneficiaza aplicatia. Cel mai bine este ca configuratia sa ramana pe „Recommended Security Settings”.
Desigur, putem configura aplicatiile pe care dorim sa protejam si ce tip de protectie sa le oferim. Acest lucru il putem face prin „Configure Apps”, buton ce ne afiseaza o interfata cu programele protejate, protectiile activate pentru fiecare dintre ele. Putem adauga si sterge orice aplicatie, cand dorim.

Aici putem adauga toate programele problematice, mai ales cele care pot fi exploatate de la distanta, doar o mica interactiune din partea victimei fiind necesara.
Exista posibilitatea ca unele aplicatii sa nu mai functioneze din cauza protectiilor, in cazul acesta dezactivati protectia (daca totusi nu vreti sa dezactivati total protectia, incercati pe rand sa dezactivati toate protectiile pana o gasiti pe cea care cauzeaza probleme).
De retinut este ca, in cazul unei setari globale pe „Maximum Security Settings” este posibil ca sa apara probleme la nivel de sistem de operare (e.g. BSOD).

EMET suporta urmatoarele sisteme de operare

• Windows XP service pack 3 and above
• Windows Vista service pack 1 and above
• Windows 7 all service packs
• Windows Server 2003 service pack 1 and above
• Windows Server 2008 all service packs
• Windows Server 2008 R2 all service packs

Nu pe toate sistemele de operare functioneaza intreaga gama de protectii:

EMET 2.0 este oferit de Microsoft, gratuit. Aici este adresa catre pagina Microsoft care permite descarcarea programului.