Poniendo un ejemplo práctico, en el equipo donde hemos realizado el inventario tenemos un ejecutable de “Anydesk”, aparte de SIEMENS TIA Portal v13, Schneider Electric. Este software es común emplearlo para posibles asistencias remotas tal y como sucede con otros como Teamviewer.

En este caso, hemos denegado explícitamente su ejecución por lo que una vez aplicada la política en modo “Active”, podremos ver cómo no podremos utilizarla.

Si en ese entonces queremos utilizar «Anydesk» el comportamiento en el equipo final sería el siguiente. No se ejecuta sino que además nos indica un mensaje.

Y se generaría un registro en la consola de KSC.

En cambio, si lo hubiéramos en configurado el modo de operación en “Statistics Only” sí que podríamos pero hubiéramos generado un log al respecto.

Pero en el supuesto que alguien quisiera instalar nuevo software como por ejemplo Mitsubishi GX Works3, KICS for Nodes tampoco permitiría hacerlo, generándose el siguiente mensaje y registro en la consola de KSC, Kaspersky Security Center.

No obstante, sobre aquellos logs generados la herramienta nos da la posibilidad de poderlo incorporar a la “Whitelist”, exportando el contenido del mismo en un fichero de texto, .txt.

Esto es especialmente útil si lo que queremos es crear desde cero una política, es decir, sin crear el inventario del que hablábamos en «KICS for Nodes IV».

En ese caso podremos identificar dónde se almacena la aplicación y denegarlo expresamente. Sin embargo, esto puede no ser efectivo. En este caso «AnyDesk» está ubicado en el escritorio pero si copio en otra carpeta como «Mis Documentos» podría ejecutarlo ya que la ruta es diferente.

Para ello deberemos ir a la configuración de reglas y seleccionar importar un fichero a partir de los logs.

Y seleccionar el fichero que previamente hemos exportados desde KSC, Kaspersky Security Center.

Sin embargo el criterio ahora no es tanto la ruta sino la información contenida en el certificado con el que se ha firmado el software.

Por lo que independientemente  de dónde esté el ejecutable de «Anydesk» éste no se podrá ejecutar.

Así pues, esta es la forma en la que trabaja una solución de protección de PCs industriales basado en estrategia de Whitelisting. El concepto es sencillo, listo lo que tengo en PC y luego permito aquello que considero necesario. Además algunas soluciones permiten complementar esta funcionalidad con otras. como antivirus, Firewall, etc. En el caso de KICS for Nodes podéis encontrar la descripción aqui. Esto dependerá del producto elegido.

Cabe mencionar que cuanto más granularidad o a más bajo nivel queramos llegar, más labor de gestión deberemos llevar a cabo. Hay que buscar un equilibrio…

Espero que os haya sido de utilidad, nos vemos en la siguiente!

Un saludo!