Защита сетей. Программа для защиты компьютерных сетей

27.06.2020

Антивирус должен быть установлен на каждом ПК с Windows. Долгое время это считалось золотым правилом, однако сегодня эксперты по IT-безопасности спорят об эффективности защитного ПО. Критики утверждают, что антивирусы не всегда защищают, а иногда даже наоборот - из-за небрежной реализации способны образовать бреши в безопасности системы. Разработчики же таких решений противопоставляют данному мнению впечатляющие цифры заблокированных атак, а отделы маркетинга продолжают уверять во всеобъемлющей защите, которую обеспечивают их продукты.

Истина лежит где-то посередине. Антивирусы работают небезупречно, однако все их повально нельзя назвать бесполезными. Они предупреждают о множестве угроз, но для максимально возможной защиты Windows их недостаточно. Для вас как для пользователя это означает следующее: можно либо выбросить антивирус в мусорную корзину, либо слепо ему довериться. Но так или иначе, он всего лишь один из блоков (пусть и крупный) в стратегии безопасности. Мы снабдим вас еще девятью такими «кирпичиками».

Угроза безопасности: антивирусы

> Что говорят критики Нынешний спор об антивирусных сканерах спровоцировал бывший разработчик Firefox Роберт О’Каллахан. Он утверждает: антивирусы угрожают безопасности Windows и должны быть удалены. Единственное исключение - Защитник Windows от Microsoft.

> Что говорят разработчики Создатели антивирусов, в том числе Kaspersky Lab, в качестве аргумента приводят впечатляющие цифры. Так, в 2016 году ПО из этой лаборатории зарегистрировало и предотвратило около 760 миллионов интернет-атак на компьютеры пользователей.

> Что думает CHIP Антивирусы не должны считаться ни пережитком, ни панацеей. Они всего лишь кирпичик в здании безопасности. Мы рекомендуем использовать компактные антивирусы. Но не стоит сильно заморачиваться: Защитник Windows вполне подойдет. Вы можете использовать даже простые сканеры сторонних разработчиков.

Выбрать правильный антивирус

Мы, как и прежде, убеждены, что Windows немыслима без антивирусной защиты. Вам нужно только выбрать правильный продукт. Для пользователей «десятки» это может быть даже встроенный Защитник Windows. Несмотря на то, что во время наших тестов он показал не самую лучшую степень распознавания, он идеально и, что самое важное, без каких-либо проблем для безопасности встроен в систему. Кроме того, компания Microsoft доработала свой продукт в обновлении Creators Update для Windows 10 и упростила его управление.

У антивирусных пакетов других разработчиков степень распознавания зачастую выше, чем у Защитника. Мы ратуем за компактное решение. Лидером нашего рейтинга на данный момент является Kaspersky Internet Security 2017. Те же, кто может отказаться от таких дополнительных опций, как родительский контроль и менеджер паролей, должны обратить свое внимание на более бюджетный вариант от «Лаборатории Касперского».

Следить за обновлениями

Если для обеспечения безопасности Windows нужно было выбирать лишь одну меру, мы однозначно остановились бы на обновлениях. В данном случае речь, разумеется, идет в первую очередь об апдейтах для Windows, но не только. Установленное ПО, в том числе Office, Firefox и iTunes, также следует регулярно обновлять. В Windows получить системные обновления относительно легко. И в «семерке», и в «десятке» патчи устанавливаются автоматически при настройках по умолчанию.

В случае с программами ситуация затрудняется, поскольку далеко не все из них так же легко обновить, как Firefox и Chrome, в которые встроена функция автоматического апдейта. Утилита SUMo (Software Update Monitor) поддержит вас в решении этой задачи и сообщит о наличии обновлений. Родственная программа DUMo (Driver Update Monitor) выполнит ту же работу для драйверов. Оба бесплатных помощника, однако, лишь информируют вас о новых версиях - загружать их и устанавливать вам придется самостоятельно.

Настроить брандмауэр

Встроенный в Windows брандмауэр хорошо справляется со своей работой и надежно блокирует все входящие запросы. Однако он способен на большее - его потенциал не исчерпывается конфигурацией по умолчанию: все установленные программы имеют право без спроса открывать порты в брандмауере. Бесплатная утилита Windows Firewall Control даст вам в руки больше функций.

Запустите ее и в меню «Profiles» установите фильтр на «Medium Filtering». Благодаря этому брандмауэр будет контролировать и исходящий трафик по заданному набору правил. Какие меры туда будут входить, устанавливаете вы сами. Для этого в нижнем левом углу экрана программы нажмите на иконку записки. Так вы сможете просмотреть правила и одним кликом выдать разрешение отдельной программе или же ее заблокировать.

Использовать особую защиту

Обновления, антивирус и браундмауэр - об этой великой троице мер безопасности вы уже позаботились. Пришло время тонкой настройки. Проблема дополнительных программ под Windows зачастую состоит в том, что в них не используются все предлагаемые защитные функции системы. Утилита против эксплойтов, такая как EMET (Enhanced Mitigation Experience Toolkit), дополнительно усиливает установленное ПО. Для этого нажмите на «Use Recommended Settings» и позвольте программе работать автоматически.

Укрепить шифрование

Вы можете существенно усилить защиту персональных данных их шифрованием. Даже если ваша информация попадет в чужие руки, хорошее кодирование хакеру снять не удастся, во всяком случае не сразу. В профессиональных версиях Windows уже предусмотрена утилита BitLocker, настраиваемая через Панель управления.

Альтернативой для всех пользователей станет VeraCrypt. Эта программа с открытым кодом является неофициальным преемником TrueCrypt, поддержка которого прекратилась пару лет назад. Если речь идет лишь о защите личной информации, вы можете создать зашифрованный контейнер через пункт «Create Volume». Выберите опцию «Create an encrypted file container» и следуйте указаниям Мастера. Доступ к готовому сейфу с данными осуществляется через Проводник Windows, как к обычному диску.

Защитить пользовательские аккаунты

Множество уязвимостей остаются неиспользованными хакерами только потому, что работа на компьютере осуществляется из-под стандартного аккаунта с ограниченными правами. Таким образом, для повседневных задач вам также следует настроить такую учетную запись. В Windows 7 это осуществляется через Панель управления и пункт «Добавление и удаление учетных записей пользователя». В «десятке» щелкните по «Параметрам» и «Учетным записям», а далее выберите пункт «Семья и другие люди».

Активировать VPN вне дома

Дома в беспроводной сети ваш уровень безопасности высок, поскольку только вы контролируете, кто имеет доступ к локальной сети, а также несете ответственность за шифрование и коды доступа. Все иначе в случае с хотспотами, например,
в отелях. Здесь Wi-Fi распределяется между посторонними пользователями, и на безопасность сетевого доступа вы не способны оказать какое-либо воздействие. Для защиты рекомендуем применять VPN (Virtual Private Network). Если вам нужно просто просмотреть сайты через точку доступа, достаточно будет встроенной VPN в последней версии браузера Opera. Установите браузер и в «Настройках» нажмите на «Безопасность». В разделе «VPN» поставьте флажок для «Включить VPN».

Отрезать неиспользуемые беспроводные соединения

Исход ситуации могут решить даже детали. Если вы не пользуетесь такими соединениями, как Wi-Fi и Bluetooth, просто отключите их и тем самым закройте потенциальные лазейки. В Windows 10 проще всего это сделать через Центр уведомлений. «Семерка» предлагает для этой цели на Панели управления раздел «Сетевые подключения».

Управлять паролями

Каждый пароль должен использоваться только один раз, а также содержать специальные знаки, цифры, заглавные и прописные буквы. И еще быть максимально длинным - лучше всего из десяти и более символов. Принцип безопасности, обеспечиваемой паролем, сегодня достиг своих пределов, поскольку пользователям приходится слишком многое помнить. Следовательно, там, где это возможно, следует заменять такую защиту на другие способы. Возьмем, к примеру, вход в Windows: если у вас есть камера с поддержкой технологии Windows Hello, используйте для авторизации метод распознавания лиц. Для остальных кодов рекомендуем обратиться к менеджерам паролей, таким как KeePass, которые следует защитить мощным мастер-паролем.

Обезопасить личную сферу в браузере

Для защиты своей конфиденциальности в Сети существует множество способов. Для Firefox идеально подойдет расширение Privacy Settings. Установите его и настройте на «Full Privacy». После этого браузер не выдаст никакой информации о вашем поведении в Интернете.

Спасательный круг: бэкап

> Бэкапы крайне важны Резервное копирование оправдывает
себя не только после заражения вирусом. Оно отлично зарекомендовало себя и при возникновении проблем с аппаратным обеспечением. Наш совет: единожды сделайте копию всей Windows, а затем дополнительно и регулярно - бэкапы всех важных данных.

> Полное архивирование Windows Windows 10 получила в наследство от «семерки» модуль «Архивирование и восстановление». С помощью него вы создадите резервную копию системы. Вы также можете воспользоваться специальными утилитами, например, True Image или Macrium Reflect.

> Защита файлов True Image и платная версия Macrium Reflect способны сделать копии определенных файлов и папок. Бесплатной альтернативой для архивирования важной информации станет программа Personal Backup.

ФОТО: компании-производители; NicoElNino/Fotolia.com

Некоторые люди тратят всю свою жизнь на работу по улучшению безопасности для корпораций и частных лиц. И немалую часть этого времени они тратят, латая дыры в Windows. Система Windows является основным каналом для вредоносных программ, которые создают зомби (роботов), о чем рассказывается в главе 5, и это лишь верхушка айсберга. Справедливости ради следует сказать, что в значительной степени вина лежит на огромной популярности Windows, но при этом в Windows 7 имеется такое количество дыр, что непонятно, беспокоит ли это хоть кого-нибудь в компании Microsoft.

Имеется три основных типа угроз. Во-первых, специально направленная атака человеком, пытающимся взломать ваш компьютер через сетевое подключение. Во-вторых, атака со стороны человека, сидящего за клавиатурой вашего компьютера. И наконец, возможна автоматическая атака, совершаемая вирусом-червем или вредоносной программой другого вида.

В Windows 7, а еще раньше в Vista, включен Контроль учетных записей пользователей (User Account Control), что должно помочь задержать поток непреднамеренных и нежелательных установок программ, - об этом, а также о паролях и шифровании

говорится в главе 7. Однако большая часть мусора приходит через сетевое подключение, поэтому с него и стоит начать обеспечение защиты компьютера. Операционная система Windows 7 включает в себя несколько функций, которые дают возможность обеспечить определенный уровень безопасности, не прибегая к приобретению дополнительных программ или оборудования.

К сожалению, не многие из этих функций задействованы по умолчанию. Нижеследующие факторы являются лазейками, которые не следует игнорировать.

О Плохо: уязвимость протокола UPnP

Еще одна функция под названием UPnP (Universal Plug-and-Play) может открыть дополнительные уязвимые места в вашей сети. Более подходящим названием для UPnP было бы Network Plug and Play (Подключайся и работай), так как эта функция имеет дело только с сетевыми устройствами. UPnP представляет собой набор стандартов, позволяющих недавно подключенным устройствам объявить

о своем присутствии серверам UPnP в вашей сети, почти так же, как устройства USB объявляют о своим присутствии принадлежащей Windows системе

Внешне функция UPnP выглядит неплохо. Но на практике недостаток аутентификации в стандарте UPnP и легкость, с которой вредоносные программы могут использовать UPnP для того, чтобы пробить дыры в брандмауэре, а также создать правила переадресации портов в маршрутизаторе, приносят одни неприятности. В настоящее время UPnP используется для некоторых игр, большинства расширителей средств передачи информации, мгновенных сообщений, удаленной помощи и т. п., что и объясняет, почему эта функция включена по умолчанию в Windows 7 и во многих сетевых устройствах. Но если она вам не нужна, то лучше ее выключить.

Если вы выберете Общественную сеть (Public network) при первом подключении к новой сети или через Центр управления сетями и общим доступом (Networking and

^ j Sharing Center), то UPnP по умолчанию отключается.

Для того чтобы отключить UPnP, откройте окно 01ужбы (services.msc). Найдите в списке службу Обнаружение SSDP (SSDP Discovery Service) и нажмите кнопку с квадратиком Остановить службу (Stop) на Панели инструментов. При этом должен остановиться и Узел универсальных РпР устройств (UPnP Device Host). Если это не так, остановите и его. Теперь протестируйте любые приложения или устройства, которые, как вы подозреваете, могут использовать обнаружение сети, например серверы мультимедиа или расширители. Если у вас нет ничего такого, можете вообще отключить UPnP, дважды щелкнув на каждой службе и из списка Тип запуска (Startup type) выбрав Отключена (Disabled). В противном случае, когда вы в следующий раз загрузите Windows, эти службы запустятся снова.

Теперь откройте страницу настройки конфигурации маршрутизатора (описанную ранее в данной главе) и отключите сервис UPnP. Это требуется для того, чтобы не допустить установления прикладными программами новых правит переадресации портов. Если маршрутизатор не позволяет вам изменять настройки UPnP, подумайте о возможности перехода к более новой версии прошивки, как описано в разделе «Переход к более новой версии маршрутизатора».

О Плохо: уязвимость наличия открытых портов

Поищите уязвимые места в вашей системе с помощью сканирования на обнаружение открытых портов, как изложено ниже в данной главе.

О Хорошо: удаленный Рабочий сгол, но только когда он нужен

Функция удаленного рабочего стола, описанная в разделе «Удаленное управление компьютером», включена по умолчанию в Windows 7 Professional and Ultimate. Если только вам специально не нужна эта функция, ее следует выключить. В Панели управления откройте Систему и затем выберите ссылку Настройка удаленного доступа. На странице Удаленный доступ окна Свойства системы выключите флажок Разрешить подключения удаленного помощника к этому компьютеру (Allow Remote Assistance connections to this computer) и отметьте находящийся ниже переключатель Не разрешать подключения к этому компьютеру.

О Хорошо: пароль учетной записи

Теоретически общий доступ к файлам не работает для учетных записей, не имеющих пароля, что является настройкой по умолчанию при создании новой учетной записи пользователя. Но беспарольная учетная запись не дает никакой защиты от кого-либо севшего за вашу клавиатуру, а если это учетная запись пользователя с правами администратора, то дверь открыта и к любому другому пользователю данного компьютера. Обратитесь к главе 7, где рассматриваются учетные записи пользователей и пароли.

О Домашние группы и совместный доступ к файлам

Каждая папка, к которой разрешен совместный доступ, потенциально является открытой дверью. Поэтому открытый доступ следует предоставлять только к тем папкам, к которым это действительно необходимо. Обратите внимание, что разрешения на использование файлов и разрешения на общий доступ в Windows 7 представляют собой разные вещи. Подробнее об этом рассказано в главе 7.

О Плохо: уязвимость мастера настройки общего доступа

Одной из главных причин создания рабочей группы является общий доступ к файлам и принтерам. Но благоразумно делиться только теми папками, которыми необходимо делиться, и отключать общий доступ ко всем остальным. Функция под названием Использование Мастера совместного доступа (Use Sharing Wizard), описанная в главе 2 и подробно рассмотренная в главе 7, не дает полного контроля над теми, кто может просматривать и изменять ваши файлы.

О Плохо: уязвимость общих административных ресурсов

Функция совместного доступа, рассмотренная в главе 7, открывает доступ ко всем дискам вашего компьютера, независимо от того, предоставляете ли вы доступ к папкам на этих дисках.

О Хорошо: межсетевая защита

Настройте брандмауэр, рассмотренный ниже, для строгого контроля сетевого потока в ваш компьютер и из него, но не рассчитывайте, что достаточной защитой является встроенная в Windows программа-брандмауэр.

О Хорошо: центр поддержки хорош, но не следует полностью полагаться на него Центр поддержки, изображенный на рис. 6.28, является центральной страницей в Панели управления, используемой, чтобы управлять брандмауэром Windows, Защитником Windows (Windows Defender), Контролем учетных записей пользователей (UserAccount Control) и автоматическими обновлениями. Он также контролирует антивирусные программы, но, чисто по политическим мотивам, Windows 7 не имеет собственных антивирусных программ.

Самое главное, что Центр поддержки является только средством просмотра. Если он видит, что данная мера защиты включена, независимо от того, активно ли она работает, Центр поддержки будет доволен и вы не получите никаких уведомлений.

Надоели сообщения от Центра поддержки? Нажмите ссылку Настройка центра поддержки (Change Action Center settings) с левой стороны и выберите, какие проблемы стоят того, чтобы о них сообщали, и какие можно игнорировать. Вы можете отключить все сообщения из Центра поддержки, выключив все флажки на данной странице, но чтобы полностью дезактивировать всю функцию, необходимо открыть окно Службы (services.msc) и выключить Центр поддержки. Этим вы не выключите брандмауэр, антивирусы или автоматические обновления, которые вы, возможно, используете, а выключите только средства наблюдения за этими средствами и сопутствующие им сообщения.

Здесь вы не можете изменить параметры брандмауэра или защиты от вредоносных программ. Для этого необходимо вернуться в Панель управления и открыть там соответствующую программу.

Проблема эпидемии сетевых червей актуальна для любой локальной сети. Рано или поздно может возникнуть ситуация, когда в ЛВС проникает сетевой или почтовый червь, который не детектируется применяемым антивирусом. Сетевой вирус распространяется по ЛВС через не закрытые на момент заражения уязвимости операционной системы или через доступные для записи общие ресурсы. Почтовый вирус, как следует из названия, распространяется по электронной почте при условии, что он не блокируется клиентским антивирусом и антивирусом на почтовом сервере. Кроме того, эпидемия в ЛВС может быть организована изнутри в результате деятельности инсайдера. В данной статье мы рассмотрим практические методики оперативного анализа компьютеров ЛВС с применением различных средств, в частности с помощью авторской утилиты AVZ.

Постановка задачи

В случае обнаружения эпидемии или некой нештатной активности в сети администратор должен оперативно решить минимум три задачи:

обнаружить зараженные ПК в сети;
найти образцы вредоносной программы для отправки в антивирусную лабораторию и выработки стратегии противодействия;
принять меры для блокирования распространения вируса в ЛВС и его уничтожения на зараженных компьютерах.

В случае деятельности инсайдера основные шаги анализа идентичны и чаще всего сводятся к необходимости обнаружения установленного инсайдером постороннего ПО на компьютерах ЛВС. В качестве примера такого ПО можно назвать утилиты удаленного администрирования, клавиатурные шпионы и различные троянские закладки.

Рассмотрим более подробно решение каждой из поставленных задач.

Поиск зараженных ПК

Для поиска зараженных ПК в сети можно применять как минимум три методики:

автоматический удаленный анализ ПК - получение информации о запущенных процессах, загруженных библиотеках и драйверах, поиск характерных закономерностей - например процессов или файлов с заданными именами;
исследование трафика ПК с помощью сниффера - данный метод очень эффективен для отлова спам-ботов, почтовых и сетевых червей, однако основная сложность в применении сниффера связана с тем, что современная ЛВС строится на базе коммутаторов и, как следствие, администратор не может осуществлять мониторинг трафика всей сети. Проблема решается двумя путями: запуском сниффера на маршрутизаторе (что позволяет осуществлять мониторинг обмена данными ПК с Интернетом) и применением мониторинговых функций коммутаторов (многие современные коммутаторы позволяют назначить порт мониторинга, на который дублируется трафик одного или нескольких портов коммутатора, указанных администратором);
исследование нагрузки на сеть - в данном случае очень удобно применять интеллектуальные коммутаторы, которые позволяют не только оценивать нагрузку, но и удаленно отключать указанные администратором порты. Данная операция существенно упрощается при наличии у администратора карты сети, на которой имеются данные о том, какие ПК подключены к соответствующим портам коммутатора и где они расположены;
применение ловушек (honeypot) - в локальной сети настоятельно рекомендуется создать несколько ловушек, которые позволят администратору своевременно обнаружить эпидемию.

Автоматический анализ ПК в сети

Автоматический анализ ПК можно свести к трем основным этапам:

проведение полного исследования ПК - запущенные процессы, загруженные библиотеки и драйверы, автозапуск;
проведение оперативного обследования - например поиск характерных процессов или файлов;
карантин объектов по определенным критериям.

Все перечисленные задачи можно решить при помощи авторской утилиты AVZ, которая рассчитана на запуск из сетевой папки на сервере и поддерживает скриптовый язык для автоматического обследования ПК. Для запуска AVZ на компьютерах пользователей необходимо:

Поместить AVZ в открытую для чтения сетевую папку на сервере.
Создать в этой папке подкаталоги LOG и Qurantine и разрешить пользователям запись в них.
Запустить AVZ на компьютерах ЛВС при помощи утилиты rexec или логон-скрипта.

Запуск AVZ на шаге 3 должен производиться при таких параметрах:

\\my_server\AVZ\avz.exe Priority=-1 nw=Y nq=Y HiddenMode=2 Script=\\my_server\AVZ\my_script.txt

В данном случае параметр Priority=-1 понижает приоритет процесса AVZ, параметры nw=Y и nq=Y переключают карантин в режим «сетевой запуск» (в этом случае в папке карантина для каждого компьютера создается подкаталог, имя которого совпадает с сетевым именем ПК), HiddenMode=2 предписывает запретить пользователю доступ к GUI и управлению AVZ, и, наконец, самый важный параметр Script задает полное имя скрипта с командами, которые AVZ выполнит на компьютере пользователя. Скриптовый язык AVZ достаточно прост для использования и ориентирован исключительно на решение задач обследования компьютера и его лечения. Для упрощения процесса написания скриптов можно использовать специализированный редактор скриптов, который содержит оперативную подсказку, мастер создания типовых скриптов и средства проверки корректности написанного скрипта без его запуска (рис. 1).

Рис. 1. Редактор скриптов AVZ

Рассмотрим три типовых скрипта, которые могут пригодиться в ходе борьбы с эпидемией. Во-первых, нам потребуется скрипт для исследования ПК. Задача скрипта - произвести исследование системы и создать протокол с результатами в заданной сетевой папке. Скрипт имеет следующий вид:

ActivateWatchDog(60 * 10);

// Запуск сканирования и анализа

// Исследование системы

ExecuteSysCheck(GetAVZDirectory+

‘\LOG\’+GetComputerName+’_log.htm’);

//Завершение работы AVZ

В ходе выполнения данного скрипта в папке LOG (предполагается, что она создана в каталоге AVZ на сервере и доступна пользователям для записи) будут создаваться HTML-файлы с результатами исследования компьютеров сети, причем для обеспечения уникальности в имя протокола включается имя исследуемого компьютера. В начале скрипта располагается команда включения сторожевого таймера, который принудительно завершит процеcc AVZ через 10 минут в случае, если в ходе выполнения скрипта возникнут сбои.

Протокол AVZ удобен для изучения вручную, однако для автоматизированного анализа он мало пригоден. Кроме того, администратору часто известно имя файла вредоносной программы и требуется только проверить наличие или отсутствие данного файла, а при наличии - поместить в карантин для анализа. В этом случае можно применить скрипт следующего вида:

// Включение сторожевого таймера на 10 минут

ActivateWatchDog(60 * 10);

// Поиск вредоносной программы по имени

QuarantineFile(‘%WinDir%\smss.exe’, ‘Подозрение на LdPinch.gen’);

QuarantineFile(‘%WinDir%\csrss.exe’, ‘Подозрение на LdPinch.gen’);

//Завершение работы AVZ

В этом скрипте задействуется функция QuarantineFile, которая совершает попытку карантина указанных файлов. Администратору остается только проанализировать содержимое карантина (папка Quarantine\сетевое_имя_ПК\дата_каратина\) на наличие помещенных в карантин файлов. Следует учесть, что функция QuarantineFile автоматически блокирует помещение в карантин файлов, опознанных по базе безопасных AVZ или по базе ЭЦП Microsoft. Для практического применения данный скрипт можно усовершенствовать - организовать загрузку имен файлов из внешнего текстового файла, проверять найденные файлы по базам AVZ и формировать текстовый протокол с результатами работы:

// Поиск файла с указанным именем

function CheckByName(Fname: string) : boolean;

Result:= FileExists(FName) ;

if Result then begin

case CheckFile(FName) of

1: S:= ‘, доступ к файлу блокируется’;

1: S:= ‘, опознан как Malware (‘+GetLastCheckTxt+’)’;

2: S:= ‘, подозревается файловым сканером (‘+GetLastCheckTxt+’)’;

3: exit; // Безопасные файлы игнорируем

AddToLog(‘Файл ‘+NormalFileName(FName)+’ имеет подозрительное имя’+S);

//Добавление указанного файла в карантин

QuarantineFile(FName,’подозрительный файл’+S);

SuspNames: TStringList; // Список имен подозрительных файлов

// Проверка файлов по обновляемой базе данных

if FileExists(GetAVZDirectory + ‘files.db’) then begin

SuspNames:= TStringList.Create;

SuspNames.LoadFromFile(‘files.db’);

AddToLog(‘База имен загружена - количество записей = ‘+inttostr(SuspNames.Count));

// Цикл поиска

for i:= 0 to SuspNames.Count - 1 do

CheckByName(SuspNames[i]);

AddToLog(‘Ошибка загрузки списка имен файлов’);

SaveLog(GetAVZDirectory+’\LOG\’+

GetComputerName+’_files.txt’);

Для работы данного скрипта необходимо создать в папке AVZ доступные пользователям для записи каталоги Quarantine и LOG, а также текстовый файл files.db - каждая строка данного файла будет содержать имя подозрительного файла. Имена файлов могут включать макросы, наиболее полезные из которых - %WinDir% (путь к папке Windows) и %SystemRoot% (путь к папке System32). Другим направлением анализа может стать автоматическое исследование списка процессов, запущенных на компьютерах пользователей. Информация о запущенных процессах есть в протоколе исследования системы, но для автоматического анализа удобнее применять следующий фрагмент скрипта:

procedure ScanProcess;

S:= ‘’; S1:= ‘’;

// Обновление списка процессов

RefreshProcessList;

AddToLog(‘Количество процессов = ‘+IntToStr(GetProcessCount));

// Цикл анализа полученного списка

for i:= 0 to GetProcessCount - 1 do begin

S1:= S1 + ‘,’ + ExtractFileName(GetProcessName(i));

// Поиск процесса по имени

if pos(‘trojan.exe’, LowerCase(GetProcessName(i))) > 0 then

S:= S + GetProcessName(i)+’,’;

if S <> ‘’ then

AddLineToTxtFile(GetAVZDirectory+’\LOG\_alarm.txt’, DateTimeToStr(Now)+’ ‘+GetComputerName+’ : ‘+S);

AddLineToTxtFile(GetAVZDirectory+’\LOG\_all_process.txt’, DateTimeToStr(Now)+’ ‘+GetComputerName+’ : ‘+S1);

Исследование процессов в данном скрипте выполнено в виде отдельной процедуры ScanProcess, поэтому ее несложно поместить в собственный скрипт. Процедура ScanProcess строит два списка процессов: полный список процессов (для последующего анализа) и список процессов, которые, с точки зрения администратора, считаются опасными. В данном случае для демонстрации в качестве опасного рассматривается процесс с именем ‘trojan.exe’. Информация об опасных процессах добавляется в текстовый файл _alarm.txt, данные обо всех процессах - в файл _all_process.txt. Легко заметить, что можно усложнить скрипт, добавив в него, к примеру, проверку файлов процессов по базе безопасных файлов или проверку имен исполняемых файлов процессов по внешней базе. Подобная процедура применяется в скриптах AVZ, используемых в «Смоленскэнерго»: администратор периодически изучает собранную информацию и модифицирует скрипт, добавляя в него имя процессов запрещенных по политике безопасности программ, например ICQ и MailRu.Agent, что позволяет оперативно проверить наличие запрещенного ПО на изучаемых ПК. Другое применение списка процессов - поиск ПК, на которых отсутствует обязательный процесс, например антивирус.

В завершение рассмотрим последний из полезных скриптов анализа - скрипт автоматического карантина всех файлов, которые не опознаются по базе безопасных AVZ и по базе ЭЦП Microsoft:

// Выполнение автокарантина

ExecuteAutoQuarantine;

Автоматический карантин изучает запущенные процессы и загруженные библиотеки, службы и драйверы, около 45 способов автозапуска, модули расширения браузера и проводника, обработчики SPI/LSP, задания планировщика, обработчики системы печати и т.п. Особенностью карантина является то, что файлы в него добавляются с контролем повторов, поэтому функцию автокарантина можно вызывать многократно.

Достоинство автоматического карантина заключается в том, что с его помощью администратор может оперативно собрать потенциально подозрительные файлы со всех компьютеров сети для их изучения. Простейшей (но весьма эффективной на практике) формой изучения файлов может быть проверка полученного карантина несколькими популярными антивирусами в режиме максимальной эвристики. Следует отметить, что одновременный запуск автокарантина на нескольких сотнях компьютеров может создать высокую нагрузку на сеть и на файловый сервер.

Исследование трафика

Исследование трафика можно проводить тремя способами:

вручную при помощи снифферов;
в полуавтоматическом режиме - в данном случае сниффер собирает информацию, и затем его протоколы обрабатываются либо вручную, либо некоторым ПО;
автоматически при помощи систем обнаружения вторжений (IDS) типа Snort (http://www.snort.org/) либо их программных или аппаратных аналогов. В простейшем случае IDS состоит из сниффера и системы, анализирующей собираемую сниффером информацию.

Система обнаружения вторжений является оптимальным средством, так как позволяет создавать наборы правил для обнаружения аномалии в сетевой активности. Второе ее преимущество состоит в следующем: большинство современных IDS позволяют размещать агенты мониторинга трафика на нескольких узлах сети - агенты собирают информацию и передают ее. В случае же применения сниффера очень удобно пользоваться консольным UNIX-сниффером tcpdump. Например, для мониторинга активности по порту 25 (протокол SMTP) достаточно запустить сниффер с командной строкой вида:

tcpdump -i em0 -l tcp port 25 > smtp_log.txt

В данном случае ведется захват пакетов через интерфейс em0; информация о захваченных пакетах будет сохраняться в файле smtp_log.txt. Протокол сравнительно просто анализировать вручную, в данном примере анализ активности по порту 25 позволяет вычислить ПК с активными спам-ботами.

Применение Honeypot

В качестве ловушки (Honeypot) можно использовать устаревший компьютер, производительность которого не позволяет применять его для решения производственных задач. Например, в сети автора в качестве ловушки успешно применяется Pentium Pro c 64 Мбайт оперативной памяти. На этот ПК следует установить наиболее распространенную в ЛВС операционную систему и выбрать одну из стратегий:

Установить операционную систему без пакетов обновлений - она будет индикатором появления в сети активного сетевого червя, эксплуатирующего любую из известных уязвимостей для данной операционной системы;
установить операционную систему с обновлениями, которые установлены на других ПК сети - Honeypot будет аналогом любой из рабочих станций.

Каждая из стратегий имеет как свои плюсы, так и минусы; автор в основном применяет вариант без обновлений. После создания Honeypot следует создать образ диска для быстрого восстановления системы после ее повреждения вредоносными программами. В качестве альтернативы образу диска можно использовать системы отката изменений типа ShadowUser и его аналогов. Построив Honeypot, следует учесть, что ряд сетевых червей ищут заражаемые компьютеры путем сканирования диапазона IP, отсчитываемого от IP-адреса зараженного ПК (распространенные типовые стратегии - X.X.X.*, X.X.X+1.*, X.X.X-1.*), - следовательно, в идеале Honeypot должен быть в каждой из подсетей. В качестве дополнительных элементов подготовки следует обязательно открыть доступ к нескольким папкам на Honeypot-системе, причем в данные папки следует положить несколько файлов-образцов различного формата, минимальный набор - EXE, JPG, MP3.

Естественно, что, создав Honeypot, администратор должен отслеживать его работу и реагировать на любые аномалии, обнаруженные на данном компьютере. В качестве средств регистрации изменений можно применять ревизоры, для регистрации сетевой активности можно использовать сниффер. Важным моментом является то, что у большинства снифферов предусмотрена возможность настройки отправки оповещения администратору в случае обнаружения заданной сетевой активности. Например, в сниффере CommView правило предполагает указание «формулы», описывающей сетевой пакет, или задание количественных критериев (отправка более заданного количества пакетов или байт в секунду, отправка пакетов на неопознанные IP- или MAC-адреса) - рис. 2.

Рис. 2. Создание и настройка предупреждения о сетевой активности

В качестве предупреждения удобнее всего использовать сообщения электронной почты, отправляемые на почтовый ящик администратора, - в этом случае можно получать оперативные оповещения от всех ловушек в сети. Кроме того, если сниффер позволяет создавать несколько предупреждений, есть смысл дифференцировать сетевую активность, выделив работу с электронной почтой, FTP/HTTP, TFTP, Telnet, MS Net, повышенный трафик более 20-30 пакетов в секунду по любому протоколу (рис. 3).

Рис. 3. Письмо-оповещение, высылаемое
в случае обнаружения пакетов, соответствующих заданным критериям

При организации ловушки неплохо разместить на ней несколько применяемых в сети уязвимых сетевых служб или установить их эмулятор. Простейшим (и бесплатным) является авторская утилита APS, работающая без инсталляции. Принцип работы APS сводится к прослушиванию множества описанных в ее базе портов TCP и UDP и выдаче в момент подключения заранее заданного или случайно генерируемого отклика (рис. 4).

Рис. 4. Главное окно утилиты APS

На рисунке приведен скриншот, снятый во время реального срабатывания APS в ЛВС «Смоленскэнерго». Как видно на рисунке, зафиксирована попытка подключения одного из клиентских компьютеров по порту 21. Анализ протоколов показал, что попытки периодические, фиксируются несколькими ловушками в сети, что позволяет сделать вывод о сканировании сети с целью поиска и взлома FTP-серверов путем подбора паролей. APS ведет протоколы и может отправлять администраторам сообщения с отчетами о зарегистрированных подключениях к контролируемым портам, что удобно для оперативного обнаружения сканирования сети.

При создании Honeypot полезно также ознакомиться с онлайн-ресурсами по данной теме, в частности с сайтом http://www.honeynet.org/. В разделе Tools данного сайта (http://www.honeynet.org/tools/index.html) можно найти ряд инструментов для регистрации и анализа атак.

Дистанционное удаление вредоносных программ

В идеальном случае после обнаружения образцов вредоносных программ администратор отправляет их в антивирусную лабораторию, где они оперативно изучаются аналитиками и в базы антивируса вносятся соответствующие сигнатуры. Эти сигнатуры через автоматическое обновление попадают на ПК пользователей, и антивирус производит автоматическое удаление вредоносных программ без вмешательства администратора. Однако эта цепочка не всегда работает как положено, в частности возможны следующие причины сбоя:

по ряду независимых от администратора сети причин образы могут не дойти до антивирусной лаборатории;
недостаточная оперативность антивирусной лаборатории - в идеале на изучение образцов и их внесение в базы уходит не более 1-2 часов, то есть в пределах рабочего дня можно получить обновленные сигнатурные базы. Однако не все антивирусные лаборатории работают столь оперативно, и обновления можно ждать несколько дней (в редких случаях - даже недель);
высокая работоспособность антивируса - ряд вредоносных программ после активации уничтожают антивирусы или всячески нарушают их работу. Классические примеры - внесение в файл hosts записей, блокирующих нормальную работу системы автообновления антивируса, удаление процессов, службы и драйверов антивирусов, повреждение их настроек и т.п.

Следовательно, в перечисленных ситуациях придется бороться с вредоносными программами вручную. В большинстве случаев это несложно, так как по результатам исследования компьютеров известны зараженные ПК, а также полные имена файлов вредоносных программ. Остается только произвести их дистанционное удаление. Если вредоносная программа не защищается от удаления, то уничтожить ее можно скриптом AVZ следующего вида:

// Удаление файла

DeleteFile(‘имя файла’);

ExecuteSysClean;

Данный скрипт удаляет один заданный файл (или несколько файлов, так как команд DeleteFile в скрипте может быть неограниченное количество) и затем производит автоматическую чистку реестра. В более сложном случае вредоносная программа может защищаться от удаления (например, пересоздавая свои файлы и ключи реестра) или маскироваться по руткит-технологии. В этом случае скрипт усложняется и будет иметь следующий вид:

// Антируткит

SearchRootkit(true, true);

// Управление AVZGuard

SetAVZGuardStatus(true);

// Удаление файла

DeleteFile(‘имя файла’);

// Включение протоколирования BootCleaner

BC_LogFile(GetAVZDirectory + ‘boot_clr.log’);

// Импорт в задание BootCleaner списка файлов, удаленных скриптом

BC_ImportDeletedList;

// Активация BootCleaner

// Эвристическая чистка системы

ExecuteSysClean;

RebootWindows(true);

Данный скрипт включает активное противодействие руткитам, применение системы AVZGuard (это блокиратор активности вредоносных программ) и системы BootCleaner. BootCleaner - это драйвер, выполняющий удаление заданных объектов из KernelMode в ходе перезагрузки, на ранней стадии загрузки системы. Практика показывает, что подобный скрипт в состоянии уничтожить подавляющее большинство существующих вредоносных программ. Исключение составляют malware, меняющие имена своих исполняемых файлов при каждой перезагрузке, - в данном случае обнаруженные в ходе исследования системы файлы могут быть переименованы. В этом случае потребуется лечение компьютера вручную или создание собственных сигнатур вредоносной программы (пример реализующего сигнатурный поиск скрипта описан в справке AVZ).

Заключение

В данной статье мы рассмотрели некоторые практические методики борьбы с эпидемией ЛВС вручную, без использования антивирусных продуктов. Большинство описанных методик также могут применяться для поиска постороннего ПК и троянских закладок на компьютерах пользователей. При возникновении затруднений с поиском вредоносных программ или созданием скриптов лечения администратор может воспользоваться разделом «Помогите» форума http://virusinfo.info или разделом «Борьба с вирусами» форума http://forum.kaspersky.com/index.php?showforum=18. Изучение протоколов и помощь в лечении осуществляются на обоих форумах бесплатно, анализ ПК ведется по протоколам AVZ, и в большинстве случаев лечение сводится к выполнению на зараженных ПК скрипта AVZ, составленного опытными специалистами данных форумов.

Защита сетей представляет собой полный и необходимый комплекс мероприятий, который включает в себя организацию, создание программного обеспечения, а также принятие физических и технических мер. Только такой комплекс способен обеспечить максимальное достижение свойств информационного ресурса.

Информационные ресурсы

Сегодня необходимо тщательно позаботиться о шифровании конкретных свойств информационных ресурсов. Защита сетей возможна при соблюдении необходимых мер. Можно выделить несколько главных свойств информационной сети:

Защита компьютерной сети от незваного гостя

Если сеть не защищена паролем, то к беспроводному подключению могут подсоединяться посторонние пользователи. В большинстве случаев они делают это не преднамеренно, а только потому, что современные мобильные устройства и гаджеты автоматически подключаются к сети. Защита компьютерных сетей позволит предотвратить незапланированный расход трафика. Но в некоторых случаях ситуация может усугубляться. Иногда пользователи при помощи незащищенного соединения начинают загрузку нелегального контента.

Если владелец персонального компьютера не предпринял никаких мер по защите сети от несанкционированного доступа третьими лицами, то он подвергает себя опасности. Необходимо зайти в интерфейс роутера и изменить данные доступа к сети. Адрес маршрутизатора указывается в инструкции, которая выдается во время приобретения такого устройства. Если его нет, то можно определить IP-адрес при помощи собственного сетевого устройства. Для этого открывается окно браузера, где в строке необходимо ввести адрес 192.168.1.1.

Для чего необходимо обезопасить компьютерную сеть?

Если защита локальной сети полностью отсутствует, то она может стать основным и главным источником появления опасности. Большое количество современных хакеров может использовать специальные программы под названием сниффер, чтобы определить имеющиеся незащищенные соединения. Взломщики смогут быстро и легко сделать перехват персональных идентификационных данных, которые они получают из разнообразных сервисов.

Когда на домашнем или офисном компьютере беспроводная сеть имеет незащищенное соединение, то пользователи должны проявлять предельную осторожность. Контент, который находится в папках общего доступа, может быть использован многими другими пользователями. Это происходит потому, что отсутствует защита компьютерной и Специалисты советуют всем пользователям и руководителям крупных организаций создавать домашнюю группу, которая будет защищена сложным паролем.

Хакерство

За последние несколько лет наибольшей популярностью стали пользоваться несколько способов, которые позволят защитить компьютер от нелегального взлома:

Фильтрация по MAC-адресам.
Скрытие SSID, то есть засекречивание имени сети.

Защита сети при помощи этих мер не предоставляет полную безопасность для пользователей. Хакеры смогут быстро определить имя сети, если воспользуются адаптером. Применяя модифицированный драйвер, можно сделать переключение в специальный режим мониторинга. Программы под названием сниффер помогут справиться с поставленной задачей.

Взломщики будут вести наблюдение за компьютерной сетью до тех пор, пока к ней не будет произведено подключение пользователя или клиента. Далее при помощи манипуляции пакетными данными можно устранить клиента из сети. Во время повторного подключения клиента взломщики могут увидеть имя сети, которая используется.

Этот процесс многим людям может показаться сложным, но на практике это совершенно не так. Вся процедура не займет больше пяти минут.

Мошенническая программа для взлома компьютерной сети

Сейчас особенным спросом и популярностью среди взломщиков пользуется пакет программ под названием Aircrack-ng. Кибермошенники используют его для быстрого взлома адаптеров беспроводной сети. Представленная программа кроме сниффера включает в себя специальное приложение, которое позволяет выполнить загрузку и модификацию всех необходимых драйверов на адаптере.

Также программа предоставляет возможность для восстановления WEP-ключа. Сегодня существует большое количество методов, которые позволяют быстро и легко взломать компьютерную сеть. Но клиент или пользователь персонального компьютера может защитить собственное устройство, на котором будет установлена программа для защиты сети. Она имеет целый пакет приложений, которые оберегают компьютер от несанкционированного взлома хакерами.

Чтобы обезопасить устройство от мошенников, необходимо найти актуальную прошивку, которая поддерживает новые методы шифрования. В специальных программах для защиты персонального компьютера уже имеются все необходимые прошивки для зашифровки данных. Когда пользователь не выполняет обновления, то адаптеру беспроводной сети может угрожать опасность.

Публичная точка доступа

Общественные заведения предоставляют свободный доступ к беспроводной сети. Именно они становятся привлекательным местом, где собираются кибермошенники. Через них проходит большое которая в дальнейшем используется в качестве инструмента для взлома аккаунтов или В кафе, гостиницах или многих других можно найти точки свободного доступа.

Но не только кибермошенники могут узнать пароли и другую важную информацию. Другие пользователи, которые подключатся к этой сети, смогут сделать перехват личных данных человека. Нередко выполняется контролирование учетных записей на разнообразных сайтах.

Защита сети Интернет и cookies-файлов является необходимой мерой для шифрования вводимой информации. Сегодня есть большое количество методов атак, которые очень просты. Ими сможет воспользоваться даже начинающий хакер или грамотный пользователь. Расширение под названием Firesheep используется во многих современных браузерах. Это приложение позволяет в автоматическом режиме находить и считывать аккаунты других пользователей.

Как защитить домашнюю сеть?

Защита доступа к сети - это обязательная мера, которую должен предпринять каждый пользователь персонального компьютера. Когда роутер будет защищен при помощи и использования шифрования WPA2, то компьютеру и информации уже не будет угрожать никакая опасность со стороны хакеров. Не рекомендуется разглашать друзьям и знакомым пароль от беспроводной сети. Их гаджеты и мобильные устройства могут быть заражены вредоносными программами.

Недавно были представлены новые маршрутизаторы, которые предусматривают в себе наличие гостевого режима. Основное его преимущество заключается в том, что роутер будет создавать отдельную сеть с собственным паролем. Это наилучшая защита сетей, потому что в таком случае использоваться не будет.

Как можно защитить свой компьютер от удаленного доступа? Как запретить доступ к компьютеру через браузер?

Как защитить свой компьютер от удаленного доступа , обычно думают тогда, когда уже что то случилось. Но естественно, это неправильное решение для человека, который занимается хоть какой то собственной деятельностью. Да и всем пользователям желательно ограничить доступ к своему компьютеру для посторонних. И в данной статье мы не будем обсуждать способ установки пароля для входа на компьютер, а посмотрим вариант, как запретить доступ к компьютеру из локальной сети, или с другого компьютера, если они подключены в одну сеть. Такая информация будет особо полезна для новых пользователей ПК.

И так, в операционной системе Windows существует функция, которая называется “Удаленный доступ”. И если она не отключена, этим могут воспользоваться другие пользователи, чтобы получить контроль над вашим компьютером. Даже если Вы руководитель и Вам нужно следить за сотрудниками, тогда естественно, Вам нужен доступ к их ПК, но свой то нужно закрыть, чтобы эти же сотрудники не смотрели Вашу переписку с секретаршей — чревато…

Пн	Вт	Ср	Чт	Пт	Сб	Вс

	1
2	3	4	5	6	7	8
9	10	11	12	13	14	15
16	17	18	19	20	21	22
23	24	25	26	27	28	29
30	31

Март 2020