Думаю, что у каждого при чтении специализированной литературы возникали вопросы по поводу тех или иных терминов. Но, как правило, поблизости обычно нет того, кто может объяснить их значение. Проблемы возникают из-за непонимания простых вещей. Ведь неправильная трактовка или неправильное понимание может косвенным образом повлиять на многие важные вещи. Поэтому я предлагаю попробовать разобраться в некоторых мелочах мира информационной безопасности.

Очень интересно, как работает антивирусная программа, а особенно кикам образом используется антивирусная база? Из чего она состоит, насколько можно доверять результатам сканирования?

Все намного проще, чем вы думаете. Антивирусная база (а если более точно, то вирусная) складывается из вирусных сигнатур, которые при процессе проверки сравниваются с кодом проверяемого файла. Насколько можно доверять результатам? Это зависит от качества движка и эвристики. Поскольку при сканировании коды некоторых файлов могут быть очень и очень похожими на одну из сигнатур, то ложные срабатывания вполне объяснимы и присутствуют.

До тех пор, пока не подцепил первого вируса, вопрос безопасности не беспокоил вообще. После стал обращать на нее больше внимания. Хотелось бы спросить вашего совета по выбору сетевого экрана. На что следует обращать внимание при его выборе?

В отличие от программы-антивируса, net-экран требует тонкой настройки. Поэтому пользователь должен четко знать, какие сервисы ему необходимы, и, соответственно, какие порты закрывать. Именно поэтому плохих файрволлов не бывает — бывают только плохо настроенные. И все же они делятся на профессиональные и пользовательские. Отличаются они тем, что у профессиональных огромное количество настроек, и при этом ручных, а в пользовательских все максимально автоматизировано. Пользовательский экран не может максимально защитить пользователя просто потому, что он представляет собой что-то общее, а каждый пользователь имеет свои запросы, у каждой системы свои уязвимые места. Поэтому я советую использовать профессиональные. Из конкретных могу посоветовать ZoneAlarm, Outpost, Norton Internet security. Будьте готовы к тому, что придется убить кучу времени, прежде чем net-экран заработает нормально.

На сайтах антивирусных лабораторий размещены бесплатные антивирусные утилиты. Действительно ли они помогают при заражении вирусом? Стоит ли ими пользоваться?

Дело в том, что эти утилиты специализированы и помогают только против одного вредоносного кода. Против той вредоносной программы, для уничтожения которой они предназначены, они очень эффективны, но ничего не могут сделать против других. Некоторые предназначены для борьбы сразу с семейством кодов. Таким образом, от них есть толк только в том случае, если вы точно знаете, чем заражена ваша машина.

После удаления пятого Касперского при установке антивируса Аваст выскочило сообщение, что Аваст не может работать с Касперским в паре (хотя последний удален). Что с этим делать?

Некоторое программное обеспечение при деинсталляции не удаляет записи в системном реестре — в таком случае их необходимо удалять вручную. Но с Касперским такого рода проблемы могут быть только если при его деинсталлировании была допущена ошибка, вследствие которой ключ не удалился. Ветви: Curren_user и Local_machine. Также причиной могла послужить неправильная деинсталляция (например, просто удаление папки).

Может ли вирус, троян или другая вредоносная программа изменить данные в антивирусной базе для предотвращения своего обнаружения? Если да, то какие вредные программы это делают и какие программы защиты больше всего этому подвержены?

Вредоносный код не может каким-либо образом изменить антивирусную базу, он может только удалить ее целиком, и то это невозможно, поскольку резидентный сканер постоянно использует базу. У каждой антивирусной корпорации базы пишутся особенным методом, так что для написания вируса, о котором вы спрашиваете, необходимо знание всех этих методов, а они не выносятся (обычно) за стены компаний. Большинство программ последних двух- трех поколений обладают механизмом анализа и защиты целостности своего кода. Однако у вредоносного ПО (у некоторых его представителей) имеются механизмы защиты (как пример можно привести полиморф-вирусы, стелс-вирусы) от обнаружения. Надеюсь, я полно ответил на ваш вопрос. Если есть какие-то нюансы, которые я не огласил, пишите — или оставляйте вопрос на форуме сайт .

Слышал от многих, что при работе с ресурсоемкими программами для ускорения работы компьютера можно отключить антивирусную программу, если не находишься в сети и не работаешь с CD/ROM. Безопасно ли это?

В принципе, да. Если вы не подключены к сети и не используете оптический привод, то можете смело отключать антивирус. Но вирус может находиться на вашем винчестере, поэтому, если вы часто отключаете антивирус, то привейте себе привычку часто проверять систему антивирусным сканером. Вирус может находиться в «состоянии покоя», в котором он не определяется сканером. После вы запустите программу и нечаянно его активируете (конечно, это необязательно случится). Поэтому чаще сканируйте систему, и, если уверены, что сама система чиста, можете смело отключать… Вирус сам не материализуется:).

А где конкретно хранятся пароли в операционной системе Windows?

Есть несколько мест, где они хранятся. В первую очередь это реестр. Пароли там хранятся в ветке HKLM\Security\Policy\Secrets\Default Password в зашифрованном виде. Также пароли находятся в SAM-файле, который может быть зашифрован системной утилитой syskey. После шифровки данной утилитой взлом этого файла становится крайне проблематичным.

Как узнать открытые порты на моем компьютере? Каким образом закрыть ненужные?

Узнать открытые порты можно двумя способами. Первый — используя команду netstat с параметром –an в командной строке. Пожалуй, это будет наиболее просто. Второй способ требует дополнительных программ. Вам потребуется сканер портов, который можно найти на любом софтовом портале, и необходимо просканировать свой хост (желательно снаружи).

Что такое RSA?

Это асимметричная система шифрования, названная в честь ее разработчиков: Ривеста (Rivest), Шамира (Shamir) и Эдельмана (Adleman). RSA является наиболее известной, проверенной и изученной асимметричной системой шифрования.

Чем обусловлена скорость обновления баз антивирусов?

Дело в том, что, помимо появления новых вирусов, имеются еще и те, которые по тем или иным причинам не попадали еще в руки антивирусных лабораторий. Так что работа у них есть всегда, соответственно и происходят обновления. Обычно это каждые тридцать минут.

Какой лучше всего выбрать параметр при шифровке SAM-файла утилитой syskey?

Лучше всего выбрать хранение ключа расшифровки на дискете, т.к. отсутствие ключа на жестком диске делает практически невозможной расшифровку файла, а значит, и извлечение паролей. Конечно, если вы выберете хранение на винчестере, то трудности при расшифровке тоже будут. Однако максимальный эффект дает хранение на дискете.

Добавлено (12.03.2009, 15:21:07)
---------------------------------------------
Обзор клавиатурных шпионов - лучшие кейлоггеры

Автор: Деймос Стренталл
Источник: http://xakep.ru/

Необходимое обоснование

Программы шпионы это в первую очередь не кровавое оружие хакеров-анархистов или инструмент контроля тёмных межконтинентальных корпораций, а удобное средство обеспечения личной безопасности, во многих случаях необходимое обычному хаке… тьфу ты, гражданину, особенно в тех условиях, когда к его компьютеру имеют доступ несколько человек. Не благое ли дело установить контроль за домочадцами, особенно детьми, кои в час родительского отсутствия могут растлевать юные умы просмотром неподобающих порталов или воровать деньги с кредитных карт. Да и сотрудники, чересчур активно использующие служебные терминалы в своих личных нуждах, явно нуждаются в надлежащем надзоре со стороны людей дисциплинированных и законопослушных, таких как мы с вами.

Все, представленные в обзоре программы шпионы находятся в свободном доступе по нижеуказанным ссылкам. В то же время приставка free явно ограничивает их функционал. Если вы хотите программу, которая не будет обнаруживаться антивирусами и антитроянами, то за неё придется заплатить. Чем отличается платная версия от бесплатной? В платной вам предоставят следующие возможности: полная скрытность на трее, в запущенных программах и вообще везде (в результате тестирования одной из платных программ я столкнулся с интересной особенностью: запустив раз шпиона очень трудно его выключить, потому что он нигде не отображается), запись абсолютно всех нажатых клавиш; указание запущенных программ и процессов, окон, сайтов и т. п. ; запись чатов, icq, mns и т. д. ; самозашита от удаления; зашита паролем; отсылка логов на мыло через прокси; самоуничтожение в определенный срок. Купить такую прогу можно зайдя на специализированные форумы информационной безопасности и написав 150 постов: «Дайде кейлагер плыззз!!!!!!». Гарантия, что вас не кинут, не подсунут троян и не активизируют кейлоггер против вас самих, стремительно стремится к нулю, увы.

SC-KeyLog PRO

http://www.soft-central.net/

Статус: условно бесплатно.

SC-KeyLog - кейлоггер, способный вести журнал нажатых клавиш, при этом тщательно шифруя нажитое добро. Не стоит также упускать из виду возможность удаленного просмотра log-файла. SC-KeyLog, как и любая программа такого рода, позволяет фиксировать тексты любых типов электронной почты, сообщений интернет-пейджеров msn, icq, aim и других, изменения в текстовых файлах, информацию, вводимую на веб-страницах, кликов мышей, названий открытых окон, времени запуска/завершения программ, времени входа/выхода пользователя, избранного IE, набранных паролей пользователей (не для NT 4.0 и выше) и многое другое. Правильно настроить прогу поможет Wizard, который сразу будет маячить перед глазами после установки кейлоггера на жесткий диск. Да, ты всё правильно понял, SC рекомендуется использовать именно на своём компьютере, а не следить за удалённым объектом.

Юзабилити: при скачивании программы тут же заматерился Касперский 6.0? так что о скрытности речь и не идёт. После установки и запуска, попадаем прямиком в контрольную панель, где можно задать пароль или подчистить лог файл. Закрываем панель и видим перед собой два окошко – слева настраиваем то, что записываем, прямо по центру умильно любуемся результатами работы. Вот собственно, и вся программа.

Оценка: я бы такое даже своим детям не поставил.

Ardamax Keylogger

http://www.ardamax.com/

Статус: условно бесплатно, $34.95.

Вес стандартен для программ такого класса – 392 кб. это средний, легкий в использовании кейлоггер. Программа отслеживает и сохраняет все нажатия клавиш клавиатуры с указанием времени, названия программы (в которой вводились данные) и заголовка окна. Имеет полностью "невидимый" режим работы - скрытая автозагрузка, невидимость файлов, невидимость в Диспетчере задач и др. Есть управление горячими клавишами. При необходимости логи могут периодически отправляться на указанный e-mail и/или FTP.

Юзабилити: Касперский крепко спит. Интерфейс проги нам уже знаком – всё то же самое, разве что в более удачном, на мой взгляд, графическом исполнении. В целом программа тянет на троечку и явно не стоит требуемых денег.

Actual Spy

http://www.actualspy.ru/

Статус: платная 600 р. У демоверсии длительность мониторинга ограничена 40 минутами.

Помимо возможностей стандартного кейлоггера, Actual Spy может похвастаться весьма солидным набором дополнительных примочек. Самая вкусная из которых, на мой взгляд, снятие скриншотов экрана в заданный промежуток времени, что позволяет решить проблему обнаружения графического пароля, обнаружить графические ограничители доступа к интернет услугам, которыми воспользовался объект и прочее. Помимо того кейлоггер обладает следующими функциями: записывает время запуска/закрытия программ, следит за содержимым буфера обмена, различает регистр нажатых клавиш, приглядывает за принтерами (когда и какой файл был послан на печать), осуществляет мониторинг файловой системы, отслеживает соединения с интернет, перехватывает посещённые сайты, отслеживает включение/выключение компьютера. Лог файлы шифруются, отчёт формируется в удобном текстовом и html-формате, существует отсылка отчёт на указанный e-mail, по ftp или по локальной сети. Само собой на логи можно установить собственный пароль.

При просмотре нажатых клавиш Actual Spy может показывать только символы и не показывать нажатия системных клавиш, что намного удобнее. Например, если были нажаты следующие клавиши: «[Shift]Программа[Space][Ctrl] [Shift][Shift]Actual[Space][Shift]Spy[Space] [Shift]-[Space]keylogger[Ctrl][Shift]», то установив галочку «Показывать только символы» ты увидишь следующий текст: "Программа Actual Spy - keylogger."

Для удобства, ограничения на размер текстовых логов и размер скриншотов устанавливаются отдельно, так как объём скриншотов как правило занимает намного больше дискового пространства, чем текстовый файл. Устанавливается и ограничение при запоминании содержимого буфера обмена. Если в буфер обмена будут копироваться очень большие объёмы информации, то запоминаться будет только та часть, которую вы указали.

Юзабилити: Сразу замечу, что, во-первых, это самый «толстый» кейлоггер в обзоре - вес Actual Spy 2.8 составляет 1,51 мбайт. Во-вторых, от российских производителей, так что недостатка понимания не будет (хотя в управлении free кейлоггеров смогут разобраться и инопланетяне). И, самое главное, антивирус скромно проигнорил факт установки в системе, хотя и не оставил без внимания подозрительность выполняемых процессов.

Интерфейс приятен, раскладки сгруппированы отлично: вы просматриваете отдельно запущенные программы, смотрите скриншоты, а так же непосредственно наблюдаете набранные клавиши. Для запуска вам следует выбрать необходимые параметры настроек (а если точнее: указать путь к местонахождению лог-файла) (либо не выбирать ничего и оставить «по умолчанию»), нажать «Запуск» и кнопку «Скрыть». Вернуть программу к жизни можно комбинацией клавиш Shift + Ctrl + Alt + F8.

Вывод: прекрасное решение для домашнего шпионажа во благо мира во всём мире. Конечно, могут найтись энтузиасты, способные приспособить Actual Spy для подрывной диверсионной деятельности, но это так же бессмысленно, как вооружать солдат топорами и бензопилами. Для войны нужны совсем другие средства.

EliteKeylogger

http://www.widestep.com/

Статус: $69, но в рунете лежит лекарство для более ранней версии.

Не знаю на сколько там элитный, но со стандартными функциями, по заявке, вполне справляется, в его цепкие лапки попадают: мессенджеры, сообщения электронной почты, посещённые сайты, все нажатия клавиш, время запуска/выключения программ, все пароли, включая пароль учётной записи Windows, так же записываются имена пользователей и время, проведённое ими за компьютером. и т.д. Включая отслеживание отправленных на самораспечатку документов.
Клавиатурный шпион Elite Keylogger славен тем, что трудно поддаётся обнаружению, работая в режиме низкоуровневого драйвера. Программа хороша тем что её не надо предварительно запускать, она запускается вместе с системой, даже чуть раньше, что даёт возможность схватить логины и пароли при загрузки Windows. Программу невозможно удалить (нужно знать пароль админа программы), её невозможно найти она не светится в трее или лотке, она не выдаёт никаких окон и прочего, что бы могло выдать работу. Работу программы даже не обнаруживает большинство «антикейлогеров».

Программа понимает и показывает нажатия не только стандартных клавиш, букв или цифр, а также и служебные клавиши, CTRL, SHIFT, ALT и другие к служебным также относятся и клавиши F1…F12 и многие другие. EliteKeylogger очень подробно и хорошо работает браузерами. Он следит за URL-ами, который вводит пользователь в браузере, отслеживает на каких страницах были произведены заполнение форм и полей, то есть запоминает заголовки страниц, а также следит и за нажатыми ссылками в браузерах. Отслеживая какие страницы открываются в браузере вы сможете понять и характер человека (а если он к примеру по порно сайтам лазит, или по игровым, а некоторые, например, рефераты ищут).

Юзабилити: это какой-то *№##ец! При установки проги обратите внимание, что именно вы ставите: скрытую установку или саму программу, а то потом намучаетесь с удалением. Сама программа больше смахивает на мультимедийную орбитальную станцию: по количеству вкладочек с настройками однозначно лидирует. К примеру, можно настроить режим съема экрана так, чтобы делать более качественные снимки в определённые моменты времени или при определённых событиях . Хотя лучше составить ключевые слова, используя которые программ может делать акцент на тот или иной снимок экрана. Например, пользователь ввёл фразу «скачать музыку» а программ раз и сделала снимок экрана. Очень удобная штука, обязательно пригодится. Elite Keylogger может делать автоматически снимки экрана точно также как камера наблюдения (хоть каждую секунду или чаще), что при определённых навыках позволяет вскрывать даже самые сложные графические пароли. Если же программа запрограммирована на захват картинок с экрана, а никакие действия не происходят, то она временно прекращает сохранять экраны и ни в коем случае не делает дубликаты снимков экрана. Это позволяет не захламлять одинаковыми картинками лог файл. Keylogger будет также контролировать буфер обмена, но не только скопированный текст, а также и графику (например, выделенная и скопированная информация на web страничку в виде HTML) и скриншоты.

Программ автоматически может удалять устаревшие файлы, когда журнал записи превысил какую-то отметку. Возможно сконфигурировать всё на свой лад и свои требования, а также например указать, что очищать можно лишь только тогда, когда сформирован отчёт и отправлен по почте. Или когда, например, превысил какой-то размер, или раз в неделю или в месяц. Отчёты отправляются по электронной почте, сохраняются в сетевом окружении или скидываются через ftp (проверено, работает, если, конечно же, предварительно покопаться в настройках фаервола).

Заключая, можно заключить: однозначно иметь! Мой выбор.

The Rat!

http://www.therat.h15.ru

Статус: платная, есть ознакомительная версия. Чтобы приобрести программу следует связаться с автором: therat@list.ru.

The Rat!, как заявлено, программа не для кульных хакеров. Любой уважающий себя хакер может написать что-либо подобное. Прога написана на ассемблере и занимает соответственно 13 кб (ветераны программистского фронта прослезились). Не смотря на размер (уж простите, не вирусописатель я прога позволяет следить за нажатием клавиш в парольных окнах и консоли, отслеживает буфера обмена и ещё много чего из стандартных функций. Заявлена полная невидимость для антивирусов и программ, отлавливающих SpyWare и AdWare.

The Rat! снабжен скрепителем файлов (FileConnector), результат работы которого практически исключает детектирование в нем исходных файлов, по сигнатурам, а также текстовым редактором (StringExtractor) для удобной работы с файлом дампа, который решает проблему перекодировки в кириллицу, уборки мусора, сохраняет дамп в удобочитаемый html - файл.

Фактически запуская какую-либо версию The Rat! мы видим программу настройщик-конфигуратор (The Rat! Control Center). Результат работы настройщика - исполняемый (*.exe) файл. Данный файл и является полнофункциональным и самодостаточным клавиатурным шпионом. Его запуск приводит к установке The Rat! в системе. Впоследствии, после перезагрузки системы, программа будет продолжать свою работу. Деинсталлировать The Rat! возможно используя возможности настройщика-конфигуратора либо горячие клавиши.

Юзабилити: к полной версией Касперский отнёсся совершенно равнодушно, а вот демо заметил сразу. Дизайн… ну хакерам понравится. Безумное сочетание чёрного, красного и белого. Куча маленьких кнопочек, потыкав в которые вы найдёте Настройки (все разом в одном окне) или Лог файл. Хотя нормальный просмотр Лога отсутствует в принципе.

Даже не знаю для кого предназначена это программа: функциональности серьёзного кейлоггера ей явно не достаёт, в то же время только безумный ум отнесёт Rat к софту «для домохозяек», чем грозят многие из вышеописанных прог. Хотя для ознакомления с принципа создания кейлоггера вполне сгодится (думаю, автор вполне может предоставить исходник).

P.S. Не попали в обзор по причине полной отстойности (крайне не рекомендую использовать): KGB KeySpy (функционал на пятёрку, но глючит просто неимоверно, настройки постоянно сбиваются), Radar Spy, Invisible Keylogger, Pc Activity Monitor, Spy Agent , Windows Keylogger, AbcKeylogger, PasswordLogger, LttLogger, FKWP, Fearless KeySpy.

Ссылки для скачивания представленных в обзоре программ-кейлоггеров здесь - http://www.diwaxx.ru/soft/security_scaner.php

Добавлено (12.03.2009, 16:00:24)
---------------------------------------------
Взлом и защита локальной сети

Автор: Олег Бойцев
Источник: © компьютерная газета

В рамках данной статьи мы поговорим о безопасности локальной сети. Особое внимание будет уделено вопросам защиты технического уровня и практическим рекомендациям по обеспечению безопасной LAN. Учитывая всеобьемлемость темы, я постараюсь заострить внимание читателя на следующих вопросах: какие уязвимости используются чаще всего и какие политики безопасности им можно противопоставить.

Безопасная архитектура — это фундамент

Итак, помимо централизованной политики безопасности, без которой de facto невозможно построение безопасной сети в принципе, особое внимание следует обратить на следующее:

1) Использование безопасных протоколов обмена (не секрет, что такие текстовые протоколы, как FTP и Telnet, представляют собой явную угрозу) и туннелирование данных, например, посредством SSH.
2) Шифрование критичных данных с использованием надежных криптоалгоритмов.
3) Использование архитектуры, включающей в себя наличие DMZ (демилитаризованной зоны), обслуживаемой двумя файрволлами.
4) Использование IDS (Intrusion-Detection System), IPS (Intrusion-Prevention System) и NAT.
5) Защита периферии посредством тонких клиентов и двухфакторной системы аутентификации.

DMZ. Проектирование демилитаризованной зоны

Не секрет, что системы, открытые для прямого доступа извне, являются главными целями злоумышленников. Для организаций, имеющих дело с критичной и конфиденциальной информацией, вопрос защиты периметра сети стоит особенно остро. Политика безопасности внешних систем (web-сервер, почтовый сервер и др.) требуют самой тщательной проработки, так как они подвержены нападению в первую очередь. Задача заключается в том, чтобы ограничить доступ этих систем к действительно важным и секретным компьютерам, расположенным внутри сети, что реализуется посредством технологий, описанных мною ниже.

DMZ — сокращение от demilitarized zone (демилитаризованная зона) — подразумевает собой фрагмент сети, не являющийся полностью доверенным. Смысл создания DMZ заключается в том, чтобы оградить внутреннюю систему (в данном случае это наша защищенная LAN) от доступа, который осуществляется из Интернета. DMZ создается посредством реализации полузащищенной сетевой зоны, что достигается путем применения межсетевых экранов или маршрутизаторов со строгими фильтрами. Затем посредством элементов управления сетью определяется политика, какому трафику разрешается проникновение в DMZ, а какому трафику разрешено выходить за пределы DMZ. Очевидно, что все системы, доступные из внешней среды, должны быть размещены в демилитаризованной зоне. Следует учитывать и то, что, если система доступна через интерактивный сеанс (такой, как telnet или SSH), то открывается возможность проведения атак против других систем, находящихся в DMZ. В качестве модели рассмотрим следующую. Одна из возможных архитектур безопасной LAN c использованием демилитаризованной зоны изображена на рис. 1:

В данном случае наша сеть включает в себя два межсетевых экрана, отделяющих DMZ от внешней и внутренней сети. Внешняя сеть оказывается между маршрутизатором провайдера и первым межсетевым экраном, в то время как демилитаризованная зона размещается между межсетевыми экранами №1 и №2. В настройках межсетевого экрана №1 предусмотрено разрешение прохождения всего трафика DMZ, а также всего внутреннего трафика (за некоторым исключением). Межсетевой экран №2 сконфигурирован более жестко с учетом того, что разрешен только исходящий интернет-трафик. Подобная конфигурация значительно повышает общий уровень безопасности LAN. Нельзя не согласиться с тем, что использование и обслуживание пары межсетевых экранов повышает стоимость архитектуры и требует дополнительных усилий по управлению и настройке, но… оно того стоит.

IDS

IDS — система обнаружения вторжений. В идеальном случае такая система лишь выдаст сигнал тревоги при попытке проникновения. Обнаружение вторжений помогает при превентивной идентификации активных угроз посредством оповещений и предупреждений о том, что злоумышленник осуществляет сбор информации, необходимой для проведения атаки. Разновидностью IDS является IPS, возможности которой выходят за рамки простого обнаружения вторжений и дополняются возможностью превентивного противодействия. В настоящее время можно выделить, по крайней мере, два основных типа IDS:
. узловые (HIDS);
. и сетевые (NIDS).

Как правило, система HIDS размещается в узлах системы, отслеживая любую подозрительную активность, которую можно классифицировать как признаки атак на данный узел. HIDS представляют собой систему датчиков, загружаемых на различные серверы организации и управляемых центральным диспетчером. Сенсор HIDS позволяет определить, была ли атака успешной, если атака имела место на той же платформе, на которой установлен датчик. Следует заметить, что система HIDS, как правило, стоит дороже, чем сетевая система, что объясняется тем, что каждый сервер должен иметь лицензию на датчик (датчики дешевле для одного сервера, однако общая стоимость датчиков больше по сравнению со стоимостью использования сетевых IDS). При использовании системы HIDS следует обратить внимание на то, что работа процесса датчика на сервере может занимать до 15% общего процессорного времени. При активно используемой системе подобная трата системных ресурсов может отрицательно сказаться на производительности, и, таким образом, не исключено, что вам придется приобретать более производительную систему. NIDS представляет собой программный комплекс, работающий на специально выделенной системе. Принцип функционирования NIDS чем-то схож с работой сетевого сниффера: NIDS переводит работу сетевой карты в системе в promiscuous mode (беспорядочный режим — состояние, в котором сетевой адаптер обнаруживает в сети все фреймы вне зависимости от их конечного адреса). После получения пакетов происходит анализ трафика с использованием набора правил и признаков атак для определения того, представляет ли этот трафик какой-либо интерес. На рис. 2 показана возможность использования двух типов IDS:

NAT

Еще одним инструментом, который мы применим при проектировании безопасной LAN, станет NAT.

NAT — это технология трансляции одного или нескольких адресов в другие адреса. В большинстве случаев функции NAT реализуются посредством межсетевого экрана (хорошим примером является Kerio Win Rout Firewall с гибкой системой настройки NAT). Маршрутизаторы также могут выполнять эту функцию. Очевидно, что функция безопасности NAT реализуется благодаря тому, что скрытые адреса внутренних систем являются невидимыми из внешней сети — в частности, из сети Интернет. Следует учитывать и тот факт, что для защиты от инсайдерских атак NAT бесполезна: если злоумышленник находится внутри организации или имеет прямой доступ к внутренней сети через VPN или телефонное соединение, то NAT и вовсе никак не сможет защитить сеть.

Необходимый минимум

1. При построении безопасной LAN следует минимизировать количество служб и сервисов, предоставляемых сетью, используемых клиентами из сети Интернет.
2. Архитектура LAN в обязательном порядке должна предусматривать наличие DMZ — демилитаризованной зоны, контролируемой межсетевым экраном.
3. Крайне желательно наличие NAT (система переадресации выполняет функцию сокрытия адресов внутренних систем).
4. Установка самых последних обновлений строго обязательна.
Даже если ваша система имеет самые последние обновления, расслабляться все равно не стоит: с момента обнаружения новой уязвимости и до момента выхода заплатки «умные люди» успевают написать эксплоит или создать червя.
5. Разумеется, как на сервере, так и на рабочих станциях должно быть установлено антивирусное ПО со свежими базами.
6. Если у вас до сих пор файловая система FAT32, смените ее на NTFS. NTFS de facto более безопасна: она позволяет разграничить доступ к ресурсам вашего ПК и значительно усложнит процесс локального и сетевого взлома паролей базы SAM.
7. В свойствах подключения крайне желательно оставить только самое необходимое, а именно ТСР/IP. «Службу доступа к файлам и принтерам сети Microsoft» необходимо отключить (касается машин, не предоставляющих SMS-доступ), чтобы не облегчать задачу всем любителям «дефолтовых» C$, D$, ADMIN$ и т.д.
8. Все неиспользуемые сервисы желательно выключить. Это не только улучшит производительность вашей системы, но и автоматически закроет кучу открытых портов (рис. 3):
9. Удалите лишние учетные записи (такие, как HelpAssistant и SUPPORT_388945a0), а в оснастке gpedit.msc запретите локальный и сетевой вход для всех пользователей, оставив только используемых на данной машине.
10. Пользователя «Администратор» лучше переименовать (через оснастку gpedit.msc).
11. Открытые по умолчанию ресурсы C$, D$, ADMIN$ желательно отключить (созданием параметра DWORD по адресу
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters):
12. В локальной сети не стоит забывать и о снифферах, с помощью которых ваши пароли могут стать «общественным достоянием» (не секрет, что пароли таких сервисов, как FTP и Telnet, передаются по LAN в открытом виде). Используя сниффер (например, Cain&Abel), даже зашифрованные пароли легко взломать.
Выход — построение локальной сети не на хабах (сетевые пакеты, которые получает хаб, распределяются по всем адресам независимо от места назначения), а на свитчах (используется технология доставки пакетов «по адресу»). Применение свитчей значительно усложняет процесс перехвата сетевых паролей и делает злоумышленника «видимым» (перехват паролей возможен даже при использовании свитчей(!), но в этом случае машина злоумышленника вынуждена генерировать ARP-пакеты — технология ARP-poizoning), используя стандартный набор для антисниффинга.
13. Минимальная сеансовая безопасность должна подразумевать использование криптостойкого алгоритма — NTLMv2:

Использование NTLMv2-механизма вместо уязвимого LM или NT значительно повышает криптостойкость паролей (включается через оснастку «Локальные параметры безопасности») и снижает возможные риски, связанные с перехватом и расшифровкой хэшей. Перечисленные способы защиты/построения безопасной сети — отнюдь не панацея против всех, кто всерьез решил взломать вашу сеть. Соблюдение вышеперечисленного минимума значительно снижает вероятность взлома, делая вашу сеть более безопасной к внешним и внутренним угрозам.

100% защиты нет, к ней можно лишь приблизиться…