Чтение онлайн

По итогам исследования, проведенного германской компанией Honey Net, которая объединяет группу исследователей, занимающихся проблемой безопасности Интернета, было установлено, что в настоящее время более миллиона компьютеров заражены пиратскими программами, рассылающими спам и вредоносные программы. Самое интересное, что обычный пользователь может даже и не подозревать, что его компьютер стал средством распространения вирусов.

В данном разделе рассмотрены основные уязвимые места Windows и выстроена модель многоуровневой защиты.

Ошибки в Windows как обнаруживались, так и обнаруживаются, и ничего тут не поделать. Эпидемии Nimda, Red Code и MS Blast лишний раз показали, насколько уязвимы могут быть операционные системы. Windows без обновлений – основной фактор уязвимости компьютера. Ни для кого не секрет, что большинство «червей» заражают систему именно благодаря наличию брешей, или дыр. Как яркое подтверждение сказанному, хотелось бы упомянуть наиболее нашумевших представителей. MS Blast заражает систему, эксплуатируя уязвимость в службе DCOM RPC (служба удаленного вызова процедур). Модификации «червя» SdBot распространяются, используя пять дыр, в том числе и вышеназванную. «Черви» семейства Sober и Sasser известны своими «пристрастиями» к службе LSASS (Local Security Authority Subsystem – один из сервисов, обеспечивающих безопасность системы), которую успешно эксплуатируют без ведома пользователя. Учитывая, что большинство «червей» используют уязвимость на переполнение буфера, а служб и портов в Windows более чем достаточно, то появление новых «червей» или модификаций старых, применяющих новые дыры, не заставит себя ждать.

Поэтому необходимо следить за появлением новых уязвимостей и регулярно обновлять систему.

Многие пользователи активно используют Internet Explorer. Не секрет, что он без должных пакетов обновлений является хорошим объектом для атак извне. JavaScript, ActiveX, Dhtml и др. могут быть успешно использованы для атаки, кражи файлов, удаления данных и т. п. В подтверждение вышесказанному приведен HTML-код, возможности которого при соответствующей доработке можно использовать для запуска любого произвольного кода на машине жертвы:

‹HTML›

‹OBJECT CLASSID='CLSID:10000000

CODEBASE='C:\Windows\system32\logoff.exe'›

‹/OBJECT›‹HTML›

Удачной альтернативой являются такие продукты, как Opera и Avant Browser.

В настоящее время среди бесплатных программ можно выделить много достойных продуктов. Учитывая результаты официальных и неофициальных тестирований, а также собственный опыт, можно с уверенностью сказать, что абсолютной защиты нет. При определенных условиях даже самый авторитетный, с хорошей эвристикой и модулем анализа подозрительного поведения программного кода антивирус может дать сбой. Не надо забывать, что параллельно с развитием антивирусного программного обеспечения совершенствуются и вирусы. Существует семейство вирусов, так называемые stealth-вирусы, отличительной особенностью которых является наличие системы скрытия от антивирусной программы – благодаря особенностям работы программного кода такие вирусы отслеживают обращения антивируса к инфицированному файлу и представляют последний незараженным. В результате – вируса как будто бы и нет. На самом деле он распространяется от файла к файлу, скрывая свой присутствие. Подтверждением данному служит яркий пример – Optix Killer, который просто отключает антивирусную программу.

Крайне желательно, чтобы на вашем компьютере были установлены по крайней мере две операционные системы. Зачем? Во-первых, удобно «препарировать» Windows. Во-вторых, наличие чистой среды при проверке зараженной более чем желательно, особенно если дело касается stealth-вирусов и быстро распространяющихся «червей». Можно посоветовать два антивируса (на разных системах, естественно): Kaspersky Antivirus и Panda Internet Security. Первый имеет обширные базы, хотя они зачастую могут содержать вирусы и записи на эксплоиты (программы, написанные для практического использования какой-либо уязвимости в злонамеренных целях), нюкеры, кейлоггеры, а также программы, идентифицируемые KAV как «хакерский инструментарий». Panda прельщает анализом подозрительного поведения программного кода, защитой от неизвестных угроз, модулем самодиагностики – в общем, своей многофункциональностью. Ансамблю этих двух наиболее уважаемых антивирусных продуктов вполне можно доверить безопасность вашего компьютера. Только вот от самых новых вирусов они все равно вашу систему не спасут.

Существуют также программы-ревизоры. В качестве примера можно привести Adinf. Принцип ее работы основан на сохранении в специальной базе основных данных о каждом логическом диске в системе. При первом запуске в таблицах запоминаются объем оперативной памяти, образы главного загрузочного сектора, других загрузочных секторов, список сбойных кластеров, структура дерева каталогов, длины и контрольные суммы файлов. Когда вирус заражает компьютер, он изменяет объект, в который внедряется исполняемый файл, главный загрузочный сектор, FAT-таблица. Если ревизор обнаруживает на диске изменения, характерные для действия вируса, он предупреждает об этом пользователя. Важным отличием Adinf от других существующих программ-ревизоров является доступ к дискам без использования функций операционной системы. Такой метод позволяет успешно обнаруживать stealth-вирусы. Кроме борьбы с вирусами, Adinf следит за целостностью и сохранностью информации на жестком диске, выявляя все происходящие изменения.

Следует также отметить, что максимум, на что способен встроенный в SP2 брандмауэр, – это отражать примитивнейшие атаки на компьютер. Грамотной DOS-атаке с использованием хотя бы ICMP (Internet Control Message Protocol – протокол межсетевых управляющих сообщений, используемый для диагностики состояния сетей) он противостоять не сможет. Для этого существует более серьезное программное обеспечение, например брандмауэр ZoneAlarm (http://www.zonelabs.com). ZoneAlarm можно посоветовать всем, кому нужен авторитетный «наблюдатель» сетевой активности вашего компьютера. Любая попытка вырваться в Сеть или установить соединение из Сети, сканирование ваших портов регистрируется ZoneAlarm с указанием порта и IP.

Для начала необходимо четко себе уяснить, что при кажущейся безопасности и приватности нахождение в Интернете все же остается не более конфиденциальным, чем посещение местного гастронома. Говоря об анонимности интернет-серфинга, следует упомянуть о локальной и сетевой безопасности.

Локально следы ваших посещений фиксируются интернет-обозревателем и записываются в журнал. Помимо журнальных записей, историю можно воспроизвести, просмотрев содержание папки Temporary Internet Files и Cookies. Чтобы избавиться от компрометирующих записей, необходимо сделать следующее.

1. На панели настроек обозревателя нажать кнопку Журнал, в появившемся окне (рис 5.1) выделить правой кнопкой мыши посещенные страницы и выбрать в контекстном меню пункт Удалить.

2. Далее следует выполнить команду Сервис Свойство обозревателя и в открывшемся окне на вкладке Временные файлы Интернета нажать кнопку Удалить «Cookie», а затем – Удалить файлы (рис. 5.2).

Доверить очистку можно специализированным утилитам. Чтобы очистить кэш (временные файлы Интернета, которые сохраняются на диске для последующего ускоренного просмотра веб-страниц), можно воспользоваться программой ClearIECache и т. п. Если необходима более тщательная чистка, то вам следует воспользоваться утилитой CCleaner, описанной в разделе «Лучшие надстройки для Internet Explorer» гл. 2.

Для начала необходимо представить, каким же образом информация о ваших действиях в Интернете может стать доступной другим лицам. Как известно, каждому пользователю присваивается уникальный IP-адрес. Предположим, вы взломали сайт. Первым действием администратора взломанного сайта станет просматривать файлы журнала, куда вносится история сетевой активности сервера. Выяснив ваш IP, не составит особого труда узнать номер телефона, с которого было произведено соединение.