Хакинг и антихакинг
Павел Петрович Данилов








Книга ориентирована на тех, кто заботится о безопасности своего компьютера. Но, для того чтобы защищаться, читателю необходимо представлять себе то, от чего нужно защищаться. Поэтому в книге описаны некоторые приемы и способы взлома.







Хакинг и антихакинг


Краткие инструкции для новичков 









Предисловие


На современном этапе развития общества многие традиционные ресурсы человеческого прогресса постепенно утрачивают свое первоначальное значение. Наибольшую ценность приобретает не новый, но всегда ценный, ресурс, называемый информацией. Информация становится сегодня главным ресурсом научно-технического и социально-экономического развития мирового сообщества.

В настоящее время хорошо налаженная распределенная сеть информационно-вычислительных комплексов способна сыграть такую же роль в общественной жизни, какую в свое время сыграли электрификация, телефонизация, радио и телевидение вместе взятые. Ярким примером этому стало развитие глобальной сети Интернет. Сегодня уже принято говорить о новом витке в развитии общественной формации – информационном обществе. Практически любая деятельность в нынешнем обществе тесно связана с получением, накоплением, хранением, обработкой и использованием разнообразных информационных потоков. Целостность современного мира как сообщества обеспечивается в основном за счет интенсивного информационного обмена. Приостановка глобальных информационных потоков даже на короткое время способно привести к кризису, с чем наша цивилизация уже сталкивалась.

Потому в новых рыночно-конкурентных условиях возникает масса проблем, связанных с обеспечением сохранности и конфиденциальности коммерческой информации как вида интеллектуальной собственности.

Всякая информация имеет определенную цену, пропорциональную ее важности для отдельных лиц и организаций. Даже сам факт получения информации злоумышленником приносит ему определенный доход, ослабляя тем самым возможности конкурента. Отсюда главная цель злоумышленника – получение информации о составе, состоянии и деятельности объекта конфиденциальных интересов (фирмы, изделия, рецептуры, технологии и т. д. ) в целях удовлетворения своих информационных или финансовых потребностей.

В корыстных целях возможно внесение определенных изменений в состав информации, циркулирующей на объекте конфиденциальных интересов. Это может привести к дезинформации по определенным сферам деятельности, учетным данным, результатам решения некоторых задач. Еще более опасным является уничтожение накопленных информационных массивов в документальной или магнитной форме и программных продуктов.

Полный объем сведений о деятельности конкурента не может быть получен только каким-нибудь одним из возможных способов доступа к информации. Чем большими информационными возможностями обладает злоумышленник, тем больших успехов он может добиться в конкурентной борьбе. На успех может рассчитывать только тот, кто быстрее и полнее соберет необходимую информацию, переработает ее и примет на ее основе правильное решение. От целей зависит как выбор способов действий, так и количественный и качественный состав привлекаемых сил и средств посягательства.

Одним из самых распространенных на сегодня источником получения информации являются компьютерные сети. Их количество увеличивается по всему миру с каждым днем. Многие из них прямо или косвенно связаны с Интернетом. Такие сети предоставляют великолепные возможности доступа к информации и обмена ей. Однако вместе с новыми возможностями появляются и новые проблемы.

Наибольший интерес для злоумышленников представляют не одинокие пользователи, а именно корпоративные компьютерные сети. Именно в таких сетях содержится, во-первых, информация, утрата или несанкционированная модификация которой может привести к серьезным последствиям, а во-вторых, именно эта информация, как правило, интересует компьютерных взломщиков.

В Интернете стала храниться и передаваться действительно важная и конфиденциальная информация. Стало обычной практикой подключение корпоративной компьютерной сети к Интернету. Все больше пользователей, на чьем компьютере хранится важная информация, также работают в Интернете. Кроме того, в • последние годы всемирная компьютерная «паутина» становится все более эффективным средством совершения финансовых сделок и серьезным подспорьем в бизнесе. Согласно данным исследований, проводимых исследовательской компанией International Data, объем Интернет-бизнеса достиг в 1999 г. в США 74 млрд долл., а в Европе – 19 млрд долл. К 2003 г. этот показатель вырос, несмотря на многочисленные кризисы, по различным подсчетам, от 900 млрд до 1400 млрд долл.

Аналогичные процессы происходят и в России. У нас сохраняются самые высокие в Европе темпы продаж персональных компьютеров. Несмотря на низкое качество телефонных линий, рынок Интернета в нашей стране расширяется вдвое быстрее, чем в Западной Европе.

Чем большее количество информации проходит через какую-то информационную среду, тем больше в ней ценной и конфиденциальной информации, которая может интересовать злоумышленников. Чем более обыденным становится передача информации в такой информационной среде, тем выше ответственность за ее сохранность каждого отдельно взятого человека, участвующего в таком обмене. Все же стараются сохранить конфиденциальность какой-то информации и не оставляют важные бумаги на столе, а запирают в сейф. Почему же не позаботиться самим о безопасности электронной информации, которой вы пользуетесь?

Эта книга, хотя и называется «Хакинг и антихакинг», ориентирована на тех, кто с хакерством вынужден бороться, охраняя свою информацию. Согласитесь, для того чтобы защищаться, вы должны представлять себе хотя бы в общем виде то, от чего бы будете защищаться. Поэтому в книге будут описаны, правда, весьма поверхностно, некоторые способы взлома.

Декорации могут быть самые различные: необходимость администрирования небольшой сети, выход в Интернет из дома, работа в большой корпоративной сети (в такой должны быть админы, но нелишним будет позаботиться о безопасности и самим, разумеется, предварительно посоветовавшись с ними) и т. п. При изложении материала я буду ориентироваться на некий средний вариант – небольшую сеть, в которой проблема безопасности стоит достаточно остро, или домашний компьютер с выходом в Интернет (а может быть, это домашняя сеть из 2-3 компьютеров с модемным выходом в Интернет). Книга рассчитана на читателей, не имеющих большого опыта в администрировании и управлении безопасностью, но имеющих общее представление о сетях и Интернете.






ЧАСТЬ ПЕРВАЯ. ВВОДНАЯ





Глава 1. Хакер: кто он?


"Ежели один человек чего построил, то другой завсегда разломать сможет... "

    

Известный кузнец из известного фильма






В настоящее время издается большое количество компьютерной литературы, в которой авторы так или иначе касаются проблем, связанных с хакерами, но все же по некоторым (вполне, в общем-то, понятным) причинам они не касаются близко самих хакеров и всего, что с ними может быть связано.

Растиражированный западным кинематографом реальный образ хакеров так же далек от реальности, как фильмы о Джеймсе Бонде или бюджет Российской Федерации. В той же мере приближены к реальности крайние точки зрения: хакерство – это хорошо, хакерство – это плохо. Хороший или плохой… Решайте сами! Тем более что, наверное, многие из нас в душе немножечко сами злобные хакеры. Не стану утверждать, что последнее высказывание справедливо в ста процентах случаев.

Некоторые авторы рассматривают хакерство как социальное движение, подобное панкам, хиппи или более старинным битникам. Не думаю, что это справедливо. Давайте сначала определимся с терминологией.

Слово «хакер» сейчас используют в двух значениях:

– это человек, который прекрасно знает компьютер и пишет хорошие программы;

– злоумышленник, незаконно проникающий в чужие компьютерные системы с целью незаконного получения информации.




Таким образом, это название совмещает в себе по меньшей мере два значения. Одно – нейтральное или даже хвалебное (ас, мастер), другое – негативно окрашенное (взломщик, вор).

Английский глагол to hack применительно к компьютерам может означать две вещи – взломать систему или починить ее. В основе этих действий лежит общее начало: понимание того, как устроен компьютер и программ, которые на нем работают. Двусмысленность термина «хакер» ведет к парадоксам. Хакер – это и герой, и хулиган, и расчетливый преступник; мастер киберреальности и угроза компьютеризированному обществу. Отсюда крайности в оценке: хакеры подвергаются либо полной идеализации, либо такому же полному очернению.

Реальность, как всегда, посередине. Грубо говоря, хакера как породы людей вообще не существует. Существуют реальные люди, использующие компьютер для весьма различных надобностей. Мотивация этих самых надобностей, способы достижения цели и результаты вряд ли можно свести к единому знаменателю.

Третье поколение киберреволюционеров – хакеры начала 80-х гг. XX в. – создали множество прикладных, учебных и игровых программ.

Возможно, кто-то из вас думает, что хакеры – это самые страшные монстры, которых породил на свет Божий безумный XX век. Не стану оспаривать чью-то правоту, а просто постараюсь помочь вам разобраться в самих терминах. А они (это важно!) вводят порой в заблуждение.




Согласно словарю известного Guy L. Steele хакеры подразделяются на следующие виды.

1.Hacker:

– индивидуум, который получает удовольствие от изучения деталей функционирования компьютерных систем и от расширения их возможностей, в отличие от большинства пользователей компьютеров, которые предпочитают знать только необходимый минимум;

– энтузиаст программирования; индивидуум, получающий удовольствие от самого процесса программирования, а не от теоретизирования по этому поводу.

2.Cracker. Основная задача кракера состоит в непосредственном осуществлении взлома системы с целью получения несанкционированного доступа к чужой информации, иначе говоря, для ее кражи, подмены или для объявления факта взлома. Кракер (в отечественной терминологии «крякер») по своей сути ничем не отличается от обычного вора, взламывающего чужие квартиры и крадущего чужие вещи. Он взламывает чужие вычислительные системы и крадет чужую информацию.

Кто-то тут же отмахнется! Точно, по телевизору не про тех говорили, мол, «свистнули» чьи-то пароли и продавали халявный доступ в Интернет? Низменность мотивов кракеров приводит к тому, что 90% из них являются «чайниками», которые взламывают плохо администрируемые системы, в основном благодаря использованию чужих программ (обычно эти программы называются exploit). Причем это мнение тех самых 10% профессиональных кракеров. Такие профессионалы – бывшие хакеры, ставшие на ]путь нарушения закона. Их, в отличие от кракеров-«чайников», остановить действительно очень сложно, но отнюдь не невозможно (вспомните того же Митника). Лучше всего, как показывает практика, для установки лучшей безопасности собственного компьютера пригласить в гости… профессионального хакера. И дешевле и в принципе, удобнее. Но и темных лошадок (то бишь кракеров) также ни в коем случае не следует сваливать в одну кучу, обзывая их при этом «ворюгами».

3. Freeker – это телефонный грабитель, выражающий свое несогласие с ценовой политикой телефонных компаний путем выкачивания денег из их Перспективных клиентов и перекладывая их в свой собственный карман.




По стилю поведения всю кракерскую братию можно условно разделить на несколько достаточно шаблонных категорий:

1) вандалы – самая известная (во многом благодаря повседневности вирусов, а также стараниям журналистов) и, надо сказать, самая малочисленная часть кракеров. Их основная цель – взлом системы ради ее разрушения.

К ним можно отнести специалистов в написании вирусов, или «троянов». Совершенно естественно, что весь компьютерный мир ненавидит кракеров-вандалов лютой ненавистью. Эта стадия кракерства обычно характерна для новичков и чаще всего достаточно быстро проходит, если кракеру удается совершенствоваться (ведь довольно скучно осознавать свое превосходство над беззащитными пользователями). Кракеров, которые даже с течением времени не миновали эту стадию, а только все более совершенствуют навыки разрушения иначе, чем социопатами, не назовешь;

2) шутники – наиболее безобидная часть кракеров (конечно, в зависимости от того, насколько злые они предпочитают шутки), основная цель которых – известность, достигаемая путем взлома компьютерных систем и внесением туда различных эффектов-шуток. «Шутники» обычно существенного ущербы не наносят (разве что моральный). В Интернете это наиболее распространенный класс кракеров, обычно осуществляющих взлом Web-серверов, оставляя там упоминание о себе. К шутникам также можно отнести создателей вирусов с различными визуально-звуковыми эффектами (музыка, дрожание или переворачивание экрана, рисование всевозможных картинок и т. п. ). Все это, в принципе, либо невинные шалости начинающих, либо рекламные акции профессионалов;

3) взломщики – это уже профессиональные кракеры, пользующиеся наибольшим почетом и уважением в кракерской среде. Их основная задача – взлом компьютерной* системы с серьезными целями, как-то: кража или подмена хранящейся там информации. В общем случае, для того чтобы осуществить взлом системы, необходимо пройти три основные стадии:

– исследование вычислительной системы с выявлением изъянов в ней;

– разработка программной реализации атаки;

– непосредственное ее осуществление.

Естественно, настоящим профессионалом можно считать того кракера, который для достижения своей цели проходит все три стадии. Можно считать профессионалом того кракера, который, используя добытую третьим лицом информацию об уязвимости в системе, пишет программную реализацию данной уязвимости. Осуществить третью стадию может почти каждый, используя чужие разработки. Но то, чем занимаются взломщики, - это обычное воровство, если абстрагироваться от предмета кражи. К сожалению, у нас, в России, все не так просто. В стране, где большая часть программного обеспечения, используемого пользователями, является пиратским, т. е. украденным не без помощи тех же взломщиков, почти никто не имеет морального права «бросить в них камень». Конечно, взлом компьютерных систем с целью кражи ни в коем случае нельзя назвать достойным делом, но и упрекать кракеров-взломщиков могут только те, кто легально приобрел все используемое программное обеспечение.

Хотелось бы остановиться еще на одном аспекте проблемы. Глубокое непонимание большинством обывателей проблем, связанных с информационной безопасностью в вычислительных системах, с течением времени сформировало некий миф о всемогуществе хакеров и повсеместной тотальной беззащитности компьютерных систем. Отчасти этот миф является реальностью. Действительно, современные вычислительные системы и сети общего назначения имеют серьезные проблемы с безопасностью. Но, подчеркнем, именно вычислительные системы общего назначения. Там же, где требуются обработка критической информации и обеспечение высшего уровня защиты и секретности (например, в военной области, в атомной энергетике и т. п.), используются специализированные защищенные ВС, которые (и это чрезвычайно важно!) в основном изолированы от сетей общего назначения (в частности, от сети Интернет).






Глава 2. Как все начиналось. Хакеры и сеть


2.1. Червь Интернет




1 ноября 1988 г. – это, несомненно, самая печально известная дата в биографии Интернета. Около 18:00 по восточному стандартному времени студент Корнеллского университета запустил в сеть компьютерную программу-червя (worm). Это был первый значительный вирус из всех, когда-либо поражавших Интернет. Почти мгновенно червь поразил компьютеры на территории всей Америки. В течение часа вирус остановил работу многих основных национальных и международных исследовательских центров. К счастью, все пораженные рабочие места (4000-6000 компьютеров) в сумме составляли от 5 до 7 % от общего количества компьютеров, работающих в Интернете. Стоит отметить, что на то время Интернет связывал приблизительно 80 000 компьютеров.

Специалисты из числа оставшихся непострадавших пользователей тут же включились в борьбу с червем. Почти сразу образовалась группа добровольцев под названием VirusNet; ее члены круглосуточно работали над тем, чтобы остановить червя.

Члены VirusNet поддерживали контакт друг с другом по телефону и через сетевые шлюзы, которые червь не мог поразить. Программист из Бостона нашел ошибку в тексте червя, и впоследствии ее использовали для уничтожения вируса. Программист из Чикаго обнаружил, что червь поражает операционные системы Unix благодаря одной из их уязвимых частей, и немедленно предложил способ исправления этого недостатка. В Новом Орлеане несколько программистов создали копию червя на изолированной от сети машине и наблюдали за его активностью. Через 24 часа благодаря объединенным усилиям вирус был остановлен. Через неделю все пораженные компьютеры снова были в рабочем состоянии. Несмотря на потенциальные возможности, скрытые в черве, общий вред, нанесенный им, был минимален.

Червь был первой ласточкой в бесконечной череде последующих. Этот эпизод продемонстрировал всем, что связанный с Интернетом риск – это реальность, и не стоит им пренебрегать.

В скором времени ранее никому не известные «лабораторные крысы», которые уничтожили программу-вирус, были приглашены для выступления на телевидении. После телевизионного интервью последовал «разбор полетов», проведенный должностными лицами из Национального института стандартов и технологии, Агентства оборонных коммуникаций, Министерства энергетики, Лаборатории баллистических исследований, Национальной лаборатории Лоуренса Ливермора, ЦРУ, ФБР и Национального центра компьютерной безопасности.

Червь Интернета взволновал не только сотрудников университетов и правительственных агентств, использующих Сеть, но также и многих представителей деловых кругов, проявлявших к Интернету возрастающий интерес. Вирусы писались и раньше. Компьютеры исправно ими заражались, но в большинстве своем вирусы заносились при помощи дискет. В самом худшем случае пользователь машины должен был переформатировать один-единственный жесткий диск (диск этой машины).

Червь Интернета был первым истинно сетевым червем (networking worm), теоретически способным разрушить большинство компьютерных систем, работающих под управлением операционной системы Unix. Более того, благодаря небольшой модификации, червь мог бы атаковать и системы, разработанные компанией Novell – единственным серьезным конкурентом Unix.

Способ, которым вирус-червь приостановил работу такого большого количества систем, относительно прост.

Проникнув в компьютер, червь заставил операционную систему создать отдельный поток для своей работы. Сначала он занимался поиском внешней сетевой связи. Если связь существовала, червь отсылал копию самого себя на тот компьютер, с которым эта связь была установлена. После этого червь размножался, т. е. создавал другой процесс, являющийся точной копией первоначального. Другими словами, червь создавал точную копию самого себя в памяти компьютера.

Теперь уже две программы-черви требовали обработки операционной системой. Оба червя отслеживали внешние соединения, после чего каждый из них снова копировал самого себя, и теперь операционная система обрабатывала четырех червей. Червь продолжал копировать самого себя при каждом обращении операционной системы к потоку червя.

Понятно, что через некоторое время число копий червя становилось очень большим. Для обработки всех его копий операционная система должна была создавать так много потоков, что никакой другой процесс уже не могла обрабатывать. Операционная система «замораживала» работу пользователей, системных администраторов и в конечном счете прекращала обработку своих процессов.

Студент Корнеллского университета Роберт Т. Моррис-младший, написавший червя, был приговорен к трем годам условного заключения, а также к выплате штрафа в размере 10 000 долларов и 400 часам общественных работ. Он стал первым хакером сети Интернет. По одной из версий он почти сразу раскаялся и попросил своих друзей поместить его рекомендации по уничтожению вируса на электронную доску объявлений. К сожалению, червь привел BBS в негодность раньше, чем кто-либо сумел воспользоваться советами Морриса.

Хотя червь Морриса не принес большого вреда, его появление стало началом новой эры – эры обеспечения безопасности работы сетей.

Так же, как первые угоны самолетов в 1960-х гг. послужили толчком к созданию средств безопасности в аэропортах, так и эта первая попытка «кибертерроризма» открыла новую эпоху осознания необходимости защиты компьютерных сетей, в первую очередь тех, которые связаны с Интернетом. С ростом количества компьютерных сетей, соединенных с Интернетом, увеличивалось и число связанных с этим видов опасностей и, соответственно, средств защиты.




2.2. Потери возрастают




В начале марта 1997 г. Институт средств компьютерной безопасности города Сан-Франциско, представляющий собой международную ассоциацию специалистов по вопросам защиты компьютеров, сообщил данные последнего опроса 249 американских компаний. Результаты опроса показали, что эти компании потеряли более 100 млн долл. из-за преступлений, связанных со взломом средств защиты компьютерной информации. Если умножить эту цифру на число компаний, чья основная сфера деятельности схожа с опрошенными, общая цифра потерь будет исчисляться миллиардами долларов.

Последняя обобщенная и достаточно достоверная информация по этому вопросу публиковалась в 2001 г. Уже тогда цифра потерь приближалась к 20 млрд долл. После этого публиковались данные, которые не отражают картины целиком. Видимо, потери стали настолько огромны, что трубить о них уже просто опасно.

В соответствии с сообщениями независимых источников из Министерства безопасности США (DOD – Department of Defense) к 88 % компьютеров министерства возможен доступ извне. 96 % случаев проникновения хакеров в компьютерные системы этого министерства были обнаружены его специалистами. Становится ясно, что кем бы вы ни были – системным администратором, специалистом по вопросам защиты информации, менеджером по информационным технологиям или создателем Web-страниц – вы должны уметь определить грозящие вам опасности и предпринять соответствующие меры.




2.3. Интернет




В настоящий момент Интернет является самой известной всемирной компьютерной сетью. Точнее, он является связующим звеном для большинства существующих сетей. Интернет состоит из миллионов компьютеров, связанных между собой с помощью общих стандартов и протоколов передачи данных. Протоколы позволяют пользователям всего мира обмениваться друг с другом информацией в различных ее проявлениях. Он включает в себя огромное количество локальных сетей (local-area networks – LAN), принадлежащих промышленным предприятиям, крупным компаниям, учебным заведениям и правительственным учреждениям. LAN – это группа компьютеров, связанных между собой непосредственно или через центральный компьютер, который называется сервером (server). Все эти компьютеры находятся на близком расстоянии друг от друга. Примеры локальных сетей можно увидеть в большинстве компаний мира. У каждого пользователя LAN есть свой рабочий персональный компьютер. Каждый пользовательский компьютер оснащен сетевой картой, тип которой зависит от конфигурации компьютера. Сетевая карта может находиться внутри компьютера (внутренняя), а может быть подключена к порту компьютера (внешняя). Связь между сетевыми картами (а, следовательно, компьютерами) и сервером (или серверами) осуществляется по проводам с помощью электронных устройств. На рис. 1 показана наиболее стандартная конфигурация LAN.










Параллельно с LAN существуют и глобальные компьютерные сети (wide-area networks – WAN), количество которых увеличивается с каждым днем. WAN – это сеть, связывающая индивидуальные компьютеры или даже локальные сети, находящиеся на большом расстоянии друг от друга. Вообще любая сеть, связывающая два компьютера, расстояние между которыми больше мили, является глобальной. Однако зачастую многие сети, связывающие компьютеры, находящиеся в одном здании или квартале, тоже являются глобальными. WAN могут связывать компьютеры, находящиеся в одном городе, а могут соединять компьютеры межнациональной корпорации, филиалы которой находятся в разных частях света.

Интернет не только связывает между собой тысячи сетей, но и соединяет миллионы отдельных пользователей. Чтобы получить доступ к Интернету, они пользуются услугами так называемых фирм-провайдеров. Провайдер услуг Интернет (Internet Service Provider – ISP) – это организация, имеющая один или несколько сетевых серверов, обладающих доступом к Интернету. Каждый сервер ISP поддерживает множество модемов. Пользователи связываются с ISP-сервером по телефонным линиям из своего дома или офиса. После соединения пользователя с ISP он становится по существу удаленным клиентом сервера ISP и пользуется для соединения с Интернетом телефонными линиями и модемом.

Вышеописанный способ соединения применяется частными пользователями в России почти в 95 % случаев. В Европе этот процент ниже – около 50 %.

Существуют также другие способы организации доступа к сети: по выделенным линиям, радиоканалу и т. п. В нашей стране эти способы мало используются частными лицами. Для организаций они подходят больше.

Итак, каждый сервер, соединенный с Интернетом, – это часть Интернета. Иначе говоря, Интернет представляет собой множество соединенных друг с другом серверов LAN, WAN и ISP, через которые осуществляют выход в сеть отдельные пользователи.

Несколько слов о концепции доменов в сети. Имя домена (domain name) вместе с предшествующим ему идентификатором протокола передачи данных (protocol identifier) и любым стандартным префиксом протокола представляют собой базовый универсальный указатель ресурса, или URL (universal resource locator). Пример имени домена – yandex.ru. Этому домену принадлежит все, что начинается с символов yandex.ru, а также все службы домена. Среди различных служб, предоставляемых доменами, отмечу протоколы HTTP (hypertext transport protocol), FTP (file transport protocol), услуги Telnet и т. д.

Например, чтобы попасть на главную Web-страницу сервера jamsa.com, нужно отправиться по адресу http://www.yandex. Аббревиатура «http» сообщает браузеру, что для передачи данных следует использовать протокол HTTP, а символы www обозначают стандарт протокола (protocol-standard). Более того, любая Web-страница, URL которой является расширением адреса указанной выше страницы, содержится в домене yandex.ru. Префикс «ftp» сообщает браузеру, что связь должна Осуществляться именно с помощью этого протокола.

Каждый домен может содержать несколько серверов, а большинство доменов обладают множеством внутренних адресов. Несмотря на то что многие компании название своей Web-страницы начинают с имени домена, это справедливо далеко не во всех случаях. Например, можно зарегистрировать имя вашего домена, как МуСоm-pany.ru. Но если вдруг вам покажется, что адрес http://www.Free-Mail-Service.com/ выглядит привлекательнее, можно зарегистрировать оба имени доменов и высокоуровневых URL с помощью Internik или той организации, которая занимается регистрацией доменов в вашей стране. После этого можно использовать оба имени доменов.

Увеличение количества индивидуальных пользователей, имеющих доступ к Интернету, представляется еще более важным, чем увеличение количества серверов, имеющих выход в Интернет. В течение последних 6 лет число индивидуальных пользователей Интернета удваивается каждые 9 месяцев. В настоящее время число пользователей Сети увеличивается каждый месяц приблизительно на 250 000. В часы «пик» в сети одновременно находятся до 70 млн пользователей одновременно!

Как уже было отмечено ранее, основу Интернетом составляет множество сетей. Любой пользователь может соединиться с Интернетом с помощью телефонных сетей и модема через- ISP или через корпоративный компьютер, подключенный к локальной или глобальной компьютерной сети. Для работы с миллионами пользователей Интернет должен пользоваться некими средствами передачи информации. Как каждая радиостанция ведет свои передачи на уникальной частоте, чтобы не создавать помех для других радиостанций, так и каждый сетевой компьютер должен передавать данные (иначе говоря, связываться с другими компьютерами), используя свою уникальную «частоту». Разумеется, «частота», на которой компьютер передает данные, определяется не так, как для радиостанций.

Для передачи информации компьютеры используют уникальный для каждого сетевого компьютера адрес. Подавляющее большинство сетей управляет передачей данных с помощью метода, называемого коммутацией пакетов (packet switching). Более того, принцип коммутации пакетов используется и в Интернете.

С конца 1960-х гг. технологии начали взрывообразно развиваться и увеличение скорости процессоров стало обычным явлением. Способность процессора обрабатывать команды быстрее и с большей надежностью (robust-ness) (надежность – субъективная характеристика качества выполнения программы) открывала новые перспективы для контроля и передачи информации. С появлением новых способов хранения данных пользователи осознали необходимость объединения компьютеров в сеть – так будет легче обмениваться информацией.

Медленно работающие, тяжеловесные компьютеры очень скоро начали представлять интерес лишь с историко-антикварной точки зрения. К сожалению, проектировщики систем (у которых, похоже, были бы проблемы и при работе с современными технологиями) поначалу просто не знали, каким должен быть следующий этап в развитии компьютерных технологий. Они рассматривали способы создания возможности мгновенного, или почти мгновенного, соединения большого количества компьютеров с одним головным компьютером.

После длительных исследований был предложен так называемый принцип коммутации пакетов – модель передачи сообщений, которая с конца 1960-х гг. легла в основу работы многих сетей, включая сеть Интернет.

В сети, работа которой основана на принципе коммутации пакетов, сетевое программное обеспечение разбивает данные на отдельные части (пакеты). Затем это программное обеспечение отправляет пакеты компьютеру-получателю. Кроме пересылаемых данных, каждый пакет содержит адрес источника (адрес компьютера-отправителя) и адрес назначения (адрес компьютера-получателя). Таким образом, пакет представляет собой как бы контейнер, внутри которого находится часть передаваемой информации, а сверху написаны адреса назначения и источника.

Компьютер-отправитель посылает пакет, используя электронное оборудование и физический канал связи. Первоначально предполагали, что пакет должен «путешествовать» по каналам, которые повторяют физическую структуру сети. Каждый сетевой компьютер должен проверить адрес назначения пакета. Если компьютер не является получателем пакета, то пакет передается дальше по сети к следующему компьютеру.

После того как пакет достигает пункта своего назначения, программное обеспечение компьютера-получателя преобразует все пакеты в один файл данных. Сетевое программное обеспечение каждого компьютера контролирует поток пакетов и распределяет их, отводя каждому тот канал, который окажется свободным. Для этого используется процесс коммутации. Однако этот процесс абсолютно не похож на работу железнодорожных стрелок: для каждого поезда отводится свой путь, контролируется поток поездов и избегаются столкновения.

Если один из каналов выходит из строя или по каким-то причинам становится недоступным, сетевое программное обеспечение старается автоматически перераспределить пакеты на соседние свободные каналы. В устройстве большинства сетей предусмотрено выделение отдельного компьютера для управления процессом движения пакетов. В большинстве случаев сообщения, переданные другими входящими в сеть компьютерами, могут достичь лишь этого управляющего компьютера, который называется сетевым сервером (network server computer). Обычно специалисты употребляют для обозначения сетевых серверов термин «коммутатор пакетов» (packet switch) или, более формально, «процессор интерфейсов сообщений» (Interface Message Processor).

Принципы коммутации пакетов легли в основу подавляющего большинства сетевых коммуникаций. Однако именно коммутация является источником многих проблем, связанных с безопасностью передачи сообщений по сети.

Как было объяснено в предыдущем разделе, сетевой сервер передает пакет по тому каналу, который в данный момент наиболее доступен. В локальных сетях коммутатор передает пакеты, не заботясь о защите информации от доступа извне. Однако, когда информация передается по Интернету, может возникнуть следующая ситуация: при передаче пакета из компьютера, находящегося у вас дома, на компьютер, стоящий у вас в офисе, пакет может пройти сквозь сервер, принадлежащий фирме-конкуренту. В следующих главах вы узнаете, как шифровать сообщения и информацию, чтобы защитить их от перехвата при передаче.






Глава 3. Что необходимо знать для понимания хакинга


В этой главе я постараюсь очень кратко наметить то, что нужно знать хакеру и грамотному системному администратору, на которого легла задача по обеспечению безопасности сети. В рамках данного руководства невозможно описать все эти вещи полностью.




3.1. Языки программирования




Основой хакерства является вовсе не умение картинно сидеть перед экраном монитора, азартно топча клавиатуру, а знание языков программирования. Каких именно? Кратко расскажем о языках, которые используются для хакинга.

Год рождения ARPANET был также годом, когда хакер из «Bell Labs» по имени Кен Томпсон (Ken Thompson) создал Unix. Томпсон был вовлечен в работу по разработке операционной системы, называемой Multics. Multics должна была облегчить использование и программирование ЭВМ, чтобы увеличить производительность работы. Этот проект был выставлен на продажу, но никогда не пользовался таким успехом, как операционная система. Томпсон отказался от среды Multics и начал обыгрывать смесь идей Multics’a со своими собственными.

Другой хакер по имени Деннис Ричи (Dennis Ritchie) придумал новый язык, названный «С», для использования под «изначальным» Unix’oM Томпсона. Подобно Unix, «С» был разработан, чтобы быть естественным и гибким. Интерес к этим инструментам распространился в Bell Labs, и они получили популярность в 1971 г., когда Thompson и Ritchie выиграли тендер на то, что мы теперь называем системой автоматизации делопроизводства для внутреннего использования в фирме.

Традиционно операционные системы писались на ассемблере, чтобы извлечь максимально возможную эффективность (КПД) из хост-машин. Томпсон и Ричи были среди первых, кто понял, что аппаратные средства и технология компилирования стали достаточно хороши, чтобы операционная система полностью могла быть написана на «С», и к 1974 г. среда целиком была успешно перенесена на несколько машин различных типов.

Такого раньше никогда не было, и результаты были впечатляющими. Раз Unix мог представлять одинаковый интерфейс, одинаковые возможности на машинах многих различных типов, то он мог стать средой стандартного программного обеспечения для всех них. Пользователям не надо было больше платить за разработку нового программного обеспечения всякий раз, когда машины устаревали.

Помимо переносимости, Unix и «С» имели еще одну важную силу. Они были сконструированы как философия «для самых тупых». Программист мог легко удерживать полную логическую структуру «С» в своей голове (в отличие от большинства других языков), вместо того чтобы постоянно обращаться к справочникам; и Unix был структурирован как гибкий инструментарий простых программ, разработанных для комбинирования друг с другом в необходимых направлениях.

В начале 1996 г. появился новый язык программирования – «Java». На домашней странице Consortium Java была внесена в список так называемых Мобильных кодов – одного из перспективных направлений развития технологии World Wide Web. И вот в конце 1996 г. на Западе начался бум Java, который к моменту проведения выставки Unix-Expo-96 докатился и до нашей страны. Согласно истории технология Java (кофе) роди-лась из проекта Oak (дуб), основной целью которого была разработка объектно-ориентированных средств описания и коммуникации различного рода электронных устройств. Из-за неудачи Oak в 1994 г. опыт, накопленный в рамках его реализации, было решено применить к продуктам, ориентированным на применение в Интернете. С апреля 1995 г. по сети свободно распространяется Hotjava – интерфейс просмотра страниц World Wide Web для платформ Sun.

Буквально через месяц Netscape Communication – тогдашний законодатель моды в разработке программ-интерфейсов Интернета – покупает лицензию на Java. С этого момента начинается золотое время для этой технологии. В настоящее время Hotjava реализована не только для Sun-. OS и Solaris, но и для многих других платформ и Windows.

Система программирования на Java позволяет компилировать программы для компьютерной платформы, на которой она стоит в том же ключе, как и любая другая, например С или C++. В этом случае основным отличием Java-программ, которые называются Java-applications, является использование библиотеки Java-классов, которые обеспечивают разработку безопасных, распределенных систем. При этом утверждается, что язык позволяет делать гораздо меньше ошибок при разработке программ. Главным при этом является тот факт, что в Java напрочь отсутствует адресная арифметика. Гораздо более интересным является разработка мобильных Java-байт-кодов, которые в терминах Java-технологии называются applets.

Известный в свое время язык программирования Модула-2 был создан Н. Виртом в 1979 г. и впервые реализован на мини-ЭВМ PDP-11. В 1970-х гг. Паскаль получил широкое признание у пользователей ЭВМ и преподавателей, однако первоначально он был разработан для обучения программированию и как язык разработки програмного обеспечения имел много недостатков. В Модуле-2 эти недостатки были устранены, но при этом сохранены логическая структура и характерные черты его предшественника. Кроме того, в Модуле-2 были введены новые мощные языковые средства.

Язык программирования Модула-2 относится к так называемым машинонезависимым языкам. Н. Вирт применил Модулу-2 в написании полной операционной системы для мини-ЭВМ Lilith. Характерной чертой Модулы-2 является раздельная компиляция, позволяющая разрабатывать и хранить в библиотеках программы, которые можно использовать повторно.

Первые версии языка программирования Си++ (тогда он назывался «Си с классами») были разработаны в начале 1980-х гг. Бьярном Страуструпом, сотрудником знаменитой AT&T Bell Labs, где ранее были разработаны операционная система Unix и язык программирования Си. По признанию самого автора языка, Си++ никогда не разрабатывался на бумаге. Проектирование, реализация и документирование новых возможностей происходили фактически одновременно. Единственной целью разработки было создание языка, на котором было бы удобно программировать автору и его друзьям. За основу был взят популярный в среде профессиональных разработчиков язык программирования Си. Первыми средствами, которыми был расширен Си, стали средства поддержки абстракций данных и объектно-ориентированного программирования. Как это принято в AT&T, описание нового языка не было опубликовано сразу. Первыми его пользователями стали сами сотрудники Bell Labs.

Perl. Когда встает вопрос о создании приложений системного уровня, в частности сценариев Web-cepвepoв, на первый план выходит язык программирования Perl -прежде всего благодаря своей проверенности и богатству возможностей. Perl (Practical Extraction and Reporting Language, или, как иногда расшифровывают это название создатель Perl и другие его фанатичные приверженцы, – Pathologically Eclectic Rubbish Lister) является одним из наиболее мощных и популярных языков программирования.

История «Perl» началась в 1987 г., когда человек по имени Ларри Уолл занялся разработкой языка, необходимого ему для решения проблем системного программирования, с которыми он сталкивался как администратор Unix-систем. Несмотря на такое скромное начало, Perl вырос в полнофункциональный сложный язык. Он привлекателен тем, что заполняет разрыв между методами программирования коммандного процессора Unix и С-приложениями, обладая простотой первых и функциональностью последних. Уолл характеризует его так: «Perl – это интерпретируемый язык, оптимизированный для сканирования произвольных текстовых файлов, извлечения информации из этих файлов и печати отчетов на основе этой информации. С его помощью также можно решать многие задачи системного управления. При разработке этого языка целью была не столько красота (небольшой объем, элегантность и оптимальность), сколько практичность (простота в использовании, эффективность и полнота)». Уолл указывает также, что синтаксис выражений Perl находится в полном соответствии с синтаксисом выражений языка С; Perl не ограничивает произвольно объем ваших данных – «если вы располагаете памятью, Perl может загрузить в нее весь ваш файл как одну строку»; рекурсия может быть неограниченной глубины, а кроме того, язык применяет изощренные методы сопоставления с образцом для быстрого сканирования больших объемов данных.




3.2. Почему ломают сети?




Сильными сторонами российских взломщиков по-прежнему остаются коллективизм и взаимопомощь, а также мощный полет воображения, чего в большинстве случаев их западные коллеги лишены. Действуют они дружной толпой (стадом), которой и батьке навалять можно. Рассчитанные по большей части на достаточно инфантильные западные стандарты, системы защиты от взлома лихих и невероятно изобретательных россиян обычно бессильны. Охраннику с резиновой дубинкой нипочем не остановить банду, вооруженную монтировками и гвоздодерами. Как таковой кражей денег со счетов пока занимаются единицы, и то от случая к случаю. Но вот через пару лет с расширением в России компьютерных коммуникаций такие вещи могут быть поставлены на поток. Предвидя такой оборот событий, руководители ФБР и иже с ними уже сейчас поднимают шум и соответственно требуют дополнительных ассигнований. И, как ни странно, наши хакеры выступают здесь в роли добровольных и весьма эффективных помощников.

Несколько лет назад по сети «Фидонет» прошла информация, что некий ее участник забрался в компьютер управления сетью международных спутников «Иммарсат» (обслуживает навигацию, космос, связь, сигналы «SOS» и т. д.). Он не только сам там «погулял», но и выдал в сеть все инструкции и пароли по вхождению в базу данных. Чем это может обернуться для спутниковой сети, пока неясно.

Нахальство наших компьютерных хулиганов не в последнюю очередь обусловлено фактическим отсутствием борьбы с ними на родине. Причем нельзя сказать, что совсем ничего не делается. В 2001 г. вышел специальный указ Президента о защите информации. Россия обязалась сотрудничать с Интерполом в этой области. В начале 1995 г. при МВД было создано специальное подразделение по борьбе с хакерами в количестве восьми человек. По этому вопросу было даже специальное заседание Совета безопасности. Хорошей иллюстрацией эффективности подобных мер является то, что на вопрос корреспондента о результатах поимки злодеев ответственный работник МВД ответил прямо: «Молодой человек, арестовывают и судят у нас по законам, а не по указам».

В 1997 г. ФБР обратилось к правоохранительным органам России. Дело в том, что американские глобальные коммерческие информационные сети, такие как America Online и Microsoft Network, за 4 месяца 1996 г. понесли ощутимые убытки от хакеров, использующих для входа в сеть фальшивые кредитные карточки. Проследив линки, службы безопасности указанных сетей передали всю информацию ФБР, так как было выявлено, что большинство незаконных подключений производится со стороны России. Если честно, то в Интернете определить источник подключения достаточно просто, но дорого (приходится держать дополнительный штат сотрудников). В АОЛ и МСН такие подразделения существуют. Ну и что? Первым делом начинается проверка всех официальных точек входа в сеть, т. е., если в городе имеется официальное представительство сети со своим номером телефона для подключения к конкретной сети, все подключения начинают контролировать автоматически. При этом работает АОН или CID (если набор тональный). Если абонент официально подключен к сети – все нормально. Если номер не определяется – абонента «выкидывает с линии». Если номер телефона не совпадает с базой данных официальных пользователей – соединение автоматически берется на контроль. Не спасает и подключение через Интернет (через промежуточные сети), так как текущий линк всегда фиксируется при соединении (этот момент используется сетью для автоматического роуминга пакетов данных). Только в Москве в 1996 г. было выявлено более 360 человек, незаконно использующих коммуникационные услуги. Тут есть юридическая тонкость – сидя дома, человек совершает преступление на территории США. Требование привлечь их к ответственности в соответствии с законодательством США даже в наши маразматические времена – дикость. Тут можно годами разбираться. Теоретически здесь применимы статьи УК РФ, касающиеся финансовых преступлений, т. е., если хакера нельзя привлечь за взлом сети, его можно привлечь к уголовной ответственности по другим статьям (например, за хулиганство, подделку денежных знаков и т. п.).

На данный момент все выявленные абоненты продолжают гулять по коммерческим сетям через Интернет, чаще всего совершенно не подозревая, что они уже на контроле. В любом случае, для того чтобы бороться с хакерством и его последствиями, надо понять, что в руках и хакеров, и обычных пользователей находится, в принципе, одно и то же оружие. Надо лишь правильно его применять.




3.3. Протокол TCP/IP




Семейство протоколов TCP/IP широко применяется во всем мире для объединения компьютеров в сеть Интернет. Более подробную информацию о протоколах TCP/IP можно найти в RFC (Requests For Comments) – специальных документах, выпускаемых Сетевым Информационным Центром (Network Information Center – NIC).

Каждая машина в сети, работающей по протоколу TCP/IP (IP-сети), имеет уникальный адрес, который присваивается администратором, и все данные передаются и получаются машиной с использованием этого уникального адреса. Вторым, не менее важным параметром, характеризующим машину, является маска подсети – величина, определяющая максимальное число машин, которые могут находиться в одном локальном сегменте сети.

Администратор присваивает IP-адреса машинам в соответствии с тем, к каким IP-сетям они подключены. Старшие биты 4-байтного IP-адреса определяют номер IP-сети. Оставшаяся часть IP-адреса – номер узла (хост-номер). Существуют 5 классов IP-адресов, отличающиеся количеством бит в сетевом номере и хост-номере. Класс адреса определяется значением его первого байта. Из этих 5 классов широко используются только первые три.

Адреса класса «А» предназначены для использования в больших сетях общего пользования. Они допускают большое количество номеров узлов. Адреса класса «В» используются в сетях среднего размера, например в сетях университетов и крупных компаний. Адреса класса С используются в сетях с небольшим числом компьютеров.

Внутри диапазона адресов каждого класса существуют так называемые «фиктивные» или «зарезервированные» диапазоны адресов, данные из которых в глобальную сеть не передаются, и вы можете использовать их для своих целей.










Прежде чем вы начнете использовать сеть с TCP/IP, вы должны получить один или несколько официальных сетевых номеров. Выделением номеров (как и многими другими вопросами) в Интернете занимается DDN Network Information Center (NIC). Выделение номеров производится бесплатно и занимает около недели. Вы можете получить сетевой номер вне зависимости от того, для чего предназначена ваша сеть. Даже если ваша сеть не имеет связи с объединенной сетью Интернет, получение уникального номера желательно, так как в этом случае есть гарантия, что в будущем при включении в Интернет или при подключении к сети другой организации не возникнет конфликта адресов. Адрес для вашей сети может предоставить ваш провайдер. Чаще всего так и делается.

Адресное пространство сети может быть разделено на непересекающиеся части – «подсети», с каждой из которых можно работать, как с обычной сетью TCP/IP. Таким образом, единая IP-сеть организации может строиться как объединение подсетей.

Как правило, подсеть соответствует одной физической сети, например одной сети Ethernet. Использование подсетей необязательно. Можно просто назначить для каждой физической сети свой сетевой номер, например номер класса «С». Однако такое решение имеет два недостатка. Первый заключается в пустой трате сетевых номеров. Более серьезный недостаток состоит в том, что если ваша организация имеет несколько сетевых номеров, то машины вне ее должны поддерживать записи о маршрутах доступа к каждой из этих IP-сетей. Таким образом, структура IP-сети организации становится видимой для всего мира. При каких-либо изменениях в IP-сети информация о них должна быть учтена в каждой из машин, поддерживающих маршруты доступа к данной IP-сети.




3.4. Порты




Взаимодействие между прикладными процессами в сети осуществляется через так называемые порты. Порты нумеруются начиная с нуля. Прикладной процесс, предоставляющий какие-либо услуги другим прикладным процессам (сервер), ожидает поступления сообщений в порт, выделенный специально для этих услуг.

Сообщения должны содержать запрос на предоставление услуг. Они отправляются процессами-клиентами. Например, сервер SMTP всегда ожидает поступлений сообщений в порт 25. Если клиент SMTP желает получить услугу, он посылает запрос в порт 25 на машину, где работает сервер. Данный номер порта является общеизвестным, т. е. фиксированным номером, официально выделенным для услуг SMTP. Подобные общеизвестные номера определяются стандартами Интернета.






Глава 4. Глобальная сеть — место больших возможностей


Никто не станет спорить, что Интернет прочно вошел в нашу жизнь. Он предоставляет в наши руки огромные возможности по передаче информации. Но Интернет стал также и полигоном для испытания самых грозных форм компьютерной заразы, местом, откуда можно попросту украсть интересующую информацию. Через Интернет стал возможным и взлом компьютеров, находящихся на данный момент в сети.

Для доступа к информации компьютера, находящегося в сети, используется множество способов, но все их можно подразделить условно на две большие группы:

– взлом «снаружи». Взлом с использованием удаленного доступа;

– взлом «изнутри». Взлом с помощью какого-либо ПО, находящегося на взламываемом компьютере.

Для того чтобы понять, что такое взлом «снаружи», нужно иметь понятие о так называемых портах (см. выше). Для обнаружения уязвимостей применяется сканирование портов. Обычно вы можете определить факт сканирования портов вашей системы путем простого анализа регистрационных журналов. Большинство сканеров сканируют сеть в поисках какой-то определенной уязвимости. Если вы замечаете в регистрационных журналах записи, указывающие на попытку установить соединение на один и тот же порт большинства ваших систем с одного адреса, это указывает на такое специализированное сканирование.

Вероятнее всего, злоумышленник имеет готовый экс-плойт для какой-то определенной уязвимости и обследует сеть в ее поисках. Если поиск будет удачным, он попробует применить эксплойт.

После того как вы определили факт сканирования, следующий вопрос, которым вы задаетесь: «Смогли ли они проникнуть внутрь?» Большинство современных экс-плойтов основано на переполнении буфера (известном также как срыв стека). Говоря простым языком, переполнение буфера возникает, когда программа (как правило, демон) получает на вход данные большего размера, чем ожидалось, перезаписывая критичные области памяти. В результате выполняется некоторый код, дающий права привилегированного пользователя (Администратора).

Взлом «изнутри» использует несколько иные механизмы. Для его осуществления на взламываемый компьютер нужно внедрить некое ПО, которое должно быть хоть раз запущено. С помощью таких программ можно получить доступ к управлению или информации на компьютере.

Обычно такие файлы либо внедряются в состав обычных пользовательских программ, либо побуждают пользователя запустить полученный из сети файл. Файл может быть получен по электронной почте или скачан из Интернета. Суть от этого не меняется. Основная цель злоумышленников после внедрения такого ПО на компьютер пользователя – запуск этого файла. И тут пользователь чаще всего сам помогает хакеру, запуская непонятный файл, благо, способов обмануть его, наивного, очень много. Таким же образом часто распространяются и вирусы (хакерские программы – по сути тоже вирусы, называемые троянами).

Вот с такими противниками нам придется столкнуться. Главное, что нужно сделать для защиты информационной системы от внешних и внутренних угроз, – выработать корпоративную политику. Обдумайте, чего вы хотите добиться и как можно достичь поставленной цели; составьте ясный документ, посвященный политике защиты. Регулярно проводите занятия с сотрудниками, повышая их образовательный уровень и степень информированности обо всех аспектах информационной безопасности компании. Поверьте, это окупится.

Периодически проводите тестирование и оценку системы защиты, чтобы проверить, насколько внешняя и внутренняя защиты соответствуют корпоративной политике. Работайте только с теми консультантами, которые придерживаются структурированного подхода и не заинтересованы напрямую в результатах тестирования.

Не забывайте и о простых способах физической защиты. Следите за доступом к распределительным шкафам, серверам, комнатам телефонной связи и кроссам точно так же, как вы следите за доступом к вычислительным центрам. Стоит рассмотреть вопрос об использовании услуг сторонних компаний, специализирующихся в области защиты данных; они должны работать в контакте с отделом автоматизации. Эти компании могут оказаться лучше подготовленными к тому, чтобы следить за защитой ваших данных 24 ч в сутки без выходных. Тогда вам придется передать в чужие руки управление определенной частью своего бизнеса. Стоит ли оно того и как именно это сделать – решать вам.




Несколько советов по защите серверов и машин, использующих сеть.

1. Следует ограничить число людей, имеющих удаленный доступ к управлению вашим Web-сервером, и тщательно следить за этим доступом. Дистанционное администрирование (как и доступ к корневому каталогу) - хороший подарок хакеру.

2. Проверьте, правильно ли сконфигурированы списки доступа и вносятся ли в них каждодневные изменения (такие, например, как добавление новых пользователей и клиентов, удаление старых).

3. Насколько возможно, отделите такую машину от прочих. Можно дополнительно укрепить сервер, отменив все необязательные функции приложений и операционных систем. Если вы не в состоянии это сделать, следует всерьез подумать об использовании сторонних услуг (outsourcing).

4. Установите систему обнаружения вторжений, которая немедленно будет ставить в известность администратора сети обо всех проблемах, требующих устранения.

Помните, что обнаружить хакера – уже полдела; главная задача состоит в пресечении его деятельности.

5. Система должна реагировать на любые необычные события, происходящие на серверах. Невозможно остановить злоумышленника, не зная, что он делает.

6.Неправильно написанные, сконфигурированные и установленные на сервере скрипты Perl и CGI (Common Gateway Interface) могут стать причиной возникновения «дыр» в системе защиты. Этими средствами надо поль пзоваться крайне аккуратно; все скрипты должны проверяться опытными специалистами.

7.Следует обеспечить аутентификацию администраторов. Все большее распространение получают различные биометрические средства идентификации по голосу, отпечаткам пальцев и узору сетчатки, если, конечно, ценность информации достаточно велика (они стоят примерно по 300 долл. в расчете на одного пользователя).

8. Подумайте, не стоит ли снабдить критически важные данные и соответствующие им системные файлы оболочками для обеспечения их целостности. Криптографические оболочки вокруг этих файлов позволят не допустить их модификации или внесения вредоносного кода.




Теперь еще несколько советов для укрепления безопасности. Они обойдутся вам очень дешево, но время доказало эффективность этих мер.

1. Выясните о нанимаемых на работу людях несколько больше, чем можно узнать из их резюме; особенно это касается таких критически важных должностей, как системный администратор. Подумайте о введении системы психотестов, которые позволят выявить этические принципы кандидатов, их особенности.

2. Рассмотрите вопрос о снятии дисководов и CD-ROM с пользовательских ПК. Это затруднит сотрудникам установку своего собственного программного обеспечения и компьютерных игр, помешает им заражать систему вирусами и «выносить» из компании закрытую информацию. Такая мера позволит избежать и еще одной угрозы для информационной безопасности – диски, разбросанные на столе сотрудника, легко могут пропасть.

3. Установите безопасную блокировку компьютера при появлении экранной заставки – это поможет обезопасить компьютеры пользователей, которые забывают их блокировать, когда уходят со своего рабочего места.

4. Предоставляйте администраторские права только тем людям, которым они реально нужны. Помните, что каждый раз, когда вы даете такие привилегии, в системе защиты появляется еще одна потенциальная «дырка».

5. Уничтожайте или сжигайте важную закрытую информацию: списки персонала, идентификационные имена сотрудников, сводки отдела кадров, папки с данными о клиентах, памятки руководства, схемы сетей и вообще все, что может представлять интерес для злоумышленников.

6. Мусорные контейнеры должны находиться на территории организации; в противном случае злоумышленник не устоит перед соблазном в них порыться.

7. Постарайтесь, чтобы сотрудники компании стали вашими союзниками в борьбе за корпоративную безопасность. Попробуйте реализовать программы партнерства: пообещайте вознаграждение тому, кто обнаружит недочеты в системе безопасности или уличит кого-либо в недобросовестности. Не увлекайтесь этим советом – это может подорвать атмосферу в коллективе.

8. Внимательно изучайте все продукты, обеспечивающие информационную безопасность. Убедитесь, что они работают именно так, как было обещано производителем. Подумайте, можно ли укрепить систему защиты, не устанавливая новый продукт, который потребует от вас определенных усилий.

9. Уполномочьте кого-либо из сотрудников принимать оперативные меры в случае угрозы информационной безопасности – от аварийной остановки Web-сервера до вызова охраны для удаления проштрафившегося сотрудника за пределы организации.




4.1. Как обманывают провайдера?




Для хакера выбор провайдера – это отправная точка, с которой он начинает свой путь по стезе порока. Хакеры, как правило, глупыми не бывают. Как говорили на Диком Западе, «либо ты быстрый, либо мертвый». Так же и тут: либо умный, либо совсем даже и не хакер. Однако наличие ума не означает отсутствия лени, и вот таких ленивых хакеров и должен отлавливать провайдер, чтобы не позволить им грабить нормальных клиентов фирмы и распугивать всю клиентуру.

Разумеется, хакеры учитывают то обстоятельство, что практически все провайдеры требуют идентификации их личности (Ф.И.О., паспортные данные и т. д. ), и принимают различные меры предосторожности.

Ни один хакер никогда не станет регистрироваться под настоящим именем, ибо неизвестно, к кому могут попасть его данные и для чего их могут использовать. Самым простым способом является простейшая подделка документов – хакер при регистрации у провайдера предъявляет некий документ со своей фотографией и фальшивыми данными. Для убедительности ставится печать (берется у друзей, можно вообще сделать ее – любая печать в Москве стоит порядка 50 долл.) – лучше государственного образца. Этот документ может гласить, что имярек – охранник, работник прокуратуры, сотрудник ФАПСИ (ФСБ, МВД) или просто какой-либо сотрудник какой-либо фирмы.

Для начала хакер берет любую телефонную базу, например КОТИК или ее Online-версию: http:// www.xland.ru:8088/tel_win/owa/tel. form, и вводит любую выдуманную им фамилию. Он не станет вводить тривиальные фамилии вроде Иванов, Петров, Смирнов, Андреев, Алексеев и т. д. Как правило, берется что-то не совсем обычное, первое, что приходит в голову: Левашов, Дубинин, Авдотин и т. п. Плюс ко всему необходимо выдумать левые паспортные данные: серию, номер, кем выдан, когда.

Далее злоумышленник едет в контору к провайдеру (чаще всего он хочет зарегистрироваться с утра (стать их клиентом) и, когда доходит до паспорта (иногда достаточно просто вписать паспортные данные, не предъявляя его), говорит, что не взял его (мол, никто и не говорил по телефону, что нужен паспорт). Но он наизусть помнит свои паспортные (левые, естественно) данные. Для убедительности он может показать свое удостоверение. Как правило, сотрудницы, сидящие на оформлении документов, на такое соглашаются, и отныне ваш сервер находится под постоянной угрозой влома. Если номер «не прокатит», несостоявшийся клиент уходит с обиженным видом и угрозами: мол, ноги моей больше не будет в вашей гнилой конторе.

Умный хакер, если хочет сохранить свою конфиденциальность при работе с Интернетом, прежде всего удостоверяется в отсутствии аппаратуры АОН у провайдера (теперь это редкость, но бывает чаще, чем вы думаете. Для этого производятся контрольные звонки на рабочие (именно рабочие, а не тестовые линии – их телефоны узнают заранее у провайдера или из других источников) телефонные линии, например с сотового телефона, с телефона-двойника, с таксофона или с телефона, который гарантированно не определяется системой АОН. АОН засвечивает себя характерным щелчком и звуковым сигналом, как правило, после первого гудка (т. е. он снимает трубку, а далее уже идут гудки, выдаваемые самими АОН и по тональности, как правило, отличающиеся от первого гудка).

Если АОН есть, но хакеру все же надо остаться анонимным, то он воспользуется АнтиАОНом. Функции АнтиАО-На присутствуют практически во всех телефонных аппаратах с АОН (например, в аппаратах «Русь» или в «Phone Master»). Аппаратура АОН имеется у всех провайдеров, использующих модемы «Zyxell» (например, «Deol»), у всех провайдеров, производящих оплату в кредит (МТУ-Ин-форм, ГОТ и др.). Это не самая дорогая аппаратура, однако она помогает моментально вычислить паршивую овечку в стаде Интернет-клиентов.

Некоторые провайдеры (например, «Россия Он-лайн») предлагают (или прилагают к купленному модему, компьютеру и т. д.) пакет ПО, документацию и некоторое количество часов бесплатной работы в Интернете (как правило, 5-10 ч). Другие провайдеры (например, «СИТЕК») просто продают запечатанный конверт, в котором находится имя, пароль и определенное количество часов работы в Интернет. Это, пожалуй, самый безопасный вариант, где хакер никоим образом не засвечивает свои данные. Ну и разумеется, продающиеся сейчас в большом количестве Интернет-карточки значительно упрощают жизнь хакера.




4.2. Кто и как нас ломает?




На глобальную сеть Интернет постоянно совершаются нападения, причем на разные серверы. В связи’ с этими «виртуальными сбоями» страдают и обычные клиенты, и солидные фирмы. Чем грозят пользователям эти взломы?

Например, потерей денег. Но иногда это более серьезный удар – удар по престижу фирмы. Так, недавно при невиннейшей, на первый взгляд, попытке узнать через Интернет текущие котировки ценных бумах мы заглянули на страничку некой весьма солидной компании, назовем ее «Альфа-Бета». Каково же было наше удивление, когда вместо сухих и привычных сводок мы обнаружили картинки весьма фривольного, мягко говоря, содержания. А жестче – прямую и неприкрытую порнографию.

Но каким образом такое могло произойти? У каждого пользователя Интернета есть свой адрес, например www.microsoft.com – адрес компании «Microsoft». При взломе меняется адрес, соответствующий интернетовскому имени пользователя, а его собственное имя присваивается другому адресу, и с этого момента все сообщения идут по ложному адресу. В нашем случае хакеры заменили слово в имени «ИнфоАрт» (www.ritmpress.ru) на имя сервера, где находится порнография, на, извините, www.free.ru. Поэтому те, кто интересовался в Интернете погодой или финансовыми новостями через привычный сервер, наталкивались на… хм, ну, понятно, что. Неприятности, которые, согласитесь, можно пережить. Но, к сожалению, сам факт «перемены адресов» в Интернете может иметь значительно более серьезные последствия. Что означает на самом деле взлом сервера и изменение адреса? Что конкретно еще могут сделать такие злоумышленники? Можно взять и создать липовую фирму в Интернете, при помощи которой каждый из нас как будто бы может заказать себе авиабилеты на нужный рейс в любую точку земного шара. Фирма вроде бы и есть, но реально она никаких услуг не оказывает. Мы перевели деньги на счет несуществующей компании и после этого можем до бесконечности долго ожидать, когда же эти самые билеты окажутся у нас на руках. В это время наши деньги уже давно перекочевали на счет компании-«призрака».

Взломав сервер, можно выйти и на банковскую компьютерную систему, подключенную к Интернету. Но, слава Богу, не все банки работают в режиме он-лайн. А что, если какому-нибудь «взломщику» придет-таки в голову мысль «исправить» счет банка? И все наши денежки потекут по компьютерным сетям на какой-то совсем другой счет, в какой-нибудь банк далекой Швейцарии?

В принципе, Интернет – огромный сборник разнообразной информации. На Западе пользователи сети уже дожили до того, что заглядывают в глобальную сеть по любому бытовому поводу: купить что-нибудь (от пиццы до квартиры), заказать гостиницу на отдых, найти по вакансиям новое место работы, получить биржевую сводку и т. д. В этом случае кровно заинтересованные персоны-хакеры – могут, взломавши сеть, несколько исказить информационные данные. Например, завысить вполне приемлемую цену музыкального центра «Sony» в каком-нибудь магазине бытовой техники. Или вы можете произвести проплату покупки на никому не известный счет. А еще лучше забронировать себе номер в отеле «Крийон», приехать в Париж и выяснить, что вас там совсем не ждали. Каково? В общем, «виртуальные» диверсии в Интернете пока нам ничем таким серьезным еще не угрожали, но прецедент создан – сеть взломана. Значит, никто не гарантирован от иезуитского вмешательства на любом сервере Интернета.

Существует определенная методика взлома сетей. Разумеется, они недоступны без пароля. А поэтому хакер прежде всего проникает в известное ему место и выискивает там работающий пароль к сайту, который хочет взломать. Затем он должен войти в этот сайт, например так: http: //www. chat.ru/index. html. Удаляет слово index.html и набирает, скажем, .htaccess, например www.chat.ru/.htaccess. Если ему повезет, он получит следующее: AuthUserFile/www/chat. ru/.htpasswd ‹ – место, где лежит файл с паролями AuthGroupFile/dev/null ‹ – место, где лежит groupfile AuthName Chat Only Directory ‹ – место, где находится popup, который просит его ввести password/login AuthType Basic ‹ – другие типы авторизации apache btw Limit GET POST PUT ‹ – require valid-user ‹ -




Но реально все это не нужно для начала. Если. htaccess прошел сразу, вместо него пишут. htpasswd и все ОК.

Находят passwordfile (.htpasswd). Удаляют, htaccess и вместо набирают (.htpasswd ).

После этого хакер получит файл паролей. Пароли будут зашифрованы. Это будет выглядеть примерно так: ocean: ORJFyfmfoetf. sydgator: 458mLs4euQHwo de-mil: o7ad9QtJIklTY demi2: Fx93hhGP/oTs6Y 233244: ZXEHRGfdsL9E346.

Первое слово – логин, остальное – пароли. Чтобы декодировать пароли, хакеру надо будет сначала скачать программу-декодер. Искать эту программу несложно, она свободно лежит по адресу http: //astalavi-sta. box.sk/.

Сохранив полученные логины и пароли, хакер разархивирует John The Ripper и набирает (предварительно поместив текстовой файл в директорию, где лежит ripper): John xxx. txt-single (это самый быстрый способ и самый простой алгоритм); John xxx. txt-wordfi-le: password. 1st (это посложней); John xxx. txt-incre-mental (это самый сложный алгоритм и занимает время, зато самый надежный). Этим описанием хотелось бы привлечь внимание разработчиков и провайдеров к необходимости разработки более совершенной системы шифровки паролей.

Наш читатель конечно же уже слышал много способов, как утянуть пароли у глупых юзеров, используя различные хитрые, навороченные программки. А вы знаете, как это делают настоящие хакеры? Нет?! А ведь они сами не пользуются никакими специальными программами (да, они их пишут, но не для себя). А знаете ли вы, как они достают пароли пользователей?




Оказывается, глупые юзеры сами готовы рассказать всем свои пароли! Для этого им нужен лишь маленький толчок. Для начала хакеры выбирают свою жертву. Это может быть сосед по лестнице, или друг по чату, или еще кто-нибудь. Выбрав жертву, хакер старается узнать как минимум две вещи, а именно: название провайдера, через которого подключается его жертва, и его логин. Благо, обе эти вещи сильно никем не скрываются и поэтому диалог: – А кто твой провайдер? – Я подключаюсь через провайдера Super Internet Provider, – не вызовет никакого подозрения. Теперь, зная провайдера, хакер узнает логин юзера. Часто (читай: почти всегда) логин пользователя такой же, как и адрес электронной почты, т. е. если электронный адрес пользователя выглядит так: LAMMER@super-provider.ru, то его логин с вероятностью в 99 % будет – «LAMMER».

Теперь, зная провайдера и логин юзера у этого провайдера, настает время узнать e-mail службы поддержки у этого провайдера. Чаще всего этот адрес выглядит как support@super-provider.ru или admin@super-provi-der. ru. И еще, если есть возможность, следует посмотреть хотя бы одно письмо от этой самой службы поддержки, чтобы знать форму обращения к юзеру и всякие стандартные приветствия типа «Здравствуйте, дорогой наш пользователь LAMMER!!!» и прощания. Они нам пригодятся. Шаг второй. Когда хакер знает весь необходимый минимум, приходит время для создания почтового адреса на каком-нибудь бесплатном сервере, так как оттуда можно будет забирать почту бесплатно, не звоня провайдеру, и потому что можно получить адрес с доменом @ru. ru (но это мелочи). Но создает он адрес не от «фонаря». Он не называет свой ящик die_you_lammers@.., а скромненько так пишет support-super-provider(r).., или admin-su-per-provider(r).., или что-нибудь в этом роде (содержащее или название провайдера, или слова admin или support). Итак, сделав все вышеописанное, хакер приступает к самой ответственной части – написанию письма глупому юзеру. В принципе, в письме он может написать любую чушь типа: «Уважаемый пользователь! К сожалению, на вашем счету был обнаружен факт двойного доступа к нашему серверу, т. е. в одно и то же время, используя ваш аккаунт, в систему вошли 2 (два) пользователя. Вследствие чего возникла необходимость в смене вашего текущего пароля доступа к нашей сети. Вам необходимо ответить на это письмо, используя следующий формат: log: ваш логин ор: ваш старый пароль npl: ваш новый пароль пр2: ваш новый пароль em: ваш e-mail Эти сведения должны находиться в начале вашего сообщения. Обратите внимание на то, что новый пароль должен быть повторен дважды! Это необходимо для точной идентификации Вашего аккаунта. Рекомендуется прислать свои сведения до 13.06.2002 г., так как по истечении этого срока возможно отключение вашего аккаунта. Желаем вам успехов! С уважением, администрация сервера http://www.super-internet-provider.ru.

Текст может варьироваться, но требование указать пароль там буде всенепременнейше. Главное, чтобы после получения столь убедительного письма у юзера не возникло желания позвонить голосом в службу поддержки и все выяснить.

У хакеров обычно богатое воображение, они и не такое придумывают. Последний рывок и… После того как текст письма готов, хакер начинает скрупулезно подделывать заголовок письма. В принципе, все очень просто: в строке «от» он пишет: From: «Super Provider Support» support@super-provider. ru. Если юзер вздумает посмотреть, от кого пришло письмо, он увидит РЕАЛЬНЫЙ адрес службы поддержки. В строке «кому» он пишет: То: lammer@super-provider.ru. И теперь самое интересное: в строке «ответить туда-то» находится следующее: Reply-To: «Super Provider Support» support-super-provider@ru.ru. Видите, «support-super-provider@ru. ru» – это адрес хакерского мыла (который он создал), и при ответе почтовая программа отправит именно по этому адресу. В теме письма пишут что-то типа Subject: Внимание. И в целом заголовок письма выглядит следующим образом: Reply-To: «Super Provider Support» From: «Super Provider Support» To: lammer@super-provider.ru Subject: Внимание. Date: Tue, 13 Jim 2000 13:13:13 +0000 MIME-Version: 1. 0 Content-Type: text/plain; charset= «koi8-r» Content-Transfer-Encoding: 8bit. Дальше идет служебная информация. Заканчиваем наше занятие! Все! Отправляем письмо.

Вот и все… Ах да, вот еще что: пароли можно добывать не только у провайдера. Как говорится, «легко изменив текст письма», можно «попросить» пользователя выслать пароли от своего почтового ящика и т. д. Смех смехом, но срабатывает в поразительном числе случаев. Для достижения наилучшего результата рассылают письма не одному адресату, а нескольким – кто-нибудь да клюнет.

Впрочем, подобрать секретный ключик к сердцу вашего компьютера можно и не прибегая к уловкам и ухищрениям, а с помощью простого и грубого, по-своему даже «честного», взлома. Люди, считающие себя «честными взломщиками», даже придумали для себя весьма удобную философию. Мол, во все времена были люди, которые старались что-либо утаить от других. И были и другие: те, которые с этим были не согласны и поэтому всячески старались тайны первых узнать – такова уж человеческая сущность. И вот придумали первые вход в Интернет с паролем, ибо денег плочено за него немерено, а вторые сразу начали этот пароль отыскивать всеми возможными и невозможными способами.

Стадия первая: пароль пользователь мог выбирать сам. Безусловно, с одной стороны, это было удобно: если сам слово это заветное придумал, то уже не забудешь никогда (если только пребывал в этот момент в здравом уме и твердой памяти, но это уже к делу не относится). Пароль же выбирался не просто так: для указанного пользователя он обычно нес определенную смысловую нагрузку. И в этом было слабое место данного метода.

Теперь только в дешевых фильмах увидишь некоего гражданина, копающегося в мусорной корзине своей будущей жертвы в надежде узнать имена, фамилии, даты рождения всех родственников таковой вплоть до десятого колена, а также всех их собак, кошек, крыс, хомяков и прочей живности. И не без успеха! А как же еще: что вам, например, первым приходит на ум? Конечно, имя вашей (или не вашей) подруги или кличка вашей собаки, ну, или слово какое непотребное (но это уже от воспитания зависит).

Наиболее продвинутые хакеры начали даже составлять специальные словари с учетом слов, наиболее часто встречающихся в паролях. Все это в конце концов положило конец первой стадии, и началась вторая: теперь пароль выдает компьютер, т. е. генерирует некоторую псевдослучайную последовательность букв, цифр и разных знаков препинания. Хорошо-то как стало: «tLka70PLp» – ну-ка подбери! Но тут возникла другая проблема: а поди-ка запомни!




Пользователи начали их на бумажках записывать, ну и периодически бумажки терялись (бумажкам это свойственно), похищались, попадали в мусорную корзину и так далее – от чего ушли, к тому и пришли! И тогда оказалось, что пароль можно хранить не в голове, а прямо на жестком диске. В DialUp-окне галочку поставить и запомнить пароль. Мозги у компьютера кремниевые – ему все равно, что запоминать. А раз запомнили, то, само собой, и записать надо. А раз записали, то… правильно: можно и подсмотреть.

На этом наше лирическое вступление заканчивается, и начинается уже сугубо технология. Где хранятся пароли в Windows? Зашифрованные пароли в Windows 95, как известно, хранятся в основном каталоге, в файлах с расширением PWL. С учетом того, что не только «у нас здесь», но и «у них там» бывают персональные компьютеры коллективного пользования, да и сети локальные местами встречаются, на каждого пользователя заводится свой PWL.

Кстати, название файла соответствует логину данного пользователя. Зашифрованы эти файлы, в принципе, достаточно прилично. Если кому-либо интересно, то, взяв в руки какой-нибудь дизассемблер (HIEW, QVIEW), можно посмотреть процедуру шифрования. Она находится в файле MSPWL32. DLL. в версии OSR2pus со смещением 488(hex). Вот уж где накручено! Имеется счетчик (назовем его N) от нуля до «сколько надо». Имеются три таблицы. В соответствии со счетчиком N берется байт из первой таблицы (X). По смещению X+N, урезанному до 8 бит, из второй таблицы берется другой байт (Y). Затем по адресу X+Y, опять же урезанному до 8 бит, из третьей таблицы берется третий байт (Z). После столь хитрых манипуляций командой XOR с байтом Z шифруется байт информации, после чего счетчик инкременти-руется и все повторяется сначала. Кстати, таблиц на самом деле может оказаться и две, и одна (используются несколько раз на разных этапах). Расшифровывается все это аналогично (и той же процедурой), ибо команда XOR обратима. Если же у вас стоит какая-то другая версия Windows, не 95 или 98, то это дела принципиально не меняет. Видели хакеры лилипутов и покрупнее.

Не знаю уж, в чьих нездоровых мозгах могла появиться мысль использовать для шифрования команду xor byte ptr [eax+ebp], cl. Может, запутать хотели? Но команда уникальна, такие команды в обычных программах еще поискать надо. Стало быть, ищем соответствующую ей комбинацию 30h, OCh, 28h – и все дела. Дальше – просто. Берем MSPWL32. DLL и со смещения 511 h (или там, где найдем) ставим 90h, 90h, 90h – команды NOP (пустая операция). И все! – команда не выполняется! Что при этом произойдет? Как ни странно, ничего страшного и даже не очень страшного. И даже никто ничего не заметит!!! Все останется как всегда, с одним лишь исключением: ВСЕ логины/пароли будут видны, так сказать, невооруженным глазом!

Тут, правда, есть два неприятных момента. Во-первых, во время работы Windows вам не удастся подобным образом надругаться над их «святая святых»: писать в этот файл нельзя. Значит, придется перегружаться в режиме эмуляции MS-DOS, а это лишнее время, которого может не быть. Во-вторых, а это еще хуже, вам надо будет стереть все PWL’bi, иначе даже в Windows не пустят: а вот тут у законных пользователей могут возникнуть лишние вопросы и подозрения.

А можно проще? Без дизассемблеров и «насильственных действий»? Можно! И вот здесь я скажу то, за что (и за многое, увы, другое) Windows 95 иначе, как MustDie, по праву никто не называет. Вы, наверное, думаете, что пароли расшифровываются только тогда, когда это надо, а затем «выжигаются» из памяти «каленым железом»? Ну вот еще… Открытые пароли ПОСТОЯННО хранятся в системе – с момента ВХОДА в Windows данного пользователя и до момента его ВЫХОДА! Вот вам и безопасность. Но этого мало: они доступны ЛЮБЫМ приложениям через API Windows. И вот результат: появляется программа PWLVIEW, которая спокойно показывает вам «всю подноготную» вашей (или не вашей) машины. В том числе и DialUp, и сетевые пароли. Формат выдаваемой информации таков: *Rna\l-e соедине-ние\1-й логин 1-й пароль *Rna\2-e соединение\2-й логин 2-й пароль и т. д.

Да, это все хорошо, но она работает в окне DOS. Но есть еще одна штука, PEEPER называется. Эта идет еще дальше. Пароль, как вы можете заметить, не показывается, вместо него звездочки. Так вот: запускаем PEEPER, запускаем соединение, наводим мышь на звезды и в окне PEEPER видим… правильно, открытый пароль. Вы скажете: у меня нет ни времени, ни возможности ковыряться в чужой машине, нельзя ли стянуть у соседа этот самый PWL, а потом дома разобрать? Можно, только это вам ничего не даст: не будет он у вас работать. Вернее, он ОДИН не будет. Нужно унести еще и USER. DAT. После чего дома «создать» User’a с именем из PWL, заменить свой USER. DAT на цельнотянутый и еще добавить в Windows тянутый PWL. После чего войти в Windows под соответствующим именем и… Дальше в игру вступает PWLVIEW. Я все так и сделал, скажете вы, а вот тот User в Windows с паролем входил, а мне теперь не войти – пароля-то я не знаю. Что делать? Не беда! Уносим ТОЛЬКО USER. DAT! А теперь еще раз: Windows‘95 – MustDie! Как вам известно, кроме интерактивного доступа в Интернет, провайдеры предлагают еще и e-mail. Так вот, чтобы залезть в ваш почтовый ящик, в тот, что у вас на лестнице, нужен ключ (или лом). Чтобы залезть в ваш e-mail, нужен пароль (или виртуальный лом). И тут я скажу откровенно: мало кто из отечественных провайдеров заслуживает доброго слова! Пароль к РОРЗ-ящику всегда и у всех тот же, что и DialUp! «Ну и что?» – спросите вы. А дело в том, что пароль e-mail находится не в PWL’e, а в USER.DAT, и зашифрован он не так сильно, вернее, почти совсем не зашифрован!

Дело в том, что метод «шифрования» сильно UUE-кодирование напоминает, иначе говоря, из трех байтов делают четыре или из восьми битов – десять. Весь исходный пароль разбивается на части по три байта. В результирующей строке на один символ отводится 10 битов. Теперь к каждому байту исходной строки прибавляется ЗОН, если сумма больше, чем 7Ah, то он становится равен ЗОН, а к паре 9 и 10 битов добавляется единица.

Есть исключения. Если общая длина строки пароля не кратна трем, то она дополняется байтами 3Dh. Судя по всему, это ODh (конец строки)+30(1). В конце строки ODh, OAh: стандартное завершение. На мой взгляд подобрать пароль вручную проще, чем написать соответствующую программу: не каждый же день вы эти пароли подбираете! Где находится пароль – смотрите ниже, оттуда его и берем. А принцип прост: запускаем Internet Mail, заходим в Сообщение. Параметры. Сервер. Запускаем REGEDIT и переходим в HKEY_CURRENT_USER?Software?Microsoft?In-ternetMail and News?Mail?POP3?‹Bam сервер›: где и смотрим Password. (*) Удаляем пароль в Internet Mail. Первый подбираемый символ влияет на первый и второй байты, второй – на второй и третий, третий – на третий и четвертый. Теперь подбираем символ так, чтобы первый байт совпал с оригиналом, а второй или совпал, или был самый большой, но меньше оригинала. Аналогично для второго и третьего символов. С подбором третьего символа все четыре байта должны совпасть! Если нет – извините, вы ошиблись.

Естественно, после каждой замены символа нажимаем «Применить». Результат контролируем REGEDITOM, переходя выше/ниже для обновления информации. Когда первые три символа подобраны, возвращаемся к (*) для следующих трех, и так далее до конца. Разумеется, байт(ы) 3Dh подбирать не нужно! После некоторой тренировки на все это уходит меньше 15 минут. А где это счастье хранится? И, кстати, ведь кроме логина и пароля еще многое нужно знать, а откуда? Не звонить же провайдеру? – не надо никому звонить! Все в нем, в USER.DAT.

HKEY_CURRENT_USER?RemoteAccess?Addresses: и мы имеем список подключений. Да, но там ничего не понятно. Правильно! Выбираем байт, которого больше всего, и дешифруем им все остальные (обычный XOR). В результате, в куче всякой ерунды получаем ASCII-строку с номером модемного телефона провайдера.

HKEY_CURRENT_USER?RemoteAccess?Profile -Хподключение›?1Р: со смещения ОСЬ четыре байта задом наперед – первичный DNS, затем еще четыре – вторичный и т. д.

HKEY_CURRENT_USER?RemoteAccess?Profile -› ‹подключение›?юзер: логин. HKEYCURRENTUS-ER?Software?Microsoft?Windows -› CurrentVersion?In-ternetSettings?ProxyServer: Proxy- сервер и порт. Н К Е Y_CURRENT_USER?Software?Microso ft?Internct Mail and News? Mail: ?DefaultPOP3Server: ?DefaultSMTPServer: ?SenderEMail: ?Name: ?Organi-zation: это все и так понятно.

7РОРЗ -г ‹РОРЗ-сервер›: ?Account: ЭТО ПОНЯТНО.

?Password: Ну вот и он!

А что делать, если пользователь – мазохист и не хранит пароли в компьютере, а вводит их каждый раз с клавиатуры? И этому горю можно помочь. Существуют программы типа SPYWIN или KEYBOARD SPY. Они записывают все действия, производимые на компьютере. Достаточно подсадить одну из них и… если вам потом не лень будет разбирать те десятки килобайт, которые будут порождены этими шпионами. Естественно, их можно использовать и для других целей.

Специально привожу пример с последовательностью действий для устаревшей «Винды». Поверьте, в новых версиях (2000 и ХР) тоже можно поломать и прочитать пароли.






ЧАСТЬ ВТОРАЯ. ЗАЩИТА





Глава 5. Защита от сетевых атак


Безопасность информации компьютерных сетей и отдельных компьютеров достигается проведением единой политики защитных мероприятий, а также системой мер правового, организационного и инженерно-технического характера.

При разработке необходимого уровня защиты информации в сети производится учет взаимной ответственности персонала и руководства, соблюдения интересов личности и предприятия, взаимодействия с правоохранительными органами. Обеспечение безопасности информации достигается правовыми, организационно-административными и инженерно-техническими мерами.

Защита корпоративных сетей отличается от защиты компьютеров домашних пользователей (хотя защита индивидуальных рабочих станций – неотъемлемая часть защиты сетей). И прежде всего потому, что этим вопросом занимаются (точнее, должны) грамотные специалисты по компьютерной безопасности. К тому же основа системы безопасности корпоративной сети – достижение компромисса между удобством работы для конечных пользователей и требованиями, предъявляемыми техническими специалистами.

Компьютерную систему можно рассматривать с двух точек зрения: видеть в ней лишь пользователей на рабочих станциях, а можно учитывать только функционирование сетевой операционной системы. Можно считать компьютерной сетью и совокупность проходящих по проводам пакетов с информацией.

Существует несколько уровней представления сети. Точно так же можно подходить и к проблеме сетевой безопасности – на разных уровнях. Соответственно, методы защиты будут разными для каждого уровня. Чем больше уровней защищено, тем надежнее защищена и система в целом.

Первый, самый очевидный и самый трудный на практике, путь – обучение персонала поведению, затрудняющему сетевую атаку. Это вовсе не так просто, как кажется на первый взгляд. Необходимо вводить ограничения на использование Интернета, причем пользователи часто не представляют, чем эти ограничения обусловлены (у них нет такой квалификации), поэтому всячески пытаются нарушать существующие запреты. Тем более что запреты должны быть четко сформулированы. Например, совет не использовать клиентские приложения с недостаточно защищенным протоколом обычный пользователь вряд ли поймет, а вот указание не запускать на своем компьютере ICQ поймет почти наверняка и будет весьма бурно протестовать. Не случайно говорят, что ICQ – цветок на могиле рабочего времени.

В основе комплекса мероприятий по информационной безопасности должна быть стратегия защиты информации. В ней определяются цели, критерии, принципы и процедуры, необходимые для построения надежной системы защиты. В хорошо разработанной стратегии должны найти отражение не только степень защиты, поиск брешей, места установки брандмауэров или proxy-серверов и т. п. В ней необходимо еще четко определить процедуры и способы их применения, для того чтобы гарантировать надежную защиту.

Важнейшей особенностью общей стратегии информационной защиты является исследование системы безопасности. Можно выделить два основных направления:

– анализ средств защиты;

– определение факта вторжения.

На основе концепции безопасности информации разрабатываются стратегия безопасности информации и архитектура системы защиты информации. Следующий этап обобщенного подхода к обеспечению безопасности состоит в определении политики, содержание которой – наиболее рациональные средства и ресурсы, подходы и цели рассматриваемой задачи.

Разработку концепции защиты рекомендуется проводить в три этапа. На первом этапе должна быть четко определена целевая установка защиты, т. е. какие реальные ценности, производственные процессы, программы, массивы данных необходимо защищать. На этом этапе целесообразно дифференцировать по значимости отдельные объекты, требующие защиты.

На втором этапе должен быть проведен анализ преступных действий, которые потенциально могут быть совершены в отношении защищаемого объекта. Важно определить степень реальной опасности таких наиболее широко распространенных преступлений, как экономический шпионаж, терроризм, саботаж, кражи со взломом. Затем нужно проанализировать наиболее вероятные действия злоумышленников в отношении основных объектов, нуждающихся в защите.

Главной задачей третьего этапа является анализ обстановки, в том числе специфических местных условий, производственных процессов, уже имеющихся технических средств защиты.

Концепция защиты должна содержать перечень организационных, технических и других мер, которые обес-печивают максимально возможный уровень безопасности при заданном остаточном риске и минимальные затраты на их реализацию.

Политика защиты – это общий документ, где перечисляются правила доступа, определяются пути реализации политики и описывается базовая архитектура среды защиты. Сам по себе этот документ обычно состоит из нескольких страниц текста. Он формирует основу физической архитектуры сети, а содержащаяся в нем информация определяет выбор продуктов защиты. При этом документ может и не включать полного списка необходимых закупок, но выбор конкретных компонентов после его составления должен быть очевидным.

Политика защиты выходит далеко за рамки простой идеи «не впускать злоумышленников». Это очень сложный документ, определяющий доступ к данным, «характер серфинга в WWW, использование паролей или шифрования, отношение к вложениям в электронную почту, использование Java и ActiveX и многое другое. Он детализирует эти правила для отдельных лиц или групп. Нельзя забывать и об элементарной физической защите – если кто-то может проникнуть в серверную комнату и получить доступ к основному файловому серверу или выйти из офиса с резервными дискетами и дисками в кармане, то все остальные меры становятся совершенно бессмысленными и бестолковыми.

Конечно, политика не должна позволять чужакам проникнуть в сеть, но, кроме того, она должна устанавливать контроль и над потенциально нечистоплотными и неисполнительными сотрудниками вашей организации. Девиз любого администратора системы защиты – «Не Доверяй Никому!».

На первом этапе разработки политики прежде всего необходимо определиться, каким пользователям какая информация и какие сервисы должны быть доступны, какова вероятность нанесения вреда и какая защита уже имеется. Кроме этого, политика защиты должна диктовать иерархию прав доступа, т. е. пользователям следует предоставить доступ только к той информации, которая действительно нужна им для выполнения своей работы.

Политика защиты должна обязательно отражать следующее:

– контроль доступа (запрет на доступ пользователя к материалам, которыми ему не разрешено пользоваться);

– идентификацию и аутентификацию (использование паролей или других механизмов для проверки статуса пользователя);

– учет (запись всех действий пользователя в сети);

– контрольный журнал (журнал позволяет определить, когда и где произошло нарушение защиты);

– аккуратность (защита от любых случайных нарушений);

– надежность (предотвращение монополизации ресурсов системы одним пользователем);

– обмен данными (защита всех коммуникаций).

Доступ определяется политикой в отношении брандмауэров: доступ к системным ресурсам и данным из сети можно описать на уровне операционной системы и при необходимости дополнить программами защиты независимых разработчиков. Пароли могут быть самой ценной частью вашей среды защиты, но при неправильном использовании или обращении они могут стать ключом в вашу сеть. Политика правильного использования паролей особенно полезна при управлении временными бюджетами, чтобы кто-нибудь не воспользовался действительным паролем после того, как временные сотрудники или подрядчики завершили работу.

Некоторые операционные системы предлагают также такую возможность, как квалификация, т. е. вводят минимальный уровень трудности паролей. В этих системах администратор защиты может просто задать правило «Не использовать легко угадываемых паролей». Например, пароль, в котором указаны только имя и возраст пользователя, система не примет. Конечные же пользователи обычно, несмотря на все предупреждения, выбирают самые простые пути. Если им приходится иметь дело со слишком большим числом паролей, они будут использовать один и тот же пароль или задавать легко запоминаемые пароли, или, хуже того, записывать их на листке и хранить в ящике стола, а то и прилепят листок с паролем на монитор.

Изобилие устройств защиты, брандмауэров, шлюзов и VPN (виртуальная частная сеть), а также растущий спрос на доступ к корпоративным данным со стороны сотрудников, партнеров и заказчиков, ведет к созданию сложной среды защиты, трудной для управления. Правила для многих из перечисленных устройств приходится часто задавать отдельно.

По мере того как крупные корпорации продолжают объединяться и поглощать более мелкие компании, среда защиты (и сеть в целом) все чаще принимает бессистемный и многоуровневый характер. Когда это происходит, управлять правилами становится нереально сложно.

Брандмауэры (как аппаратные, так и программные) позволяют определить, кто имеет право доступа в вашу сеть извне. Все брандмауэры реализуют те или иные правила; разница состоит в уровне детализации и простоте использования, обеспечиваемой интерфейсом управления. В идеале брандмауэр позволяет решить три важнейшие задачи:

– задавать правила из интуитивно понятного графического интерфейса;

– управлять доступом вплоть до уровня индивидуальных файлов и объектов;

– группировать файлы и объекты для коллективного применения к ним правил в целях упрощения управления.

На сетевом уровне управлять защитой с помощью правил можно несколькими способами. Один из распространенных способов – с помощью адресации, когда пользователи приписываются к конкретной внутренней подсети для ограничения уровня их доступа. Фильтрация пакетов позволяет пропускать или блокировать пакеты в момент пересечения ими некоторых границ в зависимости от адреса отправителя или получателя.

Системы защиты функционируют на прикладном уровне; в этом случае системы или приложения, которым адресованы пакеты, запрашивают у пользователя пароль, проверяют его и затем предоставляют доступ в соответствии с предопределенными правилами.

Итак, как вы уже поняли, основа любой защиты – системный подход. Для построения действительно эффективной защиты необходимо тщательно продумать ее. Для любого компьютера, «смотрящего» в сеть, критическое значение имеют три вещи:

– брандмауэр;

– антивирус;

– критические обновления для вашей операционной системы.

Это справедливо как для домашнего компьютера, так и для подключенного к корпоративной сети. Давайте подробнее остановимся на каждом из этих пунктов.




5.1. Брандмауэр




Брандмауэр – это средство защиты от вторжения извне и от некоторых видов взлома «изнутри». Брандмауэр – это комбинация аппаратного и программного обеспечения, используемая для защиты сети от постороннего вмешательства. С помощью брандмауэров можно существенно повысить безопасность работы в локальной сети.

В литературе о брандмауэрах можно часто встретить термин компьютер-бастион (bastion host). Название «бастион» происходит от средневекового слова, описывающего стены замка. Бастион-это специальное укрепленное место в стенах замка, предназначенное для отражения атак. Компьютер-бастион – это компьютер, который специально установлен для защиты от атак на сеть.

Проектировщики сетей используют компьютеры-бастионы в качестве первой линии обороны. Компьютер-бастион является своеобразной «заслонкой» для всех коммуникаций между сетью и Интернетом. Другими словами, ни один компьютер сети не может получить доступ к Интернету иначе, чем через компьютер-бастион, и, с другой стороны, ни один внешний (по отношению к сети) пользователь не сможет проникнуть в сеть, минуя компьютер-бастион.

При использовании центрального доступа к сети через один компьютер упрощается обеспечение безопасности сети. Более того, предоставляя доступ к Интернету только одному компьютеру сети, разработчик намного облегчает себе выбор надлежащего программного обеспечения для защиты сети. Большинство сред Unix, включая Linux, хорошо приспособлены для использования компьютера-бастиона. В среде Unix можно установить компьютер-бастион по цене рабочей станции или машины класса «сервер», поскольку операционная система уже обладает способностью поддерживать и конфигурировать IP-брандмауэр. Таким образом, вы сможете сэкономить средства, затрачиваемые на установку маршрутизатора с функциями брандмауэра (т. е. не приобретать дополнительного оборудования для сети, которое может обойтись вам в несколько тысяч долларов). Кроме того, с помощью Unix можно свободно настраивать и просматривать трафик сети.

Большинство компаний предоставляют своим служащим доступ к Интернету. Если сотрудники получают доступ к Интернету, то компании следует позаботиться о том, чтобы соединение с Интернетом происходило через брандмаз’эр. В начале этой главы было сказано, что брандмауэр представляет собой комбинацию аппаратного и программного обеспечения для защиты соединения двух и более сетей. Брандмауэр обеспечивает возможность центрального управления безопасностью сети. Обычно он строится на основе так называемого компьютера-бастиона.

В дополнение к традиционному аппаратному и программному обеспечению брандмауэров для большей безопасности можно воспользоваться экранирующим маршрутизатором, который представляет собой аппаратное и программное обеспечение для фильтрации пакетов данных, основываясь на заданном администратором критерии. Можно создать экранирующий маршрутизатор на базе ПК или компьютера, работающего под управлением Unix.

Первым уровнем защиты от вторжений в присоединенных сетях является экранирующий маршрутизатор, который выполняет фильтрацию пакетов на сетевом и канальном уровнях независимо от уровня приложений. Поэтому экранирующий маршрутизатор позволяет контролировать движение данных в сети без изменения приложений клиента или сервера.




Хотя этот маршрутизатор относительно недорог и удобен в использовании, он не может обеспечить достаточного уровня защиты. Основное его преимущество заключается в том, что он работает исключительно на сетевом и транспортном уровнях модели ISO/OSI.

Однако это палка о двух концах. Для того чтобы действительно защитить сеть от нежелательных вмешательств извне, брандмауэр должен защищать каждый уровень протокола TCP/IP. Основной недостаток экранирующих маршрутизаторов заключается в том, что они осуществляют фильтрование данных, основываясь на недостаточном объеме данных. Ограничения, накладываемые на сетевой и канальный уровни, позволяют получить доступ только к IP-адресам, номерам портов и флагам TCP. Из-за отсутствия контекстной информации у маршрутизаторов могут возникать проблемы с фильтрованием таких протоколов, как UDP.

Администраторы, которые работают с экранирующими маршрутизаторами, должны помнить, что у большинства устройств, осуществляющих фильтрацию пакетов, включая экранирующие маршрутизаторы, отсутствуют механизмы аудита и подачи сигнала тревоги. Другими словами, маршрутизаторы могут подвергаться атакам и отражать большое их количество, а администраторы даже не будут осведомлены об этом. Поэтому для защиты сетей администраторы должны дополнительно использовать другие технологии фильтрования пакетов совместно с применением брандмауэров.

Поскольку брандмауэры предоставляют возможности фильтрации данных на верхних уровнях модели ISO/OSI, а не только на сетевом и канальном, для критериев отбора можно воспользоваться полной информацией уровня приложений. В то же время фильтрация будет происходить и на сетевом, и на транспортном уровнях. Здесь брандмауэр проверяет IP- и TCP-заголовки проходящих сквозь него пакетов. Таким образом, брандмауэр отбрасывает или пропускает пакеты, основываясь на заранее определенных правилах фильтрования.

Как уже говорилось, брандмауэр контролирует взаимный доступ сетей друг к другу. Обычно брандмауэр устанавливается между локальной сетью и Интернетом. Он препятствует проникновению пользователей всего мира в частную сеть и контролирует доступ к данным, хранящимся в ней. Однако важно помнить, что брандмауэр не является отдельным оборудованием или программой, которая сделает все за вас (несмотря на все заверения поставщиков). Он всего лишь предоставляет обширные возможности для максимальной защиты сети от постороннего вмешательства, при этом не создавая особых неудобств зарегистрированным пользователям сети. Для создания самого лучшего брандмауэра достаточно просто физически отключить сеть от Интернета.

Как вы уже знаете, все сетевые коммуникации требуют физического соединения. Если сеть не будет подсоединена к Интернету, его пользователи никогда не смогут проникнуть или атаковать локальную сеть. Например, если компании требуется только внутренняя сеть, которая обеспечивает доступ к базе данных по продажам, и нет необходимости в том, чтобы в эту сеть можно было проникнуть извне, можно физически изолировать компьютерную сеть от всего остального мира.

Необходимость в брандмауэре возникает тогда, когда компания хочет соединить свою локальную сеть со всем остальным миром с помощью Интернета.

Для того чтобы удовлетворить требованиям широкого круга пользователей, существует три типа брандмауэров: сетевого уровня, уровня приложений и уровня схем. Каждый из этих трех типов использует свой, отличный от других подход к защите сети. Рассмотрите отдельно каждый тип. Ваше решение должно учитывать тип и степень защиты, требуемой для сети, а именно это и определяет необходимую конструкцию брандмауэра. Помните, что большинство брандмауэров поддерживают один или несколько уровней шифрования (encryption). Шифрование – это способ защитить передаваемую информацию от перехвата. Многие брандмауэры, которые предоставляют возможности шифрования, защищают исходящие из сети данные, автоматически зашифровывая их перед отправлением в Интернет. Кроме того, они автоматически расшифровывают приходящие данные, прежде чем отправить их в локальную сеть. Используя функции шифрования, предоставляемые брандмауэрами, можно пересылать данные через Интернет удаленным пользователям, не беспокоясь о том, что кто-то может случайно перехватить и прочесть их.

Брандмауэр сетевого уровня – это экранирующий маршрутизатор или специальный компьютер, который проверяет адреса пакетов, для того чтобы определить, пропускать пакет в локальную сеть или нет. Как уже говорилось, пакеты содержат IP-адреса отправителя и получателя, а также массу другой информации, которую использует брандмауэр для управления доступом к пакету.

Можно, например, сконфигурировать брандмауэр сетевого уровня или маршрутизатор таким образом, что он будет блокировать все сообщения, поступающие от определенного сайта конкурента, и все сообщения, отправляемые серверу конкурента из вашей сети. Обычно настройка экранирующего маршрутизатора на блокирование определенных пакетов происходит с помощью файла, который содержит IP-адреса сайтов (мест назначения), чьи пакеты следует блокировать. Когда экранирующий маршрутизатор встречает пакет, содержащий определенный в этом файле адрес, он отбрасывает пакет и не дает ему проникнуть в локальную сеть или выйти из нее. Специалисты по разработке сетей часто называют данный метод «методом черного списка» (blacklisting). Большая часть программного обеспечения экранирующих маршрутизаторов позволяет вам внести в черный список (заблокировать) сообщения от внешних сайтов (другими словами, от внешних сетей), но не от определенных пользователей или компьютеров вашей сети.

Помните, что пакет, поступающий экранирующему маршрутизатору, может содержать любое количество информации, например сообщение электронной почты, запрос Telnet на вход в систему (запрос от удаленного пользователя на доступ к вашему компьютеру). В зависимости от того, как вы составите файл экранирующего маршрутизатора, маршрутизатор сетевого уровня будет предоставлять различные функции для каждого типа запросов. Например, можно запрограммировать маршрутизатор так, чтобы пользователи Интернета могли просматривать вашу Web-страницу, но не могли использовать FTP для пересылки файлов на ваш сервер или с него. Или можно запрограммировать маршрутизатор так, чтобы он позволял пользователям Интернета загружать файлы с вашего сервера на их серверы, но не позволял загружать файлы с их серверов на ваш. Обычно экранирующий маршрутизатор программируется так, что для принятия решения о том, пропустить или не пропустить через себя пакет, им рассматривается следующая информация:

– адрес источника пакета;

– адрес места назначения пакета;

– тип протокола сеанса данных (например, TCP, UDP или ICMP);

– порт источника и порт приложения назначения для требуемой службы;

– является ли пакет запросом на соединение. Если вы правильно установили и сконфигурировали брандмауэр сетевого уровня, его работа будет достаточно быстрой и почти незаметной для пользователей. Конечно, для тех, кто находится в черном списке, это будет совсем не так.

Брандмауэр уровня приложений – обычно это персональный компьютер, который использует программное обеспечение сервера-посредника. Поэтому часто его называют сервером-посредником (proxy-server). Название «сервер-посредник» возникло от слова «proxy» – заместитель, посредник.

Серверы-посредники обеспечивают связь между пользователями локальной сети и серверами присоединенной (внешней) сети. Другими словами, сервер-посредник контролирует передачу данных между двумя сетями. В некоторых случаях он может управлять всеми сообщениями нескольких пользователей сети. Например, какой-либо пользователь сети, обладающий доступом к Интернету через сервер-посредник, будет казаться остальным компьютерам, входящим в Интернет, сервером-посредником (иначе говоря, пользователь использует TCP-адрес сервера-посредника).

В сети сервер-посредник может предоставлять доступ к определенной секретной информации (например, секретная база данных) без передачи (прямым текстом) пароля клиента. Когда вы используете брандмауэр сетевого уровня, ваша локальная сеть не соединена с Интернетом. Более того, поток данных, который перемещается по одной сети, никогда не пересекается с потоком данных, который перемещается по другой сети, поскольку сетевые кабели этих сетей не соединены друг с другом. Сервер-посредник передает отдельную копию для каждого пакета, поступающего от одной сети другой, независимо от того, содержит этот пакет входящие или выходящие данные. Брандмауэр уровня приложений эффективно маскирует источник, от которого исходит запрос на соединение, и защищает вашу сеть от пользователей Интернета, которые могут попытаться получить информацию о вашей частной сети.

Поскольку сервер-посредник распознает сетевые протоколы, можно запрограммировать его таким образом, что он будет отслеживать, какая именно служба вам требуется. Например, сервер-посредник можно настроить так, чтобы он позволял клиентам осуществлять загрузку с помощью ftp-файлов с вашего сервера, но не позволит загружать с помощью ftp-файлы на ваш сервер.

Серверы-посредники предоставляют множество функций доступа, таких как HTTP, Telnet, FTP. В отличие от маршрутизатора, нужно установить различные серверы-посредники для разных сетевых служб. Наиболее популярные серверы-посредники для сетей на базе Unix и Linux – это TIS Internet Firewall Toolkit и SOCKS. Для получения дополнительной информации о сервере-посреднике TIS Internet Firewall Toolkit посетите Web-сайт по адресу http://www.tis.com/docs/products/fivtk/index.html.

Если вы используете сервер на базе Windows NT, то поддержку сервера-посредника осуществляет как Microsoft Internet Information Server, так и Netscape Commerce Server. После того как вы установите сервер-посредник уровня приложений, пользователи вашей сети должны будут использовать программное обеспечение клиентов, поддерживающее работу с сервером-посредником.

Проектировщики сетей создали множество протоколов TCP/IP, включая HTTP, FTP и другие, в которых осуществлена поддержка сервера-посредника. В большинстве Web-браузеров пользователи могут с легкостью сконфигурировать их на поддержку сервера-посредника, используя предпочтения программного обеспечения браузеров. К сожалению, остальные протоколы Интернета не способны поддерживать серверы-посредники. В таких случаях вы должны выбрать приложение для работы в Интернете, основываясь на том, совместимо оно или нет со стандартными протоколами посредников. Например, приложения, которые поддерживают протокол посредников SOCKS, являются хорошим выбором, если вся ваша сеть базируется на SOCKS.

Когда вы устанавливаете брандмауэр уровня приложений, вам следует также оценить, будут ли пользователи вашей сети использовать программное обеспечение клиента, которое поддерживает службы посредника. Брандмауэр уровня приложений предоставляет возможность легко проследить типы и количество передач данных на вашем сайте. Так как брандмауэры уровня приложений устанавливают определенное физическое разделение между локальной сетью и Интернетом, они отвечают самым высоким требованиям безопасности. Однако, поскольку программа должна анализировать пакеты и принимать решения относительно контроля доступа к ним, брандмауэры уровня приложений неизбежно уменьшают производительность сети. Другими словами, они работают значительно медленнее, чем брандмауэры сетевого уровня.

Если вы решите использовать брандмауэр уровня приложений, вам следует использовать в качестве сервера-посредника более быстрый компьютер.

Брандмауэр уровня связи похож на брандмауэр уровня приложений в том смысле, что оба они являются серверами-посредниками. Различие заключается в том, что брандмауэр уровня связи не требует специальных приложений для связи между сервером-посредником и клиентом. Как уже упоминалось, брандмауэры уровня приложений требуют специального программного обеспечения сервера-посредника для каждой сетевой службы вроде FTP или HTTP.

Брандмауэр уровня связи создает связь между клиентом и сервером, не требуя того, чтобы приложения знали что-либо о предоставляемой службе. Другими словами, клиент и сервер сообщаются через брандмауэр уровня связи без сообщения с самим брандмауэром. Брандмауэры уровня связи защищают только начальный этап транзакции и не вмешиваются в ее дальнейший ход.

Преимущество брандмауэров уровня связи состоит в том, что они обслуживают большое количество протоколов. Как вы уже знаете, брандмауэр уровня приложений требует отдельного посредника уровня приложений для каждого типа сервиса, который осуществляется брандмауэром. С другой стороны, если вы используете брандмауэр уровня связи для HTTP, FTP или Telnet, вам не требуется менять существующие приложения или добавлять новые серверы-посредники для каждой службы. Брандмауэр уровня связи позволяет пользователям работу с имеющимся программным обеспечением.

В дополнение к этому брандмауэры уровня связи используют только один сервер-посредник. Как и следует ожидать, использование одного сервера-посредника оказывается значительно легче, чем установка нескольких.

Итак, от теории перейдем к практике. Рассмотрим усиление персональной защиты для вашего компьютера с помощью широко известного Agnitum Outpost Firewall 2.1. Это несомненный лидер среди семейства персональных брандмауэров, неоднократно блестяще подтверждавший свою репутацию. Отмечу, что речь идет не о профессиональном брандмауэре, устанавливаемом на сервере, а именно о персональной защите. Хотя автор имеет опыт использования этой программы и на серверах, все же серверная защита – дело для других программ.

Agnitum Outpost Firewall (http://www.agnitum.com/ products/outpost/) – один из самых молодых представителей данного класса программ. Но, несмотря на свою молодость, является серьезным конкурентом даже для Zone Alarm. He так давно вышедшая из бета-тестирования программа, поселилась на компьютерах у многих пользователей сети Интернет и, похоже, большинство не собирается расставаться с данным программным продуктом.

Широкая популярность программы вполне понятна: мощный файрволл, возможность подключения дополнительных модулей, причем все, что может потребоваться обычному пользователю, уже есть с момента установки, и вдобавок один из решающих моментов при выборе программы – русский интерфейс.

Его можно сравнить с замком на двери вашего дома. Наверняка большинству ваших соседей вы доверяете, не опасаясь, что они вторгнутся в ваш дом, испортят или украдут что-нибудь. Обычно только некоторые из них не заслуживают доверия. Однако, если ваш район является густонаселенным, количество неблагонадежных людей увеличивается.

В Интернете мы наблюдаем сходную ситуацию, только количество соседей исчисляется сотнями миллионов. Лишь небольшой процент от этого количества людей имеет хулиганские наклонности, но это уже много. Outpost Firewall не только закрывает «двери» вашего компьютера, но и делает его невидимым в Интернете. В обычных условиях компьютер пересылает по сети свой адрес. Это как табличка с номером вашего дома или номерной знак вашего автомобиля. Этот адрес могут видеть другие пользователи. Outpost делает его невидимым в Интернете, в том числе и для хакеров: они просто не смогут определить, что ваш компьютер подключен к сети.




Основные достоинства Outpost Firewall:

– защищает компьютер сразу после установки;

– имеет настройки по умолчанию для новых пользователей;

– оптимальная защита действует автоматически во время установки;

– опытные пользователи могут настраивать файрволл по своему желанию;

– делает компьютер невидимым в сети Интернет;

– защищает открытые порты компьютера от вторжений;

– пользователь может назначать перечень доверенных приложений;

– применение подключаемых модулей для повышения функциональности файрволла;

– блокирует рекламные Интернет-объявления (баннеры, или всплывающие окна), которые могут отвлекать вас или замедлять скорость соединения;

– защищает компьютер от контролирования с удаленного узла;

– предупреждает пользователя о попытке скрытого приложения послать «ответный сигнал» хакеру;

– поддерживает все последние версии Windows, сохраняя свои функции в случае обновления системы;

– для своей работы использует мало системных ресурсов и существенно не повлияет на производительность вашей системы;

– Журнал Событий позволяет видеть любое событие, происходящее внутри системы;

– успешно пройдены известные «тесты на уязвимость»;

– многоязыковая поддержка: Outpost Firewall поставляется на 14 языках, в том числе и на русском языке.

– 

Внешний вид программы абсолютно ничем не выделяется среди приложений Windows, все строго. Окно программы разбито на три основные части: полоска главного меню вверху; слева находятся основные компоненты, такие как соединения, лог-файлы и подключаемые модули; справа – информационная панель.

Сразу после установки Outpost Firewall следует заглянуть в «Параметры». Там можно определить, нужно ли запускать программу вместе с загрузкой операционной системы, следует ли защищать настройки паролем, добавить основные приложения, которым потребуется обеспечить возможность доступа в Интернет, установить общие правила для «активных» приложений, разобраться с политикой программы и настроить/загрузить дополнительные модули.

Вместе с Outpost Firewall pro идут б дополнительных модулей – Реклама, Содержимое, DNS, Активное содержимое, Защита файлов, Детектор атак:

– Реклама. Модуль служит для очищения HTML-страниц от навязчивых рекламных баннеров, задача которых по мнению многих пользователей откусить для себя побольше трафика. Метод борьбы довольно прост: либо срезать заранее описанную строчку из html-кода, либо вырезать рисунок по определенному размеру, который вы сами можете задать. Если баннер все равно продолжает раздражать, то для этого есть специальная корзина, в которую обычным переносом его можно отправить;

– DNS. Данный модуль производит сохранения DNS-имен для последующего использования в модуле Активное содержимое;

– Активное содержимое. Этот модуль управляет работой следующих элементов: ActiveX; Java-апплеты; программы на языках Java Script и VB Script; cookie; всплывающие окна; ссылки (referers), т. е. возможность получения URL, с которого перешли на данную Web-страницу. Что следует запретить или разрешить, уже решать вам, но очень рекомендую обратить внимание на пункт «Всплывающие окна». Но не стоит забывать, чем больше запретов на содержимое web-страницы вы установили, тем меньше шансов увидеть ее в том виде, в котором планировал ее автор;

– Защита файлов. Модуль предназначен для организации проверки поступающих на ваш почтовый ящик прикрепленных файлов. Вы можете задать проверку файла на вирусы, либо получить оповещение от Outpost Firewall.

Для каждого типа файлов можно создать свое правило;

– Детектор Атак. Модуль позволяет задать условия, при которых выдается предупреждение, когда на ваш компьютер совершается атака. Существует три основных уровня:

параноидальный уровень тревоги – предупреждение выдается в случае, если обнаружено даже единичное сканирование порта;

обычный уровень тревоги – предупреждение выдается в случае, если осуществляется сканирование нескольких портов или портов с определенными в системе номерами (т. е. в тех ситуациях, которые система распознает как атаку на компьютер); безразличный уровень тревоги – предупреждение выдается в случае однозначной множественной атаки. Для скачивания новых версий компонентов программы с сайта-разработчика удобно воспользоваться системой автоматического обновления, так что у вас всегда будет свежая версия программы.

Итак, если вам необходим непробиваемый персональный брандмауэр с расширенными настройками, полезными подключаемыми модулями и русским интерфейсом, то Outpost Firewall pro для вас.

Outpost Firewall работает со всеми версиями Windows, в том числе и Windows XP. Правда, компания-разработчик требует за все удовольствие 500 руб., но это не повод впадать в отчаяние. Существует бесплатная версия программы, которая лишена некоторых дополнительных функций, но все равно остается прекрасным персональным брандмауэром. Кстати, на мой взгляд 500 руб. вполне реальная сумма для покупки этой программы, особенно тем, кто активно использует Интернет.

Теперь рассмотрим настройку этой программы.

Часть настроек осуществляется непосредственно на стадии установки продукта: Outpost осуществит поиск программ, осуществляющих обмен данными через Сеть, и создаст для них нужные на его взгляд правила. Пользователю предлагается принять данные условия, поставив флаг в переключателе. Список программ, выходящих в Сеть, доступен для просмотра при нажатии кнопки Подробнее.

В показанном на рисунке случае этот список довольно велик. Например, абсолютно не нужно, чтобы, например, Adobe Acrobat без моего ведома соединялся со своим сервером на предмет проверки обновлений, по какой причине и был снят флаг напротив этого продукта: понадобится – включим. Радует, что еще на стадии установки Outpost озаботился созданием правил для всех браузеров почтовых и FTP-клиентов, имеющихся в системе.










На следующем этапе предлагается принять правила для сетевых подключений, если таковые имеются. Любопытство в этом плане удовлетворяется нажатием знакомой кнопки «Подробнее».

Кажущаяся чрезмерная подозрительность Outpost объяснима: если в системе поселился шпионский модуль (помните о взломах «изнутри»?) или другое нежелательное приложение, гораздо проще запретить сетевую активность недруга на самой начальной стадии.

Теперь настроим главные параметры брандмауэра, для чего в меню «Параметры» главного окна выберем команду «Общие» (F2). По умолчанию выбран «Обычный режим» загрузки программы, при котором Outpost включается каждый раз при загрузке операционной системы и размещает свой значок в область уведомлений.

Для загрузки в фоновом режиме следует отметить одноименный параметр секции «Загрузка», а если по каким-либо причинам автоматический запуск брандмауэра нежелателен, достаточно включить опцию «Не загружать».

Все настройки программы можно защитить паролем. Я бы не советовал пренебрегать этой возможностью: безопасность компьютера легкомыслия не терпит.

В секции «Защита» паролем нужно отметить опцию «Включить» и при помощи кнопки «Задать» ввести необходимые символы.

Затем в окне параметров перейдем на вкладку «Политики», где указаны 5 режимов работы программы. Режим «Разрешить» даст свободу всем приложениям, которые не были явно запрещены, т. е. не находились в списке «Запрещенных приложений»; в режиме «Блокировать» будут запрещены все приложения, которые явно не разрешены; режим «Запрещать» однозначно закроет выход в сеть всем приложениям, а режим «Отключить» усыпит окончательно всяческую бдительность Outpost Firewall.

По умолчанию выбран режим обучения: в этом случае пользователю каждый раз предлагается либо принять готовое правило для какого-либо приложения (например, для стандартного e-mail клиента), либо самому создать такое правило, либо безоговорочно запретить тому или иному приложению сетевую активность. Этот режим как нельзя более подходит для подавляющего большинства пользователей.

Теперь о настройке приложений и создании правил. Настройкой приложений ведает одноименная вкладка окна параметров (рис. 3). В разделе «Пользовательский уровень» указаны все приложения, которым разрешена сетевая активность. Но нередко возникают сомнения в том, нужно ли, например, разрешать выход в Сеть для DWWIN.EXE. Чтобы узнать «настоящее имя разведчика», следует выделить имя приложения, нажать кнопку «Изменить» и в выпадающем меню выбрать команду «Создать правило».










В открывшемся окне мне рассказали, что приложение DWWIN.EXE есть не что иное, как Microsoft Application Error Reporting, соединяющееся по протоколу TCP с известным всем сервером. Я предпочитаю обходиться без отправки отчетов об ошибках. Поэтому и запретил запуск DWWIN.EXE командой «Изменить» › «Запретить» запуск этого приложения. Для многих программ в Outpost изначально заложены оптимальные правила. Например, если вы решили установить и запустить Outlook Express, файрволл тут же предложит разрешить активность этому приложению на основе готового правила именно для данного почтового клиента.

Содержание готового правила нетрудно просмотреть, если пройти знакомым путем: кнопка «Изменить» › команда «Создать правило». Например, для программы CuteFTP Pro файрволл разрешает исходящее соединение для удаленного FTP-сервера по протоколу TCP.

Теперь попробуем на двух конкретных примерах создать правила для приложений. При запуске известного Р2Р-клиента eMule файрволл предлагает пользователю сделать выбор, что делать с этим приложением. В данном случае «ослик» стремится соединиться с IP-адресом 207.44.142.33 через порт 4661 (рис. 4.).










Представим, что это не eMule, а некая программа, которой разрешено выходить в Сеть, но не на всякий адрес. Тогда выберем единственный параметр «Другие» и нажмем кнопку «ОК», после чего откроется окно создания правила с описанием того, что именно пыталась сделать эта программа.

Разумеется, показанная активность mule абсолютно нормальна, более того, нами приветствуется, посему выберем «Разрешить эти данные», после чего у нас будет правило вида EMULE Правило# 1, описывающее и разрешающее именно этот тип активности приложения (рис. 5).










В следующий раз, если активность будет иного рода (другой удаленный адрес, протокол или порт), нужно будет эти манипуляции повторить.

Если же сетевая активность, которая запрашивает выход в Сеть, недопустима (например, нас не устраивает удаленный адрес), то в диалоге редактирования правила следует выбрать «Блокировать». В следующий раз (в нашем примере – в случае другого, угодного IP-адреса) мы можем создать правило, напротив, разрешающее такую активность. В конце концов, когда приложение исчерпает все виды своей типичной активности, у нас будут созданы все правила, описывающее это приложение.

Другой пример: бдительный Outpost предупредил меня о том, что компьютер пытается установить соединение по так называемому IGMP-протоколу с удаленным адресом 224.0.0.22 и предлагает мне подтвердить его право на это. С одной стороны, у меня нет оснований не доверять Outpost, с другой – здесь уже есть над чем подумать.

В данном случае моя операционная система посылает так называемый «широковещательный» пакет с целью сообщить всем компьютерам моей локальной домашней сети о включении моего компьютера, и не более того. Если же у вас нет сети и ваше подключение к провайдеру осуществляется напрямую, то этот пакет и сообщение предназначены именно провайдеру. Другими словами, это не что иное, как активность Windows. Если у вас постоянный IP-адрес и вы не хотите, чтобы в вашей сети знали, что вы «вышли в свет», то такую активность лучше запретить. Что касается адреса 224.0.0.22, то это стандартный адрес, используемый Windows в данном случае: программа маршрутизации периодически посылает запросы рабочей группе для запроса принадлежности той или иной машины к данной локальной сети.

Перейдем к настройке сетевых параметров. Вкладка «Системные». По умолчанию Outpost автоматически находит и применяет новые настройки сетевых подключений, разрешая все NetBIOS-соединения. Доверять или нет тому или иному локальному адресу – решать вам (секция «Настройки Сети»).

В секции «ICMP» › «Параметры» расположены настройки для сообщений протокола ICMP, которые передаются при возникновении различных ситуаций, в том числе и ошибочных. Они генерируются программами, анализирующими состояние Сети, в том числе ping и traceroute. Для нормальной работы в Интернете нужно обеспечить прием трех типов ICMP-сообщений («эхо-ответ», «получатель недоступен» и «для датаграммы превышено вре-мя»),и отправку двух («получатель недоступен» и «эхо-запрос»). Прием и отправку остальных сообщений желательно отключить – тогда они будут заблокированы.

Outpost по умолчанию использует именно эти настройки, поэтому ничего перенастраивать не придется. Однако, если вы опытный пользователь и вам необходимо разрешить прием или отправку заблокированных файрволлом ICMP-сообщений, вы без труда сможете это сделать одним щелчком мыши в соответствующем окне настроек (рис. 6).










Режим невидимости включен по умолчанию (секция «Режим работы»), а параметры для редактирования общих правил расположены в одноименной секции. По моему скромному мнению нужды изменять общие правила, заложенные разработчиками, нет.

Как уже говорилось выше, Agnitum Outpost Firewall имеет модульную структуру, т. е. имеет возможность подключать какие-то исполняемые модули. Рассмотрим настройки основных плагинов.

Модуль «Интерактивные элементы» умеет блокировать нежелательные элементы ActiveX, Java-аплеты и всплывающие окна (по умолчанию разрешено все). Для вызова настроек следует выделить название данного модуля и выбрать команду «Свойства» контекстного меню (рис. 7). Там же можно запретить вызов неугодных URL: вкладка «Исключения» › кнопка «Добавить».

Плагин «Детектор атак» включен по умолчанию и является одним из главных и самых полезных инструментов данного файрволла. В контекстном меню выберем команду «Параметры» и откроем окно настроек детектора атак. При помощи движка установим один из трех уровней тревога, при котором программа выдаст предупреждение.










По умолчанию выбран уровень, при котором атака распознается при сканировании нескольких портов. Нелишне отметить опции «Блокировать атакующего», «Блокировать подсеть атакующего» и «Блокировать локальный порт, если обнаружена DoS-атака». Вся информация о попытках подключиться к вашему компьютеру будет отображаться в информационной панели справа. Рассмотрим более подробно два примера из практики.

Если Outpost информирует о запросах на соединение, но показывает нулевые значения для атак и сканирований портов, можно не беспокоиться – это обычная сетевая активность. Конечно, компьютер локальной сети с показываемым в сообщении адресом может быть заражен вирусом. Но это не атака.

Но не всегда жизнь столь безоблачна: на рис. 8. (скриншот из предыдущей версии программы) показан пример реальной атаки RST, причем Outpost мгновенно выдает информацию об IP атакующего и реальном URL.










Настройки модуля «Реклама» дают возможность блокировки рекламы как по HTML-строкам, так и по размеру баннеров (по умолчанию оба параметра включены). Инструмент «Корзина» для рекламы удобен при серфинге: достаточно перетащить неугодный баннер в эту корзину, чтобы навсегда избавить себя от конкретной рекламы.

На вкладке «Общие» в окне параметров можно добавить список доверенных сайтов, баннеры которых не будут блокироваться.

Модуль «Содержимое» позволяет осуществить «тонкую» настройку запрета к тем или иным Интернет-страницам. На вкладке «Блокировка по содержимому» достаточно ввести «похабные» словеса, чтобы страница, эти строки содержащая, не отображалась браузером: очень полезно для чадолюбивых родителей…

На вкладке «Блокировка Web-сайтов» домашний сисадмин может ввести группу из запретных URL, созерцание которых домашними нежелательно.

Конечно же такой программе необходим журнал, где будут вестись логии работы. Окно Журнала Outpost служит для просмотра текущей информации, предоставляемой файрволлом.

Для вызова «Журнала» нужно открыть меню «Сервис» главного окна и выбрать команду «Просмотр Журнала» либо воспользоваться кнопкой «Показать Журнал» в информационной панели.

Более того, может быть просмотрена вся отчетность о проделанной работе за тот или иной период: например, какие атаки предпринимались (и были ли вообще); какие подозрительные пакеты прошли перед недреманым оком Outpost и пр.

Типичный пример использования Журнала: допустим, что с 10.00 до 18.00 вы находитесь на работе и в это время Интернет используют дети. Если вы захотите узнать, какие сайты посещает молодое поколение – нет ничего проще. Для Internet Explorer (или другого браузера) создаем в Журнале фильтр (кнопка «Создать фильтр») с параметрами показа информации с 10.00 до 18.00 для нужного количества дней, после чего смотрим всю историю соединений.

Ну вот, пожалуй, и все. Хочется также отметить, что иногда во время работы программы возникают окна, где отмечается, что в каких-либо файлах программ произошли изменения и Outpost просит подтвердить право этих программ на доступ к сети. Не надо пугаться – это совершенно обычное дело, связанное с обновлениями программ и изменениями, связанными с работой.

Еще одним часто используемым на рабочих станциях брандмауэром является Zone Alarm. Настройка его ничуть не сложнее, чем настройка Agmitum Outpost.

Процедура установки защитного комплекса Zone Alarm стандартна и не должна вызывать у вас каких-либо затруднений. Все, что требуется от пользователя на этапе инсталляции, – нажимать клавишу «Next». После того как все необходимые файлы будут скопированы на диск, вас попросят ответить на ряд организационных вопросов, например о способе подключения компьютера к Интернету, входит ли он в локальную офисную или домашнюю сеть, а также установлено ли на нем какое-либо антивирусное программное обеспечение.

Теперь переходим непосредственно к настройке программы. Для начала ответим на вопросы «Configuration Wizard». Тут могу рекомендовать следующие варианты ответов: «Anonymously share your security settings with Zone Labs?» (Разрешить ли общий доступ к вашим настройкам безопасности?) – «No, thanks» (зачем нам нужно, чтоб все крутили настройки, – оставим это для себя любимого); «Program AlertAdvisor Settings» (Активировать модуль AlertAdvisor) – «Off»; «Turn on Zone Labs Antivirus» (Включить встроенный антивирус) – «No, leave Zone Labs Antivirus off»; «Prevent junk e-mail from reaching Microsoft Outlook inbox?» (Включить фильтрацию спама? (Для MSOutlook)) – «Yes, block junk e-mail» (Если вы не используете MS Outlook, то отключите эту опцию) и напоследок «Ensure the privacy of your IM» (Обеспечить безопасность переписки через IM-приложения) – «Yes, turn on IM Security». На этом минимальную настройку программы можно считать завершенной. После первого запуска, если компьютер находится в локальной сети, Zone Alarm предложит установить для нее нужный уровень защиты. Здесь на выбор дается два варианта:

– считать локальную сеть доверенной и разрешить всем пользователям, в ней находящимся, видеть ваш компьютер и использовать его ресурсы;

– расценивать локальную сеть как обычную внешнюю сеть, из которой ожидается угроза безопасности.

Ваш выбор зависит от того, какие отношения установились внутри локальной сети, и от политики системного администратора (если это не вы).

После активации функции мониторинга программа сразу начинает отслеживать любые обращения к сети. Как только какое-то приложение попытается соединиться с удаленным ресурсом, Zone Alarm оповещает вас об этом. Дальше все очень похоже на вышеописанный Outpost. В том случае, если вы уверены в приложении (например, это почтовый клиент, браузер или ICQ), можно просто нажать «Accept» и тем самым разрешить ему доступ к сети. Если же в чем-то у вас возникли какие-то сомнения, то наилучшим вариантом будет запретить доступ для этого приложения и проверить систему антивирусом.

Открыв главное окно программы, вы увидите в нем множество различных закладок, наибольший интерес для нас представляют следующие три пункта: «Firewall», «Program Control» и «IM Security». Давайте рассмотрим каждый из них.

Раздел «Firewall» предоставляет доступ к управлению текущим уровнем безопасности и всем доверенным зонам. Уровни безопасности имеют три состояния – «Low», «Med», «High». Если у вас есть повод опасаться проникновения злоумышленников на компьютер, то без лишних раздумий устанавливайте наиболее высокий (High) уровень защиты для внешней сети и средний – для внутренней. Этот шаг позволит вам быть невидимым для любого человека вне вашей локальной сети и одновременно с этим пользователям внутри нее можно будет использовать общие ресурсы вашего компьютера.

В закладке «Program Control» вы можете получить доступ к контролю над любым приложением, которое хотя бы раз попыталось обратиться к ресурсам сети. К примеру, для программы обновления компонентов ACDSee можно разрешить доступ лишь к нужному ей ресурсу, отсекая ее тем самым от любых других потенциально опасных адресов. Здесь можно также изменить режим работы фильтра приложений Zone Alarm с самообучающегося (ведь именно он установлен по умолчанию) на «запрещено все, что не разрешено», при котором блокируются любые приложения, не занесенные в список доверенных.

Опций в разделе E-mail Protection всего три – это «Inbound MaiSafe Protection», «Out bound MailSafe Protection» и, соответственно, «Junk E-mail Filter». Первые две отвечают за проверку всей входящей и исходящей корреспонденции на наличие вирусов, что, конечно, весьма удобно. Единственный минус данного решения состоит в том, что оно работает лишь с тем антивирусом, который поставляется вместе с данной программой, никакие другие продукты, увы, не поддерживаются. Третья опция помогает защитить ваш почтовый ящик от различного рекламного мусора, который в любом случае приходится ежедневно удалять вручную. Если честно, то я советую использовать для борьбы со спамом другие средства, a Zone Alarm использовать по прямому назначению, т. е. как брандмауэр.

Давайте на этом закончим с брандмауэрами и перейдем к следующему пункту безопасности – антивирусам.




5.2. Антивирус




В канун нового 2005 г. аналитики и эксперты в области компьютерной безопасности, оглядываясь на минувший год и подводя его итоги, строят прогнозы. И прогнозы- эти один мрачнее другого.

В уходящем году информация о сетевых атаках, спаме, вирусах, появившихся в том числе и как продукт неутихающей борьбы в среде самих вирусописателей, не сходила с первых полос многих, и не только околокомпьютерных, изданий. Специалисты, анализируя тенденции в развитии сетевой преступности на протяжении уже прошедшего 2004 г., отмечают ее качественный и количественный рост, смену мотивации и взрывной рост возможностей, связанный с широким распространением мобильных устройств и беспроводного доступа.

Что касается наиболее популярного вида компьютерной преступности в уходящем году, то 2004 г. стал годом фишинга. Так его охарактеризовал Стив Пардэм (Steve Purdham), исполнительный директор компании «SurfControl». Его мнение разделяют многие специалисты в области компьютерной безопасности, а также ведущие разработчики. Однако дела не обстояли бы так плохо, если бы за этим ростом не просматривалась кардинальная смена мотивации сетевых преступников.

«На протяжении года мы наблюдали явное смещение акцентов в мотивах, побуждающих писать вирусы, – обращает внимание Грэм Клули (Graham Cluley), главный технический консультант компании Sophos. – Два-три года назад, вплоть до начала 2004 г., речь шла о типичной «обывательской» ментальности детей, которые пытаются причинить вред или произвести впечатление на своих сверстников».

По мнению главного менеджера группы быстрого реагирования ЕМЕА компании «Symantec» «вред и уважение среди сверстников» в качестве движущего мотива сменилось осознанием того, что фишинг, спам, шпионское ПО, вирусы и черви могут принести весьма ощутимую материальную выгоду. Именно поэтому злоумышленники начали объединять свои усилия.

Так, первые случаи фишинга не производили впечатления особенной угрозы, однако в данном случае речь шла о новом явлении, свидетельствовавшем о начале новой эры в области краж персональных данных, чему в немалой степени способствовала растущая мощь шпионского ПО и все большее количество пользователей. Несмотря на то что мошенничеству с использованием приемов фишинга уже не один год, его внезапный рост в прошедшем году свидетельствует о том, что рост числа пользователей, осуществляющих покупки и банковские операции в Сети, сделал фишинг как минимум экономически окупаемым.

Любая преступность по мнению экспертов базируется на трех фундаментальных источниках: мотиве, шансе и наличии возможности.

Рост числа пользователей, оперирующих со своими банковскими счетами через Сеть, дал преступникам отличный шанс, предоставив возможность совершения преступлений этого типа. Ведь деньги жертв – очень неплохой мотив, вы не находите? Сети для рассылки спама с помощью зараженных машин, владельцы которых и не подозревают о том, что они делают, предоставили преступникам такие возможности, что данная тема не сходила с уст специалистов по вопросам компьютерной безопасности на протяжении всего года.

Такие сети являются конечным продуктом деятельности преступного мира, специализирующегося на спаме, вирусах и троянах.

Мощь процессоров зараженных машин и наличие у них широкополосного доступа дает злоумышленникам возможность вбрасывать в Интернет массовые почтовые рассылки в невообразимых количествах. На протяжении всего года и вирусописатели, и спамеры процветали. Некоторые утверждают, что это произошло явно не без помощи организованных преступных сообществ.

Владельцы зараженных машин, сами страдающие от спама, зачастую и не подозревают о том, что сами участвуют в распространении вирусов и нежелательных почтовых рассылок.

«Теперь это большой бизнес, – констатирует Грэм Клули, – а когда в дело вмешивается бизнес, все становится намного омерзительнее». «Сети из зараженных машин являются главным механизмом доставки примерно 70 % спама и практически всего фишинга, – указывает Марк Саннер (Mark Sunner), главный технический специалист компании MessageLabs. – Причины этого вполне очевидны – отправитель писем получает возможность радикально увеличить объем рассылки, сохраняя при этом практически полную анонимность. Это весьма прельщает злоумышленников, так что мы можем полагать, что тенденция останется прежней».

Именно по причине «смычки интересов» угроза и спама, и вирусов стоит теперь как никогда остро. Растущая активность пользователей в онлайне в сочетании с перспективой появления масштабных сетей, связывающих воедино множество мобильных сетевых устройств, экспоненциально повышают уровень угрозы.

«Пока вы находитесь дома, всегда есть шанс того, что кто-либо проникнет в компьютер и причинит вред, однако это еще цветочки, – полагает Стив Пардэм. – С выходом на улицу риск возрастает».

Это справедливо и для нынешней ситуации в ИТ-безопасности вообще. Вполне реально обеспечить высокую степень защищенности в офисе, однако растущая мобильность пользователей и увеличение дальности действия беспроводных сетей на протяжении 2004 г. привело к тому, что безопасность уже невозможно гарантировать с уверенностью. Качественный рост мобильности пользователей, отмеченный в уходящем году, привел к исчерпанию ресурсов систем защиты и в многом обессмыслил масштабную работу по защите периметра зданий, проведенную в предыдущие годы. Возрастает негативная роль «человеческого фактора». Он и ранее присутствовал во всех сетевых атаках, однако социальный инжиниринг и подверженность человека ошибкам привели к тому, что отныне этот фактор стал ключевым. Распространение беспроводного доступа и рост потребности в нем, мобильность устройств разных типов и ставшие для специалистов в области ИТ-безопасности настоящим «воплощением зла» модули памяти, подключаемые через USB-порт, привели в совокупности к тому, что концепция обеспечения защиты по периметру осталась в прошлом.

Но даже внутри прежнего периметра безопасность становится весьма сомнительной – в частности, благодаря распространению сервисов по рассылке текстовых сообщений и пиринговых сетей. Компании утрачивают контроль над потоками данных и средствами коммуникации собственных сотрудников. Особенно наглядно продемонстрировало, что компании не имеют представления о том, что творится в их сетях, появление проблемы шпионского ПО в нынешнем его объеме. Масштаб распространенности приложений, крадущих персональные и корпоративные данные – имена пользователей, пароли, персональную информацию, банковские данные, зачастую остается неизвестным простым пользователям. К тому же уровень шпионского ПО не стоит на месте – на смену программам, перехватывающим вводимые с клавиатуры символы, приходит ПО нового поколения, при каждом клике мыши или нажатии кнопки на клавиатуре копирующее изображение экрана компьютера и отсылающее его злоумышленникам.

Угрозу представляет собой не только кража критически важных данных. Обычная несекретная информация в умелых, но недобрых руках также может причинить огромный вред. По мнению специалистов MessageLabs обычные cookies и рекламное ПО, размещаемое на компьютерах пользователей заслуживающими доверия компаниями, сами по себе могут стать целью зловредных программ.

Преступный мир до такой степени поверил в свою безнаказанность, что перестает заботиться даже о сохранении скрытности. Так, от шантажа владельцев сайтов под угрозой взлома сетевого ресурса в 2004 г. особенно страдали онлайновые букмекерские конторы.

Проблема спама – это тема для отдельной книги. В 2004 г. эта напасть и невозможность справиться с ней довела, в частности, поисковую систему Lycos до эмоционального, но по-человечески понятного желания лечить «подобное подобным», предоставив своим пользователям возможность «бомбардировать» спамом тех, кто его рассылает. Очевидно, что в 2005 г. эта проблема не разрешится, а с быстрым распространением смартфонов грозит выйти на качественно новый уровень. Появление «вирусов-концептов» для мобильных телефонов в уходящем году свидетельствует о том, что над их созданием уже трудится армия вирусописателей.

Думаю, сейчас уже очевидно, что относиться наплевательски к безопасности собственных данных уже нельзя. Пострадать можно очень серьезно. И если ранее можно было проверять свой компьютер антивирусом время от времени, то сейчас совершенно ясно, что имеется необходимость серьезно подумать над антивирусной защитой вашей машины.

Рассмотрим несколько антивирусов, использование которых поможет вам в борьбе со всякой вредоносной «живностью», которая только и ждет шанса поселиться у вас на компьютере.

Какой антивирус лучше? Вечный вопрос и точка преткновения. В этом споре мы обратимся к независимым экспертам, а именно – к самому авторитетному международному изданию по тестированию вирусов Virus Bulletin. В феврале 2005 г. Virus Bulletin провел очередной «чемпионат мира» VB100 % Holders среди антивирусов. Все известные антивирусы состязались в «условиях, приближенных к боевым», на платформе Windows XP Professional. Каждому антивирусу противостояла громадная база вирусов и прочей нечисти. Все программы, которые на 100 % смогли обнаружить и обезвредить «врагов», получают награду VB 100 % award.

По итогам состязаний публикуется список антивирусов, прошедших и не прошедших испытание (в данном случае приводятся вирусы для платформы Windows XP Professional). He буду приводить список антивирусов полностью – кому интересно, смотрите сами: http://www.vi-rusbtn.com/vb 100/latest_comparative/index.xml. Если интересно, то можете посмотреть результаты соревнований по каждому конкретному антивирусу. Для этого перейдите по ссылкам «История результатов» на страницу статистики того или иного антивируса. У некоторых программ представлены результаты начиная с 1998 г. и операционной системы Windows 95. Я же остановлюсь на наиболее известных и используемых. Статус «PASS» означает, что антивирус прошел все испытания и отловил все предложенные ему вирусы. В строке «Product name» приводится название и версия тестированного продукта.




Итак, смотрим результаты тестирования антивирусов:

Alwil (Avast!)

Status: PASS

Product name: Alwil Avast! 4.5.555




Doctor Web (бывший DialogueScience)

Status: PASS

Product name: Doctor Web Dr.Web 4.32b




Eset (NOD32)

Status: PASS

Product name: Eset NOD32 1.956




H+BEDV (AntiVir)

Status: PASS

Product name: H+BEDV AntiVir 6.29.00.03




Kaspersky

Status: PASS

Product name: Kaspersky KAV 5.0.277




McAfee Inc. (formerly Network Associates)

Status: FAIL Product name: McAfee VirusScan 8.0.0 4415




Sophos

Status: PASS

Product name: Sophos AntiVirus 3.88.0




Symantec (Norton)

Status: PASS

Product name: Symantec SAV 9.0/0.338




Unasoft

Status: FAIL

Product name: UNA 1.83




VirusBuster

Status: PASS

Product name: VirusBuster VirusBuster 4.7.22




Как видно из результатов данного теста, большинство из современных антивирусов выдержали февральскую проверку. Очень интересно посмотреть еще историю этих проверок для каждого антивируса. Например, посмотрев историю для известного Dr. Web, мы увидим, что он достаточно часто подобные тестирования проваливает. Лично для меня это сигнал о том, что данный пакет не отличается стабильным качеством обновлений и даже имея последние обновления, я не могу быть в нем уверенным. Смотрю историю для H+BEDV (AntiVir), которым пользуюсь последний год. В последний год он явно улучшил свои показатели – до февраля 2004 г. он стабильно проваливал испытания, а последний год выправил положение.

Один из несомненных лидеров в антивирусном деле Symantec Antivirus – ни одного провала с 1999 г. А что вы хотели от качественного и недешевого продукта, да еще и бывшего детища «Norton».

А вот популярнейший в нашей стране антивирус Касперского стабильно проходит все испытания только с конца 2003 г. По моим собственным наблюдениям за последние полтора-два года этот антивирус превратился в настоящую машину по убийству вирусов, но рассмотрим его ниже.

Далее я расскажу понемногу о некоторых из этих пакетов. Возможно, мои суждения будут отличаться некоторым субъективизмом, но они не идут вразрез с фактическими данными вышеприведенного теста, проведенного крайне авторитетным изданием.

Я сознательно не останавливаюсь подробно на настройке этих пакетов. Описание этой настройки легко найти в Интернете, да и в большинстве случаев она достаточно интуитивна.




Symantec

Компания «Symantec» была создана в 1982 г. С течением времени она вобрала в себя опыт, знания и(что немало-важно) сотрудников более 17 различных компаний, среди которых такие брэнды, как «Peter Norton Computing Inc» (популярные утилиты для DOS, Windows и Macintosh); «THINK Technologies» (компиляторы THINK С и THINK Pascal для Macintosh); «Zortech Inc» (компиляторы C++ для различных платформ); «Contact Software International» (системы управления бизнес-контактами для DOS, Windows, Macintosh, Newton и HP Palmtops); «Central Point Software» (популярные утилиты для DOS, Windows и Macintosh, утилиты обслуживания сетей и антивирусы).

На сегодняшний день компания «Symantec» занимается разработкой, распространением и послепродажной сервисной поддержкой большого количества прикладного и системного ПО, ориентированных как на отдельных пользователей, так и на корпоративные сети. Программные продукты компании «Symantec» признаны и широко распространены во всем мире. Марка «Symantec» в последние годы – это гарантия высокого качества продуктов. В подавляющем большинстве продукты этой корпорации возглавляют соответствующие сегменты рынка информационных технологий.

Широко известны основные достоинства продуктов «Symantec»-простота и удобство применения, мощность и многообразие возможностей. Вот почему продукты компании «Symantec» отмечены не только многочисленными престижными призами компьютерной индустрии, но и самым главным призом – признанием и уважением покупателей. Не стали исключением и антивирусные продукты этой корпорации. Рассмотрим 2 из них:

– Symantec AntiVirus(tm) Enterprise Edition 8.6;

– Symantec AntiVirus Corporate Edition 8.1.

Symantec AntiVirus Enterprise Edition – полнофункциональная антивирусная программа, обеспечивающая надежную и многоуровневую защиту предприятия на почтовых и Интернет-шлюзах, сетевых серверах и рабочих станциях. Кроме того, это программное обеспечение позволяет системным администраторам блокировать нежелательные почтовые сообщения, например спам.

В программе Symantec AntiVirus Enterprise Edition используются передовые технологии и средства защиты всех уровней сети, благодаря чему ее применение позволяет избежать трудностей, связанных с построением системы защиты из разрозненных продуктов отдельных производителей. Консоль Symantec System Center, обеспечивающая централизованное управление, позволяет ИТ-специалистам без затруднений развертывать антивирусные решения, а также создавать, вводить в действие и обновлять политики безопасности, постоянно обеспечивая правильную настройку сетевых серверов и рабочих станций в масштабе всего предприятия вне зависимости от используемых платформ. Кроме того, консоль централизованного управления позволяет системным администраторам проводить аудит сети, обнаруживать незащищенные узлы, уязвимые для вирусных атак, а также определять, какие узлы защищены программным обеспечением Symantec AntiVirus Corporate Edition, McAfee(r) VirusScan(r), Trend Micro Of-ficeScan(tm), Computer Associates(r) и рядом антивирусных продуктов других производителей.

С помощью системы Digital Immune System(tm) программное обеспечение Symantec AntiVirus автоматически выполняет проверку и обнаружение новых вирусов и помещает их в изолятор, обеспечивая быструю, надежную и удобную систему защиты. Кроме того, уникальная межуровневая технология NAVEX(tm), разработанная компанией «Symantec», увеличивает время полезной работы системы и сокращает общие затраты на программное обеспечение, поскольку позволяет добавлять описания вирусов и расширения программных модулей без переустановки ПО или перезагрузки системы. Для повышения быстродействия и безопасности в новой версии программы используются файлы описаний вирусов уменьшенного размера и применяется многопоточная установка на серверы. Кроме того, получившие заслуженное признание программные средства «Symantec» совместимы с Windows(r) 2003, Netware(r) Secure Console и с 64-разрядным оборудованием Intel(r) Itanium(tm) 2, что позволяет внедрять на предприятии новейшие технологии, не нарушая его безопасности. Поддержку Symantec AntiVirus Enterprise Edition, как и всех программных продуктов Symantec, осуществляет «Symantec Security Response» – организация, занимающаяся исследованиями и обслуживанием пользователей в сфере Интернет-безопасности и являющаяся мировым лидером в этой области.

Symantec AntiVirus Corporate Edition предоставляет расширяемые, независимые от платформы средства антивирусной защиты для рабочих станций и сетевых серверов в масштабах предприятия.

Усовершенствованные функции безопасности в сочетании с централизованным управлением политиками позволяют системным администраторам создавать логические группы серверов и рабочих станций. Кроме того, администраторам предоставляются возможности разработки и применения политик безопасности, а также блокирования доступа к политикам и параметрам, что позволяет своевременно обновлять системы и поддерживать их правильную настройку.

Консоль централизованного управления позволяет системным администраторам проводить аудит сети, обнаруживать незащищенные узлы, а также определять, какие узлы защищены антивирусным программным обеспечением Symantec AntiVirus Corporate Edition, Computer Associates, McAfee, Panda, Sophos или Trend Micro. Это дает ИТ-специалистам возможность эффективно защитить узлы сети, прежде чем с ними что-либо произойдет, что в свою очередь гарантирует работоспособность систем и продуктивность работы пользователей.

В продукте Symantec AntiVirus Corporate Edition заложен механизм реагирования на вирусные инфекции, использующий предоставляемые компанией «Symantec» данные и обеспечивающий быстрые, надежные и удобные средства обнаружения вирусов, анализа их поведения и лечения поврежденных файлов. Даже при максимальном наплыве пользователей во время «эпидемии» разработанная корпорацией «Symantec» масштабируемая архитектура гарантирует быструю доставку всех описаний вирусов, требуемых для обеспечения полной защиты.

С помощью проводимой по запросу в масштабах всего предприятия сплошной антивирусной проверки, команда на проведение которой отдается с центральной консоли управления, достигается быстрая и эффективная нейтрализация вирусов на всех зараженных клиентских ПК и серверах сети.

Единый расширяемый модуль NAVEX с функциями антивирусного осмотра и лечения позволяет развертывать новые описания вирусов и модули расширения, не перезагружая сервер и не устанавливая приложения повторно. В результате увеличивается время бесперебойной работы системы и снижаются затраты на программное обеспечение.

Для повышения быстродействия это программное обеспечение работает с файлами описаний вирусов меньшего размера, а также использует многопоточную установку описаний на серверы. Технология LiveUpdate(tm) повышает степень безопасности, предоставляя системным администраторам возможности автоматического обновления описаний вирусов, включая обновление устаревших описаний.

Пользующееся заслуженным признанием программное обеспечение Symantec совместимо с Windows(r) Server 2003, Netware(r) Secure Console и с 64-разрядным оборудованием Intel(r) Itanium(tm) II, что позволяет внедрять на предприятии новейшие технологии, не нарушая его безопасности.

От себя рекомендую ставить именно Symantec AntiVirus Corporate Edition 9. Очень удобная, универсальная и достаточно простая система. Может работать как в варианте с антивирусным сервером, так и на отдельно стоящей машине. Единственное, что посоветую от себя, – это отключить систему Live Update.

Из одного инсталлера может ставиться как сервер, так и как клиент. Если ставите на отдельно стоящую машину, то ставьте клиент – обновления значительно меньше по объему, а качать их для обеспечения хорошей антивирусной защиты нужно достаточно регулярно (хотя бы один раз в 2 недели). Если ставите клиент без сервера, то обязательно отметьте опцию «Unmanaged» при установке, тогда ваш антивирус не будет хотеть соединиться с сервером.




«Лаборатория Касперского»

«Лаборатория Касперского» значительно младше корпорации «Symantec». Она была основана в 1997 г. Сегодня это без преувеличения самый известный в России разработчик широкого спектра программных продуктов для обеспечения информационной безопасности: систем защиты от вирусов, спама и хакерских атак. «Лаборатория Касперского» эффективно работает на международном рынке. Центральный офис находится в России, открыты представительства в Великобритании, Франции и США (Калифорния).

Так как современные вредоносные программы – это сложные многофункциональные системы, глубоко интегрированные в Интернет, традиционных антивирусных средств уже недостаточно для обеспечения надежной защиты от внешних угроз. Поэтому «Лаборатория Касперского» разработала персональный межсетевой экран Kaspersky(r) Anti-Hacker и уникальный комплекс фильтрации спама для сетей средних и малых масштабов Kaspersky(r) Anti-Spam.

Клиенты «Лаборатории Касперского» обеспечиваются широким спектром дополнительных услуг, гарантирующих бесперебойную работу продуктов и точное соответствие любым специфическим бизнес-требованиям.

Антивирус Касперского(г) Personal Pro разработан специально для опытных пользователей. Он обеспечивает полномасштабную защиту всех приложений и содержит новые уникальные компоненты и технологии.

Антивирус Касперского(г) Personal Pro постоянно контролирует все источники проникновения вирусов: электронную почту, Интернет, дискеты, компакт-диски и т. п. Программа не допустит присутствия вирусов ни в одном из возможных мест, включая системную память, загрузочные сектора, файлы и почтовые базы. Решение также содержит уникальные технологии защиты документов формата MS Office. Вирусы, находящиеся внутри архивированных и упакованных файлов, часто просто «невидимы» для антивируса. Антивирус Касперского Pro производит проверку архивированных и упакованных файлов более 900 версий, а также лечит файлы в архивах форматов ZIP, CAB, RAR, ARJ. Кроме того, программа позволяет обнаружить вирусную программу даже в файле, подвергавшемся сжатию несколько раз.

Антивирус Касперского(г) Personal Pro защищает компьютер в режиме реального времени, проверяя все файлы непосредственно в момент их запуска, создания или копирования. Антивирус Касперского(г) Personal Pro дает возможность проводить полномасштабную проверку всего содержимого локальных дисков по требованию пользователя или автоматически по расписанию.

Программа работает и с электронной почтой, автоматически проверяя все входящие почтовые сообщения на присутствие вирусов до их поступления в почтовый ящик и при необходимости осуществляя лечение. Исходящие сообщения также подвергаются проверке в режиме реального времени. Кроме того, программа позволяет проверять почтовые базы различных почтовых клиентов, а также осуществлять лечение в почтовых базах MS Outlook и Outlook Express по требованию. Наиболее тесная интеграция с почтовым клиентом The Bat!.

Антивирус Касперского(г) Personal Pro обеспечивает постоянный контроль над выполняемыми макросами в документах формата MS Office, пресекая все подозрительные действия. Это дает полную защиту практически от любых макровирусов, в том числе неизвестных, не оставляя им ни единого шанса нанести вашему компьютеру вред.

Антивирус Касперского Personal Pro – мощный барьер против потенциально опасных программ, предназначенных для удаленного наблюдения и управления компьютером, но не классифицируемых как вирусы. Это достигается за счет существенного расширения набора баз данных, определяющих программы класса riskware.

В общем и целом данный продукт наших отечественных разработчиков не уступает в эффективности западным коллегам, а по моим личным наблюдениям превосходит абсолютное большинство из них. Эффективность этого пакета, даже настроенного по умолчанию, просто потрясает. «Каспер» имеет в своем распоряжении настолько мощный механизм эвристического анализа, что часто обнаруживает новейшие вирусы со старыми базами.

Обновления – это отдельная песня. Они выходят каждый день. Если качать ежедневные обновления, то объем их – всего несколько килобайт (у каждого). Раз в один-два месяца выходят кумулятивные обновления, которые включают в себя всю базу целиком. Они более объемные. Команда, работающая над этими обновлениями, работает очень оперативно. Почти каждый новый вирус заносится в базу в течение суток, а иногда и часов.

Ну и как всегда, в этой бочке меда есть основательная ложка дегтя! При всей своей мощности, эффективности, русифицированности и интуитивности интерфейса этот пакет ужасно тормозит систему. Работа при включенном мониторе этого пакета даже на очень мощном компьютере меня сильно нервировала. Несмотря на все уверения, что новая версия этого антивируса будет очень быстрой, этот антивирус, пожалуй, самый жадный до компьютерных ресурсов. Вот она, расплата за мощнейший эвристический анализ и тщательность проверки файлов. Также у этого пакета, судя по всевозможным тестам, самое большое время проверки файлов.

Еще одна отличительная черта этого пакета – исключительная живучесть и плохая система удаления, которая иногда срабатывает правильно, а иногда просто не работает. Вычистка из системы этого антивируса вручную – занятие муторное и достаточно сложное.

Наверное, учитывая все вышесказанное, нужно рекомендовать использовать этот пакет только в случае крайней необходимости, т. е. при очень высокой опасности заражения системы вирусами или для проверки больших массивов архивов раз в месяц.




H+BEDV AntiVir Personal Edition

Данный антивирус далеко не «самый-самый». Лидером продаж никогда не был. Поместил я его в этот обзор, для того чтобы показать, чего можно добиться в антиви-русостроении, если четко знать, что ты хочешь получить в итоге. А получился добротный и шустрый антивирус, который в последний год заменил у меня на домашнем компьютере неповоротливого, хотя и мощного, «Каспера».

AntiVir Personal Edition производства небезызвестной «H+BEDV Datentechnik GmbH». Работает под всеми версиями Windows. Одним из его неоспоримых достоинств является его бесплатность. Если все предыдущие антивирусные пакеты стоят денег, да еще и немалых, то персональная версия AntiVir Personal Edition совершенно бесплатна. Вот ссылка на сайт производителя, где можно скачать программу и обновления к ней: http://www.free-av.com/.

Единственное неудобство этой программы, что обновления у нее достаточно «увесистые», но не больше обновлений к Symantec.

Но не только это привлекает к нему внимание многочисленных поклонников. Помимо бесплатности, он еще определяет и удаляет вирусы и троянские программы, имеет хорошо сделанный и отлаженный эвристический анализатор для поиска и удаления макровирусов.

Лично мне нравится его небольшой размер и скромное отношение к системным ресурсам. При всем при этом он отлично справляется со своей прямой задачей, а именно – с отловом вирусов и другой мерзости.

Антивирус резидентно висит в памяти, сканируя все, к чему обращается пользователь, но его можно запустить и для полного сканирования системы. Также у него есть достаточное количество настроек, стандартных для антивирусов. Надо сказать, что у «H+BEDV Datentechnik» есть еще коммерческая версия антивируса, но она, естественно, платная.

Еще этот антивирус привлекает лично меня тем, что его настройки по умолчанию подходят для большинства пользователей. Например, при «накачивании» софтом машины своих знакомых я ставлю свежую версию этой программы и даже не лезу в настройки. Не помню, чтобы за последние полгода у кого-то были проблемы с вирусами или с самой программой.

Обновления лучше всего производить, скачивая полный инсталлят с сайта производителя, так как движок этого антивируса постоянно переписывается, а обновления пишутся уже под формат нового движка. Это около 4 мегабайт. Перед обновлением обязательно удалите предыдущую версию. Она удаляется очень просто и безболезненно, в отличие от вышеописанного монстроподобного Касперского.




5.3. Критические обновления




Существует класс программ, без которых не сможет обойтись ни один пользователь. Эти программы называются операционными системами. Пожалуй, самыми популярными на данный момент являются операционные системы из «конюшни» компании «Microsoft» – системы семейства Windows (Windows 9x, Windows 2000, Windows XP и т. д.).

К сожалению, как бы не были совершенны языки программирования, при помощи которых создаются те или иные программы, избежать мелких недочетов и неточностей при таких объемах работы практически невозможно. Часто подобные недочеты и неточности могут привести к сбою в работе той или иной программы, а иногда к утечке важной информации.

После того как программный продукт выпущен на рынок, часто выясняется, что в программном продукте имеются ошибки, причем иногда очень серьезные. Чем отзывать назад все экземпляры проданного программного продукта, намного проще и удобнее выпустить некий пакет исправлений, который лечит обнаруженную ошибку. Такое положение характерно не только для насквозь коммерциализированной компании «Microsoft» с ее семейством «Виндо-вых». Такие же обновления регулярно выпускаются практически для всех существующих операционных систем.

Естественно, что такими «дырами» с успехом пользуются хакеры, или вирусописатели. Не стоит полагаться только на брандмауэр, отсекающий попытки врагов поживиться вашими данными. В самих брандмауэрах с периодичностью, наводящей на печальные мысли, находят такие «дыры».

Информацию о том, что выпущен тот или иной пакет исправлений, можно найти на домашней веб-странице компании, выпускающей данную операционку, в Интернете или получить по электронной почте, если вы подписаны на новости этой компании. Для получения полной информации о том, какие «критические обновления» установлены на вашем компьютере (при условии, что у вас на машине стоит Windows, а не что-то другое) и какие необходимо установить, нужно подключиться к Интернету и зайти по определенному адресу в нем, используя веб-браузер (Internet Explorer). Либо нажать кнопку «Пуск» («Start») и выбрать пункт меню «Windows Update», после этого автоматически запустится веб-браузер и загрузится необходимый адрес в Интернете.

Компания «Microsoft» уже выпустила достаточно много программных продуктов. По этой причине на любом компьютере может быть установлена любая из операционных систем, это может быть и Windows 98, а может и Windows ХР на русском языке или на английском. И для каждой из операционных систем имеется свой пакет «критических обновлений». К счастью, технологии, используемые на веб-сайте «Microsoft», избавляют пользователя от поиска нужных ему «критических обновлений», все будет сделано за него. Просто необходимо будет выбрать, какое из обновлений требуется скачать и установить. Более того, если у вас установлена операционная система на русском языке или в качестве системного языка используется русский язык, то краткое описание того или иного пакета «критических обновлений» и весь внешний вид на вебсайте «Microsoft» будет на русском языке.

Если вы впервые посещаете веб-сайт, где находятся все обновления и заплатки, то вам будет предложено установить более новую версию программы, которая осуществляет поиск, закачку и установку «критических обновлений». В этом случае появится дополнительное’ окно, которое попросит вас установить новую версию «Windows Update», в этом окне необходимо нажать кнопку «Yes» («Да»). Лично я предпочитаю не пользоваться автоматикой. Просто в системе Windows она слишком навязчива и считает себя умнее пользователя, а на деле сплошь и рядом выходит совсем наоборот.

Если вы все-таки решите обновлять все автоматически, то, после того как новая версия «Windows Update» установится, в Internet Explorer’e необходимо нажать «Просмотр и поиск обновлений» и перейти к поиску необходимых «критических обновлений».

После этого будет запущен процесс сканирования вашего компьютера. Будет определено, какие «критические обновления» уже установлены, а какие – отсутствуют и требуют установки. Необходимо дождаться окончания этого процесса! Это может занять несколько минут в зависимости от того, какова скорость вашего Интернет-соединения. После этого перед вами появится отчет, в котором будет присутствовать список «исправлений» с кратким описанием каждого из них.

Часто пакет «критических обновлений» занимает довольно большой объем, а в сумме объем всех предлагаемых для установки «исправлений» может быть довольно большим. Поэтому для начала можно ограничиться скачиванием и установкой только некоторых из них, к примеру двух или трех. Остальные можно пока не скачивать. Для этого нажмите на кнопку «Удалить» («Delete») внизу блока, в котором описывается тот или иной пакет «исправлений».










Обратите внимание на цифры чуть выше блока описания, которые показывают объем выбранных вами для скачивания «критических обновлений». Эти цифры будут уменьшаться каждый раз, как вы удаляете из списка какое-нибудь из «исправлений». После того как вы выбрали какие-то из «критических обновлений» и вы хотите скачать и установить их на ваш компьютер, необходимо нажать на кнопку «Установить». После этого выйдет окно «Лицензионного соглашения». Чтобы запустить процесс скачивания и установки выбранного вами пакета исправлений, необходимо нажать кнопку «Я согласен» («I agree»). Теперь необходимо дождаться окончания этого процесса. Вполне вероятно, это может занять довольно длительное время, в зависимости от того, какова скорость’ вашего соединения с Интернетом.

После успешной закачки и установки выбранных об-новлений вам будет предложено перезагрузить компьютер. Это необходимо сделать, для того чтобы произведенные исправления вступили в силу. Для этого нажмите кнопку «Ок», и ваш компьютер перезагрузится самостоятельно.

Для того чтобы полностью обеспечить безопасность вашей информации и обеспечить максимальную эффективность работы вашей операционной системы, придется установить все предлагаемые «критические обновления и исправления». Для этого необходимо повторить весь процесс сначала, т. е. зайти на веб-сайт компании «Microsoft», нажав кнопку «Пуск» («Start») и выбрав «Windows Update», произвести сканирование вашего компьютера, выбрать из списка необходимые «критические обновления», скачать и установить их на ваш компьютер.

Если вы, как и я, не доверяете автоматике скачивать для вас обновления, а хотите иметь дистрибутив обновления, то милости просим на Microsoft Security Bulletin Search no адресу: http://www.microsoft.com/technet/security/current.aspx?productid= 180 amp;servicepac-kid=0 amp;submitl=go amp;isie=yes.

Здесь, выбрав из длиннющего выпадающего списка систему или программу от «Microsoft», вы можете выбрать, среди каких обновлений вы желаете искать. Все обновления здесь разбиты на четыре группы по степени важности: Critical (Критические), Important (Важные), Moderate (Средние), Low (Низкие). Я обычно качаю только критические и важные. Просто нет столько времени качать это все. Обычно этого хватает.

Помните, что время от времени, хотя бы один или два раза в месяц, необходимо посещать веб-сайт компании «Microsoft», для того чтобы контролировать появление новых «критических обновлений». Это поможет вам не оставить ни одной лазейки в безопасности вашего компьютера.






Глава 6. Защита данных на компьютере


Ужасно обидно, когда из-за хакерской атаки виснет компьютер или гибнет операционная система. Обидно, но в большинстве случаев несмертельно. Операционная система переустанавливается с дистрибутива. На машину заливается весь софт (дистрибутивы всегда должны быть под рукой). А может, вы заранее приготовили «образ» диска вашей системы с большинством необходимых вам программ и теперь восстановление занимает у вас минут 15-20, не более?

Гораздо хуже, когда в результате таких атак погибают или крадутся данные. Вот тут уже дело хуже. Конечно же все критические данные должны быть скопированы на отдельные носители и эти копии должны постоянно обновляться. Но дело в том, что злоумышленники могут украсть ваши данные с этих носителей. Это может произойти, даже если машина не подключена к сети, а стоит в офисе или дома. Носители информации могут быть украдены физически. Сам компьютер может быть украден. Тогда вся информация, содержавшаяся на украденных носителях, станет достоянием злоумышленников…

Но есть способы не допустить этого или по крайней мере предельно затруднить извлечение конфиденциальной информации при таких условиях. Информация должна быть шифрована и закрыта паролем – это самый простой и надежный способ.

На данный момент имеются различные системы шифрования данных и способы идентификации пользователя. Они бывают аппаратные или программные. Аппаратные предполагают приобретение дополнительных программно-апппаратных комплексов для осуществления шифрования. Такие устройства стоят весьма ощутимых денег и вряд ли подходят для таких целей дома или в небольшой фирме (разумеется, если вы не занимаетесь разработкой ракетного оружия или не держите у себя сведения о золоте инков). Так что остановим наш выбор на чисто программных системах шифрования и аутентификации пользователя.

Системы шифрования применялись со стародавних времен. Огромное количество информации, не предназначенной для чужих глаз, передавалось в кодированном виде. Параллельно оттачивалось и искусство декодирования… Сейчас с применением математических алгоритмов шифрования криптология (наука о шифровании) вышла на качественно иной уровень.

Сохранить что-либо важное в секрете – большая проблема. Бумаги с вашего стола могут запросто прочитать, а папки на сервере – просмотреть, внедрив вирус на компьютер секретаря. В этом смысле самыми надежными хранителями конфиденциальной информации являются зашифрованные виртуальные диски.

Под понятием «виртуальный диск» подразумевается некое специально выделяемое пространство на винчестере, физически представляющее собой файл-контейнер. При помощи программы, которой он был создан, контейнер можно «монтировать» к операционной системе в качестве обычного логического диска.

Работа с подобным диском ничем не отличается от работы с обычными накопителями. Единственное отличие заключается в том, что виртуальный привод несколько медленнее настоящего. Это обусловлено процессом шифрования файлов, который происходит во время их записи на виртуальный диск, и процессом дешифровки – соответственно, при считывании.

Еще одно преимущество виртуального диска перед другими методами защиты данных заключается в том, что файлы дисков можно переносить с компьютера на компьютер с помощью различных носителей и можно делать их резервные копии на тех же носителях, причем защита их от этого не страдает.

Рассмотрим несколько таких программ и сравним их.




6.1. BestCrypt

Версия: BestCrypt 7.11 Адрес в Интернете: http://www.jetico.com/ Одна из самых известных у нас в стране программ для создания виртуальных шифрованных дисков BestCrypt работает с несколькими алгоритмами, с помощью которых создаются ключи пользователей и выполняется шифровка/дешифровка данных. Если в предыдущих версиях программы использовался алгоритм DES, имеющий длину ключа 56 бит, то в текущей версии применяется более продвинутый AES, у которого это значение составляет 256 бит. Помимо стандарта AES, программой поддерживается и российский алгоритм, соответствующий ГОСТу 28147-89. Поддерживаются также алгоритмы Blowfish и Twofish. При желании пользователь может самостоятельно определить алгоритм, который будет использоваться в программе по умолчанию.

Контейнеры могут создаваться как на локальных, так и на сетевых дисках. Доступ к такому диску можно открыть для нескольких пользователей. При этом совсем не обязательно раздавать всем один и тот же пароль: в программе предусмотрена возможность назначения дополнительных паролей доступа.

Для удобства работы можно создать группы дисков. Контейнеры в них могут объединяться, например, по типу содержащейся в них информации. Для более надежной защиты данных имеется возможность создания защищенного диска внутри уже имеющегося. При создании такого вложенного контейнера для- него можно использовать иной алгоритм шифрования и независимый пароль. В этом случае скрытый контейнер не будет виден в окне Проводника, а содержимое неподключенного контейнера просмотреть не удастся. Предусмотрена и защита от удаления контейнера – утилита Container Guard Utility. Без знания пароля удалить файл виртуального диска не получится. Естественно, защищенными оказываются только контейнеры, находящиеся на компьютере с установленной программой BestCrypt. Контейнеры же, расположенные на сетевых ресурсах, удалить труда не составляет.

На нынешний момент начиная с седьмой версии в программе появилась возможность шифрования файла подкачки операционной системы.




6.2. Dekart Private Disk

Версия: Dekart Private Disk 2.04 Адрес в Интернете: http://www.dekart.com Простой и понятный интерфейс позволяет быстро освоить работу с данной утилитой. В главном окне программы три основных закладки: «Disk», «Options» и «Recovery». На первой расположены основные органы управления защищенным диском, посредством «Options» можно получить доступ к настройкам программы, a «Recovery» содержит средства для восстановления данных.

Для создания нового виртуального диска нужно перейти на вкладку «Disk» и выбрать соответствующую опцию. В открывшемся окне будет предложено указать размер будущего тома (следует помнить, что в дальнейшем его нельзя будет изменить), его тип (съемный, скрытый, только для чтения), имя диска, место его размещения и букву, под которой он будет отображаться. Потребуется также ввести пароль для доступа к информации. Ограничение- для пароля только одно – он должен содержать не менее пяти символов.

С помощью программы можно создавать резервные копии защищенных дисков, которые при этом будут еще и архивироваться, и впоследствии восстанавливать данные из них. Кроме того, можно сохранить в вид’е отдельного файла ключ шифрования. При помощи него можно будет расшифровать защищенный диск даже в том случае, если вы забыли пароль. Файл, в котором хранится ключ, для надежности можно зашифровать так же, как и основной контейнер.

Среди настроек программы можно выделить возможность автоматического подключения зашифрованных дисков при старте компьютера и присвоение виртуальному диску определенной буквы (на разных компьютерах диск будет обозначаться строго той буквой, которая была присвоена ему при создании, а не той, которую выдаст ему операционная система).




6.3. «Индис»

Версия: «Индис» 2.1

Адрес в Интернете: http://www.lancrypto.com

«Индис» использует для шифрования дисков несколько алгоритмов с высокими скоростными показателями, и пользователь имеет возможность самостоятельно выбирать, с каким из них работать. Например, «Веста4» на компьютере Pentium II с частотой 400 МГц обеспечивает обработку более одного гигабайта данных в секунду. Среди используемых алгоритмов нет тех, которые приняты в качестве государственных, но стоит сказать, что используемый алгоритм «Веста2» принят в качестве стандарта газовой отрасли России.

В начале работы необходимо создать секретный ключ, который будет использоваться для доступа к диску и шифрования данных. Сохранить его можно на различных носителях – на диске в виде файла, на USB Token, устройствах USB iKey и т. п. Созданные ключи можно переносить с одного носителя на другой, делать их резервные копии, защищать паролем. Владелец диска (администратор) может предоставить доступ к нему и другим пользователям, работающим с программой, на основе их личных ключей.

Помня о том, что во время работы конфиденциальная информация из оперативной памяти может перекочевать в файл подкачки, разработчики «Индис» снабдили свое детище функцией кодирования данных при их отправке в SWAP-файл и его очистки при выходе из приложения.

Стоит отметить опцию гарантированного удаления файлов. После ее включения в настройках программы все файлы, которые удаляет пользователь, не подлежат восстановлению. Опцию дублирует пункт «Удалить безвозвратно», который появляется в контекстном меню Проводника после установки «Индис».

Как и положено, в программе есть возможность резервного копирования данных. Копия зашифрованного диска может создаваться в момент его подключения/отключения или же просто с установленной периодичностью.




6.4. Paragon Encrypted Disk

Адрес в Интернете: http://www.encrypted-disk.com

Программа Paragon Encrypted Disk располагает незатейливым интерфейсом и может работать в качестве системного сервиса, никак не напоминая пользователю о своем присутствии. Ту часть программы, которая отвечает за создание виртуального диска (Encrypted Disk Manager), запускать придется крайне редко: после того как диск создан, доступ к его настройкам можно получить, щелкнув по нему правой кнопкой мыши в Проводнике Windows и выбрав из появившегося контекстного меню пункт «Properties».

Как и предыдущие программы, Paragon Encrypted Disk создает файлы-контейнеры, которые можно размещать на различных носителях и переносить с одного компьютера на другой. Шифрование данных осуществляется с помощью ключа (по умолчанию для его хранения используется дискета) либо пароля. Существенный минус – ключевой файл не защищается паролем, поэтому, выкрав его, злоумышленник сможет получить доступ к информации, размещенной на зашифрованном диске.

Для шифрования данных используется один из двух всемирно известных алгоритмов – Blowfish с 448-битным ключом или Triple DES с 192-битным. Созданные файлы-контейнеры могут автоматически подключаться в качестве логических дисков при старте системы. На виртуальные диски можно установить атрибут «только для чтения», что удобно в том случае, когда владелец диска хочет разрешить доступ к информации другим пользователям.




6.5. Steganos Security Suite

Версия: Steganos Security Suite 7.0.9 Адрес в Интернете: http://www.steganos.com Steganos Security Suite – это комплект из семи утилит, которые предоставляют разнообразные возможности по защите информации. Но, поскольку нас в контексте данной статьи интересуют только возможности программы по созданию зашифрованных дисков, остановимся на одной из них – Steganos Safe. Размер дисков, создаваемых этой программой, должен быть не меньше 10 Мбайт. Для шифрования информации используется алгоритм AES с размером ключа 256 бит, причем скорость шифровки/дешифровки достаточно велика.

При создании нового диска, естественно, требуется задать пароль доступа к нему. Особенность Steganos Safe заключается в том, что она располагает перечнем обще-употребимых слов, которые опасно использовать в качестве ключа. Если введенное вами слово или выражение попадает в этот «черный список» либо состоит из одних лишь цифр, программа выдаст предупреждение о плохом качестве выбранного пароля.

В комплекте программ Steganos Security Suite есть еще одна утилита, предназначенная для сохранения файлов в защищенных хранилищах на CD-R/RW, DVD и различных картах памяти. После того как виртуальный диск создан и для него задан пароль, в указанной пользователем директории появится папка «Portable Safe package files». Когда диск скомпонован, запускается процесс его кодирования. После этого в папке «Portable Safe package files» сохраняются файл-контейнер виртуального диска и утилита, при помощи которой его можно монтировать на другом компьютере.




6.6. Zdisk

Адрес в Интернете: http://www.securit.ru

Наконец, еще одна программа, обеспечивающая создание зашифрованных логических дисков, – это Zdisk. Основной ее отличительной особенностью является то, что размер диска может быть увеличен даже после его создания.

Единственное дополнительное требование для работы с программой – наличие USB-порта. Он потребуется для подключения электронного ключа (iKey 1000) или устройства для чтения смарт-карт (ACR30S). Они понадобятся для хранения ключей шифрования и доступа. Программу Zdisk можно установить на нескольких компьютерах без нарушения лицензионного соглашения – вот только ключ как был, так и останется один на всех.

Для того чтобы начать работать с программой, кроме нее, у вас должен быть либо электронный ключ, либо смарт-карта (в комплект поставки входит один из этих компонентов). Во время установки потребуется выбрать устройство, с которым вы будете работать, и программа установит соответствующий драйвер. После этого при помощи «Мастера первого шага» будет произведена генерация личного ключа. При этом будет создана и его резервная копия.

Процесс создания диска делится на несколько этапов. На первом выбирается существующий логический диск, на котором будет создан файл-контейнер, указывается, будет ли диск автоматически подключаться при старте системы. На втором этапе указывается его размер. Здесь имеется несколько вариантов. Можно указать размер в мегабайтах или в процентах от свободного места на диске-носителе. Размер виртуального диска может быть ограничен объемом свободного пространства, которое должно остаться на логическом диске после его создания. Также можно установить максимальный размер, до которого новый диск может быть расширен.

При следующих шагах создаются пароли и ключи доступа. Сначала основной пароль, который вы будете использовать для подключения к диску. В качестве алгоритма шифрования предлагается использовать собственный алгоритм Zdisk с длиной ключа 128 бит. И под конец вам опять-таки придется принять участие в формировании рабочего ключа создаваемого диска.

Также можно настроить процедуру резервного копирования диска. Этот процесс может выполняться как в ручном, так и в автоматизированном режиме по индивидуальному алгоритму для каждого виртуального диска.

В программе есть возможность создать пароль, ввод которого приведет к уничтожению ключа и, как следствие, отказу в доступе к информации на защищенном диске-контейнере. Такая функция пригодится в случае, если есть опасение, что вас против желания заставят открыть доступ к информации.

Стоит упоминания и такая функция, как «Красная кнопка». При нажатии определенной комбинации горячих клавиш отключаются все виртуальные диски.




6.7. WinRAR

Версия: WinRAR 3.42

Адрес в Интернете: http://rarlab.com/

Как ни странно, в этот обзор попал и этот известный архиватор. Дело в том, что если вы хотите скрыть информацию не от профессиональных взломщиков криптоло-гических систем, а просто от окружающих, то достаточно заархивировать эти данные и защитить паролем. Даже такая защита затруднит доступ к вашим данным, особенно если пароль будет достаточно длинным и не-предугадываемым, так как обычно такие архивы ломаются перебором пароля.