Обеспечение безопасности домашней компьютерной сети

Кроме того, известно, что вирусы и троянские кони созданы для размножения в ОС Windows преимущественно по причине ее распространенности, а не потому что изначально Linux надежнее, чем Windows. Т.е. если вдруг окажется так, что ОС Linux станет использоваться более широко, чем Windows, то вирусописатели начнут создавать вирусы для этой ОС15.

При общем анализе существующих принципов безопасности последние можно разделить на три основных способа:

1. использование ОС Linux;
2. использование нескольких жестких дисков по принципу, описанному в данной статье;
3. использование одной операционной системы Windows в связке с антивирусными, анти-троянскими программами, межсетевыми экранами.

Далее рассмотрены программы, помогающие улучшить защиту домашней компьютерной сети от сторонних угроз.

Сканер - это программа, с помощью которой можно проверить диск или папку, и все находящиеся там файлы на предмет наличия в них вирусов; и при необходимости, вылечит/удалит/переместит в карантин/запретит доступ, и т.д. Перед началом сканирования компьютер необходимо проверить антивирусным сканером (со свежими базами) - чтобы увериться в его безопасности.

Еще один способ обезопасить домашнюю информационную систему – это использование файлового и почтового мониторов.

Файловый монитор - это резидентная программа, которая пропускает через себя (частично или полностью) файловый ввод-вывод - все операции чтения и записи файлов - и также пытается найти и уничтожить заразу. Именно этот компонент любого антивируса более всего «притормаживает» систему.

Почтовый монитор - резидентная программа, которая перехватывает почтовый трафик (протоколы POP3 и SMTP) и его анализирует всё на тот же предмет. Несколько раз он меня выручал - когда по почте приходили вирусы. Mail.ru декларирует, что вся почта, идущая через их сервер, проверяется антивирусом, но то ли базы у них несвежие, то ли ещё что, но вирусы они иногда пропускают.

Также в состав защиты входят домашней компьютерной сети: все компоненты Dr. Web, Outpost Firewall, планировщик nnCron.

Задачу защиты от несанкционированного доступа и сетевых атак домашнего компьютера успешно решает персональная программа-брандмауэр. Она может быть как встроенной в операционную систему, так и устанавливаемой отдельно. Операционная система Microsoft Windows XP содержит встроенный брандмауэр Windows.

В Windows 7 можно устанавливать ограничения на использование детьми компьютера и повысить их безопасность в Интернете, не контролируя каждое их действие лично.

Функция родительского контроля позволяет ограничивать часы работы детей на компьютере, а также устанавливать перечень доступных им программ и компьютерных игр (и время их использования). Кроме того, с помощью родительского контроля в составе Windows Media Center можно блокировать доступ к просмотру нежелательных телепередач и фильмов.

Чтобы повысить безопасность детей в Интернете, загрузите Семейную безопасность Windows Live. Эта бесплатная программа поможет вам управлять списком веб-сайтов, которые доступны вашим детям, и контактов, с которыми они могут общаться по сети. Она также предоставляет полезные и простые в изучении отчеты об их действиях в Интернете.

Работа с черными и белыми списками сайтов еще один вид защиты моей домашней сети.

Списки сайтов позволяют нам отключать неэффективные источники или наоборот выбирать самые эффективные источники на основании данных статистики.

Сайты, которые нам не подходят по разным причинам, вы можете добавить в глобальный черный список, либо в список кампании, если допустим конверсия с сайта по кампаниям разная.

Белый список сайтов работает для каждой кампании отдельно, после добавления сайта в общий белый список, его нужно также добавить в белый список кампании, если вы хотите, чтобы по нему был показ вашей рекламы.

PGP — компьютерная программа, также библиотека функций, позволяющая выполнять операции шифрования и цифровой подписи сообщений, файлов и другой информации, представленной в электронном виде, в том числе прозрачное шифрование данных на запоминающих устройствах, например, на жёстком диске.

Таким образом, можно сказать, что в своей домашней сети я использую следующие виды защиты: защита компьютера от интернета, сканер, файловый монитор, почтовый монитор, все компоненты Dr. Web, а также Outpost Firewall, планировщик nnCron, родительский контроль ,а также черный и белый список сайтов.

 

2. Установка и настройка средств защиты

Рассмотрев наиболее популярные и эффективные аппаратные и программные, теперь наглядно представлю каким образом устанавливаются программные средства, обеспечивающие дополнительную защиту сети.

Один из первых эффективный способов защиты компьютера от Интернета. В последнее время начинают появляться программы, которые позволяют установить внутри одной ОС другую ОС таким образом, что они полностью изолированы друг от друга,, т.е. если у вас на компьютере стоит ОС Windows-2000 или Windows-XP, то  внутри нее можно поставить другую внутреннюю систему, например Windows-98 и использовать ее исключительно для работы в сети и вообще для тестирования нового софта, в котором вы не уверены. Одна из таких программ называется VMWare <http://www.vmware.com> и основное ее предназначение состоит в возможности установки на вашем компьютере виртуального компьютера с отдельным жестким диском и другими девайсами. Внутри этого виртуального компьютера можно установить любую другую ОС, такую как Windows-98, Windows-ME, Windows-2000 или Windows-XP, Linux и т.д. Теперь внешнюю ОС можно вообще не подключать к Интернету, а внутреннюю ОС использовать только для работы в сети, не обременяя себя различными мерами по защите от вирусов и троянских коней. Пускай эти маленькие «гады» на нее залезают. Все равно они не смогут с нее выбраться. Как только вирус начнет свою разрушительную активность вы можете откатиться на предыдущее состояние внутренней ОС и таким образом с легкостью от него избавиться. Хотя программа  VMWare позволяет создать между двумя ОС сеть, мы не рекомендуем вам этого делать, т.к. сеть может помочь вирусу или троянскому коню перебраться на внешнюю ОС, где находится конфиденциальная информация. Вполне достаточно того, что обе системы имеют доступ к флоппи дисководу и CDROMу, с помощью которых файлы можно перемещать между одной ОС и другой. Этот способ по эффективности очень похож на способ использования двух дисков, только преимущество его состоит в том, что не надо ждать, пока ваш компьютер перезагрузится на другую ОС. Вы можете одновременно работать в обеих ОС и даже имеется возможность переносить между ними информацию через буфер обмена. Т.к. программа VMWare создает виртуальную видеокарту, жесткий диск, звуковую карту и материнскую плату, то хотелось бы посмотреть, каким образом Чернобыльский вирус сможет разрушить BIOS виртуальной материнской платы. Ведь это не настоящая плата, а только виртуальная. Еще одно значительное преимущество данного способа защиты компьютера состоит в том, что программа VMWare позволяет в любой момент погрузить внутреннюю ОС в спящий режим, подобный режиму hibernation, только в данном случае он работает надежно на все 100%, не преподнося пользователю таких неприятных сюрпризов, когда после выхода их хибернации машина зависает намертво.

Кратко ее можно описать так: виртуальные компьютеры (на основе VMWare Work Station), работающие изнутри шифрованных дисков (на основеJeticoBestCrypt). 
Немного более развернуто эту схему можно описать так. Сначала - терминология: 
- хост - платформа (настоящее оборудование и операционная система (ОС) на нем), где работает эмулятор (VMWare, в данном случае; хотя VMWare и не такой чистый эмулятор, как, например: Connectix (Microsoft) Virtual PC) и системы.шифрования.данных; 
- гость - платформа, состоящая из виртуального оборудования, созданного эмулятором и какой либо ОС, установленной на этом виртуальном железе. 
 
     Организация.хоста: 
- железо: компьютер x86 c 0,5 - 2 ГБ памяти; процессор класса P4 c частотой в районе 3 ГГц (объем памяти наиболее важен - отдавайте предпочтение ему в ущерб всему остальному); жесткий диск достаточного объема для установки ОС хоста и некоторого ПО (см. далее) - я использую ноутбук с 1ГБ памяти и процессором Centrino первого поколения 1,6 ГГц; 
- ОС: можно взять любую из наиболее распространенных Линуксов, тогда отпадут возможные претензии по поводу нелицензионного ПО - использую WindowsXP; 
- ПО: эмулятор VMWare; система шифрования BestCrypt для создания контейнеров (где будут гости) и шифрования файла виртуальной памяти хоста (есть версии VMWare и BestCrypt под линукс); антивирус (KAV, DrWeb), анти-шпион (Ad-Aware) и система аудита (Aida) - делает "снимки" конфигурации системы (для последующего сравнения и выявления вторжений); 
- другое: дополнительно можно применить аппаратное (IDE-шифраторы) или программное - (DriveCrypt Plus Pack - предпочтительнее) шифрование содержимого диска хоста; в этом случае включать шифрование файла виртуальной.памяти.BestCrypt'ом.не.нужно; 
- конфигурация: отключите все лишние сервисы ОС; логически отключите все сетевые соединения (если необходимо использовать одно из сетевых соединений хоста в качестве моста гостями, то сделайте "отвязку" (unbinding) протокола TCP/IP в свойствах сетевого соединения сетевого адаптера); ужесточите системную политику безопасности (на всякий случай). 
Итак, хост используется для единственной цели - запуск гостей с шифрованных Bestcrypt'ом контейнеров с помощью эмулятора VMWare. Пробраться на хост кому-либо кроме Вас, становится очень затруднительным. 
 
     Организация.гостя/ей: 
- железо: отдельный жесткий диск объема, достаточного для хранения шифрованных контейнеров с гостями и вашими проектами - использую 2,5" ноутбучный.жесткий.диск.в.USB.2.0.боксе; 
- контейнеры: можете создать скрытую часть; не давайте контейнерам очевидные имена и описания, типа "MyProjects" - просто назовите файлы "1.jbc", "2.jbc" ... и не задавайте им описания; 
-ОС:те,которые.Вам.нужны; 
- обязательное ПО (только для гостей, с которых Вы выходите в сеть): антивирус, анти-шпион, система аудита (см. выше) и файрволл (важно: работая с сетями (как и, вообще, с чем-либо) Вы должны понимать принципы работы сети; файрволл - это не волшебная программа, которая Вас защитит, а то что исполняет ВАШИ ПРАВИЛА относительно сетевого траффика); 
- другое ПО: по вашему усмотрению (однако, старайтесь не использовать наиболее широко распространенного ПО (в нем больше всего ищут (и находят) дыр), стандартных сетевых портов, и стандартных мест размещения критических файлов); можете также поставить туда BestCrypt и монтировать в гостя контейнер с вашими проектами, профилями ПО, ключами и т.п.; 
- конфигурация: отключите все лишние сервисы ОС; ужесточите системную политику безопасности; в эмуляторе задайте запрос на фиксирование/откладывание/отброс транзакций к виртуальному диску по завершение.работы.гостя. 
Итак, здесь принцип тот же (только для сетевых гостей применять его надо жестче): отключаем/блокируем все лишнее по принципу - нет программы, нетпроблемы. 
 
    Регулярно проводите антивирусное, антишпионское сканирование и аудит хоста и сетевых гостей (перед началом работы, после загрузки, можно сделать аудит - всего 5 минут, а раз в неделю - сканирования). На хост ставьте только крупные обновления ОС типа сервис-паков. На сетевых гостях придется помучится с установкой всех критических обновлений ОС (заплаток) - которые выходят между сервис-паками (ни в коем случае не в автоматическом режиме) - подпишитесь на рассылку безопасности по данной ОС. 
        Если Вы не устанавливали никакого ПО и не проводили конфигурацию гостя в течение последнего сеанса работы (особенно в сети), то незачем фиксировать транзакции на виртуальный диск гостя по завершении - вдруг Вас протроянили (ваши проекты, смонтированные в гостя отдельным BestCrypt-конетейнером - сохранятся). Проводите работы по переконфигурации гостей с последующей фиксацией изменений на виртуальный диск гостя в "доверенном" состоянии (проведены сканирования иаудит). 
 
      Описанная схема, кроме повышенного уровня безопасности, обладает еще и прекрасной переносимостью. Вы можете развернуть хосты в нескольких местах, где Вам приходится бывать и ходить туда-сюда с диском с рабочим набором (в данный момент - это чуть более 100 грамм массы при объеме 100 Гб). А про этот кошмар с установкой ПО можно забыть: 
поставили и настроили один раз - и все - вы носите ваши "компьютеры" с собой. 
       На рабочий диск можете вместе с шифрованными контейнерами положить самораспаковывающийся запароленный архив WinRAR с образом диска с дистрибутивом ОС для хоста, дистрибутивами VMWare и BestCrypt. Это позволит Вам быстро развернуть защищенную конфигурацию на любом подходящем железе, где бы Вы ни оказались.

В моей сети используются три прекрасные программы служащие так же хорошим средством защиты. Dr. Web,Outpost Firewall и планировщик.

Рассмотрим установку и настройку их.

 

Во время установки Dr. Web следует указать выборочную установку (Рисунок 5). «Родной» планировщик не стоит устанавливать: мы и так воспользуемся планировщиком, только более функциональным.

Рисунок 5 - Установка Dr.Web

После успешной установки Dr. Web необходимо изменить метод запуска службы "SpIDer Guard for Windows NT" на ручной, а также удалить из автозагрузки (при помощи "msconfig") "spiderml" и "spidergate". Нечего им делать в отсутствие соединения с инетом.

Точно также, после установки Outpost Firewall, переводим в режим ручного запуска службу "Outpost Firewall Service".

Теперь устанавливаем планировщик nnCron. Он хорош своею компактностью, быстротою и мощностью языка заданий. А также халявностью для жителей б. СССР. Примечание. После установки и регистрации в его настройках (см. рис. 6) можно выключить "Непотопляемый режим", или отключить соответствующую службу. Лишнее это в наше время.

 

Рисунок 6 - Планировщик nnCron

Защита от несанкционированного доступа и сетевых хакерских атак

Рисунок 7 - Интерфейс встроенного брандмауэра Windows.

Встроенные брандмауэры отличаются весьма ограниченной функциональностью, что с другой стороны компенсируется отсутствием конфликтов с операционной системой и бесплатностью. Для обеспечения более удобной и приятной работы, с возможностью более точной настройки различных параметров, устанавливаются брандмауэры третьих производителей. В брандмауэре, не рекомендуется вручную менять настройки для соединений, которые потенциально могут использоваться злоумышленниками для атаки на компьютер. Большинство легальных прикладных задач, совершающие нестандартные или подозрительные действия, способны сами зарегистрироваться в брандмауэре и при первом запуске инициировать запрос пользователя на разрешение продолжить работу.

Рисунок 8 - Определение в интерфейсе встроенного брандмауэра Windows исключений, которые блокировать не нужно

 
Для домашнего использования, можно выделить брандмауэры, встроенные в антивирусные комплексы и полностью отдельные программы. Такие сетевые экраны более функциональны, чем встроенные в операционную систему, и содержат все необходимые для домашнего компьютера функции и настройки. Соответственно, для увеличения надежности защиты, такие программы требуют регулярного обновления баз сигнатур угроз, от которых они защищают. Брандмауэры, входящие в антивирусный комплекс программ, обновляется одновременно со всеми установленными компонентами защиты.

Включение родительского контроля.

1. Вам нужно открыть раздел «Родительский контроль». Для этого нажимаем меню «Пуск» -> «Панель управления» -> «Родительский контроль».

Рисунок 9 – 1-й этап включения родительского контроля

 

2. Теперь, выберете пользователя, для которого вы желаете установить родительский контроль. Кликните по пункту «Включить, используя текущие параметры». Ну вот, теперь вам можно настроить все параметры по своему желанию.

Рисунок 10 – 2-й этап включения родительского контроля

 

Рисунок 11– 3-й этап включения родительского контроля

 

3. Начнем с ограничения времени. Здесь вы сможете назначить время, в рамках которого пользователю позволен вход в систему. Тут же можно точнее настроить часы доступа для отдельного дня недели (Например, в выходные дни вы можете дать своему ребенку чуть больше свободы). Синие клеточки, означают, что ребенку в это время запрещен вход в операционную систему windows 7, а белыми квадратиками отмечено разрешение входа в систему, (например у меня на скриншоте показано, что ребенку разрешен доступ к компьютеру: В четверг с 14:00 до 17:00). В момент, когда

разрешенное время подходит к концу, операционная система производит автоматический выход из системы.

Рисунок 12 – 4-й этап включения родительского контроля

 

Рисунок 13 – 5-й этап включения родительского контроля

 

4. Поговорим об играх. Так же вы можете ограничить допуск детей к отдельным играм. Одни игры по причине оценки содержимого, другие игры по причине возрастной оценки. Кликните на пункт «Игры».

Рисунок 14 – 6-й этап включения родительского контроля

 

5. Перед вами откроется окно в котором вы можете делать настройки касающихся не посредственно игр. Вы можете включить пункт «Да» или «Нет» для запуска игр пользователем (ребёнком). Можете задать категорию игр в которые ваш ребёнок сможет играть. Либо можете просто перейти во вкладку «Запрещение и разрешение игр» и выбрать пункт, либо разрешать включение игр, либо запрещать, тут уже выбирать вам.

Рисунок 15 – 7-й этап включения родительского контроля

 

Рисунок 16 – 8-й этап включения родительского контроля

 

Рисунок 17 – 9-й этап включения родительского контроля