|
Раздел "Безопасность". Содержание:
Статьи:
 Антишпионские и антивирусные средства Microsoft
Производители антивирусов «ходят под статьей»
Познание окружающей реальности методом грубой силы
Персональный файрвол ZoneAlarm Pro 5.5
"Доктор Паутиныч"
Новости:
Ханты-Мансийск: 77 миллионов на борьбу с хакерами
"Лаборатория Касперского" тестирует новый пакет для защиты сетей
ФБР может отказаться от своей антитеррористической компьютерной системы
Хакер, взломавший сеть T-Mobile USA, отделался $25000 штрафа
Червь "Anti-Santy" атакует Интернет
В Сети обнаружены исходники червя Cabir
Банда мошенников украла у Wal-Mart $1,5 млн.
Новая уязвимость в Mozilla - подделка URL
Американского пирата посадили на 2,5 года
ФБР отправляет в отставку мониторинговую программу Carnivore
Microsoft называет уязвимость "функцией" и прикрывается ФБР
"Аль-Каеда" начала издавать интернет-журнал для террористок-смертниц
Найден новый вирус, призывающий жертвовать деньги пострадавшим от цунами
МВД осваивает методы борьбы с хакерами
Нью-Джерси: Интернет-террорист сядет на год в тюрьму
SiteDigger 2.0 от McAfee выявляет дыры в веб-порталах
Microsoft вербует патч-тестеров
Червь играет со своими жертвами
Раздел "Безопасность". Статьи:
 | Антишпионские и антивирусные средства Microsoft |
|
Компьютерные аналитики уже не раз писали об ожидающихся антивирусных и антишпионских
средствах компании Microsoft, которые и были представлены публике 11
января этого года. Однако они просчитались - вместо единого
универсального продукта выпущены две независимые утилиты.
Антивирусная программа туманно названа Средство удаления вредоносных
программ Microsoft Windows (KB890830) - Microsoft Windows Malicious
Software Removal Tool и, честно говоря, не представляет никакого
интереса. Однако это окончательная версия, локализованная на русский
язык, распространяемая бесплатно и без ограничений (см. www.microsoft.com/downloads/details.aspx?FamilyId=AD724AE0-E72D-4F54-9AB3-75B8EB148356&displaylang=ru
). После загрузки мы получаем файл Windows-KB890830-RUS.exe размером
264 КБ, который без установки в системе после своего запуска проверяет
Windows XP, Windows 2000 или Windows Server 2003 на наличие вирусов, а
затем удаляет "наиболее распространенные вредоносные программы из
зараженных систем". Под вредоносными подразумеваются 10 широко
известных вирусов/червей, включая Blaster, Sasser, MyDoom и Nachi. Не
секрет, что средство это появилось в арсенале Microsoft после
приобретения в июне 2003 года румынской антивирусной компании GeCAD
Software. Однако Microsoft разработала собственную версию по проекту
Titan, результат которого будет насильно вытолкнут всем пользователям
Windows через службу Microsoft Download Center.
Подробности: www.microsoft.com/security/malwareremove/default.mspx
Для использования утилиты необходимы права администратора системы.
Доступна сетевая версия средства (см. go.microsoft.com/fwlink/?LinkId=40458 ), инструкции для которой опубликованы в статье базы знаний KB891716 ( go.microsoft.com/fwlink/?LinkId=40586 ). Список обнаруживаемых в данной версии вирусов приведен в статье KB890830 ( go.microsoft.com/fwlink/?LinkId=40573 ). Компания обещает поставлять новые версии этой простенькой утилиты вместе с ежемесячными пакетами обновления.
Заметим, что антивирусная компания McAfee Inc. предоставляет
аналогичную программу Avert Stinger, также доступную для бесплатной
загрузки ( vil.nai.com/vil/stinger/ ).
Гораздо интереснее бета-версия антишпионской программы Microsoft Windows AntiSpyware (Beta) - см. www.microsoft.com/athome/security/spyware/software/default.mspx
, для которой уже открыт специальный раздел на сайте компании. Утилита
эта была куплена в декабре прошлого года вместе с компанией Giant
Company Software ( www.giantcompany.com/ ).
Чтобы загрузить файл MicrosoftAntiSpywareInstall.exe (чуть меньше 6,4
МБ) придется проверить систему на гениальность (шутка, genuine,
естественно, означает "подлинность"), после чего можно запустить
установку.
Веселенький интерфейс Microsoft AntiSpyware (Beta 1) немного не
соответствует грозной задаче по искоренению "шпионских и других
нежелательных программных [модулей]", но смотрится хорошо. Естественно,
"использован новый подход для противодействия и предотвращения"
(согласно файлу справки программы), который состоит в совместном
применении трех компонентов:
1. Real-time Spyware Security Agents - агенты защиты от шпионских
модулей в реальном времени. Обеспечивают безопасность компьютера, а
также защиту конфиденциальности и персональной информации от скрытых
угроз. Всего существует три агента: Internet (Интернета), System
(системный) и Application (приложений), отслеживающих более 50 (в
другом месте справки - более 100) контрольных точек за счет проверки
неизвестных действий по сведениям из глобального сообщества SpyNet
Community. 2. Сообщество SpyNet AntiSpyware объединяет
пользователей Microsoft AntiSpyware для быстрого обмена и идентификации
неизвестных приложений и цифровых подписей (signature). 3.
Двигатель сканирования (Spyware scanning engine) выполняет проверку
системы по постоянно обновляемой членами SpyNet базе данных, содержащей
более 5 тыс. известных подписей шпионских модулей.
Проверка сканированием проворно выполняется как в режиме
интеллектуального быстрого сканирования, так и в режиме полного
сканирования системы (с разделением на память, накопители/папки и
глубокое сканирование папок). Отметим, что в первом случае проверяются
память, файлы, ключи реестра и файлы cookie. На наших компьютерах
утилита ничего не обнаружила, поэтому об эффективности поиска сказать
нечего. Для найденных шпионских модулей реализован карантин. Можно
сформировать отчет в Microsoft о проблемах AntiSpyware.
Сразу отметим флажок Options/Settings/General/Hide the Microsoft
AntiSpyware icon on the system tray, позволяющий удалить из области
уведомлений Панели задач значок программы в виде колеса красной резины
с желтым ободом.
Интересным показались три расширенных/улучшенных средства. System
Explorer открывает доступ к параметрам системы, которые "обычно скрыты
или труднодоступны". Browser Hijack Restore восстанавливает параметры
настройки браузера после их внешнего искажения (например, после
"заражения" принудительным перебросом на какой-нибудь порносайт). Track
Eraser стирает журналы не только от Microsoft, но и от Adobe, Google,
ICQ, Kazaa и т.д. (включая WinRAR).
Не менее интересна классификация шпионских модулей из справки AntiSpyware (описания сокращены):
Adware - [рекламные модули] - ПО, выводящее рекламу.
Spyware - [шпионские модули] - ПО для сбора демографических данных и
информации о использовании компьютера, обычно для целей рекламы. Часто
содержатся в загруженных из Интернета программах. Browser
Plug-in - [надстройки браузера] - приложения, устанавливаемые в
веб-браузер. Могут быть в виде панелей или дополнительных кнопок.
Некоторые надстройки получают полный контроль над браузером для
регистрации, модификации или перенаправления любой выполняемой в нем
операции. Browser Redirector - [модули перенаправления браузера]
- программы, изменяющие параметры веб-браузера (часто - адреса целевой
или домашней страницы). RAT - [remote administration tool,
средство удаленного администрирования] - троянец. После запуска
обеспечивает атакующему удаленный контроль над компьютером по
Интернету. Keylogger - [регистратор клавиатурного ввода] -
работающая в фоновом режиме программа для скрытной записи в файл
клавиатурного ввода с целью последующего извлечения этого файла
атакующим. Remote Installer - [удаленный установщик] - скрытно
устанавливаемая программа для загрузки дополнительных приложений и
файлов. Commercial Keylogger - [коммерческий регистратор
клавиатурного ввода] - коммерческая программа, устанавливаемая на
совместно используемом компьютере для регистрации клавиатурного ввода
других пользователей. Dialer - [номеронабиратель, программа
дозвона] - программа набора телефонных номеров для формирования
модемного подключения. Low Risk Adware - [малоопасный рекламный
модуль] - программа вывода рекламы, установленная на компьютере с
согласия пользователя и по соглашению о применении для конечного
пользователя (End User Licensing Agreement). File Sharing
Program - [программа файлового обмена] - приложение обмена файлов
(одноранговое или пиринговое - peer-to-peer) для обмена разными типами
файлов в Интернете, которые могут содержать рекламные или шпионские
модули.
Единственным замеченным недостатком стал неправильный (в иной кодовой странице) вывод месяца в русской версии Windows XP.
Если же сравнивать с другими бесплатными утилитами этого класса
(например, Ad-Aware SE и Spybot - Search & Destroy), но Microsoft
AntiSpyware выглядит неплохо, но полностью игнорирует безобидные
отслеживающие файлы cookie (tracking cookie). Функция очистки слежения
Tracks Eraser из набора расширенных средств Advanced Tools удаляет все
файлы cookie без разбора, не выделяя стандартные рекламные модули в
списке сканирования. Такие текстовые файлы обычно не связывают с
нарушением конфиденциальности.
В остальном AntiSpyware обеспечивает полный набор нужных функций:
защиту от перенаправления браузера Internet Explorer, помещение в
карантин или немедленное удаление шпионских модулей, создание точки
восстановления Windows, а также доступ и анализ вспомогательных
объектов браузера BHO (Browser Help Object), элементов управления
ActiveX, стартующих при запуске компьютера программ, параметров
настройки браузера IE, панелей IE и т.д.
Режим быстрого сканирования Quick Scan проверяет практически тот же
список объектов, что и глубокое сканирование Deep Scan, которое
применяется (как нам показалось) ко всем файлам компьютера (в отличие
от Spybot и Ad-Aware), поэтому AntiSpyware тратит на него значительно
больше времени.
   
| Производители антивирусов «ходят под статьей» |
|
Ответственность за создание, распространение и использование вредоносных программ предусматривает статья 273 УК РФ. Однако, в этом ключевом документе имеется ряд неточностей и упущений. В частности, одно из ключевых понятий – «программа» - в трактовке, изложенной в статье, становится неоправданно широким, а производители антивирусных программ, использующие в своей работе антивирусы, также подпадают под действие статьи.
Определение "программы"
Понятие "компьютерных преступлений" появилось в отечественном законодательстве сравнительно недавно. Сейчас идет "наработка" судебной практики по соответствующим статьям главы 28 Уголовного кодекса. Право в России не прецедентное, поэтому решения разных судов, вынесенные по одним и тем же статьям, могут различаться. Обобщать судебную практику и давать разъяснения по отдельным ее вопросам может Верховный суд РФ, однако, ни одно из "компьютерных" дел до него еще не дошло. Поэтому, если при рассмотрении других, более "старых" по возрасту, статей УК большинство возникающих вопросов уже решено Верховным судом, то по "компьютерным" статьям единообразия в судебной практике до сих пор не наблюдается.
Но вернемся к статье 273 УК РФ. Прежде всего - непонятно, почему заголовок статьи повествует о "вредоносных" программах, а в самом тексте упоминаются только лишь программы, заведомо приводящие к несанкционированным действиям с информацией. Если говорить строго – это разные вещи. Впрочем, несоответствие лежит на поверхности. Но, вдобавок к этому, стоит остановиться на определении понятия "программа" вообще. Вопрос о том, что считается "программой" (и, следовательно, какие именно действия влекут за собой уголовную ответственность) в уголовном праве очень важен.
Сформировавшиеся в "компьютерной" субкультуре правила поведения очень отличаются от общепринятых - настолько, что, когда они разбираются в судах, то решения "нормальных" судов вызывают среди "компьютерщиков" недоумение. Как уже писал CNews - судье при рассмотрении дел, связанных с компьютерами и технологиями, необходимо разбираться в нормах поведения в "компьютерной" субкультуре.
На практике определение программы для целей уголовного процесса берется из закона "О правовой охране программ для электронных вычислительных машин и баз данных". Но при использовании определения из этого закона в число видов информации, действия с которой влекут ответственность, попадут исходные тексты, а также другие, "подготовительные материалы", под которыми в законе понимается все, что, так или иначе, используется при создании программы, вплоть до генерируемых при ее работе изображений.
Совершенно очевидно, что при таком положении вещей определение "вредоносной программы" из статьи 273 УК становится неоправданно расширенным. Причиной этого является то, что в упомянутом выше законе используется определение, рассчитанное на охрану прежде всего авторских прав создателя программы. После того, как оно перенесено в сферу действия принципиально иной отрасли права, "работать" в ней оно будет совсем не так, как нужно.
Практика определений
Однако, если мы проследим за тем, как происходит определение различных понятий в разных отраслях права, то увидим, что по смыслу они могут различаться даже для одного и того же понятия. Например, статья 152 УК устанавливает ответственность за "торговлю несовершеннолетними", в то время как, в соответствии со ст. 128 Гражданского кодекса РФ, люди к объектам гражданских прав вообще не относятся и, разумеется, относиться не могут. Соответственно, купля-продажа несовершеннолетнего, как и совершение с ним любых иных сделок - нонсенс с точки зрения гражданского права.
Можно привести и другие примеры. Статьей 171 УК устанавливается ответственность за незаконное предпринимательство, под которым законодатель понимает, в том числе и "осуществление предпринимательской деятельности без регистрации либо без лицензии", в тех случаях, когда она необходима. В то же время статья 23 Гражданского кодекса РФ связывает предпринимательскую деятельность гражданина именно с его государственной регистрацией в качестве предпринимателя. То есть, с точки зрения ГК, незарегистрированного предпринимателя быть просто не может.
Дополнительно это было подтверждено в постановлении пленумов Верховного суда РФ и Высшего арбитражного суда РФ N 6/8 от 1 июля 1996 г., в котором сказано, что гражданин, который занимается предпринимательской деятельностью, но не прошел государственную регистрацию, не приобретает в связи с занятием этой деятельностью статуса предпринимателя. Споры с участием таких лиц, связанные с осуществлением ими предпринимательской деятельности, подведомственны не арбитражному суду, а суду общей юрисдикции. Тем не менее, в уголовном праве такие люди все равно считаются "предпринимателями". Точно такая же ситуация со статьей 172 УК - "Незаконная банковская деятельность". Как и незаконного предпринимательства, банковской деятельности без регистрации или лицензии с точки зрения законодательства о банках, быть просто не может, вернее, банковской деятельностью она считаться не будет.
Как мы видим, те понятия, которые используются для целей уголовного судопроизводства, не всегда совпадают: в уголовном праве используются термины, которые, как правило, берутся из других отраслей, но смысл их при этом меняется, как мы видели на приведенных выше примерах. Термины эти берутся, как правило, в том смысле, который ближе всего к обыденному, повседневному их пониманию. В случае, когда автор, написавший программу, хочет защитить свои авторские права на нее, основное значение имеет исходный текст. С точки же зрения Уголовного кодекса, написание вируса на каком-то языке программирования - подготовка к тому, чтобы причинить кому-либо вред. В большинстве случаев сам исходный код этого сделать не может, его надо откомпилировать.
Однако, в большинстве специальной литературы говориться как раз о том, что исходные тексты попадают под определение вредоносной программы. При этом определение всегда бралось из закона "О правовой охране программ для ЭВМ и баз данных". Для того, чтобы исправить сложившуюся ситуацию, необходимо либо прямое вмешательство законодателя, либо определение Верховного суда, которое сузит понятие "программы", используемое в уголовном судопроизводстве. "Программа" из авторского законодательства, не тождественна (да и не может быть тождественной) такому же понятию из области уголовного права.
«Вредоносные» программы
Для того, чтобы действия человека содержали в себе признаки преступления, достаточно просто написать программу, которая "заведомо приводит к несанкционированному уничтожению, блокированию, модификации либо копированию информации", либо как-то воспользоваться ею. Особенность статьи 273, точнее, первой ее части - независимость наступления ответственности по ней от целей, которые преследует преступник, а также причиненного его действиями вреда, он может отсутствовать вообще.
Именно поэтому такое большое значение имеет определение понятия "программы", используемое для нужд УК: от него, в сущности, зависит наличие или отсутствие состава преступления. Из того, что программа способна выполнять конкретные действия, изменяющие как-то информацию, еще не следует, что действия эти несанкционированные: ведь все зависит от того, разрешил их, или нет, владелец информации. Скажем, на своем компьютере пользователь, по идее, может запускать все, что ему вздумается и причинять себе самому какой угодно вред.
То есть, когда пользователь использует исходный код вируса, он знает обо всех его функциях, и действия, этим вирусом выполняемые, перестают для него быть "несанкционированными". То же самое происходит, когда человек имеет скомпилированный вирус, который он никак не использует. Если четко определить понятие "несанкционированных действий" то получится, что состав преступления должно образовывать не только написание исходного текста, но и действия, направленные на реализацию его деструктивных возможностей, например, рассылка вируса по электронной почте или выкладывание его на сайт.
Однако, все, написанное в предыдущем абзаце, остается по большей части теорией: отечественные правоохранительные органы при расследовании "компьютерных преступлений", не вдаются, как правило, в подобные тонкости, и квалифицируют по 273 статье все действия, которые имеют хоть какое-то отношение к вирусным программам. Соответственно, "под статьей" при таком положении вещей ходят даже разработчики антивирусов, использующие при работе настоящие вирусные программы.
| Познание окружающей реальности методом грубой силы |
|
Сегодня мы поговорим про безопасность
данных, но не про всю на свете, а про отдельно взятый частный случай. А именно:
вскрытие RAR-архива, защищенного паролем. Как водится, информационным поводом явилась
вполне конкретная проблема: есть архив, сто лет назад упакованный в режиме «с паролем»,
в архиве лежит относительно полезная вещь, а пароль давно и прочно забыт. Чего делать?
Разумеется, отламывать. А заодно и проверить
достоверность утверждения «раз уж RAR написан не тупыми американцами, а хитроумными
русскими, то и защита у него — мое почтение, ни в жизнь не отломаешь».
Поскольку первая часть полностью соответствует
истине, в качестве фомки решено было использовать изделие еще более хитроумных русских
— Advanced RAR Password Recovery (найти
на SoftSearch). Перефразируя классика, что один хитроумный закрыл на ключ,
другой хитроумный завсегда отломать сумеет. ARPR предоставляет на выбор два способа
подбора пароля к архиву: либо по словарю, либо методом грубой силы (в просторечии
— «brute-force attack»). Первый метод не очень интересен: словарные слова в качестве
пароля используют только ярчайшие представители сами знаете чего, и уж ваш покорный
к таким умельцам точно не относится. Второй же метод прост, как садовые грабли —
пользователь слегка параметризует грубую силу (указывая минимально и максимально
возможную длину пароля, а также набор используемых символов), жмет на стартовую
кнопку, и что делает ARPR? Правильно, он перебирает по очереди все возможные комбинации.
Вначале короткие пароли, потом подлиннее, и так далее, пока пользователю не надоест,
или пока пароль не будет найден.
И вот здесь надо рассказать про одну
особенность архиватора RAR. Обычно принято спрашивать пароль на входе — вначале
авторизуемся, потом делаем свое дело. А в RAR сделано слегка по-другому: для того,
чтобы понять — подошел пароль, или же не подошел — нужно сперва распаковать файл.
Эффект запроса пароля на выходе очевиден: если файл относительно большой, тупой
перебор возможных комбинаций требует прямо-таки чудовищное количество времени. В
моем случае на каждое «nm#» и «dv$» требовалось извлечь из архива 14-метровый документ.
Умный ARPR, разумеется, на глазок прикинул, сколько потребуется времени на перебор
по заданным мною параметрам при текущей производительности моей системы — времени
оказалось три с небольшим дня. В течении которых процессор, разумеется, будет загружен
по полной программе. Сразу скажу: терпения у меня не хватило. Запустив процесс отлома
на второй домашней машине, результата я не дождался (скорость перебора — один пароль
в секунду, мракЪ и ужасЪ), смачно плюнул, и отправил архив обратно в мрачные глубины
файлового архива.
Спустя 21 час после старта ARPR
всё ещё перебирает трёхсимвольные пароли. А если пароль состоит из тридцати?
Для сравнения: тестовый архив размером
в 10k с ровно теми же параметрами перебора ARPR отломал за какую-то минуту (правда,
пароль был относительно простым, всего четыре символа). Теперь попробуем сделать
выводы. И выводы получаются сугубо практические.
Вывод первый.
Если вам нужно спрятать некую информацию от посторонних глаз, и в качестве механизма
защиты вы выбрали RAR — в архиве должен быть только один файл с ничего не говорящим
названием. Если файлов на самом деле несколько, их стоит упаковать в промежуточный
архив, полученный data.rar переименовать в data.dat и упаковать заново, на этот
раз — с паролем.
Вывод второй.
Файл должен быть большим — скорость отлома нашего архива будет обратно пропорциональна
размеру файла. Даже если нужно запрятать всего-то пару картинок, просто подмешайте
к ним мусора, метров так -цать. Где взять мусор? Ну, проще не бывает: \Windows\System32,
там его сколько угодно, любых форм и размеров.
Вывод третий.
Пароль должен быть стойким. Самый простой способ изготовить стойкий пароль: взять
любую фразу на русском языке и набрать ее при включенной латинской раскладке, периодически
переключая Caps Lock (например, на второй букве каждого слова туда, а на третьей
букве обратно). Мы говорим: «я иЗобрел сТойкий пАроль!», а подразумеваем «zbPj,htkcNjqrbqgFhjkm!».
Есть некоторая разница в запоминании, согласитесь.
Ну и вывод четвертый.
Архив, упакованный по выводам номер раз и два, и закрытый паролем по выводу номер
три, злые люди будут отламывать до морковкина заговения. Даже с помощью самой продвинутой
на свете ломалки.
| Персональный файрвол ZoneAlarm Pro 5.5 |
|
ZoneAlarm Pro является персональным файрволом и предназначен для
защиты компьютера от разного рода угроз при работе в интернете и в
локальных сетях. ZoneAlarm ограничивает доступ к компьютеру из сети и
позволяет контролировать доступ в сеть программного обеспечения,
установленного на компьютере. Помимо этого, он может контролировать
исходящие данные и пресекать отправку нежелательной информации по почте
или через web-интерфейс. ZoneAlarm контролирует входящую и исходящую
почту. Во входящей почте он может переименовывать потенциально опасные
вложения и помещать их на карантин. Количество исходящей почты может
быть ограничено для предотвращения массовых рассылок при заражении
компьютера почтовыми червями, что в сумме с контролем за приложениями
препятствует работе червей. Файрвол может удалять с посещаемых страниц
рекламу, экономя трафик и уменьшая время загрузки страниц. Блокировка
скриптов и активного содержимого поможет предотвратить заражение
компьютера при посещении определенных веб-сайтов. Приобрести продукт можно на сайте Zone Labs.
Установка ZoneAlarm
После запуска файла установки ZoneAlarm необходимо ввести своё имя и
почтовый адрес, на который могут приходить уведомления об обновлениях
продукта и новости. ZoneAlarm необходимо зарегистрировать на сайте
ZoneLabs.
Затем необходимо принять условия лицензионного соглашения. После
этого файлы ZoneAlarm будут скопированы и на последнем этапе установки
нужно ответить на несколько вопросов мастера.
По окончании установки можно запустить ZoneAlarm. На экран будет выведено окно менеджера лицензий. Нажав кнопку Buy Now можно перейти в он-лайн магазин Zone Labs для покупки продукта. Щелкнув по ссылке To begin or continue your trial, click here можно начать использовать ZoneAlarm в демонстрационном режиме. Если продукт был приобретен ранее, то при помощи последнего пункта меню можно ввести регистрационный ключ.
После этого будет открыто окно, в котором рассказывается об основных настройках и принципах работы ZoneAlarm. Образец этого окна показан ниже.
Настройка ZoneAlarm после первого запуска выполняется мастером. В его первом окне предлагается определить, в какой сети в данный момент
находится компьютер, и какой уровень защиты должен применяться при
нахождении компьютера в этой сети. После того, как выбор сделан,
откроется главное окно программы.
Интерфейс
На первой вкладке главного окна собрана статистика работы файрвола, информация и нем
и общие настройки. В общих настройках можно сменить цвет интерфейса,
защитить настройки файрвола паролем, выбрать тип его запуска, сохранить
резервную копию настроек и так далее. В верхней части окна
показаны значки активных приложений, и при помощи щелчка мыши по
желтому замку можно оперативно заблокировать их доступ в сеть. Левее
показана зона, в которой в данный момент работает компьютер. При помощи
красной конки Stop можно заблокировать весь трафик.
Настройки файрвола
При помощи ползунков на вкладке настроек файрвола можно изменить уровень защиты для каждой из
зон. От максимального, когда запрещены любые входящие соединения и
компьютер скрыт в сети, до минимального, когда файрвол отключен. При помощи кнопки Custom можно тонко настроить каждый из уровней защиты. Кнопка Advanced открывает окно с дополнительными настройками.
В некоторых компаниях сотрудники обязаны использовать для выхода в интернет ZoneAlarm. В этом случае, отметив пункт Automatically check the gateway for security enforcement,
можно включить авторизацию ZoneAlarm на шлюзе. Если у клиента не
установлен ZoneAlarm, то в доступе к интернету через корпоративный шлюз
ему будет отказано. Группа настроек Internet Connection Sharing предназначена для настройки ZoneAlarm при использовании ICS (Internet Connection Sharing, общий доступ к подключению). This is a client of an ICS/NAT указывает ZoneAlarm на то, что он работает на компьютере, который является клиентом ICS, а This computer is an ICS/NAT gateway
– на то, что компьютер под защитой ZoneAlarm сам является шлюзом.
Использование ZoneAlarm на клиентах и на шлюзе позволяет перенаправлять
события, происходящие на шлюзе, на компьютер клиента. Группа настроек General Settings позволяет настроить расширенные параметры защиты, а переключатель Network Setting
предназначен для выбора типа реакции файрвола на работу в новой сети
(занести новую подсеть в доверенную зону или в зону интернета или
вывести мастер для ручного определения зоны новой подсети). На вкладке Zones
(зоны) можно добавить в список адреса, диапазоны адресов или подсети и
указать, в какой зоне находятся эти компьютеры: в доверенной (Trusted) или в запрещенной (Blocked). Исходя из этих определений, соединения с этими компьютерами либо можно будет устанавливать, либо нет. На вкладке Expert
можно вручную создать правила фильтрации пакетов. Настройки правил
очень гибкие. Можно указать отправителей, получателей, протоколы,
порты, ранг (правила с меньшим рангом обрабатываются раньше), можно
включить или выключить правило, выбрать тип (блокирующее или
разрешающее), указать временной диапазон, в котором правило будет
работать, выбрать тип оповещения о срабатывании правила (вывод
сообщения на экран и/или запись в лог или ничего). Для получателей,
отправителей, протоколов и времени работы правила можно создать группу,
которую потом можно будет использовать в других правилах. Таким
образом, настроек вполне достаточно для создания правила фильтрации
пакетов любой сложности, причем, одним правилом можно настроить работу
приложения, которое использует для работы в сети несколько протоколов
(TCP, UDP), несколько портов и может устанавливать соединения с
несколькими серверами в некоторые определенные промежутки времени.
Такая гибкость настроек, в сумме с возможностью сохранить вместе с
правилом его описание, позволит сократить количество правил для
описания работы большого количества приложений и облегчить работу с
правилами.
Настройки контроля программ
Просмотреть и настроить контроль над доступом приложений и их компонентов в сеть можно на вкладке Program Control.
При помощи ползунка Program Control можно менять уровень
контроля над доступом программ в сеть, а также уровень контроля над
компонентами программ. На максимальном уровне, при попытке приложения
выйти в сеть, будет выдаваться запрос о разрешении доступа и будет
включен контроль компонентов. Этот уровень рекомендуется включать лишь
после длительной работы в режиме Medium, когда уже созданы правила для большинства часто используемых приложений.
Настройка AlertAdvisor предназначена для отправки запросов
на сервер Zone Labs для получения дополнительной информации о
программе, которая пытается выйти в интернет. Если есть затруднения при
выборе действия, которое должен выполнить файрвол с запросом программы
на доступ в интернет (Allow, Deny), то можно передвинуть ползунок в
положение Manual. Теперь при нажатии кнопки More Info
в запросе файрвола, будет открыта страница на сервере Zone Labs, на
которой будут даны рекомендации о том, что ответить на запрос файрвола.
Условием работы этой опции является разрешающее правило на доступ
браузера в сеть. Если ползунок AlertAdvisor переместить в положение Automatic,
то файрвол запросит с сервера Zone Labs информацию о приложении, и если
программа будет найдена в базе данных, то файрвол автоматически
разрешит или запретит её доступ в сеть. Настройка Automatic Lock позволяет заблокировать работу
приложений в интернете при длительной неактивности пользователя.
Дополнительные настройки этой опции можно просмотреть или изменить,
нажав кнопку Custom.
Для каждого приложения на вкладке Programs (программы), перечисленного в этом списке, есть
возможность определить уровень доступа в сеть. Причем, уровень доступа
задается раздельно при работе в доверенных сетях или в интернете. Для
каждого приложения можно разрешить, запретить или задать вывод запроса
при попытке выйти в сеть, открыть порт на прослушивание или отправить
почту. Последний столбец с изображением замка предоставляет программе
доступ в сеть даже когда для всех приложений доступ в сеть закрыт при
помощи большого замка в верхней части каждого окна файрвола. При
работе с этой вкладкой были обнаружены трудности с кириллицей. Проблема
достаточно стандартная и о методе её решения речь пойдет ниже. Выделив приложение в списке и нажав кнопку Options, можно изменить уровень доступа приложения в сеть. На вкладке Expert Rules можно настроить доступ приложения в сеть определенным образом.
Правила для приложений создаются по аналогии с фильтром пакетов.
Настройки очень гибкие и позволяют в одном правиле указать сколь угодно
сложную конфигурацию доступа приложения в сеть.
На вкладке Components перечислены компоненты приложений, за которыми
файрвол наблюдает. По мере работы с файрволом этот список будет
увеличиваться. Нажав кнопку More Info можно обратиться к базе
компонентов на сервере Zone Labs, и если описание компонента в базе
будет обнаружено, то ознакомиться с его описанием, исходя из которого,
решить, предоставлять компоненту доступ в сеть или нет.
Мониторинг за состоянием антивируса
ZoneAlarm может следить за состоянием антивируса. Эта функция дублирует аналогичную Центра обеспечения безопасности Windows и поэтому особого интереса не представляет.
Защита почты - Вкладка настроек защиты почты
На этой вкладке настроек файрвола настраивается защита входящей и исходящей почты. При помощи переключателя Inbound MailSafe Protection можно включить поиск и блокирование во входящей почте вложений с определенными расширениями, которые перечислены на вкладке Attachments.
При получении письма с небезопасным вложением, ZoneAlarm изменит
расширение вложения на .zlv и при попытке открыть это вложение выведет
на экран предупреждение.
Используя кнопки в этом окне можно запустить вложение, сохранить его
на диске, просмотреть содержимое в Блокноте или отказаться от открытия
вложения. При помощи переключателя Outbound MailSafe Protection
можно включить защиту исходящей почты. Если эта защита включена, то
ZoneAlarm будет контролировать попытки приложений отправить почту и
выводить на экран соответствующие запросы. Любому приложению в
настройках контроля приложений можно разрешить отправку почты без
запросов. При помощи кнопки Advanced можно включить
отслеживание попыток приложений отправить за короткий промежуток
времени большое количество писем или попыток отправить одно письмо
большому количеству получателей. Здесь же можно включить проверку
исходящих писем на наличие в них адреса отправителя, которое
отсутствует в списке разрешенных адресов. Все эти настройки позволяют
обнаруживать и пресекать работу вирусов, которые после заражения
компьютера используют его для рассылки своих копий по почте.
Анонимность
При помощи ползунка Cookie Control можно изменять уровень
блокирования куков, от максимального, когда блокируются все куки, до
минимального, когда все куки принимаются. Ползунок AdBlocking регулирует уровень подавления рекламы на посещаемых страницах, а переключатель Mobile Code Control
включает или отключает исполнение скриптов и другого активного
содержимого на посещаемых страницах. Каждый из этих модулей может быть
дополнительно настроен при помощи кнопки Custom. Блокирование рекламы настроить тонко невозможно, так как отсутствует список блокируемых строк или размеров изображений. На вкладке Site List
находится постоянно пополняемый список сайтов, которые были посещены c
хотя бы одним включенным модулем обеспечения анонимности. Для каждого
из сайтов можно задать индивидуальные настройки блокирования
содержимого. На вкладке Cache Cleaner можно очистить кэш браузера (IE, Netscape) и настроить его автоматическую очистку. При помощи Clean Tracking Cookies можно воспользоваться он-лайн сканером сайта Zone Labs для поиска на
компьютере куков и их последующего удаления. При помощи кнопки Custom
выбираются объекты, которые будут очищаться. Это может быть список
последних открывавшихся файлов, корзина, папка для временных файлов,
история поиска, меню Run, Media player-а, фрагменты файлов, сохраненных
Scandisk-ом при проверке диска, вся история заполнения полей, строк
адреса браузера и так далее.
ID Lock (защита личной информации)
ZoneAlarm предоставляет в распоряжение пользователя инструмент, с
помощью которого пользователь способен обеспечить безопасность личной
информации, хранящийся на компьютере, и защитить её от утечки.
На вкладке myVAULT нужно добавить в список последовательности
символов, которые будет защищать ZoneAlarm. Введенная защищаемая
последовательность хранится в зашифрованном по стандарту SHA-1 виде. На
вкладке Trusted Sites можно добавить в список сайты и задать
действие, которое будет выполнять файрвол при попытке отправить на них
защищенные последовательности (блокировать, разрешить, спросить).
Отчеты о работе
На этой вкладке настраивается система оповещений и отчетов файрвола.
При помощи переключателей в этом окне можно включить или выключить
ведение отчетов о событиях, произошедших во время работы файрвола и
настроить уровень детализации информации, записываемой в отчеты. Здесь
же настраивается уровень важности событий, о которых файрвол будет
оповещать всплывающими сообщениями. При помощи кнопки Advanced
можно выбрать определенные события, о которых файрвол будет уведомлять
всплывающими сообщениями, настроить вид значка в трее, настроить
создание архивных копий отчетов работы программы, настроить их формат и
частоту архивирования. События, происходившие во время работы файрвола, можно просмотреть на вкладке Log Viewer.
Тестирование ZoneAlarm Pro
Конфигурация тестового компьютера, программное обеспечение, используемое при тестировании
- Celeron Tualatin 1000A на шине 133, т.е. частота процессора 1333 мегагерца.
- Материнская плата Asus TUSL–2C, BIOS ревизии 1011.
- 512 мегабайт оперативной памяти, работающей на частоте 133 мегагерца.
- Винчестер Seagate Barracuda 4 80 гигабайт в режиме UDMA5.
- Windows XP Pro Rus Service Pack 2.
- 10 мегабитная сеть из двух компьютеров.
- Сканер уязвимостей XSpider 7
- Утилита для сетевого флуда по ICMP, IGMP, TCP, UDP.
- Internet Explorer 6.0.2900.2180.
- Outlook Express 6.0.2900.2180.
- Почтовый, прокси серверы, выделенная линия для доступа в интернет.
- Process Explorer от Sysinternals.
- Утилита PCAudit2.
Использование программой памяти и загрузка процессора
В ходе тестирования ZoneAlarm при помощи Process Explorer регулярно
снимались показания об объеме занятой процессами программы памяти и о
загрузке ими процессора. Результаты приведены в таблице ниже.
| Момент снятия показаний | Объем занятой памяти | Загрузка процессора |
Физическая память (килобайт) | Виртуальная память (килобайт) |
После загрузки ОС, настройки по умолчанию | 11 872 | 8 960 | 0% |
Настройки по умолчанию, сканирование XSpider 7 | 11 904 | 8 977 | 0%–23% |
Настройки по умолчанию, ICMP–флуд в течение 5 минут | 12 732 | 9 224 | 0%–4% |
Настройки по умолчанию, IGMP–флуд в течение 5 минут | 12 736 | 9 192 | 0%–17% |
Настройки по умолчанию, SYN–флуд в течение 5 минут | 13 004 | 9 428 | 9%–31% |
Настройки по умолчанию, UDP–флуд в течение 5 минут | 12 841 | 9 107 | 7%–34% |
Выгрузить файрвол можно щелкнув правой кнопкой мыши по значку в трее и выбрав из меню пункт Shutdown ZoneAlarm Pro. Файрвол выгружается из памяти полностью.
Сканирование системы сканером уязвимостей XSpider
Тестовая машина была просканирована сканером уязвимостей XSpider 7.
Настройки файрвола были оставлены по умолчанию. Подсеть, в которой
находилась тестовая машина, была включена в зону Интернет, для которой,
по умолчанию, был выбран Высокий (High) уровень защиты. В сканере был выбран профиль Полный, включая неотвечающие хосты.
Во время сканирования файрвол выводил на экран предупреждения о
блокировке доступа к компьютеру. Сканер ни по каким признакам не смог обнаружить присутствия тестового компьютера в сети.
Он–лайн тест файрвола
Для тестирования файрвола на качество контроля им приложений,
пытающихся отправить информацию в интернет, была использована утилита
PCAudit2. Эта утилита предлагает в любом приложении (например, в
Блокноте) ввести несколько любых слов или зайти на любой сайт,
требующий авторизации и ввести имя пользователя и пароль. Утилита
перехватывает вводимые данные, делает скриншот с экрана, определяет имя
пользователя, работающего в системе, IP–адрес и предпринимает попытку
отправить собранную информацию на свой сервер. Затем утилита открывает
с сервера динамически созданную страницу с отправленными данными и
наглядно демонстрирует то, какая информация может быть получена
хакером, взломавшим систему. Перед тестированием при помощи IE
был посещен ряд сайтов. При открытии первого сайта файрвол предложил
создать правило, которое разрешало бы браузеру запрашивать информацию с
сайтов, что и было сделано. Уровень контроля программ в ZoneAlarm был
оставлен по умолчанию, то есть, в положении Medium (средний).
Затем была запущена утилита PCAudit2. Она без проблем перехватила
введенную информацию и отправила её на свой сервер, что было
подтверждено на открывшейся странице. Для повторного тестирования уровень контроля программ в ZoneAlarm был повышен до высокого (High), в списке компонентов найдено и удалено правило, которое разрешало доступ в сеть временной библиотеки, созданной PCAudit2.
После этого утилита была запущена вновь. Файрвол вывел на экран
сообщение о том, что браузер или его компоненты хотят получить доступ в
сеть.
Для выяснения того, что же за новые компоненты браузера пытаются получить доступ в сеть, была нажата кнопка Details.
Файрвол указал на неизвестную библиотеку. После того, как окно с
дополнительной информацией об изменившихся компонентах было закрыто,
доступ в сеть приложению был заблокирован (Deny). PCAudit2
начала перебирать все работающие приложения, пытаясь от их имени выйти
в интернет. Файрвол каждую попытку обнаруживал и выводил на экран
сообщение об изменении компонентов или о попытке выйти в сеть
приложения, которому там явно делать нечего (текстовый и графический
редактор). На все запросы файрвола о необходимости разрешить доступ
было отвечено отказом (Deny). После этого утилита сообщила, что тест пройден успешно и отправка данных пресечена. Таким
образом, ZoneAlarm пресекает работу PCAudit2, качественно и без лишних
уведомлений контролирует компоненты и приложения, но делает это лишь на
высоком (High) уровне контроля приложений.
Атака на тестовую машину по сети
Для выполнения этого теста была использована утилита, которая
использует всю пропускную способность канала для направления на
атакуемую машину большого потока данных различного типа по разным
протоколам. Тест наглядно демонстрирует поведение файрвола в
экстремальных условиях. В таблице Использование программой памяти и загрузка процессора приведены результаты теста. Во
время ICMP–флуда объем занятой памяти увеличился незначительно и
оставался стабильным на протяжении всего теста. Загрузка процессора большую часть времени находилась в районе 1% и лишь в самом начале теста было зафиксировано значение 4%. IGMP–флуд
вызвал такую же незначительную загрузку процессора, а объем занятой
файрволом памяти на протяжении всего теста не изменялся. TCP–флуд вызвал загрузку процессора до значений в 31% и незначительное увеличение занятой файрволом памяти. UDP–флуд показал такие же результаты, как и предыдущие тесты.
Тестирование защиты личной информации
Для тестирования качества контроля файрволом отправляемой личной
информации в настройки модуля ID Lock была добавлена строка, содержащая
последовательность 12345qw, которую файрвол должен был защитить от
утечки. Уровень защиты ID Lock был увеличен до высокого (High). При
отправке на форум сообщения, содержащего строку 12345qwerty, строка
была изменена на *******erty. Аналогичным образом была пресечена
попытка отправить защищаемую строку по почте. Получатель увидел в
письме лишь *******erty. Отправка 12345qwerty через Миранду (аналог
ICQ) прошла для ZoneAlarm незамеченной, и получатель сообщения увидел
12345qwerty. По информации с сайта Zone Labs, проверка трафика программ для обмена сообщениями работает в версии ZoneAlarm Security Suite и IMsecure Pro.
Заключение
Достоинства
- Размер дистрибутива 6,34 мегабайта.
- Достаточно скромные системные требования (малый объем занятой памяти, не высокая загрузка процессора при серьёзных нагрузках).
- Гибкие настройки правил для приложений и для фильтрации пакетов
позволяют создавать правила практически любой сложности. Правила могут
работать в определенном временном интервале.
- Качественный контроль приложений и их компонентов.
- Возможность обратиться к базе на сайте Zone Labs для получения
описаний распространенных компонентов, приложений и помощи в выборе
вариантов ответа на запросы файрвола.
- При закрытии ZoneAlarm выгружаются все компоненты файрвола, освобождая все занятые им ранее системные ресурсы.
- Продуманный интерфейс, при работе с которым не должно возникнуть
затруднений даже у неподготовленного пользователя. В то же время, для
продвинутых пользователей, есть возможность создавать правила вручную.
- Возможность автоматически включать новые сети в зону Интернета, для
которой могут быть настроены строгие правила. Это защитит компьютер
неподготовленного пользователя при его работе в чужих сетях и снимет с
него необходимость принятия решения о том, в какую зону следует
включить новую подсеть при первом подключении к ней.
- Для доверенной зоны (например, корпоративной локальной сети
пользователя) файрвол может быть выключен при помощи установки низкого (Low)
уровня защиты. В тоже время, для зоны интернета файрвол может быть
включен. Это снимает с пользователя заботу о необходимости включать
файрвол при подключении к чужой сети.
- Возможность раздельно указывать в правилах для приложений, что
приложение может открывать порт на прослушивание и/или только
запрашивать информацию с сервера. При помощи правил для приложений
можно управлять доступом к открытому порту, разрешая его только с
определенных адресов.
Недостатки
- Интерфейс, справочная система и сайт ZoneAlarm на английском языке.
- Во время работы, когда в путях к компонентам или программам
встречается кириллица, ZoneAlarm выводит такой текст в нечитаемом виде.
Для решения этой проблемы (достаточно распространенной, которая может
быть обнаружена и у другого нелокализованного программного обеспечения)
нужно открыть редактор реестра, переместиться к ключу
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Nls\CodePage, найти
переменную 1252 и изменить её значение с c_1252.nls на c_1251.nls.
После этого необходимо перезагрузить компьютер. Теперь кириллица будет
отображаться в ZoneAlarm правильно.
- При создании правил и заполнении других полей невозможно
переключиться на русскую раскладку. Поэтому все пояснения и комментарии
придется вводить на русском в Блокноте, например, и вставлять их в
соответствующие поля ZoneAlarm, либо делать пояснения на английском
языке.
- Нет возможности вручную добавить сайты, строки и размер изображения
в настройки модуля подавления рекламы. ZoneAlarm блокирует рекламу на
посещаемых сайтах, руководствуясь своими, предопределенными правилами,
а они достаточно часто пропускают рекламу. Подавить практически любую
рекламу, всё же, можно. Для этого в модуле контроля программ нужно для
браузера создать запрещающее правило, в котором указать, что источником
может быть любой хост, а получателем – хост с рекламным движком. После
этого с посещаемых страниц пропадают оставшиеся баннеры, но на их месте
остаются белые прямоугольники размером с баннер, чего нет при работе
модуля подавления рекламы ZoneAlarm.
Ссылки
Вывод
Результаты тестирования говорят о том, что ZoneAlarm надежный
файрвол. Он качественно контролирует работу приложений, отслеживая
изменения их компонентов, блокирует утечки частной информации и
позволяет очень гибко управлять трафиком, настраивая правила
фильтрации. Концепция раздельного управления зонами безопасности
(доверенные сети или интернет) делает возможной работу в безопасной
сети на минимальном уровне защиты, а при подключении к чужой сети
автоматически активизировать максимальный. Каждому приложению можно
раздельно для разных зон безопасности разрешить или запретить открывать
порты на прослушивание, получать доступ в сеть и отправлять почту.
ZoneAlarm занимает немного оперативной памяти и при обычной работе
практически не использует процессорного времени. Во время тестовой
атаки на машину под защитой файрвола не было выявлено проблем в его
работе. Проверка сканером уязвимостей подтвердила, что машина под
защитой файрвола надежно скрыта в сети и доступ к каким-либо сервисам,
работающим не в ней, отсутствует. К сожалению, выяснилось, что
ZoneAlarm некорректно отображает кириллицу, но эта неприятность легко
устранима при помощи рекомендации, данной выше.
| "Доктор Паутиныч" |
|
Сколько людей, столько и мнений. Попробуйте поинтересоваться у своих знакомых, какие антивирусы стоят на их машинах - каждый будет нахваливать "свою" программу, разнося в пух и прах другие и ехидно ухмыляясь при этом. А вот чем вызвана такая безграничная любовь к одному-единственному выбранному продукту, редко кто толком объяснит. Лет 5 назад мне приходилось "любить" Dr.Web, поскольку только этот антивирус был разрешен для установки на компьютерах одного из отделений СБ РФ, где я работала. От общения с этим продуктом "ДиалогНауки" остались как самые приятные воспоминания, так и не очень. Сколько раз его "Спайдер" спасал компьютеры от неминуемого заражения! То по Сети придет "подарок", то кто-то посторонний вставит в дисковод дискету с инфицированными файлами - "Сторож" Dr.Web'а не позволял даже прикоснуться к заразе, блокируя любые действия и сообщая об этом. Смешным было то, как из версии в версию Dr.Web находил файлы с подозрением на Win.exe, причем, в файлах разных типов, например, *.txt, в зависимости от версии. Понятное дело, что не может текстовый файл с платежкой, к тому же, полученный из управления, содержать вирус. Но чтобы в этом убедить руководство, приходилось запускать другие антивирусы, которые, естественно, там ничего не обнаруживали. А вот неприятным обстоятельством была необходимость ежедневно устанавливать обновления Dr.Web на 50 компьютеров. Поскольку программа не умела в то время обновляться из сетевой папки, нужно было бродить по отделам и выполнять установку с дискеты.
Интересно, насколько изменился Dr.Web за последние годы, и правда ли, что он стал суперсовременной, простой в использовании и исключительно надежной антивирусной программой, как анонсируют свой продукт разработчики?
Какой он, Dr.Web?
Для начала давайте посмотрим, что говорят о программе в миру.
Нет, собирать отзывы фанатов и противников программы не будем, по причинам, указанным выше, иначе не хватит корзин для сбора всех "камней" в огород "ДиалогНауки" и места на диске для записи всех "дифирамбов". Поищем более весомые и официальные аргументы-доказательства состоятельности программы.
То, что Dr.Web в начале этого тысячелетия неоднократно получал престижную награду VB100%, и при этом показывал наилучший результат среди программ, участвовавших в тестировании, проводимом авторитетным международным журналом Virus Bulletin, общеизвестно. Понятное дело, что эту награду раздают не просто так, а лишь программам, которые в паре (сканер и сторож) определяют 100% вирусов из коллекции In the Wild (вирусов, реально встречающихся в мире на компьютерах пользователей). Весомый аргумент.
Последняя версия Dr.Web тестировалась на коллекциях вирусов на Ru-Board совсем недавно - в октябре этого года. По результатам этих тестов Dr.Web попал в группу "Очень надежные", поскольку не пропустил ни одного вируса из КРВ (коллекция распространенных вирусов, за основу взят набор In the Wild) и показал хорошие результаты на БКВ (большая коллекция вирусов количеством 7227). Очень убедительно.
Компания "ДиалогHаука" получила от Министерства обороны Российской Федерации сертификат соответствия на отечественные антивирусные программы: сканер Doctor Web, сторож SpIDer Guard и ревизор ADinf, предназначенные для защиты от компьютерных вирусов и контроля состояния файловой системы. Это первый случай получения антивирусной программой такого рода документа. Козырь, что и говорить!
Даже перечисленных побед (а список всех достижений и наград у Dr.Web'а большой) вполне достаточно, чтобы понять, что программа серьезная и надежная и заслуживает быть установленной на наших с вами компьютерах. Вот и давайте скачаем последнюю версию Dr.Web для Windows и посмотрим, как она работает (также имеются версии для DOS/386, OS/2, Linux, FreeBSD, OpenBSD, Solaris, Novell NetWare).
А чтобы у пользователя, как раз подбирающего для себя хороший антивирус и читающего этот текст, не сложилось впечатления, что все "лечилки" делают одно и то же и их невозможно отличить друг от друга, будем акцентировать внимание на "изюминках" Dr.Web'а - чем же он отличается от "других" антивирусов.
Установка Dr.Web'а
А вот и первый замеченный "плюс" Dr.Web'а - сравнительно небольшой размер его дистрибутива (чуть более 4 мегабайт). Перед установкой настоятельно рекомендуется деинсталлировать другие антивирусы - само собой, не уживаются эти программы на одном компьютере. Установка практически ничем не отличается от установки аналогичных программ, но Dr.Web во время нее можно настроить, чтобы он начал защищать компьютер с первого запуска.
Поэтому коротко расскажем обо всех шагах установки:
- Шаг первый - "Выбор языка", российские пользователи, конечно же, предпочтут русский язык, но именно здесь его и выбрать, чтобы потом не обижаться на английский интерфейс.
- Шаг второй - вводим собственные данные.
- Шаг третий - выбираем "Тип установки"; опытные пользователи предпочтут "Ручной выбор компонентов", а незнающим лучше воспользоваться "Типичной" установкой.
- Шаг четвертый - "Выбор компонентов"; если у вас будет включен постоянно SpIDer Guard (резидентный сторож Dr.Web), то можно не устанавливать SpIDerMail, а если нет в мыслях пользоваться планировщиком, то и его можно убрать прямо во время установки.
- Шаг пятый - здесь можно сразу изменить настройки Dr.Web'а, но только при условии полного понимания, что именно вы меняете.
- Шаг шестой - "Обновление программы", если во время установки компьютер подключен к Интернету, можно сразу же обновить вирусные базы, поставив галочку "Произвести обновление".
- Шаг седьмой - "Выбор ключа". Если программа зарегистрирована, и к ней имеется ключ, то можно указать путь к этому ключу, иначе, придется воспользоваться демонстрационным ключом. Данный ключ находится в дистрибутиве Dr.Web'а, но при его использовании нельзя ни проверить файлы в архивах, ни вылечить или удалить вирусы.
Состав Dr.Web for Windows 95-XP
Как и другие антивирусы, программы семейства Dr.Web выполняют поиск и удаление известных им вирусов из памяти и с дисков компьютера, а также осуществляют эвристический анализ файлов и системных областей дисков компьютера, который позволяет с высокой степенью вероятности обнаруживать новые, ранее неизвестные, компьютерные вирусы.
В комплект для Windows 95/XP входит полифаг Dr.Web, резидентный сторож SpIDer Guard, SpIDer Mail и Планировщик Dr.Web.
- Программа-полифаг
обнаруживает и удаляет фиксированный набор известных вирусов в памяти, файлах и системных областях дисков компьютера.
- Резидентный сторож (называемый также монитором), находясь в памяти компьютера, постоянно контролирует вирусоподобные ситуации, производимые различными программами с диском и памятью. После установки Dr.Web'а в правом нижнем углу экрана появляется симпатичный значок в виде паука (или даже двух пауков, если установлен SpIDerMail); при наводке на него курсора мыши, он показывает статистические данные: Проверено файлов, Инфицированных, Модификаций, Подозрительных, Исцелено, Удалено, Переименовано, Перемещено, Запрещен доступ.
- SpIDer Mail производит антивирусную проверку всех входящих сообщений, принимаемых по электронной почте через почтовый POP3 на локальный компьютер из Сети. Почтовые сообщения, содержащие инфицированные составляющие, могут удаляться или перемещаться в специальную карантинную папку в зависимости от предпочтений пользователя.
- Планировщик Dr.Web позволяет производить действия по графику, задаваемому пользователем. Нужно отметить, что компонент этот сделан грамотно и очень удобно - его можно настроить на ежедневную, еженедельную, ежемесячную проверку компьютера или на обновление антивирусных баз. Конечно, если "в хозяйстве" только один компьютер, то можно делать это и самостоятельно, но забывчивым пользователям и системным администраторам планировщик просто необходим - он позволяет экономить время.
За что мы любим Dr.Web?
Подробный рассказ о том, как именно работают все эти компоненты, заслуживает отдельной статьи - как по размеру, так и по содержанию. Сейчас мы лишь отметим, что все программы пакета Dr.Web for Windows 95-XP справляются со своими обязанностями добросовестно и выполняют их качественно и в срок, как и положено отличному современному антивирусу. А мелкие недочеты присущи любой, даже самой замечательной программе.
Dr.Web научился обновляться из сетевой папки. А тот факт, что он не избавился от "детских болезней", которыми страдал в прошлом тысячелетии, вызывает лишь улыбку - Dr.Web по-прежнему находит Win.exe там, где другие антивирусы его не видят. Причем, Dr.Web последней версии настолько осмелел, что стал напрямую говорить, что эти файлы заражены трояном! Можно привести и перечень того, что может не понравиться у Dr.Web'а, но это уже зависит от личных предпочтений. Например, создателям можно было бы научить Dr.Web обновляться самостоятельно, чувствуя моменты подключения к Интернету, как это делает Panda. Диалапщику трудно спланировать время ежедневного обновления программы, чтобы "забить" его в задание планировщику, а при выходе в Сеть об этом просто забывается. Конечно же, подобные "мелочи" не могут испортить репутацию Dr.Web'а.
В заключение перечислим найденные "изюминки" Dr.Web'а, как было обещано в начале:
- Основным преимуществом метода антивирусной проверки SpIDer Mail является независимость от типа используемого почтового клиента. Dr.Web обнаруживает заразу в архивах и почтовых базах всех почтовых программ, а не только некоторых из них - например, MS Outlook Express. Но самое замечательное, что он умеет лечить всю эту почтовую заразу.
Вот почему именно Dr.Web'у доверились такие известнейшие и крупнейшие почтовые сервера, как "Яндекс" и Mail.ru, и этот факт говорит сам за себя. Ежедневно антивирус осуществляет проверку более 5 миллионов писем, проходящих только через сервера Mail.ru, причем, порой поток проверяемых писем достигает 250 тысяч в час!
- Скрупулезность и дотошность выполнения проверки. Конечно, при включенном эвристическом анализе скорость антивирусной проверки Dr.Web'а нельзя назвать слишком высокой (за 2 часа было проверено 136 тысяч файлов), но вот качество этой проверки не заставляет желать лучшего. А самое приятное заключается в том, что Dr.Web, находя вирусы где бы то ни было, не только "кричит" об этом, но и моментально обезвреживает заразу.
- Умение Dr.Web'а осуществлять проверку и убивать вирусы в приходящих файлах "на лету", что позволяет обнаружить и заблокировать любую вирусную активность, даже попытки проникновения неизвестной заразы.
- Мизерный размер вирусных баз (средний размер еженедельной базы составляет примерно 10 килобайт!).
У Dr.Web'а есть одна особенность - он подсчитывает количество записей вирусной базы не так, как другие программы - одна запись у Dr.Web'а может обозначать несколько сотен разновидностей одного и того же вируса. Поэтому, глядя на число вирусных записей программы, не стоит думать, что "Доктор" "знает" меньше, чем его конкуренты.
- Несомненный плюс Dr.Web'а заключается в том, что его "горячие" дополнения могут выходить даже несколько раз за день, в отличие от некоторых других антивирусов, у которых имеются только ежедневные дополнения, появляющиеся в определенное время каждый день.
- А самым большим и существенным плюсом программы для небогатого российского пользователя может стать приемлемая цена антивирусного пакета Dr.Web для частных лиц. Разовая лицензия с доставкой версии и регистрационного ключа по электронной почте стоит всего 170 рублей.
Статья подготовлена с любезной помощью моего друга, известного в Сети под ником DS.
Системные требования:
- процессор Pentium 266 МГц;
- память 64 Мб;
- жесткий диск - 5 Мб свободного места;
- ОС Windows XP/2000/МЕ/98/95.
Программы в каталоге Softkey.ru:
Ссылки по теме:
Раздел "Безопасность". Новости:
| Ханты-Мансийск: 77 миллионов на борьбу с хакерами |
|
В Ханты-Мансийском автономном округе будет создана сеть специальной государственной связи, которая защитит информационные ресурсы органов власти от несанкционированного доступа. Такое решение накануне приняло правительство Югры.
На утверждение окружной думы ХМАО отправлена трехлетняя программа создания телекоммуникационной инфраструктуры специального назначения. В рамках программы будут созданы региональная цифровая сеть обслуживания органов власти "Югра - сеть", а также региональный сегмент сети RSNet (Russian State Network), обеспечивающей безопасный доступ к информационному пространству Интернета.
Начальник военно-мобилизационного управления администрации губернатора округа Дмитрий Чередов в ходе заседания правительства заявил, что к цифровой сети специальной связи будут подключены 2500 абонентов органов государственной власти округа, муниципальных образований, а также федеральных структур, находящихся на территории Югры.
"Мы провели анализ телекоммуникационной инфраструктуры автономного округа и выяснили, что, несмотря на развитую сеть связи и ее потенциал, органы власти продолжают использовать в своей работе телефонные сети общего пользования, - заявил Дмитрий Чередов. - Особенно остро стоит проблема обеспечения безопасности в сфере международного информационного обмена с использованием пространства сети Интернет".
По его словам, в результате реализации Программы будет выдано 4000 сертификатов для ведения защищенного документооборота с использованием электронной цифровой подписи.
"Реализация программы позволит нам работать в информационно защищенной системе, где сегодня уже взаимодействуют Счетная палата, Федеральное Собрание, Правительство России, Государственная Дума и 22 субъекта Федерации. Это сеть государственного значения, через которую можно передавать не только голосовое сообщение, но и телефаксы, изображения в режиме реального времени, причем конфиденциально", - пояснил Дмитрий Чередов.
На реализацию проекта в течение 2005-2007 годов планируется направить 77 миллионов рублей. В том числе из окружного бюджета - 42,1 млн руб., муниципального бюджета - 34,9 млн руб. К участию в программе планируется привлечь и федеральные средства, размер которых пока точно не определен, сообщает пресс-служба губернатора ХМАО.
| "Лаборатория Касперского" тестирует новый пакет для защиты сетей |
|
Компания "Лаборатория Касперского" объявила
о начале бета-тестирования программного комплекса Kaspersky Guard@Net
5.0, предназначенного для организации защиты корпоративной компьютерной
сети любого масштаба от вирусов, хакерских атак и спама.
В основе Kaspersky Guard@Net 5.0 лежит технология Astaro
Security Linux, разработанная компанией Astaro AG. Комплекс
осуществляет непрерывную проверку трафика, поступающего в сеть по
протоколам HTTP и FTP, а также мониторинг входящей и исходящей
электронной корреспонденции. Контролю подвергаются все элементы писем,
включая сжатые вложения (Kaspersky Guard@Net 5.0 способен работать с
архивами более чем 700 форматов). Помимо защиты от вредоносных программ, Kaspersky Guard@Net
5.0 обеспечивает эффективную фильтрацию спама. В пакет встроены
многоуровневый фильтр, система анализа содержания исследуемой
корреспонденции, система анализа графических элементов сообщений и пр.
В Kaspersky Guard@Net 5.0 также интегрированы брандмауэр и
специализированный модуль, способный выявлять и блокировать более
полутора тысяч различных типов сетевых атак. Комплекс Kaspersky Guard@Net 5.0, как отмечается в
пресс-релизе, имеет и развитые средства управления политикой внутренней
безопасности корпоративной сети. В частности, администраторы могут
ограничивать доступ отдельных пользователей к определенным ресурсам
интернета. Наконец, новый продукт позволяет объединять географически
удаленные подразделения компании в целостную сеть. При этом надежность
передачи данных обеспечивается за счет использования криптостойких
алгоритмов шифрования и различных методов идентификации пользователей.
Все элементы Kaspersky Guard@Net 5.0 объединены при помощи единого
унифицированного механизма управления; предусмотрены система сбора
статистики и система анализа работы комплекса.
| ФБР может отказаться от своей антитеррористической компьютерной системы |
|
ФБР планирует прекратить дальнейшее внедрение в своей компьютерной системе программной компоненты Virtual Case File, сообщает
агенство Reuters. Использование этой технологии предполагалось в рамках
запуска крупномасштабного проекта Trilogy. Согласно идее Trilogy, все
агенты, задействованные в антитеррористической деятельности, получили
бы оперативный доступ к информации глобальной базы данных документы,
фигурирующие в ходе расследований и операций ФБР.
На подготовительных этапах работы в ФБР было установлено 30000
новых компьютеров и была развернута высокоскоростная защищенная сеть.
Однако третий, заключительный этап, оказался самым проблематичным и
практически неосуществимым. Работа над Virtual Сase File ведется уже
четвертый год и еще далека от своего завершения. ФБР потратило уже 170
млн. долларов на внедрение последней компоненты, которая позволила бы
всем агентам иметь постоянный доступ к общей базе данных и оперативно
узнавать о последних новостях в расследованиях и появлении новых
фактов. В ФБР крайне недовольны работой системы, поскольку она не
оправдала возложенных на нее надежд и была охарактеризована главой ФБР
Робертом Мюллером, как "устаревшая и неадекватная".
В июне 2001 года ФБР был заключен трехлетний контракт с
корпорацией Science Applications International (SAIC), которая
поставила систему Virtual Сase File, на общую сумму 143 млн. долларов.
До сих пор Virtual Case File находится в режиме тестирования из-за
множественных технических неполадок и недоработок, которые были
выявлены в рамках предварительных работ. Последний запуск системы в
эксплуатацию был намечен на 13 декабря 2004 года, но был отложен.
Сейчас специалисты SAIC пытаются исправить ошибки в программе, однако
это займет еще несколько месяцев. Недовольство ФБР усиливается и возможно, организация
откажется от продолжения внедрения этого, неоправданно дорогого для
нее, проекта. Окончательное решение в ФБР будет принято после
экспертного заключения специалистов компании Aerospace, которые в
данное время проводят опытные тесты с ситемой с целью, дать объективную
оценку работоспособности системы и целесообразности ее эксплуатации в
дальнейшем.
| Хакер, взломавший сеть T-Mobile USA, отделался $25000 штрафа |
|
Американским
спецслужбам удалось пресечь деятельность хакера, который взломал
компьютерную сеть оператора сотовой связи США T-Mobile USA, сообщает
Associated Press. Обвиняемым по делу проходил двадцатиоднолетний
калифорниец Николас Ли Джейкобсен, которому было предъявлено обвинение
во взломе компьютерной системы компании и незаконном использовании
данных. Взлом компьютерной системы в T-Mobile USA, американском
подразделении немецкого телекоммуникационного концерна Deutsche
Telecom, обнаружили еще в конце 2003 года. Джейкобсен же
беспрепятственно использовал информацию на протяжении более полугода,
как утверждают представители T-Mobile USA, с марта по октябрь 2004
года. Хакер имел свободный доступ к конфиденциальным данным 400
клиентов компании, к их номерам страховых полисов, однако финансовые
данные, такие как номера кредитных карт, остались для злоумышленника
недоступными. Это дело не получило бы такой широкой огласки, если бы не тот
факт, что хакеру удалось получить доступ и к информации агента
секретной службы по борьбе с компьютерными преступлениями Питера
Кавикии. Джейкобсону сыграл на руку тот факт, что агент брал работу на
дом, отсылая необходимые файлы по электронной почте на личный
беспроводной компьютер, а подключение к сети позволило хакеру свободно
пользоваться данными внутренних служб. Хакер не только обладал новейшей
информацией по своему делу, так как именно этому агенту было поручено
вести дело о взломе базы T-Mobile, но и иметь в полном распоряжении
внутренний меморандум секретной службы и часть российско-американского
договора между спецслужбами о юридической взаимопомощи.
Джейкобсен был арестован в октябре в штате Калифорния и был
приговорен судом к денежному штрафу в размере 25 тысяч долларов. Штраф
был уплачен дядей хакера, которому также предписано впредь не
подпускать племянника к компьютеру.
| Червь "Anti-Santy" атакует Интернет |
|
Еще несколько сайтов пострадало от червя, паразитирующего на
атакованных Santy сайтах. "Anti-Santy" также использует поисковые
сервисы для обнаружения потенциальных жертв атаки. Компания
F-Secure, специализирующаяся на IT-безопасности, сообщает о семи
достоверно установленных случаях полного удаления сайтов новым червем.
При этом конструкция anti-Santy выглядит, как попытка создать вирус,
который бы принудительно "лечил" зараженных, устанавливая заплатку на
используемую Santy уязвимость. Пострадавшие от нового червя
сайты были полностью удалены, а вместо содержавшихся на них материалов
оставлена надпись "viewtopic.php защищен Anti-Santy-Worm V4. Ваш сайт
теперь немного более безопасен, но не задерживайтесь с модернизацией". Как минимум два случая заражения произошли с аргентинских IP-адресов, так что, возможно, anti-Santy прибыл из Аргентины. Итоги же деятельности самого Santy в преддверии Рождества достигли уровня в 40 000 заражений уязвимых сайтов.
| В Сети обнаружены исходники червя Cabir |
|
В Интернете обнаружены исходные коды вируса Cabir, ориентированного
на мобильные телефоны. Эксперты предостерегают о вероятном скором
появлении множества модификаций этого вируса. Выложенные
исходники, предположительно, принадлежали 32-летнему бразильскому
программисту и демонстрировали внутреннее устройство вирусов версии
Cabir-H и Cabir-I. Без сомнения в самом ближайшем времени следует
ожидать появление новых, уже значительно более опасных модификаций
вирусов. Напомним, что червь этот ориентирован на мобильные
телефоны, работающие под управлением операционной системы Symbian, а
для распространения использует интерфейс BlueTooth.
| Банда мошенников украла у Wal-Mart $1,5 млн. |
|
Две семейные пары были арестованы по обвинению в руководстве
жульнической бандой, использовавшей в своей деятельности поддельные
штрих-коды. Банда мошенников "специализировалась" на сети торговых
точек компании Wal-Mart, чья торговая сеть так или иначе представлена в
19 штатах. Предположительно банда действовала на протяжении 10
лет, за которые мошенники награбили около $1,5 млн. Сестры-мошенницы -
35-летняя Джали Мэри Симмонс и 39-летняя Лаура Симмонс Хауэртон со
своими мужьями 29-летним Майклом Пуром и 39-летним Дэви Хауэртоном были
задержаны в Нэшвилле, штат Теннеси. Парочкам выдвинуто обвинение в
хищении $60 000 и организацию преступной банды, в которую по
предварительным подсчетам входило до 30 человек. Банда в течение многих
лет грабила склады Wal-Mart и некоторых других не названных продавцов,
работающих по такой же схеме. Мошенники копировали на домашнем PC
штрих-коды с недорогих изделий и, наклеивая их поверх штрихкодов более
дорогостоящих товаров, извлекали таким образом выгоду. Многие товары
затем возвращались уже за полную стоимость и за наличность, а часть
перепродавалась. В случае, если вина мошенников будет доказана, обоим парам грозит до 20 лет тюремного заключения.
| Новая уязвимость в Mozilla - подделка URL |
|
Пользователи Mozilla
тоже столкнулись с досадным упущением, подобным тому, которое ранее
было обнаружено в IE - злоумышленники могут сформировать поддельные
URL. Благодаря использованию спецсимволов в ссылках, этот
браузер тоже можно обмануть, представив пользователю не полный или
неверный адрес, вплоть до создания у пользователя впечатления, что
качаемый файл находится на совершенно ином, чем заявленный, сервере. Уязвимость присутствует в последних версиях Firefox и Mozilla.
| Американского пирата посадили на 2,5 года |
|
18 месяцев тюремного заключения - таков был приговор недавно состоявшегося суда в штате Мэриленд (США). 33-летний
Кишан Сингх признал свою вину в нарушении авторских прав. Кишан владел
сайтом, предлагавшим платный доступ к пиратским версиям программ от
популярных разработчиков - Adobe, Autodesk, Macromedia и Microsoft.
Нанесенный ущерб компаниям оценивается в сумму от $70 до $120 тыс.
| ФБР отправляет в отставку мониторинговую программу Carnivore |
|
В ФБР больше не используют скандально известную мониторинговую
программу Carnivore. Согласно документам, которые были обнародованы в
пятницу, ФБР предпочитает другие, коммерческие программы для
мониторинга сетевого трафика.
В двух отчетах
Конгрессу США говорится, что ФБР не использовал ни Carnivore, ни ее
модификацию, известную под названием DCS-1000, уже в 2002 и 2003
отчетных годах. Вместо этой программы ФБР использовало коммерческие
программы, названия которых не были указаны.
В 2000 году о Carnivore стало известно общественности, о ней очень
много писали активисты-правозащитники, системные операторы и юристы;
особенно сильный резонанс вызвало использование этой программы для
получения тем электронных писем без санкции суда, что Конгресс США
"исправил", приняв в 2001 году указ "2001 USA PATRIOT Act", узаконивший
подобную практику.
Согласно пункту 216 этого указа, ФБР имеет право отслеживать
использование Интернета каким-либо человеком, причем вовсе не требуется
ни санкции судьи, ни веских причин для мониторинга - например,
доказательств того, что данный человек совершил преступление. Согласно
данному пункту 216, ФБР может производить ограниченный мониторинг
трафика, перехватывая адреса электронной почты и IP-адреса, но не
тексты писем. В 2002 и 2003 годах ФБР воспользовалось этим правом,
согласно отчету, 9 раз, и получало санкцию суда на перехват текстов
сообщений в реальном времени 4 раза. В документах упоминаются только
случаи, когда ФБР использовало свою программу. Случаи, когда были
использовано оборудование Интернет-провайдера, не указаны, так же, как
и случаи, связанные со шпионажем и международным терроризмом.
Программа Carnivore была создана фирмой-подрядчиком и была
способна, в сочетании с другими средствами, которыми располагало ФБР,
перехватывать электронную почту, а также восстанавливать первоначальный
вид веб-страниц, которые просматривал "объект". ФБР использовало эту
программу, в случаях, если у интернет-провайдера не хватало собственных
возможностей для осуществления мониторинга на должном уровне.
| Microsoft называет уязвимость "функцией" и прикрывается ФБР |
|
Корпорация Microsoft отказывается блокировать недавно найденную "дыру"
в проигрывателе Windows Media Player, заявляя, что уязвимость эта -
искусственная и изначально задумывалась для борьбы с пиратским
копированием цифровых материалов. Пострадавшим же от троянцев,
использующих эту лазейку, Microsoft рекомендует направлять свои
претензии ФБР.
Пять лет тому назад в Microsoft произошло событие
первостепенной важности - Билл Гейтс уступил высший пост в компании
Стиву Баллмеру. В специальном заявлении Билл Гейтс отметил, что
произведенные кадровые перестановки позволят ему "делать то, что я
люблю больше всего, и сосредоточиться на технологиях будущего". Это
событие, тем не менее, так и не привело к эпохальным переменам:
"Ахиллесовой пятой" продуктов компании как были, так и остаются вопросы
обеспечения безопасности ее продуктов.
Ушедший год предельно остро поставил проблему уязвимости
продуктов Microsoft. Широко разрекламированное обновление Windows XP
SP2, вышедшее в 2004 году, не стало панацеей, но лишь добавило
пользователям новые проблемы. Количество "дыр" в продуктах компании
достигло такого уровня, что американская организация CERT (Computer
Emergency Rresponse Team - группа быстрого реагирования по вопросам
информационной безопасности) рекомендовала пользователям переходить на
браузеры, альтернативные Internet Explorer. Как следствие, впервые за
долгое время доля Microsoft на рынке браузеров начала заметно
сокращаться. Выход долгожданной операционной системы нового поколения
Longhorn, на разработку которой уже затрачено более $1 млрд.,
откладывается на все менее определенное будущее - пока что на 2006 год.
Пятилетняя годовщина ухода Била Гейтса "в тень" ознаменовалась
еще одним знаковым событием, переводящим вопрос компьютерной
безопасности в качественно иную плоскость. Компания отказалась
блокировать уязвимость, выявленную испанской компанией Panda Software,
на том основании, что уязвимость эта - искусственная и изначально
задумывалась для борьбы с пиратским копированием цифровых материалов,
а, следовательно, "дырой" в прямом смысле слова не является. Несмотря
на то, что хакеры так не считают и вовсю используют новую технологию
для заражения компьютеров своих жертв целыми "букетами" хакерских
программ, Microsoft порекомендовала пострадавшим обращаться напрямую в
ФБР.
Для использования выявленной уязвимости преступный мир уже
начал размещать в Сети формально лицензионно защищенные мультимедийные
файлы, в том числе файлы формата *.wmv, которые заражены троянцами двух
типов: WmvDownloader.A и Wmv.Downloader.B. В настоящее время они
распространяются через пиринговые сети. Эти вирусы используют для
проникновения в компьютер технологические особенности проигрывателя
Windows Media Player версии 10 и Windows XP SP2, предназначенные, по
мысли разработчиков из Microsoft, для борьбы с пиратами. Суть
технологии - в том, что при попытке воспроизвести такой защищенный файл
с помощью проигрывателя Windows Media технология запрашивает лицензию
на продукт. Если в пользовательском компьютере ее найти не удается,
приложение автоматически приступает к ее поиску в интернете, чтобы
пользователь мог получить ее напрямую или купить. Новая технология от
Microsoft уже полюбилась хакерам и злоумышленникам различного рода,
которые с ее помощью заражают компьютеры своих жертв шпионским ПО и
вирусами.
Как ни назови выявленную испанскими экспертами проблему -
уязвимостью, "дырой", или сознательно сконструированным
"технологическим отверстием" - очевидно, что ее наличие представляет
собой реальную угрозу безопасности пользователей продуктов Microsoft. В
самой корпорации, похоже, так не считают. Несмотря на то, что, как
предупреждают эксперты Panda Software, данные троянцы способны заразить
компьютеры своих жертв целым набором шпионских и паразитных программ,
Microsoft заделывать дыру не собирается.
"Вероятно, данный троянец использует функцию Windows Media DRM,
предназначенную для доставки лицензионных сценариев, для осуществления
намеренных атак, - говорится в разосланном по электронной почте
заявлении Microsoft. - Возможность автоматически принудить пользователя
запустить зловредную программу отсутствует. Данная функция не является
уязвимостью системы безопасности Windows Media Player либо DRM". О том,
полностью ли защищает Windows XP SP2 от нежелательных загрузок
зловредного ПО по Сети, Microsoft не сообщила вообще.
"Internet Explorer для Windows XP SP2 позволяет не допустить
автоматического запуска загруженных по Сети программ, - заявляет
Microsoft. - Пользователи, установившие Windows XP SP2 и включившие
функцию блокировки всплывающих окон, имеют дополнительный уровень
защиты в отношении попыток троянцев загрузить зловредное ПО". В своем
заявлении Microsoft рекомендует: "гражданам США, полагающим, что они
стали жертвой компьютерной атаки, надлежит обращаться напрямую в
местное отделение ФБР или на сайт www. ifccfbi.gov. Пользователям за
пределами США надлежит обращаться в местные органы правопорядка
соответствующей страны".
| "Аль-Каеда" начала издавать интернет-журнал для террористок-смертниц |
|
Итальянская разведслужба SISDE выяснила, что известная террористическая организация "Аль-Каеда" открыла в Интернете ежемесячный женский журнал под названием "Аль-Ханса" (Al Khansa). Об этом в понедельник пишет американская газета Washington Times со ссылкой на туринскую газету La Stampa.
По сведениям издания, на страницах интернет-журнала женщины, решившие связать свою судьбу с организацией Осамы бин Ладена, могут узнать о специальных диетах для террористок-смертниц, а также о рекомендациях, как с помощью дыхательной гимнастики "победить страсти" перед подготовкой к, собственно, теракту. Как пишет La Stampa, в "Аль-Хансе" арабские женщины не найдут того, чего обычно ищут женщины в журналах - например, информации о последних моделях платков-хиджабов.
Специалисты разведслужб отмечают, что появление подобного журнала может означать то, что руководство "Аль-Каеды" решило использовать новую для себя тактику в сфере пропаганды. Оно обратилось к образу "эмансипированной" женщины, хотя эмансипация, согласно их выкладкам, наступает через "мученичество", то есть через совершение теракта путем самоубийства с помощью пояса со взрывчаткой.
| Найден новый вирус, призывающий жертвовать деньги пострадавшим от цунами |
|
В интернете в понедельник компьютерной компанией Sophos была зафиксирована рассылка почтового вируса, маскирующегося под просьбу помочь жертвам цунами в Юго-Восточной Азии, передает Reuters.
Вирус приходит в виде письма с заголовком "Tsunami donation! Please help!" ("пожертвования на цунами, пожалуйста помогите") и приложенным исполняемым файлом "tsunami.exe". Собственно, этот файл и содержит вирус. При активации он заражает компьютер, рассылает свои копии по всем найденным в компьютере адресам, и готовится совершить распределенную DDoS-атаку на один из немецких хакерских сайтов.
Вирусописатели регулярно пытаются "сыграть" на каких-либо чувствах пользователей Интернета, чтобы заставить их открыть зараженный файл. Специалисты в области компьютерной безопасности продолжают рекомендовать владельцам компьютеров внимательно относиться к вопросам безопасности своих машин и не открывать подозрительные письма.
Характер угрозы от нового червя пока оценивается как незначительный, и в ближайшее время все компании-производители антивирусных средств должны будут выпустить обновления, устраняющие новый вирус.
| МВД осваивает методы борьбы с хакерами |
|
По данным ООН, ущерб, наносимый компьютерными преступлениями, сегодня сопоставим с доходами от незаконного оборота наркотиков и оружия. В России прибыль компьютерных криминальных элементов достигла 100-150 миллионов долларов. При этом борьба с ними крайне затруднена. Из-за все той же высокотехнологичности преступлений.
Например, в Свердловской области, за весь 2003 год не было заведено ни одного уголовного дела против хакеров. И это при том, что Средний Урал по уровню развития сети Интернет и компьютерных технологий считается одним из самых передовых регионов страны. Не вдохновленное сей статистикой Министерство внутренних дел РФ решило объединить свои возможности со знаниями компьютерных специалистов и девять месяцев назад заключило договор о сотрудничестве с московским "Некоммерческим партнерством поставщиков программных продуктов".
Организация стала оказывать МВД методическую помощь, а ее сотрудники начали обучать российских милиционеров тактике борьбы с компьютерными преступниками. И теперь российские милиционеры посещают специальные курсы в институте повышения квалификации МВД и выездные семинары, на которых им объясняют, как противодействовать хакерам и компьютерным пиратам.
| Нью-Джерси: Интернет-террорист сядет на год в тюрьму |
|
45-летний Джеффри Белтон, проживающий в Патерсоне (Нью-Джерси), признался в том, что в мае и июне 2003 года послал около 40 писем по электронной почте в адрес двоих журналистов газеты The Herald News.
Судья, назвавший преступление Белтона "интернет-терроризмом", приговорил его к лишению свободы сроком на один год, сообщает NRS.com.
В конце каждого письма Белтон подписывался именем шейха Усамы бин Ладена. На суде Белтон сказал, что посылал журналистам письма с угрозами, так как был недоволен работой СМИ. Психиатр, осматривавший Белтона, заявил, что тот страдает психическим расстройством.
Ветеран военно-морского флота США, Белтон в прошлом работал в компании, чей офис размещался во Всемирном торговом центре, разрушенном в результате терактов 11 сентября 2001 года.
| SiteDigger 2.0 от McAfee выявляет дыры в веб-порталах |
|
Компания McAfee выпустила продукт Foundation SiteDigger 2.0 – бесплатный программный инструмент, опирающийся на поисковую технологию компании Google и позволяющий отслеживать утечку корпоративной информации в глобальную сеть.
Марк Керфи, директор по консалтингу в области профессиональных услуг Foundstone McAfee,
указывает, что, по сравнению с первой версией ПО, появившейся в августе
2004 года, SiteDigger 2.0 отыскивает в восемь раз больше информации,
которая гипотетически может нанести ущерб компании.
Для быстрого выявления информации, нахождение которой в
открытом доступе совершенно излишне, но которая, тем не менее, доступна
через веб-сайт (речь идет не столько о паролях, сколько о персональных
данных, а также финансовых документах и корпоративных конфиденциальных
сведениях), SiteDigger использует поисковую систему Google. Как
выясняется, хакеры нередко обращаются к поисковой машине Google (и ее
огромному индексу) c целью обнаружить уязвимые места на веб-порталах. Бесплатный инструмент, использующий API веб-услуг Google для
осуществления поисковых запросов, имеет встроенную функцию
автоматического обновления по сети. Сами обновления компания McAfee
будет выпускать по мере обнаружения новых методов взлома. SiteDigger
2.0 можно скачать с веб-сайта Foundstone.
| Microsoft вербует патч-тестеров |
|
Microsoft набирает испытателей программного обеспечения для проверки исправлений перед выпуском компанией ее ежемесячных патчей.
Программа Security Update Validation позволяет избранным корпоративным
заказчикам и консультантам тестировать поправки к программному
обеспечению Microsoft. Однако компания сделала эту программу чисто
пригласительной и не рассчитывает привлечь большое число тестеров,
пояснила директор Microsoft Security Response Center Дебби Фрай
Вильсон. «Это строго контролируемая программа, — сказала она. — Мы
пригласили лишь тех участников, с которыми поддерживаем тесные
отношения, с тем чтобы быть уверенными в соблюдении
конфиденциальности». Программа, которая разрабатывается уже около года, — часть
инициативы Microsoft по совершенствованию процедур исправления
программного обеспечения и общему повышению степени безопасности
продуктов. На прошлой неделе компания выпустила пробную версию анти-spyware продукта, а на этой представила инструмент для удаления червей и вирусов с жестких дисков заказчиков в процессе ежемесячной плановой установки патчей.
Участниками программы станут, главным образом, крупные
корпорации-заказчики или партнеры Microsoft. В отличие от заказчиков,
желающих попробовать анти-spyware продукт Microsoft, участники
программы Microsoft Security Update Validation должны будут
придерживаться очень строгих правил, сказала Вильсон. Им придется
подписать соглашение о неразглашении информации и выделить на программу
значительное число человеко-часов. «Это очень большая нагрузка для
участников, — заявила Вильсон. — В некоторых случаях заказчики
отказываются». Вильсон добавила, что для большинства заказчиков выгоды от
участия в программе вряд ли оправдают затраченные усилия. Компании,
включившиеся в программу, должны будут работать с патчами еще до их
широкого распространения — что означает ускоренное устранение
выявленных проблем. Вильсон не назвала количество заказчиков,
участвующих в программе проверки патчей. Microsoft надеется, что данная инициатива не только приведет
к повышению надежности, но и ускорит публикацию патчей. «Наш проект —
это попытка повысить эффективность работы не только с точки зрения
качества, но и с точки зрения сроков», — сказала Вильсон.
| Червь играет со своими жертвами |
|
В среду антивирусная фирма Sophos сообщила о появлении червя, который играет с жертвами в Тетрис, пытаясь тем временем дальше распространиться по сети.
Червь, получивший название Cellery.A, соблазняет жертвы версией русской
видеоигры. Пока люди играют, червь пытается проникнуть на подключенные
к сети жесткие диски и в другие доступные места корпоративной сети с
операционной системой Microsoft Windows, предупреждает Sophos. «Если в компании практикуются игры в офисе, то персонал может
решить, что это просто новая игра, а не что-то, чего надо опасаться», —
говорится в заявлении старшего консультанта Sophos Грэма Клали. Игры — необычный способ попытки распространения кода. Бывало,
что для привлечения потенциальных жертв черви использовали стрелялки и
бросалки. Четыре с лишним года назад в чат-каналах распространился другой тетрис-червь, содержащий в собственном коде рабочую версию игры.
Sophos не упоминает о нем в своем предупреждении, и не известно, есть ли связь между этими двумя программами.
Самый первый компьютерный вирус, разработанный для систем
общего назначения, тоже был связан с игрой. В 1975 году Джон Уолкер —
который позднее основал Autodesk — создал вирусоподобную программу
Pervade как средство для распространения игры Animal в системах UNIVAC.
Вирус перемещался через файлы, переносимые между системами на магнитных
лентах. Sophos выпустила антивирусные сигнатуры для обнаружения червя Cellery, который пока не получил широкого распространения.
|
