Централизованный аудит событий SRP в домене

Среда, 03 - Июль - 2013 9 комментариев

Политики Software Restriction Policies и AppLocker играют важнейшую роль в защите компьютера от вирусов и нежелательных программ. Блокируя запуск неразрешённой программы, политика генерирует событие в журнале Application локального компьютера, что позволяет администратору контролировать состояние системы и по мере необходимости вносить изменения в параметры политики. Однако, отслеживать содержимое журналов одновременно на большом числе компьютеров — слишком сложная задача. Существенно упростить контроль можно, настроив автоматическую рассылку почтовых уведомлений при появлении в журнале интересующих нас событий.

Продолжить чтение этой записи

Реклама

Filed under Microsoft Windows: Безопасность Tagged with , , , , ,

HTB23108 — уязвимость, которой не было.

Среда, 21 - Ноябрь - 2012 2 комментария

Иногда среди сообщений о найденных «дырах» попадаются интересные экземпляры. Мне понравилась уязвимость, информацию о которой опубликовали High-Tech Bridge (оригинал ищите на https://www.htbridge.com/advisory/HTB23108). Вкратце разъясню идею:

1. Системная служба IKE and AuthIP IPsec Keying Modules, присутствующая в Windows Vista и выше, в момент запуска пытается загрузить библиотеку wlbsctrl.dll, которой обычно в системе нет.
2. Порядок, в котором осуществляется поиск библиотеки, включает в себя переменную окружения %PATH%. Эту переменную любят менять различного рода приложения!
3. По умолчанию, пользователи могут создавать папки в корне системного диска и писать в эти папки.

Продолжить чтение этой записи

Filed under Microsoft Windows: Безопасность Tagged with , , ,

Разбор ситуации: не работает Remote Desktop с Windows XP на Windows 7

Среда, 11 - Июль - 2012 5 комментариев

        Руководство одной из компаний попросило дать доступ к рабочему компьютеру приболевшему сотруднику, чтобы он мог работать с клиентами из дому. Так как в производственных целях используется одновременно несколько программ, вполне логичным и разумным методом доступа я избрал Remote Desktop. Включил поддержку RDP на рабочей станции, при этом не забыв указать обязательное требование Network Layer Authentication (NLA), на NAT-маршрутизаторе перенаправил на нужную рабочую станцию нестандартный порт, внёс учётную запись в группу Remote Desktop Users. В конце концов, сообщил сотруднику, что он может запустить программу Remote Desktop Connection и соединиться со своим рабочим компьютером по адресу вида MyCompany.LV:12345.

Продолжить чтение этой записи

Filed under Microsoft Windows: Безопасность Tagged with , ,

Эпидемия вируса LockDir — кто виноват? Что делать?

Вторник, 27 - Март - 2012 7 комментариев

В очередной раз Интернет разрывается в лоскуты криками о помощи:

«Вирус зашифровал файлы и добавил им расширение loh», «Вирус заблокировал почти все файлы на обоих дисках»,«Lockdir.exe Помогите разблокировать базы 1С« и так далее до бесконечности. Это очень хороший вирус, я его люблю изо всех сил. Он в очередной раз блестяще доказал, что антивирусные программы не в состоянии защитить от вирусов, эта война ими давно проиграна. Принося очевидный весомый ущерб, он также доказал, заклинания «мне вирусы не мешают», «у меня в компьютере ничего ценного нет» являются чистым самообманом. Особенно глупо выглядят мантры «у меня хороший антивирус, он всё ловит»:

Продолжить чтение этой записи

Filed under Microsoft Windows: Безопасность Tagged with , , , ,

Configuring Windows to run applications with Standard User privileges

Понедельник, 21 - Ноябрь - 2011 Оставьте комментарий

1. Why should we separate privileges and configure permissions?

        The separation of privileges is a computer security and antivirus protection fundamental. Usually, all the users log on to the computer with individual accounts that belong to either of two categories: administrative, which are designed to configure and maintain the system; and standard, designed for everyday work. Administrators can do anything they want — install and remove software, update device drivers, infect computer with a virus etc. Standard Users are able to surf Internet, work with documents and e-mail, watch movies. But it is impossible for them to break anything in a system.

Продолжить чтение этой записи

Filed under Microsoft Windows: Security Tagged with , ,

Using Windows Auditing to track user activity

Вторник, 15 - Ноябрь - 2011 8 комментариев

        Time to time something happens that requires us to answer ”who did it?” question. Those occasions are not as frequent, but important ones. A systems administrator is to be ready and prepared to address such issues.

        In most companies there are departments like Project Managers, Accountants, Developers and other employee categories that collaborate and work together with groups of documents being stored in some shared folders on a fileserver or possibly workstations. Occasionally, someone deletes a particular important document or folder with a bunch of documents, resulting in a mission-critical data loss. Considering the described incident, few questions immediatelly arise:

  • At what date and time the incident took place?
  • Which backup should be used to restore the data?
  • Was that an accident or an intentional user action?
  • Or maybe that was some system failure that could happen again?

Продолжить чтение этой записи

Filed under Microsoft Windows: Security Tagged with , ,

Пять причин, по которым я работаю с ограниченными привилегиями

Четверг, 10 - Ноябрь - 2011 20 комментариев

1. Стандартные привилегии — фундамент защиты от вирусов.

         Принципиальное отличие ограниченной учётной записи заключается в том, что у таких пользователей нет прав на инсталляцию программ. Вирус — это не чёрная магия, а тоже просто компьютерная программа, нацеленная автором на деструктивные действия.

         Не стоит надеяться на «белую магию» антивирусной программы1 — если бы антивирусные программы были способны обеспечить эффективную защиту, вирусов уже не существовало бы! Однако, если у меня нет прав на инсталляцию программ, вирус в свой компьютер я проинсталлировать тоже не смогу. Причём, совершенно не имеет значения, насколько вирус новый или сложный — если он, будучи запущенным, захочет скопироваться в папку Windows или прописаться в системном реестре, его ждёт железобетонная стена отсутствия прав на запись.

Продолжить чтение этой записи

Filed under Microsoft Windows: Безопасность Tagged with , , , ,

Why Microsoft made managing NTFS Permissions even more complex?

Вторник, 20 - Сентябрь - 2011 Оставьте комментарий

        Working with Windows NT 5.0/5.1/5.2 (Windows 2000/XP/2003) systems for a quite long time, I am used to configure NTFS Permissions the way it was. However, the successor NT versions (2008/Vista/7) managed to unpleasantly surprise me. Let’s assume you want to re-configure an access to some particular NTFS folder. For example, the folder containing users’ home directories. This is the way it looks (with NTFS permissions attached) on one of my Windows Server 2003 R2 computers:

Продолжить чтение этой записи

Filed under Microsoft Windows: Security Tagged with , ,

Preventing computer malware by using Software Restriction Policies.

Среда, 01 - Июнь - 2011 14 комментариев

1. What does protection from viruses and other malware begin with?

        Protection from computer viruses, ’trojan horses’ and stuff like that strictly depends on the privilege level you use when working on a computer. Usually, all the user accounts are divided into two categories – administrative, which is designed to be used to install programs and configure the system; and standard (with limited rights), which is designed for everyday work. Do you want to configure the software or install something new? Log on as an Administrator. Are you going to watch movies, write some e-mails or communicate through instant messenger? Log on as a Standard User.

        The situation is that normal users do not have enough rights to install programs and tune up the system, thus make it working in a very stable, reliable and secure manner. The users simply cannot mess something up or break something important, because their rights are not enough to do that. A computer virus is not any ‘voodoo magic‘ at all but just usual software, a computer program, that’s why a standard user is not able to infect the system with it. And even more, it does not matter for a computer if the virus is a new or old one, a very complex or primitive one – if the current permissions are not enough, it is not possible to copy virus body to the system folders or add it’s autorun to the Registry, anyway. Продолжить чтение этой записи

Filed under Microsoft Windows: Security Tagged with , , ,

Следующие записи →