Перейти к содержанию
Celsus

Насколько хороши модели защиты с использованием виртуальных машин?

Recommended Posts

Celsus

Один человек сказал, что его компьютер защищен без антивируса. Разумеется, мне захотелось расширить кругозор, чтобы знать еще один интересный способ.

Способ с использованием виртуальной машины для выхода в Интернет. Если (или, без антивируса и firewall, наверняка?) виртуальная машина заражается - есть копия, все просто. Перед работой делается копия предыдущей копии (так он мне сказал, хотя вроде есть кнопочка фотографирования состояния машины и отката на него).

На вопрос, как именно подключена виртуалка к Интернет, получил смутный ответ: виртуальная машина подключена, а реальная (хостовая) нет.

Какой из способов выбрал знакомый, неясно: bridged, host-only, NAT. (Сам я пока до конца в этих способах не разобрался)

===

Интересует:

Можно ли сетевую карту в основной системе вообще отключить, а установить ее только в виртуальной машине?

Может ли заразиться основная (host) система из локальной сети и/или Интернет (VPN), если через основную ОС к сети подключена гостевая, а программ защиты нет? (кажется, способ подключения NAT)

В хостовой ОС все равно нужно ставить firewall и антивирус?

В гостевой ОС все равно нужно ставить firewall и антивирус? Если не установить, то наверное не будет защиты от кражи (шпионских ПО) и заражением вирусами, а также включения виртуального компьютера в бот сеть?

Какой способ подключения гостевой ОС к сети и Интернет лучше (безопаснее) выбирать в случае с оптоволоконным LAN/VPN или ADSL модемом?

Я узнал из статьи, что бывают руткиты, которые могут не запуститься в виртуальной машине, так как распознали ее по ее "железу". Таким образом, ценность "тестирования" неизвестного ПО снижается. А также есть руткиты, которые могут проникнуть на основную ОС, используя уязвимости виртуальных машин.

Разумно ли использовать эту модель без антивирусов и firewall вообще?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
diletant

Можно заразить с виртуальной машины реальную через общие ресуры папки итд поэтому желательно отключать.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
priv8v
Я узнал из статьи, что бывают руткиты, которые могут не запуститься в виртуальной машине, так как распознали ее по ее "железу".

есть не только руткиты, но и зловреды, не использующие руткит технологии...

Таким образом, ценность "тестирования" неизвестного ПО снижается.

в отладчике можете обойти эти куски кода или подправить его. это не крякмисы и проверка обычно простая, забить одно место нопом/джампом и все. главное распаковать и найти это место)))) (что может быть не так уж и просто...)

А также есть руткиты, которые могут проникнуть на основную ОС, используя уязвимости виртуальных машин.

думаю, что таковых очень и очень мало, но я тут могу и соврать, посмотрим что скажут про это эксперты...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
dot_sent
...

Интересует:

Можно ли сетевую карту в основной системе вообще отключить, а установить ее только в виртуальной машине?

нет. В любом случае для подключения к сети используется некоторое реальное устройство, иначе сеть просто не будет работать.

Может ли заразиться основная (host) система из локальной сети и/или Интернет (VPN), если через основную ОС к сети подключена гостевая, а программ защиты нет? (кажется, способ подключения NAT)

Да, может, если на хост-системе имеются незакрытые дыры в безопасности или слабые настройки безопасности (скажем, включен сервис RDP, включена учетная запись Administrator и на ней стоит слабый пароль).

В хостовой ОС все равно нужно ставить firewall и антивирус?

Однозначно, по причинам, указанным в прошлом абзаце.

В гостевой ОС все равно нужно ставить firewall и антивирус? Если не установить, то наверное не будет защиты от кражи (шпионских ПО) и заражением вирусами, а также включения виртуального компьютера в бот сеть?

Совершенно верно.

Какой способ подключения гостевой ОС к сети и Интернет лучше (безопаснее) выбирать в случае с оптоволоконным LAN/VPN или ADSL модемом?

Я бы купил дополнительно простенький роутер, на виртуальной машине включил режим Bridged (тогда ip-адрес будет отличным от хостового) и разрешил выход в интернет только через этот айпишник. Ну или фильтрацию по мак-адресам настроил бы.

Я узнал из статьи, что бывают руткиты, которые могут не запуститься в виртуальной машине, так как распознали ее по ее "железу". Таким образом, ценность "тестирования" неизвестного ПО снижается. А также есть руткиты, которые могут проникнуть на основную ОС, используя уязвимости виртуальных машин.

Разумно ли использовать эту модель без антивирусов и firewall вообще?

Была точно пара концептов, использовавших уязвимости в VMWare для проведения каких-то атак на хостовую машину, но полагаю, что это так и осталось экзотикой, практически не встречающейся в реальном мире.

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Виталий Я.
Способ с использованием виртуальной машины для выхода в Интернет. Если (или, без антивируса и firewall, наверняка?) виртуальная машина заражается - есть копия, все просто. Перед работой делается копия предыдущей копии (так он мне сказал, хотя вроде есть кнопочка фотографирования состояния машины и отката на него).

ОК, а логиниться с виртуалки Вы никуда не собираетесь?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Killer

Ну так после каждой рабочей сессии с ВМ можно ее приводить в первоначальное состояние. И логиниться потом.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Виталий Я.
Ну так после каждой рабочей сессии с ВМ можно ее приводить в первоначальное состояние. И логиниться потом.

А когда логин-данные утекут, не поздно ли будет откатываться?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Killer

Если часто откатываться, они не успеют))

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
SDA

В виртуалках (VB, VW) сетевое подключение по дефолту идет через NAT, т.е. трафик поступающий через хост на гостевую, уже проверяется на хосте антивирусными средствами и фаерволом.

А когда логин-данные утекут, не поздно ли будет откатываться?

Всего лишь, не запоминать логин в браузере, что касается и реальной машины.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Dmitriy K
Всего лишь, не запоминать логин в браузере, что касается и реальной машины.

Кейлогеру это скажи :lol:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
SDA

Ты сначала его поставь на виртуалку :lol: А для параноиков есть виртуальная клава :P Я уж не говорю, про ту же Убунту на виртуалке, чтобы не гемороится при установке на хард, второй осью. :)

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Dmitriy K
Ты сначала его поставь на виртуалку :lol:

В этом есть какая-то сложность? :)

А для параноиков есть виртуальная клава :P

Есть защита от снятия троянцем скриншотов?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Killer

@Есть защита от снятия троянцем скриншотов[email protected]

Нет, противостоять этому невозможно :lol:

Вы понимаете, что сейчас поставили в тупик всю индустрию??? :lol::facepalm:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
SDA
Есть защита от снятия троянцем скриншотов?

А смысл снятия скриншота? Набранный пароль не виден.

Снимок.JPG

post-6726-1319458486.jpg

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Dmitriy K
А смысл снятия скриншота? Набранный пароль не виден.

Представлять ценность могут не только пароли ;)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
SDA
Представлять ценность могут не только пароли ;)

Вообще то разговор шел о виртуалках :rolleyes: Для онлайн платежей, особенно для интернет-бакинга, рекомендуется отдельный комп.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Зайцев Олег
Один человек сказал, что его компьютер защищен без антивируса. Разумеется, мне захотелось расширить кругозор, чтобы знать еще один интересный способ.

Способ с использованием виртуальной машины для выхода в Интернет. Если (или, без антивируса и firewall, наверняка?) виртуальная машина заражается - есть копия, все просто. Перед работой делается копия предыдущей копии (так он мне сказал, хотя вроде есть кнопочка фотографирования состояния машины и отката на него).

Разумно ли использовать эту модель без антивирусов и firewall вообще?

Не разумно, ибо:

1. берем виртуалку, открываем на ней Интернет-сайты, куда-то заходим, где-то авторизуемся. Попутно виртуалка заражается троянами, которые воруют логины-пароли, номера кредиток и прочие важные данные (причем как запоненные данные, так и вводимые или передаваемые в сеть). Затем пользователь делает откат виртуалки - трояны естетвенно исчезают. Параллельно владельцы трояна делают откат счету кредитки владельца виртуалки до нулевого состояния - и деньги естветственно тоже исчезают :)

2. фишинг. Собственно, фишинг основан на том, что пользователь сам сдуру куда-то придет и что-то сам введет - трояны для него не нужны. В данном случае антивирус/firewall может вовремя поднять крик, опознав и блокировав фишинговый ресурс, и защитив тем самым пользователя;

3. берем виртуалку, открываем на ней Интернет-сайты, оттуда заползает спамбот. Пользователь потихоньку работает, спамбот потихоньку спамит. Провайдер в итоге запросто может приянть меры к владельцу виртуалки, далее все зависит от фантазии провайдера и договора с ним (кто-то автоматом блокирует порт 25, кто-то вообще отрубает Инет). Не перезагружаться же каждые 5 минут ...

4. Есть сетевые червяки, которые заразив виртуалку начнут пытаться заразить сеть, начиная от того, что он считает ЛВС пользователя. Далее вероятна реакция провайдера или "счастливых" соседей, и она не будет восторженной - если виртуалка имеет IP из сети провайдера. Еще хуже в случае, если есть домашняя сеть и роутер - тогда у виртуалки будет IP домашней сети, и он сетевой червяк с нее запросто позаражает все ПК в домашней ЛВС.

5. Постулат "Перед работой делается копия предыдущей ..." имеет радикальный недостаток - делающий копии пользователь дожен быть ясновидящим, чтобы однозначно определять, что его виртуальная система уже заражена (или наоборот - чиста и копию можно делать). Если это так - виртуалка не нужна, так как можно предвидеть угрозы и не ходить на зараженные сайты. Если нет, то придется каждый раз откатываться на базовый, гарантированно чистый образ вируалки, что мягко говоря неудобно

6. Если отбросить применение Инет для просмотра порнухи, то собственно задача работы в нем - поиск какой-то информации, программ и т.п. С поправкой на п.п. 5 скачанное в том или ином виде придется копировать на базовый ПК, и если речь идет о программе - то можно запросто перетащить с виртуалки заразную или поддельную программу, что часто бывает при загрузке их через P2P. И далее мы или оказываемся от самого факта загрузки и запуска программ из Интернет (тогда и без виртуалки снимается куча рисков), или рискуем заразиться

7. Следствие п.п. 5 приведет к тому, что будут проблемы с апдейтом системы и установкой патчей - это будет делать систему уязвимой и повышать риск ее заражения, и риск от п.п. 1-4

  • Upvote 10

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Dmitriy K
Вообще то разговор шел о виртуалках :rolleyes: Для онлайн платежей, особенно для интернет-бакинга, рекомендуется отдельный комп.

Область применения виртуальной машины не указана :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
SDA
Область применения виртуальной машины не указана :)

В основном виртуалку используют для тестов ПО :rolleyes:

Просто использовать виртуалку для безопасного серфинга, конечно можно но никто этим не заморачивается, хотя откатится на чистый снимок (первоначальный снимок с установленным софтом и апдейтами гостевой, кстати апдейты можно ставить и на первоначальный снимок, убирая лишние: снимок-апдейт-убирается предыдущий-серфинг-откат ) после серфинга, дело 1-й минуты, меньше времени чем загрузить комп. Ничего сложного и неудобного тут нет. Опять же для параноиков можно поставить Убунту и серфить где угодно и как угодно, если одноминутный откат так неудобен :rolleyes:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Celsus
Вообще то разговор шел о виртуалках Для онлайн платежей, особенно для интернет-бакинга, рекомендуется отдельный комп.

Область применения виртуальной машины не указана

Только: браузинг (веб-серфинг), форумы, Skype, jabber и e-mail - на виртуалке планируется виртуальная деятельность))

3. берем виртуалку, открываем на ней Интернет-сайты, оттуда заползает спамбот. Пользователь потихоньку работает, спамбот потихоньку спамит. Провайдер в итоге запросто может приянть меры к владельцу виртуалки, далее все зависит от фантазии провайдера и договора с ним (кто-то автоматом блокирует порт 25, кто-то вообще отрубает Инет). Не перезагружаться же каждые 5 минут ...

Интересно, может ли быть причина обрыва VPN соединения у некоторых людей как раз в этом?...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
SDA
Только: браузинг (веб-серфинг), форумы, Skype, jabber и e-mail - на виртуалке планируется виртуальная деятельность))

Интересно, может ли быть причина обрыва VPN соединения у некоторых людей как раз в этом?...

Как я уже говорил по дефолту трафик на гостевую идет через NAT, а на хосте антивирус с фаерволом имеется.

Image_1.jpg

post-6726-1319564770_thumb.jpg

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Umnik
Как я уже говорил по дефолту трафик на гостевую идет через NAT, а на хосте антивирус с фаерволом имеется.

Который может скиповать транзитный трафик, да. Хотя фиг знает, с NAT не сможет так схитрить скорее всего.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
SDA
Который может скиповать транзитный трафик, да. Хотя фиг знает, с NAT не сможет так схитрить скорее всего.

Факт то, что трафик не пройдет минуя хост. Небольшой пример: заразил гостевую небольшим "зверинцем" (антивирус и фаервол соответственно на гостевой были отключены). Зверьки на гостевой устроили "хороводы" с выходом в сеть и все были благополучно блокированы модулем IDS фаервола на хосте.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Rustock.C
Факт то, что трафик не пройдет минуя хост.

А если это HTTPS?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Создайте учетную запись или войдите, чтобы комментировать

Вы должны быть пользователем, чтобы оставить комментарий

Создать учетную запись

Зарегистрируйте новую учётную запись в нашем сообществе. Это очень просто!

Регистрация нового пользователя

Войти

Уже есть аккаунт? Войти в систему.

Войти

  • Сообщения

    • PR55.RP55
      https://www.comss.ru/page.php?id=586 При проверке ЭЦП  flash_player uVS выдаёт ошибку. ( в версии для firefox ) https://www.virustotal.com/ru/file/f3fc32449dccf88aed8a7d1f4bf35deb3064a03966f1223bcb1363d56e744b33/analysis/ Это происходит при пополнении базы SHA1 " Добавить хэши исполняемых файлов каталога в базу проверенных..." Но, не всегда.
    • Лукин Вадим
      Пришла мне в голову идея организовать самостоятельное путешествие по некоторым сказочным местам нашей Родины! Было бы здорово, если бы кто-то подсказал, где можно найти нормальные отели? Может есть какая-то прога?
    • Липковский Борис
      Моё отношение к казино вполне положительное, я уже больше полугода играю в слоты на сайте Play Fortuna Уже неоднократно поднимал там приличные деньги и не жалуюсь. Естественно и несколько раз проигрывал, но в каждой игре бывают проигрыши и это вполне нормально. На этом сайте есть разные слоты, их около двухсот штук, можно выбрать любой и на каждом из них высокий шанс выиграть.
    • Dima2_90
      Об особенностях сканирования исполняемых файлов антивирусами и доверии результатам VirusTotal - https://habr.com/post/346480/ Цитаты из статьи "Забавно, детект уменьшился с 60 для неупакованного файла и 41 для архива до 17 — при этом ни один из антивирусных движков не обнаружил Eicar, детекты явно имеют эвристический характер, а в ряде случаев напоминают ложное срабатывание (DrWeb, Baidu и др.)" "6 детектов из 67. Шесть, Карл! Все — эвристические. И скорее всего ничего не подозревающий пользователь посчитает файл безопасным." "современные антивирусные сканеры так и остались барахлом, которым были десяток-два лет назад, абсолютно пасующим перед простейшими видами упаковки кода. Решения в виде тестовых сред — «песочниц», эвристических анализаторов и т.д. только добавили неразберихи, ложных срабатываний, но по сути не защищают от реальной угрозы. Со старым, открытым и разжёванным до потрохов UPX как был бардак — так он и остался. А ведь я вполне мог упаковать не файл, вызывающий вредоносную активность, а непосредственно код, работать не с файлами на диске в %temp%, а в памяти, использовать не свободно доступные утилиты, а собственные или закрытые разработки — и таким образом обойти срабатывание резидентной защиты. Я вполне мог добавить интересные элементы интерфейса или скопировать таковой из распространённой программы — и обойти проактивку у неискушённого пользователя, который просто будет соглашаться с любыми запросами, доверяя тому, что запустил.

      То, что мы сделали выше — примитивный способ обмануть антивирус, который может понять и реализовать практически любой. И он сработал. Что говорить про искушённых специалистов!"
    • Dima2_90
      Ad-Aware --------- https://www.adaware.com/support/securitycenter/report_false_positives.php  Antiy-AVL --------- [email protected] Avast --------------- https://www.avast.ru/false-positive-file-form.php AVG ---------------- https://www.avg.com/ru-ru/false-positive-file-form Avira --------------- https://analysis.avira.com/en/submit BitDefender -------- https://www.bitdefender.com/submit/ ClamAV ------------ http://www.clamav.net/reports/fp DrWeb ------------- https://vms.drweb.ua/sendvirus ESET-NOD32 ------- https://www.esetnod32.ru/support/knowledge_base/new_virus/ Kaspersky --------- https://virusdesk.kaspersky.ru/ Microsoft ---------- https://www.microsoft.com/en-us/wdsi/filesubmission NANO-Antivirus ---- http://nanoav.ru/index.php?option=com_content&view=article&id=15&Itemid=83&lang=ru Symantec ---------- https://submit.symantec.com/false_positive/
×