Перейти к содержанию
Celsus

Насколько хороши модели защиты с использованием виртуальных машин?

Recommended Posts

Celsus

Один человек сказал, что его компьютер защищен без антивируса. Разумеется, мне захотелось расширить кругозор, чтобы знать еще один интересный способ.

Способ с использованием виртуальной машины для выхода в Интернет. Если (или, без антивируса и firewall, наверняка?) виртуальная машина заражается - есть копия, все просто. Перед работой делается копия предыдущей копии (так он мне сказал, хотя вроде есть кнопочка фотографирования состояния машины и отката на него).

На вопрос, как именно подключена виртуалка к Интернет, получил смутный ответ: виртуальная машина подключена, а реальная (хостовая) нет.

Какой из способов выбрал знакомый, неясно: bridged, host-only, NAT. (Сам я пока до конца в этих способах не разобрался)

===

Интересует:

Можно ли сетевую карту в основной системе вообще отключить, а установить ее только в виртуальной машине?

Может ли заразиться основная (host) система из локальной сети и/или Интернет (VPN), если через основную ОС к сети подключена гостевая, а программ защиты нет? (кажется, способ подключения NAT)

В хостовой ОС все равно нужно ставить firewall и антивирус?

В гостевой ОС все равно нужно ставить firewall и антивирус? Если не установить, то наверное не будет защиты от кражи (шпионских ПО) и заражением вирусами, а также включения виртуального компьютера в бот сеть?

Какой способ подключения гостевой ОС к сети и Интернет лучше (безопаснее) выбирать в случае с оптоволоконным LAN/VPN или ADSL модемом?

Я узнал из статьи, что бывают руткиты, которые могут не запуститься в виртуальной машине, так как распознали ее по ее "железу". Таким образом, ценность "тестирования" неизвестного ПО снижается. А также есть руткиты, которые могут проникнуть на основную ОС, используя уязвимости виртуальных машин.

Разумно ли использовать эту модель без антивирусов и firewall вообще?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
diletant

Можно заразить с виртуальной машины реальную через общие ресуры папки итд поэтому желательно отключать.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
priv8v
Я узнал из статьи, что бывают руткиты, которые могут не запуститься в виртуальной машине, так как распознали ее по ее "железу".

есть не только руткиты, но и зловреды, не использующие руткит технологии...

Таким образом, ценность "тестирования" неизвестного ПО снижается.

в отладчике можете обойти эти куски кода или подправить его. это не крякмисы и проверка обычно простая, забить одно место нопом/джампом и все. главное распаковать и найти это место)))) (что может быть не так уж и просто...)

А также есть руткиты, которые могут проникнуть на основную ОС, используя уязвимости виртуальных машин.

думаю, что таковых очень и очень мало, но я тут могу и соврать, посмотрим что скажут про это эксперты...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
dot_sent
...

Интересует:

Можно ли сетевую карту в основной системе вообще отключить, а установить ее только в виртуальной машине?

нет. В любом случае для подключения к сети используется некоторое реальное устройство, иначе сеть просто не будет работать.

Может ли заразиться основная (host) система из локальной сети и/или Интернет (VPN), если через основную ОС к сети подключена гостевая, а программ защиты нет? (кажется, способ подключения NAT)

Да, может, если на хост-системе имеются незакрытые дыры в безопасности или слабые настройки безопасности (скажем, включен сервис RDP, включена учетная запись Administrator и на ней стоит слабый пароль).

В хостовой ОС все равно нужно ставить firewall и антивирус?

Однозначно, по причинам, указанным в прошлом абзаце.

В гостевой ОС все равно нужно ставить firewall и антивирус? Если не установить, то наверное не будет защиты от кражи (шпионских ПО) и заражением вирусами, а также включения виртуального компьютера в бот сеть?

Совершенно верно.

Какой способ подключения гостевой ОС к сети и Интернет лучше (безопаснее) выбирать в случае с оптоволоконным LAN/VPN или ADSL модемом?

Я бы купил дополнительно простенький роутер, на виртуальной машине включил режим Bridged (тогда ip-адрес будет отличным от хостового) и разрешил выход в интернет только через этот айпишник. Ну или фильтрацию по мак-адресам настроил бы.

Я узнал из статьи, что бывают руткиты, которые могут не запуститься в виртуальной машине, так как распознали ее по ее "железу". Таким образом, ценность "тестирования" неизвестного ПО снижается. А также есть руткиты, которые могут проникнуть на основную ОС, используя уязвимости виртуальных машин.

Разумно ли использовать эту модель без антивирусов и firewall вообще?

Была точно пара концептов, использовавших уязвимости в VMWare для проведения каких-то атак на хостовую машину, но полагаю, что это так и осталось экзотикой, практически не встречающейся в реальном мире.

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Виталий Я.
Способ с использованием виртуальной машины для выхода в Интернет. Если (или, без антивируса и firewall, наверняка?) виртуальная машина заражается - есть копия, все просто. Перед работой делается копия предыдущей копии (так он мне сказал, хотя вроде есть кнопочка фотографирования состояния машины и отката на него).

ОК, а логиниться с виртуалки Вы никуда не собираетесь?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Killer

Ну так после каждой рабочей сессии с ВМ можно ее приводить в первоначальное состояние. И логиниться потом.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Виталий Я.
Ну так после каждой рабочей сессии с ВМ можно ее приводить в первоначальное состояние. И логиниться потом.

А когда логин-данные утекут, не поздно ли будет откатываться?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Killer

Если часто откатываться, они не успеют))

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
SDA

В виртуалках (VB, VW) сетевое подключение по дефолту идет через NAT, т.е. трафик поступающий через хост на гостевую, уже проверяется на хосте антивирусными средствами и фаерволом.

А когда логин-данные утекут, не поздно ли будет откатываться?

Всего лишь, не запоминать логин в браузере, что касается и реальной машины.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Dmitriy K
Всего лишь, не запоминать логин в браузере, что касается и реальной машины.

Кейлогеру это скажи :lol:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
SDA

Ты сначала его поставь на виртуалку :lol: А для параноиков есть виртуальная клава :P Я уж не говорю, про ту же Убунту на виртуалке, чтобы не гемороится при установке на хард, второй осью. :)

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Dmitriy K
Ты сначала его поставь на виртуалку :lol:

В этом есть какая-то сложность? :)

А для параноиков есть виртуальная клава :P

Есть защита от снятия троянцем скриншотов?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Killer

@Есть защита от снятия троянцем скриншотов?@

Нет, противостоять этому невозможно :lol:

Вы понимаете, что сейчас поставили в тупик всю индустрию??? :lol::facepalm:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
SDA
Есть защита от снятия троянцем скриншотов?

А смысл снятия скриншота? Набранный пароль не виден.

Снимок.JPG

post-6726-1319458486.jpg

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Dmitriy K
А смысл снятия скриншота? Набранный пароль не виден.

Представлять ценность могут не только пароли ;)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
SDA
Представлять ценность могут не только пароли ;)

Вообще то разговор шел о виртуалках :rolleyes: Для онлайн платежей, особенно для интернет-бакинга, рекомендуется отдельный комп.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Зайцев Олег
Один человек сказал, что его компьютер защищен без антивируса. Разумеется, мне захотелось расширить кругозор, чтобы знать еще один интересный способ.

Способ с использованием виртуальной машины для выхода в Интернет. Если (или, без антивируса и firewall, наверняка?) виртуальная машина заражается - есть копия, все просто. Перед работой делается копия предыдущей копии (так он мне сказал, хотя вроде есть кнопочка фотографирования состояния машины и отката на него).

Разумно ли использовать эту модель без антивирусов и firewall вообще?

Не разумно, ибо:

1. берем виртуалку, открываем на ней Интернет-сайты, куда-то заходим, где-то авторизуемся. Попутно виртуалка заражается троянами, которые воруют логины-пароли, номера кредиток и прочие важные данные (причем как запоненные данные, так и вводимые или передаваемые в сеть). Затем пользователь делает откат виртуалки - трояны естетвенно исчезают. Параллельно владельцы трояна делают откат счету кредитки владельца виртуалки до нулевого состояния - и деньги естветственно тоже исчезают :)

2. фишинг. Собственно, фишинг основан на том, что пользователь сам сдуру куда-то придет и что-то сам введет - трояны для него не нужны. В данном случае антивирус/firewall может вовремя поднять крик, опознав и блокировав фишинговый ресурс, и защитив тем самым пользователя;

3. берем виртуалку, открываем на ней Интернет-сайты, оттуда заползает спамбот. Пользователь потихоньку работает, спамбот потихоньку спамит. Провайдер в итоге запросто может приянть меры к владельцу виртуалки, далее все зависит от фантазии провайдера и договора с ним (кто-то автоматом блокирует порт 25, кто-то вообще отрубает Инет). Не перезагружаться же каждые 5 минут ...

4. Есть сетевые червяки, которые заразив виртуалку начнут пытаться заразить сеть, начиная от того, что он считает ЛВС пользователя. Далее вероятна реакция провайдера или "счастливых" соседей, и она не будет восторженной - если виртуалка имеет IP из сети провайдера. Еще хуже в случае, если есть домашняя сеть и роутер - тогда у виртуалки будет IP домашней сети, и он сетевой червяк с нее запросто позаражает все ПК в домашней ЛВС.

5. Постулат "Перед работой делается копия предыдущей ..." имеет радикальный недостаток - делающий копии пользователь дожен быть ясновидящим, чтобы однозначно определять, что его виртуальная система уже заражена (или наоборот - чиста и копию можно делать). Если это так - виртуалка не нужна, так как можно предвидеть угрозы и не ходить на зараженные сайты. Если нет, то придется каждый раз откатываться на базовый, гарантированно чистый образ вируалки, что мягко говоря неудобно

6. Если отбросить применение Инет для просмотра порнухи, то собственно задача работы в нем - поиск какой-то информации, программ и т.п. С поправкой на п.п. 5 скачанное в том или ином виде придется копировать на базовый ПК, и если речь идет о программе - то можно запросто перетащить с виртуалки заразную или поддельную программу, что часто бывает при загрузке их через P2P. И далее мы или оказываемся от самого факта загрузки и запуска программ из Интернет (тогда и без виртуалки снимается куча рисков), или рискуем заразиться

7. Следствие п.п. 5 приведет к тому, что будут проблемы с апдейтом системы и установкой патчей - это будет делать систему уязвимой и повышать риск ее заражения, и риск от п.п. 1-4

  • Upvote 10

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Dmitriy K
Вообще то разговор шел о виртуалках :rolleyes: Для онлайн платежей, особенно для интернет-бакинга, рекомендуется отдельный комп.

Область применения виртуальной машины не указана :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
SDA
Область применения виртуальной машины не указана :)

В основном виртуалку используют для тестов ПО :rolleyes:

Просто использовать виртуалку для безопасного серфинга, конечно можно но никто этим не заморачивается, хотя откатится на чистый снимок (первоначальный снимок с установленным софтом и апдейтами гостевой, кстати апдейты можно ставить и на первоначальный снимок, убирая лишние: снимок-апдейт-убирается предыдущий-серфинг-откат ) после серфинга, дело 1-й минуты, меньше времени чем загрузить комп. Ничего сложного и неудобного тут нет. Опять же для параноиков можно поставить Убунту и серфить где угодно и как угодно, если одноминутный откат так неудобен :rolleyes:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Celsus
Вообще то разговор шел о виртуалках Для онлайн платежей, особенно для интернет-бакинга, рекомендуется отдельный комп.

Область применения виртуальной машины не указана

Только: браузинг (веб-серфинг), форумы, Skype, jabber и e-mail - на виртуалке планируется виртуальная деятельность))

3. берем виртуалку, открываем на ней Интернет-сайты, оттуда заползает спамбот. Пользователь потихоньку работает, спамбот потихоньку спамит. Провайдер в итоге запросто может приянть меры к владельцу виртуалки, далее все зависит от фантазии провайдера и договора с ним (кто-то автоматом блокирует порт 25, кто-то вообще отрубает Инет). Не перезагружаться же каждые 5 минут ...

Интересно, может ли быть причина обрыва VPN соединения у некоторых людей как раз в этом?...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
SDA
Только: браузинг (веб-серфинг), форумы, Skype, jabber и e-mail - на виртуалке планируется виртуальная деятельность))

Интересно, может ли быть причина обрыва VPN соединения у некоторых людей как раз в этом?...

Как я уже говорил по дефолту трафик на гостевую идет через NAT, а на хосте антивирус с фаерволом имеется.

Image_1.jpg

post-6726-1319564770_thumb.jpg

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Umnik
Как я уже говорил по дефолту трафик на гостевую идет через NAT, а на хосте антивирус с фаерволом имеется.

Который может скиповать транзитный трафик, да. Хотя фиг знает, с NAT не сможет так схитрить скорее всего.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
SDA
Который может скиповать транзитный трафик, да. Хотя фиг знает, с NAT не сможет так схитрить скорее всего.

Факт то, что трафик не пройдет минуя хост. Небольшой пример: заразил гостевую небольшим "зверинцем" (антивирус и фаервол соответственно на гостевой были отключены). Зверьки на гостевой устроили "хороводы" с выходом в сеть и все были благополучно блокированы модулем IDS фаервола на хосте.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Rustock.C
Факт то, что трафик не пройдет минуя хост.

А если это HTTPS?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • Ego Dekker
    • ArktiTig
      Арктика - северная полярная область Земли, включающая окраины материков Евразии и Северной Америки, почти весь Северный Ледовитый океан с островами и прилегающие к нему части Атлантического и Тихого океанов. Название её происходит от греческого слова arctos (медведь) и связано со звёздами: Полярная звезда, находящаяся почти точно в зените над Северным полюсом, принадлежит к созвездию Малая Медведица.
    • ArktiTig
      Арктика - северная полярная область Земли, включающая окраины материков Евразии и Северной Америки, почти весь Северный Ледовитый океан с островами и прилегающие к нему части Атлантического и Тихого океанов. Название её происходит от греческого слова arctos (медведь) и связано со звёздами: Полярная звезда, находящаяся почти точно в зените над Северным полюсом, принадлежит к созвездию Малая Медведица.
    • PR55.RP55
      .xml  файлы taskschd.msc Могут быть подписаны  цифровой подписью. Думаю будет нелишним, если uVS будет это фиксировать. т.е. проверять не только подпись целевого файла, но и подпись самого файла\задачи. и писать в ИНфО .  
    • demkd
      ---------------------------------------------------------
       4.15.2
      ---------------------------------------------------------
       o Исправлена ошибка при работе с образом автозапуска.
         Для некоторых процессов команда unload не добавлялась в скрипт при нажатии кнопки "принять изменения".  o Добавлена плашка окна на таскбаре для окна удаленного рабочего стола.
         (при работе с удаленной системой) -----------------------------------------------------------
      Есть проблема с локализацией глюка в редких случаях приводящему к аварийному завершению uVS при активном флаге "Проверять весь HKCR".
      На основе дампов его найти не получается, нужна копия реестра системы с такой проблемой, если кому-то попадется такая проблема, то присылайте архив с копией реестра системы мне на почту.  
×