Книга "Безопасный Интернет"

[Matias 20]

Среди авторов книги "Безопасный Интернет" есть немало участников форумов AM&VI. Это Nick Golovko, Сергей Ильин, Олег Зайцев, Umnik, ANDYBOND, p2u, Saule и другие пользователи этих двух форумов.

Тогда возникает следующий вопрос. Почему же большинство из перечисленных участников столь удивлены моими темами, в которых я говорю о политике отключения различных опасных функций Windows (тема про xp-AntiSpy, а также о способах беспроблемного обновления (тема про WSUS Offline Update). Ведь в книге справедливо утверждается, что необходимо отключить весь ненужный функционал, что я и делаю. Также там справедливо утверждается, что необходимо своевременно устанавливать обновления Windows и сторонних программ, что я опять-таки делаю.

[dot_sent 140]

Политика отключения служб - это хорошо, но средства вы для этого предлагаете не совсем корректные. Неправильно давать обезьяне гранату пользователю ПО типа пресловутого хр-AntiSpy и предлагать понажимать на кнопочки. Дороже может обойтись для компьютера в итоге.

[SDA 750]

Среди авторов книги "Безопасный Интернет" есть немало участников форумов AM&VI. Это Nick Golovko, Сергей Ильин, Олег Зайцев, Umnik, ANDYBOND, p2u, Saule и другие пользователи этих двух форумов.

Тогда возникает следующий вопрос. Почему же большинство из перечисленных участников столь удивлены моими темами, в которых я говорю о политике отключения различных опасных функций Windows (тема про xp-AntiSpy, а также о способах беспроблемного обновления (тема про WSUS Offline Update). Ведь в книге справедливо утверждается, что необходимо отключить весь ненужный функционал, что я и делаю. Также там справедливо утверждается, что необходимо своевременно устанавливать обновления Windows и сторонних программ, что я опять-таки делаю.

Устарело. Универсальная защита для Windows ME - Vista

Атак снаружи для поиска уязвимых служб на данный момент ПРАКТИЧЕСКИ 0%. То что, можно было посоветовать к ХР ( и то на мой взгляд до 3-го сервис пака) совершенно не нужно (на мой взгляд просто вредно) той же Vista, семерке, а про 8-ку я вообще молчу.

[Зайцев Олег 402]

Среди авторов книги "Безопасный Интернет" есть немало участников форумов AM&VI. Это Nick Golovko, Сергей Ильин, Олег Зайцев, Umnik, ANDYBOND, p2u, Saule и другие пользователи этих двух форумов.

Предлагаю расставить все точки над Ё:

1. Это не книга, а как максимум методичка, сборник различных материалов, подобранных или написанных составителем. Многие моменты там спорные, и не факт, что они отражают мнения тех, кто указан в титрах.

2. Дата издания: 2007-2009 год. Сейчас наступает 2013, т.е. грубо говоря прошло 5 лет с момента подготовки данного сборника. Все как известно меняется, и то, что было хорошо и полезно для XP, может быть губительно или бесполезно скажем для Win8. Аналогично с угрозами - 5 лет назад былыи одни виды угроз, сейчас - другие.

3. WSUS Offline Update - это извращенный метод, подменяющий обыкновенный автоапдейт. Он имеет право на жизнь при особых условиях, что нужно например обновить ПК, не имеющий выхода в Инет. Для обычного пользователя это странное шаманство, которое он как максимум пару раз проделает, после чего забудет.

[Сергей Ильин 1538]

Согласен с комментариями выше. Книга по содержанию сильно устарела. На дворе уже вот вот 2013 год будет, началась миграция на Windows 8, изменился ланшафт угроз. Под XP даже нормального апдейтера не было, который бы обновлял не только Windows, но и все остальные программы от Microsoft. Не было UAC, не было ASLR, SEHOP и т.д. Microsoft сделал огромный шаг в сторону повышения безопасности своей ОС, в первую очередь начал с базовых вещей - ввел стандарты безопасной разработки (SDL http://www.anti-malware.ru/node/4067), что сразу почти на порядок уменьшило уязвимость ОС и базовых приложений.

Сейчас пробить саму Windows в разы сложнее для атакующего, чем установленные плагины от Adobe или Sun, посмотрите последние данные от Лаборатории Касперского - весь ТОП-10 за ними уже почти год как. Разве такое было в 2008-2009 году? Конечно нет.

Мое мнение состоят в том, что сейчас уже не так важно отключены ли у тебя какие-то неиспользуемые службы или сервисы. Важнее права пользователя, набор ПО, который используется для работы в сети, его обновленность.

P.S. Через 5 лет все еще больше изменится, когда подавляющая часть приложений будет ставиться через Windows Store и работать в изолированной среде. Нельзя смотреть на мир в рамках парадигмы 10 летней давности.

[Matias 20]

Предлагаю расставить все точки над Ё:

WSUS Offline Update - это извращенный метод, подменяющий обыкновенный автоапдейт. Он имеет право на жизнь при особых условиях, что нужно например обновить ПК, не имеющий выхода в Инет. Для обычного пользователя это странное шаманство, которое он как максимум пару раз проделает, после чего забудет.

Если по первым пунктам я еще могу с вами согласиться, то по этому - нет. Есть как минимум две причины использовать WOU:

1. Пользователи OEM версий Windows XP/Vista не могут интегрировать в дистрибутив системы даже последний пакет обновления, не говоря уж о текущих заплатках. Вот цитата из руководства по интеграции SP3 в дистрибутив WinXP

If you are using an OEM Windows XP CD you will receive the following error. This error means that you cannot use this type of CD to create a slipstreamed installation and will not be able to continue with this tutorial.

Для таких пользователей WOU является единственным вариантом безопасного обновления системы. Я не думаю, что кто-то захочет воевать с сетевыми червями, которые могут пролезть в свежеустановленную ( и насквозь дырявую Windows)

2. WOU автоматически игноирует все средства уведомлений о результатах проверки подлинности продуктов MS (KB905474, KB949810, KB971033). Несколько лет назад у меня возникли проблемы с первым из них. Я тогда решил попробовать использовать ограниченную учетную запись по совету с какого-то западного форума. В один далеко не прекрасный день я увидел алерт от WGA. Суть его сводилась к тому, что моя копия WinXP не является подлинной. Я сразу же прошел повторную проверку подлинности на сайте Microsoft. Поскольку она выполнялась с использованием учетной записи администратора, то моя система была признана подлинной, каковой она и является. После нескольких дней поиска я наткнулся на статью, в которой было написано, что причиной неудачной проверки подлинности стало именно использование ограниченной учетной записи. Дело в том, что во время проверки WGA записывает результаты в следующий файл

%ALLUSERSPROFILE%/Application Data/Windows Genuine Advantage/Data/data.dat

По умолчанию ограниченная учетная запись не имеет прав доступа к этому файлу. Для успешного завершения проверки необходимо предоставить всем пользователям полный доступ к вышеуказанной папке. Остается непонятным, почему разработчики WGA не подумали о том, что кто-то может вообще не иметь прав администратора. Они вполне могли настроить свой валидатор таким образом, что он записывал бы результаты проверки в каталог текущего пользователя. Тогда удалось бы избежать как отрицательного результата проверки, так и связанного с ним скандала. Хотел бы обратить особое внимание на тот факт, что установка WGA была выполнена в тихом режиме, без демонстрации лицензионного соглашения. Кроме того, один из компонентов этой штуковины пытался вылезти в Интернет, но из этого ничего не вышло, поскольку доступ к определенным серверам Microsoft был заблокирован сразу же после успешной активации ПО. Надо учесть, что испытательная версия WGA обкатывалась на английских и американских пользователях Windows, для которых слово "конфиденциальность" - не пустой звук, поэтому они сразу подали на MS в суд, обвинив ее в шпионаже. Корпорация выиграла процесс, но на это ушло несколько лет.

Кстати, разработчик WSUS Offline Update специально подчеркивает, что его программа не может рассматриваться в качестве полной замены Microsoft Update. Ее задача - привести свежеустановленную систему в относительно безопасное состояние. Вот тогда можно без всякого риска воспользоваться штатными средствами обновления Windows.

[Matias 20]

Несколько уточнений:

1. Я и не заявлял, что во всем следую рекомендациям из вышеупомянутой книги. Я только сказал, что настраиваю систему на основе изложенного в ней материала. В частности, это касается регулярного обнолвения всего установленного софта, полного отключения всей ненужной телеметрии, передаваемой в Microsoft, а также отключения всех ненужных служб.

2. xp-AntiSpy - не безобидная игрушка. Пользоваться ей надо с умом. Перед использованием утилиты настоятельно рекомендуется прочитать встроенную справку.

[OlegAndr 236]

1. Пользователи OEM версий Windows XP/Vista не могут интегрировать в дистрибутив системы даже последний пакет обновления, не говоря уж о текущих заплатках. Вот цитата из руководства по интеграции SP3 в дистрибутив WinXP

Им никто не мешает ставить сервис пак не с CD а с оффлайн сервис пак инсталятора.

[Matias 20]

WOU устанавливает не только сервис-пак, но и основную массу критических обновлений. Это и есть основное достоинство программы.

[Matias 20]

Забыл добавить еще один очень важный принцип. которого я придерживаюсь неукоснительно. Возможно, он является самым важным. Я давным-давно отказался от использования любого нелицензионного ПО. Сейчас достаточно бесплатного софта, а использование различных "лекарств" неизбежно приведет к заражению системы. На моем ПК вообще не установлено никакого платного софта, за исключением, разумеется, продуктов Microsoft.

[Matias 20]

Многие моменты спорные

Вот тут вы, несомненно правы. Дело в том, что в книге рекомендуется использовать ограниченную учетную запись пользователя при работе в Windows XP, однако там не упоминается, что это неминуемо приведет к проблемам с так называемым "важным обновлением безопасности" WGA Notifications (KB905474). Дело в том, что при проверке подлинности системы входящий в состав этого обновления валидатор записывает данные в следующий файл

%ALLUSERSPROFILE%/Application Data/Windows Genuine Advantage/Data/data.dat

По умолчанию ограниченная учетная запись не имеет доступа к вышеуказанной папке. Из-за этого, проверка подлинности, естественно, завершается неудачей. Я лично убедился в этом, когда года четыре назад попытался использовать ограниченную учетку по рекомендации с какого-то западного форума. Я отлично помню, что мне пришлось долго докапываться до причины провала проверки. Естественно, что я сразу же отказался от использования ограниченной учетки, заменив ее на DropMyRights, о которой также упоминается в книге.

[Matias 20]

Особенно меня поразил тот факт, что Saule (которая, как я уже писал, является одним из авторов книги) также рекомендует использовать ограниченную учетную запись (см. эту статью), вообще не упоминая о проблемах с WGAN. Это выглядит еще более странным, если учесть, что она использует английскую версию Windows XP Professional. Следовательно, она не может не знать о скандале, который поднялся сразу после того, как Microsoft решила использовать службу автоматического обновления в качестве испытательного полигона для сырой бета-версии WGAN. Вдобавок инсталлятор этой паразитной программы (я не преувеличиваю, а просто называю вещи своими именами) был преднамеренно настроен таким образом, что если настройки службы автоматического обновления были выставлены по умолчанию, установка WGA Notifications выполнялась в тихом режиме, т.е. без демонстрации лицензионного соглашения. При этом удалить эту приблуду штатными средствами WinXP было невозможно. Это привело к массовому бойкоту служб обновления Microsoft со стороны законопослушных пользователей лицензионных версий Windows XP. Они решили, что раз MS без их согласия превращает их в подопытных кроликов, то им следует полностью отказаться от использования службы обновлений. Разумеется, это привело к резкому росту числа зараженных ПК.

Примечание: позднее Microsoft все же опубликовала на своем сайте инструкцию по удалению WGAN вручную.

[Matias 20]

В книге настоятельно рекомендуется воздержаться от использования различных сборок Windows. В этом вопросе я полностью согласен с авторами. Я просто на дух не выношу различные сборки. Вот пара статей, в которых наглядно описывается, какие сюрпризы подстерегают пользователей подобных "шедевров":

Super Mega Zver Black eXtreme 2012 Edition

Скупой платит дважды

Авторы статей являются обладателями звания MS MVP, причем они успешно подтверждают это звание много лет подряд.

[Matias 20]

Кроме регулярной установки обновлений Windows, авторы книги рекомендуют регулярно устанавливать обновления стороннего ПО. С этой рекомендацией я также полностью согласен. Для отслеживания обновлений стороннего ПО я использую следующие бесплатные программы:

FileHippo Update Checker

Примечание: для работы программы необходимо установить NET Framework 2.0

Secunia Personal Software Inspector

Примечание: вот прямые ссылки на загрузку всех трех версий программы:

PSI 3

PSI 2

PSI 1

Судя по отзывам на официальном форуме, третья версия многих не устраивает. Лично я до сих пор использую вторую. Secunia не планирует отказываться от поддержки предыдущих версий программы.

[Matias 20]

Почему важно обновлять Windows и установленные в ней программы

В статье наглядно описывается, к каким печальным последствиям может привести использование устаревших версий программ. Автор статьи - администратор OSZone.

[Matias 20]

Стоит упомянуть о еще одном важном моменте. Сергей Ильин, несомненно, прав, утверждая, что Windows 7 является гораздо более безопасной системой, чем Windows XP. Однако это не означает, что Семерку не надо настраивать. Я считаю, что Семерка нуждается в настройке хотя бы по той простой причине, что в ней включено гораздо больше служб, чем в XP. Поскольку каждая запущенная служба потребляет какую-то часть ресурсов ПК, то при дефолтных настройках Семерка будет еле ползать.

[priv8v 960]

Поскольку каждая запущенная служба потребляет какую-то часть ресурсов ПК, то при дефолтных настройках Семерка будет еле ползать.

вот вы и нашли себе работу. создайте статью аналогичную той главе из книги про безопасный интернет, только про службы в вынь7 - краткое описание службы, нужна или нет, отключать или не стоит. А сообщество обсудит

[Matias 20]

создайте статью аналогичную той главе из книги про безопасный интернет, только про службы в вынь7 - краткое описание службы, нужна или нет, отключать или не стоит.

К счастью, мне не нужно этим заниматься, поскольку эту работу за меня давно проделал BlackViper. На его сайте есть подробнейшие конфигурации служб Windows.

[priv8v 960]

почитал про ХР... мдя... с каждым пятым могу поспорить значением... ((

[OlegAndr 236]

Поскольку каждая запущенная служба потребляет какую-то часть ресурсов ПК, то при дефолтных настройках Семерка будет еле ползать.

Я видел единственную еле ползующую семерку - именно ту на которой что-то активно пытались твикать.

[Зайцев Олег 402]

Стоит упомянуть о еще одном важном моменте. Сергей Ильин, несомненно, прав, утверждая, что Windows 7 является гораздо более безопасной системой, чем Windows XP. Однако это не означает, что Семерку не надо настраивать. Я считаю, что Семерка нуждается в настройке хотя бы по той простой причине, что в ней включено гораздо больше служб, чем в XP. Поскольку каждая запущенная служба потребляет какую-то часть ресурсов ПК, то при дефолтных настройках Семерка будет еле ползать.

Ничего не отключал и все летает (это проверено и на 7-ке, и на WinSrv2008, см. рисунок - на холостом ходу загрузка 0%)

Если серьезно, то постулат о том, что "дефолтных настройках Семерка будет еле ползать" мне кажется немного диким. Все там отлично работает, если конечно эта самая семерка ставится на более/менее современное "железо", а не на Celeron пятилетней давности.

[Matias 20]

Если серьезно, то постулат о том, что "дефолтных настройках Семерка будет еле ползать" мне кажется немного диким. Все там отлично работает, если конечно эта самая семерка ставится на более/менее современное "железо", а не на Celeron пятилетней давности.

Мой отец недавно купил ноутбук с Семеркой на борту. Машина, конечно, не из сверхмощных, но и не из самых слабых. Так вот, Семерка (с дефолтными настройками) там весьма ощутимо подтормаживает. Особенно это проявляется при выключении или при перезагрузке ноута.

[Зайцев Олег 402]

Мой отец недавно купил ноутбук с Семеркой на борту. Машина, конечно, не из сверхмощных, но и не из самых слабых. Так вот, Семерка (с дефолтными настройками) там весьма ощутимо подтормаживает. Особенно это проявляется при выключении или при перезагрузке ноута.

Это совершенно не показатель. Производители ноутбуков очень любят понаставить на систему тучу программ собственного производства, причем программы эти сами по себе тормозные и ресурсоемкие. Как следствие, тормоза от них, а не от настройки ОС. Плюс стоит учитывать, что пока ноутбук новый, могут идти всякие фоновые обновления ПО, самой системы и т.п. (сказывается на перезкгрузке и завершении работы)

[priv8v 960]

предлагаю эксперимент: программа в цикле (допустим 1000 раз) делает следующее:

1. работа с файлом /создание, запись, удаление/

2. работа с памятью /по ячейкам хоть пару двордов погонять/

3. математические действия

раз десять все это дело засечь в настроенной и ненастроенной семерке

[Зайцев Олег 402]

предлагаю эксперимент: программа в цикле (допустим 1000 раз) делает следующее:

В семерке "Панель управления\Все элементы панели управления\Счетчики и средства производительности" - это оно и есть оценка в "микросовтовских попугаях" дисковой системы, памяти, цп, графики (оно прововодит могокоратые тасты и формирует оценку). Остается толкьо сделать скрин до и после настройки.