Перейти к содержанию

Recommended Posts

Matias

Среди авторов книги "Безопасный Интернет" есть немало участников форумов AM&VI. Это Nick Golovko, Сергей Ильин, Олег Зайцев, Umnik, ANDYBOND, p2u, Saule и другие пользователи этих двух форумов.

Тогда возникает следующий вопрос. Почему же большинство из перечисленных участников столь удивлены моими темами, в которых я говорю о политике отключения различных опасных функций Windows (тема про xp-AntiSpy, а также о способах беспроблемного обновления (тема про WSUS Offline Update). Ведь в книге справедливо утверждается, что необходимо отключить весь ненужный функционал, что я и делаю. Также там справедливо утверждается, что необходимо своевременно устанавливать обновления Windows и сторонних программ, что я опять-таки делаю.

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
dot_sent

Политика отключения служб - это хорошо, но средства вы для этого предлагаете не совсем корректные. Неправильно давать обезьяне гранату пользователю ПО типа пресловутого хр-AntiSpy и предлагать понажимать на кнопочки. Дороже может обойтись для компьютера в итоге.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
SDA
Среди авторов книги "Безопасный Интернет" есть немало участников форумов AM&VI. Это Nick Golovko, Сергей Ильин, Олег Зайцев, Umnik, ANDYBOND, p2u, Saule и другие пользователи этих двух форумов.

Тогда возникает следующий вопрос. Почему же большинство из перечисленных участников столь удивлены моими темами, в которых я говорю о политике отключения различных опасных функций Windows (тема про xp-AntiSpy, а также о способах беспроблемного обновления (тема про WSUS Offline Update). Ведь в книге справедливо утверждается, что необходимо отключить весь ненужный функционал, что я и делаю. Также там справедливо утверждается, что необходимо своевременно устанавливать обновления Windows и сторонних программ, что я опять-таки делаю.

Устарело. Универсальная защита для Windows ME - Vista

Атак снаружи для поиска уязвимых служб на данный момент ПРАКТИЧЕСКИ 0%. То что, можно было посоветовать к ХР ( и то на мой взгляд до 3-го сервис пака) совершенно не нужно (на мой взгляд просто вредно) той же Vista, семерке, а про 8-ку я вообще молчу.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Зайцев Олег
Среди авторов книги "Безопасный Интернет" есть немало участников форумов AM&VI. Это Nick Golovko, Сергей Ильин, Олег Зайцев, Umnik, ANDYBOND, p2u, Saule и другие пользователи этих двух форумов.

Предлагаю расставить все точки над Ё:

1. Это не книга, а как максимум методичка, сборник различных материалов, подобранных или написанных составителем. Многие моменты там спорные, и не факт, что они отражают мнения тех, кто указан в титрах.

2. Дата издания: 2007-2009 год. Сейчас наступает 2013, т.е. грубо говоря прошло 5 лет с момента подготовки данного сборника. Все как известно меняется, и то, что было хорошо и полезно для XP, может быть губительно или бесполезно скажем для Win8. Аналогично с угрозами - 5 лет назад былыи одни виды угроз, сейчас - другие.

3. WSUS Offline Update - это извращенный метод, подменяющий обыкновенный автоапдейт. Он имеет право на жизнь при особых условиях, что нужно например обновить ПК, не имеющий выхода в Инет. Для обычного пользователя это странное шаманство, которое он как максимум пару раз проделает, после чего забудет.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин

Согласен с комментариями выше. Книга по содержанию сильно устарела. На дворе уже вот вот 2013 год будет, началась миграция на Windows 8, изменился ланшафт угроз. Под XP даже нормального апдейтера не было, который бы обновлял не только Windows, но и все остальные программы от Microsoft. Не было UAC, не было ASLR, SEHOP и т.д. Microsoft сделал огромный шаг в сторону повышения безопасности своей ОС, в первую очередь начал с базовых вещей - ввел стандарты безопасной разработки (SDL http://www.anti-malware.ru/node/4067), что сразу почти на порядок уменьшило уязвимость ОС и базовых приложений.

Сейчас пробить саму Windows в разы сложнее для атакующего, чем установленные плагины от Adobe или Sun, посмотрите последние данные от Лаборатории Касперского - весь ТОП-10 за ними уже почти год как. Разве такое было в 2008-2009 году? Конечно нет.

Мое мнение состоят в том, что сейчас уже не так важно отключены ли у тебя какие-то неиспользуемые службы или сервисы. Важнее права пользователя, набор ПО, который используется для работы в сети, его обновленность.

P.S. Через 5 лет все еще больше изменится, когда подавляющая часть приложений будет ставиться через Windows Store и работать в изолированной среде. Нельзя смотреть на мир в рамках парадигмы 10 летней давности.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Matias
Предлагаю расставить все точки над Ё:

WSUS Offline Update - это извращенный метод, подменяющий обыкновенный автоапдейт. Он имеет право на жизнь при особых условиях, что нужно например обновить ПК, не имеющий выхода в Инет. Для обычного пользователя это странное шаманство, которое он как максимум пару раз проделает, после чего забудет.

Если по первым пунктам я еще могу с вами согласиться, то по этому - нет. Есть как минимум две причины использовать WOU:

1. Пользователи OEM версий Windows XP/Vista не могут интегрировать в дистрибутив системы даже последний пакет обновления, не говоря уж о текущих заплатках. Вот цитата из руководства по интеграции SP3 в дистрибутив WinXP

If you are using an OEM Windows XP CD you will receive the following error. This error means that you cannot use this type of CD to create a slipstreamed installation and will not be able to continue with this tutorial.

Для таких пользователей WOU является единственным вариантом безопасного обновления системы. Я не думаю, что кто-то захочет воевать с сетевыми червями, которые могут пролезть в свежеустановленную ( и насквозь дырявую Windows)

2. WOU автоматически игноирует все средства уведомлений о результатах проверки подлинности продуктов MS (KB905474, KB949810, KB971033). Несколько лет назад у меня возникли проблемы с первым из них. Я тогда решил попробовать использовать ограниченную учетную запись по совету с какого-то западного форума. В один далеко не прекрасный день я увидел алерт от WGA. Суть его сводилась к тому, что моя копия WinXP не является подлинной. Я сразу же прошел повторную проверку подлинности на сайте Microsoft. Поскольку она выполнялась с использованием учетной записи администратора, то моя система была признана подлинной, каковой она и является. После нескольких дней поиска я наткнулся на статью, в которой было написано, что причиной неудачной проверки подлинности стало именно использование ограниченной учетной записи. Дело в том, что во время проверки WGA записывает результаты в следующий файл

%ALLUSERSPROFILE%/Application Data/Windows Genuine Advantage/Data/data.dat

По умолчанию ограниченная учетная запись не имеет прав доступа к этому файлу. Для успешного завершения проверки необходимо предоставить всем пользователям полный доступ к вышеуказанной папке. Остается непонятным, почему разработчики WGA не подумали о том, что кто-то может вообще не иметь прав администратора. Они вполне могли настроить свой валидатор таким образом, что он записывал бы результаты проверки в каталог текущего пользователя. Тогда удалось бы избежать как отрицательного результата проверки, так и связанного с ним скандала. Хотел бы обратить особое внимание на тот факт, что установка WGA была выполнена в тихом режиме, без демонстрации лицензионного соглашения. Кроме того, один из компонентов этой штуковины пытался вылезти в Интернет, но из этого ничего не вышло, поскольку доступ к определенным серверам Microsoft был заблокирован сразу же после успешной активации ПО. Надо учесть, что испытательная версия WGA обкатывалась на английских и американских пользователях Windows, для которых слово "конфиденциальность" - не пустой звук, поэтому они сразу подали на MS в суд, обвинив ее в шпионаже. Корпорация выиграла процесс, но на это ушло несколько лет.

Кстати, разработчик WSUS Offline Update специально подчеркивает, что его программа не может рассматриваться в качестве полной замены Microsoft Update. Ее задача - привести свежеустановленную систему в относительно безопасное состояние. Вот тогда можно без всякого риска воспользоваться штатными средствами обновления Windows.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Matias

Несколько уточнений:

1. Я и не заявлял, что во всем следую рекомендациям из вышеупомянутой книги. Я только сказал, что настраиваю систему на основе изложенного в ней материала. В частности, это касается регулярного обнолвения всего установленного софта, полного отключения всей ненужной телеметрии, передаваемой в Microsoft, а также отключения всех ненужных служб.

2. xp-AntiSpy - не безобидная игрушка. Пользоваться ей надо с умом. Перед использованием утилиты настоятельно рекомендуется прочитать встроенную справку.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
OlegAndr
1. Пользователи OEM версий Windows XP/Vista не могут интегрировать в дистрибутив системы даже последний пакет обновления, не говоря уж о текущих заплатках. Вот цитата из руководства по интеграции SP3 в дистрибутив WinXP

Им никто не мешает ставить сервис пак не с CD а с оффлайн сервис пак инсталятора.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Matias

WOU устанавливает не только сервис-пак, но и основную массу критических обновлений. Это и есть основное достоинство программы.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Matias

Забыл добавить еще один очень важный принцип. которого я придерживаюсь неукоснительно. Возможно, он является самым важным. Я давным-давно отказался от использования любого нелицензионного ПО. Сейчас достаточно бесплатного софта, а использование различных "лекарств" неизбежно приведет к заражению системы. На моем ПК вообще не установлено никакого платного софта, за исключением, разумеется, продуктов Microsoft.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Matias
Многие моменты спорные

Вот тут вы, несомненно правы. Дело в том, что в книге рекомендуется использовать ограниченную учетную запись пользователя при работе в Windows XP, однако там не упоминается, что это неминуемо приведет к проблемам с так называемым "важным обновлением безопасности" WGA Notifications (KB905474). Дело в том, что при проверке подлинности системы входящий в состав этого обновления валидатор записывает данные в следующий файл

%ALLUSERSPROFILE%/Application Data/Windows Genuine Advantage/Data/data.dat

По умолчанию ограниченная учетная запись не имеет доступа к вышеуказанной папке. Из-за этого, проверка подлинности, естественно, завершается неудачей. Я лично убедился в этом, когда года четыре назад попытался использовать ограниченную учетку по рекомендации с какого-то западного форума. Я отлично помню, что мне пришлось долго докапываться до причины провала проверки. Естественно, что я сразу же отказался от использования ограниченной учетки, заменив ее на DropMyRights, о которой также упоминается в книге.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Matias

Особенно меня поразил тот факт, что Saule (которая, как я уже писал, является одним из авторов книги) также рекомендует использовать ограниченную учетную запись (см. эту статью), вообще не упоминая о проблемах с WGAN. Это выглядит еще более странным, если учесть, что она использует английскую версию Windows XP Professional. Следовательно, она не может не знать о скандале, который поднялся сразу после того, как Microsoft решила использовать службу автоматического обновления в качестве испытательного полигона для сырой бета-версии WGAN. Вдобавок инсталлятор этой паразитной программы (я не преувеличиваю, а просто называю вещи своими именами) был преднамеренно настроен таким образом, что если настройки службы автоматического обновления были выставлены по умолчанию, установка WGA Notifications выполнялась в тихом режиме, т.е. без демонстрации лицензионного соглашения. При этом удалить эту приблуду штатными средствами WinXP было невозможно. Это привело к массовому бойкоту служб обновления Microsoft со стороны законопослушных пользователей лицензионных версий Windows XP. Они решили, что раз MS без их согласия превращает их в подопытных кроликов, то им следует полностью отказаться от использования службы обновлений. Разумеется, это привело к резкому росту числа зараженных ПК.

Примечание: позднее Microsoft все же опубликовала на своем сайте инструкцию по удалению WGAN вручную.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Matias

В книге настоятельно рекомендуется воздержаться от использования различных сборок Windows. В этом вопросе я полностью согласен с авторами. Я просто на дух не выношу различные сборки. Вот пара статей, в которых наглядно описывается, какие сюрпризы подстерегают пользователей подобных "шедевров":

Super Mega Zver Black eXtreme 2012 Edition

Скупой платит дважды

Авторы статей являются обладателями звания MS MVP, причем они успешно подтверждают это звание много лет подряд.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Matias

Кроме регулярной установки обновлений Windows, авторы книги рекомендуют регулярно устанавливать обновления стороннего ПО. С этой рекомендацией я также полностью согласен. Для отслеживания обновлений стороннего ПО я использую следующие бесплатные программы:

FileHippo Update Checker

Примечание: для работы программы необходимо установить NET Framework 2.0

Secunia Personal Software Inspector

Примечание: вот прямые ссылки на загрузку всех трех версий программы:

PSI 3

PSI 2

PSI 1

Судя по отзывам на официальном форуме, третья версия многих не устраивает. Лично я до сих пор использую вторую. Secunia не планирует отказываться от поддержки предыдущих версий программы.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Matias

Почему важно обновлять Windows и установленные в ней программы

В статье наглядно описывается, к каким печальным последствиям может привести использование устаревших версий программ. Автор статьи - администратор OSZone.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Matias

Стоит упомянуть о еще одном важном моменте. Сергей Ильин, несомненно, прав, утверждая, что Windows 7 является гораздо более безопасной системой, чем Windows XP. Однако это не означает, что Семерку не надо настраивать. Я считаю, что Семерка нуждается в настройке хотя бы по той простой причине, что в ней включено гораздо больше служб, чем в XP. Поскольку каждая запущенная служба потребляет какую-то часть ресурсов ПК, то при дефолтных настройках Семерка будет еле ползать.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
priv8v
Поскольку каждая запущенная служба потребляет какую-то часть ресурсов ПК, то при дефолтных настройках Семерка будет еле ползать.

вот вы и нашли себе работу. создайте статью аналогичную той главе из книги про безопасный интернет, только про службы в вынь7 - краткое описание службы, нужна или нет, отключать или не стоит. :) А сообщество обсудит :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Matias
создайте статью аналогичную той главе из книги про безопасный интернет, только про службы в вынь7 - краткое описание службы, нужна или нет, отключать или не стоит.

К счастью, мне не нужно этим заниматься, поскольку эту работу за меня давно проделал BlackViper. На его сайте есть подробнейшие конфигурации служб Windows.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
priv8v

почитал про ХР... мдя... с каждым пятым могу поспорить значением... ((

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
OlegAndr
Поскольку каждая запущенная служба потребляет какую-то часть ресурсов ПК, то при дефолтных настройках Семерка будет еле ползать.

Я видел единственную еле ползующую семерку - именно ту на которой что-то активно пытались твикать.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Зайцев Олег
Стоит упомянуть о еще одном важном моменте. Сергей Ильин, несомненно, прав, утверждая, что Windows 7 является гораздо более безопасной системой, чем Windows XP. Однако это не означает, что Семерку не надо настраивать. Я считаю, что Семерка нуждается в настройке хотя бы по той простой причине, что в ней включено гораздо больше служб, чем в XP. Поскольку каждая запущенная служба потребляет какую-то часть ресурсов ПК, то при дефолтных настройках Семерка будет еле ползать.

Ничего не отключал и все летает :) (это проверено и на 7-ке, и на WinSrv2008, см. рисунок - на холостом ходу загрузка 0%)

Если серьезно, то постулат о том, что "дефолтных настройках Семерка будет еле ползать" мне кажется немного диким. Все там отлично работает, если конечно эта самая семерка ставится на более/менее современное "железо", а не на Celeron пятилетней давности.

proc.jpg

post-280-1355689594_thumb.jpg

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Matias
Если серьезно, то постулат о том, что "дефолтных настройках Семерка будет еле ползать" мне кажется немного диким. Все там отлично работает, если конечно эта самая семерка ставится на более/менее современное "железо", а не на Celeron пятилетней давности.

Мой отец недавно купил ноутбук с Семеркой на борту. Машина, конечно, не из сверхмощных, но и не из самых слабых. Так вот, Семерка (с дефолтными настройками) там весьма ощутимо подтормаживает. Особенно это проявляется при выключении или при перезагрузке ноута.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Зайцев Олег
Мой отец недавно купил ноутбук с Семеркой на борту. Машина, конечно, не из сверхмощных, но и не из самых слабых. Так вот, Семерка (с дефолтными настройками) там весьма ощутимо подтормаживает. Особенно это проявляется при выключении или при перезагрузке ноута.

Это совершенно не показатель. Производители ноутбуков очень любят понаставить на систему тучу программ собственного производства, причем программы эти сами по себе тормозные и ресурсоемкие. Как следствие, тормоза от них, а не от настройки ОС. Плюс стоит учитывать, что пока ноутбук новый, могут идти всякие фоновые обновления ПО, самой системы и т.п. (сказывается на перезкгрузке и завершении работы)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
priv8v

предлагаю эксперимент: программа в цикле (допустим 1000 раз) делает следующее:

1. работа с файлом /создание, запись, удаление/

2. работа с памятью /по ячейкам хоть пару двордов погонять/

3. математические действия

раз десять все это дело засечь в настроенной и ненастроенной семерке

:)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Зайцев Олег
предлагаю эксперимент: программа в цикле (допустим 1000 раз) делает следующее:

В семерке "Панель управления\Все элементы панели управления\Счетчики и средства производительности" - это оно и есть :) оценка в "микросовтовских попугаях" дисковой системы, памяти, цп, графики (оно прововодит могокоратые тасты и формирует оценку). Остается толкьо сделать скрин до и после настройки.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • Ego Dekker
    • ArktiTig
      Арктика - северная полярная область Земли, включающая окраины материков Евразии и Северной Америки, почти весь Северный Ледовитый океан с островами и прилегающие к нему части Атлантического и Тихого океанов. Название её происходит от греческого слова arctos (медведь) и связано со звёздами: Полярная звезда, находящаяся почти точно в зените над Северным полюсом, принадлежит к созвездию Малая Медведица.
    • ArktiTig
      Арктика - северная полярная область Земли, включающая окраины материков Евразии и Северной Америки, почти весь Северный Ледовитый океан с островами и прилегающие к нему части Атлантического и Тихого океанов. Название её происходит от греческого слова arctos (медведь) и связано со звёздами: Полярная звезда, находящаяся почти точно в зените над Северным полюсом, принадлежит к созвездию Малая Медведица.
    • PR55.RP55
      .xml  файлы taskschd.msc Могут быть подписаны  цифровой подписью. Думаю будет нелишним, если uVS будет это фиксировать. т.е. проверять не только подпись целевого файла, но и подпись самого файла\задачи. и писать в ИНфО .  
    • demkd
      ---------------------------------------------------------
       4.15.2
      ---------------------------------------------------------
       o Исправлена ошибка при работе с образом автозапуска.
         Для некоторых процессов команда unload не добавлялась в скрипт при нажатии кнопки "принять изменения".  o Добавлена плашка окна на таскбаре для окна удаленного рабочего стола.
         (при работе с удаленной системой) -----------------------------------------------------------
      Есть проблема с локализацией глюка в редких случаях приводящему к аварийному завершению uVS при активном флаге "Проверять весь HKCR".
      На основе дампов его найти не получается, нужна копия реестра системы с такой проблемой, если кому-то попадется такая проблема, то присылайте архив с копией реестра системы мне на почту.  
×