Когда вас насилуют - расслабьтесь и попытайтесь получить удовольствие

[dr_dizel 385]

Когда речь заходит о безопасности компьютера, то обычно сразу вспоминают об антивирусах, фаерволах и т.п. Но вот почему-то мало кто задумывается об обновлениях программ. Я говорю не только о Windows Update, который обычно отключён по причине варезности большинства установок винды или особенностей характера некоторых IT специалистов. Новые версии программ содержат исправления ошибок и устранения уязвимостей (ну, и добавляют новые, конечно ).

Первой рекомендацией для обеспечения безопасности является обновление винды. Но даже этот шаг не решает проблему полностью. Помните технологии подобные COM? Вера в розовых слонов породила проблему DLL-hell. В качестве решения нам предложили механизм Windows Side by Side и папку WinSxS. Так вот. После обновления винды старые уязвимые компоненты остаются и продолжают использоваться установленным ПО, которое в них нуждается. Теперь вам предоставляется сделать выбор между кривым ПО и безопасностью.

А что же обычные программы? Они тоже кишат багами и уязвимостями не меньше чем винда. Вы думаете, разработчики спешат патчить свои программы, как только узнают о проблемах? Даже забудьте об этом. Всё делается за деньги, и нужно очень сильно пинать или достать разработчика, чтобы что-то сдвинулось с места + дождаться исправлений и не умереть от истощения или повреждения ЦНС. Вы помните червя Морриса, что на заре времён захавал интернет? Так атака на переполнение буфера актуальна и сейчас.

Есть ещё такая штука, как Продакшн. Обычно это означает, что софт стар, как говно мамонта, но эта версия (совокупность версий) тестировалась и гарантирована должна работать, а совместимость с будущими версиями не гарантируется и вероятны сбои. Таким образом, обновлять его не рекомендуется производителем. Как-то я ставил серверный софт от интела и плакал... до самой его деинсталляции, при которой он снова инсталлировал JDK, чтобы удалиться. А ещё помню глючный cmd-скрипт в десятки килобайт для установки патчей Oracle, что пришлось переписать (чтобы сохранить здоровье) в одну строку. С энтерпрайзом нужно держать ухо в остро.

Также существует такое понятие, как версия патча. Патчи могут быть разными, что зависит от многих параметров (например, от того, с какой ноги встал программер). Это даже легко видно в патчах мелкомягких, например: WindowsXP-KB896256-v4-x86-ENU.exe - 4-я версия. т.е. есть вероятность, что с четвёртого раза программер мог встать с той ноги.

Я знаю, что в KIS2009 есть модуль, что производит поиск уязвимостей программ. Это очень славно. Если вы не используете его, а предпочитаете другой АВ, то можно взять на вооружение Secunia PSI. После того, как вы устраните всё опасное ПО на ПК не думайте, что вы можете забыть о проблемах дырявых программ. Вы только можете спать чуть менее тревожно.

А вот теперь можно задуматься об антивирусе и фаерволе.

[Сергей Ильин 1538]

Патчменеджмент - дело важное и полезное. Если безопасность - профессия, то офицер безопасности обязан отслеживать появления уязвимостей и последующий выход заплаток, а в промежутке по возможности позаботиться о заглушках для уязвимых мест. А если речь идет о рядовых юзерах?

Встает вопрос о целесообразности процесса. Скажем у меня на компьютере стоит несколько десятков прикладных программ, некоторые имеют автоматический апдейтер, некоторые - нет. Но по логике для всех них я все равно должен отслеживать новые уязвимости. Это параноидальный сценарий. Теперь прикинем, сколько времени у меня на все это будет уходить? Мониторинг, анализ, патчинг и т.п. Прощай Anti-Malware.ru и т.п. В данном случае эта деятельность становится паразитной на 100%, так как отнимает ресурсы от основной деятельности.

Вообще если вдуматься, то огромное количество времени в связке человек-компьютер уходит на обновление ПО, поиск проблем, устранение конфликтов и т.п. Часто меня лично это выводит из себя, потому что вместо полезных вещей я вынужден искать какую-то новую версию проги, потому что старой я пользоваться не могу по той или иной причине. Это какой-тор кошмар и тренд на то, что все только будет хуже. Сколько уязвимостей находят в неделю? Сколько патчей выходит? Сколько новых версий различного ПО? А многие ли программы умеют автоматом накатывать обновления?

Поэтому уязвимые хосты будут всегда и их будет даже больше, хакать их также будут всегда. Выхода нет.

[Umnik 997]

Допустим, апдейтил я флешплеер до 10, а некоторые библиотеки 9-ки остались в системе. Уязвимость есть? Если да, то результат апдейта в плане безопасности =>0

[dr_dizel 385]

Это какой-тор кошмар и тренд на то, что все только будет хуже.

Да ладно вам. Софт всегда был и будет дырявым, как решето. Даже если программер пишит очень аккуратно, то всё равно использует библиотеки, что писал не он, да и всё это работает не под ним написанной ОС. Тут даже *nix вас не спасёт. Выкиньте комп или расслабьтесь и получайте удовольствие.

Допустим, апдейтил я флешплеер до 10, а некоторые библиотеки 9-ки остались в системе. Уязвимость есть? Если да, то результат апдейта в плане безопасности =>0

=<0 ?

Если вы пользуетесь оперой и обновили флеш для неё, то вам также нужно обновить флеш и для браузера, которым вы не пользуетесь, но пользуется винда - IE. Таким образом, вы дважды должны обновить уязвимый софт.

Это как в анекдоте про программера:

Прогер перед сном ставит два стакана: один полный - если захочет пить и один пустой - если не захочет.

[Umnik 997]

=<0 ?

Стремится к нулю. Я промахнулся клавишей.

Ну так вопрос открыт - оставшиеся библиотеки 9-ки оставляют уязвимость?

[dr_dizel 385]

Ну так вопрос открыт - оставшиеся библиотеки 9-ки оставляют уязвимость?

Хоть я совсем не спец в вэбе, но попробую ответить.

Смотря где остались библиотеки.

Есть разные способы включить флэш в html-страницу, которые запускают соответствующие реацизации этого. Также у браузеров разные варианты поиска плагинов, и они могут наткнуться на старые версии.

В идеале - может быть один зарегиный clsid:D27CDB6E-AE6D-11cf-96B8-444553540000, но на практике обычно бывает не всё идеально.

После обновления лучше проверить что цепляет браузер.

P.S. В *nix, конечно, свои особенности.

[Umnik 997]

Дома еще не стоит 10. Отличный способ все проверить.

[p2u 824]

@ All

Много говорить не буду; патчменеждмент = ложный путь - отвлекает лишь от настоящих проблем на ОС, где разрешено ВСЁ по умолчанию. Всё - вы представляете, сколько это?

Читаем старую (2005 г.), но до сих пор актуальную статью:

The Six Dumbest Ideas in Computer Security

Для тех, кто не знает:

ActiveX и безопасность в Интернете

О том, как поставить kill bit на Flash Player, и другие сладкие программулины для того, чтобы они в IE не запускались, даже если ваш браузер Opera или Firefox.

Paul

[dr_dizel 385]

Много говорить не буду; патчменеждмент = ложный путь - отвлекает лишь от настоящих проблем на ОС, где разрешено ВСЁ по умолчанию. Всё - вы представляете, сколько это?

Вистин UAC особенно наглядно показал, что разработчики программ практически не заботятся о безопасности пользователя. Стали ли после этого программеры писать лучше? Конечно же нет. Взамен предлагается способ отключения UAC. А почему? Да потому, что людям нужно работать здесь и сейчас, а не втыкать в монитор абсолютно бесполезного но безопасного ящика.

Стоит понимать, что софт настолько дыряв, что с этим мало что можно сделать. А вот что можно, то лучше всё же сделать. Это сильно не обезопасит, но отсечёт от аттак низкого и баянового уровня.

Можно уйти на линукс для лучшей безопасности, но это не всегда возможно.

P.S. Самый безопасный компьютер - выключеный компьютер.

[broker 30]

P.S. Самый безопасный компьютер - выключеный компьютер.

да, хотя бы отключённый от Интернета..

[Сергей Ильин 1538]

Софт всегда был и будет дырявым, как решето. Даже если программер пишит очень аккуратно, то всё равно использует библиотеки, что писал не он, да и всё это работает не под ним написанной ОС.

Полностью согласен, причем программер в данном случае может и не предполагать даже, как его софт смогут хакнуть через уязвимости сторонней библиотеки.

Так возвращаясь у теме топика, может быть действительно не стоит париться над минимизацией возможных уязвимостей и патчменеджментом? Философские размышления если позволите. Все люди одинаково сильно уязвимы в силу физиологических причин. Спланированная атака почти на 100% будет успешной: простейшее оружие, темный переулок и не поможет никакая защита и спецподготовка аля рембо. Риск есть всегда. А дальше мы имеем дело с вероятностнью наступления событий.

Почему одних грабят, а других нет? Почему у одних угоняют тачки, а у других нет? Да потому, что вероятности наступления неблагоприятный событий зависят от факторов типа: уровень достатка (есть ли что у него брать?), стиля жизни (ходит ли по ночам пешком?), осторожности человека (демонстрирует ли он с наслаждением в метро свой навороченный мобильник? или может громко обсуждает в ресторане свои денежные дела?) и т.п. Риски можно минимизировать с помощью системы правил, такого жизненного патчменеджмента типа: я не разговариваю с незнакомыми по мобиле потому, что меня сейчас активно разводят на деньги. Но все это бесполезно в случае спланированной целевой атаки, для этого защиты просто нет. Поэтому, действительно, в какой-то степени можно расслабиться

[dr_dizel 385]

Так возвращаясь у теме топика, может быть действительно не стоит париться над минимизацией возможных уязвимостей и патчменеджментом?... Поэтому, действительно, в какой-то степени можно расслабиться.

Ну почему же? Аверов в том же направлении отправим?

Должен быть комплекс мероприятий, в который патчменеджмент будет входить как составная часть.

Можно ставить сервис пак миниюбку по ночам не носить, и тогда расслабляться нужно будет меньше.

[broker 30]

Риски можно минимизировать с помощью системы правил, такого жизненного патчменеджмента типа: я не разговариваю с незнакомыми по мобиле потому, что меня сейчас активно разводят на деньги. Но все это бесполезно в случае спланированной целевой атаки, для этого защиты просто нет. Поэтому, действительно, в какой-то степени можно расслабиться

везде соломки не подстелишь но дружить с рисками надо, вот тот сколь большими буквами не пишут, что курить вредно.. а всё равно курят.. НО дрявый софт патчить всё-таки надо, одной или двумя или десятью известными уязвимостями меньше

[p2u 824]

Так возвращаясь у теме топика, может быть действительно не стоит париться над минимизацией возможных уязвимостей и патчменеджментом? Философские размышления если позволите.

Философский ответ, если позволите. Так как именно такая практика существует - писать дырявый код (предпочтительно даже документации Майкрософта не читать) - выбора у нас с вами нет; то, что стоит на компе НАДО патчить. Сама же Майкрософт даёт пример? 'Oops, there goes another bug' (так уже лет 10 подряд), или 'Это не баг, это свойство' (про BITS, допустим).

Но если вы заходите к ним на сайт, то тогда они жалуются, что либо ява-скрипты у вас не работают, либо не тем браузером пользуетесь, либо вообще молча не дают посмотреть объяснение о том, допустим, как работает Microsoft Visual Studio on MSDN. Без скриптов получаете вот это:

Хотя она, якобы, так заботится о нашей с вами безопасности, получается всё равно, что она помогает/содействует насильникам (как мы все знаем, наиболее популярные атаки сейчас против дырявого софта, встроенного в браузере идёт через скрипты, которые запускают адд-оны и плаг-ины). Ждать пока меня не 'имели во все дыры' (простите за грубость) - не для меня; насильникам надо всегда прямо в пах дать.

P.S.: Если патчменеждмента нельзя избегать, то тогда (для реальной защиты) стоит подумать - а нужна ли вся функциональность, которые программёры навязывают? Если нет, то тогда либо эту функциональность отключить, либо удалить. Тогда и патчить не надо, и мы можем просто 'работать здесь и сейчас'. © dr_dizel

Paul

[dr_dizel 385]

Если нет, то тогда либо эту функциональность отключить, либо удалить. Тогда и патчить не надо, и мы можем просто 'работать здесь и сейчас'. © dr_dizel

Походу на скриншоте видно, как вы "починили" всё и "работаете".

Он достаточно красноречив. И такой результат в большинстве случаев. Расслабьтесь.

[p2u 824]

Походу на скриншоте видно, как вы "починили" всё и "работаете".

Там, где я работаю - скрипты не нужны. Только Майкрософт заставляет включить скрипты там, где кроме текста ничего нет...

Он достаточно красноречив. И такой результат в большинстве случаев. Расслабьтесь.

А я расслаблен - очень даже. Весь Интернет в чёрном списке и дело с концом. (Доверенных нет совсем, и большинство сайтов - даже anti-malware.ru - работают нормально)

Paul

[dr_dizel 385]

Там, где я работаю - скрипты не нужны. Только Майкрософт заставляет включить скрипты там, где кроме текста ничего нет...

Обычно работают Законы Мерфи. А когда на вас весит куча разношёрстного ПО и мильён ПК, то вы можете начать нервно высказывать различные спонтанные мысли всух.

[p2u 824]

Обычно работают Законы Мерфи. А когда на вас весит куча разношёрстного ПО и мильён ПК, то вы можете начать нервно высказывать различные спонтанные мысли всух.

"Он был на грани провала" © и ответил:

Это если вы админ в компании, да. А дома такой вопрос не стоит.

Paul

[TANUKI 240]

Вопрос чисто юзерский. Остается уязвимость если я, к примеру, не пользуюсь Квик-таймом, но он у меня установлен?

[dr_dizel 385]

"Он был на грани провала" © и ответил:

Это если вы админ в компании, да. А дома такой вопрос не стоит.

Paul

Обычно дома к каждой домохозяйке не приставляется IT-шник.

Да и дома обычно совсем другая специфика работы.

А IT-шники сами могут со своим компом делать всё, что угодно. Могут просто линукс установить.

Вопрос чисто юзерский. Остается уязвимость если я, к примеру, не пользуюсь Квик-таймом, но он у меня установлен?

Так библиотеки зарегистрированы в системе. Ими винда и пр. проги могут пользоваться.

http://www.americangirl.com/tips/test/quicktime.html

[TANUKI 240]

Так библиотеки зарегистрированы в системе. Ими винда и пр. проги могут пользоваться.

http://www.americangirl.com/tips/test/quicktime.html

Понял, спасибо Значит ставим только то ПО, которое действительно необходимо

[dr_dizel 385]

А я расслаблен - очень даже. Весь Интернет в чёрном списке и дело с концом. (Доверенных нет совсем, и большинство сайтов - даже anti-malware.ru - работают нормально)

Кстати, после обезвреживания IE, плагинов и т.п. у вас работает Windows Update?

[p2u 824]

Кстати, после обезвреживания IE, плагинов и т.п. у вас работает Windows Update?

Я не пользуюсь Windows Update. Я получаю Security Bulletin, на technet выбираю вариант грузить как IT профессионал и устанавливаю всё вручную. Затем эти обновления записываются на диск.

Отменить можно обезвреживание IE очень просто, кстати (3 телодвижения), но зловреды это обычно не знают.

Paul

[dr_dizel 385]

Я не пользуюсь Windows Update. Я получаю Security Bulletin, на technet выбираю вариант грузить как IT профессионал и устанавливаю всё вручную. Затем эти обновления записываются на диск.

И со всеми этими мероприятиями у вас остаётся время на основную работу и отдых?

Почему вы работаете на компьютер, а не компьютер на вас? Вы пробовали линукс?

[p2u 824]

И со всеми этими мероприятиями у вас остаётся время на основную работу и отдых?

Почему вы работаете на компьютер, а не компьютер на вас? Вы пробовали линукс?

Зачем мне Линукс? Я доволен с XP. У меня гораздо меньше времени проходит на администрирование системы, чем у вас на проверку на вирусы.

Paul