¦ Первое, что необходимо сделать, – установить самые последние обновления для вашей операционной системы. Скачать обновления можно с официального сайта Корпорации Microsoft, предварительно установив как можно более новый вариант сборки вашей операционной системы. Дыры как находили, так и будут находить, поэтому, если вы обладатель самых свежих обновлений, расслабляться все равно не стоит: с момента обнаружения новой уязвимости и до момента выхода заплатки 'умные люди' успевают написать вирус или создать червя.
¦ В свойствах подключения крайне желательно оставить только самое необходимое, а именно ТСР/IP. Службу доступа к файлам и принтерам сети Microsoft при
отсутствии реальной необходимости сетевого доступа к ним необходимо отключить, чтобы не облегчать задачу всем любителям открытых по умолчанию C$, D$, ADMIN$ и т. д.
¦ Все неиспользуемые сервисы желательно выключить: FTP, Telnet, удаленный реестр – зачем все это, если вы не используете ни один из перечисленных сервисов? Это не только улучшит производительность вашей системы, но и автоматически закроет кучу открытых портов.
¦ Установите файловую систему NTFS, которая позволяет разграничить доступ к ресурсам вашего ПК и усложняет процесс локального взлома базы SAM.
¦ Удалите лишние учетные записи, а в оснастке gpedit.msc запретите локальный и сетевой вход для всех пользователей, оставив только используемых на данной машине, и доступ по сети для Администратора.
¦ Не используйте автоматический ввод пароля при входе в систему, особенно для пользователя Администратор.
¦ Желательно, чтобы на вашем ПК был установлен какой-нибудь персональный брандмауэр, закрывающий доступ к открытым портам (ZoneAlarm, Outpost Firewall или что-нибудь подобное). Помимо защиты от попыток проникновения извне, с помощью брандмауэра вы сможете легко и просто контролировать доступ программ (среди них может быть, к примеру, затаившийся троянский конь) к Интернету. Любая попытка вырваться в Сеть не останется незамеченной вашей 'огнедышащей стеной'.
ПРИМЕЧАНИЕ
Очевидно, что вышеперечисленное адекватно для защиты рабочих станций. Если же речь идет об организации безопасности крупной корпоративной сети, о защите сервера/шлюза, то здесь взор системного администратора/администратора безопасности в первую очередь должен быть направлен на использование UNIX-подобных систем (FreeBSD, Linux) как наиболее безопасной альтернативе Windows.
¦ Не стоит забывать и о снифферах, с помощью которых ваши пароли могут стать настолько же общественными, насколько места 'М' и 'Ж'.
ПРИМЕЧАНИЕ
Под сниффером подразумевается программа, перехватывающая все пакеты, идущие по локальной сети. Как такое может быть? Просто. Сниффер переводит сетевую карту в 'неразборчивый' режим, что позволяет захватить даже те пакеты, которые не предназначены для системы, в которой установлен сниффер. Пример: Cain & Abel.
¦ Как известно, при установлении SMB-сеанса клиент отвечает серверу, отправляя в сеть LM-хэш (Lan Manager-хэш) и NT-хэш (Windows NT). Возможность отправки двух вариантов зашифрованных паролей необходима для совместимости со старыми операционными системами. Как при локальном, так и при удаленном способах аутентификации система сначала пытается идентифицировать NT-хэш. Если его нет, система пытается проверить подлинность LM-хэша. А вот тут-то и «зарыта собака». Дело в том, что криптостойкость LM-хэша не выдерживает никакой критики (см. гл. 7).
¦ Не стоит пренебрегать установкой антивирусной программы. Увлекаться тоже не слудет. Факт, что 'Каспер' может 'убить' 'Dr.Web' и наоборот, – ни для кого не секрет.
¦ Если вы любитель всевозможных сервисов, увеличивающих круг общения (ICQ, почтовый агент), необходимо помнить о том, что охотников за вашими личными данными достаточно, чтобы выведать у вас самую различную информацию, которая впоследствии может быть использована для удаленного вторжения. Реальный случай из жизни: в ICQ, методом социальной инженерии, взломщик прикидывается девчонкой и вступает с жертвой в живой разговор. Несколько минут разговора – и происходит обмен фотографиями, одна из которых (ясно, какая) – самый настоящий троянский конь. Жертва открывает JPG-файл, а вместо обещанного откровенного эксклюзива – ошибка при открытии файла. Троянский конь уже в вашей системе.
6.3. Безопасность беспроводных сетей. Взлом и защита WI-FI
Не секрет, что беспроводные сети сравнимы по скорости и гораздо более удобны, чем традиционные проводные сети. Подумайте сами: никаких надоедливых проводов, мобильность и оперативность – вы больше не привязаны к своему рабочему месту.
Все, казалось бы, идеально, если бы не одно но. Реализация системы безопасности в такой сети похожа на 'шалаш дядюшки Тома'. Поскольку вся сеть 802.11x работает на высокочастотных радиосигналах, передаваемые данные может легко перехватить любой пользователь с совместимой платой средством сканирования беспроводной сети, например NetStumbler или Kismet, и программами прослушивания трафика, например dsniff и snort. Но 'изюм' не в этом. Применяемые в настоящее время алгоритмы шифрования, в частности WEP, не выдерживают никакой критики: требуется всего несколько часов (а иногда и несколько минут), чтобы 'сломать' даже самый стойкий ключ.
Как показывает статистика, до 95 % (!) беспроводных сетей стандарта 802.11x абсолютно не защищены, взлом же остальных 20 % – всего лишь дело техники.
Немного о Wi-Fi
Под термином Wi-Fi (Wireless Fidelity) понимается целая линейка протоколов беспроводной передачи данных, которые, как правило, используются для соединения компьютеров. Самым популярным стандартом Wi-Fi на сегодняшний день является IEEE 802.11b, имеющий максимальную скорость передачи 11 Мбит/с.
Изначально Wi-Fi задумывался как альтернатива традиционным проводным сетям, и он, разумеется, имеет целый ряд преимуществ по сравнению с витой парой:
¦ отсутствие строгих правил построения сети;
¦ никакой прокладки километров проводов по кабельным каналам или в пространстве над подвесным потолком;
¦ гибкость сети – возможность оперативно вносить изменения в сеть без потери ее функциональности и т. д.
Появление Wi-Fi на фоне всей этой проводной волокиты более чем желанно: для организации WLAN теперь всего-то необходимо 'поднять' несколько точек доступа (Access Point) и настроить компьютеры на работу с сетью.
Помимо популярного протокола 802.11b существуют также 802.11a и 802.11g, которые позволяют посылать и получать информацию на скоростях до 54 Мбит/с. Разработчики нового перспективного стандарта 802.11n обещают повышение скорости до 320 Мбит/с.
Топология WI-FI. Между устройствами Wi-Fi можно организовать по крайней мере два вида соединений. Первое из них – это так называемое ad-hoc-соединение (peer-to-peer, «точка-точка»), которое используется для установления прямой связи между двумя компьютерами. Нетрудно догадаться, что в этом случае точка доступа не используется, а компьютеры общаются непосредственно друг с другом (что- то наподобие одноранговой LAN-сети).
Сеть Wi-Fi, которая способна поддерживать большое количество клиентов, строится только с точкой доступа (infrastructure, режим клиент/сервер). Топологию такой сети можно сравнить с самой обычной LAN, построенной на основе хаба, к которому подключены все провода от клиентских компьютеров. В беспроводной сети вместо хаба используется точка доступа, которая и поддерживает все подключения беспроводных клиентов и обеспечивает передачу данных между ними. В большинстве беспроводных сетей необходимо обеспечить доступ к файловым серверам, принтерам и другим устройствам, подключенным к проводной локальной сети, – именно поэтому и используется режим клиент/сервер.
Без подключения дополнительной антенны устойчивая связь для оборудования стандарта IEEE 802.11b лежит в пределах:
