Просмотр полной версии : Безопасность локальных систем
Andrew8712
19.03.2004, 19:37
Ко мне бластер ворм залетал, так что я не считаю...
не считаю - меня черви за*бали! >:(
И у меня бластер был >:( , скотина
а ко мне не залетал, а вот друг как модем купил, так сразу подцепил его ;D
Вот немного инфы по безопасности, взятой с сайта http://www.xakep.ru , спасибо им за то, что они есть :),
И никак не связаной со взломами...
1. Реорганизация SysKey
Syskey – программа Windows (в NT 4 начиная с Service Pack 3, в 2000/XP - по умолчанию), которая добавляет новый уровень безопасности в хранение хешей паролей в базе данных SAM. Главная ее функция состоит в уменьшении вероятности оффлайновой атаки за счет дополнительного шифрования паролей. Известно, что главная возможность хищения паролей с Windows машины – копирование системного SAM файла и его расшифровка для добычи паролей при помощи многочисленных программ, предназначенных для этого, хотя, само собой, для этого нужен физический доступ к компьютеру.
Syskey несколько затрудняет действия взломщика, хотя существуют инструменты которые с обходят это препятствие.
Ключ, используемый для работы Syskey (так называемый bootkey или системный ключ), можно получить тремя путями. Выбрать метод можно при запуске Syskey.exe на машине:
Используя ключевую фразу (ее MD5 хэш). Система запросит ее при старте.
Используя сгенеренный системой ключ, который хранится на загрузочной дискете.
Используя сгенерированный системой ключ, сохраненный в самой системе. Именно такой способ используется по умолчанию.
В первых случая бороться с Syskey практически невозможно, если только у вас нету пароля или дискеты. Т.е. вам придется ломать еще и Syskey. Третий же вариант несколько проще в обходе....(удалено цензурой :))
В процессе загрузки Windows, перед тем как пользователю позволят залогиниться, главный поток Smss (Session Manager) стартует процесс Winlogon. Он, в свою очередь, требует Local Security Subsystem (Lsass), который и работает с базой данных SAM через свой сервис. При работе ситсема получает доступ к следующим ключам реестра:
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Contro l\Lsa\JD
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Contro l\Lsa\Skew1
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Contro l\Lsa\Data
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Contro l\Lsa\GBG
Итак, Syskey шифрует пользовательские хэши при помощи алгоритма RC4 используя нечто выведенное (при помощи MD5) из системного ключа.
Источник: http://studenti.unina.it/~ncuomo/syskey/
Некоторые части статьи, повествующие о взломе удалены...
...Прежде чем пытаться это повторить - сделайте резервные копии системы и реестра...
...Продолжаем...
2. Несколько способов по повышению безопасности...
...
Файловая система, файлы
Первое, на что надо обратить внимание - какая файловая система используется. Если тебе действительно важна безопасность, то выбор один - NTFS. И не верь всяким там супер-пупер хацкерам и другому подобному народу, утверждающему, что FAT - это сила, а NTFS - отстой. NTFS более надёжная, позволяет расставлять параметры доступа практически любому файлу. А NTFS5 поддерживает ограничение по квотам (можно ограничивать папку на занимаемое ей место). Теперь о том, как перейти с FAT на NTFS и при этом не потерять данные. Во-первых, при установке Win' 2000\XP это можно сделать автоматически - в соответствующий момент ответив утвердительно на соответствующий вопрос. Можно преобразовать FAT16 (или FAT32) в NTFS и позже - воспользовавшись командой CONVERT. Синтаксис этой команды такой:
convert [диск] /fs:ntfs [/v]
где V - параметр, позволяющий не гадать при следующей перезагрузке системы, идет конвертация или нет, а видеть соответствующие сообщения о происходящем процессе на экране. Кроме встроенных средств Windows, для преобразования FAT в NTFS можно воспользоваться замечательной программой Partition Magic, позволяющей к тому же при необходимости выполнить и обратное преобразование - из NTFS в FAT, и тоже без потери данных.
По умолчанию задавать параметры безопасности нельзя. Для того, чтобы это было возможно, лезем в Панель управления-> Свойства папки-> Вид и убираем галочку напротив "Использовать простой общий доступ к файлам". Здесь же выбираем "Показывать скрытые файлы и папки".
Настройки в панели управления
Лезем в Панель управления->Администрирование->Локальная политика->Локальные политики->Параметры безопасности. В появившемся списке слева находим строчку: "Переименование учётной записи администратора". Дважды кликаем по ней и вводим что-нибудь другое. Так же поступаем и с учётной записью гостя. Ищем строку "Состояние учётной записи 'Администратор'". Если ты хочешь всё время использовать другое имя, нежели изменённое имя администратора - выключаем эту опцию. Обязательно выключаем учётную запись 'Гость' (Guest) (по умолчанию она уже отключена, но на всякий пожарный надо самому в этом убедиться!). Ищем что-то типа "Уровень аутентификации LAN Manager" и выбираем "Использовать NTLMv2\отклонять LM&NTLM". Это для того, чтобы избавится от недостатка LM-hash, который сохраняет твой пароль для входа в систему таким образом, что "разламывает" пароль (если он длиннее 7-и символов) на две части: одна часть длинной 7 символов, другая всё, что осталось. Десятизначный пароль взламывать труднее, чем два пароля длиной 7 и 3 символа.
Ищем "Не показывать имя последнего пользователя" и изменяем параметр на "Включён"(в англ. винде это "Interactive logon: Do not display last user name"). Эта штука нужна для того, чтобы при входе в систему не показывалось имени последнего залогиневшегося юзера. Также можно изменить максимальный срок действия паролей. Изменяем "Очищать файл подкачки при завершении работы" на "Включён". А теперь в списке слева выбираем: Локальные политики->Назначение прав пользователя. Справа ищем:
Доступ к компьютеру из сети. Если ты не используешь NETBIOS для доступа к твоему компу из сети - выкидывай всех.
Отказ в доступе к компьютеру из сети. Опять же: не нужен NETBIOS-доступ к твоему компу из сети - выбираем всех, кого можно.
Отклонить локальный вход. Кого выберешь здесь тот не сможет войти в твой комп локально (для тех кто в танке: локальный вход - это вход, который производится, когда ты включаешь комп и входишь в систему). Смотри не переборщи: если выберешь всех - никто не сможет войти в твой компьютер локально (даже администраторы). Лично я выкинул только группу "Гости".
Принудительное удалённое завершение. Выкидываем из этого списка ВСЕХ!
Все остальные настройки, в которых по умолчанию в параметрах вписана группа Администраторы (Administrators) настраиваются так, чтобы по возможности сама эта группа там не фигурировала: нужны администраторы - выбирай их имена, а не всю группу.
В правом списке лезем в "Локальные политики->Аудит". Здесь настраиваются те параметры, которые должны регистрироваться в журналах системы. Можно выбирать успех и/или отказ. Особо много не выбирай, ибо систему нагружает (по большому счёту домашним пользователям регистрация в журналах особа не нужна). Всего три журнала: безопасности, приложений и системный. Доступ к ним осуществляется через Панель управления-> Администрирование-> Просмотр событий.
Снова лезем в правый список и ищем "Политики учётных записей->Политика паролей". Здесь можно настраивать по вкусу. Рекомендую включить опцию "Пароль должен отвечать требованиям сложности". В каталоге справа находим "Политика блокировки учётной записи". Пороговое значение блокировки устанавливаем на 3, блокировка учётной записи - на 30 минут. Это значит, что если кто-то пытался получить доступ к какой-то учётной записи, и три раза подряд ему было отказано в доступе, то учётная запись (имя пользователя), к которой была попытка получения доступа, будет заблокирована на 30 минут, в течение которых доступ к учётной записи даже с правильным паролем запрещён.
...
...и ещё, напоследок...
Реестр
Что жt, теперь наведём порядок в реестре. Лезем в HKLM\SYSTEM\CurrentControlSet\ LanmanServer\Parametrs и ищем параметр AutoShareWks и присваиваем ему значение 0. Если такового параметра нет - нужно создать его. Этот параметр отвечает за авто создание расшаренных ресурсов. Если тебе нужно использовать расшаренные ресурсы и к ним нужен удалённый доступ, лучше создать нужные ресурсы вручную.
Идем в HKLM\SYSTEM\CurrentControlSet\ Control\Lsa и создаём параметр типа REG_DWORD с названием restrictanonymous (возможно, он уже создан) и присваиваем ему значение 2. Это надо сделать для запрещения NULL-session: это когда можно присоединиться к компу для запроса различной инфы (например, НЕТБИОС имя компьютера, имя рабочей группы) без ввода имени пользователя и пароля (поэтому и нул-сешшн). Пароль и логин к инету лучше не сохранять, т.к. его можно будет вытащить специальными утилитами. По умолчанию в системе выбрано запоминать логин и пароль, но даже если галочку убрать, логин сохраняется (а пароль уже нет). Чтобы это исправить лезем в HKLM\System\CurrentControlSet\ Services\Rasman\Parameters и создаём параметр типа REG_DWORD с названием DisableSavePassword и присваиваем ему значение 1. Я ещё рекомендую вырубить RPC (Процедура удалённого вызова) из-за того, что толку он неё немного, а комп однозначно становится более уязвимым (вспомни недавние баги в RPC!). Вырубаем: HKEY_LOCAL_MACHINE\Software\ Microsoft\OLE – измените значение EnableDCOM к N. Параметры вступят в силу после перезагрузки.
К реестру возможен удалённый доступ (при условии, что известно имя пользователя и пароль того юзера, права которого позволяют изменять реестр). Чтобы выборочно ограничить доступ к реестру удалённо и локально выбираем один из главных разделов, жмём правую кнопку и выбираем "Разрешения" здесь изменяем группы. ОБЯЗАТЕЛЬНО оставь СИСТЕМУ (SYSTEM). Вместо группы "Администраторы" (Administrators). Лучше выбирать имена админов. Жмем "Дополнительно". В появившемся окне ставим галочку напротив "Заменить разрешения для всех дочерних объектов заданными здесь разрешениями, применимыми к дочерним объектам". Так нужно сделать со всеми главными разделами. В этом же окне можно задать параметры аудита реестра. Если удалённый доступ к реестру вообще не требуется можно его вырубить: лезем в Панель управления->Администрирование-> Службы. Здесь находим Удалённый доступ к реестру (Remote Registry), дважды щёлкаем по нему и указываем тип запуска как "Отключено".
Назначение доступа к файлам\папкам
Нужно правильно распределить: каким юзерам в какой католог можно залезать (возможно в файловой системе NTFS). Для этого: щёлкни правой кнопкой на нужном файле\каталоге\диске и выбери "Свойства". Теперь ищи вкладку "Безопасность". Здесь два окошка: группы пользователей и их текущие права на данный ресурс. Редактируй его как считаешь нужным (ты ведь уже должен знать кому куда можно залезать, а кому нет!).
И напоследок:
Следует подумать о проверке своей системы сканером безопасности. Сейчас их достаточно много. Лично я - "домашний пользователь" (мой комп не является никаким веб-сервером и т.д.) Поэтому я выбрал сканер Retina: он позволяет не только проверить систему на известные уязвимости, но и профиксить их одним нажатием на кнопку (если уязвимость связана с настройками системы!).
Не забывай вовремя ставить заплатки. Истина гласит: нужно ставить заплатки сразу после их появления, а не когда очередной червь начнёт доставать!
Не забывай посещать security-сайты.
И конечно же поставь файрвол - тот же AtGuard например или Outpost.
...Прежде чем пытаться это повторить - сделайте резервные копии системы и реестра...
60% компов в инете могут ПОЛНОСТЬЮ управляться трояном ByAll(как пишется точно не знаю). Тока его никто почти не используют, сдали в для создания защиты против таких прог. Поэтому, для повышения безопасности надо постоянно обновлять свою ОС.
60% компов в инете могут ПОЛНОСТЬЮ управляться трояном ByAll(как пишется точно не знаю). Тока его никто почти не используют, сдали в для создания защиты против таких прог. Поэтому, для повышения безопасности надо постоянно обновлять свою ОС.
А еще желательно сканировать СВОЮ(а не своего соседа по инету ;D) систему на дыры с помощью всяких там XSpider'ов, Essential NetTools'ов и пр... Или, если есть хороший сосед, посросить его просканить тебя, т.к., если у тя стоит фирик, результаты локального скана не будут бъективными ;)
Работает на vBulletin® версия 3.7.2. Copyright ©2000-2008, Jelsoft Enterprises Ltd. Перевод: zCarot