Безопасность в Windows 7
run as /user:<пользователь> <программа> запускает программу от имени другого пользователя.Содержание лекции: Безопасность в Windows 7
Расшифровка лекции: Безопасность в Windows 7
Полный текст первых минут лекции «Безопасность в Windows 7» из видеокурса PracticU – субтитры с временной меткой для каждого абзаца. Так можно прочитать и найти нужные темы ещё до начала обучения.
Здравствуйте! Этот урок посвящён безопасности в Windows 7. Мы поговорим о троянском коне и тому подобном.
Это будет захватывающий урок. Сперва нам придётся сравнить обычного пользователя и администратора. В отличие от администратора, обычному пользователю запрещено устанавливать программы, а также драйверы.
Кроме того, обычный пользователь не может создать папку общего доступа в компьютере. он не может создавать ресурсы общего доступа. В отличие от администратора.
Всё это в отличие от администратора. А также в отличие от администратора, обычный пользователь не может менять настройки виндоусовского фаервола, открывать порты, чтобы к компьютеру могли получить доступ извне, а также добавлять новые учётные записи пользователей, а также разрешать remote desktop,
то есть позволить удалённо захватить управление этим компьютером. А также обычный пользователь не может писать в папку Program Files и в папку Windows, а также даже заглядывать в папки профилей других пользователей.
Помните, в папке C Users есть профиль у каждого пользователя? Так вот, обычному пользователю запрещено в них заходить, кроме как в свою. А также он не может менять IP компьютера и вообще всё связанное с TCP.
Все настройки TCP IP компьютера. То есть, как вы уже, вероятно, почувствовали, обычный пользователь должен только пользоваться установленными на компьютере программами и пользоваться теми настройками, которые уже были прежде него совершены на компьютере.
Впрочем, некоторые настройки он совершать может, чтобы разные программы, с которыми он работает, стали несколько приспособленными к нему.
Можно совершать некоторые ограниченные настройки для того, чтобы рабочая среда больше подходила пользователю. Но обычный пользователь не может менять те настройки, которые влияют на других пользователей.
А также он не может менять настройки, которые вообще влияют на безопасность информации. И ещё он не может стирать программы, удалить установленную программу.
Ведь это повлияет на других людей, они уже не смогут воспользоваться этой программой. Вообще, мы сейчас отталкиваемся от такого положения, что у каждого компьютера есть несколько пользователей, которые на нём работают.
Итак, давайте для хорошей запоминаемости, скажем так, сравнение между администратором компьютера и обычным пользователем очень напоминает сравнение между водителем автомобиля и ремонтником этого автомобиля, работником автосервиса.
Водитель не должен иметь полномочия разбирать мотор, менять там всякие вещи. Он может разве что поднастроить под себя свое кресло водительское или же зеркала повернуть поудобнее ему.
Но он не должен копаться в устройстве этого автомобиля. Большинство операций совершает работник автосервиса. А теперь приступим к сути нашего дела.
Что такое троянский конь? Это программа, которая, будучи исполненной на компьютере, поставляет вовне с него информацию. Эта программа шпионит.
Например, я открыл какой-нибудь вордовский документ, а эта программа подглянула и послала содержание этого документа на какой-нибудь FTP-сервер.
То есть, прежде всего, троянский конь — это не взлом извне, вовнутрь. Нет же, это взлом с помощью работы изнутри со внешним миром. То есть, в случае троянского коня, связь — это не связь извне, вовнутрь, а связь изнутри, вовне.
Потому что с помощью входящей связи, с помощью связи извне, вовнутрь, едва ли мы сможем что-нибудь взломать. Мы просто не сможем получить доступ. Но это называется классическим способом взлома, когда извне вовнутрь.
Однако троянский конь это наоборот. Теперь вы спросите, ну как же троянский конь попал в компьютер? Кто-то должен был записать в наш компьютер троянского коня и запустить его, выполнить эту зловредную программу.
В деловом мире есть распространённые средства. Во время подготовки к этому фильму я как раз читал одну статью, очень нашумевшую о промышленном шпионаже и таком взломе.
В ней одни компании делали другим компаниям деловое предложение и передавали его в форме гибкого диска. При этом программа автозапуска этого диска автоматически незаметно запускала на компьютере троянского коня.
Там был ещё второй способ с помощью электронного письма, которое, очевидно, предлагало запустить какую-то программу.
Мы, разумеется, в этом фильме разберёмся с тем, как защититься от этого. Сперва давайте поймём, как вообще какому-то гибкому диску, который мы положили в наш дисковод, удалось заразить наш компьютер троянским конём, который получил довольно управление над нашим компьютером.
Это вовсе не тривиальная задача, и она требует некоторых условий. И учтите, любой уважающий себя троянский конь не умирает с выключением компьютера. Он укореняется в компьютер и запускается вновь при запуске компьютера.
Давайте начнём рассматривать основные принципы безопасности и научимся защищаться от этих троянских коней. И я сейчас ни в коем случае не говорю об антивирусе.
Ведь такие программы, как антивирус, защищают от тех зловредных программ, под которых им конкретно знаком. То есть, если я сейчас напишу свой умный вирус, и никому ведь он ещё не знаком, то антивирусы не смогут защитить от этой моей программы.
Антивирусник должен знать конкретный вирус. Он должен быть с ним знаком, и тогда он принимает решение, что такой код — это зловредная программа.
Но если я свой вирус ещё не распространил в миллионе копий, то никто ещё его не знает и не может от него защитить. Что ж, давайте запустим просто какую-нибудь программу, допустим калькулятор.
А теперь задумаемся над таким вопросом: Можно ли этой программы, допустим, этому калькулятору, зайти, допустим, в папку My Documents. Допустим, это какая-то программа, которая хочет зайти в какой-то файл в My Documents.
И весь вопрос в том, позволено ли это ей или нет. Поймите, программа состоит из множества команд. Мы порой видим какое-то окно на экране, но мы ведь не знаем, что то, что в этом окне нарисовано, это всё, что делает эта программа.
Может быть, она делает что-то ещё. И допустим, что эта программа, калькулятор, командует компьютеру подглянуть в этот документ.
Программа говорит, зайди в этот документ, пошпионь там, передай по сети информацию вовне оттуда. Сможет ли конкретная программа это сделать?
Так вот, ответ в следующем. Мы сейчас поймем этот ответ, взглянув в Task Manager. Запустим Task Manager. Task Manager можно запустить здесь, правый клик, Task Manager.
И я, собственно, планировал обратить ваше внимание во вкладке Processes на программу Calc. Это и есть калькулятор, который я открыл. Если хотите, давайте в этом убедимся.
Вот я закрываю калькулятор, и смотрите, строчка Calc исчезла. А сейчас я вновь запущу калькулятор, и она появится, та строчка. Вот она, опять появилась.
Так вот, у нас запущена какая-то программа, допустим, калькулятор. И работает она, внимание, от имени пользователя по имени Win7.
Так вот, в программе можно делать всё то, что может делать пользователь Win-7. Если бы программу Calc запустил пользователь Yoni, то этой программе можно было делать всё, что можно делать Yoni.
И этой программе можно было бы войти во все места, куда может зайти пользователь Win-7. Захочет ли этим воспользоваться программа? И что она будет делать со всеми этими полномочиями?
Всё это зависит от кода, который написал программист этой программы. А если я администратор и запустил эту программу, то она сможет натворить на моём компьютере всё, что может администратор, то есть всё, что ей заблагорассудится.
То есть, если тот человек, который работает на компьютере, он администратор, то от его имени запущенные программы, в которых есть всяческие вирусы, троянские кони, имеют огромную власть.
Прежде всего, давайте разберёмся вообще, что такое администратор. Это учётная запись, которую мы сейчас создадим. Только я ещё подчеркну напоследок:
троянский конь, который, допустим, сидел бы в этой программе Calc.exe, Ничего бы не смог сделать, не смог бы ничем нам повредить, если бы пользователь, запустивший Calc.exe, не был администратором.
Троянский конь мог бы начать жить, но не смог бы укорениться. При следующей же перезагрузке компьютера он бы стерся из оперативной памяти. И вновь он появился бы лишь тогда, когда мы бы запустили вновь Calc.exe.
Но даже если бы мы вновь запустили Calc.exe, этот троянский конь ничего бы не смог у нас сделать. То есть мы скачали какого-то...
То есть удалось заслать нам троянского коня. И даже удалось заставить нас его запустить. И всё равно он бессилен, и он не может внедриться в компьютер, он не может там укорениться.
Потому что пользователь, запустивший этот вирус, не администратор. Что значит администратор и не администратор? А давайте создадим учётную запись пользователя, и вы всё увидите.
В контрольной панели мы заходим в Users Accounts. Вот здесь мы создаём учётные записи пользователей. Давайте создадим пользователя, допустим, по имени Йони.
И мы можем выбрать, кем он будет, обычным пользователем или же администратором. Обычный пользователь, Standard User Accounts. И тут есть описание, что он может запускать большинство программ.
То есть он может работать с программами и менять разные вещи, которые не влияют на других пользователей. Давайте, допустим, сделаем какого-нибудь обычного пользователя.
In Bali, имя моей дочери. У моей дочери, допустим, тут будет учётная запись обычного пользователя. Она может использовать компьютер таким образом.
Но самому себе я сделаю другую учетную запись с полномочиями администратора. И вот здесь вот начинается наша брешь в безопасности. Великая проблема, с которой сталкиваются все крупные компании.
У всяких привилегированных работников, как генеральные директоры, есть вариант работать с учетной записью администратора. Ну, как бы им все и так принадлежит.
Казалось бы, почему бы не иметь в компьютере полные права? Но есть причина. Троянский конь может этим воспользоваться и натворить дело от вашего имени и с помощью ваших полномочий.
Тут как раз написано у администратора полный доступ к компьютеру. He can make any desired changes. Понимаете, даже если я не обычный работник в моей компании, даже если я хозяин моей компании, мне опасно работать как администратор, потому что зловредная программа может воспользоваться моими полномочиями.
И все же есть разные оттенки, разные варианты. Тем не менее, остаться администратором и работать как администратор. Быть частично администратором.
Скажем так, есть множество способов и видов бытия частично администратором. Способ первый – это просто иметь две разных учетных записи.
У одного и того же человека две учетные записи. Я генеральный директор компании Yoni, и у меня будет две учетные записи – Yoni Admin и просто Yoni.
Допустим, когда я просто хочу проверять почту, читать вордовские документы, лазить в интернете, то я логинюсь как простой пользователь Yoni.
Я работаю от имени Yoni, который стандарт-юзер. Внимание, он стандарт-юзер. И даже если кто-то вторгнется на мой компьютер, если кто-то меня взломает, или если на моем компьютере будет троянский конь, то все эти злоумышленники ничего не смогут сделать, ничего такого,
что сможет повредить. Но если я, Yoni, хочу, допустим, создать новую учётную запись пользователя, или же я хочу сменить какие-то настройки в безопасности, то я перейду в другую учётную запись, YoniAdmin.
Как бы другой человек, но на самом деле это тоже я. С помощью этой учётной записи я захожу в компьютер только тогда, когда мне нужно сделать какие-то вещи, которые может сделать только администратор.
И лишний раз я с помощью этой учётной записи не логинюсь. И этот принцип в безопасности, когда человек, который, в принципе, может сделать все, но он все равно работает с помощью учетной записи простого пользователя.
Этот принцип, когда мы используем минимум полномочий, который нам в данный момент нужен, называется List Privileges. То есть пользователь имеет лишь необходимые полномочия, которые требуются ему для работы, и ничуть не больше.
Пользователи наделяются лишь необходимым минимумом прав. То есть мы не выпендриваемся и не логинимся как администраторы для того, чтобы проверить почту.
Потому что если, проверяя почту или работая в интернете, мы скачаем какого-нибудь троянского коня и его запустим случайно, то он сможет захватить наш компьютер.
Вы же понимаете, в современных компаниях на компьютере хранятся важные документы, бизнес-планы, важнейшие деловые базы данных. Всё сейчас хранится в компьютерах, и поэтому безопасность информации — это крайне важно.
В наши дни компьютер — это не просто как печатная машинка для документов. Так что вот, представляю вашему вниманию принцип «List Privileges». "list" переводится как "наименьшее количество", то есть человек должен выполнять какую-то работу на компьютере.
И дайте ему минимум полномочий, которые ему для этой работы требуются. Лишь только необходимые для этой работы права, как можно меньше. Но чтобы это не вредило его работе.
Ровно столько лишь, чтобы это не мешало его работе, но не больше. То есть не то, чтобы надо выключать компьютер из розетки и сказать человеку это наиболее безопасно.
Но человеку не нужно быть администратором и мочь менять всевозможные настройки, если он должен только писать в текстовых документах. Происходят великие истории взломов крупных компаний с помощью троянских коней.
Но этих историй не случилось бы, если бы в это время работник не работал на компьютере от имени администратора. Если бы эти работники залогинились как стандартные пользователи, троянский конь был бы бессилен, и троянский конь был бы удалён после первой же перезагрузки.
Но неужели во всех этих историях люди были глупее нас? или же принцип List Privileges, тогда был еще не изобретен. Нет же, этот принцип существует уже очень давно, но все дело в том, что люди ленятся его применять, заводить себе две учетные записи и логиниться
периодически заново, менять учетную запись, с которой сейчас работаешь. Мне, допустим, нужно сделать какую-то опасную настройку, и для этого мне нужно сменить учетную запись, с помощью которой я залогинил в компьютер.
Разумеется, люди поленятся так работать. Нет же, такой Yoni, будучи человеком ленивым, просто давал себе все полномочия администратора.
Yoni не будет заводить никакой дополнительной учетной записи Yoni Admin. Он лентяй. Сотрем учетную запись Yoni Admin.
Но не беда, это был лишь один вариант обезопасивания себя, сбрасывания с себя полномочий, когда они не необходимы.
Итак, сейчас я Yoni, который администратор, у меня все полномочия, я могу делать, что хочу. что хочу, я наплевал на принцип List Privileges, потому что это хлопотно и неудобно.
Безопасность информации — это всегда за счёт преодоления лени, за счёт неудобства и траты дополнительных вещей. Но раньше во времена Windows XP не было другого решения.
В те времена единственный способ был — это выдать человеку два костюма: костюм администратора и костюм обычного пользователя. Но в Windows 7 есть новый механизм безопасности информации, который начался ещё с Windows Vista.
Этот механизм называется UserAccountControl. Давайте найдём интерфейс управления этим UserAccountControl. UserAccountControl UAC. Вот он.
Тут уже совсем другой принцип. Работая с одной и той же учётной записью, мы не всегда имеем все полномочия. Полномочия администратора мы включаем произвольно в нужный момент.
Интерфейс запрашивает у нас разрешение без разрешения применить наши администраторские полномочия. Пример. Допустим, я администратор.
И вдруг мне приспичило сделать что-нибудь, для чего нужны мои администраторские полномочия. Например, на кнопочке «Компьютер» правый клик «Manage».
Управление компьютером. И, внимание, тут есть значок счета. Этот значок счета означает, что для выполнения данного действия требуются права администратора.
И требуется задействовать мои администраторские полномочия. и, внимание, без смены учётной записи. Мне не нужно производить LogOff и LogIn новым пользователям.
Просто, когда я задействую мою администраторскую силу, я получаю сообщение или предупреждение или запрос, и я должен подтвердить задействование моих администраторских полномочий.
В данный момент я такого предупреждения не получил. Я вам скоро объясню почему. Всё дело в том, какая стоит настройка. Изменив эту настройку, теперь я получу предупреждение.
Смотрите, вот этот запрос, вот это сообщение. Это сообщение от User Account Control. И этот запрос гласит,