Безопасность Windows XP
Защити себя сам!

Никогда ещё средства массовой информации не уделяли столько внимания вопросам безопасности современных операционных систем, как сейчас. Более того, в свете последних событий, а именно лавино­образного роста обнаруженных уязвимостей в наиболее распро­странённом программном обеспечении и операционных системах, разработчики стали серьёзно задумываться о том, что в борьбе за безопасность пользователь, как ни странно, не всегда является их союзником. Судите сами, была ли б возможна глобальная эпидемия вирусов типа MSBlast [1], если бы сами пользователи с должной ответст­венностью относились к защите своих компьютеров? А ведь мало того, что «заплатка», устраняющая брешь DCOM в Windows XP, появилась гораздо раньше, чем по всей Сети расползлись использующие её вирусы, так ведь и самые банальные файерволлы и антивирусы могли бы надёжно защитить от проникновения в систему подобных интернет-червей. То есть существовало как минимум три разных способа защиты от MSBlast! Так, может быть, есть смысл вообще отстранить безалаберного пользователя от управления безопасностью системы?

На прошедшей недавно в Лос-Анджелесе конференции Microsoft для профес­сиональных разработчиков (PDC) Билл Гейтс ещё раз подчеркнул, что именно безопасность станет для его компании приоритетной задачей на ближайшие годы. И сообщил, что во втором пакете обновлений SP2 для Windows XP предполагается внедрить функцию авто­мати­ческого включения брандмауэра при запуске таких интернет-приложений, как браузер или почтовый клиент. Если так пойдёт и дальше, то очень скоро в систему будут интегрированы неотключаемые антивирусы и отказаться от авто­мати­ческой закачки много­мега­байтных патчей станет невозможно… А что ещё прикажете делать, если для пользователя безопасность — дело десятое?

Каких-то универсальных рекомендаций по настройке безопасности не существует. Эта проблема слишком сильно связана с задачами, выполняемыми на том или ином конкретном компьютере. На мой взгляд, при настройке домашних и офисных систем можно выделить пять основных конфигураций, настройки безопасности которых коренным образом различаются (в порядке ужесточения требований):

• одиночный пользователь;
• много­пользова­тельская конфигурация;
• наличие подключения к Интернету;
• наличие подключения к локальной сети;
• наличие строго конфиден­циальной информации.

При этом, если ваша конфигурация подпадает сразу под две категории — например, вы одиночный пользователь, имеющий подключение к Интернету — то все настройки следует производить согласно наиболее жёсткому сценарию, равному сумме настроек обеих категорий.

Одиночный пользователь

Даже в наше время повсе­местного распро­странения интернет-технологий и передачи данных посредством мобильных телефонов (GPRS) пользователь ПК, не подключённый к Мировой Паутине — далеко не редкость. Кто-то ещё просто не осознал необходимость и неизбежность вовлечения в глобальный информа­ционный поток, а до кого-то в нашей умом непонятной стране ещё даже не дошло счастье обычной проводной телефонизации. При таком раскладе задача обеспечения безопасности, как ни странно, сводится только к обеспечению защиты операционной системы от этого самого одиночного пользователя. Если нет Интернета или локальной сети, то никакой хакер в вашу систему не проникнет. Если нет других пользователей, то никто не подсмотрит ваши приватные файлы. Если нет документов «двойной» бухгалтерской отчётности, то «маски-шоу» вам не грозит. От чего же в таком случае надо защищаться? Только от собственных необдуманных и неосторожных действий. Уничтожить плоды своего много­месячного труда проще простого — достаточно вставить в дисковод чужую дискету с заражённым макро-вирусом документом или запустить купленный в ближайшем ларьке пиратский компакт-диск с каким-нибудь очередным «Чихом», пере­записы­вающим BIOS мусорными байтами.

Таким образом, главная задача одиночного пользователя — не допустить проникновения в систему вирусов. Решение её, казалось бы, элементарное — установил антивирус и спи спокойно… Но мы ведь условились, что Интернета у нас пока нет, а как без него обновлять анти­вирусные базы? Окажись хитрый вирус хотя бы на один день более «свежим», чем имеющиеся базы «Касперского» [2] или DrWeb [3], и пиши пропало… Конечно, если есть хороший приятель, у которого можно хотя бы раз в неделю разжиться обновлениями антивируса, то проблема практически снимается, например, для антивируса Касперского достаточно скопировать папку C:\Program Files\Common Files\KAV Shared Files\Bases, а для DrWeb можно просто взять всю директорию C:\Program Files\DrWeb (разумеется, свои лицензионные файлы необходимо оставить). Если же ситуация такова, что до Сети добраться невозможно ни в каком виде, и даже интернет-кафе на горизонте не наблюдается, то выход один. Вернее — два, которые в обязательном порядке должны дополнять друг друга. А именно — включение эвристического анализа в настройках антивируса (очень требовательная к ресурсам штука…) и полный бекап (резервное копирование) системы. В этом случае появляется шанс, что антивирус благодаря своим интеллектуальным возможностям вовремя выявит отсутствующую в его базе инфекцию, а если такое и не произойдёт, то останется хотя бы возможность восстановить важные документы, а то и всю ОС из свое­временно сделанной резервной копии. К тому же, при этом вы оказываетесь защищены и от других видов разрушения ОС, связанных, например, с установкой некачественных программ. Только учтите, что делать резервные копии на том же самом жёстком диске бессмысленно — в случае заражения они с такой же лёгкостью окажутся «убиты», как и основная система. Всё самое важное копируйте на CD-RW (или DVD), например, раз в неделю, а также после серьёзных изменений в важных документах, перед тем, как установить в ПК чужой носитель, новый компакт-диск, перед инсталляцией программного обеспечения. И всегда помните, что уничтожить ваши данные способен не только вирус, но и сбой электро­питания, жёсткого диска или даже некачественный модуль оперативной памяти. Если на вашем ПК есть хоть что-то, что жаль потерять, будь то докторская диссертация или «сейвы» GTA Vice City, то это обязательно надо сохранять на сменных носителях. Программ для резервного копирования множество, например, создание полной копии жёсткого диска возможно с помощью таких утилит, как:

• Norton Ghost [4],
• Paragon Drive Backup [5],
• PowerQuest Drive Image Pro [6].

Вторая задача, которая обычно встаёт перед одиночным пользователем, не менее странная. А именно — защита самого пользователя от излишней опеки со стороны операционной системы. Дело в том, что изначальные настройки Windows XP нацелены на какой-то усредненный вариант конфигурации ОС. А потому в них изначально задействованы механизмы безопасности, подчас совершенно излишние при отсутствии много­пользова­тельского режима или интернет-соединения. Всё это только доставляет пользователю немало лишних неудобств, а потому снижает эффективность его работы за компьютером. Например, нужна ли вам аутенти­фикация пользователя, если кроме вас к ПК больше никто не подходит? Чтобы избавиться от процедуры ввода пароля при загрузке Windows, можно, например, сделать авто­мати­ческий ввод пароля с помощью утилиты Tweak UI [7] — вкладка «Logon». Вручную же для этого следует в разделе реестра HKEY_LOCAL_MACHINE\Software\Microsoft\WindowsNT\CurrentVersion\WinLogon\ задать параметры строкового типа (REG_SZ):

• "AutoAdminLogon"="1"
• "DefaultUserName"=Имя
• "DefaultPassword"=Пароль

Можно также вообще отключить использование пароля. В Windows XP для этого следует в меню «Панель Управления» → «Учетные записи пользователей» → «Изменение учетной записи» → [имя пользователя] выбрать пункт «Удаление пароля» («Control Panel» → «User Accounts» → «Change an Account» → «Remove my password»). А чтобы избавиться ещё и от необходимости нажимать клавиши Ctrl+Alt+Del при загрузке ПК, откройте диалог «Панель управления» → «Админист­рирование» → «Локальная политика безопасности» → «Параметры безопасности» («Control Panel» → «Administrative Tools» → «Local Security Policy» → «Local Policies» → «Security Options») и установите параметр «Interactive logon: Do not require CTRL+ALT+DEL» в положение «Enabled».

От использования файловой системы NTFS также вполне можно отказаться, поскольку её основное предназначение — разграничение пользова­тельских полномочий — останется невостребованным. Зато при наличии более лёгкой FAT32 становится гораздо удобнее прямо из-под MS-DOS делать резервные копии реестра и восстанавливать «упавшую» систему.

Много­пользова­тельская конфигурация

Операционные системы семейства Windows NT — это, в первую очередь, много­пользова­тельские системы, задача которых — грамотное разделение прав доступа. В таких системах необходимо полностью исключить ситуацию, когда один пользователь имеет шанс каким-то образом навредить другому: прочитать чужой документ или изменить настройки чужой конфигурации. Поэтому в таких системах применение нескольких учётных записей с разными полномочиями и файловой системы NTFS обсуждению не подлежит. Для каждого пользователя необходимо завести специальную «рабочую» учётную запись с мини­мальными привилегиями, например, входящую в группу «Пользователи» — именно под этими записями все и будут осуществлять повсе­дневную работу. В качестве же Администратора (им назначается наиболее ответственный и знающий товарищ) можно регистри­роваться в системе только по особым случаям — при установке нового ПО, например.

Также необходимо, используя возможности NTFS, жёстко разграничить документы, к которым имеют доступ пользователи. Тут есть два варианта — можно каждому пользователю выделить отдельную папку (подойдёт даже стандартная «Мои документы»), полностью закрыв к ней доступ для других пользователей. А можно сделать на диске несколько разделов, по числу пользователей, и также назначить соответ­ствующие права. При этом получится даже некоторая разно­видность квотирования дискового пространства — каждый будет ограничен объёмом выделенного лично ему раздела, с которым сможет делать что угодно, не рискуя нанести ущерб другим пользователям. А чтобы чужие разделы не мозолили глаза, их можно ещё и скрыть с помощью известной утилиты Tweak UI. Установите также права доступа к папкам таким образом, чтобы обычные пользователи не могли изменять содержимое директорий WinNT и Program Files (исключением могут быть отдельные файлы с настройками пользова­тельских программ) — к системным файлам полный доступ должен иметь только Администратор.

В Windows XP Home, к сожалению, отсутствует возможность удобного назначения прав доступа к папкам и файлам — там для этого придётся прибегать к консольным программам типа cacls.exe. Даже в Windows XP Pro для нормальной работы с правами доступа придётся совершить дополни­тельные тело­движения — вернуть к «нормальному» виду закладку «Доступ» («Sharing») в свойствах папок и вкладку «Безопасность» («Security») на томах NTFS. Для этого надо в свойствах папок («Folder Options») на странице «Вид» («View») снять флажок «Использовать простой общий доступ к файлам (рекомендуется)» («Use simple file sharing (Recommended)»).

Кроме того, создано немало утилит для ещё большего ужесточения политики разграничения полномочий, например, программа DeviceLock [8] позволяет закрывать отдельным индивидуумам даже доступ к определённым устройствам, вплоть до Wi-Fi и Bluetooth.

Вообще же, если в системе зарегис­трирован пользователь, откровенно не разбирающийся в Windows или, наоборот, желающий самолично поковыряться в её внутренностях, невзирая на последствия для её жизне­деятельности, то необходимо уделить должное внимание и запрету изменения настроек Windows. И тут как нельзя лучше подходят всевозможные программы-твикеры, которые умеют «прятать» от неблаго­надёжного пользователя почти все апплеты Панели управления, а также вкладки и команды различных меню, например — WinBoost [9] или бесплатный X-Tech Setup [10]. Имеются и программы, созданные специально для этого, например, XP Protector [11], Security Administrator [12]. И, разумеется, не стоит забывать о стандартных, чуть менее удобных, чем специали­зированные «твикеры», оснастках — Редакторе групповых политик (Group Policy Editor) (gpedit.msc) и Редакторе политик безопасности (secpol.msc): при настройке системы надо пройти буквально по каждому пункту этих программ.

При наличии нескольких пользова­тельских профилей нелишним будет организовать и авто­мати­ческую зачистку временных файлов, поскольку Windows и программы для неё оставляют на диске слишком много следов, которые могут содержать приватную информацию. Для этого неплохо подходит программа Evidence Eliminator [13]. Впрочем, частично чистить следы на диске и в реестре умеет и почти стандартная утилита Tweak UI, но её возможности гораздо скромнее.

Интернет

При подключении к Интернету кардинально меняется вся политика безопасности, так как основная угроза теперь исходит из Сети. Даже если информация на вашем ПК не представляет серьёзного интереса для кого-то постороннего, всё равно угроза потери важных для вас файлов или вывода Windows из строя будет иметь место. Если и не найдётся хакера, позарившегося на ваши файлы, то уж безмозглых интернет-червей, эксплуа­тирующих много­численные уязвимости ОС — пруд пруди. Поэтому главными условиями защиты любого веб-серфера являются свое­временная установка сервис-паков и «горячих» обновлений Windows и прикладных программ, а также качественный и хорошо настроенный файерволл.

В качестве файерволла можно попробовать такие продукты:

• Sygate Personal Firewall [14],
• BlackICE PC Protection [15],
• Zone Alarm [16],
• McAfee Personal Firewall [17],
• Outpost [18],
• Norton Internet Security [4],
• Kaspersky Anti-Hacker [2].

Причём файерволл надо включить ещё до первого выхода в Сеть, так как в противном случае (если не установлен соответствующий патч) высок риск оказаться поражённым тем самым MSBlast, пере­загру­жающим компьютер спустя пару минут после подключения к Интернету. Подобные вирусы просто не дадут вам скачать файерволл и заплатки к ОС! Кстати говоря, патч от уязвимости DCOM не всегда устанавливается удачно, а потому рекомендуется проверить свою систему специальной утилитой DCOMbobulator [19] — она точно покажет, уязвим ли ваш ПК, и поможет закрыть эту брешь в защите.

К счастью, в Windows XP уже встроен простейший файерволл, и на начальном этапе его будет достаточно — главное не забыть его активировать. В общем же случае брандмауэр должен блокировать весь входящий трафик через порты 69, 4444, 135, 137, 138 и 139 — именно благодаря им злоумыш­ленникам и интернет-червям удаётся получить доступ к вашим файлам. Крайне желательно, чтобы файерволл ещё умел блокировать и потенциально опасное активное содержимое веб-страниц: JAVA-апплеты и элементы ActiveX. Качество же настройки персонального файерволла можно проверить с помощью специальных сайтов:

• grc.com/default.htm [20]
• security2.norton.com/us/intro.asp?venid=sym&langid=us [21]
• www.dslreports.com/scan [22]
• scan.sygatetech.com [23]

Эти сайты просканируют ваши порты в поисках возможных брешей в системе безопасности. Но процесс этот довольно длительный, особенно при не очень хорошей связи.

Ещё больше в борьбе с хакерами поможет исполь­зование прокси-сервера (хотя бы даже прокси интернет-провайдера) или программ-анони­майзеров типа AntiFirewall [24], которая надёжно скроет ваш истинный IP-адрес, даже если вы будете активно использовать такие подверженные атакам приложения, как ICQ и IRC. Вообще тема защиты тайны частной жизни — privacy — заслуживает особого внимания, а потому рекомендую специальную статью: «Конспирация…» [25]. Из неё вы узнаете, почему и как нужно скрывать свой IP-адрес, и чем вообще может грозить рядовому пользователю подключение к Интернету.

Не менее важно для защиты от вторжения из Сети отключить неиспользуемые службы, особенно Сервер (Server), Телнет (Telnet), Службу терминалов (Terminal Services), Службу удалённого управления реестром (Remote Registry Service), Узел универсальных PnP-устройств (Universal Plug and Play Device Host), Службу обнаружения SSDP (SSDP Discovery Service), Службу сообщений (Messenger Service), Модуль поддержки NetBIOS через TCP/IP (TCP/IP NetBIOS Helper) — тем самым вы исключите возможность подключения к вашему ПК с их помощью.

Кроме того, в свойствах модемного соединения необходимо удалить все лишние протоколы, оставив только TCP/IP. В свойствах же самого TCP/IP («Properties» → «General» → «Advanced» → «WINS») установите переключатель «NetBIOS setting» в положение «Disable NetBIOS over TSP/IP».

Можно несколько усилить защиту и Internet Explorer, если в его настройках «Свойства обозревателя» → «Безопасность» («Internet Options» → «Security») сначала установить параметры для всех зон в положение по умолчанию («Default»), а затем для зоны Internet немного ужесточить правила — нажать кнопку «Custom Level» и, например, по всем параметрам, касающимся активного содержимого веб-страниц, установить пере­ключатели в положение «Prompt». Это особенно важно, если используется встроенный файерволл Windows XP, или ваш файерволл не способен блокировать активное содержимое веб-страниц.

Почему надо блокировать активное содержимое веб-страниц

В Internet Explorer существует, и до последнего момента не была прикрыта уязвимость, определяемая антивирусами как Exploit.CodeBaseExec. Эта уязвимость позволяет запускать любые программы, расположенные на ПК пользователя, открывшего веб-страничку с нехитрым кодом. Чтобы проверить, подвержен ли ваш ПК такой атаке, создайте простейший html-файл с таким содержанием:

<html>
<span datasrc="#oExec" datafld="exploit" dataformatas="html"></span><xml id="oExec">
<security>
<exploit>
<![CDATA[
<object id="oFile" classid="clsid:11111111-1111-1111-1111-111111111111" codebase="c:/windows/notepad.exe"></object>
]]>
</exploit>
</security>
</xml>
</html>

Если спустя несколько секунд после его открытия в Internet Explorer сам собой запустится Блокнот, то ваш ПК уязвим. Антивирусы выявляют такой код и, возможно, не дадут ему запуститься. Если же вы хотите повысить уровень защиты самого IE от подобных атак, то в реестре установите такой параметр:

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0
"1004"=dword:00000001

После этого при попытке запуска потенциально опасного скрипта будет выдаваться запрос к пользователю.

Локальная сеть

При работе в составе локальной сети, особенно если к вашему ПК имеют физический доступ другие лица, возникают две дополнительные, но противо­речащие друг другу задачи: предотвратить несанкцио­нированный доступ к своим приватным документам и обеспечить удалённым пользователям возможность работы с файлами, которые вы хотите выложить на всеобщее обозрение. Для решения этой проблемы обычно используют возможности NTFS по разграничению прав пользователей. То есть на своём ПК необходимо завести несколько учётных записей удалённых пользователей и разрешить им доступ из сети к разделённым (Shared) ресурсам. Разумеется, эти самые ресурсы общего пользования необходимо задать очень чётко, чтобы случайно не открыть на обозрение всей сети диск C: или папку «Мои документы». Для этого в свойствах пред­наз­наченной для «зашаривания» папки надо выбрать вкладку «Доступ» («Sharing»), отметить опцию «Открыть общий доступ к этой папке» («Share this folder») и затем на вкладке «Безопасность» («Security») указать, каким учётным записям или группам пользователей разрешается работать с файлами этой папки — читать, изменять и так далее. Лучше всего, если вы ограничите круг пользователей, которым разрешён доступ. Если же необходимо сделать так, чтобы папка была доступна всей сети, то можно раз­бло­кировать учётную запись Гостя и в свойствах этой папки установить соответ­ствующие разрешения. Учтите только, что изначально в Windows XP Pro для повышения безопасности учётная запись Гостя (Guest) заблокирована не только в диалоге «Управление компьютером» → «Локальные пользователи и группы» → «Пользователи» («Computer Management» → «Local Users and Groups» → «Users»). Необходимо ещё снять блокировку в диалоге «Панель управления» → «Администрирование» → «Локальная политика безопасности» → «Параметры безопасности» → «Локальные политики» → «Назначение прав пользователя» («Control Panel» → «Administrative tools» → «Local Security settings» → «Security settings» → «Local Policies» → «User Rights Assignments»): щёлкнув на строке «Отказ в доступе к компьютеру из сети» («Deny access to this computer from the network»), удалите из списка заблокированных пользователей учётную запись Гостя.

Кроме того, в Windows XP появилась новая системная папка «Общие документы» («Shared Documents») — если в неё переместить мышью какой-либо файл или папку, то они станут доступны из сети. Если же вам не нравится эта опция, и вы хотите сами контролировать ресурсы общего пользования, то просто удалите раздел реестра

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MyComputer\NameSpace\DelegateFolders\{59031a47-3f72-44a7-89c5-5595fe6b30ee}

— папка «Shared Documents» после пере­загрузки исчезнет.

Такой метод работы с разделяемыми ресурсами наиболее приемлем в локальных сетях небольших предприятий (если у вас на работе имеется администратор, то предоставьте все настройки ему). Главный же его недостаток состоит в том, что приходится открывать порты NetBIOS, чем частично дезавуировать настройки безопасности, рекомендуемые при работе с Интернетом. То есть для IP-адресов локальной сети придётся открывать те самые порты 137, 138 и 139. При этом нужно добиться того, чтобы эти порты были закрыты для доступа из Интернета. Далеко не каждый файерволл позволяет удобно разграничить правила, применяемые для внешних адресов и для внутренних. Возможно, наиболее удачно это реализовано в новом Norton Internet Security 2004 [26] — там наряду с удобным мастером настройки локальной сети появилась возможность создания совершенно независимых профилей настроек, применяемых в зависимости от ситуации — для дома один профиль, для рабочей LAN — другой. Но в любом случае грамотно настроить систему не очень просто. К тому же совсем не факт, что во внутренней сети не найдётся любителя поискать прорехи в защите вашего ПК.

Если же вы хотите обмениваться файлами в городской или «подъездной» LAN, то наиболее безопасным и простым в настройке будет отказ от инструментов Windows и переход на использование FTP-сервера. При этом вы не только запретите стандартный File Sharing, но и сможете без усилий определять полосу пропускания для каждого входящего соединения, дабы желающие скачать у вас новый фильм не перекрыли доступ в Сеть вам самому, полностью забив линию связи. Кроме того, FTP-серверы обычно позволяют создавать учётные записи пользователей, разрешать или запрещать анонимный доступ, устанавливать ограничения времени работы и числа потоков. Можно даже установить правило, согласно которому удалённый пользователь, чтобы получить возможность скачивания, обязан будет сначала загрузить некий объём файлов на ваш диск! Одним из самых популярных FTP-серверов считается Serv-U [27].

Таким образом, доступ к локальным файлам из сети мы обеспечили. Теперь надо позаботиться о том, чтобы это не вышло нам боком. Первым делом проследите, чтобы в вашей системе не было зарегистрировано лишних пользователей. Для этого в диалоге «Управление компьютером» («Computer Management») на вкладке пользователей («Local Users and Groups» → «Users») нужно заблокировать учётную запись Гостя, если в ней нет необходимости, а стандартную «секретную» учётную запись типа SUPPORT_586975a0 вообще удалить. Последняя встроена в систему для того, чтобы вы могли получить удалённую помощь от службы технической поддержки, имеет админис­тративные привилегии, а потому является потенциально опасной. Вообще говоря, работать в Интернете и локальной сети безопаснее из-под учётной записи с ограниченными правами. Далее, ещё раз запустив оснастку «Локальная политика безопасности» («Local Security Settings», файл secpol.msc), откройте диалог «Параметры безопасности» → «Локальные политики» → «Назначение прав пользователя» («Security settings» → «Local Policies» → «User Rights Assignments») и обратите внимание на такие параметры, как «Access this computer from the network», «Allow logon through Terminal Services», «Deny access to this computer from the network», «Deny logon locally», «Deny logon through Terminal Services», «Log on locally» — разобраться, что они означают, совсем не сложно. В идеале необходимо проштудировать вообще все параметры оснасток secpol.msc и gpedit.msc — благодаря им можно существенно повысить устойчивость системы к внешним атакам. Например, для конкретного пользователя можно разрешить удалённый доступ к ресурсам ПК, одно­временно запретив локальный вход, чтобы излишне любопытный коллега по работе не смог загрузить ваш ПК, пока вы пьёте кофе в столовой. Для этого измените значение параметра «Deny logon locally» таким образом, чтобы в списке локально заблоки­рованных учётных записей оказался и выбранный пользователь (имя пользователя либо выбирайте из списка «Add User or Group» → «Advanced» → «Find», либо вводите в виде «Имя компьютера \ Имя пользователя»). В этом же меню можно проделать и обратную процедуру — запретить определённым пользователям доступ из сети — за это отвечает параметр «Deny access to this computer from the network».

Далее обратите внимание на то, что после каждой загрузки система авто­мати­чески открывает скрытый доступ к локальным дискам компьютера (С:, D:) для пользователей, входящих в группу Администраторов. Если необходимости в этих системных ресурсах нет (уточните у администратора сети, если таковой имеется), то вполне допускается запретить их создание, для чего нужно в разделе реестра HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters установить равным 0 параметр AutoShareServer (типа REG_DWORD) для сервера (то есть Windows 2000/2003 Server) или параметр AutoShareWks для рабочей станции (Windows XP). Эту операцию можно осуществить и с помощью редактора системных политик (System Policy Editor — POLEDIT.EXE) — за управление скрытыми ресурсами общего доступа отвечает параметр «Windows NT» → «Network» → «Sharing» → «Create Hidden Drive Shares». Правда, отключение этих ресурсов иногда вызывает проблемы (например, появляется сообщение об ошибке «The RPC Service is not available.»), поэтому в случае осложнений попробуйте вернуть всё на свои места.

Следующий этап — защита паролей учётных записей. Достаточно дать злоумышленнику подсмотреть через плечо ваш пароль или перехватить его по сети, как все усилия по защите системы будут сведены на нет: заходи кто хочешь, бери что хочешь. В домашней много­пользова­тельской конфигурации хорошей превентивной мерой защиты пароля будет висящий на видном месте ремень. Если же ваше чадо несмотря на все предосте­режения проявит себя заправским хакером, то наилучшей реакцией будет порадоваться над тем, как хорошо он изучил внутреннее устройство операционной системы. В рабочей же сети последствия взлома пароля могут оказаться гораздо серьёзнее. Если говорить коротко, то обязательно выбирайте для своей учётной записи очень длинный пароль — более 14 знаков. Например, строку из любимого стихо­творения, причем лучше вводить её кирилли­ческими символами. Ни в коем случае это не должно быть одно слово — по словарю подобные пароли вскрываются за секунды. Если же вас интересуют подробности, то обязательно изучите статью [28] о методах взлома и защиты Windows 2000/XP. И, наконец, просто блокируйте компьютер, когда теряете его из виду: либо нажмите клавиши Win+L — появится Welcome Screen, либо используйте такой ярлык:

%SystemRoot%\system32\rundll32.exe USER32.DLL,LockWorkStation

Конфиденциальные данные

Самое сложное, если ваш ПК, вернее, хранящаяся на нём информация действительно представляет какой-то интерес для третьих лиц. Дело в том, что говорить о какой-то серьёзной защите Windows XP можно только в том случае, если у злоумышленников нет физического доступа к компьютеру. Например, вне зависимости от прав доступа к файлам, паролей и разграничения привилегий любая информация из разделов NTFS может быть считана с помощью элементарной программы NTFS For DOS [29] или загрузочного диска ERD Commander от того же производителя. В конце концов, можно просто вытащить жёсткий диск и препарировать его в спокойной обстановке. Частично от этого спасает шифрование важных файлов средствами самой NTFS (вернее — EFS), однако уже существуют несколько программ, позволяющих при ряде условий декодировать такие файлы (например, Advanced EFS Data Recovery [30]). Кроме того, даже если вы зашифруете папку «Мои документы», то информация из конфиден­циальных файлов может оказаться во временных файлах, файле hyberfil.sys, создаваемом при переходе ПК в спящий режим, или в файле подкачки. Конечно, от спящего режима можно отказаться, своп-файл можно заставить обнуляться при выключении компьютера, если прописать в разделе реестра HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management параметр ClearPageFileAtShutdown типа DWORD со значением 1, а для удаления временных файлов написать небольшой скрипт или bat-файл. Но, по слухам, уже существуют методы восстановления информации на диске по следам остаточной намагниченности «блинов» винчестера. Впрочем, средство для борьбы с восстановлением удаленных файлов тоже имеется, это, например, утилиты типа Kremlin [31], затирающие файлы в несколько проходов.

Но всё это слишком неудобно. Поэтому, если не требуется профессио­нальная, сертифи­цированная система защиты, то оптимальный результат для защиты SOHO-систем будет при шифровании всего системного диска, а не отдельных файлов. Шифрованная файловая система EFS из состава Windows для этого не подходит, так как не способна закриптовать системные файлы, а программы, работающие с виртуальными контейнерами или логическими дисками, скорее всего, оставят без внимания файл виртуальной памяти и временные файлы. Одна из лучших программ, работающих начиная с этапа загрузки компьютера и шифрующая целиком системный жёсткий диск — DriveCrypt Plus Pack [32]. Кроме того, она имеет встроенную защиту против подбора пароля, клавиатурных шпионов и троянских вирусов. Если же такой уровень защиты вы считаете излишним, то попробуйте что-нибудь ещё, например, тот же PGP [33] или программы от Steganos [34].

Макси­мальную же степень защиты информации SOHO-систем обеспечивают, пожалуй, аппаратные средства типа специали­зированных контроллеров дисков, способных шифровать «на лету» любые данные, записываемые на жёсткий диск. На российском рынке наибольшее распрос­транение получили шифрующие устройства семейства КРИПТОН. Это и платы шифрующих дисковых контроллеров, и различные замки, и их программные аналоги-эмуляторы, и сетевые карты и шифрующие маршрутизаторы. Устройства КРИПТОН разработаны и производятся компанией АНКАД [35], и реализуют крипто­графический алгоритм ГОСТ 28147-89 «Системы обработки информации. Защита крипто­графическая. Алгоритмы крипто­графического преобразования». Большинство из них сертифи­цированы ФАПСИ. Самой последний аппаратный шифро­процессор — плата «Криптон-9/PCI» — позволяет шифровать информацию на лету при скорости 10 МБ/c! Выполнены такие устройства в виде плат расширения ISA или PCI, продаются достаточно свободно, и использовать их может любое предприятие, заботящееся о безопасности своих данных. Конечно, существуют и другие средства защиты от несанкцио­нированного доступа, подробнее о них можно узнать, например, на сайте «Защита Информации» [36].

Настройка параметров безопасности Windows XP — не самое трудо­ёмкое занятие, правда, требующее от пользователя хотя бы мини­мального уровня подготовки. В этом вопросе нельзя добиться успеха, не понимая, что делаешь. Но зато как наглядно проявляется эффект от качественно защищённой Windows в случае глобальных вирусных эпидемий, поражающих компьютеры менее преду­смотри­тельных пользователей!..