Безопасность Windows XP: защити себя сам!

Никогда ещё средства массовой информации не уделяли столько внимания вопросам безопасности современных операционных систем, как сейчас. Более того, в свете последних событий, а именно лавинообразного роста обнаруженных уязвимостей в наиболее распространённом программном обеспечении и операционных системах, разработчики стали серьёзно задумываться о том, что в борьбе за безопасность пользователь, как ни странно, не всегда является их союзником. Судите сами, была ли б возможна глобальная эпидемия вирусов типа MSBlast, если бы сами пользователи с должной ответственностью относились к защите своих компьютеров? А ведь мало того, что «заплатка», устраняющая брешь DCOM в Windows XP, появилась гораздо раньше, чем по всей Сети расползлись использующие её вирусы, так ведь и самые банальные файерволлы и антивирусы могли бы надёжно защитить от проникновения в систему подобных интернет-червей. То есть существовало как минимум три разных способа защиты от MSBlast! Так, может быть, есть смысл вообще отстранить безалаберного пользователя от управления безопасностью системы?

На прошедшей недавно в Лос-Анджелесе конференции Microsoft для профессиональных разработчиков (PDC) Билл Гейтс ещё раз подчеркнул, что именно безопасность станет для его компании приоритетной задачей на ближайшие годы. И сообщил, что во втором пакете обновлений SP2 для Windows XP предполагается внедрить функцию автоматического включения брандмауэра при запуске таких интернет-приложений, как браузер или почтовый клиент. Если так пойдёт и дальше, то очень скоро в систему будут интегрированы неотключаемые антивирусы и отказаться от автоматической закачки многомегабайтных патчей станет невозможно… А что ещё прикажете делать, если для пользователя безопасность — дело десятое?

Каких-то универсальных рекомендаций по настройке безопасности не существует. Эта проблема слишком сильно связана с задачами, выполняемыми на том или ином конкретном компьютере. На мой взгляд, при настройке домашних и офисных систем можно выделить пять основных конфигураций, настройки безопасности которых коренным образом различаются (в порядке ужесточения требований):

• одиночный пользователь;
• многопользовательская конфигурация;
• наличие подключения к Интернету;
• наличие подключения к локальной сети;
• наличие строго конфиденциальной информации.

При этом, если ваша конфигурация подпадает сразу под две категории — например, вы одиночный пользователь, имеющий подключение к Интернету — то все настройки следует производить согласно наиболее жёсткому сценарию, равному сумме настроек обеих категорий.

Одиночный пользователь

Даже в наше время повсеместного распространения интернет-технологий и передачи данных посредством мобильных телефонов (GPRS) пользователь ПК, не подключённый к Мировой Паутине — далеко не редкость. Кто-то ещё просто не осознал необходимость и неизбежность вовлечения в глобальный информационный поток, а до кого-то в нашей умом непонятной стране ещё даже не дошло счастье обычной проводной телефонизации. При таком раскладе задача обеспечения безопасности, как ни странно, сводится только к обеспечению защиты операционной системы от этого самого одиночного пользователя. Если нет Интернета или локальной сети, то никакой хакер в вашу систему не проникнет. Если нет других пользователей, то никто не подсмотрит ваши приватные файлы. Если нет документов «двойной» бухгалтерской отчётности, то «маски-шоу» вам не грозит. От чего же в таком случае надо защищаться? Только от собственных необдуманных и неосторожных действий. Уничтожить плоды своего многомесячного труда проще простого — достаточно вставить в дисковод чужую дискету с заражённым макро-вирусом документом или запустить купленный в ближайшем ларьке пиратский компакт-диск с каким-нибудь очередным «Чихом», перезаписывающим BIOS мусорными байтами.

Таким образом, главная задача одиночного пользователя — не допустить проникновения в систему вирусов. Решение её, казалось бы, элементарное — установил антивирус и спи спокойно… Но мы ведь условились, что Интернета у нас пока нет, а как без него обновлять антивирусные базы? Окажись хитрый вирус хотя бы на один день более «свежим», чем имеющиеся базы «Касперского» или DrWeb, и пиши пропало… Конечно, если есть хороший приятель, у которого можно хотя бы раз в неделю разжиться обновлениями антивируса, то проблема практически снимается, например, для антивируса Касперского достаточно скопировать папку C:\Program Files\ Common Files\ KAV Shared Files\ Bases, а для DrWeb можно просто взять всю директорию C:\Program Files\DrWeb (разумеется, свои лицензионные файлы необходимо оставить). Если же ситуация такова, что до Сети добраться невозможно ни в каком виде, и даже интернет-кафе на горизонте не наблюдается, то выход один. Вернее — два, которые в обязательном порядке должны дополнять друг друга. А именно — включение эвристического анализа в настройках антивируса (очень требовательная к ресурсам штука…) и полный бекап (резервное копирование) системы. В этом случае появляется шанс, что антивирус благодаря своим интеллектуальным возможностям вовремя выявит отсутствующую в его базе инфекцию, а если такое и не произойдёт, то останется хотя бы возможность восстановить важные документы, а то и всю ОС из своевременно сделанной резервной копии. К тому же, при этом вы оказываетесь защищены и от других видов разрушения ОС, связанных, например, с установкой некачественных программ. Только учтите, что делать резервные копии на том же самом жёстком диске бессмысленно — в случае заражения они с такой же лёгкостью окажутся «убиты», как и основная система. Всё самое важное копируйте на CD-RW (или DVD), например, раз в неделю, а также после серьёзных изменений в важных документах, перед тем, как установить в ПК чужой носитель, новый компакт-диск, перед инсталляцией программного обеспечения. И всегда помните, что уничтожить ваши данные способен не только вирус, но и сбой электропитания, жёсткого диска или даже некачественный модуль оперативной памяти. Если на вашем ПК есть хоть что-то, что жаль потерять, будь то докторская диссертация или «сейвы» GTA Vice City, то это обязательно надо сохранять на сменных носителях. Программ для резервного копирования множество, например, создание полной копии жёсткого диска возможно с помощью таких утилит, как:

• Norton Ghost,
• Paragon Drive Backup,
• PowerQuest Drive Image Pro.

Вторая задача, которая обычно встаёт перед одиночным пользователем, не менее странная. А именно — защита самого пользователя от излишней опеки со стороны операционной системы. Дело в том, что изначальные настройки Windows XP нацелены на какой-то усредненный вариант конфигурации ОС. А потому в них изначально задействованы механизмы безопасности, подчас совершенно излишние при отсутствии многопользовательского режима или интернет-соединения. Всё это только доставляет пользователю немало лишних неудобств, а потому снижает эффективность его работы за компьютером. Например, нужна ли вам аутентификация пользователя, если кроме вас к ПК больше никто не подходит? Чтобы избавиться от процедуры ввода пароля при загрузке Windows, можно, например, сделать автоматический ввод пароля с помощью утилиты TweakUI — вкладка «Logon». Вручную же для этого следует в разделе реестра HKEY_LOCAL_MACHINE\ Software\ Microsoft\ WindowsNT\ CurrentVersion\ WinLogon\ задать параметры строкового типа (REG_SZ):

• "AutoAdminLogon"="1"
• "DefaultUserName"=Имя
• "DefaultPassword"=Пароль

Можно также вообще отключить использование пароля. В Windows XP для этого следует в меню «Панель Управления» — «Учетные записи пользователей» — «Изменение учетной записи» — [имя пользователя] выбрать пункт «Удаление пароля» («Control Panel» — «User Accounts» — «Change an Account» — «Remove my password»). А чтобы избавиться ещё и от необходимости нажимать клавиши CTRL-ALT-DEL при загрузке ПК, откройте диалог «Панель управления» — «Администрирование» — «Локальная политика безопасности» — «Параметры безопасности» («Control Panel» — «Administrative Tools» — «Local Security Policy» — «Local Policies» — «Security Options») и установите параметр «Interactive logon: Do not require CTRL+ALT+DEL» в положение «Enabled».

От использования файловой системы NTFS также вполне можно отказаться, поскольку её основное предназначение — разграничение пользовательских полномочий — останется невостребованным. Зато при наличии более лёгкой FAT32 становится гораздо удобнее прямо из-под MS-DOS делать резервные копии реестра и восстанавливать «упавшую» систему.

Многопользовательская конфигурация

Операционные системы семейства Windows NT — это, в первую очередь, многопользовательские системы, задача которых — грамотное разделение прав доступа. В таких системах необходимо полностью исключить ситуацию, когда один пользователь имеет шанс каким-то образом навредить другому: прочитать чужой документ или изменить настройки чужой конфигурации. Поэтому в таких системах применение нескольких учётных записей с разными полномочиями и файловой системы NTFS обсуждению не подлежит. Для каждого пользователя необходимо завести специальную «рабочую» учётную запись с минимальными привилегиями, например, входящую в группу «Пользователи» — именно под этими записями все и будут осуществлять повседневную работу. В качестве же Администратора (им назначается наиболее ответственный и знающий товарищ) можно регистрироваться в системе только по особым случаям — при установке нового ПО, например.

Также необходимо, используя возможности NTFS, жёстко разграничить документы, к которым имеют доступ пользователи. Тут есть два варианта — можно каждому пользователю выделить отдельную папку (подойдёт даже стандартная «Мои документы»), полностью закрыв к ней доступ для других пользователей. А можно сделать на диске несколько разделов, по числу пользователей, и также назначить соответствующие права. При этом получится даже некоторая разновидность квотирования дискового пространства — каждый будет ограничен объёмом выделенного лично ему раздела, с которым сможет делать что угодно, не рискуя нанести ущерб другим пользователям. А чтобы чужие разделы не мозолили глаза, их можно ещё и скрыть с помощью известной утилиты TweakUI. Установите также права доступа к папкам таким образом, чтобы обычные пользователи не могли изменять содержимое директорий WinNT и Program Files (исключением могут быть отдельные файлы с настройками пользовательских программ) — к системным файлам полный доступ должен иметь только Администратор.

В Windows XP Home, к сожалению, отсутствует возможность удобного назначения прав доступа к папкам и файлам — там для этого придётся прибегать к консольным программам типа cacls.exe. Даже в Windows XP Pro для нормальной работы с правами доступа придётся совершить дополнительные телодвижения — вернуть к «нормальному» виду закладку «Доступ» («Sharing») в свойствах папок и вкладку «Безопасность» («Security») на томах NTFS. Для этого надо в свойствах папок («Folder Options») на странице «Вид» («View») снять флажок «Использовать простой общий доступ к файлам (рекомендуется)» («Use simple file sharing (Recommended)»).

Кроме того, создано немало утилит для ещё большего ужесточения политики разграничения полномочий, например, программа DeviceLock позволяет закрывать отдельным индивидуумам даже доступ к определённым устройствам, вплоть до WiFi и Bluetooth.

Вообще же, если в системе зарегистрирован пользователь, откровенно не разбирающийся в Windows или, наоборот, желающий самолично поковыряться в её внутренностях, невзирая на последствия для её жизнедеятельности, то необходимо уделить должное внимание и запрету изменения настроек Windows. И тут как нельзя лучше подходят всевозможные программы-твикеры, которые умеют «прятать» от неблагонадёжного пользователя почти все апплеты Панели Управления, а также вкладки и команды различных меню, например — WinBoost или бесплатный X-Tech Setup. Имеются и программы, созданные специально для этого, например, XP Protector, Security Administrator. И, разумеется, не стоит забывать о стандартных, чуть менее удобных, чем специализированные «твикеры», оснастках — Редакторе групповых политик (Group Policy Editor) (gpedit.msc) и Редакторе Политик Безопасности (secpol.msc): при настройке системы надо пройти буквально по каждому пункту этих программ.

При наличии нескольких пользовательских профилей нелишним будет организовать и автоматическую зачистку временных файлов, поскольку Windows и программы для неё оставляют на диске слишком много следов, которые могут содержать приватную информацию. Для этого неплохо подходит программа Evidence Eliminator. Впрочем, частично чистить следы на диске и в реестре умеет и почти стандартная утилита TweakUI, но её возможности гораздо скромнее.

Интернет

При подключении к Интернету кардинально меняется вся политика безопасности, так как основная угроза теперь исходит из Сети. Даже если информация на вашем ПК не представляет серьёзного интереса для кого-то постороннего, всё равно угроза потери важных для вас файлов или вывода Windows из строя будет иметь место. Если и не найдётся хакера, позарившегося на ваши файлы, то уж безмозглых интернет-червей, эксплуатирующих многочисленные уязвимости ОС — пруд пруди. Поэтому главными условиями защиты любого веб-серфера являются своевременная установка сервис-паков и «горячих» обновлений Windows и прикладных программ, а также качественный и хорошо настроенный файерволл.

В качестве файерволла можно попробовать такие продукты:

• Sygate Personal Firewall,
• BlackICE PC Protection,
• Zone Alarm,
• McAfee Personal Firewall,
• Outpost,
• Norton Internet Security,
• Kaspersky Anti-Hacker.

Причём файерволл надо включить ещё до первого выхода в Сеть, так как в противном случае (если не установлен соответствующий патч) высок риск оказаться поражённым тем самым MSBlast, перегружающим компьютер спустя пару минут после подключения к Интернету. Подобные вирусы просто не дадут вам скачать файерволл и заплатки к ОС! Кстати говоря, патч от уязвимости DCOM не всегда устанавливается удачно, а потому рекомендуется проверить свою систему специальной утилитой DCOMbobulator — она точно покажет, уязвим ли ваш ПК, и поможет закрыть эту брешь в защите.

К счастью, в Windows XP уже встроен простейший файерволл, и на начальном этапе его будет достаточно — главное не забыть его активировать. В общем же случае брандмауэр должен блокировать весь входящий трафик через порты 69, 4444, 135, 137, 138 и 139 — именно благодаря им злоумышленникам и интернет-червям удаётся получить доступ к вашим файлам. Крайне желательно, чтобы файерволл ещё умел блокировать и потенциально опасное активное содержимое веб-страниц: JAVA-апплеты и элементы ActiveX. Качество же настройки персонального файерволла можно проверить с помощью специальных сайтов:

• grc.com/default.htm
• security2.norton.com/us/intro.asp?venid=sym&langid=us
• http://www.dslreports.com/scan/
• scan.sygatetech.com

Эти сайты просканируют ваши порты в поисках возможных брешей в системе безопасности. Но процесс этот довольно длительный, особенно при не очень хорошей связи.

Ещё больше в борьбе с хакерами поможет использование прокси-сервера (хотя бы даже прокси интернет-провайдера) или программ-анонимайзеров типа AntiFirewall, которая надёжно скроет ваш истинный IP-адрес, даже если вы будете активно использовать такие подверженные атакам приложения, как ICQ и IRC. Вообще тема защиты тайны частной жизни — privacy — заслуживает особого внимания, а потому рекомендую специальную статью: «Конспирация…». Из неё вы узнаете, почему и как нужно скрывать свой IP-адрес, и чем вообще может грозить рядовому пользователю подключение к Интернету.

Не менее важно для защиты от вторжения из Сети отключить неиспользуемые службы, особенно Сервер (Server), Телнет (Telnet), Службу терминалов (Terminal Services), Службу удалённого управления реестром (Remote Registry Service), Узел универсальных PnP-устройств (Universal Plug and Play Device Host), Службу обнаружения SSDP (SSDP Discovery Service), Службу сообщений (Messenger Service), Модуль поддержки NetBIOS через TCP/IP (TCP/IP NetBIOS Helper) — тем самым вы исключите возможность подключения к вашему ПК с их помощью.

Кроме того, в свойствах модемного соединения необходимо удалить все лишние протоколы, оставив только TCP/IP. В свойствах же самого TCP/IP (Properties — General — Advanced — WINS) установите переключатель «NetBIOS setting» в положение «Disable NetBIOS over TSP/IP».

Можно несколько усилить защиту и Internet Explorer, если в его настройках «Свойства обозревателя» — «Безопасность» («Internet Options» — «Security») сначала установить параметры для всех зон в положение по умолчанию («Default»), а затем для зоны Internet немного ужесточить правила — нажать кнопку «Custom Level» и, например, по всем параметрам, касающимся активного содержимого веб-страниц, установить переключатели в положение «Prompt». Это особенно важно, если используется встроенный файерволл Windows XP, или ваш файерволл не способен блокировать активное содержимое веб-страниц.

Почему надо блокировать активное содержимое веб-страниц

В Internet Explorer существует, и до последнего момента не была прикрыта уязвимость, определяемая антивирусами как Exploit.CodeBaseExec. Эта уязвимость позволяет запускать любые программы, расположенные на ПК пользователя, открывшего веб-страничку с нехитрым кодом. Чтобы проверить, подвержен ли ваш ПК такой атаке, создайте простейший html-файл с таким содержанием:

<html>
<span datasrc="#oExec" datafld="exploit" dataformatas="html"></span><xml id="oExec">
<security>
<exploit>
<![CDATA[
<object id="oFile" classid="clsid:11111111-1111-1111-1111-111111111111" codebase="c:/windows/notepad.exe"></object>
]]>
</exploit>
</security>
</xml>
</html>

Если спустя несколько секунд после его открытия в Internet Explorer сам собой запустится Блокнот, то ваш ПК уязвим. Антивирусы выявляют такой код и, возможно, не дадут ему запуститься. Если же вы хотите повысить уровень защиты самого IE от подобных атак, то в реестре установите такой параметр:

HKEY_CURRENT_USER\ SOFTWARE\ Microsoft\ Windows\ CurrentVersion\ Internet Settings\ Zones\0
"1004"=dword:00000001

После этого при попытке запуска потенциально опасного скрипта будет выдаваться запрос к пользователю.

Локальная сеть

При работе в составе локальной сети, особенно если к вашему ПК имеют физический доступ другие лица, возникают две дополнительные, но противоречащие друг другу задачи: предотвратить несанкционированный доступ к своим приватным документам и обеспечить удалённым пользователям возможность работы с файлами, которые вы хотите выложить на всеобщее обозрение. Для решения этой проблемы обычно используют возможности NTFS по разграничению прав пользователей. То есть на своём ПК необходимо завести несколько учётных записей удалённых пользователей и разрешить им доступ из сети к разделённым (Shared) ресурсам. Разумеется, эти самые ресурсы общего пользования необходимо задать очень чётко, чтобы случайно не открыть на обозрение всей сети диск C: или папку «Мои документы». Для этого в свойствах предназначенной для «зашаривания» папки надо выбрать вкладку «Доступ» («Sharing»), отметить опцию «Открыть общий доступ к этой папке» («Share this folder») и затем на вкладке «Безопасность» («Security») указать, каким учётным записям или группам пользователей разрешается работать с файлами этой папки — читать, изменять и так далее. Лучше всего, если вы ограничите круг пользователей, которым разрешён доступ. Если же необходимо сделать так, чтобы папка была доступна всей сети, то можно разблокировать учётную запись Гостя и в свойствах этой папки установить соответствующие разрешения. Учтите только, что изначально в Windows XP Pro для повышения безопасности учётная запись Гостя (Guest) заблокирована не только в диалоге «Управление компьютером» — «Локальные пользователи и группы» — «Пользователи» («Computer Management» — «Local Users and Groups» — «Users»). Необходимо ещё снять блокировку в диалоге «Панель управления» — «Администрирование» — «Локальная политика безопасности» — «Параметры безопасности» — «Локальные политики» — «Назначение прав пользователя» («Control Panel» — «Administrative tools» — «Local Security settings» — «Security settings» — «Local Policies» — «User Rights Assignments»): щёлкнув на строке «Отказ в доступе к компьютеру из сети» («Deny access to this computer from the network»), удалите из списка заблокированных пользователей учётную запись Гостя.

Кроме того, в Windows XP появилась новая системная папка «Общие документы» («Shared Documents») — если в неё переместить мышью какой-либо файл или папку, то они станут доступны из сети. Если же вам не нравится эта опция, и вы хотите сами контролировать ресурсы общего пользования, то просто удалите раздел реестра HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows\ CurrentVersion\ Explorer\ MyComputer\ NameSpace\ DelegateFolders\ {59031a47-3f72-44a7-89c5-5595fe6b30ee} — папка «Shared Documents» после перезагрузки исчезнет.

Такой метод работы с разделяемыми ресурсами наиболее приемлем в локальных сетях небольших предприятий (если у вас на работе имеется администратор, то предоставьте все настройки ему). Главный же его недостаток состоит в том, что приходится открывать порты NetBIOS, чем частично дезавуировать настройки безопасности, рекомендуемые при работе с Интернетом. То есть для IP-адресов локальной сети придётся открывать те самые порты 137, 138 и 139. При этом нужно добиться того, чтобы эти порты были закрыты для доступа из Интернета. Далеко не каждый файерволл позволяет удобно разграничить правила, применяемые для внешних адресов и для внутренних. Возможно, наиболее удачно это реализовано в новом Norton Internet Security 2004 — там наряду с удобным мастером настройки локальной сети появилась возможность создания совершенно независимых профилей настроек, применяемых в зависимости от ситуации — для дома один профиль, для рабочей LAN — другой. Но в любом случае грамотно настроить систему не очень просто. К тому же, совсем не факт, что во внутренней сети не найдётся любителя поискать прорехи в защите вашего ПК.

Если же вы хотите обмениваться файлами в городской или «подъездной» LAN, то наиболее безопасным и простым в настройке будет отказ от инструментов Windows и переход на использование FTP-сервера. При этом вы не только запретите стандартный File Sharing, но и сможете без усилий определять полосу пропускания для каждого входящего соединения, дабы желающие скачать у вас новый фильм не перекрыли доступ в Сеть вам самому, полностью забив линию связи. Кроме того, FTP-серверы обычно позволяют создавать учётные записи пользователей, разрешать или запрещать анонимный доступ, устанавливать ограничения времени работы и числа потоков. Можно даже установить правило, согласно которому удаленный пользователь, чтобы получить возможность скачивания, обязан будет сначала загрузить некий объем файлов на ваш диск! Одним из самых популярных FTP-серверов считается Serv-U.

Таким образом, доступ к локальным файлам из сети мы обеспечили. Теперь надо позаботиться о том, чтобы это не вышло нам боком. Первым делом проследите, чтобы в вашей системе не было зарегистрировано лишних пользователей. Для этого в диалоге «Управление компьютером» («Computer Management») на вкладке пользователей («Local Users and Groups» — «Users») нужно заблокировать учётную запись Гостя, если в ней нет необходимости, а стандартную «секретную» учётную запись типа SUPPORT_586975a0 вообще удалить. Последняя встроена в систему для того, чтобы вы могли получить удалённую помощь от службы технической поддержки, имеет административные привилегии, а потому является потенциально опасной. Вообще говоря, работать в Интернете и локальной сети безопаснее из-под учётной записи с ограниченными правами. Далее, ещё раз запустив оснастку «Локальная политика безопасности» («Local Security Settings», файл secpol.msc), откройте диалог «Параметры безопасности» — «Локальные политики» — «Назначение прав пользователя» («Security settings» — «Local Policies» — «User Rights Assignments») и обратите внимание на такие параметры, как «Access this computer from the network», «Allow logon through Terminal Services», «Deny access to this computer from the network», «Deny logon locally», «Deny logon through Terminal Services», «Log on locally» — разобраться, что они означают, совсем не сложно. В идеале необходимо проштудировать вообще все параметры оснасток secpol.msc и gpedit.msc — благодаря им можно существенно повысить устойчивость системы к внешним атакам. Например, для конкретного пользователя можно разрешить удалённый доступ к ресурсам ПК, одновременно запретив локальный вход, чтобы излишне любопытный коллега по работе не смог загрузить ваш ПК, пока вы пьёте кофе в столовой. Для этого измените значение параметра «Deny logon locally» таким образом, чтобы в списке локально заблокированных учётных записей оказался и выбранный пользователь (имя пользователя либо выбирайте из списка «Add User or Group» — «Advanced» — «Find», либо вводите в виде Имя компьютера \ Имя пользователя). В этом же меню можно проделать и обратную процедуру — запретить определённым пользователям доступ из сети — за это отвечает параметр «Deny access to this computer from the network».

Далее обратите внимание на то, что после каждой загрузки система автоматически открывает скрытый доступ к локальным дискам компьютера (С:, D:) для пользователей, входящих в группу Администраторов. Если необходимости в этих системных ресурсах нет (уточните у администратора сети, если таковой имеется), то вполне допускается запретить их создание, для чего нужно в разделе реестра HKEY_LOCAL_MACHINE\ SYSTEM\ CurrentControlSet\ Services\ LanmanServer\ Parameters установить равным «0» параметр «AutoShareServer» (типа REG_DWORD) для сервера (то есть Windows 2000/2003 Server) или параметр «AutoShareWks» для рабочей станции (Windows XP). Эту операцию можно осуществить и с помощью редактора системных политик (System Policy Editor — POLEDIT.EXE) — за управление скрытыми ресурсами общего доступа отвечает параметр «Windows NT» — «Network» — «Sharing» — «Create Hidden Drive Shares». Правда, отключение этих ресурсов иногда вызывает проблемы (например, появляется сообщение об ошибке «The RPC Service is not available.»), поэтому в случае осложнений попробуйте вернуть всё на свои места.

Следующий этап — защита паролей учётных записей. Достаточно дать злоумышленнику подсмотреть через плечо ваш пароль или перехватить его по сети, как все усилия по защите системы будут сведены на нет: заходи кто хочешь, бери что хочешь. В домашней многопользовательской конфигурации хорошей превентивной мерой защиты пароля будет висящий на видном месте ремень. Если же ваше чадо несмотря на все предостережения проявит себя заправским хакером, то наилучшей реакцией будет порадоваться над тем, как хорошо он изучил внутреннее устройство операционной системы. В рабочей же сети последствия взлома пароля могут оказаться гораздо серьёзнее. Если говорить коротко, то обязательно выбирайте для своей учётной записи очень длинный пароль — более 14 знаков. Например, строку из любимого стихотворения, причем лучше вводить её кириллическими символами. Ни в коем случае это не должно быть одно слово — по словарю подобные пароли вскрываются за секунды. Если же вас интересуют подробности, то обязательно изучите статью о методах взлома и защиты Windows 2000/XP. И, наконец, просто блокируйте компьютер, когда теряете его из виду: либо нажмите клавиши Win+L — появится Welcome Screen, либо используйте такой ярлык:

%SystemRoot%\system32\rundll32.exe USER32.DLL,LockWorkStation

Конфиденциальные данные

Самое сложное, если ваш ПК, вернее, хранящаяся на нём информация действительно представляет какой-то интерес для третьих лиц. Дело в том, что говорить о какой-то серьёзной защите Windows XP можно только в том случае, если у злоумышленников нет физического доступа к компьютеру. Например, вне зависимости от прав доступа к файлам, паролей и разграничения привилегий любая информация из разделов NTFS может быть считана с помощью элементарной программы NTFS For DOS или загрузочного диска ERD Commander от того же производителя. В конце концов, можно просто вытащить жёсткий диск и препарировать его в спокойной обстановке. Частично от этого спасает шифрование важных файлов средствами самой NTFS (вернее — EFS), однако, уже существуют несколько программ, позволяющих при ряде условий декодировать такие файлы (например, Advanced EFS Data Recovery). Кроме того, даже если вы зашифруете папку Мои документы, то информация из конфиденциальных файлов может оказаться во временных файлах, файле hyberfil.sys, создаваемом при переходе ПК в спящий режим, или в файле подкачки. Конечно, от спящего режима можно отказаться, своп-файл можно заставить обнуляться при выключении компьютера, если прописать в разделе реестра HKEY_LOCAL_MACHINE\ SYSTEM\ CurrentControlSet\ Control\ Session Manager\ Memory Management параметр «ClearPageFileAtShutdown» типа DWORD со значением «1», а для удаления временных файлов написать небольшой скрипт или bat-файл. Но, по слухам, уже существуют методы восстановления информации на диске по следам остаточной намагниченности «блинов» винчестера. Впрочем, средство для борьбы с восстановлением удаленных файлов тоже имеется, это, например, утилиты типа Kremlin, затирающие файлы в несколько проходов.

Но всё это слишком неудобно. Поэтому, если не требуется профессиональная, сертифицированная система защиты, то оптимальный результат для защиты SOHO-систем будет при шифровании всего системного диска, а не отдельных файлов. Шифрованная файловая система EFS из состава Windows для этого не подходит, так как не способна закриптовать системные файлы, а программы, работающие с виртуальными контейнерами или логическими дисками, скорее всего, оставят без внимания файл виртуальной памяти и временные файлы. Одна из лучших программ, работающих начиная с этапа загрузки компьютера и шифрующая целиком системный жёсткий диск — DriveCrypt Plus Pack. Кроме того, она имеет встроенную защиту против подбора пароля, клавиатурных шпионов и троянских вирусов. Если же такой уровень защиты вы считаете излишним, то попробуйте что-нибудь ещё, например, тот же PGP или программы от Steganos.

Максимальную же степень защиты информации SOHO-систем обеспечивают, пожалуй, аппаратные средства типа специализированных контроллеров дисков, способных шифровать «на лету» любые данные, записываемые на жёсткий диск. На российском рынке наибольшее распространение получили шифрующие устройства семейства КРИПТОН. Это и платы шифрующих дисковых контроллеров, и различные замки, и их программные аналоги-эмуляторы, и сетевые карты и шифрующие маршрутизаторы. Устройства КРИПТОН разработаны и производятся компанией АНКАД, и реализуют криптографический алгоритм ГОСТ 28147-89 «Системы обработки информации. Защита криптографическая. Алгоритмы криптографического преобразования». Большинство из них сертифицированы ФАПСИ. Самой последний аппаратный шифропроцессор — плата «Криптон-9/PCI» — позволяет шифровать информацию на лету при скорости 10 МБ/c! Выполнены такие устройства в виде плат расширения ISA или PCI, продаются достаточно свободно, и использовать их может любое предприятие, заботящееся о безопасности своих данных. Конечно, существуют и другие средства защиты от несанкционированного доступа, подробнее о них можно узнать, например, на сайте «Защита Информации».

Настройка параметров безопасности Windows XP — не самое трудоёмкое занятие, правда, требующее от пользователя хотя бы минимального уровня подготовки. В этом вопросе нельзя добиться успеха, не понимая, что делаешь. Но зато как наглядно проявляется эффект от качественно защищённой Windows в случае глобальных вирусных эпидемий, поражающих компьютеры менее предусмотрительных пользователей!..