 |
| Wynik działania aplikacji Ransomware Impact Analyzer |
Niestety ilość wydanych pieniędzy nie przekłada się liniowo na wzrost bezpieczeństwa. Czasami dobrze skonfigurowane reguły na firewallu windowsowym mogą sprawdzić się lepiej niż nieskonfigurowany firewall kupiony za znaczne pieniądze. Podobnie rzecz się ma z antywirusem.
Ale jak można sprawdzić, czy system jest bezpieczny?
Nawet zawodowy admin po skonfigurowaniu kilkunastu reguł na firewallu będzie się zastanawiał, czy wśród nich nie została jakaś dziura.
Na szczęście do sprawdzania podatności systemów operacyjnych służą specjalne systemy, ale bywają one dość skomplikowane i stanowią one temat na osobny wpis.
Tutaj przedstawię Wam dwa podstawowe narzędzia, dzięki którym w prosty sposób będziecie mogli sprawdzić poziom zabezpieczeń Waszych danych w zakresie ochrony antywirusowej, a w dalszej kolejności system HIPS, który można wykorzystać do zwiększenia bezpieczeństwa Waszych systemów..
Plik testowy EICAR
Załóżmy, że macie antywirusa. Obejmuje on ochronę plików w czasie rzeczywistym, ochronę poczty itd. Ale skąd wiadomo, czy tak jest w rzeczywistości? Czy zapisanie pliku z wirusem na Pulpicie zostanie przez niego wykryte zanim użytkownik spróbuje go uruchomić? Czy pobranie załącznika z poczty spowoduje uruchomienie alarmu i przechwycenie wirusa?
Oczywiście można to weryfikować "na żywca", ale takie działanie jest średnio bezpieczne.
W tym właśnie celu stworzony został specjalny plik EICAR (właściwie to ciąg znaków), który wszystkie programy antywirusowe powinny rozpoznawać jako zagrożenie.
X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*
Spróbujcie zapisać ten ciąg znaków w pliku tekstowym np. na Pulpicie. U mnie taka operacja kończyła się od razu interwencją programu antywirusowego.
 |
| Akcja antywirusa po zapisaniu ciągu EICAR do pliku tekstowego |
Jak widać na powyższym screenie, reakcja programu antywirusowego była prawidłowa. Zaraz po wykonaniu zapisu pliku, został on wykryty przez oprogramowanie antywirusowe jako zagrożenie i została w stosunku do niego podjęta odpowiednia procedura, w tym przypadku usunięcia pliku. Oczywiście, jak wspomniałem wcześniej, nie jest to realne zagrożenie, ale jego symulacja, dzięki czemu, w podobny sposób możecie testować, czy antywirus sprawdza załączniki w programie pocztowym, spakowane archiwa itp.
Polecam. Jest to zupełnie bezpieczna operacja, a wiele można się z niej dowiedzieć.
Ransomware Impact Analyzer
Innym programem udającym działanie szkodliwego programu jest RANSOMWARE IMPACT ANALYZER. Symuluje on atak oprogramowania szyfrującego dane na dyskach twardych.Jego przydatność jest średnia, ponieważ sami wiemy co mamy na dyskach twardych i co ewentualnie mogłoby ulec utracie. Wykorzystać go jednak można do sprawdzenia, czy oprogramowanie złośliwe na komputerze klienckim byłoby w stanie zaszyfrować pliki na dyskach sieciowych. Wchodzą tutaj w grę dwa czynniki. Czasami programy antywirusowe maja wykluczone dbanie o bezpieczeństwo dysków sieciowych, jak też kwestia uprawnień do takich udziałów.
Tutaj ta aplikacja może się przydać.
Warto pamiętać, że zarówno ta aplikacja, jak i większość oprogramowania (w tym złośliwego) działa w kontekście praw konta użytkownika na którym została uruchomiona. Jeżeli więc nie macie dostępu do jakiegoś folderu, to wirus, którego uruchomicie, zapewne też do niego się nie dostanie. No chyba, że macie uprawnienia admina :)
Dlatego warto na co dzień siedzieć na koncie o niższych uprawnieniach, a konto administracyjne wykorzystywać jedynie do czynności, którym ma ono służyć.
Zabezpieczanie przy użyciu systemu HIPS
Dalszy ciąg tekstu opisywał będzie jedną z funkcji oprogramowania antywirusowego firmy Eset. Jeżeli je posiadacie to warto się z nim zapoznać. A jeżeli go nie posiadacie to może zechcecie je mieć :) (uprzedzam pytania: nie, Eset nie zapłacił mi za ten tekst. Ale jak chce, to może ;)System HIPS (Host-based Intrusion Prevention System), bo o nim będę pisał, dostępny jest zarówno w wersjach przeznaczonych dla firm (zarządzanych przez konsolę ERA), jak i w wersjach domowych. Jest to moduł dzięki któremu użytkownik uzyskuje możliwość blokowania uruchamiania plików, całych aplikacji, wpisów do rejestrów, czy nawiązywania połączeń sieciowych. I to wszystko w różnych konfiguracjach.
 |
| Ustawienia zaawansowane HIPS w Eset Smart Security |
Z racji tego, że Eset wypuścił specjalny poradnik dla firm (polecam przejrzeć), ukierunkowany pod system HIPS w celu zwiększenia bezpieczeństwa przed oprogramowaniem typu ransomware, więc tej wersji przyglądniemy się najpierw.
HIPS dla firm
Uzupełnieniem wcześniej wspomnianego poradnika są pliki polityk nazwane:- Ustawienie reguł antyspamowych Eset Mail Security for MS Exchange Serwer oraz reguł Hips dla Eset File Security,
- Ustawienia firewalla dla Eset Endpoint Security,
- Ustawienia systemu HIPS dla Eset Endpoint Security & Eset Endpoint Antivirus,
 |
| Reguły zawarte w pliku konfiguracyjnym Ustawienia firewalla dla Eset Endpoint Security zaczytane do konsoli Eset Remote Administrator |
Z dwiema regułami możecie zapoznać się poniżej. Trzeciej nie chciało mi się przepisywać :)
Ustawienia systemu HIPS dla Eset Endpoint Security & Eset Endpoint Antivirus
| lp. | Ustawienia reguł HIPS | Aplikacje źródłowe | Operacje na plikach | Aplikacje |
|---|---|---|---|---|
| 1. |
|
Określone aplikacje
|
|
brak |
| 2. |
|
Określone aplikacje
|
|
brak |
| 3. |
|
Określone aplikacje
|
|
Określone aplikacje:
|
| 4. |
|
Określone aplikacje
|
|
Określone aplikacje:
|
| 5. |
|
Określone aplikacje:
|
|
Określone aplikacje:
|
| 6. |
|
Określone aplikacje:
|
|
Określone aplikacje:
|
| 7. |
|
Określone aplikacje:
|
|
Określone aplikacje: brak |
| 8. |
|
Określone aplikacje:
|
|
Określone aplikacje:
|
| 9. |
|
Określone aplikacje:
|
|
Określone aplikacje: brak |
Ustawienia firewalla dla Eset Endpoint Security
| Lp. | Ogólne | Lokalne | Zdalne |
|---|---|---|---|
| 1 |
|
|
|
| 2 |
|
|
|
| 3 |
|
|
|
| 4 |
|
|
|
| 5 |
|
|
|
| 6 |
|
|
|
| 7 |
|
|
|
| 8 |
|
|
|
| 9 |
|
|
|
| 10 |
|
|
|
| 11 |
|
|
|
HIPS dla użytkowników domowych
Na prywatnym komputerze posiadam oprogramowanie Eset Smart Security w wersji 10.0.390.0, więc na jego przykładzie przedstawię Wam system HIPS.Dostęp do niego otrzymacie przeklikując wskazaną ścieżkę Ustawienia → Ochrona komputera. Tam, poza podstawowymi przełącznikami (warto, aby wszystkie były włączone), znajdziemy także Tryb filtrowania i Reguły.
 |
| System HIPS z zaznaczoną sekcją filtrowania i reguł |
Tryb filtrowania domyślnie ustawiony jest w trybie automatycznym. Jeżeli chcecie go zmienić to możecie wybrać jeden z poniższych trybów pracy:
- Tryb automatyczny: Jest ustawiony domyślnie. W tym trybie wszelkie działania są akceptowane z wyjątkiem tych, które naruszają predefiniowany zestaw reguł wbudowanych w ESET Smart Security lub ESET NOD32 Antivirus
- Tryb inteligentny: Tylko podejrzane działania w systemie spowodują wyświetlenie komunikatu niezależnie od reguł zdefiniowanych dla trybu automatycznego.
- Tryb interaktywny: Jest zalecany jedynie dla zaawansowanych użytkowników. W tym trybie wyłączony zostanie zestaw predefiniowanych reguł. Moduł HIPS będzie każdorazowo pytał czy chcesz Zezwolić czy Zablokować każdą wykrytą aktywność. Zaznacz pole wyboru „Utwórz regułę i zapamiętaj na stałe” aby zapisać swoją decyzję jako regułę dla danej operacji. Wybranie opcji „Zapamiętaj do zamknięcia aplikacji” spowoduje zapamiętanie przez HIPS danej zasady do momentu zmiany zestawu reguł, trybu filtrowania lub restartu komputera.
- Tryb oparty na regułach: Operacje, które nie zostały zdefiniowane za pomocą reguły będą blokowane. Zobacz Zaawansowane ustawienia HIPS aby uzyskać więcej informacji.
- Tryb uczenia się: Działania są dozwolone i po każdej operacji tworzona jest reguła. Zasady utworzone w tym trybie mogą być wyświetlone i edytowane w edytorze reguł. Należy jednak pamiętać, że ich priorytet jest mniejszy niż reguł stworzonych ręcznie lub reguł predefiniowanych, używanych w trybie automatycznym. Wybranie Trybu uczenia się spowoduje jego aktywację na pewien okres czasu. Kiedy czas minie, tryb zostanie wyłączony. Maksymalny okres na jaki można włączyć tryb uczenia się to 14 dni. Po tym czasie zostaniesz poproszony o ewentualną modyfikację stworzonych reguł i zmianę trybu filtrowania.
Więcej o trybie HIPS możecie przeczytać na stronie System zapobiegania włamaniom działający na hoście (Host-based Intrusion Prevention System - HIPS)—Ustawienia zaawansowane (ESET Smart Security 9 / ESET NOD32 Antivirus 9).
Jeżeli zaś chodzi o Reguły, to powiązane one są z wcześniej przedstawionymi trybami. Większości użytkownikom wystarczy domyślny tryb automatyczny. Jeżeli jednak czujecie się na siłach, aby je zmieniać (np. wzorując się na wyżej opisanych politykach dla firm), to tryb HIPS należy przełączyć w tryb oparty na regułach i wtedy można je edytować.
Zaś użytkownicy na poziomie expert, którzy mają świadomość działania system operacyjnego (oraz mają wystarczająco dużo cierpliwości :), mogą skorzystać z trybu interaktywnego.
Dlaczego napisałem o cierpliwości w kontekście ostatniego trybu? Bo na początku będzie Was pytał o wszystko co się w systemie dzieje :) A to potrafi być bardzo dokuczliwe. Ale jeżeli będziecie mieli cierpliwość i ustawicie w ten sposób Wasz system HIPS, to możecie mieć pewność, że ESET będzie bronił dostępu do Waszych danych najlepiej jak tylko potrafi. Jakakolwiek nietypowa działalność zostanie przez niego zauważona i Wam zgłoszona. Wtedy jedynym słabym punktem jaki może być, będziecie Wy, gdy np. jedno z takich zgłoszeń zignorujecie i zezwolicie na uruchomienie np. konia trojańskiego.
No cóż. Nie ma złotego środka.
Podsumowanie
Powyższy tekst nie jest dokładnym poradnikiem co należy zrobić, aby całkiem zabezpieczyć Wasze dane, ale raczej "mapą drogową" (to takie ładne określenie, które jest ostatnio modne), która poprzez plik EICAR i aplikację Ransomware Impact Analyzer powinna Wam umożliwić pełniejsze wykorzystanie Waszych systemów antywirusowych, niezależnie od producenta.
Część dotycząca systemu HIPS jest przeznaczona tylko dla posiadaczy systemów antywirusowych firmy ESET (jeżeli jeszcze nie jesteście jego posiadaczami, to możecie go kupić w sklepie https://nod32sklep.pl).
System HIPS przedstawiłem jako coś z czym warto by się było zapoznać, bo tak jak starałem się to zaznaczyć, prawidłowe jego skonfigurowanie, czy to w warunkach domowych, czy firmowych, wymaga sporej wiedzy od użytkownika / administratora.
Przy jego konfiguracji z pewnością pomocne mogą być, wcześniej wspomniane, polityki, ale nie należy być wobec nich bezkrytycznym.
Mam nadzieję, że skorzystacie z Wyżej przedstawionych porad, a mam też głęboką nadzieję, że sami przedstawicie swoje sposoby na testowanie skuteczności antywirusów z których i ja mógłbym skorzystać :)
Robert O'Callahan, były inżynier Mozilli postanowił zbojkotować płatne programy antywirusowe. Według O'Callahana zakup tego typu oprogramowania mija się z celem, gdyż komercyjne antywirusy potrafią bardziej szkodzić niż pomagać. Według byłego pracownika Mozilli większości wystarczy Windows Defender wbudowany w Windows.
OdpowiedzUsuńcaly artkul pod tutaj: http://www.komputerswiat.pl/nowosci/bezpieczenstwo/2017/05/byly-inzynier-mozilli-kupowanie-antywirusow-nie-ma-sensu.aspx
Znam tą wypowiedź i się z nią nie zgadzam. Wielokrotnie w pracy mam alarmy zgłaszające wykrycie wirusa i go blokujące. Na ogół są to załączniki w poczcie e-mail. W takich przypadkach cieszę się, że AV go blokuje i użytkownik nie będzie mógł go uruchomić.
Usuń