Терминальные станции

[пользователь]

Можно, но я не совсем понимаю как сие будет различать легальный svchost.exe от поддельного?

Используйте не правило пути, а правило хеша (или, я не пробовал, может быть, даже можно правило сертификата использовать - доверять всем файлам имеющим цифровую подпись микрософт).

 

Така мера естественно поможет и снизит вероятность заражения, но антивирус будет надежнее.

Пастернака не читал, но осуждаю. Так?

Изменено 11 июня, 2010 пользователем пользователь

[Werewolf]

Используйте не правило пути, а правило хеша (или, я не пробовал, может быть, даже можно правило сертификата использовать - доверять всем файлам имеющим цифровую подпись микрософт).

Спасибо. Покопаю в эту сторону....

Пастернака не читал, но осуждаю. Так?

Не совсем понял к чему вы клоните. Я лишь высказал свое мнение и мое мнение таково, что антивирус прикроет лучше. Ваши предложения конечно действенны, но благодаря Вам ЛК могет потерять весь корпоративный сектор

 

Все таки мне хочется услышать мнение Евгения Валентиновича по поводу возможности прикрытия таких вот недоклиентов. Да и облачный внутрикорпоративный сервис думаю многим был бы интересен в корпоративном секторе (но тут маркетологам карты в руки). Думаю, что для корпоративных клиентов ключик должен быть легитимный и для АВП 3-4.5. Столь древние антивирусы естественно не ровня современным, но раз уж не поддерживается старые версии, то хот ключик дайте шоб не воровать то, что уже куплено и далеко не первый год. Думаю масса админов вам приведет тучу примеров, когда по тем или иным обстоятельствам нельзя заменить ОС на конкретной машине и там может стоять вплоть до win9x и при этом она должна быть выставлена в корпоративную сеть.

 

P.S. модераторы, уберите обсуждение моих проблем в соответствующий раздел. Возможно оставить что-то поясняющее проблему, но в целом, имхо, обсуждению здесь не место

[пользователь]

Не совсем понял к чему вы клоните. Я лишь высказал свое мнение и мое мнение таково, что антивирус прикроет лучше.

Я клоню к тому, что перед тем как высказать свое мнение нужно хотябы попробовать.

 

Ваши предложения конечно действенны, но благодаря Вам ЛК могет потерять весь корпоративный сектор

Данный способ защиты эффективен, но его можно применять только в исключительных случаях. Я, например, предпочитаю другие методы защиты которые более удобны для пользователей и для меня - отсутствие у пользователей админских прав, антивирус и установка всех-всех-всех патчей на ПК.

 

Да и облачный внутрикорпоративный сервис думаю многим был бы интересен в корпоративном секторе (но тут маркетологам карты в руки).

Мне идея не кажется разумной. Такой антивирус не будет широко востребован - ваш случай уникален.

 

Думаю, что для корпоративных клиентов ключик должен быть легитимный и для АВП 3-4.5. Столь древние антивирусы естественно не ровня современным, но раз уж не поддерживается старые версии, то хот ключик дайте шоб не воровать то, что уже куплено и далеко не первый год. Думаю масса админов вам приведет тучу примеров, когда по тем или иным обстоятельствам нельзя заменить ОС на конкретной машине и там может стоять вплоть до win9x и при этом она должна быть выставлена в корпоративную сеть.

Вы бы еще DOS вспомнили.

А на Win98 и выше можно поставить MP3, который еще год будет поддерживаться, а базы будут выпускаться еще дольше.

Изменено 11 июня, 2010 пользователем пользователь

[Werewolf]

Я клоню к тому, что перед тем как высказать свое мнение нужно хотябы попробовать.

Абсолютно согласен за что вас и поблагодарил

Но стоит учитывать, что если сие работает в домене W2K8, то не подходит по определению. В ближайшее время слезть с w2k3 не получится несмотря на все плюшки

Данный способ защиты эффективен, но его можно применять только в исключительных случаях. Я, например, предпочитаю другие методы защиты которые более удобны для пользователей и для меня - отсутствие у пользователей админских прав, антивирус и установка всех-всех-всех патчей на ПК.

Вот и я про то же. Тока патчи ствить нет возможности и антивирь для таких недоклиентов отсутствует, как класс

Мне идея не кажется разумной. Такой антивирус не будет широко востребован - ваш случай уникален.

Не факт. Тут больше скажут маркетолги ЛК

Вы бы еще DOS вспомнили.

А на Win98 и выше можно поставить MP3, который еще год будет поддерживаться, а базы будут выпускаться еще дольше.

Поддерживаться-то будет. А когда ключик кончится? И чего дальше? И DOS я вспоминал. В плане ОС+терминальный клиент очень дешевый способ. Можно и на линух поменять, но это только по первости оградит от заражения. С ростом популярности этой ОС будет расти и кол-во зловредов под нее

В общем, мое мнение таково - что терминальные решения решения умирать не собираются и вендорам надо что-то делать по защите станций. А то вон мобильники защищаем, а на почти комп (как было выше сказано тока объемом HDD он обычного компа отличается) ничего придумать не можем

[Kapral]

Случай уникальности заключается в том что единая сеть разбита на несколько сегментов и нет единой политики защиты

[пользователь]

Но стоит учитывать, что если сие работает в домене W2K8, то не подходит по определению. В ближайшее время слезть с w2k3 не получится несмотря на все плюшки

А вы шутник "Сие" 100% работает на WinXP - как вы думаете, нужен ли для WinXP домен на W2K8 или хватит w2k3 (может быть, даже, на W2k работает, но когда был W2k домен я не смотрел, а теперь, ради этого, поднимать его не хочется)? В общем, не пора ли вам прекратить стенания и попробовать?

 

Вот и я про то же. Тока патчи ствить нет возможности и антивирь для таких недоклиентов отсутствует, как класс

Да, согласен, мои наработки под ваши обстоятельства не подходят, но вам предложено другое решение. Которое вы никак не можете попробовать, а продолжаете требовать антивирь для терминальных клиентов.

 

Не факт. Тут больше скажут маркетолги ЛК

Хорошо, дождемся ответа от маркетологов.

 

Поддерживаться-то будет. А когда ключик кончится? И чего дальше?

Надо будет купить новый ключ. На данный момент ключи для MP3 и MP4 одинаковые.

Если не ошибаюсь, эти ключи подходят даже для KAV 5, но 100% уверенности у меня нет (сужу с чужих слов).

Согласен, что ключи подходящие под MP3 когда-нибудь продавать перестанут, но это произойдет еще не скоро, а когда произойдет, то ваши Win98 и WinNT просто будут падать под тяжестью антивирусных баз (которые уже сейчас немеряной толщины). Скажу так, полгода назад, я ставил MP3 на Win2K (P4 1400/128RAM), после перезагрузки, машина работала, а после обновления антивирусных баз - просто встала раком. IE запускался по минуте, переключение с закладки на закладку происходило секунд по 30-40. Приблизительно тогда же, был сделан эксперимент с чуток другим компьютером, но тоже с Win2k (P4 1400/256RAM (из двух компьютеров сделали один переставив память)). Этот компьютер, с установленным MP4, работает гораздо быстрее, чем с MP3 и потребляет меньше ресурсов (памяти). И это при том, что официальные системные требования у MP3 гораздо ниже, чем у MP4. В общем, ваши "АВП 3-4.5" тоже уже давно не работают на тех системных требованиях, что были заявлены при их выходе. И, как результат, работать на помойках без модернизации не смогут. Так не проще ли на модернизированные помойки поставить более свежую ось с более новым антивирусом?

 

И DOS я вспоминал. В плане ОС+терминальный клиент очень дешевый способ.

А антивирус для DOS вам не нужен?

 

Можно и на линух поменять, но это только по первости оградит от заражения. С ростом популярности этой ОС будет расти и кол-во зловредов под нее

Вы бы не могли мне описать способ заражения терминального клиента на линух (кроме админского раздолбайства)?

 

В общем, мое мнение таково - что терминальные решения решения умирать не собираются

Согласен. Они даже развиваются

 

и вендорам надо что-то делать по защите станций.

Не согласен. Вы ошибаетесь ставя знак равенства межде терминальным клиентом и станцией.

 

А то вон мобильники защищаем, а на почти комп (как было выше сказано тока объемом HDD он обычного компа отличается) ничего придумать не можем

Уважаемый, как вы думаете чем обычный комп и мобильник отличаются от тонкого клиента? Мне кажется тем, что на компе и мобильнике для работы и развлечений нужно запускать разные программы, среди которых могут оказаться и зловредные, а при работе с терминалом эти программы нужно запускать на терминале, а на терминальном клиенте нужно запустить только клиентскую программу.

[Werewolf]

Надо будет купить новый ключ. На данный момент ключи для MP3 и MP4 одинаковые.

Если не ошибаюсь, эти ключи подходят даже для KAV 5, но 100% уверенности у меня нет (сужу с чужих слов).

Подходят, но это когда-то кончится.

Согласен, что ключи подходящие под MP3 когда-нибудь продавать перестанут, но это произойдет еще не скоро, а когда произойдет, то ваши Win98 и WinNT просто будут падать под тяжестью антивирусных баз (которые уже сейчас немеряной толщины).

1) будут падать если машина слабая совсем, но это не обязательно. Наличие вин9х и винНТ обусловлено не слабостью компьютера, а тем оборудованием, которое к этому компу прикручено и менять это оборудование исключительно из-за антивируса никто не будет ибо это самое оборудование стоит несоизмеримо больше антивируса.

2) С другой стороны если возможно использовать устаревшие компы для управления тем же оборудованием, то почему бы и нет? Оно жеж дешевле. Да, современные антивирусы поставят древний комп раком. А вот тут и пригодился бы внутрикорпоративный облачный антивирь

Вы бы не могли мне описать способ заражения терминального клиента на линух (кроме админского раздолбайства)?

Если его нет на сегодняшний момент это еще не значит, что оно в принципе не возможно. Процент линухов в мире мал и покаместь не представляет для всяческих вирусописателей особого интереса, но все может изменится с ростом популярности этой ос.

Уважаемый, как вы думаете чем обычный комп и мобильник отличаются от тонкого клиента? Мне кажется тем, что на компе и мобильнике для работы и развлечений нужно запускать разные программы, среди которых могут оказаться и зловредные, а при работе с терминалом эти программы нужно запускать на терминале, а на терминальном клиенте нужно запустить только клиентскую программу.

еще раз: золотые времена, когда это было исключительно единственным возможным вариантом давно в прошлом. Теперь я к примеру могу вооружившись объемной флешкой с портейбл-версиями прог использовать тонкого клиента, как обычную рабочую станцию. Следовательно могу по собственной глупости и зловреда запустить еще до подключения к терминальному серверу. И если лично я такое делать не буду, то гарантировать это по отношению к юзверам я бы не стал. И потом у ос тонких клиентов есть теже самые уязвимости, что и у популярных ос, через которые мог бы пролезть зловред ни у кого не спрашивая и закрыть такую уязвимость опять таки нет никакой возможности.

Предложенный Вами способ конечно же надо попробовать, но все же вместо танцев с бубном хотелось бы увидеть решение от вендора

[пользователь]

1) будут падать если машина слабая совсем, но это не обязательно. Наличие вин9х и винНТ обусловлено не слабостью компьютера, а тем оборудованием, которое к этому компу прикручено и менять это оборудование исключительно из-за антивируса никто не будет ибо это самое оборудование стоит несоизмеримо больше антивируса.

2) С другой стороны если возможно использовать устаревшие компы для управления тем же оборудованием, то почему бы и нет? Оно жеж дешевле. Да, современные антивирусы поставят древний комп раком. А вот тут и пригодился бы внутрикорпоративный облачный антивирь

Вы знаете, если бы эти машины были бы действительно для вас важны, то вы бы эти машины защищали бы по другому - не требовали бы облачный антивирус, а просто бы исключили саму возможность заражения.

 

Если его нет на сегодняшний момент это еще не значит, что оно в принципе не возможно. Процент линухов в мире мал и покаместь не представляет для всяческих вирусописателей особого интереса, но все может изменится с ростом популярности этой ос.

Вероятность этого стремится к нулю (даже при повышении популярности линуха). С такими шансами вирусописатели не связываются. Обычный фаервол в режиме "невидимости" (то есть - не пропускать никакие пакеты кроме ответов от терминального сервера), отсутствие браузера и невозможность запускать ничего кроме программы доступа к терминалу - дает гарантию отсутствия заражения и без использования антивируса. Теоретически, в таком случае, возможна только атака от скомпрометированого терминала, но такая атака сложна и неэффективна (практически, ее нужно будет готовить и осуществлять индивидуально для вас и только для того, чтобы заразить несколько сот безмозглых недокомпов, которые из-за своей ограниченности ничего толком не могут), к тому же, на терминале вы не скованы ограничениями по свободному месту (можете устанавливать патчи и обновлять используемое п/о) и невозможности установить антивирус.

 

Следовательно могу по собственной глупости и зловреда запустить еще до подключения к терминальному серверу.

Назло теще глаз себе выколю - пусть у нее зять кривой будет? Тогда да, согласен, действительно можете...

 

И если лично я такое делать не буду, то гарантировать это по отношению к юзверам я бы не стал.

Запретить загрузку с внешних носителей? Не? Почему? Лень?

 

И потом у ос тонких клиентов есть теже самые уязвимости, что и у популярных ос, через которые мог бы пролезть зловред ни у кого не спрашивая и закрыть такую уязвимость опять таки нет никакой возможности.

Вышеописаные способы? Не? Почему? Лень?

 

Предложенный Вами способ конечно же надо попробовать

Так вы еще не попробовали?

 

но все же вместо танцев с бубном

Это стандартное средство встроено в винду черт знает когда. Вы, как админ, должны бы о нем знать и уметь им пользоваться, но почему-то вы считаете это стандартное средство "танцем с бубнами". А вы точно админ?

 

хотелось бы увидеть решение от вендора

Вашу бы энергию и целеустремленность, да на что-то полезное...

[Werewolf]

Обычный фаервол в режиме "невидимости" (то есть - не пропускать никакие пакеты кроме ответов от терминального сервера),

Встроенный отсутствует, как класс и место для стороннего маловато (для терминалов). На старых ос - возможно использовать сторонний но нормального бесплатного для коммерческого использования нет, Платные... Раньше отдельно был фаервол от ЛК. Почему я не могу использовать его?

отсутствие браузера

А если полученные данные должны далее каким-то образом передаваться через вэб? а если инженер не только данные с данного оборудования снимает, но и другими видами работ занимается в том числе через вэб? Два компа для одного пользователя держать, если и одного хватает? Что же касается терминалов... Доступ к терминальному серверу возможен и через вэб.

и невозможность запускать ничего кроме программы доступа к терминалу - дает гарантию отсутствия заражения и без использования антивируса.

ИМХО гарантию не дает. Гарантию даст наличие головы у данного конкретного пользователя, но не факт, что она будет в наличии.

Запретить загрузку с внешних носителей? Не? Почему? Лень?

Запретить использование любых исключительно исполняемых файлов именно с внешних носителей? Это как?

Если речь про запрещение сменных носителей вообще - выше писал, что по некоторым причинам невозможно

Так вы еще не попробовали?

Уже пробую. Просто в праздники и субботние и воскресные дни меня просто так хрен кто на территорию пустит. А если все же добиться - придется мне двойную платить (а оно боссам надо?)

 

Случай уникальности заключается в том что единая сеть разбита на несколько сегментов и нет единой политики защиты

Какой же уникальный? На Рено точно также

[пользователь]

Встроенный отсутствует, как класс и место для стороннего маловато (для терминалов). На старых ос - возможно использовать сторонний но нормального бесплатного для коммерческого использования нет, Платные...

Мне кажется или я писал про терминалы на линухе?

 

Раньше отдельно был фаервол от ЛК. Почему я не могу использовать его?

Может быть потому, что не продают?

 

А если полученные данные должны далее каким-то образом передаваться через вэб? а если инженер не только данные с данного оборудования снимает, но и другими видами работ занимается в том числе через вэб?

И опять мне кажется, что это было сказано про терминал на линухе...

 

Два компа для одного пользователя держать, если и одного хватает?

Держите один, но речь шла про терминальные клиенты на линухе. А на обычном компе может стоять обычный антивирь.

 

Что же касается терминалов... Доступ к терминальному серверу возможен и через вэб.

Возможен. Ну и что? Или вы хотите сказать, что он возможен только через веб? А если и так, то кто мешает зайти на терминал и запустить на нем браузер?

 

ИМХО гарантию не дает. Гарантию даст наличие головы у данного конкретного пользователя, но не факт, что она будет в наличии.

Если бы я надеялся на головы пользователей - я бы давно остался без работы.

 

Запретить использование любых исключительно исполняемых файлов именно с внешних носителей? Это как?

Ээээ... Я вам уже не раз объяснял, но вы никак не найдете время, чтобы попробовать.

 

Какой же уникальный? На Рено точно также

Вам стоит разработать стратегию защиты, а не пытаться прикрыть разгильдяйство заплатками и не нужно ссылаться на то, что у кого-то все так же плохо или еще хуже - это вас, как специалиста, не оправдывает.

 

PS. Кто хочет сделать - тот ищет возможность, а кто не хочет делать - тот ищет причину (в вашем случае, в качестве причины, объявлено отсутствие подходящего под ваши требования антивируса).

Изменено 15 июня, 2010 пользователем пользователь

[Werewolf]

и не нужно ссылаться на то, что у кого-то все так же плохо или еще хуже - это вас, как специалиста, не оправдывает.

А если попытаться прочитать, что именно и на какую мысль я написал, а не пытаться приписывать мне свои мысли? Было сказано, что мой случай уникальный. На что я ответил, что как раз такое положение дел существует еще где-то - т.е. уже не уникальный. Было написано именно это и при чем здесь оправдания чего-либо я так и не понял.

PS. Кто хочет сделать - тот ищет возможность, а кто не хочет делать - тот ищет причину (в вашем случае, в качестве причины, объявлено отсутствие подходящего под ваши требования антивируса).

Вы не правы. В принципе можно обойтись и совсем без антивируса, но ведь их зачем-то делают и продают? И если есть проблема, где существующие антивирусные решения не подходят, то почему бы не сделать подходящее и продавать?

[пользователь]

А если попытаться прочитать, что именно и на какую мысль я написал, а не пытаться приписывать мне свои мысли? Было сказано, что мой случай уникальный. На что я ответил, что как раз такое положение дел существует еще где-то - т.е. уже не уникальный. Было написано именно это и при чем здесь оправдания чего-либо я так и не понял.

Я кажется понял вашу мысль: два завода с отсутствующим системным подходом - это уже закономерное явление. Так?

 

Вы не правы. В принципе можно обойтись и совсем без антивируса, но ведь их зачем-то делают и продают?

Их делают для персональных компьютеров и для мобильников.

 

И если есть проблема, где существующие антивирусные решения не подходят, то почему бы не сделать подходящее и продавать?

Потому, что проблема может быть решена другими средствами, без существенных затрат рабочего времени и бесплатно. Кто, кроме вас и рено, будет бездумно тратить деньги? И особенно в условиях кризиса?

 

PS. Как вы думаете, почему ЛК до сих пор не выпустило домашнего антивируса под линукс (при том, что корпоративный антивирус для линуха уже давно есть)?

Изменено 15 июня, 2010 пользователем пользователь

[Werewolf]

Может быть потому, что даже 1000 проданых копий не окупит затрат (при том, что корпоративный антивирус для линуха уже давно есть)?

Вы видимо уже провели объемные маркетинговые исследования по предложенному мной антивирусу

[Jen94]

Сообщение от модератора Jen94

Тема перемещена из раздела Е.К.