Защита информации в памяти от перехвата и кражи | Блог Касперского

[Mrak]

3 минуты назад, Umnik сказал:

Админ, который создаётся - это вообще не админ. Это пользователь, которому, так и быть, можно дёргать за рукав настоящего (встроенного) админа в системе. Это что-то вроде использования sudo.

Так зачем он мне? Ведь если я правильно помню, пользователь также может "запустить от имени администратора" любую программу, то есть дёрнуть встроенного в систему админа, не выходя из своей учётки. Разве что проблемы потом будут с обновлениями (мне например Касперский Плюс пишет, что телегу он обновить не может, нужно зайти и с другого пользователя тоже - лишние телодвижения).

[Umnik]

Пользователь может, а вот программа, скрыто от пользователя - не может. Вот для этого. Программа под пользователем не может записаться в Програм Файлс, например. Если она попытается сделать это просто под пользователем, то прав не получит. Её надо будет целенаправлено через UAC попросить права, а UAC потребует пользователя подтвердить действие. А ещё многие пути реестра защищаются, многие системные директории. Вроде даже корень диска C защищается.

[Mrak]

2 минуты назад, Umnik сказал:

Если она попытается сделать это просто под пользователем, то прав не получит. Её надо будет целенаправлено через UAC попросить права, а UAC потребует пользователя подтвердить действие. А ещё многие пути реестра защищаются, многие системные директории. Вроде даже корень диска C защищается.

Тогда новый вопрос: при работе от пользователя и такой автоматической защите, мне вообще Касперский Плюс нужен или хватит встроенного защитника винды?

Если всё защищено, то может не тратить ресурсы на Касперского Плюс?

[Umnik]

Это вопрос веры.

[andrew75]

4 часа назад, Umnik сказал:

Встроенная учётка даст тебе поведение, как было у админской учётки в XP. Правда я не знаю, позволяет 10+ в неё логиниться или нет.

я вот сейчас озаботился этим вопросом. 10-ка позволяет. Только она разумеется отключена и включить ее сейчас не совсем просто. Оснастку "Пользователи и группы" в 22H2 (если не раньше) отключили (даже не просто скрыли).

Поэтому либо через "net user", либо наверное через Powershell.

3 часа назад, Mrak сказал:

при работе от пользователя и такой автоматической защите, мне вообще Касперский Плюс нужен или хватит встроенного защитника винды?

ну чтобы зашифровать данные и прав пользователя может хватить.

Изменено 29 июня, 2023 пользователем andrew75

[kmscom]

15 минут назад, andrew75 сказал:

Оснастку "Пользователи и группы" в 22H2 (если не раньше) отключили (даже не просто скрыли).

речь про это ?

И еще, про резервное копирование не забывайте.  Антивирус , антивирусом, но не он один должен помогать пользователю охранять безопасность

[andrew75]

А...а, это мой косяк. Я забыл что у меня домашняя версия. В профессиональной есть, разумеется.

[Mrak]

14 часов назад, andrew75 сказал:

ну чтобы зашифровать данные и прав пользователя может хватить.

Так для меня именно такой вид атаки наиболее суров. Данные то больше всего жалко. Но ведь для шифрования данных надо запускать программу шифрования от имени администратора, от имени пользователя данные ведь не зашифруются?

14 часов назад, kmscom сказал:

И еще, про резервное копирование не забывайте.  Антивирус , антивирусом, но не он один должен помогать пользователю охранять безопасность

Если в момент резервного копирования будет работать шифровальщик, то зашифруются и резервные копии тоже, правильно я понимаю?

[kmscom]

2 минуты назад, Mrak сказал:

правильно я понимаю?

правильно

[Umnik]

55 minutes ago, Mrak said:

Но ведь для шифрования данных надо запускать программу шифрования от имени администратора, от имени пользователя данные ведь не зашифруются?

Зашифруются. И для всех пользователей вообще:

1. У тебя в системе 5 пользователей. Один твой и 4 твои родственники или коллеги

2. Шифровальщик запустился

И тут развилка

- если запустился от твоей учётки, то зашифрует всё, к чему имеешь доступ ты. Если есть данные, к которым есть общий доступ и у тебя, и у других - это тоже будет зашифровано. Но данные, к которым доступ есть у других, но не у тебя, не пострадают. Например, не будет задето ничего в "Мои документы" и подобных местах у оставшихся 4х пользователей, т.к. у твоей учётки нет прав на работу у других владельцев

- если запустился от админа (то есть одобрил в UAC), то зашифрует вообще всё. Админ имеет доступ к данным всех пользователей

 

На этом и основан механизм разделения пользователей в Unix подобных системах. Скажем, у меня есть пользователь plex, под которым работают Plex и торрентокачалка. Торрентокачалка умеет выполнять скрипты и она торчит наружу (чтобы я быстро мог докинуть что-то на скачку, пока не дома). Если кто-то сможет взломать её (например, подберёт логин и пароль к https://torrent.myachin.xyz/), то сможет заставить качалку выполнять какой-нибудь опасный скрипт. Только скрипт этот сможет отработать лишь на одной папке, куда я дал доступ пользователю plex. Больше ничего.

 

1 hour ago, Mrak said:

Если в момент резервного копирования будет работать шифровальщик, то зашифруются и резервные копии тоже, правильно я понимаю?

Оно не совсем так работает. Если резервные копии лежат там, куда дотянется шифровальщик - то да, разумеется. Резервные копии всегда нужно держать отдельно. Если нет возможности держать сервер другой, то можно завести ещё одного пользователя и создать где-нибудь на диске D папку, доступную только этому пользователю. Далее схема:
1. Программа Х создаёт резервные копии и складирует под твоим юзером
2. Программа Y (скрипт или компонент у X) берёт эти файлы и переносит в данные другого пользователя, используя его логин и пароль

Обычно это реализуется сильно проще - бекаперы работают с правами SYSTEM (то есть встроенный пользователь, под которым работают многие компоненты ОС) и можно создать папку с доступом на запись только для SYSTEM и всё. Остальным на чтение. И бекапер без труда будет складывать бекапы, ты без труда сможешь их скопировать, но никто не сможет их зашифровать/удалить.

Теперь если шифровальщик перешифрует всё под тобой, у него не будет доступа к той папке. Максимум он сможет почитать её содержимое, но на этом всё. Даже чтение можно запретить, но без этого ты визуально не сможешь контролировать, что у тебя бекапер правда работает, а не сломался полгода назад, а ты и не знал.

 

Безопасная система не так трудно, как кажется. Читать сложнее, чем сделать. Но безопасная система заставляет менять образ мышления и вот это действительно может быть трудно. Когда ПО приучает "не парься, мы всё сами сделаем", создаётся ложное чувство безопасности.

[Mrak]

1 час назад, Umnik сказал:

И тут развилка

- если запустился от твоей учётки, то зашифрует всё, к чему имеешь доступ ты.

Обычно именно я имею доступ к самым ценным данным, поэтому даже первая и наименее вредоносная версия событий - уже плохой вариант.

 

1 час назад, Umnik сказал:

Резервные копии всегда нужно держать отдельно.

У меня для них пара внешних винтов из нашего магазина клуба. Но бекапы самые простые: скопировал, вставил. На запрос: "заменить такие же файлы" пишу, что не надо, далее копируется. Делаю так после того, как одна из платных программ для бэкапов умудрилась расхотеть отдать бэкапы бесплатно (лицензия через пару лет кончилась). Когда просто в виде папок и файлов бэкапы, на любой ОС открываются спокойно. 

 

2 часа назад, Umnik сказал:

1. Программа Х создаёт резервные копии и складирует под твоим юзером
2. Программа Y (скрипт или компонент у X) берёт эти файлы и переносит в данные другого пользователя, используя его логин и пароль

Сложно. Тем более надо бы, чтобы это работало и на других операционках, а кросплатформенных бэкапов не так много (архивация и восстановление винды не дружит с мак ос, а тайм машина мак ос не хочет дружить с виндой). Лучше уж я по старинке, ручками. 

[Umnik]

Quote

Добрый день. Спасибо за ваше ожидание. Проблема, которую Вы сообщали нам ранее, была исправлена и новая версия продукта выложена на сайт.

Вот ответ на вопрос:

On 29.06.2023 at 11:36, Mrak said:

Была, значит уже исправлена и всё хорошо?

 

[Mrak]

20 часов назад, Umnik сказал:

Вот ответ на вопрос:

29.06.2023 в 11:36, Mrak сказал:

Нехило так пришлось с дыркой в безопасности жить при использовании платного продукта. Хорошо, что закрыли.