Защита теневых копий

[Сергей Орен]

Добрый день

 

Многие шифровальщики удаляют теневые копии, как-то дополнительно их защитить возможно? Например прописать в пользовательские защищаемые файлы? Какое расширение у теневых копий?

[Friend]

@Сергей Орен, добрый день!
А какой продукт ЛК вы используете: http://support.kaspersky.ru/general/products/1690 ?

[Сергей Орен]

@Сергей Орен, добрый день!

А какой продукт ЛК вы используете: http://support.kaspersky.ru/general/products/1690 ?

 

Дома KIS2017

 

На работе KES 10

[Friend]

@Сергей Орен, тогда для дома можно настроить так: http://support.kaspersky.ru/12683 или http://support.kaspersky.ru/12986

На работе так: http://support.kaspersky.ru/10905

 

[oit]

@Сергей Орен, актуальная версия KES: https://support.kaspersky.ru/kes10wks#downloads

Системные требования: https://support.kaspersky.ru/kes10wks#requirements

*для XP версия новая не подходит

[Сергей Орен]

@Сергей Орен, тогда для дома можно настроить так: http://support.kaspersky.ru/12683 или http://support.kaspersky.ru/12986

На работе так: http://support.kaspersky.ru/10905

 

Так настроено, просто не знаю, теневые копии имеют свое расширение какое-то или нет? есть они в списке типов файлов или туда можно добавить их тоже.

[andrew75]

Теневые копии нельзя удалить просто "как файлы", они защищены, к ним нет доступа даже у администратора.

С ними обычно работают через системную утилиту vssadmin.

Через нее же их обычно удаляют шифровальщики.

Для запуска vssadmin нужны права администратора.

Можете, например через системные политики запретить запуск vssadmin.

На создание теневых копий запрет ее запуска не повлияет.

[Сергей Орен]

Всем спасибо за ответы

[mike 1]

Добрый день

 

Многие шифровальщики удаляют теневые копии, как-то дополнительно их защитить возможно? Например прописать в пользовательские защищаемые файлы? Какое расширение у теневых копий?

Научитесь лучше резервные копии важных данных делать.

[regist]

 

 

Многие шифровальщики удаляют теневые копии, как-то дополнительно их защитить возможно?

Для того чтобы шифровальщик смог их удалить он должен работать с правами админа => Хотите, увеличить вероятность, что они останутся целыми, тогда не работайте под админом.

А вообще в предыдущем посте правильный совет, лучше просто сделайте нормальный бэкап, а лучше два.

[Raine]

Хотите, увеличить вероятность, что они останутся целыми, тогда не работайте под админом.

Некоторые шифровальщики же умеют повышать права до админа (с помощью слитых уязвимостей shadowbrokers).

А не работать под админом также не очень "удобно" если это домашний ПК.

Так, бэкапы это хорошо, но и теневые копии дополнительно защитить есть смысл. Понравился пост andrew75, нужно будет попробовать такой вариант.

Изменено 2 августа, 2017 пользователем Raine

[regist]

 

 

Некоторые шифровальщики же умеют повышать права до админа (с помощью слитых уязвимостей shadowbrokers).

написал же: увеличить вероятность != гарантировать что они останутся целыми.

 

 

А не работать под админом также не очень "удобно" если это домашний ПК.

вы каждый день дома ставите программы? Да и если нужно прогу поставить, то просто запустить от имени... в общем просто дело привычки.

[Sapfira]

 

 

вы каждый день дома ставите программы? Да и если нужно прогу поставить, то просто запустить от имени... в общем просто дело привычки.

Режим Администратора-то нужен не только, чтобы устанавливать программы, но и для доступа к системным файлам и параметрам.

Пробовала когда-то режим обычного пользователя, ужасно неудобно, как будто по рукам связали. Понадобится куда-то залезть, что-то настроить, а доступа нет.

Режим пользователя хорош в случае, если нужно кому-то постороннему компьютер дать, а хозяин, он на то и хозяин, чтобы быть администратором на своем компьютере и иметь доступ ко всему, что нужно.

[andrew75]

Это неправильная логика.

При том что я сам работаю под админом

[mike 1]

Есть достаточно много уязвимостей, которые позволяют повысить привилегии в системе и обойти UAC, а учитывая, что пользователи не спешат ставить все доступные обновления безопасности, то это не составит никакого труда удалить все теневые копии за счет них. Например: Cerber, Shade вполне способны их удалять без участия пользователя.