Клуб автолюбителей Рено Логан

Всем привет!
Вопрос такой - как защитить компьютер внутри локальной сети (комп - рабочая станция, входит в домен) от проникновений с других компов этой же сети. Пока сделал, чтобы автоматические скрытые русурсы типа c$, d$, adm$ отключались при загрузке.
Собственно и вопрос возник после того, как обнаружил на компе вредоносную прогамму... вроде AceSpy - (применяют для слежения за компом, ведет учет всех действий юзера, вплоть до снятия
скриншотов в заданный промежуток времени, записи введенных паролей, и т.п.).
Так же есть вероятность что могут подключаться как к удаленному рабочему столу утилитами типа DameWare.
Можно ли защититься от подобного рода программ, и как?
Ну и второе. В компе два физических жестких диска, хотелось бы один из них защитить от просмотра (на комп могут заходить другие юзера через свои учетки или через админскую учетку), какие есть варианты прог для шифрования диска?
Операционка - win хp, ntfs на дисках. Правда, похоже в политике домена прописано, что группа администраторов имеет права на все действия с дисками.
Заранее благодарен!

McMurphy писал(а):Можно ли защититься от подобного рода программ, и как?

От администратора сети (домена) - Вы не защититесь.

Нет, ну серьезно...

McMurphy писал(а):Нет, ну серьезно...

Абсолютно серьезно.

McMurphy писал(а):Вопрос такой - как защитить компьютер внутри локальной сети (комп - рабочая станция, входит в домен) от проникновений с других компов этой же сети. Пока сделал, чтобы автоматические скрытые русурсы типа c$, d$, adm$ отключались при загрузке.
Собственно и вопрос возник после того, как обнаружил на компе вредоносную прогамму... вроде AceSpy

Кстати...просветите, как найти такое????

McMurphy писал(а):как защитить компьютер внутри локальной сети (комп - рабочая станция, входит в домен) от проникновений с других компов этой же сети

никак.
И мой вам совет - не ссорьтесь с администратором - дело бесперспективное.

А лучше подружитесь с ним и обрисуйте свои проблемы. Он может и поправит политику домена.

Начну с конца.

McMurphy писал(а):Ну и второе. В компе два физических жестких диска, хотелось бы один из них защитить от просмотра (на комп могут заходить другие юзера через свои учетки или через админскую учетку), какие есть варианты прог для шифрования диска?

Шифровать ничего не нужно. Если данные зашифровать, то прочитать их (расшифровать) можно будет только той учетной записью пользователя, которой данные были зашифрованы. Поэтому этот способ не для Вас.
Вам же нужно сделать следующее:
1. Пуск -> Программы -> Администрирование -> Управление компьютером.
2. Служебные программы -> Локальные пользователи и группы -> Группы.
3. Щелкаем в правой части окна -> Создать группу.
4. Пишем имя группы. Добавляем пользователей, которым будет разрешен доступ ко второму диску: Добавить -> В поле "Размещение" должно быть название домена -> Пишем фамилию или ее часть -> Enter -> Пишем фамилию или ее часть -> Enter -> ... -> Создать.
5. Закрываем окно "Управление компьютером".
6. Открываем "Мой компьютер".
7. Если нужно разрешить доступ ко всему диску, то щелкаем правой клавишей по названию диска -> Общий доступ и безопасность. Если нужно предоставить доступ к конкретному каталогу на этом диске, то заходим на диск, щелкаем правой клавишей по названию этого каталога -> Общий доступ и безопасность.
8. На вкладке "Доступ" выбираем "Разрешить общий доступ к этой папке". Пишем или оставляем предложенное название общего ресурса. Жмем кнопку "Разрешения, выбираем сверху группу "Все", внизу выставляем все галочки (НЕ ВОЛНУЙТЕСЬ - ВСЕ ПРАВИЛЬНО!!!), жмем кнопку "ОК".
9. Идем на вкладку "Безопасность".
ДАЛЕЕ ОЧЕНЬ ВНИМАТЕЛЬНО!!!
- Дополнительно -> Убираем галочку "Наследовать..." -> Копировать -> ОК
- Удаляем всех, оставив SYSTEM и себя. Если себя не видим, то добавляем свою учетную запись. Добавляем группу, созданную в п.4 (в "размещение" должен быть Ваш компьютер).
- Поочередно выделяем каждую запись в верхнем списке, в нижнем списке устанавливаем необходимые разрешения. Учетной записи SYSTEM выставляем ВСЕ галочки. Себе выставляем ВСЕ. А группе либо все, кроме верхней (смогут добавлять, удалять, переименовывать, читать, изменять и т.д.), либо только 3 галочки по-умолчанию (Чтение и выполнение, Список содержимого папки, Чтение - смогут только читать и запускать файлы, ничего изменить, добавить и удалить не смогут).
10. Нажимаем кнопку "ОК". Закрываем окно.

Все, задача выполнена. Теперь члены созданной группы смогут получить указанный доступ ко второму диску или конкретному каталогу на диске. Если необходимо части пользователей разрешить доступ только на чтение, а другой части на изменение, то нужно создать еще одну группу, поместить в нее пользователей и на вкладке "Безопасность" общего ресурса добавить новую группу и указать разные уровни доступа для двух групп - одной все, кроме верхней галочки, другой только 3. Если нужно сотруднику разрешить доступ к общему ресурсу, то его учетную запись добавляем в соотвествующую группу. Если нужно запретить, то учетную запись пользователя удаляем из группы. Крайне не рекомендуется в список "Безопасность" добавлять учетные записи пользователей. Работаем только с группами.

McMurphy писал(а):Вопрос такой - как защитить компьютер внутри локальной сети (комп - рабочая станция, входит в домен) от проникновений с других компов этой же сети.

Опишу действия, которые необходимо произвести с учетом вышеизложенного.
1. Пуск -> Программы -> Администрирование -> Локальная политика безопасности.
2. Параметры безопасности -> Локальные политики -> Назначение прав пользователя:
- Доступ к компьютеру из сети - удалите всех. Если политика организации подразумевает сисадминам иметь доступ на компьютеры пользователей, то оставьте там только группу "Администраторы". Если Вы предоставили доступ к общему ресурсу на Ваш компьютер, то необходимо сюда добавить группу или группы пользователей, чтобы они смогли получить доступ по сети.
- Запретить вход через службу терминалов - добавьте группу "Все".
- Локальный вход в систему - удалите всех, добавьте только свою доменную и/или локальную учетную запись. Группы для доступа сюда добавлять не нужно!!!
- Разрешать вход через службу терминалов - удалите всех. Если админам необходимо подключаться к удаленному рабочему столу, то добавье группу "Администраторы" локального компьютера.
3. Параметры безопасности -> Локальные политики -> Параметры безопасности:
- Сетевой доступ: модель совместного доступа и безопасности для локальных учетных записей -> Обычная - локальные пользователи удостоверяются как они сами.
- Устройства: разрешить доступ к дисководам гибких дисков только локальным пользователям -> Включен.
- Устройства: разрешить доступ к дисководам компакт-дисков только локальным пользователям -> Включен.
- Учетные записи: Состояние учетной записи 'Гость' -> Отключен.
4. Закрываем окно "Локальная политика безопасности".
5. Правой клавишей по значку "Сетевое окружение" -> Свойства.
6. Правой клавишей по "Подключение по локальной сети" -> Свойства.
7. Допонительно -> Параметры... Если будет задан вопрос о включении службы брандмауэра, то отвечаем "Да".
8. Выбираем пункт "Включить". В исключениях оставляем только "Общий доступ к файлам и принтерам". Если общий доступ в предыдущем разделе не предоставлялся, то можно и эту галочку убрать.
9. Вкладка "Дополнительно". Выбираем "Подключение по локальной сети", жмем "Параметры" и убираем все галочки на обоих вкладках. Протокол ICMP -> Параметры -> Убираем все галочки.
10. ОК -> ОК -> Закрываем окно "Сетевые подключения".

На этом все. Таким образом можно считать, что установлена достаточная защита (хотя согласен, не 100%-ная) Вашего компьютера от посягательства как изнутри, так и снаружи.

В заключение несколько моментов:
1. Обязательно поставьте антивирус, правильно его настройте, вовремя обновляйте базы.
2. Настройте службу автоматического обновления Windows и постоянно обновляйте систему - заплаты выходят гораздо раньше, чем злоумышленники решат воспользоваться дырками в Вашей системе.
3. И напоследок самое главное: если чего-то не поняли в том, что я написал или вообще ничего не поняли. то не делайте ничего.

Питерский Адмирал писал(а):Кстати...просветите, как найти такое????

Программу-шпиён?
а оно Вам зачем?

Лааадно...
http://www.staffcop.ru/benefits/why.php
Да, про правовую сторону вопроса не забываем: http://www.staffcop.ru/legal/#inc

@ndrey - Всё замечательно....
Только хороший администратор домена не даст пользователю прав администратора. Даже прав администратора на локальном компьютере. Всё то, что вы, безусловно, правильно написали - сделать будет нельзя.
Да, и потом, Даже если права администратора на локальном компьютере у пользователя есть, и он проделает то, что Вы описали выше - легко убирается удаленно администратором домена.

@ndrey
Это из разряда вредных советов?
Не надо ссорится с админом. Себе дороже потом будет.
Дмвара и шпиены наверняка входят в политику конторы. Когда обнаружаться действия юзера - плохо будет юзеру. Хотя админ сам балбес - раз права юзеру админские оставил.
Советую не забывать на работе компутер совсем не ваш домашний.

Админские права у меня есть, я сам из группы тех поддержки. С админом в одном кабинете сижу. К стати иемнно на него и не грешу, думаю другие крысятничают. К сожалению, в сетях не особо силен.
На компе установлено: Нод32 - лицовый, с базами, + работает служба обновления винды. + Недавно поставил Аутпост, который-то и обнаружил AceSpy.
А как насчет отключения службы сервер (запускать ее вручную, выборочно) + отключение Нет Биос. К чему такое приведет?

Какие вообще есть способы шпионить? Зайти на диск как на скрытый расшаренный ресурс - я их поотключал. Остается через порты - с ними еще надо разобраться, и если следить с помощью шпионских программ. Насчет таких программ - обязательно ли устанавливать на мой комп серверную часть, как у Р-Админа, например? если - да, то ее можно засечь и удалить с помощью анти малваре, например, или как?

О шифровании диска - слышал о проге, Кремлин... есть простая версия, шифрует только одним алгоритмом, вроде как - не привязывается к винде, т.е. в случае если ее переставляешь, и снова ставишь Кремлин, позволяет зайти на зашифрованную папку.

McMurphy писал(а):Админские права у меня есть, я сам из группы тех поддержки. С админом в одном кабинете сижу.

Тогда нифика не понимаю....
Ставите админу пива и всё. Забываете о ваших проблемах.

Ну понимаете, например, когда меня нет за компом, на комп могут зайти другие сотрудники, например отсканировать документ, под своей учеткой. Учетки у всех админские, то есть запросто влезаешь в Мои документы и любые папки. Не хотелось бы чтобы они шарились по моим папкам. За профиль на серваке я не волнуюсь - пусть смотрят че хотят, там ничего не держу. Все личные доки на другом физ диске. Не скажу, что там что-то меня компромитирующее, до недавнего времени я не брал в голову... но как-то коробит, когда удаляешь с компа шпиона. Да и вмешательство в личную жизнь неприятно осознавать.

McMurphy писал(а):Ну понимаете, например, когда меня нет за компом, на комп могут зайти другие сотрудники, например отсканировать документ, под своей учеткой. Не хотелось бы чтобы они шарились по моим папкам.

Если вопрос только в этом - Внешний портативный USB диск дает 100% гарантию защиты Ваших данных (Если не забыли вытащить его из компа и положить в карман).

McMurphy писал(а):Да и вмешательство в личную жизнь неприятно осознавать.

Хм...
Только процитирую:

kjufy писал(а):Советую не забывать на работе компутер совсем не ваш домашний.

Я, например, на 99,5% уверен в неприкосновенности данных на моём рабочем компе. Однако, личных данных на нем стараюсь не держать. (Для этого есть флешки, внешние диски).

Советую не забывать на работе компутер совсем не ваш домашний.

Согласен. Но вы сидите на работе в аське? вконтакте? в прочих местах бываете? Приятно ли будет, если ваша переписка будет кем-то прочитана?
К стати. установка чего-нибудь вроде PrivacyKeyboard поможет от просмотра экрана теми же ДэмВаре и Р-Админом?

McMurphy писал(а):Учетки у всех админские

все доменные учётки с правами админа? какой-то неправильный у вас, похоже, админ...
у меня вот перснально надо просить, чтобы у кого-нибудь из юзеров какой-нибудь qip запустился )

с такой политикой безопасности вряд ли от чего-то можно защититься, если любой может сделать что угодно...

Nick_2141 писал(а):Питерский Адмирал писал(а):
Кстати...просветите, как найти такое????

Программу-шпиён? Cool
а оно Вам зачем? Wink

нее..я имел в виду-как обнаружить, что твой комп в сети мониторят. и чем мониторят!

Nick_2141 писал(а):Только хороший администратор домена не даст пользователю прав администратора.

Да, все так, забыл написать, что это только в том случае, если пользователь обладает правами администратора на локальной машине. Из большого опыта работы в разных крупных и не очень конторах редко где пользователи не являются админами на своих машинах из-за лени настраивать нормальную работу программ под урезанными правами. Тем более, что автор подтверждает мои предположения:

McMurphy писал(а):Учетки у всех админские

Nick_2141 писал(а):Да, и потом, Даже если права администратора на локальном компьютере у пользователя есть, и он проделает то, что Вы описали выше - легко убирается удаленно администратором домена.

Да, это так - доменными политиками можно перекрыть локальные.

kjufy писал(а):@ndrey
Это из разряда вредных советов?
Не надо ссорится с админом. Себе дороже потом будет.

Нет - это из разряда полезных советов. Когда пользователь, если ему позволено, максимально защитит свой компьютер, используя стандартные средства Windows, а не какие-нибудь там ломаные программы, не создавая при этом помех админам (а я написал, как админов не ущемить в правах при этом), то ни один нормальный админ не будет против такой защиты. А если админы поставили разных жучков для слежения, то специально для этих жучков можно открыть порты. В нормальных конторах именно так и делается: компы защищаются по-максимуму, а затем открываются нужные маленькие дырочки для конкретных программ.

McMurphy писал(а):А как насчет отключения службы сервер (запускать ее вручную, выборочно) + отключение Нет Биос. К чему такое приведет?

Это приведет к тому, что ни кто не сможет поиметь доступ к общим ресурсам на Вашем компе. Если Вам надо защититься + сделать общий доступ, то делайте, как я написал и будет Вам счастье.

McMurphy писал(а):Остается через порты - с ними еще надо разобраться

Встроенный брандмауэр + своевременное обновление винды и ничего больше не нужно по большому счету.

McMurphy писал(а):О шифровании диска - слышал о проге, Кремлин... есть простая версия, шифрует только одним алгоритмом, вроде как - не привязывается к винде, т.е. в случае если ее переставляешь, и снова ставишь Кремлин, позволяет зайти на зашифрованную папку.

Сертификат все равно нужен. А он один. Он может привязываться не только к компьютеру, а к пользователю. Но Вы ведь не хотите делиться ключами от квартиры со своими коллегами? Вот и тут такая же фигня.

McMurphy писал(а):Ну понимаете, например, когда меня нет за компом, на комп могут зайти другие сотрудники, например отсканировать документ, под своей учеткой. Учетки у всех админские

Сделайте, как я написал (Локальный вход в систему) и НИКТО не сможет зайти на Ваш комп под своей учетной записью, какими бы правами она не обладала. А свой пароль никому не говорите.

Питерский Адмирал писал(а):я имел в виду-как обнаружить, что твой комп в сети мониторят. и чем мониторят!

Опять же стандартный TCPView, правда не просто им мониторить. А так, смотрите, какие службы запущены и отключаете их. Лучше, если настроить работу служб политикой безопасности, тогда левые службы запускаться просто так не будут.

P.S. Если вы заметили, я не предложил ни одного средства, кроме стандартных, встроенных в Windows. О чем это я? Ах, да! Это я о том, что винда, как многие ее называют, вполне способна обеспечить высокий уровень безопасности компьютера, если ее правильно настроить. А правильно настраивать Windows, увы, пока могут лишь единицы...

Divisi0n_by_zer0
Почему вы решили, что ВСЕ доменные учетки с админскими правами. Читайте внимательно - я в IT отделе, в тех поддержке, и У НАС в отделе - у всех админские права, иначе как я и другие смогли бы инсталить юзерам программы??

@ndrey
Насчет шифрования - спасибо. Вы занимались этим? Если что, побеспокою в личку, не откажите?
Спасибо за совет!

Питерский Адмирал писал(а):нее..я имел в виду-как обнаружить, что твой комп в сети мониторят. и чем мониторят!

Как вариант - поставить что-нибудь вроде PrivacyKeyboard. Насчет подключений к вашему жесткому диску - есть утилитка, при первом запуске прописывается в автозагрузку, и выдет окно - Что ваш жесткий диск просматривает такой-то юзверь, открыл такой-то файл. Есть кнопочка чтобы отключить его. Прога ведет лог - кто, и как долго был подключен к вам. К сожалению, насчет просмотра вашего монитора ниче не могу сказать, скорее всего она это не покажет. Если интересует - могу скинуть на мыло, она фриварная.

Питерский Адмирал
и еще, в догонку - насчет гостей на вашем жестком диске.
Щелкаете пуск - Мой компьютер, на нем щелчек правой кнопкой мыши - Управление. Откроется окно, в нем в списке выбираем - Общие папки, а там - Общие ресурсы. если нашли что-то типа c$ d$ и прочего - значит на ваши диски можно зайти простым способом - запустить проводник, и вверху, в адресной строке набить
\\имя вашего компа\c$\
Все! Разумеется, если подглядывающий имеет сам админские права.
К стати, если то окно держать открытым и посмтривать в него, то там же есть и Открытые файлы, и Сеансы - видно кто и к чему подключился.
Ну есть и другие, более скрытые способы.
Сорри, если рассказывал вам уже известные, прописные истины.

McMurphy писал(а):Разумеется, если подглядывающий имеет сам админские права.

Если настроить политику безопасности, то это не проканает, даже если шары открыты.

McMurphy писал(а):Насчет шифрования - спасибо. Вы занимались этим?

Конечно занимался. Но, как Вы можете догадаться, только стандартными средствами Microsoft.

McMurphy
Попробуйте это.
Аська на работе фих с ним, тк бывают региональные клиенты-партнеры. А вот вконтакте на работе это вселенское зло и его надо искоренять. На работе надо работать, а не личные дела утрясать, которые хочется скрыть. И не забывайте все, что прошло через корпоративное прокси, вобщем-то доступно третьим лицам.

У Вас в конторе вся техподдержка входит в группу доменных админов? Оставьте в локальных админах только себя. Остальных в юзеры.

PrivacyKeyboard - не пользовал, но даже из названия видно, что защищает от перехвата клавиатуры. ДмВара и Радмин несколько другого свойства программы. Они для удаленного просмотра и/или управления рабочим столом/компом. Тот же радмин можно скрыть и Вы его не найдете.

kjufy
Очень во многом с вами согласен! С помощью корпоративного прокси-сервера можно зарубить всякие вконтакты, одноклассников, аськи, и вообще - жестко прописать перечень сайтов, на которые юзвери могут ходить - так у нас и сделано.
Речь-то не об этом!
Завелась какая-то **ка, которая прикола ради, и от излишка свободного времени решила наставить подсмотрщиков и шпиенить за кем хочет. С этим что - надо мириться?

А Дэм варе и Р-админ - ну да, именно - для просмотра удаленного рабочего стола. Подключился и смотри, о чем там пишут, что делают...
К стати, дэм варе вроде имеет серверную часть, которая ствиться на машину тому, за кем следят, но она висит значком в трее. Его можно скрыть?

McMurphy писал(а):С этим что - надо мириться?

Изучение и настройка политики безопасности Windows Вам поможет.

McMurphy
Скрыть можно.
Не знаю, как дмвара, но у радмин можно и имя службы изменить и Вы не увидите, что он у Вас запущен.

Включите полный аудит на компе. Снесите все что из шпиенов установлено. Вычисляете гада и по сопатке.

ок, всем спасибо!
новых шпионов не появлялось, проверял антивирем и приваси кэйбоард.
личные данных зашифровал тру криптом, создал файл-контейнер.
сосед по столу зашифрофал им же вообще системный диск
если что, напишу еще