Нужна помощь сис админов. Защита компа внутри локалки.

[McMurphy]

Всем привет!
Вопрос такой - как защитить компьютер внутри локальной сети (комп - рабочая станция, входит в домен) от проникновений с других компов этой же сети. Пока сделал, чтобы автоматические скрытые русурсы типа c$, d$, adm$ отключались при загрузке.
Собственно и вопрос возник после того, как обнаружил на компе вредоносную прогамму... вроде AceSpy - (применяют для слежения за компом, ведет учет всех действий юзера, вплоть до снятия
скриншотов в заданный промежуток времени, записи введенных паролей, и т.п.).
Так же есть вероятность что могут подключаться как к удаленному рабочему столу утилитами типа DameWare.
Можно ли защититься от подобного рода программ, и как?
Ну и второе. В компе два физических жестких диска, хотелось бы один из них защитить от просмотра (на комп могут заходить другие юзера через свои учетки или через админскую учетку), какие есть варианты прог для шифрования диска?
Операционка - win хp, ntfs на дисках. Правда, похоже в политике домена прописано, что группа администраторов имеет права на все действия с дисками.
Заранее благодарен!

[Nick_2141]

Можно ли защититься от подобного рода программ, и как?

От администратора сети (домена) - Вы не защититесь.

[McMurphy]

Нет, ну серьезно...

[Nick_2141]

Нет, ну серьезно...

Абсолютно серьезно.

[Питерский Адмирал]

Вопрос такой - как защитить компьютер внутри локальной сети (комп - рабочая станция, входит в домен) от проникновений с других компов этой же сети. Пока сделал, чтобы автоматические скрытые русурсы типа c$, d$, adm$ отключались при загрузке.
Собственно и вопрос возник после того, как обнаружил на компе вредоносную прогамму... вроде AceSpy

Кстати...просветите, как найти такое????

[kapushon]

как защитить компьютер внутри локальной сети (комп - рабочая станция, входит в домен) от проникновений с других компов этой же сети

никак.
И мой вам совет - не ссорьтесь с администратором - дело бесперспективное.

А лучше подружитесь с ним и обрисуйте свои проблемы. Он может и поправит политику домена.

[@ndrey]

Начну с конца.

Ну и второе. В компе два физических жестких диска, хотелось бы один из них защитить от просмотра (на комп могут заходить другие юзера через свои учетки или через админскую учетку), какие есть варианты прог для шифрования диска?

Шифровать ничего не нужно. Если данные зашифровать, то прочитать их (расшифровать) можно будет только той учетной записью пользователя, которой данные были зашифрованы. Поэтому этот способ не для Вас.
Вам же нужно сделать следующее:
1. Пуск -> Программы -> Администрирование -> Управление компьютером.
2. Служебные программы -> Локальные пользователи и группы -> Группы.
3. Щелкаем в правой части окна -> Создать группу.
4. Пишем имя группы. Добавляем пользователей, которым будет разрешен доступ ко второму диску: Добавить -> В поле "Размещение" должно быть название домена -> Пишем фамилию или ее часть -> Enter -> Пишем фамилию или ее часть -> Enter -> ... -> Создать.
5. Закрываем окно "Управление компьютером".
6. Открываем "Мой компьютер".
7. Если нужно разрешить доступ ко всему диску, то щелкаем правой клавишей по названию диска -> Общий доступ и безопасность. Если нужно предоставить доступ к конкретному каталогу на этом диске, то заходим на диск, щелкаем правой клавишей по названию этого каталога -> Общий доступ и безопасность.
8. На вкладке "Доступ" выбираем "Разрешить общий доступ к этой папке". Пишем или оставляем предложенное название общего ресурса. Жмем кнопку "Разрешения, выбираем сверху группу "Все", внизу выставляем все галочки (НЕ ВОЛНУЙТЕСЬ - ВСЕ ПРАВИЛЬНО!!!), жмем кнопку "ОК".
9. Идем на вкладку "Безопасность".
ДАЛЕЕ ОЧЕНЬ ВНИМАТЕЛЬНО!!!
- Дополнительно -> Убираем галочку "Наследовать..." -> Копировать -> ОК
- Удаляем всех, оставив SYSTEM и себя. Если себя не видим, то добавляем свою учетную запись. Добавляем группу, созданную в п.4 (в "размещение" должен быть Ваш компьютер).
- Поочередно выделяем каждую запись в верхнем списке, в нижнем списке устанавливаем необходимые разрешения. Учетной записи SYSTEM выставляем ВСЕ галочки. Себе выставляем ВСЕ. А группе либо все, кроме верхней (смогут добавлять, удалять, переименовывать, читать, изменять и т.д.), либо только 3 галочки по-умолчанию (Чтение и выполнение, Список содержимого папки, Чтение - смогут только читать и запускать файлы, ничего изменить, добавить и удалить не смогут).
10. Нажимаем кнопку "ОК". Закрываем окно.

Все, задача выполнена. Теперь члены созданной группы смогут получить указанный доступ ко второму диску или конкретному каталогу на диске. Если необходимо части пользователей разрешить доступ только на чтение, а другой части на изменение, то нужно создать еще одну группу, поместить в нее пользователей и на вкладке "Безопасность" общего ресурса добавить новую группу и указать разные уровни доступа для двух групп - одной все, кроме верхней галочки, другой только 3. Если нужно сотруднику разрешить доступ к общему ресурсу, то его учетную запись добавляем в соотвествующую группу. Если нужно запретить, то учетную запись пользователя удаляем из группы. Крайне не рекомендуется в список "Безопасность" добавлять учетные записи пользователей. Работаем только с группами.

Вопрос такой - как защитить компьютер внутри локальной сети (комп - рабочая станция, входит в домен) от проникновений с других компов этой же сети.

Опишу действия, которые необходимо произвести с учетом вышеизложенного.
1. Пуск -> Программы -> Администрирование -> Локальная политика безопасности.
2. Параметры безопасности -> Локальные политики -> Назначение прав пользователя:
- Доступ к компьютеру из сети - удалите всех. Если политика организации подразумевает сисадминам иметь доступ на компьютеры пользователей, то оставьте там только группу "Администраторы". Если Вы предоставили доступ к общему ресурсу на Ваш компьютер, то необходимо сюда добавить группу или группы пользователей, чтобы они смогли получить доступ по сети.
- Запретить вход через службу терминалов - добавьте группу "Все".
- Локальный вход в систему - удалите всех, добавьте только свою доменную и/или локальную учетную запись. Группы для доступа сюда добавлять не нужно!!!
- Разрешать вход через службу терминалов - удалите всех. Если админам необходимо подключаться к удаленному рабочему столу, то добавье группу "Администраторы" локального компьютера.
3. Параметры безопасности -> Локальные политики -> Параметры безопасности:
- Сетевой доступ: модель совместного доступа и безопасности для локальных учетных записей -> Обычная - локальные пользователи удостоверяются как они сами.
- Устройства: разрешить доступ к дисководам гибких дисков только локальным пользователям -> Включен.
- Устройства: разрешить доступ к дисководам компакт-дисков только локальным пользователям -> Включен.
- Учетные записи: Состояние учетной записи 'Гость' -> Отключен.
4. Закрываем окно "Локальная политика безопасности".
5. Правой клавишей по значку "Сетевое окружение" -> Свойства.
6. Правой клавишей по "Подключение по локальной сети" -> Свойства.
7. Допонительно -> Параметры... Если будет задан вопрос о включении службы брандмауэра, то отвечаем "Да".
8. Выбираем пункт "Включить". В исключениях оставляем только "Общий доступ к файлам и принтерам". Если общий доступ в предыдущем разделе не предоставлялся, то можно и эту галочку убрать.
9. Вкладка "Дополнительно". Выбираем "Подключение по локальной сети", жмем "Параметры" и убираем все галочки на обоих вкладках. Протокол ICMP -> Параметры -> Убираем все галочки.
10. ОК -> ОК -> Закрываем окно "Сетевые подключения".

На этом все. Таким образом можно считать, что установлена достаточная защита (хотя согласен, не 100%-ная) Вашего компьютера от посягательства как изнутри, так и снаружи.

В заключение несколько моментов:
1. Обязательно поставьте антивирус, правильно его настройте, вовремя обновляйте базы.
2. Настройте службу автоматического обновления Windows и постоянно обновляйте систему - заплаты выходят гораздо раньше, чем злоумышленники решат воспользоваться дырками в Вашей системе.
3. И напоследок самое главное: если чего-то не поняли в том, что я написал или вообще ничего не поняли. то не делайте ничего.

[Nick_2141]

Кстати...просветите, как найти такое????

Программу-шпиён?
а оно Вам зачем?

Лааадно...
http://www.staffcop.ru/benefits/why.php
Да, про правовую сторону вопроса не забываем: http://www.staffcop.ru/legal/#inc

[Nick_2141]

@ndrey - Всё замечательно....
Только хороший администратор домена не даст пользователю прав администратора. Даже прав администратора на локальном компьютере. Всё то, что вы, безусловно, правильно написали - сделать будет нельзя.
Да, и потом, Даже если права администратора на локальном компьютере у пользователя есть, и он проделает то, что Вы описали выше - легко убирается удаленно администратором домена.

[kjufy]

@ndrey
Это из разряда вредных советов?
Не надо ссорится с админом. Себе дороже потом будет.
Дмвара и шпиены наверняка входят в политику конторы. Когда обнаружаться действия юзера - плохо будет юзеру. Хотя админ сам балбес - раз права юзеру админские оставил.
Советую не забывать на работе компутер совсем не ваш домашний.

[McMurphy]

Админские права у меня есть, я сам из группы тех поддержки. С админом в одном кабинете сижу. К стати иемнно на него и не грешу, думаю другие крысятничают. К сожалению, в сетях не особо силен.
На компе установлено: Нод32 - лицовый, с базами, + работает служба обновления винды. + Недавно поставил Аутпост, который-то и обнаружил AceSpy.
А как насчет отключения службы сервер (запускать ее вручную, выборочно) + отключение Нет Биос. К чему такое приведет?

Какие вообще есть способы шпионить? Зайти на диск как на скрытый расшаренный ресурс - я их поотключал. Остается через порты - с ними еще надо разобраться, и если следить с помощью шпионских программ. Насчет таких программ - обязательно ли устанавливать на мой комп серверную часть, как у Р-Админа, например? если - да, то ее можно засечь и удалить с помощью анти малваре, например, или как?

О шифровании диска - слышал о проге, Кремлин... есть простая версия, шифрует только одним алгоритмом, вроде как - не привязывается к винде, т.е. в случае если ее переставляешь, и снова ставишь Кремлин, позволяет зайти на зашифрованную папку.

[Nick_2141]

Админские права у меня есть, я сам из группы тех поддержки. С админом в одном кабинете сижу.

Тогда нифика не понимаю....
Ставите админу пива и всё. Забываете о ваших проблемах.

[McMurphy]

Ну понимаете, например, когда меня нет за компом, на комп могут зайти другие сотрудники, например отсканировать документ, под своей учеткой. Учетки у всех админские, то есть запросто влезаешь в Мои документы и любые папки. Не хотелось бы чтобы они шарились по моим папкам. За профиль на серваке я не волнуюсь - пусть смотрят че хотят, там ничего не держу. Все личные доки на другом физ диске. Не скажу, что там что-то меня компромитирующее, до недавнего времени я не брал в голову... но как-то коробит, когда удаляешь с компа шпиона. Да и вмешательство в личную жизнь неприятно осознавать.

[Nick_2141]

Ну понимаете, например, когда меня нет за компом, на комп могут зайти другие сотрудники, например отсканировать документ, под своей учеткой. Не хотелось бы чтобы они шарились по моим папкам.

Если вопрос только в этом - Внешний портативный USB диск дает 100% гарантию защиты Ваших данных (Если не забыли вытащить его из компа и положить в карман).

Да и вмешательство в личную жизнь неприятно осознавать.

Хм...
Только процитирую:

Советую не забывать на работе компутер совсем не ваш домашний.

Я, например, на 99,5% уверен в неприкосновенности данных на моём рабочем компе. Однако, личных данных на нем стараюсь не держать. (Для этого есть флешки, внешние диски).

[McMurphy]

Советую не забывать на работе компутер совсем не ваш домашний.

Согласен. Но вы сидите на работе в аське? вконтакте? в прочих местах бываете? Приятно ли будет, если ваша переписка будет кем-то прочитана?
К стати. установка чего-нибудь вроде PrivacyKeyboard поможет от просмотра экрана теми же ДэмВаре и Р-Админом?