id: Гость   вход   регистрация
текущее время 23:24 28/03/2024
Автор темы: jarate, тема открыта 15/02/2016 17:21 Печать
Категории: инфобезопасность, разграничение доступа
http://www.pgpru.com/Форум/ПрактическаяБезопасность/КакОбезопаситьСебяОтКражиДанныхЧерезИнтернетНеИспользуяАнтивирус
создать
просмотр
ссылки

Здравствуйте. Возникла задача, описанная в названии темы. Операционная система – windows 7 x64. Работаю из под учетной записи администратора, UAC включен, файлы, которые не должны попасть в руки злоумышленников, хранятся в папке под условным названием xxx, в корне домашней папки. Какие меры нужно предпринять? С помощью файлового менеджера total commander, запущенного НЕ от администратора, можно свободно перемещаться по домашней папке, и проводить операции с папками и файлами. Правильно ли я понимаю, что любая программа, запущенная без администраторских прав, имеет доступ к домашней папке, и может передать по сети мои данные? Я заблокировал все исходящие соединения файрволом, открыв доступ только необходимым программам. Но как мне узнать, что эти программы выполняют свою функцию, а не сливают мои данные? Ведь они могут это сделать без проблем и незаметно, так я понимаю? Т.е. файрвол не является надежным решением в этой ситуации. Напрашивается решение, ограничить доступ к домашней папке программам, запущенным без администраторских прав. Я вижу решение в том, чтобы назначить вышеназванной папке xxx, в которой хранятся мои важные данные, полные права на выполнение, чтение и запись только администратору, а остальным пользователям полностью запретить эти операции. Мне видится надежным это решение. Но есть еще одна проблема. Чтобы иметь доступ к папке xxx и проводить в ней операции, а я это делаю с помощью программы total commander, нужно дать этой программе права администратора. Для полной уверенности я блокирую программе total commander исходящий доступ в интернет файрволом. Однако, возникает вопрос: каковы границы полномочий total commander, запущенного от имени администратора? Может ли он теоретически самостоятельно отключить созданное мной правило на запрет исходящих соединений в файрволе?


Мне нужно такое решение, чтобы не приходилось полагаться на доверие кому-то в вопросах безопасности данных. Не хочу разрешать исходящий доступ программам в надежде, что они не сольют мои данные в сеть. По той же причине не пользуюсь антивирусом.


 
Комментарии
— Гость_ (18/02/2016 16:25)   профиль/связь   <#>
комментариев: 450   документов: 10   редакций: 13
Зарегистрировать в системе нового юзера. Сделать его владельцем нужной папки. Запретить этому юзеру выход в сеть. С папкой работать только из-под того юзера. Данные между юзерами передавать под администраторским аккаунтом.
— jarate (22/02/2016 09:17)   профиль/связь   <#>
комментариев: 2   документов: 1   редакций: 0
Благодарю за ответ. Скорректирую задачу: необходимо запретить доступ к папке всем программам на компьютере, кроме одной – файлового менеджера, при этом, файловый менеджер не должен запускаться от имени администратора, чтобы получить доступ к папке. Очень желательно это было бы реализовать без создания нового юзера, как вы предложили, т.к. я усматриваю много геммороя в этом решении. Сейчас опишу идеальное решение, как я себе его представляю. Читал я этот форум, искал информацию по своей проблеме, наткнулся на пост юзера ntldr, который описывал, как реализовывал систему безопасности на windows, там он рассказал про политки управления приложениями. Мне воображение нарисовало картину: итак, вот я работаю от обычного юзера, не администратора. Вот есть моя секретная папка, мой обычный юзер – владелец этой папки. Стало быть, любые программы, запущенные от обычного юзера, имеют доступ к этой папке, и могут беспрепятственно сливать данные в сеть (файервол в расчет не берем). Но тут в дело вступают политики управления приложениями. Я представил их работу так: можно заблокировать всем процессам доступ к моей секретной папке, и разрешить доступ только файловому менеджеру. Ему же запретить исходящие соединения в файерволе – и вот оно, решение. И нет необходимости запускать файловый менеджер от имени администратора. И пользователей создавать новых не надо. Но при ближайшем рассмотрении выяснилось, что эти политики управления приложениями тупо блокируют или разрешают запуск приложений. Совсем не то, что я ожидал. Т.е. без создания нового пользователя решить мою задачу невозможно? С этим новым пользователем возникает масса проблем, вот некоторые:

-Необходимость использовать пароль для нового пользователя, поскольку я не один работаю на компьютере. Очень хочется обойтись единственным паролем. Можно, конечно, задать такой же пароль, как и для основной учетной записи, но как это отразится на безопасности?
-Работать, постоянно переключаясь между учетными записями, очень неудобно.
-Если запускать программу для работы с моей секретной папкой от имени другого пользователя с помощью контекстного меню, нужно постоянно вводить пароль.
— loginuser (24/02/2016 22:48)   профиль/связь   <#>
комментариев: 11   документов: 0   редакций: 0
имхо, только отдельный комп без интернет, других решений нет
— Гость_ (29/02/2016 09:43)   профиль/связь   <#>
комментариев: 450   документов: 10   редакций: 13

По уму иначе не делается.


Да.

Винда тут – почти что оффтопик по множеству причин. Фаерволы не умеют надёжно фильтровать по программам, поэтому разделение трафика по пользователям – единственный метод.
— prof (26/03/2016 22:29)   профиль/связь   <#>
комментариев: 2   документов: 0   редакций: 0
как насчет "песочницы" или виртуалки в вашем основном компе? И в ней все хранить, без доступа к инету. Рассмотрите такой вариант
— просто_Гость (27/03/2016 14:30, исправлен 27/03/2016 14:31)   профиль/связь   <#>
комментариев: 92   документов: 0   редакций: 0

ТС стремится использовать только один комп. Песочница и виртуалка не изолированы от других пользователей, так же как и их использование.
Вообще не понятно как товаристч хочет решить вопрос приватности в условиях использования ПК более одним пользователем (?).
Разве что vmware workstation позволяет шифровать гостевые ос, да и virtualbox вроде дал такую возможность в 5 линейке (не проверял лично). Так же можно зашифровать ОС гостевой системы средствами самой гостевой ОС.
Но ввод пароля как изолировать?

— HANXOK (05/04/2016 11:57)   профиль/связь   <#>
комментариев: 3   документов: 0   редакций: 0
с финансами главное использовать сервис который высылает смс. Если такая степень присутствует то вероятность кражи очень мала.
— просто_Гость (05/04/2016 16:47)   профиль/связь   <#>
комментариев: 92   документов: 0   редакций: 0

Не едимножды сталкивался с задвоенем номера (номер зарегистрирован на 2 людей). Как это происходит? Человек звонит попадает на абонента №1, а ему нужен №2, после чего просит не поднимать трубочку пока не дозвонится до 2-го. Смешно?
О переоформлении номера налету да другого с последующим сьемом денег со счета жертвы не слышали?
Сомнительная надежность сервиса.
— jarate (08/04/2016 14:32)   профиль/связь   <#>
комментариев: 2   документов: 1   редакций: 0
Всем спасибо за ответы. Итоги таковы: разделение трафика по пользователям реализовывать не стал – слишком геморно, требует еще одного пароля для этого дополнительного юзера (ведь системой могут пользоваться другие люди). Насчет песочницы или виртуалки – что мешает какому нибудь процессу слить в интернет образ виртуальной машины? А смысл шифровать гостевую ос, не проще ли создать шифрованный контейнер на основной ОС? Я так и сделал, об этом ниже.
Средствами разделения доступа? Если исключить уязвимости, то полагаю, это достаточно надежный вариант. Вариант с смс может и надежен в некоторых случаях, но мне не подходит.
Я остановился на системе, которую описал в первом посте. Чтобы получить доступ к файлам, нужны полномочия администратора. Приходится доверять программам, которые получают доступ к файлам – файловому менеджеру, например. Если нужно запустить какую нибудь программу с закрытым кодом от имени администратора, то все важные файлы предварительно прячу в шифрованный контейнер truecrypt. Перед тем, как примонтировать шифрованный раздел, нужно убедиться с помощью process hacker, что в системе нет запущенных от админа сомнительных программ, потому что в них может быть встроен кейлоггер.

Система не очень удобная. В этой теме подходящих решений не увидел.
— ivanych (09/12/2016 19:03)   профиль/связь   <#>
комментариев: 1   документов: 1   редакций: 0
Уважаемый Гость_, выше вы посоветовали следующее:

Зарегистрировать в системе нового юзера. Сделать его владельцем нужной папки. Запретить этому юзеру выход в сеть. С папкой работать только из-под того юзера. Данные между юзерами передавать под администраторским аккаунтом.


А как, собственно, запретить юзеру выход в сеть? Существует ли штатный способ это сделать? Интернет подключен через роутер. Очень не хотелось бы настраивать специально роутер. В гугле говорят, что штатного способа отключить интернет для пользователя нету, нужно юзать сторонние программы, и все, которые я нашел, платные.
Ваша оценка документа [показать результаты]
-3-2-1 0+1+2+3