Почему? Есть 3 простых правила, которые резко понижают риск заражения системы чем-то вредоносным: 1. не работать под аккаунтом администратора 2. не работать под аккаунтом администратора 3. не работать под аккаунтом администратора Я не могу представить себе обычного пользователя, которому для работы постоянно нужны права админа. А раз в n-ное количество дней, когда такие права понадобились, можно легко и непринужденно повысить их себе для выполнения конкретной задачи. Это не аргумент. Кому-то может удобно не запирать дверь, ключи таскать лень и т.д. Это тоже не запрещено. Но если кто-то оставит дверь открытой и его обворуют - ему скажут: "парень, ты глупый человек и сам себе злобный буратино". Никто не будет советовать нанять платного охранника или попросить соседа покараулить забесплатно. А если кто-то сидит под админом и хватает вирусни постоянно, ему, вместо того, чтобы объяснить, как работать с компьютером, советуют антивирусы. В любой мало-мальски приличной конторе юзеры работают из-под ограниченных учетных записей и никто не жалуется. А дома надо обязательно под админом сидеть. Это что фетиш какой-то? ---------- Сообщение добавлено 03.11.2011 16:07 ---------- Куклачёв, вот объясните, если не трудно, зачем вам перманентные админские права? Это не стеб, правда интересно, я просто себе такую ситуацию не могу представить.
Объясните, зачем мне выполнять какие-то правила, если у меня система ничем вредоносным не заражается? С чего Вы решили, что у меня открытая дверь? У меня настроен брандмауэр и работает антивирус. У моих знакомых и коллег тоже самое и никто не хватает вирусы. И работаю я под админом не только дома, но и на работе. Мне так удобно. И у меня нет с этим никаких проблем. и у всех, кого я знаю, нет никаких проблем. Если бы были какие-то проблемы, скорее всего я бы пересмотрел смотрел свои взгляды. То есть я вращаюсь в том круге людей у которых у всех админские права, и которые не ловят вирусы. А теперь вопрос Вам. Почему я должен что-то делать, как-то себя ограничивать, совершать какие-то дейтсвия (в данном случе ограничивать себя в правах) совершенно бесцельно?
Вы обладаете хорошей квалификацией и советуете делать то же людям с низкой квалификацией, я правильно понял? Ясно, на вопрос вы не ответите.
Делать что??? Я ничего не делаю. Это Вы почему-то заставляете меня что-то делать. Моя квалификация применительно к этой ситуции совершенно ни при чем. Давайте я по шагам попробую. Я устанавливаю Winsdows на компьютер под локальным администратором, затем я ввожу компьютер в домен и добавляю себя как доменного пользователя. Мне предлагается два варианта - либо добавить его в группу обычных пользователей, либо в группу локальных администраторов. Я добавляю себя в группу локальных администраторов и начинаю работаь на компьютере. Про обычного локального администратора я забываю и всегда работаю под доменным пользователем.
Добавляется доменный пользователь "Домен\Пользователь" и он же добавляется в группу локальных администраторов. После чего работа работа ведетмся только от его имени.
Куклачёв, я может быть вам тайну открою, но если вы работаете под "обычным" пользователем, но с правами локального администратора, то это то же самое что и локальный "Администратор". Разговор-то идет об ограничении прав самому себе. Про "Домен/Пользователь" вообще что-то не догоняю. Это на домашнем компьютере все происходит?
Спасибо, Капитан О! У меня нет домашнего компьютера, впрочем, как и рабочего. У меня несколько ноутбуков. Вот я и не пойму, зачем вы разговоры разговариваете и пятаетесь напрячь меня, чтобы я себе что-то ограничил. Зачем? Я так логинюсь к себе на ноутбуки
на все сразу или по очереди? а они входят в домен? а что у вас за контроллер? используете ли AD? я-то хакер.ру не читаю...
Да Вы и форум не читаете ---------- Сообщение добавлено 04.11.2011 13:03 ---------- Бывает на несколько сразу, бывает по очереди
По вопросу ограничения проще создать соотвествующую отдельную тему. И кстати - рекомендации нужны тем, кто не уверен в том как ему поступить. В частности применительно к ограниченным учеткам - эта рекомендация букдет полезна тем кто не знает какой учеткой ему пользоватся. Ну или например тем кто вообще не знает что такое учетка. Противостоять такой рекомендации с позиций человека который знает что к чему - бессмысленно, это личное дело такого человека, и любой спор будет попыткой навязать СВОЮ идею - всем, включая и неопытных людей.
плохо когда советуют не разбираясь в теме, на что в общем-то было обращено внимание, но человек либо не понимает, либо делает вид что не понимает
А какая разница? Термин "впаривать" не эквивалентен "вынуждают купить". Предвыборные листовки тоже впаривают. Бесплатно. но нафига? К тому же их не бывает бесплатных. Ресурсы моего компа они жрут? Жрут. И нехило. И нафих оно мне? Главный вирус - это пользователь. А от него никакой антивирь не спасает. Шутку помните? В чем разница между 'rm ./*.c' и 'rm ./* .c'? Правильно, разница в одном случайном пробеле. И принципиальная - в результате исполнения команды. К чему этот риск? Или Вы никогда по зашпарке не делали ничего плохого? Для этого и нужно ограничение прав. В первую очередь.
http://karmanov.wordpress.com/2011/11/14/record/ ---------- Сообщение добавлено 14.11.2011 13:01 ---------- Ресурсов моего компа хватает, чтобы не замечать работу антивируса. Несколько лет работаю, проблем нет.
Значит ресурсов Вашего компа хватит чтобы пару узлов ботнетов протянуть и не заметить. Раз не жалко, то пусть им. Зачем против них защиту ставить? Тем выше вероятность что в ближайшее время возникнут.
sp_r00t, Для ботнета, я думаю, хватит ресурсов и Вашего компа. А насчет защиты - так она у меня установлена: антивирус, файрвол, NAP, SC CM desired configuration. Не вижу связи. У меня будущее уже несколько лет каждый день наступает.
Вы, часом не в CIA работаете? Но эт ладно. Мне больше интересно - чего именно Вы так боитесь, что Вам не лень было одной конфигурацией столь разнообразных средств заниматься? Зловещим голосом напоминаю, что если Вы пропустите один пробел, то все это нагромождение защит не защитит Вас от потери данных. Детерминированной связи нет. Однако у немцев есть поговорка - чем дольше ходишь с кувшином за водой, тем скорее он разобьется.
Эти 40 "критических" ошибок, часто в подсистемах не использующихся на десктопах, или вообще очень редко использующихся, просто меркнут по сравнению с вот этим: http://technet.microsoft.com/en-us/security/bulletin/ms11-083
pm, Да ради бога, ошибки есть везде. Вопрос в их количестве и скорости исправления. Статистику я уже приводил. И почему они меркнут? Если Вы хотите быть логичным, то лучше посоветуйте вместо Ubuntu поставить FreeBSD.
Вопрос не только в этом. ИТ-секьюрщики кстати часто приводят подобную аргументацию, причем не обязательно в защиту небезывестной фирмы. Но аргументация порочна тем, что не учитывает фактор заинтересованности противоположной стороны баррикад. В ядре линуха можно находить хоть по сто критических уязвимостей в день и быть при этом уверены, что "промышленных" эксплойтов не будет никогда. Ибо как никому это не надо из-за малого сегмента (это раз) ибо как разнообразие ядер и их конфигураций еще больше сужает этот сегмент (это два) и то, что ряды линухоидов как правило намного более грамотны с точки хрения безопасности чем "подоконники" это три. Но любая единичная критическая уязвимость в продукции той самой фирмы мгновенно привлекает внимание желающих по тому, как с перечисленными признаками дело обстоит в точности наоборот.
Давайте определимся - что рекомендации в рамках этой темы, расчитаны на то чтобы максимально сократить количество отказов и вреда от сяких нежелательных программ. С позиции человека привыкшего использовать ПО, это означает что весь программный комплекс настроен так, чтобы пресекать попытки выполнения вредоносного кода, не требуя от оператора: - принятия решения о блокировке того или иного кода. - действий связанных с управлением системой защиты. На практике - предотвратить выполнение левых задач, можно: - своевременно устанавливая заплатки, иначе меры связанные с установкой стороннего антивирусного ПО могут оказаться бессмысленными (а в идеале автоматическое обновление, которое работает по нашему заданию, не требуя принятия решения - только из купленной коробки). - использовать систему контроля сетевой активности приложений (для наших задач, максимально этому требованию удовлетворяет встроенный брандмауэр винды). Включить фаервол винды. - использовать MSE - использовать обычные пользовательские права. - использовать запрет на установку не подписаных дров (опционально - так как всяких чудопрограм с дровами без подписей пруд пруди). Все эти меры позволяют не отвлекать мозги на ловлю вирусов, гарантируют высокую степень защиты. И главное - при условии покупки винды в магазе а не на радиорынке, бесплатны. Причем первоочередной мерой, надо принять обновление до актуального состояния ОС. С остальным по вкусу, если есть желание и мозги копаться в потрохах винды - можно установить касперский и приниматьь решение кажный раз когда нечто пытается записать данные в реестр или на диск). Ну - может спорт такой.
Потому, что по вашей ссылке чтобы вызвать крах ядра надо использовать VLAN, или же успеть сетевой пакет в момент когда загружается модуль ip_gre, или использовать устройство bluetooth c прошитым в него сверхдлинным именем. И это для backport-ядра, которое мало кто использует на 10.04 LTS… А тут для всех версий Windows от Vista до 2008 Server: >The vulnerability could allow remote code execution if an attacker sends a continuous flow of specially crafted UDP packets to a closed port on a target system. Т.е. удаленное выполнение кода с привилегиями ядра, причем при посылке на ЗАКРЫТЫЙ UDP-порт Дальше объяснять? ЧЮ у вас есть, ага
А что там в немецкой пословице говорится? PS. Попробую спросить статитику, если дадут выложу. ---------- Сообщение добавлено 14.11.2011 16:28 ---------- при чем тут VLAN?
Не забываем, что степень опасности получается умножением вероятности возникновения проблемы на потенциальный вред от этой проблемы. Конечно кто-нибудь когда нибудь напишет аццкого червя, который залезет мне в комп и подсадит мне того же бота. И что? Ничтожность этой проблемы умноженная на ее вероятность позволяет мне совершенно об этом не думать. А вот опасность от того, что можно по ошибке натворить из под рута намного значительнее. Тут и вероятность выше и потенциальный вред ощутим.
А что я могу по ошибке натворить от имени локального администратора? "format c:"? ---------- Сообщение добавлено 15.11.2011 21:08 ---------- На неткрафте можно посмотреть на этот малый сегмент, выраженный примерно в 70%
Я Вам уже приводил пример ошибки, причем ошибки достаточно распространенной. 70% это что? Линухи? Не забываем, что из этих 70% только у 0.0023% та самая версия ядра и ядро сконфигурировано именно так, как нужно данному эксплойту.
Ну а что такого страшного произойдет? Не согласен. На самом деле другое число. Не 0.0023%, а, например, 66%
В приведенном примере? Сильно зависит от текущего каталога. Я как то правил пару собственных скриптов, которых засунул в /bin, А потом решил удалить все файлы типа *~ которые остаются после vim'a. И да, таки ляпнул пробел между звездой и слэшем. На что система мне сказала, что прав то у меня тю-тю. О неприятностях связанных с опустошением каталога /bin думаю рассказывать не нужно. Вы реально полагаете, что две трети линуховодов держат именно ту версию ядра собранную именно тем способом, который нужен конкретному эксплойту? Да я еще двух линухоидов с одинаковым ядром ни разу не встречал