Памятка пользователю по информационной безопасности. Как защитить свой компьютер и информацию на нем.

На эту тему писали уже много раз, но пользователи все равно продолжают совершать ошибки, от которых их предостерегают авторы статей о компьютерной безопасности. Поэтому напишем еще раз.

Многие люди оправдывают то, что не предпринимают никаких мер по защите своих компьютеров и хранящихся на них данных тем, что все равно они злоумышленникам не интересны, они ведь не правительственная организация и не банк. Это крайне опасное заблуждение. Доступ к компьютеру рядового пользователя нисколько не менее привлекателен для злоумышленника, чем доступ к банковской сети. Даже более, потому что пользу извлечь можно, а вероятность понести за это ответственность гораздо меньше.

Для чего злонамеренным личностям может понадобится ваш компьютер? Вот примеры:

• Чтобы рассылать с него спам.
• Чтобы собрать адреса электронной почты для рассылки спама.
• Чтобы получить ваши личные данные, такие как учетные записи для доступа к банковским счетам, системам интернет-платежей или обычным сайтам. Последним тоже есть много применений, например чтобы выдать себя за вас и получить от ваших друзей нужную им информацию, или опять же для рассылки спама от вашего имени.
• Чтобы использовать его в DDoS атаках или подборе паролей. DDoS атака (англ. Distributed Denial of Service — распределенный отказ в обслуживании) это тип атаки на сервер или сеть, заключающийся в отправке большого количества запросов с целью увеличить нагрузку на сервер и затруднить к нему доступ.
• Чтобы использовать его для распространения вредоносных программ.

Достаточно напугал? Для полноты эффекта нужно добавить, что ответственность за все эти действия будете нести вы. Причем нередко не абстрактную ответственность в суде, а вполне ощутимую, такую как бан на сайте, учетная запись которого стала доступна злоумышленнику или блокировка почтового ящика за рассылку с него спама.

Что делать, чтобы этого не случилось? Вот ряд несложных советов, которые позволят существенно понизить вероятность несанкционированного доступа к вашим компьютерам и информации на них. Рассмотрим по пунктам.

Безопасность в интернете

Надежные пароли

Пароль qwerty — очень плохая идея. Дата рождения, кличка собаки и любые общедоступные данные о вас в качестве пароля не менее плохая идея. И пароль, состоящий из цифр. Это только теоретически на подбор пароля из восьми символов уйдут годы, потому что прямым перебором давно никто не занимается. Подбор пароля чаще всего ведется с использованием словарей, содержащих распространенные слова, что обычно приводит к результату гораздо быстрее. Мораль: используйте надежные пароли.

Придумать безопасный и надежный пароль достаточно просто. Например, возьмите два слова, напишите их с разным регистром букв, добавьте несколько цифр. Хорошо будет, если вы добавите еще специальные символы и будете использовать малоизвестные слова, слова с грамматическими ошибками или вовсе несуществующие. Для поиска подходящих слов можно открыть узкоспециальную литературу на любой странице :) Примеры: Пересылки.пространству79, или наращиваетсяМатрично#64.

Даже если пароль состоит из русских слов, лучше набирать его в английской раскладке, этим вы избежите проблем с кодировками (а некоторые системы вовсе не поддерживают отличные от латиницы символы в паролях) и пароль будет выглядеть как бессмысленный набор латинских букв.

Защита от кражи пароля

Никогда не сохраняйте ваши пароли. Большинство программ хранят их в открытом виде и тот, кто получит доступ к вашему компьютеру, получит доступ и к ним. В крайнем случае можно использовать специализированные программы, хранящие пароли в зашифрованном виде. Записывать их куда-либо тоже не следует.

Администрация сайтов, на которых вы зарегистрированы, никогда не попросит вас выслать им ваш пароль. Вообще никогда. Им это не может потребоваться ни для какой цели. И просить вас ввести его еще раз она тоже не попросит. Все письма с таким содержанием отправляются исключительно злонамеренными пользователями с целью получить ваши учетные данные (явление это называется фишинг, англ. phishing). Для справки: подделать адрес отправителя электронной почты очень простая задача, в этом поле можно указать хоть jesus@heaven.net.

Типичной практикой фишеров является создание страницы, повторяющей вид сайта некого сервиса на домене с очень похожим адресом. Например exampple.com/login вместо example.com/login. Ваши данные сохраняются на сервере злоумышленника, а потом вы перенаправляетесь на настояющую страницу. Мораль: внимательно проверяйте ссылки, по возможности лучше хранить их в закладках или набирать вручную.

Используйте разные пароли на разных сайтах и сервисах. В этом случае даже если кто-то получит один из ваших паролей, он не получит доступа к вашим учетным записям в других местах.

Безопасность в файлообменных сетях

Если вы пользуетесь файлообменными сетями (eDonkey, Gnutella, прочие p2p сети), выделите отдельный каталог для тех файлов, которые хотите выложить в общий доступ. Это же касается общих папок в локальной сети.

Опасность предоставления общего доступа к корню диска (например, C:\) состоит в следующем. Многие сайты, которые требуют регистрации и ввода пароля, используют механизм cookie для хранения сведений о вас. Это позволяет не набирать пароль каждый раз при обращении к сайту. (ссылка «Запомнить пароль» это оно и есть). Технически cookie представляет собой текстовый файл. Они хранятся в вашем домашнем каталоге, внутри каталога с настройками и данными браузера. Если кто-то получит к ним доступ, он сможет с их помощью выдать себя за вас и получить доступ к вашей учетной записи на сайте.

Восстановление пароля

На многих сайтах существует возможность восстановить пароль, причем во многих случаях для этого требуется ответить на контрольный вопрос. Никогда не пишите в ответе данные, которые могут знать другие люди. Номер машины, девичья фамилия и любимый цвет если не общедоступны, то их всегда можно узнать под благовидным предлогом.

Мораль: указывайте в ответе на контрольный вопрос что-то, что действительно известно только вам. А еще лучше не относящиеся к сути вопроса, или записанное странным образом. Ответ rgb(255,0,0) в качестве ответа на вопрос про любимый цвет, или постоянная Больцмана до шестого знака в качестве любимого числа это уже не так плохо.

Безопасность личного компьютера

Не работайте под учетной записью администратора. Эта учетная запись (root под UNIX, Администратор под Windows) предназначена не для повседневной работы, а исключительно для сопровождения системы. Заходить под ней нужно только для изменения настроек, установки программ и прочих задач, действительно требующих таких привелегий. Если лень выходить и заходить под административной учетной записью, есть средство «Запуск от имени» (прямой аналог sudo в UNIX).

Ставьте для административной учетной записи достаточно сложный пароль. Для обычных пользователей это тоже имеет смысл, но для административной это критично.

Оставьте учетной записи только необходимые права. Удалите ее из группы «Администраторы» и внесите в группу «Пользователи». Это стоит сделать потому, что многие вредоносные программы не используют уязвимости системы, и при запуске от имени пользователя с ограниченными правами не смогут причинить существенного вреда. Под Windows это можно сделать в Панели управления, оснастка «Пользователи и группы», либо выполнив команду lusrmgr.msc. Под UNIX правьте /etc/group.

Используйте автоматическое обновление системы. Это необходимо потому, что во всех программах порой встречаются ошибки, и некоторые из них могут быть использованы для несанкционированного получения доступа к тому, к чему его быть не должно. Живой пример: уязвимость в RPC DCOM Windows NT, позволявшая получить неограниченный доступ к системе, в том числе по сети. Автоматическое обновление обеспечит вам более или менее своевременное исправление этих ошибок и не позволит злоумышленнику ими воспользоваться. Это же касается обновления прочих программ.

Для предотвращения атак по сети используйте файрволл. Хотя бы брандмауэр Windows, лучше более серьезные решения. Многие сетевые устройства, такие как ADSL-модемы и маршрутизаторы включают в себя эту функцию, разберитесь как ее настроить.

Вредоносные программы

Установленный антивирус не является ганантией защиты от вредоносных программ. Сколько-нибудь надежную защиту обеспечивает только установленный и своевременно обновляемый антивирус. Поэтому настройте в нем автоматическое обновление. Следствие отсюда: нет смысла ставить не лицензионную копию антивируса, если вы не знаете, где раздобыть к нему обновления. Можете поставить Avast!, авторы которого разрешают бесплатно использовать его на домашних компьютерах и бесплатно же предоставляют обновления.

Не устанавливайте программы из непроверенных источников. Лучше всего используйте свободное программное обеспечение, или покупайте лицензионное. Дело в том, что зачастую генераторы ключей и прочие кряки помимо всего прочего содержат в себе еще и вредоносное ПО (т.н. «троянский конь». Если уж используете пиратский софт, ищите готовые серийные номера.

Для проверки подозрительных файлов можно использовать серврис http://virusscan.jotti.org/ru. Он проверяет файл несколькими различными антивирусами.

Заключение

Соблюдение этих правил позволит вам если не исключить, то по крайней мере свести к минимум вероятность того, что злоумышленник сможет получить доступ к вашим компьютерам и данным. Не стоит пренебрегать безопасностью, вложение времени в нее полностью себя оправдывает.