Защита от эксплойтов dr web
Обновлено: 06.07.2024
В данном разделе вы можете настроить реакцию Dr.Web на действия сторонних приложений, которые могут привести к заражению вашего компьютера и выбрать уровень защиты от эксплойтов.
При этом вы можете задать отдельный режим защиты для конкретных приложений и общий режим, настройки которого будут применяться ко всем остальным процессам.
Для задания общего режима превентивной защиты, выберите его в списке Режим работы или нажмите на опцию Изменить параметры блокировки подозрительных действий . В последнем случае откроется окно, где вы сможете подробнее ознакомиться с настройками для каждого из режимов или изменить их. Все изменения в настройках сохраняются в Пользовательском режиме работы. В этом окне вы также можете создать новый профиль для сохранения нужных настроек.
Создание нового профиля
2. В открывшемся окне укажите название для нового профиля.
3. Просмотрите настройки защиты, заданные по умолчанию и, при необходимости, отредактируйте их.
Для задания настроек превентивной защиты для конкретных приложений, нажмите на опцию Изменить параметры доступа для приложений . В открывшемся окне вы можете добавить новое правило для приложения, отредактировать уже созданное правило или удалить ненужное.
2. В открывшемся окне нажмите кнопку Обзор и укажите путь к исполняемому файлу приложения.
3. Просмотрите настройки защиты, заданные по умолчанию и, при необходимости, отредактируйте их.
Чтобы отредактировать уже созданное правило, выберите его из списка и нажмите на .
Чтобы удалить уже созданное правило, выберите его из списка и нажмите на .
Подробнее с настройками каждого из режимов работы вы можете ознакомиться ниже в разделе Уровень превентивной защиты.
Уровень превентивной защиты
В режиме работы Оптимальный , установленном по умолчанию, Dr.Web запрещает автоматическое изменение системных объектов, модификация которых однозначно свидетельствуют о попытке вредоносного воздействия на операционную систему. Также запрещается низкоуровневый доступ к диску и модификация файла HOSTS.
Средний уровень защиты можно установить при повышенной опасности заражения. В данном режиме дополнительно запрещается доступ к тем критическим объектам, которые могут потенциально использоваться вредоносными программами.
В данном режиме защиты возможны конфликты совместимости со сторонним программным обеспечением, использующим защищаемые ветки реестра.
Параноидальный уровень защиты необходим для полного контроля за доступом к критическим объектам Windows. В данном случае вам также будет доступен интерактивный контроль за загрузкой драйверов и автоматическим запуском программ.
В режиме работы Пользовательский вы можете выбрать уровни защиты для каждого объекта по своему усмотрению.
Целостность запущенных приложений
Данная настройка позволяет отслеживать процессы, которые внедряются в запущенные приложения, что является угрозой безопасности компьютера. Не отслеживается поведение тех процессов, которые добавлены в Исключения .
Целостность файлов пользователей
Данная настройка позволяет отслеживать процессы, которые модифицируют пользовательские файлы по известному алгоритму, свидетельствующему о том, что такие процессы являются угрозой безопасности компьютера. Не отслеживается поведение тех процессов, которые добавлены в Исключения . Для того чтобы защитить свои данные от несанкционированных изменений, вы можете настроить создание защищаемых копий важных файлов.
Файл HOSTS используется операционной системой для упрощения доступа к сети Интернет. Изменения этого файла могут быть результатом работы вируса или другой вредоносной программы.
Низкоуровневый доступ к диску
Данная настройка позволяет запрещать приложениям запись на жесткий диск посекторно, не обращаясь к файловой системе.
Данная настройка позволяет запрещать приложениям загрузку новых или неизвестных драйверов.
Критические области Windows
Прочие настройки позволяют защищать от модификации ветки реестра (как в системном профиле, так и в профилях всех пользователей).
Доступ к Image File Execution Options:
Доступ к User Drivers:
Параметры оболочки Winlogon:
Автозапуск оболочки Windows:
Ассоциации исполняемых файлов:
Политики ограничения запуска программ (SRP):
Плагины Internet Explorer (BHO):
Конфигурация безопасного режима:
Параметры Session Manager:
Если при установке важных обновлений от Microsoft или при установке и работе программ (в том числе программ дефрагментации) возникают проблемы, временно отключите превентивную защиту.
Вы можете настроить вывод уведомлений о действиях превентивной защиты на экран и отправку этих уведомлений на электронную почту.
Защита от эксплойтов
Эта опция позволяет блокировать вредоносные объекты, которые используют уязвимости в популярных приложениях. В соответствующем выпадающем списке выберите подходящий уровень защиты от эксплойтов.
Блокировать исполнение неавторизованного кода
Попытка вредоносного объекта использовать уязвимости в программном обеспечении для получения доступа к критическим областям операционной системы будет автоматически заблокирована.
Разрешать исполнение неавторизованного кода
Попытка вредоносного объекта использовать уязвимости в программном обеспечении для получения доступа к критическим областям операционной системы будет автоматически разрешена.
Практически на каждом компьютере найдется «черный ход», через который злоумышленники могут проникнуть в ваш цифровой дом.
Компонент Защита от эксплойтов убережет от вредоносных объектов, пытающихся для проникновения в систему использовать уязвимости в популярных приложениях. При обнаружении попытки проникновения через уязвимость, Dr.Web принудительно завершает процесс атакуемой программы.
Эксплойт (от англ. exploit – использовать, эксплуатировать) – вредоносная программа, последовательность команд или специально написанный вредоносный код, использующие уязвимости в том числе для доставки троянцев в систему или для взлома ПО. Существуют также наборы эксплойтов – «эксплойт-паки», предназначенные для использования целого ряда уязвимостей.
Эксплойт позволяет злоумышленнику внедриться в систему незаметно. Даже если ОС настроена так, что при запуске программ (одна из которых может быть и вредоносной) она выдает предупреждение о старте приложения, вредоносный код может исполниться незаметно для пользователя, благодаря эксплуатации уязвимостей.
Dr.Web защищает от эксплойтов, перехватывая внедряющуюся через уязвимость программу.
Узнайте больше
О том, как злоумышленники проникают в якобы защищенные системы, как создаются эксплойты, читайте в выпусках рубрики «Уязвимые» и «Незваные гости» проекта «Антивирусная правДА!».
От антивируса пользователю требуется "немного" - чтобы не мешал в работе, не пугал надоедливой рекламой и не тратя ресурсов компьютера ловил все вирусы до одного. И антивирус Dr.Web отвечает этим требованиям на все 100.
Установка антивируса проста как свои пять пальцев. Ее можно провести лишь нажимая на кнопку "Далее", но мы можем подсказать, как получить от антивируса больше.
Во первых отметьте в начале установки галочкой пункт Установить Брандмауэр Dr.Web. Сейчас вирусы (да и хакеры тоже) не мыслят себя без связи со всемирной сетью - и вот тут на их пути встает Брандмауэр Dr.Web - не давая ни войти хакерам, не выйти установленным ими когда-то утилитам для получения команд из вражеского "центра".
Здесь же отметим, что антивирус Dr.Web отличается редкой по нынешним временам особенностью - он не загружает файлы пользователей на свои сервера для дополнительных анализов. Это четко прописано в его политике.
И еще одна "кстати". В дополнительных настройках есть неприметная опция - Запрещать эмуляцию действий пользователя.
Нужна она для того, чтобы удаленный пользователь, например, хакер, получивший доступ на ваш компьютер, не удалил ваш антивирус, чтобы тот не препятствовал его работе. Бухгалтеры, которых именно так обычно и атакуют, данную защиту думаю оценят.
А теперь самое важное место - регистрация серийного номера.
Дело в том, что, если вы купили 2 лицензии Dr.Web (или купили коробку с антивирусом в магазине на двух пользователей), то вы можете зарегистрировать обе лицензии на себя. И получите дополнительные 150 дней действия антивируса. Почти полгода!
Активировать обе лицензии можно как во время установки, так и после нее. Бонус все равно будет.
Завершаем установку и перезагружаемся. Зачем? Да очень просто. Хакеры не любят антивирусы и любят их сносить. Чтобы этого не допустить у Dr.Web есть самозащита - она не дает изменить настройки антивируса никому, даже вашему ребенку, которому вы запретили играть по ночам. Вот этот модуль самозащиты и устанавливается при перезагрузке.
Собственно и все. Теперь Dr.Web будет молча ловить всю заразу, которой переполнен Интернет (а также флешки, которые ваши дети приносят от друзей).
Что мы получаем сразу после установки?
Dr.Web Security Space (а это лучший выбор, если мы хотим защититься от всего спектра современных угроз, так как "просто антивирусы" не позволяют надежно защититься от угроз нулевого дня - скажем тех, для которых уже есть заплатки, но эти заплатки еще не доставлены на компьютер пользователя) по умолчанию устанавливает следующие свои модули (их спимок можно скажем задать при установке ):
- главный компонент - SpIDer Guard. Он следит за всеми запускаемыми файлами и проверяет их до запуска. Кстати особенность 12й версии — данный модуль использует для анализа не только традиционные антивирусные базы, но и правила, сформированные с помощью машинного обучения (то самое, которое журналисты часто называют искусственным интеллектом).
- не менее важный компонент - SpIDer Gate. Модуль проверки трафика. Крайне важен, так как зачастую файлы, скачанные браузером, не записываются на диск и не попадают поэтому в зону ответственности предыдущего компонента. При том числе майнеров и прочих следящих за нами модулей - жить без этого модуля не рекомендуется.
- Проверка почты. SpIDer Mail. В связи с разнообразием современной почты и тем, что компания Microsoft не любит открытые стандарты, дополняется модулем Dr.Web для Outlook (это специальный модуль, который проверяет почтовые ящики Microsoft Outlook) Современная почта доставляется по защищенному каналу, а, значит, чтобы ее проверить до открытия пользователем тоже нужен специальный модуль. SpIDer Mail обнаруживает и обезвреживает угрозы до получения писем почтовым клиентом с сервера или до отправки письма на почтовый сервер.
- Антиспам. Назначение понятно, работает вместе с предыдущим модулем и защищает от спамеров и фишеров.
- Антивирусный сканер Сканер Dr.Web. Запускается по запросу пользователя или по расписанию и производит глубочайшую антивирусную проверку компьютера.
- Брандмауэр Dr.Web. О нем мы уже говорили, это персональный межсетевой экран, предназначенный для защиты вашего компьютера от несанкционированного доступа извне и предотвращения утечки важных данных по сети.
- Родительский контроль — компонент, который ограничивает доступ к сайтам, файлам и папкам, а также позволяет ограничить время работы в сети Интернет и за компьютером для каждого пользователя компьютера.
- Поведенческий анализ и Защита от эксплойтов — компоненты, контролирующие доступ приложений к критически важным объектам системы и обеспечивающий целостность запущенных приложений.
- Защита от вымогателей — компонент, обеспечивающий защиту от вирусов-шифровальщиков.
- Облако Dr.Web - модуль, позволяющий обнаруживать вредоносные программы на основе знаний об их поведении. Как уже было отмечено - файлов пользователя в сеть не загружает.
- Антивирусная сеть - компонент, позволяющий вам управлять защитой нескольких компьютеров, если конечно на них установлен Dr.Web.
- Защита от потери данных - уникальный модуль, позволяющий назначить папки, доступ к которым будет только у доверенных программ, но никак не у вирусов.
- Защита от слежки через микрофон и вебкамеры. Отличная альтернатива заклеиванию т того и другого, о их настройке поговорим ниже.
- Защита сменных устройств. Позволяет ограничить список устройств, имеющих доступ к компьютеру. Жизненно важная штука.
Dr.Web Security Space обеспечивает многоуровневую защиту всех компонентов защищаемых компьютеров: системной памяти, жестких дисков и сменных носителей от проникновений вирусов, руткитов, троянских программ, шпионского и рекламного ПО, хакерских утилит и различных вредоносных объектов из любых внешних источников
И сразу о детях (или о ваших пожилых родителях, которым вы настроили Интернет). Поживиться на них хотят многие мошенники, и им этого позволять не стоит
Кликаем на зеленый щиток в трее, далее пункт "Центр безопасности" и далее "Родительский контроль".
На экране перечислены все пользователи вашего компьютера (напомним, что если вы хотите задать разные ограничения для разных пользователей, то каждый из них должен заходить на компьютер под своей учетной записью. Увы, но антивирус не видит, кто сидит перед компьютером).
Нажимаем на замочек в нижнем углу и выбираем пользователя.
Как видим по умолчанию Интернет без ограничений. Непорядок
Выбираем Ограничивать доступ по категориям (если мы выберем Разрешать доступ только к сайтам из белого списка , то нам самим придется задать список разрешенных сайтов).
Теперь получить доступ к вредоносным сайтам станет сложнее.
На закладке "Время" вы можете ограничить время работ за компьютером.
Полезная возможность. А закладка Файлы и папки еще полезнее
Вы можете задать список папок, к которым пользователь или вообще не будет иметь доступ (не все фотографии нужно видеть всем!), или не сможет изменить их содержимое
Всем думаем известно, что хакеры - вуайеристы - любят подглядывать и подслушивать. Можно конечно заклеить пленкой камеру и микрофон, но есть способ лучше. В том же окне Центр безопасности есть раздел Устройства и личные данные. Там есть два похожих раздела - Веб-камеры и Микрофоны. Настройка их аналогична, зайдем в один такой.
Вы можете полностью разрешить доступ к камере, блокировать ее или при попытке доступа к ней выводить запрос. И конечно можете выбрать и указать программу, которая должна иметь возможность работать с камерой (или микрофоном).
Еще одна часть раздела Устройства и личные данные - Устройсва. Второй по популярности метод проникновения вредоносных программ на ваши компьютеры - сменные устройства. Если вы хотите прекратить вседозволенный доступ любых флешек к вашему компьютеру - заходим в этот раздел и настраиваем ограничения. От полного запрета и до списка разрешенных флешек и сменных устройств.
Вставляем флешку и отмечаем ее.
Доступ к устройству кстати также может быть разным у разных пользователей.
Эксплойты представляют из себя особый вид вредоносного ПО, которое используется злоумышленниками для установки различных троянских программ или бэкдоров на компьютер пользователя. Такая операция установки с использованием эксплойтов осуществляется незаметно для пользователя, что дает злоумышленникам неоспоримые преимущества. Эксплойт пытается использовать уязвимость в том или ином компоненте ОС для проведения подобной операции.
Для пользователя наиболее опасным сценарием является использование злоумышленниками эксплойта, который позволяет удаленно установить код в ОС. В таком случае человеку достаточно посетить скомпрометированный веб-ресурс для заражения вредоносным кодом (drive-by). Если на вашем компьютере установлена уязвимая версия ПО: браузера или плагинов к нему, то вероятность того, что вы сможете заразиться вредоносным кодом очень высока.
Обновлять ОС, а также установленное ПО является хорошей практикой поскольку производители регулярно закрывают вновь появляющиеся в нем уязвимости. К числу компонентов, через которые пользователь подвергается особому риску, можно отнести следующие:
- Браузеры (MS Internet Explorer, Google Chrome, Apple Safari OS X, Mozilla Firefox и др.).
- Плагины для браузеров (Adobe Flash Player, Oracle Java, MS Silverlight).
Антивирусные продукты умеют обнаруживать эксплойты по сигнатурам. Таким образом он позволяет защитить пользователя от вредоносного контента на лету, заблокировав соответствующую веб-страницу с вредоносным содержимым.
Современные выпуски Microsoft Windows: Windows 7, 8 и 8.1 имеют встроенные механизмы, которые позволяют защитить пользователя от деструктивных действий эксплойтов. К таким возможностям относятся:
- Механизмы DEP & ASLR, которые значительно затрудняют возможность эксплуатирования той или иной уязвимости в ПО и ОС за счет наложения ограничений на использование памяти не подлежащей исполнению и размещение программ в памяти по произвольным адресам. DEP & ASLR на Windows 7+ используются на максимально возможном уровне.
- User Account Control, UAC, который был доработан начиная с Windows 7 и требует подтверждение от пользователя на запуск программ, которым необходимо изменение системных настроек и создание файлов в системных каталогах.
- Фильтр SmartScreen для ОС (начиная с Windows 8 для ОС), который помогает предотвратить загрузку вредоносного ПО пользователем из интернета на основе его репутационной информации Microsoft.
- Специальный «расширенный защищенный режим» (Enhanced Protected Mode) для браузера Internet Explorer (начиная с IE 10). На Windows 8 позволяет запускать вкладки браузера в контексте изолированных процессов, которые ограничены в выполнении определенных действий. Для Windows 7 x64 позволяет запускать вкладки браузера как отдельные 64-битные процессы.
Файлы, предназначенные для открытия в программах Adobe Reader, Acrobat имеют формат PDF и являются достаточно опасными, особенно, если получены из неблагонадежных источников. Adobe расширили PDF до маскимально возможного уровня, позволяя встраивать туда всевозможное содержимое. Одним из основных преимуществ использования документов в формата PDF является кроссплатформенность при условии доступности ридера (Adobe Reader) для необходимой вам платформы.
Во многих случаях злоумышленники используют именно вредоносные PDF-файлы для доставки вредоносных программ пользователю. В случае если используемая версия Adobe Reader является уязвимой, существует высокая вероятность заражения компьютера.
В виду высоких рисков использования PDF-документов из небезопасных источников, а также учитывая нерасторопность пользователей в вопросах безопасности, современные версии Adobe Reader имеют специальный «Защищенный режим» просмотра документов или «sandboxing» (Защита в изолированной программной среде). При использовании такого режима, коду из PDF файла полностью запрещается выполнение определенных потенциально опасных функций.
Рис. Настройки режима «sandbox» в Adobe Reader.
По умолчанию защищенный режим находится в отлюченном состоянии. Несмотря на активную галочку «Включить защищенный режим при запуске», он выключен поскольку опция использования этого режима находится в состоянии «Отключен». Соответственно после установки программы крайне рекомендуется перенести эту настройку в режим «Для файлов из потенциально небезопасных источников» или «Все файлы».
Обратите внимание, что при включении защищенного режима, Adobe Reader отключает ряд функций, которые могут быть использованы в PDF-файлах. Поэтому при открытии файла вы можете получить следующее уведомление.
Рис. Всплывающая подсказка, указывающая на активный защищенный режим просмотра.
В случае если вы уверенны в происхождении этого файл, вы можете активировать все его функции нажав соответствующую кнопку.
Adobe Flash Player
Злоумышленники очень любят Adobe Flash Player. Поскольку его плагины для проигрывания содержимого используются во всех браузерах, поиск уязвимостей в нем и последующеее их использование во вредоносных целях является крайне приоритетной задачей у злоумышленников.
Как и другое ПО от Adobe, Flash Player регулярно обновляется в рамках выпускаемых компанией серий обновлений (Adobe Security Bulletins). Большинство из этих уязвимостей имеют тип Remote Code Execution, это говорит о том, что злоумышленники могут использовать ту или иную уязвимость для удаленного исполнения кода.
Производители веб-браузеров как и Adobe не сидят на месте и встраивают специальные механизмы защиты от эксплойтов, которые используют плагины Flash Player. Такие браузеры как MS Internet Explorer (v10 на Windows 8), Google Chrome и Safari OS X (новейшей версии) запускают проигрыватель Flash Player в контексте sandbox-процесса (т. е. песочницы), ограничивая доступ этому процессу ко многим системным ресурсам, местам в файловой системе и работе с сетью.
Очень важной функцией является своевременное обновление плагина Flash Player для браузера. Такие браузеры как Google Chrome и Internet Explorer 10 автоматически обновляются с выходом новой версии Flash Player, таким образом проигрыватель для них будет обновлен автоматически.
Для проверки вашей версии Adobe Flash Player воспользуйтесь офиц. источником Adobe здесь.
Кроме этого, браузеры поддерживают возможность полного отключения плагина Flash Player, для запрещения браузеру проигрывать подобное содержимое. Мы уже писали развернутую статью о проблемах использования плагина Java в браузерах здесь. Отключение плагина Flash Player производится аналогичным образом.
Для Google Chrome.
«Настройки»->«Показать дополнительные настройки»->«Настройки контента»-> «Отключить отдельные модули».
Для Internet Explorer.
ESET Exploit Blocker
Является надстройкой над проактивной защитой в новейших версиях антивирусных продуктов седьмого поколения ESET Smart Security и ESET NOD32 Antivirus. В отличие от обычного статического обнаружения по сигнатурам, модуль Exploit Blocker анализирует поведение приложения на предмет совершения им подозрительных действий и приемов, которыми пользуются эксплойты. После обнаружения подобных действий, они подвергаются анализу и вредоносный процесс немедленно блокируется. Некоторые подобные действия подвергаются дополнительному анализу в нашем облаке, что предоставляет дополнительные возможности по защите пользователей от таргетированных атак и атак с применением 0day эксплойтов.
MS Internet Explorer и Google Chrome
Мы уже писали в начале нашего материала, что наиболее предпочтительным методом атаки на пользователей для злоумышленников является удаленное исполнение кода через браузер (drive-by download). Так или иначе, вне зависимости от установленных плагинов сам браузер может содержать и, потенциально, содержит определенное количество уязвимостей. Если уязвимость уже исследована разработчиками и для нее выпущено обновление, пользователь может установить обновление и не беспокоиться, что злоумышленники скомпрометируют его ОС. С другой стороны, если злоумышленники используют еще неизвестную уязвимость, т. е. ту, которая не была закрыта (0day), ситуация для пользователя осложняется.
Многие современные веб-браузеры и ОС имеют в своем составе технологию изоляции процесса приложения, не допуская таким образом выполнения каких-либо действий, которые браузеру выполнять не положено. В общем случае такая техника называется sandboxing и позволяет накладывать ограничения на действия, выполняемые процессом. Одним из примеров такой изоляции является тот факт, что современные браузеры (напр. Internet Explorer и Chrome) исполняют свои вкладки как отдельные процессы в ОС, позволяя таким образом задавать разрешение на выполнение тех или иных действий конкретной вкладке, а также обеспечивая стабильность работы самого браузера. В случае, если одна из вкладок зависнет, пользователь может завершить ее не завершая другие.
В современных версиях браузера MS Internet Explorer (IE10 & 11) имеется специальная технология sandboxing, которая называется «Enhanced Protected Mode» (Расширенный Защищенный Режим). Этот режим позволяет ограничивать действия процесса вкладки или плагина и таким образом затруднять возможности эксплуатации браузера для злоумышленников.
Рис. Режим sandboxing для Internet Explorer, который стал доступен начиная с 10-й версии.
Enhanced Protected Mode (EPM) был доработан для Windows 8. Если вы используете EPM в Windows 7 x64, то эта возможность обеспечивает запуск вкладок браузера как 64-битных процессов (по умолчанию IE запускает свои вкладки как 32-битные процессы). Заметьте, что по умолчанию EPM выключен.
Рис. Демонстрация работы EPM на Windows 7 x64 [с использованием MS Process Explorer]. С включенной опцией, процессы вкладок браузера запускаются как 64-битные, что затрудняет их возможность эксплуатации для установки вредоносного кода.
Начиная с Windows 8, Microsoft ввели поддержку изоляции действий процесса (sandboxing) на уровне ОС. Технология получила название «AppContainer» и позволяет максимально возможно использовать преимущества такого режима для EPM. Процессы вкладок Internet Explorer с активной функцией EPM работают в режиме AppContainer. Кроме этого, в Windows 8 режим EPM включен по умолчанию.
Рис. Демонстрация работы EPM на Windows 8, для вкладок включен AppContainer (aka sandboxing).
Рис. Различия в работе EPM на Windows 7 & 8.
Google Chrome как и IE также имеет специальные возможности по предотвращению атак типа drive-by download. Но в отличие от него, режим sandboxing для Chrome работает постоянно и не требует дополнительных действий по его включению со стороны пользователя.
Режим sandboxing для Chrome означает, что процессы вкладок запускаются с пониженными привилегиями, что не позволяет им выполнять различные системные действия.
Рис. Режим sandboxing как он реализован в Google Chrome. Почти все идентификаторы безопасности пользователей групп SID в маркере доступа имеют статус Deny, что запрещает процессу выполнять важные системные функции, разрешенные этим группам.
Рис. Chrome использует специальный объект задания, в который включаются все процессы браузера. Объект позволяет ограничивать действия приложения по отношению к ресурсам ОС, препятствуя эксплуатирование браузера злоумышленниками.
Кроме этого режима, Google Chrome имеет возможности по блокированию вредоносных URL-адресов или сайтов, которые были занесены в черный список Google как распространяющие вредоносное ПО (Google Safe Browsing). Такая возможность похожа на базу URL в Internet Explorer SmartScreen.
Рис. Google Safe Browsing в Google Chrome в действии.
По отношению к браузеру и ОС представляет из себя виртуальную машину (или среду JRE) для исполнения приложений Java. Платформенная независимость таких приложений делает Java очень популярной в использовании, на сегодняшний день ее используют на более чем трех млрд. устройств.
Как и прочие плагины к браузеру, плагин Java является достаточно привлекательным к использованию для злоумышленников, а учитывая предыдущий опыт использования ими уязвимостей можно сказать, что Java представляет из себя наиболее опасный компонент из всех других плагинов браузера.
В нашем ранее опубликованном материале о проблемах использования Java на вашей системе мы писали каким образом можно отключить этот плагин для различных браузеров в случае, если вы не пользуетесь приложениями Java и не хотите подвергать себя опасности.
Когда вы используете Java на Windows, то настройки безопасности этой программы можно регулировать с использованием апплета на панели управления. Кроме этого, новейшие ее версии позволяют настраивать параметры безопасности более детально, что позволяет запускать только доверенные приложения.
Рис. Настройки обновлений для Java. Проверка обновлений включена по умолчанию, пользователь уведомляется перед операцией их загрузки.
Для полного отключения Java во всех используемых в системе браузерах следует снять настройку «Enable Java content in the browser» в апплете Java.
Рис. Снятие галочки «Enable Java content in browser» полностью отключает возможность использования плагинов в установленных браузерах.
Компания Microsoft выпускает бесплатный инструмент для пользователей, который поможет защитить ОС от методов атак, применяемых в эксплойтах.
Рис. Интерфейс EMET.
Инструмент Enhanced Mitigation Experience Toolkit (EMET) использует превентивные методы по блокированию различных действий эксплойтов для защиты приложений от атак. Несмотря на то, что современные Windows 7 и Windows 8 имеют встроенные, включенные по-умолчанию, возможности DEP и ASLR, направленные на смягчение (mitigation) последствий эксплуатирования, EMET позволяет ввести новые возможности блокирования действий эксплойтов, а также включить DEP или ASLR принудительно для нужных процессов (усилить защиту системы на более старых версиях ОС).
EMET настраивается отдельно для каждого приложения, т. е. чтобы защитить приложение через этот инструмент вам нужно задать его в соответствующем списке. Кроме этого имеется список приложений, для которых EMET включен по умолчанию, например, браузер Internet Explorer, Java, программы пакеты Microsoft Office.
Более подробную информацию об использовании EMET и обзор его возможностей см. на нашем корпоративном блоге.
Некоторые компоненты Windows, которым мы не уделяли особого внимание выше, также могут использоваться злоумышленниками для удаленного исполнения кода или повышения привилегий.
Рис. Статистика исправлений различных компонентов Windows в рамках месячных обновлений patch tuesday. Рейтинг показывает компоненты, которые обновлялись чаще остальных за первое полугодие 2013 года.
На приведенном выше рейтинге видно, что для браузера Internet Explorer закрывалось наибольшее количество уязвимостей, в рамках двенадцати обновлений было закрыто более пятидесяти уязвимостей, причем шесть из них имели статус is-being-exploited-in-the-wild на момент закрытия, т. е. находились в активной эксплуатации злоумышленниками.
Вторым наиболее исправляемым компонентом является известный драйвер подсистемы windows – win32k.sys, который обеспечивает работу графической системы ОС в режиме ядра. Уязвимости в этом компоненте используются злоумышленниками для повышения привилеги в системе, напр. обхода ограничений, накладываемых UAC.
Обратите внимание, что по умолчанию в Windows 7 & 8 имеется возможность автоматической доставки обновлений пользователю. Проверить обновления можно также через панель управления.
[1] The Security Architecture of the Chromium Browser link
[2] Understanding IE Enhanced Protected Mode link
Читайте также: