Архив метки: Вопросы читателей

Как взломщик может нарушить безопасность беспроводной сети

Важно защитить вашу беспроводную сеть с помощью шифрования WPA2 и сильной кодовой фразы. Но от каких атак вы на самом деле обеспечиваете защиту? Вот как взломщики взламывают зашифрованные беспроводные сети.

Это не руководство «Как взломать беспроводную сеть». Мы здесь не для того, чтобы провести вас через процесс компрометации сети — мы хотим, чтобы вы поняли, как кто-то может поставить под угрозу вашу сеть.

Шпионаж на незашифрованную сеть

Во-первых, давайте начнем с наименее безопасной сети: открытая сеть без шифрования . Любой человек может, очевидно, подключиться к сети и использовать ваше интернет-соединение, не предоставляя кодовую фразу. Это может привести к юридической опасности, если они сделают что-то незаконное, и это проследится до вашего IP-адреса. Однако есть еще один риск, который менее очевиден.

Когда сеть не шифруется, трафик перемещается взад-вперед в открытом виде. Любой, кто находится в зоне действия, может использовать программное обеспечение для захвата пакетов, которое активирует оборудование Wi-Fi для ноутбука и захватывает беспроводные пакеты с воздуха. Общеизвестно, что устройство помещается в «беспорядочный режим», поскольку он захватывает все близлежащие беспроводные трафики. Затем злоумышленник может проверить эти пакеты и посмотреть, что вы делаете в Интернете. Любые HTTPS- соединения будут защищены от этого, но весь HTTP-трафик будет уязвим.

Google потратил немного энергии на это, когда они захватывали данные Wi-Fi с помощью своих автомобилей Street View. Они захватили некоторые пакеты из открытых сетей Wi-Fi, и они могут содержать конфиденциальные данные. Любой, кто находится в пределах вашей сети, может захватывать эти конфиденциальные данные — еще одна причина не использовать открытую сеть Wi-Fi.

Поиск скрытой беспроводной сети

Можно найти «скрытые» беспроводные сети с такими инструментами, как Kismet, которые показывают близлежащие беспроводные сети. SSID беспроводной сети, или имя, будет отображаться как пустое во многих из этих инструментов.

Это не окажет большой помощи. Атакующие могут посылать на устройство deauth frame, который является сигналом, определяющим, закрыта ли точка доступа. Затем устройство попытается снова подключиться к сети, и это будет сделано с использованием SSID сети. SSID может быть захвачен в это время. Этот инструмент даже не нужен, так как мониторинг сети в течение длительного периода времени, естественно, приведет к захвату клиента, пытающегося подключиться, показывая SSID.

Вот почему скрытие вашей беспроводной сети вам не поможет. Фактически, это может сделать ваши устройства менее безопасными, поскольку они будут пытаться постоянно подключаться к скрытой сети Wi-Fi. Злоумышленник поблизости мог видеть эти запросы и притворяться вашей скрытой точкой доступа, заставляя ваше устройство подключаться к уязвимой точке доступа.

Изменение MAC-адреса

Инструменты сетевого анализа, которые захватывают сетевой трафик, также показывают устройства, подключенные к точке доступа вместе с их MAC-адресом , что видно в пакетах, перемещающихся туда и обратно. Если устройство подключено к точке доступа, злоумышленник знает, что MAC-адрес устройства будет работать с устройством.

Затем злоумышленник может изменить свой MAC-адрес оборудования Wi-Fi в соответствии с MAC-адресом другого компьютера. Они будут ждать, пока клиент отключится или отключится, и отключит его, затем подключится к сети Wi-Fi со своим устройством.

Прерывание шифрования WEP или WPA1

WPA2 — это современный безопасный способ шифрования вашего Wi-Fi. Известны атаки, которые могут нарушить старое шифрование WEP или WPA1 (WPA1 часто называют «WPA»), но мы используем WPA1 здесь, чтобы подчеркнуть, что мы говорим о более старой версии WPA и что WPA2 более безопасен ).

Сама схема шифрования уязвима и при достаточном захвате трафика шифрование может быть проанализировано и сломано. После мониторинга точки доступа в течение примерно одного дня и сбора трафика за день, злоумышленник может запустить программу, которая нарушает шифрование WEP . WEP довольно небезопасен, и есть другие способы разбить его быстрее, обманув точку доступа. WPA1 более безопасен, но по-прежнему уязвим.

Использование уязвимостей WPS

Злоумышленник также может проникнуть в вашу сеть, используя Wi-Fi Protected Setup или WPS. С WPS ваш маршрутизатор имеет 8-значный PIN-код, который устройство может использовать для подключения, а не для предоставления вашей кодовой фразы шифрования. PIN-код проверяется на две группы: во-первых, маршрутизатор проверяет первые четыре цифры и сообщает устройству, если они правы, а затем маршрутизатор проверяет последние четыре цифры и сообщает устройству, если они правы. Существует довольно небольшое количество возможных четырехзначных номеров, поэтому злоумышленник может «перегружать» безопасность WPS, пробовав каждое четырехзначное число, пока маршрутизатор не сообщит им, что они догадались о правильном.

Вы можете защитить от этого, отключив WPS. К сожалению, некоторые маршрутизаторы фактически оставляют WPS включенными даже тогда, когда вы отключите его в своем веб-интерфейсе. Вы можете быть более безопасным, если у вас есть маршрутизатор, который вообще не поддерживает WPS!

Брут-форс паролей WPA2

Современное шифрование WPA2 должно быть «грубым» с помощью атаки со словарем . Злоумышленник контролирует сеть, захватывая пакеты рукопожатия, которые обмениваются, когда устройство подключается к точке доступа. Эти данные могут быть легко захвачены путем деавторизации подключенного устройства. Затем они могут попытаться выполнить атаку грубой силы, проверив возможные кодовые фразы Wi-Fi и увидев, успешно ли они завершат рукопожатие.

Например, допустим, парольная фраза «password». Кодовые фразы WPA2 должны быть от восьми до 63 цифр, поэтому «password» совершенно прав. Компьютер начнет со словарного файла, содержащего много возможных кодовых фраз, и попробуйте их один за другим. Например, он будет пытаться «пароль», «letmein, 1» «opensesame» и т. Д. Такую атаку часто называют «атакой по словарю», потому что для нее требуется файл словаря, содержащий много возможных паролей.

Мы можем легко увидеть, как обычные или простые пароли, такие как «пароль», будут угадываться в течение короткого периода времени, в то время как компьютер, возможно, никогда не сможет угадать более длинную, менее очевидную кодовую фразу, такую ​​как “:]C/+[[ujA+S;n9BYq9<kM5’W+fc`Z#*U}G(/W~@q>z>T@J#5E=g}uwF5?B?Xyg.” Вот почему важно иметь сильную кодовую фразу с разумной длиной.

Инструменты

Если вы хотите увидеть конкретные инструменты, которые злоумышленник будет использовать, загрузите и запустите Kali Linux. Кали — преемник BackTrack, о котором вы, возможно, слышали. Aircrack-ng, Kismet, Wireshark, Reaver и другие инструменты для проникновения в сеть все предустановлены и готовы к использованию. Разумеется, эти инструменты могут требовать некоторые знания (или поиска в гугле) для фактического использования.

https://www.youtube.com/watch?v=P-coZnvM8g0



2018-11-21T10:46:02
Вопросы читателей

Делает ли фильтрация по MAC адресу вашу сеть безопаснее?

Фильтрация MAC-адресов позволяет вам определять список устройств и разрешать только эти устройства в сети Wi-Fi. Во всяком случае, это теория. На практике эта защита является утомительной для создания и легкому нарушению.

Это одна из функций маршрутизатора Wi-Fi, которая даст вам ложное ощущение безопасности . Просто использовать шифрование WPA2 достаточно. Некоторым людям нравится использовать фильтрацию MAC-адресов, но это не функция безопасности.

Как работает фильтрация MAC-адресов

Каждое ваше устройство имеет уникальный адрес управления доступом к среде передачи (MAC-адрес), который идентифицирует его в сети. Как правило, маршрутизатор позволяет любому устройству подключаться — если он знает соответствующую кодовую фразу. При фильтрации MAC-адресов маршрутизатор сначала сравнивает MAC-адрес устройства с утвержденным списком MAC-адресов и разрешает только устройство в сети Wi-Fi, если его MAC-адрес был специально одобрен.

Возможно, ваш маршрутизатор позволяет вам настроить список разрешенных MAC-адресов в своем веб-интерфейсе, позволяя вам выбирать, какие устройства могут подключаться к вашей сети.

Фильтрация MAC-адресов не обеспечивает безопасность

MAC-адреса можно легко подделать во многих операционных системах , поэтому любое устройство может притворяться одним из тех разрешенных уникальных MAC-адресов.

MAC-адреса также легко получить. Они отправляются в эфир с каждым пакетом, идущим на устройство и с устройства, поскольку MAC-адрес используется для обеспечения того, чтобы каждый пакет попадал на нужное устройство.

Все злоумышленники должны следить за трафиком Wi-Fi на секунду или два, изучить пакет, чтобы найти MAC-адрес разрешенного устройства, изменить MAC-адрес своего устройства на этот разрешенный MAC-адрес и подключиться к нему на этом устройстве. Возможно, вы думаете, что это будет невозможно, потому что устройство уже подключено, но атака «deauth» или «deassoc», которая принудительно отключает устройство от сети Wi-Fi, позволит злоумышленнику восстановить соединение на своем месте.

Мы здесь не увлекаемся. Злоумышленник с набором инструментов, например, Kali Linux, может использовать Wireshark для подслушивания пакета, запускать оперативную команду для изменения своего MAC-адреса, использовать aireplay-ng для отправки пакетов деассоциации на этот клиент, а затем подключаться на своем месте. Весь этот процесс может занять менее 30 секунд. И это всего лишь ручной метод, который включает в себя выполнение каждого шага вручную — не обращайте внимания на автоматизированные инструменты или сценарии оболочки, которые могут сделать это быстрее.

Шифрование WPA2 достаточно

На данный момент вы можете думать, что фильтрация MAC-адресов не является надежной, но обеспечивает некоторую дополнительную защиту только при использовании шифрования. Это похоже на истину, но не на самом деле.

В принципе, до тех пор, пока у вас есть сильная парольная фраза с шифрованием WPA2, это шифрование будет самым трудным для взлома. Если злоумышленник может взломать шифрование WPA2 , для них будет тривиально обмануть фильтрацию MAC-адресов. Если злоумышленник будет блокирован фильтрацией MAC-адресов, они, безусловно, не смогут сломать ваше шифрование в первую очередь.

Подумайте, как добавить велосипедный замок в дверь банковского хранилища. Любые грабители банков, которые могут пройти через дверь банковского хранилища, не будут иметь проблемы с блокировкой велосипедного замка. Вы не добавили никакой реальной дополнительной безопасности, но каждый раз, когда сотрудник банка должен получить доступ к хранилищу, им приходится тратить время на блокировку велосипеда.

Это утомительно и отнимает время

Время, затрачиваемое на управление этим, является основной причиной, по которой вам не следует беспокоиться. Когда вы сначала настраиваете фильтрацию MAC-адресов, вам нужно получить MAC-адрес от каждого устройства в домашнем хозяйстве и разрешить его в веб-интерфейсе вашего маршрутизатора. Это займет некоторое время, если у вас много устройств с поддержкой Wi-Fi, как это делают большинство людей.

Всякий раз, когда вы получаете новое устройство — или приходит гость, и вам нужно использовать Wi-Fi на своих устройствах, вам нужно будет войти в веб-интерфейс своего маршрутизатора и добавить новые MAC-адреса. Это выше обычного процесса настройки, когда вам нужно подключить кодовую фразу Wi-Fi на каждом устройстве.

Это просто добавляет дополнительную работу в вашу жизнь. Это усилие должно окупиться лучшей защитой, но минимальное-несуществование в безопасности, которое вы получаете, делает это нецелесообразным.

Это функция сетевого администрирования

Фильтрация MAC-адресов, правильно используемая, скорее является функцией сетевого администрирования, чем функцией безопасности. Это не защитит вас от посторонних, пытающихся активно взломать ваше шифрование и попасть в вашу сеть. Тем не менее, это позволит вам выбрать, какие устройства разрешены в Интернете.

Например, если у вас есть дети, вы можете использовать фильтрацию MAC-адресов, чтобы запретить доступ к сети Wi-Fi своим ноутбуком или смартфоном, если вам нужно их заземлить и убрать доступ к Интернету. Дети могли обойти эти родительские элементы управления с помощью простых инструментов, но они этого не знают.

Вот почему многие маршрутизаторы также имеют другие функции, которые зависят от MAC-адреса устройства. Например, они могут позволить вам включить веб-фильтрацию на определенных MAC-адресах. Кроме того, вы можете запретить доступ к веб-узлам со специальными MAC-адресами в школьные часы. На самом деле это не функции безопасности, поскольку они не предназначены для того, чтобы остановить злоумышленника, который знает, что он делает.

Если вы действительно хотите использовать фильтрацию MAC-адресов для определения списка устройств и их MAC-адресов и администрирования списка устройств, разрешенных в вашей сети, не стесняйтесь. Некоторые люди на самом деле пользуются таким управлением на определенном уровне. Но фильтрация MAC-адресов не обеспечивает реального повышения безопасности Wi-Fi, поэтому вы не должны его использовать. Большинство людей не должны беспокоиться о фильтрации MAC-адресов и, если они это делают, должны знать, что это не функция безопасности.

https://www.youtube.com/watch?v=-wYPfa4JpVg



2018-11-20T11:26:53
Вопросы читателей

Чем может быть полезна команда DIR в Windows?

Команда DIR — это мощная функция командной строки Windows, в которой перечислены все файлы и подкаталоги, содержащиеся в определенном каталоге. Команда DIR также предлагает несколько переключателей, которые открывают некоторые функциональные возможности. Давайте взглянем.

Переключатели командной строки для команды DIR

Вы можете использовать команду DIR самостоятельно (просто введите «dir» в командной строке), чтобы отобразить файлы и папки в текущем каталоге. Чтобы расширить эту функциональность, вам необходимо использовать различные ключи или параметры, связанные с этой командой.

Отображение на основе атрибутов файла

Вы можете добавить «/A», а затем буквенный код после команды DIR для отображения файлов с определенным атрибутом. Эти буквенные коды включают:

  • D: отображает все каталоги в текущем пути

  • R: отображает файлы только для чтения

  • H: отображает скрытые файлы

  • A: Файлы, готовые для архивирования

  • S: Системные файлы

  • I: Не индексированные файлы без содержимого

  • L: точки повторной обработки

Так, например, чтобы отобразить только каталоги в текущем пути, вы должны ввести следующую команду и затем нажать Enter:

dir /ad

Вы также можете комбинировать эти коды. Например, если вы хотите показать только системные файлы, которые также скрыты, вы можете использовать следующую команду:

dir /ash

Вы также можете добавить «-» (минус) перед любым из этих буквенных кодов, чтобы указать, что команда DIR не отображает этот файл. Так, например, если вы не хотите видеть какие-либо каталоги в результатах, вы можете использовать эту команду:

dir /a-d

Еще один совет: вместо того, чтобы комбинировать главный переключатель и код письма так, как мы делали в наших примерах, вы можете использовать двоеточие, чтобы отделить переключатель от его дополнительных кодов. Как это:

dir /a:d

Отображение разделенных результатов

Использование переключателя /b с помощью команды DIR удаляет всю лишнюю информацию, отображая только имя папок и файлов в текущем каталоге, а не такие атрибуты, как размер файла и метки времени. Введите следующую команду, чтобы заставить ее работать:

dir /b

Отображение с помощью Thousands Separator

В современных версиях Windows командная строка показывает большие числа, разделенные запятыми (так: 25 000 вместо 25000). Это не всегда так. В более старых версиях вам пришлось использовать переключатель /c для отображения этих запятых.

Зачем беспокоиться, включая его здесь, если он уже по умолчанию? Потому что если по какой-либо причине вы не хотите показывать эти запятые, вы можете использовать этот переключатель вместе со знаком «-» минус:

dir /-c

Отображение результатов в столбцах

Вы можете использовать переключатель /D для отображения результатов в двух столбцах вместо одного. Когда вы показываете результаты таким образом, командная строка не показывает дополнительную информацию о файле (размер файла и т. Д.) — просто имена файлов и каталогов.

dir /D

Отобразить результаты в нижнем регистре

Переключатель /L отображает все имена файлов и папок как строчные.

dir /L

Отобразить имя файла слева

По умолчанию в командной строке отображаются имена файлов в крайнем правом углу. Для достижения этого эффекта использовался переключатель /N Теперь вы можете использовать его вместе с «-» (минус), чтобы иметь имена файлов, отображаемые в крайнем левом углу.

dir /-N

Отобразить результаты в отсортированном порядке

Вы можете использовать переключатель /O а затем буквенный код для отображения результатов каталога, отсортированных по-разному. Эти буквенные коды включают:

  • D: Сортировка по дате / времени. Сначала появляются старые записи.

  • E: Сортировка по расширению файла в алфавитном порядке.

  • G: Сортировка путем перечисления папок сначала, а затем файлов.

  • N: Сортировка по имени файла / папки в алфавитном порядке.

  • S: Сортировка по размеру файла, от самого маленького до самого большого.

Так, например, вы можете использовать следующую команду для сортировки результатов по времени и дате, когда сначала появляются более старые записи:

dir /OD

Вы также можете добавить «-» (минус) до любого из указанных выше вариантов, чтобы изменить порядок. Так, например, если вы хотите сортировать файлы по времени и дате с новыми записями, которые появляются сначала, вы можете использовать эту команду:

dir /O-D

Отображение результатов на одной странице за раз

В некоторых каталогах есть сотни или тысячи файлов. Вы можете использовать переключатель /P для того, чтобы командная строка приостанавливала результаты после отображения каждого экрана. Вы должны нажать клавишу, чтобы продолжить просмотр следующей страницы результатов.

dir /P

Отображать метаданные

Использование переключателя /Q в команде DIR отображает метаданные, связанные с файлами и каталогами, а также сведения о владельце.

dir /Q

Отображение альтернативных потоков данных (ADS)

Переключатель /R отображает любые альтернативные потоки данных (ADS), которые могут содержать файлы. ADS — это функция файловой системы NTFS, которая позволяет файлам содержать дополнительные метаданные для поиска файлов по автору и названию.

dir /R

Отображение всех файлов и папок и всего содержимого

Вы можете использовать переключатель /S для рекурсивного отображения всех файлов и папок внутри текущего каталога. Это означает, что все файлы и папки в каждом подкаталоге, все файлы и папки в этих подкаталогах и т. Д. Будьте готовы к большим результатам.

dir /S

Показать результаты, отсортированные по времени

Использование переключателя /T вместе с буквенным кодом позволяет сортировать результаты по разным меткам времени, связанным с файлами и папками. Эти буквенные коды включают:

  • A: Время последнего обращения к элементу.

  • C: Время создания элемента.

  • W: Время, в течение которого элемент был записан в последний раз. Это используется по умолчанию.

Так, например, для сортировки результатов по времени создавались элементы, вы можете использовать следующую команду:

dir /TC

Отображение результатов в широкоформатном формате

Переключатель /W похож на /D (который показывает столбцы), но вместо этого он сортирует результаты в широком формате по горизонтали.

dir /W

Показать короткие имена имен файлов

Ключ /X показывает короткое имя файла, когда длинное имя не соответствует правилам именования 8.3.

dir /X

Показать страницы справки для DIR

Используя /? коммутатор отображает полезную информацию о команде DIR, включая краткое описание всех переключателей, о которых мы говорили.

Примеры команд DIR

Хорошо, теперь вы знаете о переключателях и параметрах, связанных с командой DIR. Давайте рассмотрим несколько примеров реального мира, чтобы лучше понять, как вы можете начать использовать их.

Простая команда dir возвращает список всех файлов и папок в текущем каталоге, в котором вы находитесь.

Выполнение следующей команды показывает все системные файлы внутри вашего текущего пути, используя атрибут «s»:

dir /a:s

Но что делать, если вы хотите просмотреть все файлы определенного типа во всех последующих папках вашего текущего пути. Это легко, просто запустите эту чрезвычайно быструю и полезную команду:

dir *.mp3 /s

Вы можете заменить часть «.mp3» на любой формат файла, который вы ищете.

Звездочка действует как подстановочный знак , говоря «найди что-нибудь с форматом файла .mp3 в конце», в то время как «/s» рекурсивно просматривает все папки в вашем текущем пути.

Теперь вы, возможно, заметили, что вернули много результатов. Слишком много, чтобы читать, прежде чем прокручивать экран. Здесь мы можем использовать переключатель паузы, чтобы дать вам возможность прочитать их. Для этого измените команду следующим образом:

dir *.mp3 /s /p

Еще один трюк, который предлагает предложение командной строки, называется трубопроводом. Вы можете использовать символ «>» для отправки результатов одной команды в другое место или службу. Хорошим примером этого является отправка всех ваших результатов в текстовый файл . Затем вы можете просмотреть их позже или импортировать в другие типы документов. Для этого вы можете использовать команду:

dir *.mp3 /s /b > filename.txt

Мы добавили туда переключатель /b чтобы выводить сами имена файлов без каких-либо других подробностей. Символ, превышающий символ, перенаправляет все, что обычно отображается в результатах непосредственно в файл.

https://www.youtube.com/watch?v=yWcBFNT096I



2018-11-19T12:07:05
Вопросы читателей

У меня есть маршрутизатор, нужен ли мне брандмауэр Windows?

Существует два типа брандмауэров: аппаратные брандмауэры и программные брандмауэры. Ваш маршрутизатор функционирует как аппаратный брандмауэр, в то время как Windows включает в себя программный брандмауэр. Есть и другие сторонние брандмауэры, которые вы можете установить.

В августе 2003 года, если вы подключили незашифрованную систему Windows XP к Интернету без брандмауэра, он мог быть заражен в течение нескольких минут червем Blaster, который использовал уязвимости в сетевых службах, которые Windows XP открыла в Интернете.

В дополнение к демонстрации важности установки патчей безопасности это демонстрирует важность использования брандмауэра, который предотвращает доступ входящего сетевого трафика к вашему компьютеру. Но если ваш компьютер находится за маршрутизатором, действительно ли вам нужен программный брандмауэр?

Как маршрутизаторы функционируют в виде аппаратных брандмауэров

Домашние маршрутизаторы используют преобразование сетевых адресов (NAT) для совместного использования одного IP-адреса из вашего интернет-сервиса между несколькими компьютерами в вашей семье. Когда входящий трафик из Интернета достигает вашего маршрутизатора, ваш маршрутизатор не знает, к какому компьютеру пересылать его, поэтому он отбрасывает трафик. Фактически NAT действует как брандмауэр, который предотвращает доступ входящих запросов к вашему компьютеру. В зависимости от вашего маршрутизатора вы также можете блокировать определенные типы исходящего трафика, изменяя настройки вашего маршрутизатора.

Вы можете перенаправить маршрутизатор на какой-то трафик, настроив переадресацию портов или поместив компьютер в DMZ (демилитаризованная зона), куда направляется весь входящий трафик. DMZ, по сути, перенаправляет весь трафик на конкретный компьютер — компьютер больше не будет использовать маршрутизатор, действующий как межсетевой экран.

Как работают программные брандмауэры

На вашем компьютере работает программный брандмауэр. Он действует как привратник, позволяя осуществлять некоторый трафик и отбрасывать входящий трафик. Сама Windows включает встроенный программный брандмауэр, который по умолчанию был включен в Windows XP с пакетом обновления 2 (SP2). Поскольку программные брандмауэры запускаются на вашем компьютере, они могут контролировать, какие приложения хотят использовать Интернет, блокировать и разрешать трафик для каждого приложения.

Если вы подключаете свой компьютер непосредственно к Интернету, важно использовать программный брандмауэр — вам не стоит беспокоиться об этом сейчас, когда брандмауэр поставляется с Windows по умолчанию.

Аппаратный и программный брандмауэр: сравнение

Брандмауэры аппаратного и программного обеспечения перекрываются несколькими важными способами:

  • Оба по умолчанию блокируют нежелательный входящий трафик, защищая потенциально уязвимые сетевые службы от дикого Интернета.

  • Оба могут блокировать определенные типы исходящего трафика. (Хотя эта функция может отсутствовать на некоторых маршрутизаторах.)

Преимущества программного брандмауэра:

  • Аппаратный брандмауэр находится между вашим компьютером и Интернетом, а программный брандмауэр находится между вашим компьютером и сетью. Если другие компьютеры в сети заражаются, программный брандмауэр может защитить ваш компьютер от них.

  • Программные брандмауэры позволяют вам легко контролировать доступ к сети для каждого приложения. В дополнение к управлению входящим трафиком, программный брандмауэр может запросить вас, когда приложение на вашем компьютере хочет подключиться к Интернету и позволит вам запретить приложению подключаться к сети. Эта функция проста в использовании с сторонним брандмауэром, но вы также можете запретить приложениям подключаться к Интернету с брандмауэром Windows .

Преимущества аппаратного брандмауэра:

  • Аппаратный брандмауэр находится отдельно от вашего компьютера — если ваш компьютер заражен червем, этот червь может отключить ваш программный брандмауэр. Однако этот червь не может отключить ваш аппаратный брандмауэр.

  • Брандмауэры оборудования могут обеспечивать централизованное управление сетью. Если вы запустите большую сеть, вы можете легко настроить настройки брандмауэра с одного устройства. Это также мешает пользователям изменять их на своих компьютерах.

Вам нужны оба?

Важно использовать по крайней мере один тип брандмауэра — аппаратный брандмауэр (например, маршрутизатор) или программный брандмауэр. Маршрутизаторы и программные брандмауэры частично перекрываются, но каждый из них предоставляет уникальные преимущества.

Если у вас уже есть маршрутизатор, оставляя включенным брандмауэр Windows, вы получаете преимущества безопасности без реальной стоимости исполнения. Поэтому неплохо запустить оба.

Вам необязательно устанавливать сторонний программный брандмауэр, который заменяет встроенный брандмауэр Windows, но вы можете, если хотите больше функций.



2018-11-16T10:23:56
Вопросы читателей

Зачем нужен межсетевой экран (брандмауэр)?

Вероятно, вы слышали, что брандмауэры — важная защита безопасности, но знаете ли вы, почему это так? Многие люди этого не делают, если любые ссылки на брандмауэры на телешоу, фильмы и другие формы популярных медиа — это какие-то признаки.

Брандмауэр находится между компьютером (или локальной сетью) и другой сетью (например, Интернетом), контролируя входящий и исходящий сетевой трафик. Без брандмауэра все идет. С брандмауэром правила брандмауэра определяют, какой трафик разрешен, а какой нет.

Почему компьютеры включают брандмауэры

Большинство пользователей теперь используют маршрутизаторы дома, чтобы они могли делиться своим интернет-соединением между несколькими устройствами. Однако было время, когда многие люди подключили кабель Ethernet своего компьютера непосредственно к кабелю или DSL-модему, подключив компьютер непосредственно к Интернету. Компьютер, подключенный непосредственно к Интернету, имеет общедоступный IP-адрес — другими словами, любой пользователь Интернета может достичь этого. Любые сетевые службы, которые у вас запущены на вашем компьютере, такие как службы, входящие в состав Windows для совместного использования файлов и принтеров, удаленный рабочий стол и другие функции, будут доступны для других компьютеров в Интернете.

В первоначальном выпуске Windows XP не было брандмауэра. Сочетание услуг, предназначенных для локальных сетей, без брандмауэра и компьютеров, подключенных непосредственно к Интернету, привело к тому, что многие компьютеры Windows XP заразились в течение нескольких минут после подключения к Интернету.

Брандмауэр Windows был представлен в Windows XP с пакетом обновления 2 (SP2), и он, наконец, включил брандмауэр по умолчанию в Windows. Эти сетевые службы были изолированы от Интернета. Вместо того, чтобы принимать все входящие соединения, система брандмауэра удаляет все входящие соединения, если только она специально не настроена для разрешения этих входящих соединений.

Это не позволяет пользователям Интернета подключиться к локальным сетевым службам на вашем компьютере. Он также контролирует доступ к сетевым службам с других компьютеров в вашей локальной сети. Вот почему вас спрашивают, какая именно сеть, когда вы подключаетесь к одному в Windows. Если вы подключитесь к домашней сети, брандмауэр разрешит доступ к этим службам. Если вы подключитесь к общедоступной сети, брандмауэр запретит доступ.

Даже если сама сетевая служба настроена так, чтобы не разрешать подключения из Интернета, возможно, что сама служба имеет дефект безопасности, и специально созданный запрос может позволить злоумышленнику запустить на вашем компьютере произвольный код. Брандмауэр предотвращает это, мешая, препятствуя входящим соединениям даже достичь этих потенциально уязвимых сервисов.

Дополнительные функции брандмауэра

Брандмауэры размещаются между сетью (например, Интернетом) и компьютером (или локальной сетью), который защищает брандмауэр. Основной целью безопасности брандмауэра для домашних пользователей является блокировка нежелательного входящего сетевого трафика, но брандмауэры могут сделать гораздо больше. Поскольку межсетевой экран находится между этими двумя сетями, он может анализировать весь трафик, достигающий или выходящий из сети, и решить, что с ним делать. Например, брандмауэр также может быть настроен для блокировки определенных типов исходящего трафика или может регистрировать подозрительный трафик (или весь трафик).

Брандмауэр может иметь множество правил, разрешающих и запрещающих определенные типы трафика. Например, он может разрешать только подключение к серверу с определенного IP-адреса, отбрасывая все запросы на подключение из других источников для обеспечения безопасности.

Брандмауэрами может быть что угодно: от части программного обеспечения, работающего на вашем ноутбуке (например, брандмауэра, входящего в состав Windows) до выделенного оборудования в корпоративной сети. Такие корпоративные брандмауэры могли анализировать исходящий трафик, чтобы гарантировать, что никакая вредоносная программа не взаимодействует через сеть, не отслеживает использование сети сотрудника и не фильтрует трафик — например, брандмауэр может быть настроен только для того, чтобы разрешать просмотр веб-трафика через брандмауэр, блокируя доступ к другим типам Приложения.

https://www.youtube.com/watch?v=vQDkT_8nf64



2018-11-15T11:15:53
Вопросы читателей

Советы по защите домашней сети и маршрутизатора

Многие пользователи компьютеров этого не понимают, но для большинства людей их интернет-маршрутизатор является самым важным электронным устройством в их доме. Он связывает большинство других устройств вместе и с миром, поэтому он имеет очень привилегированное положение, которое могут использовать хакеры.

К сожалению, многие маршрутизаторы для бизнеса и малого бизнеса поставляются с небезопасными конфигурациями по умолчанию, имеют недокументированные бэкдоры, предоставляют устаревшие услуги и имеют прошивку, пронизанную основными недостатками. Некоторые из этих проблем не могут быть исправлены пользователями, но есть много действий, которые можно предпринять, чтобы хотя бы защитить эти устройства от крупномасштабных автоматических атак.

Не допускайте, чтобы ваш маршрутизатор был низко висящим фруктом для хакеров.

Основные действия по защите

  • Избегайте использования маршрутизаторов, предоставляемых интернет-провайдерами. Эти маршрутизаторы, как правило, менее безопасны, чем те, которые продаются производителями потребителям. Они часто имеют жестко заданные удаленные учетные данные, которые пользователи не могут изменить, и исправления для их настроенных версий прошивки отстают от исправлений для тех же недостатков, которые выпускаются производителями маршрутизаторов.

  • Измените пароль администратора по умолчанию. Многие маршрутизаторы поставляются с паролями администратора по умолчанию, и злоумышленники постоянно пытаются проникнуть на устройства, используя эти общедоступные учетные данные. После того, как вы впервые подключитесь к интерфейсу управления маршрутизатором через ваш браузер — адрес должен быть IP-адресом маршрутизатора по умолчанию, найденным на его нижней наклейке или найденным в руководстве по настройке — убедитесь, что первое, что вы делаете, — это изменить пароль.

  • Веб-интерфейс управления маршрутизатором не должен быть доступен из Интернета. Для большинства пользователей управление маршрутизатором из локальной сети (локальной сети) не требуется. Если требуется удаленное управление, попробуйте использовать решение VPN (виртуальная частная сеть), чтобы сначала установить защищенный канал в локальной сети, а затем получить доступ к интерфейсу маршрутизатора.

  • Даже внутри локальной сети хорошо ограничивать, какие IP-адреса (Интернет-протокол) могут управлять маршрутизатором. Если этот параметр доступен, лучше разрешить доступ с одного IP-адреса, который не является частью пула IP-адресов, назначенных компьютерам через DHCP (протокол динамической конфигурации хоста). Например, настройте DHCP-сервер маршрутизатора для назначения IP-адресов с 192.168.0.1 по 192.168.0.50, а затем настройте веб-интерфейс только для доступа с 192.168.0.53. Компьютер должен быть настроен вручную для использования этого адреса только тогда, когда вам нужно подключиться к маршрутизатору.

  • Включите доступ HTTPS к интерфейсу маршрутизатора, если он доступен, и всегда выходите из системы, когда это делается. Используйте браузер в режиме инкогнито или в приватном режиме при работе с маршрутизатором, чтобы не оставлять куки-сессии сеанса и никогда не позволять браузеру сохранять имя пользователя и пароль маршрутизатора.

  • Если возможно, измените IP-адрес маршрутизатора. В большинстве случаев маршрутизаторам присваивается первый адрес в предопределенном netblock, например 192.168.0.1. Если предложен вариант, измените его на 192.168.0.99 или на что-то еще, что легко запомнить и не входит в пул DHCP. Весь netblock, используемый маршрутизатором, также может быть изменен на один из зарезервированных для частных сетей . Это будет защищать от атак с подделкой запросов на межсайтовый запрос (CSRF), которые пытаются получить доступ к маршрутизаторам через браузеры пользователей, используя IP-адреса по умолчанию, обычно назначаемые таким устройствам.

  • Выберите сложный пароль Wi-Fi и сильный протокол безопасности. WPA2 (Wi-Fi Protected Access II) должен быть вариантом выбора, поскольку старые WPA и WEP подвержены атакам грубой силы. Если маршрутизатор предлагает эту опцию, создайте гостевую беспроводную сеть, также защищенную WPA2 и надежный пароль. Пусть посетители или друзья используют эту изолированную гостевую сеть вместо вашей основной. У них могут быть не злонамеренные намерения, но их устройства могут быть взломаны или заражены вредоносными программами.

  • Отключите WPS (Wi-Fi Protected Setup). Это редко используемая функция, призванная помочь пользователям легко настроить сети Wi-Fi, используя PIN-код, напечатанный на наклейке. Тем не менее, серьезная уязвимость была обнаружена во многих версиях вендоров WPS несколько лет назад, что позволяет хакерам проникать в сети. Поскольку трудно определить, какие конкретные модели маршрутизаторов и версии прошивки уязвимы, лучше просто отключить эту функцию на маршрутизаторах, которые ее разрешают. Вместо этого вы можете подключиться к маршрутизатору через проводное соединение и получить доступ к его веб-интерфейсу управления и, например, настроить Wi-Fi с WPA2 и настраиваемый пароль (без WPS).

  • Чем меньше сервисов ваш маршрутизатор предоставил в Интернете, тем лучше. Это особенно актуально, если вы не включили эти службы самостоятельно и не знаете, что они делают. Такие сервисы, как Telnet, UPnP (Universal Plug and Play), SSH (Secure Shell) и HNAP (протокол администрирования домашней сети), не должны быть доступны из Интернета, поскольку они могут создавать серьезные угрозы безопасности. Они также должны быть отключены в локальной сети, если они не нужны. Интернет-сервисы, такие как Shields UP от Gibson Research Corporation (GRC), могут сканировать общедоступный IP-адрес вашего маршрутизатора для открытых портов. Shields Up также может сканировать UPnP отдельно.

  • Обновите прошивку своего маршрутизатора. Некоторые маршрутизаторы позволяют проверять обновления прошивки непосредственно из интерфейса, в то время как другие даже имеют функцию автоматического обновления. Иногда эти проверки могут быть нарушены из-за изменений на серверах производителя на протяжении многих лет. Рекомендуется регулярно проверять сайт поддержки производителя вручную на наличие обновлений прошивки для вашей модели маршрутизатора.

Более сложные шаги по защите

  • Сегментацию сети можно использовать для изоляции опасных устройств. Некоторые потребительские маршрутизаторы предлагают возможность создавать виртуальные локальные сети (виртуальные локальные сети) внутри более крупной частной сети. Эти виртуальные сети могут быть использованы для изоляции устройств интернет-вещания, которые, как показали исследователи, полны уязвимостей. Многие устройства IoT можно контролировать через приложения для смартфонов через внешние облачные сервисы, поэтому, пока у них есть доступ в Интернет, эти устройства не должны иметь возможность общаться со смартфонами непосредственно через локальную сеть после первоначальной настройки. IoT-устройства часто выставляют незащищенные административные протоколы в локальную сеть, чтобы злоумышленник мог легко врезаться в такое устройство с зараженного компьютером компьютера, если оба они находятся в одной сети.

  • Фильтрация MAC-адресов может содержать устройства-исключения в сети Wi-Fi. Многие маршрутизаторы позволяют ограничивать, какие устройства разрешены в сети Wi-Fi на основе их MAC-адреса — уникальный идентификатор их физической сетевой карты. Включение этой функции может помешать злоумышленникам подключиться к сети Wi-Fi, даже если они украли свой пароль. Недостатком является то, что вручную разрешенные легитимные устройства могут быстро стать административным бременем для более крупных сетей.

  • Переадресация портов должна сочетаться с IP-фильтрацией. Сервисы, запущенные на компьютере за маршрутизатором, недоступны из Интернета, если на маршрутизаторе не определены правила переадресации портов. Многие программные средства будут пытаться автоматически открывать порты в маршрутизаторе через UPnP, что не всегда безопасно. Если UPnP отключен, правила могут быть добавлены вручную, а некоторые маршрутизаторы предлагают возможность указать IP-адрес источника или netblock, которые могут подключаться к определенному порту для доступа к определенной службе внутри сети. Например, если вы хотите получить доступ к FTP-серверу на вашем домашнем компьютере с работы, вы можете создать правило переадресации портов для порта 21 (FTP) в своем маршрутизаторе, но только разрешить соединения с IP-блоком вашей компании.

  • Пользовательская прошивка может быть более безопасной, чем заводская прошивка. Существует несколько Linux-приложений, поддерживаемых сообществом, прошивки для широкого круга домашних маршрутизаторов. OpenWRT, DD-WRT и Asuswrt-Merlin (только для маршрутизаторов Asus) являются одними из самых популярных. Они обычно предлагают более продвинутые функции и настройки, чем заводская прошивка, и их разработчики быстрее исправляют недостатки, если они идентифицированы, чем поставщики маршрутизаторов. Поскольку эти пакеты прошивки нацелены на энтузиастов, количество устройств, которые их используют, намного ниже, чем у тех, которые используют прошивку, поставляемую поставщиком. Это делает распространенные атаки против пользовательской прошивки менее вероятными. Тем не менее, очень важно помнить, что загрузка пользовательской прошивки на маршрутизаторе требует значительных технических знаний, скорее всего, аннулирует ее гарантию и, если это будет сделано неправильно, может привести к невозможности использования устройства. Вы были предупреждены!

https://www.youtube.com/watch?v=7cbAY3l8Jqs



2018-11-14T10:24:35
Вопросы читателей