https://opennet.ru/openforum/vsluhforumID3/42785.html IT консалтинговая фирма, занимающаяся проблемами безопасности, n.runs AG (http://www.nruns.com/_en/aps/press.php), заявляет, что обнаружила (http://blogs.zdnet.com/security/?p=1445&tag=nl.e539) более 800 уязвимостей в антивирусном ПО различных производителей. Воспользовавшись этими лазейками, злоумышленник может проникнуть в локальную сеть организации, внедрить деструктивный код в незащищенные системы или начать DoS-атаку (http://ru.wikipedia.org/wiki/DoS). <br><br>В течение последних нескольких месяцев специалисты n.runs AG изучали вопрос защищенности самих антивирусов, и пришли к выводу, что наличие антивирусного ПО, установленного на ключевых системах в любой компании сопровождается значительным риском в плане их безопасности. Так например, любой, из представленных на рынке, вирус-сканер имеет как минимум несколько серьезных уязвимостей.<br><br>Для выявления проблем безопасности инженеры n.runs AG использовали ту же логику, на которой основывается множество уязвимостей &#8211; антивирус вмест...<br><br>URL: http://blogs.z https://opennet.ru/openforum/vsluhforumID3/42785.html#56 Mon, 14 Jul 2008 11:35:57 GMT &gt;А еще, можно некоторые опасные вещи, такие, как браузер, wine (для тех, <br>&gt;кто не может жить без софта с оффтопика) запускать через sudo <br>&gt;под другим юзером:)) <br><br>говорят ./abc.py или ./abc.sh не запустится а py abc.py или sh abc.sh спокойно заработает.... <br><br><br> https://opennet.ru/openforum/vsluhforumID3/42785.html#54 Sun, 13 Jul 2008 07:51:18 GMT &gt;Это распространённое заблуждение. Если вирус грохнет мне мой /home, то мне будет <br>&gt;уже всё-равно, в общем-то, что "система в целом не заражена". https://opennet.ru/openforum/vsluhforumID3/42785.html#53 Sun, 13 Jul 2008 07:14:53 GMT &gt;Сижу и представляю себе секретаршу или бабушку, которая отключает модули в ядре <br>&gt;через make menuconfig, а потом само ядро пересобирает. Система должна быть <br>&gt;дружественна к пользователю. <br>&gt;Уже давно пора в линуксе делать инсталлеры, которые сами могут включить необходимые <br>&gt;опции и пересобрать ядро при необходимости. Это все для пользователя должно <br>&gt;быть абсолютно прозрачно. А еще лучше, если все необходимые модули ядра <br>&gt;для конкретной версии будут доступны в качестве пакетов. Отключение всего ненужного <br>&gt;это утопия для рядового глупого пользователя. <br><br>Не разу не видел секретаршу или бабушку занимающуюся этим. Вообще-то это входит в обязанности админа или человека, подготавливающего комп к продаже. или того, кто занимается обслуживанием софта.<br> https://opennet.ru/openforum/vsluhforumID3/42785.html#52 Fri, 11 Jul 2008 07:48:54 GMT &gt;Сижу и представляю себе секретаршу или бабушку, которая отключает модули в ядре <br>&gt;через make menuconfig, а потом само ядро пересобирает. Система должна быть <br>&gt;дружественна к пользователю. <br><br>Секретарше это должен делать IT-шник. <br>Бабушке достаточно базовой безопасности.<br>Система уже давно дружественна.<br><br>&gt;Уже давно пора в линуксе делать инсталлеры, которые сами могут включить необходимые <br>&gt;опции и пересобрать ядро при необходимости. Это все для пользователя должно <br>&gt;быть абсолютно прозрачно. А еще лучше, если все необходимые модули ядра <br>&gt;для конкретной версии будут доступны в качестве пакетов. Отключение всего ненужного <br>&gt;это утопия для рядового глупого пользователя. <br><br>много непонятных букв :(<br> https://opennet.ru/openforum/vsluhforumID3/42785.html#51 Fri, 11 Jul 2008 07:42:10 GMT &gt;&gt;хорошо, что в Linux пока нет этого ада... <br>&gt;<br>&gt;это пока =) <br><br>Я "это пока" уже лет 10 точно слышу.<br>Первая продакшн система Slackware 4.0. Сейчас федоры, альты, фрибсди, убунты...<br>Когда ж наступит...<br> https://opennet.ru/openforum/vsluhforumID3/42785.html#50 Thu, 10 Jul 2008 19:22:22 GMT &gt;1) у вас в ~/bin не лежат скрипты для повседневных мелочей? на <br>&gt;кой юг мне noexec на хомяке, где работчие проекты лежат? сразу <br>&gt;видно - человек не работал под *nix. <br><br>клади скрипты в /usr/bin/scripts, читай man sudo<br>&gt;2) selinux - УГ. мало того что 99% софта из поставки дистра <br>&gt;с ним просто неработает, так еще и неюзабельный алгоритм написания политик <br>&gt;под него. <br><br>сложноват в освоении, не спорю.. но его надо просто научиться готовить)<br>слышал недавно появилась новая ГУИ-конфигурялка, пока не юзал<br>&gt;3) tripwire вам ничем не поможет когда будет стерт ваш хомяк, в <br>&gt;лючшем случае оно уже обнаружит затрояненный хомяк <br><br>бред сивой кобылы, резервное копирование никто не отменял.<br>вы хотите что-то большее чем обнаружить протрояненный файл?<br><br><br> https://opennet.ru/openforum/vsluhforumID3/42785.html#49 Thu, 10 Jul 2008 19:13:29 GMT GET, вы видели секретаршу, которая хотя бы слышала о "дружелюбных к админу" групповых политиках windows??<br>между прочим и с GP нужно повозиться, чтобы установить определенное ПО на машины предприятия... и ваша секретарша не сможет этого сделать. А скомпилировать ядро через тот же make menuconfig ни чуть не сложнее чем установить софт с GP.<br>А вообще, обеспечение локальной и сетевой безопасности это отдельная песня... с windows я думаю достичь подобных результатов будет на порядок сложнее, и вы подумаете какой хороший этот `make menuconfig`...<br>хватит говорить что виндовс - это легче! вы тратите часы на решение многих проблем! и не замечаете этого.. и проблем там ПРЕДОСТАТОЧНО. а в линуксе коммандную строку открыть .... оо! ... это уже сложно, при этом в венде весь дебаг только из командной строки.<br> https://opennet.ru/openforum/vsluhforumID3/42785.html#48 Thu, 10 Jul 2008 17:56:41 GMT &gt;&gt;сделайте папки /tmp и /home неисполняемыми, используйте SELinux от американского КГБ и <br>&gt;&gt;обновляйте регулярно ядро(можете убрать из него всё что вам не нужно <br>&gt;&gt;и тогда шансы запустить произвольный код на вашей машине станут ещё <br>&gt;&gt;меньше) и софт. Используйте HIDS типа tripwire. <br>&gt;&gt;ваша система будет крайне(!) безопасна. <br>&gt;<br>&gt;полное непонимание как у вас. <br>&gt;1) у вас в ~/bin не лежат скрипты для повседневных мелочей? на <br>&gt;кой юг мне noexec на хомяке, где работчие проекты лежат? сразу <br>&gt;видно - человек не работал под *nix. <br><br>Для повседневных мелочей скрипты оттестированы и лежат в специальной директории со специальными правами и отслеживанием за их поведением.<br><br>&gt;2) selinux - УГ. мало того что 99% софта из поставки дистра <br>&gt;с ним просто неработает, так еще и неюзабельный алгоритм написания политик <br>&gt;под него. <br><br>Не одним SELinux жива безопасность никсов.<br><br>&gt;3) tripwire вам ничем не поможет когда будет стерт ваш хомяк, в <br>&gt;лючшем случае оно уже обнаружит затрояненный хомяк <br><br>нда ... что ж таког https://opennet.ru/openforum/vsluhforumID3/42785.html#46 Thu, 10 Jul 2008 17:37:17 GMT А еще, можно некоторые опасные вещи, такие, как браузер, wine (для тех, кто не может жить без софта с оффтопика) запускать через sudo под другим юзером:))<br>