Bash.org.ru IT Happens Истории ## 6501 – 6600

#6548: О патчинге штакетников

20:45 23.06.2011, IT happens

Будучи юниксоидом и админом с десятилетним стажем, я никогда не использовал антивирусы и не рекомендовал их пользователям. В качестве аргумента приводил и привожу наглядную аллегорию.

Представьте, что компьютер с Windows и вашими данными — это некий реальный объект в виде здания. Вместо трёхметрового забора с кольями и электрической защитой вы имеете хилый штакетник с дырками и завалившимися столбиками. И что вы делаете, установив антивирус? Нанимаете охранника, который ходит по периметру штакетника и охраняет здание. Его могут стукнуть сзади по кумполу, он может попросту не успеть добежать или не увидеть атаки. К тому же охранник жрёт за двоих: деньги за лицензию, оперативку и процессор.

Установленный антивирус внушает ложное чувство безопасности. Особо популярный продукт лаборатории, любящей делать громкие необоснованные заявления, вообще злоупотребляет положением охранника и позволяет себе копаться в грязных вещах хозяина и наводить порядок внутри здания. В частности, недавно был схвачен за руку, некорректно конвертируя кодировку пришедшего HTML-письма. Стыд и срам.

Новые версии винды не отстают в маразме и придумывают смешные системы вопросов-ответов над дырами в заборе, которые призваны осложнять жизнь разве что хозяину.

Вместо этого я предлагал и предлагаю всем быть рачительным хозяином на своей территории: хотя бы просто латать дыры в штакетнике и выравнивать столбики.

Вирусы, как и примерные злоумышленники, недалеки в развитии и ходят по небольшому количеству протоптанных тропок через малое количество общеизвестных дыр в заборе. Примерно раз в пару лет осваивают одну новую: так сказать, гордо эволюционируют.

Лезут через макросы? Запретите запись в папку с normal.dot на уровне NTFS.

Пихаются в автозагрузку при входе в систему? Настройте в реестре эти ключи только для чтения. С ассоциацией EXE-файлов та же история.

Бывают двуглавые змии, которые запускают сразу два процесса: каждый следит за жизнеспособностью другого. Морозим через нормальный диспетчер задач обе головы и отрубаем поодиночке.

Срут на сетевые шары? Отключаем шары у обычного пользователя, удаляя сервис Server в реестре. Устраиваем файлопомойку на Юниксе, в Самбе рубим возможность записи экзешников в шару. Заодно управляемость повышаем, резервное копирование упрощаем и утечки информации блокируем.

Автозапускаются с флешек? Отключаем автозапуск со съёмных носителей.

Невозможно прекратить процесс вируса? Переименовываем экзешник и перезапускаем систему — готов, выносите ногами вперед.

В результате выравнивания штакетника вирусные атаки обходили стороной мою сеть на 70 компьютеров на протяжении семи лет. У обращавшихся знакомых все вирусы я удалял сам, вручную, без всяких антивирусов.

На днях знакомый притащил ноутбук с виндой, установленным популярным антивирусом и свежими базами к нему, в которой почти все приложения зависали в неопределённые моменты. Первый диагноз: система полумёртвая, на переустановку. Присмотревшись внимательнее, заметил, что половина сервисов не поднята, а один из них в состоянии Starting. Идём к EXE-файлу, смотрим свойства и описание, понимаем, что вирус, перегружаемся в безопасный режим, отключаем автозапуск сервиса, открываем экзешник в блокноте, кидаем пару символов в тело файла. Вуаля! Подпорченные файлы с вирусами удалять не стоит: большинство «инсталляторов» вирусов, увидев родной файл на нужном месте, тупят и успокаиваются.