Межсетевые экраны (файрволлы)

Вы когда-нибудь задумывались над тем, каким именно образом программы (вредоносные или нет – пока не важно) получают доступ к вашему компьютеру через Сеть? Каким именно образом вообще организован обмен данных между вашей «персоналкой» и Интернетом? Как именно компьютер определяет, какую программу допустить к своему мягкому и уязвимому брюшку, а перед какой надобно закрыть все ворота на засов?

Давайте разберемся...

Представим ваш компьютер в виде средневекового замка, окруженного высокой стеной. Пока к замку дорожку не протоптали – жил он вполне самодостаточным образом. Но эволюция на месте не стоит, цивилизация развивается, время налаживать товарообмен с соседями – поэтому в стене прорубается дверь и прокладывается шоссе до ближайшего города. А на ворота ставится стража – чтобы вместе с честными торговцами не проскочила в замок всякая шушера сомнительного происхождения и не менее сомнительной морали...

На этом сходство компьютера с замком заканчивается. Ибо ворота у замка одни, а функцию фильтрующего элемента выполняют сторожевые дуболомы с берданками.

Компьютер же поступает иначе – в своей «защитной стене» он прорубает не одни ворота, а множество. При этом каждый вход он закрепляет за определенной программой или сервисом, который будет отныне полновластным хозяином данной «двери».

Проблема в том, что дверей таких слишком уж много. Протокол TCP, который и является основным для современной Сети, предполагает использование целых 65536 (216) портов. А ведь могут использоваться еще и другие протоколы – например UDP, в ассортименте которого находится точно такое же количество портов...

Первые 100 портов (0-99) относятся к категории стандартных – их использование жестко регламентировано и навсегда закреплено за определенными службами. Следующий диапазон портов (до 1024) именуется «широко используемым» и предоставляет своим клиентам чуть меньше полномочий. А вот дальше начинается «темный лес» – более 60 000 портов, большая часть которых дается на откуп сторонним программам.

В идеале открытыми для использования могут быть лишь те порты, которые зарезервированы за определенными, известными системе программами – остальные «двери» должны быть надежно заблокированы. К тому же для каждого порта должны быть созданы четкие правила, каждому должны быть делегированы свои полномочия. Одни из них открыты только на «вход», другие – на «выход» информации, а третьи допускают и двустороннюю передачу данных. Ведь мы же не только скачиваем информацию из Сети – порой нам приходится и отправлять туда информацию в виде команд или данных...

Но самое главное – не должно случаться так, чтобы, получив доступ к компьютеру через какой-либо порт, программа (или управляющий ею человек) могли пуститься во все тяжкие – копировать или изменять файлы на компьютере, вносить изменения в настройки системы.

В теории так и предусмотрено. Однако на деле в системе защиты Windows имеется множество «дырок», которые позволяют злоумышленнику получить доступ к вашей информации через «недозволенный» канал. Конечно, это не значит, что, получив доступ к определенному порту, вы можете хозяйничать в чужом компьютере, как в собственной «персоналке», – такое бывает только в кино. К тому же просто так, наобум, ломиться в любой попавшийся логический порт бесполезно – атаки на большинство из них успешно отражаются самой операционной системой.

Но иногда достаточно лишь крошечной ошибки, позволяющей человеку, оседлавшему определенный порт, получить немного больше простора для маневра, чем было задумано изначально.

Возьмите, к примеру, вирус Blaster, который атакует компьютер через порт 135 или 139. Этот порт относится к числу «широко используемых» – а значит, операционная система теоретически должна за этим портом пристально следить, не позволяя использовать его для нежелательных операций. Однако благодаря крохотной «дырочке» в системе защиты вирус получает возможность выполнить действие, приводящее к перезагрузке компьютера, которое повторяется вновь и вновь при каждом входе в сеть. Это, конечно, не форматирование диска... Но и перезагрузка компьютера в разгар работы – не самое приятное в жизни событие...

А ведь портов в компьютере десятки тысяч, и пресловутая «дырка» – далеко не единственная брешь в защите Windows...

Кандидат на «взлом» может быть выбран как случайно, так и намеренно – достаточно лишь отследить момент, когда нужный вам пользователь войдет в сеть. Конечно, при модемном соединении, когда времени на сканирование у вашего противника немного, вероятность «взлома» не так уж высока. Но при постоянном подключении к сети (например, кабельном) опасность «взлома» резко возрастает.

Существуют специальные программы для сканирования портов, с помощью которых можно отыскать лазейку практически в любой компьютер. Или наоборот – выход из него. Именно так работают многие «троянские» программы, отправляющие данные из вашего компьютера.

Защититься от подобных атак традиционными способами уже не получится. Антивирус бессилен – это не по его специальности, да и встроенная защита Windows частенько пасует... Однако рецепт спасительного «лекарства» от этой болезни все же существует. Состоит он из двух частей:

Регулярно скачивать обновления для вашей версии Windows. Напомним, что для этого достаточно просто зайти на сайт Центра обновления Windows (http://windowsupdate.microsoft.com) или щелкнуть по значку Центр обновления Windows в меню Сервис программы Internet Explorer.

Установить специальную программу, которая возьмет на себя полный контроль над всеми портами и сможет оперативно оповестить вас об атаке. А то и просто отразить ее. Такие программы называются файрволлами (firewall) или брандмауэрами. В переводе на русский эти слова означают – «огненная стена». Смысл названия двоякий – во-первых, преодолеть сплошную стену огня невозможно, если только ты не пожарный-профессионал. А во-вторых, название это напоминает о хорошо известном способе тушения лесных и степных пожаров: навстречу надвигающейся огненной лавине пожарные пускают вторую, специально поджигая лес. Две огненные стены встречаются – и в мгновение ока уничтожают друг друга.

Точно так же работают и компьютерные файрволлы, защищая наш компьютер от проникновения заразы извне. Непреодолимой стеной встают они на пути разрушающих программ и скриптов, а атаке через порты противостоят, пользуясь оружием самих нападающих – сканируя порты доступа.

Обнаружив попытку несанкционированного проникновения в ваш компьютер, программа может просто подать сигнал тревоги, а может сразу заблокировать доступ подкапывающемуся под вас «кроту». Это – основная функция всех программ этого класса, к которой, в зависимости от сложности продукта, добавлено еще множество других, более или менее нужных.

...Увы, приходится огорчить всех тех, кто считает персональные файрволлы надежной защитой. Практика показывает, что большинство из этих программ-«стражей» довольно уязвимы, они могут отбить атаки лишь не слишком умелых хакеров. Против настоящих профессионалов взлома они, увы, бессильны. Если же вы хотите проверить, насколько «дыряв» ваш любимый файрволл, воспользуйтесь услугами утилит Firewall Leakage Tester и Firehole, которые вы сможете найти на большинстве сайтов по компьютерной безопасности.

Существует и масса специализированных сайтов, которые позволят вам проверить защищенность вашего компьютера через Интернет. Например, такую услугу предлагает один из разделов корпоративного сайта Symantec (http:// www.symantec.com/sabu/nis/nis_pe/).

Кроме того, проверить свой файрволл на уязвимость можно по одной из этих ссылок:

http://scan.sygate.com

http://www.auditmypc.com

http://www.pcflank.com/test.htm

http://www.hackerwatch.org/probe/

Прибегать к услугам брандмауэров приходится даже пользователям Windows XP – при том, что в новых операционных системах Microsoft уже имеется встроенный брандмауэр. Однако удобство работы с ним оставляет желать лучшего, хотя надежность встроенного «сторожа» порой даже выше, чем у отдельных программ этого типа.

Основных требований к современному файрвол-лу несколько:

Он должен уметь отражать атаки не только извне (попытки сканирования портов), но и изнутри.

Файрволл должен отслеживать активность установленных в вашей системе программ и позволять вам блокировать доступ к Сети любой из них.

Наконец, файрволл должен предоставлять вам возможность выборочного закрытия отдельных портов (причем с учетом направления – «вход» или «выход», а также – конкретного протокола).

Пользователям домашних компьютеров, подключенных к скоростному выделенному каналу, рекомендуется вручную закрыть доступ к следующим входящим портам (с указанием протоколов доступа).

TCP:20, TCP:445,

TCP:25, UDP:445,

TCP:69, TCP:555,

UDP:69, TCP:4444,

TCP:135, TCP:12345,

UDP:135, TCP:54321,

UDP:137, TCP:54320,

TCP:139, TCP:65000.

UDP:139,

Конечно, на самом деле «опасных» портов куда больше. Но это – тот необходимый минимум, который может уберечь вас от множества неприятностей. Специалисты по компьютерной безопасности и «продвинутые» пользователи могут заглянуть, к примеру, на сайт компании Commodon, где опубликован впечатляющий список потенциально опасных портов с указанием программ, которые их используют:

http://www.commodon.com/threat/threat-allports.htm

Большинство современных «сторожей», помимо своей прямой обязанности, умеют выполнять и ряд других полезных функций – например, удалять с сайтов надоедливые рекламные банне-ры, предотвращать роение выпадающих окон с той же рекламой. Словом – выступают еще и в качестве оптимизаторов и ускорителей. Вот почему автор позволит себе не согласиться с теми, кто утверждает, что в этих программах (в связи с их ненадежностью) и вовсе нет никакой необходимости.