» Обход защиты Zlock
Скажите пожалуйта, кто- нибудь знает как обойти защиту Zlock. Административные права на компьютере есть. Отключение служб, автозагрузки и драйвера не помогло.
Заранее спасибо.
Автор: Alexander_K76
Дата сообщения: 14.12.2008 08:02
lapshtein
не в том разделе создали тему! надо было разместить её здесь: Андеграунд
Форум Ru-Board.club — поднят 15-09-2016 числа. Цель — сохранить наследие старого Ru-Board, истории становления российского интернета. Сделано для людей.
Как обойти zlock
Сообщения: 3583
Благодарности: 507
| Конфигурация компьютера |  |
| Процессор: Intel Core 2 T7200 2Ghz | |
| Материнская плата: Asus A7j | |
| Память: 2,5 Gb SDRAM | |
| HDD: ST9120821AS 5400.2 SATA 120 GB | |
| Видеокарта: Mobility Radeon X1600 | |
| CD/DVD: TSST CD/DVDW TS-L632L | |
| Монитор: 17″ | |
| ОС: Windows 7 Ultimate х86 | |
| Индекс производительности Windows: 4.3 |
gorill, Никак. Ибо этот программный продукт состоит из двух взаимосвязанных частей — клиентского модуля и консоли управления. Так вот консольуправления находится пол полным контролем администратора. А без неё в клиентский модуль (настроенные права доступа) нет никакой возможности внести изменения. Всё. Надеюсь исчерпывающий ответ?
P.S. Договаривайтесь с администратором
——-
MULTI MULTA; NEMO OMNIA NOVIT
Конкурсная программа Positive Hack Days IV
До старта международного форума по практической безопасности Positive Hack Days IV остается чуть больше месяца. Оргкомитет форума анонсирует увлекательную конкурсную программу, которая и делает форум уникальным явлением в индустрии безопасности.
Мероприятие состоится 21-22 мая 2014 в Москве и соберет более 2000 участников из более 700 организаций — крупнейших банков, государственных ведомств, телекоммуникационных, энергетических, нефте- и газодобывающих, промышленных и IT-компаний. Условия участия в форуме опубликованы на сайте PHDays: http://www.phdays.ru/how_to_join/
Центральное место в конкурсной программе PHDays отводится прикладным испытаниям, в ходе которых участники могут продемонстрировать свои практические навыки в деле взлома и защиты. Участвовать в конкурсах можно как непосредственно на месте проведения мероприятия, так и онлайн, в рамках инициативы PHDays EveryWhere.
Соревнования на площадке форума
Critical Infrastructure Attacks (CIА)
Конкурс по анализу защищенности реальных систем АСУ ТП ( Choo Choo Pwn ), на основе которых функционирует модель железной дороги, стал абсолютным хитом PHDays III, а его организаторы смогли ощутить себя настоящими рок-звездами, устроив мировой тур по ИБ-конференциям ( Сеул , Гамбург ).
В этом году в ходе соревнования конкурсанты получат доступ к сети АСУ ТП и в течение заданного времени должны будут либо нарушить работоспособность отдельных частей игрушечного мира, либо получить контролируемый доступ к целевым системам.
Большой ку$h
Благодаря соревнованию Большой ку$h на PHDays любой желающий может побывать в образе злоумышленника, пытающегося похитить деньги с банковских счетов безо всякого риска нарваться на проблемы с законом.
Участники конкурса смогут похищать деньги у других участников, которые оказались не столь проворными. Исход конкурса может измениться в самый последний момент.
Состязание призвано проверить знания и навыки участников в области эксплуатации типовых уязвимостей в веб-сервисах систем дистанционного банковского обслуживания (ДБО). Конкурсные задания представлены реальными уязвимостями приложений интернет-банкинга, которые были выявлены специалистами компании Positive Technologies при анализе защищенности подобных систем.
Конкурс проходит в два этапа. Сначала участникам конкурса будут предоставлены копии виртуальных машин, содержащие уязвимые веб-сервисы ДБО (аналог реальной системы интернет-банка, содержащий типичные уязвимости подобных систем). В течение заданного организаторами времени участникам предстоит обнаружить уязвимости в системе. Затем конкурсантам предстоит воспользоваться обнаруженными уязвимостями с целью несанкционированного вывода денежных средств.
Survive Hacking
Еще одно соревнование, вызывающее ассоциации с голливудскими блокбастерами, – настоящая «Обитель зла», состоящая из множества разнообразных препятствий: лазерное поле, датчики движения, решение головоломок, сражения с искусственным интеллектом и обезвреживание бомбы.
В этом году соревнование обещает быть не менее увлекательным – к жучкам и лазерам добавятся и новые уникальные высокотехнологичные испытания.
Application Firewall bypass
В рамках конкурса участникам будет предоставлен архив с исходным кодом веб-приложения, в котором заложены различные уязвимости, а также отчет о сканировании на уязвимости приложением Application Inspector . Задача – попытаться обойти новую систему защиты — Positive Technologies Application Firewall , которое будет защищать приложение со множеством уязвимостей. Имея исходный код, участники смогут убедиться в наличии обнаруженных уязвимостей, попытаться найти другие, а также проверить свои силы в обходе WAF.
Leave ATM alone
Если в прошлом году на PHDays банкомат взламывали физически , то в этом году было решено зайти с другой стороны. Конкурс Leave ATM Alone позволит участникам выявить новые уязвимости в банкоматах.
Участникам будет предоставлена возможность получения доступа к физическому уровню управления некоторыми модулями банкомата. Задача – изучив их, захватить над устройством полный контроль.
Alt2600
Задача участников соревнования заключается в осуществлении звонка с таксофона на заранее определенный номер. Жетон при этом нужно возвратить организаторам. Итоги конкурса будут подведены во второй день форума. При выборе победителя судьи будут учитывать оригинальность методов, позволивших участникам выполнить задание. В прошлом году соревнование пользовалось значительной популярностью .
Онлайн-конкурсы
Для тех, кто по каким-то причинам не сможет 21 и 22 мая оказаться в московском техноцентре Digital October, существует возможность присоединиться к состязаниям онлайн, благодаря инициативе PHDays Everywhere.
Hash Runner
В рамках этого соревнования проверке подвергнутся знания участников в области
криптографических алгоритмов хэширования, а также навыки взлома хэш-функций паролей. Конкурсантам будет предоставлен перечень хэш-функций, сгенерированных по различным алгоритмам (MD5, SHA-1, Blowfish, GOST3411 и др.). Для победы нужно набрать как можно больше очков за ограниченное время, обогнав всех конкурентов.
Принять участие в соревновании сможет любой пользователь сети Интернет. Регистрация для участия откроется на сайте phdays.ru за неделю до старта форума.
PHDays Online HackQuest
Организатор: Лаборатория PentestIT . В разработке заданий для этой лаборатории, помимо команды PentestIT, примут участие Арес (разработчик Intercepnter-NG), Юрий Хвыль (вирусный аналитик CSIS — www.csis.dk ) и Иван Новиков (d0znpp, OnSec — onsec.ru ).
В дни проведения форума PHDays IV пройдет организованное лабораторией PentestIT соревнование Online HackQuest, поучаствовать в котором смогут и посетители площадок PHDays Everywhere, для которых будет отдельный командный зачет. Игровая инфраструктура будет максимальна приближена к реальным условиям и будет представлять собой распределенную сеть, включающую нескольких филиалов атакуемой компании. Участники конкурса попробуют свои силы в решении различных заданий по информационной безопасности. За каждое правильно решенное задание, участник будет получать очки (флаги). Соответственно, победителем станет тот, кто наберет наибольшее количество очков.
Конкурентная разведка
Конкурс позволит участникам форума выяснить, насколько быстро и качественно они умеют искать и анализировать информацию в сети Интернет, пользоваться различными инструментами и техническими приемами для Конкурентной разведки.
За неделю до форума будут опубликованы вопросы, связанные с некой организацией, информацию о которой можно найти в Интернете. Задача участника конкурса — найти как можно больше правильных ответов на поставленные вопросы за минимальное время.
К соревнованию допускается любой пользователь сети Интернет. Зарегистрироваться можно на сайте phdays.ru (регистрация открывается за неделю до начала форума).
Дырявое решето. Как обнаружить канал утечки информации
Сегодня вирусные атаки и нападения хакеров не так страшны предприятиям и фирмам, как это было раньше. С этими угрозами так или иначе справляться научились. Тем не менее важная для конкурентов информация продолжает незаконным образом просачиваться в Интернет либо в виде баз данных продаваться на рынках. Все это наносит ущерб владельцам и руководителям бизнеса.
Нужна стратегия
И виноваты в этом так называемые инсайдеры. В большинстве случаев именно они, сотрудники самой же компании, сознательно осуществляют утечку определенной информации – для своей выгоды и во вред предприятию, в котором работают.
Результаты опроса среди европейских IT-директоров, проведенного американской компанией Secure Computing, выявили интересную вещь: 80% директоров полагают, что проблемы с инсайдерами являются самыми важными для них, и только 17% респондентов посчитали угрозу от хакеров приоритетной. В России инсайдерская тема пока не столь сильно тревожит умы руководителей компаний. В результате ценные данные уходят к конкурентам. Размеры потерь для бизнеса в таких ситуациях, безусловно, разные: от недостачи нескольких процентов месячной прибыли вплоть до угрозы закрытия бизнеса. Но в любом случае ущерб ощутим.
Каналов пересылки данных для злоумышленников огромное множество. Это и электронная почта, и программы для мгновенного обмена сообщениями (ICQ, MSN Messenger, QIP, Jabber), и социальные сети, и голосовые или текстовые сообщения, отправленные через Skype. Зачастую недобросовестные сотрудники, пытаясь обмануть службу безопасности (СБ), передают информацию в графическом виде или, например, в зашифрованном архиве. Не стоит также забывать более простые, но не менее эффективные варианты: запись ценной информации на съемный носитель или обыкновенная распечатка базы данных на корпоративном принтере.
Большинство компаний отслеживает и записывает случаи нарушения безопасности, что является необходимым условием для качественного анализа и правильного планирования мероприятий по борьбе с ними. Однако, по данным ряда опросов, примерно десятая часть предприятий вообще не ведет журналы инцидентов, чуть больше хранят разборки подобных случаев год и меньше того. Что ж, при подобном подходе возможно разбирать прецеденты лишь «по горячим следам».
Не имея на руках подробной статистики, солидной базы событий, нельзя разработать верную стратегию борьбы с нарушениями. Вовремя отреагировать на возникающую угрозу можно, лишь правильно определив тенденции инсайдерских противоправных действий.
Каналов пересылки данных для злоумышленников огромное множество. Это и электронная почта, и программы для мгновенного обмена сообщениями (ICQ, MSN Messenger, QIP, Jabber), и социальные сети, и голосовые или текстовые сообщения, отправленные через Skype
Кого надо проверять
Каким же образом следует бороться со своими сотрудниками – продавцами информации, требуя при этом от них достижения поставленных рабочих целей?
По мнению независимого эксперта Евгения Вараксы, оптимальным решением видится разработка грамотной методики безопасности под каждую конкретную компанию. При этом реализация комплексной политики информационной безопасности невозможна при наличии хотя бы одного неконтролируемого СБ фирмы канала потенциальных информационных утечек.
Прежде всего в качестве профилактических мер, играя на опережение, служба безопасности должна отслеживать настроения в коллективе. Мнения сотрудников о компании и руководстве часто отражаются в их общении в ICQ и Skype, на форумах, в блогах, социальных сетях, и все это крайне информативно для СБ.
В группу риска имеет смысл включать сотрудников, которые ранее были замечены в нарушении политики информационной безопасности, тех, кто использует различные трюки (переименованные файлы, запароленные архивы и т.д.), а также недовольных чем-либо работников. Под особый контроль, безусловно, необходимо брать и тех сотрудников, которые по каким-то причинам резко снизили эффективность своей работы.
Раз в месяц в профилактических целях полезно проводить ретроспективный мониторинг активности 1–2% персонала организации. В случае выявления каких-либо инцидентов, связанных с нарушением политики информационной безопасности, сотрудник должен быть добавлен в список активного мониторинга, то есть в группу риска.
Если все же информация «ушла», для служебного расследования сотрудники СБ фирмы должны иметь архив перехваченной информации, а также возможность получить «срез по активности» сотрудника по всем каналам передачи информации.
В некоторых случаях именно подготовленность и быстрота реакции могут помочь минимизировать последствия информационной утечки.
В группу риска имеет смысл включать сотрудников, которые ранее были замечены в нарушении политики информационной безопасности, тех, кто использует различные трюки (переименованные файлы, запароленные архивы и т.д.). Под особый контроль, безусловно, необходимо брать и тех сотрудников, которые по каким-то причинам резко снизили эффективность своей работы
Наши национальные особенности
Как и в других сферах, развитие технологий информационной безопасности, противостоящих инсайдерам, в России имеет свои особенности. «Отличия между западными и российскими инсайдерами обусловлены в первую очередь различиями в подходах к обеспечению информационной безопасности в компаниях, а также в менталитете работников», – считает Сергей Ожегов, коммерческий директор компании SearchInform, ведущего российского разработчика средств информационной безопасности.
На Западе законы в целом работают лучше, чем в России, где чаще ищут, как их обойти, а не как соблюсти. Законодательство в сфере информационной безопасности в этом плане не является исключением. Также в нашей стране недостаточную роль играет «зарплатный фактор»: в западных странах работодатель «покупает» сотрудника большой заработной платой, за которую тот держится, а у нас многие вынужденно ищут незаконные способы приработка.
В западных странах принято внедрить DLP-систему и рассказать об этом всем сотрудникам, чтобы отбить охоту заниматься на рабочем месте чем-либо, кроме непосредственных служебных обязанностей. Напомним, что DLP (англ. Data Loss Prevention) – это система для предотвращения утечек конфиденциальной информации из информационной системы вовне, а также технические устройства (программные или программно-аппаратные). DLP-системы строятся на анализе потоков данных, пересекающих периметр защищаемой информационной системы. При детектировании в этом потоке конфиденциальной информации срабатывает активная компонента системы, и передача сообщения (пакета, потока, сессии) блокируется.
DLP-системы на Западе при этом ориентированы не столько на решение реальных задач, сколько на соответствие всевозможным законам и требованиям, то есть являются, по сути, страховкой от проверок организаций-регуляторов и контролеров, которые ведут надзор в области защиты коммерческой тайны, персональных данных и других конфиденциальных сведений.
В России DLP стоят дорого, но они работают именно против инсайдеров. Однако при этом контроль над ними должен быть максимально полным и комплексным, потому что без этого он попросту теряет смысл. «Представьте, что вы закрыли кошку в комнате, кроме того, придвинули к двери шкаф, повесили решетку на вентиляцию, чтобы она не вышла, но при этом оставили открытой форточку. Вот именно так выглядит система безопасности, когда не контролируется хотя бы один из каналов передачи информации», – говорит Сергей Ожегов.
В России недостаточную роль играет «зарплатный фактор»: в западных странах работодатель «покупает» сотрудника большой заработной платой, за которую тот держится, а у нас многие вынужденно ищут незаконные способы приработка
Заглушка на суперклее
А теперь подробнее о способах защиты конкретных источников, с которых могут получить информацию инсайдеры.
К примеру, на задней стенке типичного офисного компьютера находится много чего интересного. Это в первую очередь Ethernet-порт. Кабель можно вытащить и вставить, например, в ноутбук (или карманный компьютер), получив возможность «сливать» на свой диск любую конфиденциальную информацию, к которой только мы имеем доступ, причем с очень высокой скоростью – вплоть до 1 Гигабита в секунду. Развернув принцип на 180 градусов, мы втыкаем шнурок от ноутбука в офисный компьютер, забрасывая туда вредоносные программы, позволяющие шпионить за сетью и повышать уровень локальных привилегий до администратора.
Здесь же, на задней стенке, находятся USB-порты, позволяющие подключать различные устройства, приводящие к утечкам данных: карты FLASH-памяти, беспроводные адаптеры (типа Голубого Зуба или Wi-Fi).
Для передачи небольшого объема данных подойдут и низкоскоростные и COM/LPT-порты (кстати говоря, некоторые модели современных материнских плат уже выпускаются без них). А вот цифровой звуковой выход и цифровой видеовыход – это пока что экзотика, однако уже существуют хакерские программы и законченные устройства, использующие их для передачи данных, естественно, при условии, что хакерское программное обеспечение уже установлено на офисном компьютере.
Еще один источник утечки – USB. USB-порты, перекочевавшие на лицевые панели ПК (и даже на корпуса USB-клавиатур), значительно упростили обмен файлами между компьютерами.
Существует огромное количество USB-устройств: от FLASH-карт до PDA и ноутбуков. Правда, ноутбуки в силу своих габаритов менее популярны среди инсайдеров, но все-таки их нельзя сбрасывать со счетов.
Так как же защититься от кражи? Самое простое (но и самое радикальное) – отключить USB-разъемы от материнской платы, опечатав корпус, или воткнуть в них заглушки, обильно смазанные суперклеем. Смешно? Скорее грустно, поскольку к таким мерам администраторы прибегают достаточно часто. Офисный компьютер может работать и без USB. Ему не нужны никакие периферийные устройства, к нему не надо подключать принтер (для этого есть локальная сеть). Поэтому такое решение вполне жизнеспособно, вот только. в некоторых случаях без USB приходится очень туго.
Что ж, можно устанавить на компьютер систему защиты типа ZLock или любую другую. Их много, но принцип один. Специальный драйвер перехватывает запросы на запись к USB и в зависимости от политики доступа либо разрешает запись, либо выдает сообщение об ошибке. USB с полностью закрытым доступом равносилен USB с заглушкой, только заглушка стоит гораздо дешевле и, кстати говоря, совершенно необязательно сажать ее на клей. Достаточно закрыть разъемы специальным щитком с замком, который изготовит любой слесарь или даже сам администратор при минимальных навыках работы с металлом.
У СБ – новый помощник
Не так давно компания SecurIT объявила о выпуске новой версии продукта Zlock 2.0, возможности которой значительно расширены. В новой версии установка и управление системой возможны не только из собственной консоли управления, но и с помощью групповых политик Active Directory. Через групповые политики можно выполнять установку и удаление Zlock, а также распространение политик доступа и настроек системы, что упрощает внедрение и использование системы в крупных корпоративных сетях. Кроме того, расширяются возможности администрирования Zlock в компаниях с разделенными службами IT и безопасности – теперь сотруднику СБ необязательно иметь привилегии локального администратора на компьютерах пользователей, поскольку управление осуществляется средствами домена. Через групповые политики Active Directory можно также задавать временные политики доступа, которые при обновлении групповых политик у пользователя будут автоматически удалены. Это позволяет настраивать для пользователей временное разрешение или запрет использования определенных устройств средствами домена. Кроме того, реализована более тесная интеграция с Active Directory, которая заключается в возможности загрузки доменной структуры и списка компьютеров в систему Zlock. При установке клиентских частей на компьютеры пользователей не требуется перезагрузка системы, что также упрощает и ускоряет внедрение.
Еще одно новшество в Zlock 2.0 – автоматическое «теневое копирование» (shadow copy) файлов, которые пользователи записывают на внешние накопители. Это позволяет контролировать ситуацию даже в том случае, если пользователю разрешена запись на внешние устройства, поскольку администратор информационной безопасности будет точно знать, что именно на них записывается. В режиме «теневого копирования» вся информация, записываемая на внешнее устройство, незаметно для пользователя копируется в защищенное хранилище на локальной машине и потом переносится на сервер. Это расширяет возможности аудита, позволяя проводить расследование инцидентов.
При этом можно отслеживать информацию только для определенных пользователей, групп пользователей и носителей, которые подпадают под действие конкретной политики доступа Zlock. Это значительно повышает избирательность применения функции «теневого копирования», например, можно копировать в хранилище только ту информацию, которая была записана на подозрительные или неизвестные системе Zlock USBустройства.
В новой версии расширен и спектр контролируемых устройств.
Теперь есть возможность контролировать использование любых (а не только USB) сетевых адаптеров, в том числе Wi-Fi и Bluetooth, а также контроллеров IrDA. Поддержка ОС Windows Vista позволит организациям, которые уже перешли на эту ОС, реализовывать политики доступа к внешним устройствам и портам на всех рабочих станциях корпоративной сети в полном объеме.
Таким образом, благодаря новым возможностям Zlock 2.0 IT-департаменты и службы безопасности компаний любых масштабов смогут разрабатывать и проводить в жизнь более гибкие политики безопасности, учитывающие большинство реалий современного информационно-ориентированного бизнеса.
Текст: Александр Губанов