[Ramerup]

Проблемы безопасности компьютера становятся более актуальными с каждым днём, этот пост создается для того, что бы помочь новичкам в интернете избежать некоторых угроз - отключив ненужные, а зачастую - просто опасные службы и сервисы Windows. Для составления топика используется книга
"Безопасный Интернет. Универсальная защита для Windows ME – Vista"
Автор-составитель Николай Головко. Скачать, или прочесть книгу полностью в режиме онлайн можно здесь. Там же можно скачать специальную утилиту Security Advisory для конфигурирования служб.

Итак...
Следует отключить автозапуск для сменных дисков и компакт-дисководов. Автозапуск используют для скрытой загрузки некоторые типы червей и классических вирусов. Для 2000, XP Pro, 2003:
Пуск - Выполнить – ввод gpedit.msc - OK - Конфигурация компьютера - Административные шаблоны - Система - Отключить автозапуск (выберите, где отключать). Далее примените новую политику командой в консоли. Пуск - Выполнить - cmd - gpupdate
В XP Home оснастка управления групповыми политиками отсутствует, однако тот же эффект может быть достигнут ручной правкой реестра
1) Пуск - Выполнить – ввод regedit – OK.
2) Открыть HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies.
3) Создать новый раздел
4) Переименовать созданный раздел в Explorer
5) В этом разделе создать ключ NoDriveTypeAutoRun
Допустимые значения ключа:
0x1 - отключить автозапуск на приводах неизвестных типов
0x4 - отключить автозапуск съемных устройств
0x8 - отключить автозапуск НЕсъемных устройств
0x10 - отключить автозапуск сетевых дисков
0x20 - отключить автозапуск CD-приводов
0x40 - отключить автозапуск RAM-дисков
0x80 - отключить автозапуск на приводах неизвестных типов
0xFF - отключить автозапуск вообще всех дисков.
Значения по умолчанию:
0x95 - Windows 2000 и 2003 (отключён автозапуск съемных, сетевых и
неизвестных дисков)
0x91 - Windows XP (отключён автозапуск сетевых и неизвестных дисков)
Изменения в реестре применяются только после перезагрузки.

Для повышения безопасности желательно предотвращать фокусы с двойным расширением файлов (когда настоящее имя файла выглядит как picture.jpg.vbs, но без дополнительной настройки Проводника оно будет отображаться как picture.jpg) !!!. С этой целью требуется включить отображение расширений всех файлов .
Мой компьютер – Сервис – Свойства папки. Вкладка Вид. Снять галочку Скрывать расширения для зарегистрированных типов файлов.
На Windows Vista эта операция может быть осуществлена через Панель управления
Кроме того, следует выполнить следующую операцию Пуск – Выполнить – ввод regedit - OK.
Правка – Найти – ввод NeverShowExt – Enter.
Следует удалить каждый найденный параметр. Для дальнейшего поиска - нажать F3, пока реестр не сообщит, что больше таких параметров /значений нет. (Следует заметить: теперь для правильного переименования файла не следует затрагивать расширение. Если вы желаете, к примеру, переименовать файл readme.txt в readmenot.txt, то изменять имя файла следует только до расширения. Если при включенном показе расширений вы удалите старое имя полностью и переименуете readme.txt просто в readmenot, в дальнейшем у вас могут быть проблемы с открытием этого файла.)
Для желающих знать подробности, для чего это надо, вот ссылка -
http://virusinfo.info/showthread.php?t=31486

P.S. Рекомендуется проводить эту операцию и в последующем, - после обновлений Windows. Тоже самое относится и к проверке состояния служб которые вы отключите.

Также следует отключить системные возможности удаленного управления . Делается это следующим образом.
Панель управления (классический вид) – Система. Вкладка Удаленные сеансы. Снять галочку Разрешить отправку приглашения удаленному помощнику. На Windows Vista эта операция может быть осуществлена через Панель управления – Настройка удаленного доступа. Желательно также отключить учетную запись «Гость» и удалить все учетные записи пользователей, которые никто не использует . Учетную запись встроенного Администратора (она видна из Безопасного режима) желательно переименовать, также следует поставить на нее надежный пароль. В противном случае это может быть еще одним вектором для атаки.

Предотвращение сетевых атак

Теперь мы можем перейти к закрытию портов и снятию потенциальных уязвимостей посредством отключения служб. Эта операция также безвредна для компьютера, вместе с тем позволяя закрыть порты на уровне операционной системы. Отключение служб, помимо повышения безопасности, освобождает порой значительные объемы оперативной памяти. Начать следует с закрытия наиболее критичных портов посредством программы Windows Worms Doors Cleaner
Скачать можно здесь
после чего перейти к выполнению нижеследующих инструкций. Имейте в виду, что операции следует проводить с правами администратора, когда компьютер не подключен к сети!
Итак, Панель управления (классический вид) –
Администрирование – Службы
В списке следует выбрать требуемую службу и дважды щелкнуть по ней. В окне Свойства следует задать рекомендуемый тип запуска

Настройка типа запуска служб


Рекомендации по отключению служб на Windows XP и ниже
!!!Внимание! Описанная ниже конфигурация служб обеспечивает нормальное и безопасное функционирование
одиночного компьютера без локальной сети, подключающегося к Интернету через Dial-Up или ADSL. Если у вас другой тип подключения, имеется локальная сеть, стоит специализированное программное обеспечение и так далее, внимательно читайте описание служб для отключения . Если вам кажется, что отключение службы может негативно сказаться на некоторых сетевых функциях вашего компьютера, устанавливайте эту службу
в позицию Вручную (Manual). На Windows Vista указанные службы также существуют.
Рекомендации для них такие же.

Советую записывать свои действия дабы иметь возможность вернуть службы на исходные позиции...

Для следующих служб нужно выбрать тип запуска – Отключено (Disabled) и остановить (эти службы никогда не будут запущены):

DNS-клиент [DNS Client]

Machine Debug Manager

NetMeeting Remote Desktop Sharing

Автоматическое обновление [Automatic Updates] (включать раз в месяц для обновления Windows)

Беспроводная настройка [Wireless Zero Configuration]

Вторичный вход в систему [Secondary Logon] (если вы единственный пользователь компьютера)

Диспетчер сетевого DDE [Network DDE DSDM]

Диспетчер сеанса справки для удаленного рабочего стола [Remote Desktop Help Session Manager]

Доступ к HID-устройствам [Human Interface Device Access]

Модуль поддержки NetBIOS через TCP/IP [TCP/IP NetBIOS Helper Service]

Сервер папки обмена [ClipBook]

Служба восстановления системы [System Restore Service]

Служба индексирования [Indexing Service]

Служба обнаружения SSDP [SSDP Discovery Service]

Служба сетевого DDE [Network DDE]

Служба шлюза уровня приложения [Application Layer

Gateway Service] (если у вас Windows XP SP2)

Службы IPSEC [IPSEC Services]

Службы терминалов [Terminal Services]

Совместимость быстрого переключения пользователей [Fast User Switching Compatibility] (если вы – единственный пользователь компьютера).

Удаленный реестр [Remote Registry]

Фоновая интеллектуальная служба передачи (BITS) [Background Intelligent Transfer Service] (во время обновления Windows – Авто)


Для следующих служб следует выбрать режим запуска – Вручную и
остановить (эти службы будут отключены, но, если приложение
нуждается в них, оно может самостоятельно запустить их):

ASP.NET State Service

InstallDriver Table Manager

MS Software Shadow Copy Provider

Office Source Engine

QoS RSVP

Windows Installer

Адаптер производительности WMI [WMI Performance Adapter]

Брандмауэр Windows/Общий доступ к Интернету (ICS) [Windows Firewall/Internet Connection Sharing]

Веб-клиент [Web Client]

Диспетчер авто-подключений удаленного доступа [Remote Access Auto Connection Manager]

Диспетчер логических дисков [Logical Disk Manager]

Диспетчер подключений удаленного доступа [Remote Access Connection Manager]

Журналы и оповещения производительности [Performance Logs and Alerts]

Источник бесперебойного питания [Uninterruptible Power Supply]

Координатор распределенных транзакций [Distributed Transaction Coordinator]

Маршрутизация и удаленный доступ [Routing and Remote Access]

Планировщик заданий [Task Scheduler] (если никакая программа не пользуется им)

Протокол HTTP SSL [HTTP SSL]

Сетевые подключения [Network Connections]

Система событий COM+ [COM+ Event System]

Системное приложение COM+ [COM+ System Application]

Служба COM записи компакт-дисков IMAPI [IMAPI CDBurning COM Service]

Служба администрирования диспетчера логических дисков [Logical Disk Manager Administrative Service]

Служба времени Windows [Windows Time]

Служба загрузки изображений (WIA) [Windows Image Acquisition]

Служба обеспечения сети [Network Provisioning Service]

Служба регистрации ошибок [Error Reporting Service]

Служба серийных номеров переносных устройств мультимедиа [Portable Media Serial Number Service]

Служба сетевого расположения (NLA) [Network Location Awareness]

Смарт-карты [Smart Card]

Справка и поддержка [Help and Support]

Съемные ЗУ [Removable Storage]

Теневое копирование тома [Volume Shadow Copy]

Узел универсальных PnP-устройств [Universal Plug and Play Device Host]

Управление приложениями [Application Management]


Должны работать (тип запуска - Авто):

Телефония [Telephony]

Удаленный вызов процедур (RPC) [Remote Procedure Call]

DHCP-клиент [DHCP Client] (если у вас модем)

Plug and Play

Windows Audio

Windows User Mode Driver Framework

Диспетчер очереди печати [Print Spooler]

Диспетчер учетных записей безопасности [Security Accounts Manager]

Журнал событий [Event Log]

Запуск серверных процессов DCOM [DCOM Server Process Launcher]

Защищенное хранилище [Protected Storage]

Инструментарий управления Windows [Windows Management Instrumentation]

Клиент отслеживания изменившихся связей [Distributed Link Tracking Client]

Определение оборудования оболочки [Shell Hardware Detection]

Службы криптографии [Cryptographic Services]

Темы [Themes]

Уведомление о системных событиях [System Event Notification]

Центр обеспечения безопасности [Security Center] (по желанию)

Рекомендации по отключению некоторых служб на Windows Vista (по материалам www.thevista.ru ), которые отсутствуют на Windows XP

Desktop Window Manager Session Manager / Менеджер сеансов DWM Обеспечивает запуск и работу Desktop Window Manager. Если вы не пользуетесь интерфейсом с прозрачностью Aero Glass, отключайте

IP Helper: Обеспечивает автоматическую работу IPv6 на базе IPv4-сетей. Если вам не требуется поддержка IPv6, отключаем .

Offline Files / Оффлайн-файлы: данная служба следит за кэшем оффлайн-файлов и регистрирует события активности оффлайн-файлов. Если вы не пользуетесь оффлайн-файлами, отключайте .

Program Compatibility Assistant Service / Служба обеспечения программной совместимости: Обеспечивает работу приложения Program Compatibility Assistant. Если вы не пользуетесь приложением Program Compatibility Assistant, отключайте .

ReadyBoost: Обеспечивает поддержку ReadyBoost. Если вы не пользуетесь USB-устройствами в качестве способа повышения производительности системы, отключайте . Иначе приобретайте Flash- диск, подключайте к USB-порту и используйте в качестве довеска к системной памяти, который значительно увеличивает общую производительность системы.

Tablet PC Input Service / Служба ввода информации с TabletPC:
Включает функциональность Tablet PC. Если у вас не Tablet PC, можно со спокойной совестью отключать .

Windows Defender: Сканирует компьютер на вредоносное ПО (spyware или adware), позволяет делать это по расписанию и загружает собственные обновления. Если вы используете сторонние решения по безопасности, данную службу можно отключить .

Рекомендуется так же устанавливать в позицию «Вручную» и останавливать любые иные службы, связанные с обменом файлами по сети или доступом к компьютеру извне . Таковыми могут выступать службы медиа-проигрывателей, принтеров и т.п., осуществляющие доступ к общим папкам в сети или предоставляющие таковой к файлам
на компьютере (например, Служба общих сетевых ресурсов проигрывателя Windows Media).

После отключения служб

следует удалить потенциально опасные компоненты сетевого
подключения. Изложенные ниже операции рекомендуется производить
только на домашних компьютерах, так как корпоративная сеть может
использовать удаляемые компоненты.

Панель управления (классический вид) – Сетевые подключения. На Windows Vista – Панель управления
(классический вид) - Центр управления сетями и общим доступом - Управление сетевыми подключениями. Выбрать ваше подключение, щелкнуть по нему правой клавишей мыши; пункт Свойства. Вкладка Сеть.

Компоненты сетевого подключения


Удалить все компоненты, кроме Протокол Интернета (TCP/IP) (на Windows Vista – кроме Протокол Интернета версии 4 (TCP/IPv4)) и специализированных компонентов защитного ПО (например, NDIS-фильтр Kaspersky Internet Security). Далее: выделить Протокол Интернета (TCP/IP), кнопка Свойства. В полученном окне кнопка Дополнительно. Вкладка WINS.



Снять галочку Включить просмотр LMHOSTS и установить переключатель в позицию Отключить NetBIOS через TCP/IP. Далее везде нажимаем OK. Ту же операцию следует повторить для всех сетевых подключений.
Имейте в виду, что после этого некоторые службы удаляются.

Отключение административных ресурсов (для опытных
пользователей)
Отключение скрытого общего доступа (ADMIN$, C$, PRINT$, FAX$ и
подобные)

Каждый компьютер под управлением WinNT/2000/XP/2003 автоматически создает ресурсы общего доступа для каждого диска в системе. Эти ресурсы скрыты, но могут полностью контролироваться администратором домена. Именем такого ресурса является буква диска, сопровождаемая знаком $. При создании хорошо защищенной сети вам может понадобиться отключение этих общих ресурсов или по крайней мере ограничение прав конкретных пользователей и служб. Скрыты по умолчанию следующие ресурсы:
C$ D$ E$ - корень каждой партиции. Под WinNT
Workstation/2000/2003/XP Professional только администраторы или
Backup Operators могут подключаться к этим ресурсам; под WinNT
Server/2000 Server к ним также имеют доступ Server Operators.
ADMIN$ - %SYSTEMROOT%. Этот общий ресурс система использует при каждом сеансе удаленного администрирования. Путь к ресурсу задан переменной %SYSTEMROOT% (под Win2000/NT это обычно C:\Winnt, под XP - C:\Windows).
FAX$ - под Win2000 Server этот ресурс используется для отправки факсов. Ресурс временно кэширует файлы и обращается к файлам на сервере.
IPC$ - временные соединения между серверами, необходимые для обмена данными между программами. Используется во время сеанса удаленного администрирования и при просмотре расшаренных папок компьютера. Этот ресурс может быть очень опасен, поскольку через него можно извлечь значительное количество информации о вашей сети даже из-под анонимного аккаунта.
NetLogon – этот ресурс используется службой Net Logon под Win2000, 2003 и NT Server при обработке запросов на сетевой вход в систему через домен, а также более ранними системами при запуске logon-скриптов.
PRINT$ - %SYSTEMROOT%\SYSTEM32\SPOOL\DRIVERS.
Используется для удаленного управления принтерами. Можно просто удалить ресурс через менеджер сервера в WinNT или средства управления общим доступом к папкам в Win2000/XP/2003, но проблема состоит в том, что после перезагрузки ресурсы будут автоматически восстановлены. Также их можно отключить через редактор политик, однако более простой способ постоянного отключения этих ресурсов - редактирование реестра.
Для серверных систем (WinNT 4.0/2000/Windows Server 2003):
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanManServer\Parameters] "AutoShareServer"=dword:00000000
Если такого ключа нет, его нужно создать. Результат появится после
перезагрузки.

Для рабочих станций (WinNT 4.0 Workstation/XP Pro):
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanManServer\Parameters]
"AutoShareWks"=dword:00000000
Если такого ключа нет, его нужно создать. Результат появится после
перезагрузки
Для воссоздания скрытых ресурсов значение соответствующих ключей нужно вновь изменить на 1. Имейте в виду, что некоторые приложения могут зависеть от скрытых ресурсов и работать некорректно.

На XP Home данная функциональность отсутствует . При выполнении рекомендаций «После отключения служб» служба LanManServer, к которой относятся вышеперечисленные ключи, удаляется .

Важно! Эти манипуляции с реестром не отключают IPC$. Данный ресурс широко используется хакерами для выбора атакуемых систем, поскольку он может предоставить много информации о системных, пользовательских именах и так далее. Если разрешения для аккаунтов некорректны, или вы не отключили анонимный аккаунт, или не отключили гостевой аккаунт, то этот вектор атак может привести к взлому системы за считанные минуты. Подробнее, и как отключить можно посмотреть здесь