Zabezpieczanie połączenia z Internetem, Komputery, WinXP dla expertów
[ Pobierz całość w formacie PDF ]
Rozdzia³ 20
Ochrona przed intruzami
580
Zabezpieczanie
po³¹czenia
z Internetem
Bezpieczne korzystanie z poczty
elektronicznej
588
Bezpieczne przegl¹danie Sieci
590
Ochrona prywatnoœci
598
Znajdowanie dodatkowych
œrodków bezpieczeñstwa
600
Czêœæ V: Korzystanie z Internetu
Rozdzia³ 20: Zabezpieczanie po³¹czenia z Internetem
£¹cz¹c siê z Internetem, nara¿asz swój system na
niebezpieczeñstwo. Jest to bezdyskusyjne, ale nie
powinno spêdzaæ ci snu z powiek. Z zagro¿e-
niem tym mo¿esz sobie poradziæ, jeœli tylko zro-
zumiesz jego naturê i podejmiesz wzglêdnie pro-
ste œrodki zaradcze.
Niektóre z tych œrodków s¹ doœæ oczywiste. Po-
dobnie jak nie zostawi³byœ otwartych drzwi do
domu, wyje¿d¿aj¹c na wakacje, nie powinieneœ
zostawiaæ swoich zasobów dostêpnych dla ró¿-
nych ciekawskich przebywaj¹cych w ogólnodzi-
kiej Sieci (World
Wild
Web). Upewnienie siê, ¿e
twoje dane nie s¹ nara¿one na atak, nie jest trud-
ne i nie grozi ukaraniem.
Inne kroki mog¹ powodowaæ pewne niedogod-
noœci i nara¿aæ na koszty. ¯aden u¿ytkownik In-
ternetu nie powinien pozostawiaæ swojego syste-
mu bez dobrego, aktualnego programu antywi-
rusowego. Byæ mo¿e trzeba bêdzie trochê poszu-
kaæ, zanim znajdziesz taki, który najlepiej
odpowiada twoim potrzebom i bud¿etowi (do-
stêpne s¹ darmowe i niedrogie programy anty-
wirusowe ró¿nych firm, ale ¿aden nie jest zawar-
ty w Windows). Skanowanie poczty przy-
chodz¹cej mo¿e byæ nieco uci¹¿liwe, ale atak,
którego mo¿na by³o unikn¹æ, mo¿e mieæ bardzo
powa¿ne konsekwencje. Warto siê wiêc zabez-
pieczyæ.
Pozostaj¹ jeszcze inne potencjalne zagro¿enia,
jednak mo¿esz podj¹æ ryzyko, bêd¹c œwiado-
mym ich wystêpowania i konsekwencji.
Aktywna
zawartoϾ
– elementy takie jak formanty ActiveX,
aplety Javy i skrypty – sprawia, ¿e strony WWW
s¹ bardziej interesuj¹ce i ³atwiej siê z nich korzy-
sta (a z niektórych nie mo¿na korzystaæ w ogóle
580
Czêœæ V: Korzystanie z Internetu
bez takich elementów). Jednak aktywna zawartoœæ mo¿e byæ równie¿ niebezpieczna –
czy masz j¹ wiêc akceptowaæ, odrzucaæ, czy mo¿e chcesz byæ powiadamiany o ka-
¿dym jej wyst¹pieniu?
Microsoft Internet Explorer daje pewn¹ ochronê przed szkodliwymi elementami ak-
tywnymi bez zbytniej ingerencji w normaln¹ pracê programu. Jednak mo¿esz ustaliæ
stopieñ kompromisu miêdzy akceptowaniem aktywnej zawartoœci a ochron¹ systemu.
Przede wszystkim, Internet Explorer zachêca do kategoryzowania stron WWW wed³ug
poziomów zaufania, jakie mo¿esz im przypisaæ. Zale¿nie od reputacji strony lub jej zna-
jomoœci, mo¿esz ustawiaæ ostrzejsze lub ³agodniejsze regu³y bezpieczeñstwa. Mo¿esz
wiêc postêpowaæ z Sieci¹ podobnie jak postêpujesz w rzeczywistym œwiecie – maj¹c
wiêcej zaufania do znanych i szanowanych firm czy ludzi ni¿ do innych, nieznanych
lub podejrzanych.
Ten rozdzia³ zawiera przegl¹d podstawowych funkcji zabezpieczeñ dostêpnych
w Windows XP i Internet Explorerze. S¹ one blisko spokrewnione z zagadnieniami
bezpieczeñstwa w ogóle, wiêc omówimy równie¿ niektóre ze œrodków, jakie mo¿esz
podj¹æ w celu chronienia swojej prywatnoœci w Internecie.
Ochrona przed intruzami
Aby korzystaæ z Internetu, potrzebujesz dwukierunkowej ³¹cznoœci, co oznacza, ¿e
serwery internetowe i inni u¿ytkownicy mog¹ wchodziæ w nieautoryzowany kontakt
z twoim systemem za ka¿dym razem, gdy jesteœ po³¹czony z Sieci¹. Przede wszyst-
kim, jeœli temu nie zapobiegniesz, intruz mo¿e pobraæ pliki z twego komputera, umie-
œciæ na nim inne niepo¿¹dane pliki (w tym wirusy i konie trojañskie) i monitorowaæ
twoj¹ aktywnoœæ w Internecie.
Kroki zapobiegawcze, które mo¿esz podj¹æ, zale¿¹ od sposobu, w jaki twój system
³¹czy siê z Internetem. W nastêpnych podrozdzia³ach przyjrzymy siê kilku typowym
sytuacjom w domu i ma³ej firmie. (Zak³adamy, ¿e w przypadku korzystania z sieci
du¿ej firmy odpowiedzialnoœæ za bezpieczeñstwo spada na barki administratora).
UWAGA
Jeœli korzysta³eœ z Kreatora konfiguracji sieci Windows XP, twoje po³¹czenie sieciowe powinno byæ ju¿ bez-
piecznie skonfigurowane. Wiêcej informacji na ten temat znajduje siê w podrozdziale „U¿ywanie Kreatora
konfiguracji sieci”, na stronie 811.
Po³¹czenie internetowe indywidualnego komputera
Niezale¿nie od tego, czy korzystasz z po³¹czenia telefonicznego czy jakiejœ formy do-
stêpu szerokopasmowego (DSL, modem kablowy, ³¹cze bezprzewodowe, ISDN czy
linia T1), jeœli twój komputer nie jest czêœci¹ sieci lokalnej, powinieneœ wykonaæ nastê-
puj¹ce czynnoœci:
Uruchom Zaporê po³¹czenia internetowego (lub skorzystaj z oprogramowania tego
typu innego producenta lub zabezpieczenia sprzêtowego – zapory lub rutera).
Wy³¹cz udostêpnianie plików i drukarek w sieciach Microsoft Networks.
Korzystanie z zapory i wy³¹czenie udostêpniania plików i drukarek jest szczególnie
wa¿ne w przypadku korzystania z ³¹cza szerokopasmowego. Po³¹czenia takie zazwy-
Rozdzia³ 20: Zabezpieczanie po³¹czenia z Internetem
581
czaj bywaj¹ aktywne przez d³u¿szy czas ni¿ telefoniczne i czêœciej maj¹ sta³y adres IP
(niezmienny z sesji na sesjê). Im d³u¿ej jesteœ po³¹czony przy u¿yciu tego samego adre-
su IP, tym wiêksze prawdopodobieñstwo, ¿e ktoœ ciê znajdzie i bêdzie próbowa³ ata-
ku. Nie nale¿y jednak zapominaæ, ¿e nawet z ³¹czem telefonicznym i zmiennym adre-
sem IP nie ma powodu, by nie postêpowaæ zgodnie z tymi wskazówkami.
Udostêpnianie po³¹czenia internetowego
Jeœli twój komputer ³¹czy siê z Internetem przez liniê telefoniczn¹ lub szerokopasmo-
wo, a inne komputery w sieci lokalnej korzystaj¹ z tego ³¹cza, powinieneœ:
Uruchomiæ Zaporê po³¹czenia internetowego (lub skorzystaæ z oprogramowania
tego typu innego producenta lub sprzêtu posiadaj¹cego funkcje zapory, jak ruter
czy brama) na twoim komputerze.
Nie korzystaæ z Zapory po³¹czenia internetowego na innych komputerach korzy-
staj¹cych z twojego ³¹cza.
UWAGA
Jeœli inne komputery w twojej sieci korzystaj¹ z twojego ³¹cza, strac¹ po³¹czenie z Internetem po wy³¹cze-
niu twojego komputera. Jeœli nie trac¹ po³¹czenia mimo wy³¹czenia go, oznacza to, ¿e s¹ pod³¹czone nieza-
le¿nie. (Jak w nastêpnym opisanym przypadku).
Komputery w sieci, pod³¹czone do Internetu niezale¿nie
Jeœli dwa komputery (lub wiêcej) s¹ pod³¹czone do Internetu niezale¿nie – to znaczy,
jeœli ka¿dy z nich zachowuje swoje ³¹cze mimo wy³¹czenia pozosta³ych – to ca³a sieæ
powinna byæ odizolowana od Internetu za pomoc¹ urz¹dzenia takiego jak ruter lub
brama. Urz¹dzenie takie dokonuje translacji adresów sieciowych (NAT –
Network Ad-
dress Translation
) w celu ukrycia komputerów stoj¹cych za nim. Internet „widzi” tylko
bramê jako czêœæ sieci ze sta³ym adresem IP, a urz¹dzenie przypisuje pozosta³ym
komputerom prywatny adres IP, niewidoczny z Internetu.
Wiêcej informacji na temat translacji adresów sieciowych i prywatnych adresów IP znajduje siê w ramce „Publiczne
i prywatne adresy IP”, w rozdziale 29 .
Jeœli twoja sieæ jest usytuowana za takim urz¹dzeniem, nie musisz siê k³opotaæ uru-
chamianiem Zapory czy wy³¹czaniem udostêpniania plików i drukarek. Jeœli takiego
urz¹dzenia nie ma – to znaczy jeœli sieæ pod³¹czona jest do Internetu przez koncentra-
tor nie posiadaj¹cy mo¿liwoœci translacji adresów sieciowych – twoja sieæ jest otwarta
na atak z Internetu. Informacje na temat zaradzenia tej sytuacji znajduj¹ siê w podroz-
dziale „Zabezpieczanie sieci równorzêdnych”, na stronie 832.
Nowa funkcja!
Korzystanie z Zapory po³¹czenia internetowego
Zapora po³¹czenia internetowego (
Internet Connection Firewall
– ICF) to komponent
oprogramowania blokuj¹cy nieautoryzowany ruch w po³¹czeniu z Internetem. Doko-
nuje tego przez monitorowanie ca³ego ruchu przychodz¹cego i wychodz¹cego z chro-
nionego komputera. Ruch przychodz¹cy (czyli komunikacja bior¹ca pocz¹tek w In-
ternecie, nie w twoim komputerze czy komputerze z twojej sieci) jest
porzucany
, czyli
582
Czêœæ V: Korzystanie z Internetu
blokowany bez powiadamiania inicjuj¹cego komputera, jeœli ICF nie rozpozna go
jako odpowiedzi na zapytanie p³yn¹ce z chronionej strefy – twojego komputera lub
twojej sieci. W przypadku porzucenia nadchodz¹cego pakietu nie jesteœ powiadamia-
ny, ale mo¿esz (jeœli zechcesz) za¿¹daæ stworzenia pliku tekstowego z zapisem takich
wydarzeñ.
Mo¿esz skonfigurowaæ ICF, tak by pozwala³ na nap³yw okreœlonych form nieautory-
zowanego ruchu w sieci. Jeœli na przyk³ad masz na swoim komputerze serwer stron
WWW, mo¿esz ustawiæ ICF, tak by pozwala³ na ruch wymagany przez tê us³ugê.
Zapory po³¹czenia internetowego (lub innej) nale¿y u¿ywaæ przy ka¿dym ³¹czu inter-
netowym. Jeœli na przyk³ad twoja sieæ jest chroniona przez bramê, ale jeden z kompu-
terów korzysta z ³¹cza telefonicznego, to ³¹cze równie¿ nale¿y ochroniæ zapor¹.
Jeœli korzystasz z Zapory, konfiguracja, w której jeden z komputerów jest pod³¹czony
bezpoœrednio, a inne komputery korzystaj¹ z tego ³¹cza, wymaga uruchomienia Za-
pory tylko na komputerze pod³¹czonym bezpoœrednio. Uruchomienie jej na innych
komputerach mo¿e spowodowaæ zak³ócenia w wewnêtrznym ruchu sieciowym.
Wiêcej informacji na temat udostêpniania po³¹czenia internetowego znajduje siê w podrozdziale „Udostêpnianie
po³¹czenia internetowego” na stronie 830.
Jeœli twoja sieæ korzysta z innej zapory lub serwera proxy, nie musisz korzystaæ z ICF.
UWAGA
Zapora po³¹czenia internetowego nie powinna byæ uruchamiana na komputerach korzystaj¹cych z ³¹cza
VPN (
Virtual Private Network
) i nie jest dostêpna w Windows XP 64-Bit Edition.
Uruchamianie Zapory po³¹czenia internetowego
Wykonaj nastêpuj¹ce czynnoœci:
1.
Otwórz Po³¹czenia sieciowe w Panelu sterowania.
2.
Kliknij prawym przyciskiem myszy po³¹czenie, dla którego chcesz uruchomiæ Za-
porê i wybierz W³aœciwoœci z menu skrótów.
3.
Kliknij kartê Zaawansowane.
4.
Na karcie Zaawansowane, pokazanej na rysunku 20-1, zaznacz opcjê Chroñ mój
komputer i moj¹ sieæ, ograniczaj¹c lub wykluczaj¹c dostêp do tego komputera
z Internetu.
Rozdzia³ 20: Zabezpieczanie po³¹czenia z Internetem
583
Rysunek 20-1.
Zaznacz pierwsze pole wyboru, by uruchomiæ Zaporê po³¹czenia internetowego.
Uruchamianie i konfiguracja rejestrowania aktywnoœci Zapory
ICF nie tworzy zapisu aktywnoœci od razu. Jeœli chcesz móc przegl¹daæ taki zapis, wy-
konaj nastêpuj¹ce czynnoœci:
1.
Na karcie Zaawansowane okna W³aœciwoœci po³¹czenia kliknij przycisk Zaawan-
sowane.
2.
W oknie Ustawienia zaawansowane kliknij kartê Rejestrowanie zabezpieczeñ, po-
kazan¹ na rysunku 20-2.
Rysunek 20-2.
Rejestrowanie porzuconych pakietów mo¿e pomóc w wykryciu prób ataków.
3.
Zaznacz pola wyboru wydarzeñ, które maj¹ byæ rejestrowane – porzucenie pakie-
tów, udane po³¹czenia lub oba te rodzaje.
4.
Podaj nazwê pliku.
[ Pobierz całość w formacie PDF ]