Дано. На редакционную машину установлена чистая, без первого сервис-пака, Windows XP Pro, Microsoft Office и ICQ. Собственно, Office и ICQ на защищенность системы влияют слабо. Точнее, вообще не влияют, если не учитывать, что ICQ показывает IP-адрес "жертвы". Компьютер с постоянным IP подключен к выделенному Интернет-каналу в обход редакционного файрволла, так что потенциальному взломщику созданы поистине тепличные условия.

Задача. Необходимо любым способом прочитать содержимое файла extra1.txt, расположенного в нерасшаренной папке Extra на диске C:, или получить отмашку от "жертвы", что взлом удался.

Дополнительные ограничения. Взломщики требуют от редакции журнала "Компьютерра" официальное разрешение на проникновение в редакционный компьютер. В четверг днем редакция отправляет, наверное, самый необычный факс за всю историю своего существования. К утру 5 марта все формальности улажены.

Пятница, 5 марта, 10.30–12.00

Ни один из редакторов "Компьютерры" не страдает пунктуальностью, поэтому мое появление на работе в 10.30 утра оказалось сюрпризом не только для меня, но и для охраны. Оказывается, я пришел первым: в типографию номер уходит в ночь с четверга на пятницу, поэтому в последний будний день недели встретить кого-то, кроме ответственного секретаря и главного редактора, в офисе трудновато. Особенно с утра. Через полчаса выяснилось, что Руслан Костелянец, вызвавшийся защищать редакционный компьютер, тоже задерживается, так что у Андрея Соколова, который собирался этот несчастный компьютер взломать, была небольшая фора на сканирование системы.

Руслан появился в половине двенадцатого и первым делом посмотрел, какие порты у нас открыты, а потом установил бесплатную утилиту Active Ports (www.ntutility.com/freeware.html), которая позволяет мониторить TCP- и UDP-порты. Утилита простенькая, но удобная и наглядная: никакими особыми знаниями для того, чтобы увидеть IP-адрес взломщика, успешно запустившего на нашей машине ftp.exe, можно свои мозги не засорять.

- Ну вот, что и требовалось доказать, - сказал Руслан. - Голая Windows XP без сервис-паков и заплаток взламывается чуть ли не моментально.
Голая Windows XP виновато молчала.

Выяснив, что Андрей использовал для взлома тот же эксплойт, что положен в основу знаменитого червя MSBlast, мы установили соответствующую заплатку (Security Update for Windows XP, KB823980, см. Microsoft Security Bulletin 03-026) и перезагрузили машину.

12.00–12.30

Быть взламываемым - скучно. Мы сидели в кабинете главного редактора и с надеждой смотрели на экран. На экране ничего не происходило.

- Ну и как у вас вообще дела идут? Есть клиенты? - спросил я.

Оказалось, что клиентов у компаний, работающих в сфере информационной безопасности, хватает, но по большей части "неправильных". "Правильный" клиент приходит не тогда, когда его уже взломали, а заранее. В России же, как известно, пока гром не грянет, креститься не принято. У нас под информационной безопасностью понимается не профилактика, а срочное хирургическое вмешательство, плавно переходящее во вскрытие.

- Взламывают, значит, будущих клиентов?

- Взламывают, - кивнул Руслан. - Еще как взламывают.

Следующий мой вопрос - о том, кто же все-таки взламывает, если все компании по информационной безопасности занимаются защитой информационных систем, - остался, по большому счету, без ответа. Сам Руслан промышленным взломом не увлекается, но наслышан. Есть такая индустрия. Хорошо оплачиваемая, но не слишком легальная. В основном занимаются этим не фирмы, а частные лица.

- Ага, - сказал я.

В этот момент компьютер перезагрузился.

12.30–14.00

К слову вспомнили Митника и его заявление, что девяносто процентов проникновений осуществляется с использованием методов социальной инженерии. Другими словами, в компании может быть сколь угодно жесткая политика информационной безопасности, но если пользователи записывают пароли на бумажке и прикалывают эту бумажку к монитору, то толку от такой политики - ноль. В какой-то момент, увлекшись беседой, я потерял осторожность и выдал страшную редакционную тайну.

- Ну, у нас тоже пароль литредактора на стенке висит. Для удобства. (О том, что когда мне этот пароль понадобился, я его найти не смог, так как бдительный Александр Шевченко поверх бумажки с паролем пришпилил еще несколько объявлений, я рассказывать не стал.)

- Вот именно, - сказал Руслан.

Компьютер перезагрузился, кажется, уже в десятый раз.

- Когда же он нас сломает, наконец?

В этот момент Windows XP предложила выбрать пользователя, под которым необходимо войти в систему. Аккурат под созданным мною аккаунтом расположилась ссылка на пользователя с оригинальным именем "а".

- Опять взломали, - сказал Руслан. - Сейчас он использовал готовый эксплойт, который создает пользователя с именем "а" и админскими привилегиями.

После загрузки ICQ на экране появилось раздраженное сообщение Андрея Соколова:

- Перестаньте перезагружаться. Работать же невозможно.

- Вообще-то, - сказал Руслан, - хоть файл он и не прочитал, можно это засчитать как взлом. Если есть пользователь с админскими правами, то остальное - всего лишь вопрос времени.

После этого он установил очередной патч (Security Update for Windows XP KB824146, см. Microsoft Security Bulletin MS03-039) и перезагрузил машину.

14.00–16.00

После того как мы пообедали, взлом пошел как-то веселее. Теперь компьютер перезагружался чаще, а если не перезагружался, то активно терял память.

- "Досит", - сказал Руслан, - зачем только - непонятно.

- Но ведь встроенный файрволл решает эти проблемы?

- Конечно, решает. Встроенный файрволл решает вообще все проблемы. У него только один минус по сравнению с коммерческими решениями - он мониторит входящие пакеты, но не следит за исходящими. Поэтому лобовую атаку извне встроенный файрволл Windows XP предотвратить может, но если в системе уже завелся троян, файрволл его просто не заметит.

- Значит, получается, что любому человеку достаточно установить первый сервис-пак, включить файрволл и можно чувствовать себя спокойно?
- Если пользователь откажется от работы с Internet Explorer, то, пожалуй, да. Потому что с помощью IE подхватить троян легче легкого. А система будет считать чужеродное приложение своим и никаких действий против него не предпримет.

- Но ведь в других браузерах тоже наверняка есть дыры?

- Есть, конечно, но их ищут не так интенсивно. Да и какой смысл писать эксплойты под малораспространенные браузеры?

- И с этой точки зрения использование Mozilla или Opera более оправданно, даже если они столь же дырявы, как IE?

- Да. Здесь та же ситуация, что с Linux. Вот говорят, что Linux более защищена, чем Windows. Но обе операционные системы можно настроить так, что опасность проникновения будет минимальна. А что прорех в Windows обнаружено больше, так их и искали гораздо интенсивнее. Если б эти системы вдруг поменялись местами и главной домашней операционкой стала Linux, то еще неизвестно - лучше это было бы для пользователя с точки зрения безопасности или нет. Так же и с браузерами. Нельзя сказать, что с точки зрения безопасности IE написан хуже Opera, - просто им занимались намного плотнее. В Opera, например, недавно нашли дыру, которую в IE заткнули года три назад.

- Значит, вполне достаточно включить в файрволл первый сервис-пак и отказаться от IE?

- Вполне. Мающийся от безделья хакер возиться с такой комбинацией не будет - ему проще найти другую жертву. А остальным случайная домашняя машина неинтересна. Кроме того, после установки второго сервис-пака файрволл будет включаться по умолчанию.

Услышав такие речи, компьютер решил удивить своих "сокамерников" и не перезагрузился, а завис. Reset.

16.00–18.00

Все устали. Андрей Соколов долго не мог поверить в отсутствие саботажа с нашей стороны (и, судя по его статье, не верит до сих пор). Нам с Русланом к этому времени надоело сидеть и смотреть, как машина перезагружается. В конце концов, даже ребенок знает, что машины под управлением Windows перезагружаются без особых проблем. Можно сказать, профессионально перезагружаются.

- А давай, я покажу, как можно защитить Windows XP без включения файрволла и установки каких-либо патчей?

- Попробуй.

- Хорошо. Заходим в Start > Run > dpcnfg.exe. В открывшемся окошке: Component Services > Computers/My Computer. Открываем свойства My Computer (правой кнопкой мыши на Properties) и на вкладке Default Properties снимаем галочку с чекбокса Enable Distributed COM on this computer. Для домашней машины это, как правило, ничем не чревато. Далее идем в Control Panel > Administrative Tools > Services. Здесь останавливаем сервисы SSDP и Messenger. Messenger как раз отвечает за появление спамерских сообщений в попап-окошках, SSDP обеспечивает работу Universal Plug-and-Play в домашней сети. Всё.

- А как это скажется на функциональности системы?

- Для 99,9% домашних пользователей - никак. Они этого просто не заметят.

Руслан деинсталлирует все заплатки и отключает "лишние" сервисы. Андрей Соколов оперативно прогоняет использовавшиеся эксплойты по второму разу. Безрезультатно.

Видимо, неудача задевает его за живое, потому что уставший не меньше нашего Андрей сдаваться не хочет.

- А давайте теперь эксплойты IE проверим? - пишет Соколов.

- Взломает ведь? - спрашиваю я.

- Взломает, - кивает Руслан.

- Ну ладно, проверять не будем, - пишет Андрей. - Но по ссылке хоть сходите: www.malware.com/greymagic.html1. Она безвредная.

Ссылка, кстати, действительно безвредная, но впечатляющая. Пользоваться после этого IE, мягко говоря, не хочется. И вообще больше ничего не хочется.

Я тушу свет и закрываю дверь. "Жертвенный" редакционный компьютер выглядит расслабленным. А зря: через десять дней на нем будет проверяться полумифическая возможность удвоения емкости винчестера, что вполне может привести к гибели жесткого диска.

Digital Security (www.dsec.ru ) - петербургская компания, разработчик специализированного ПО, предназначенного для анализа и управления ИТ-рисками "Гриф", а также для создания и проверки политики безопасности "Кондор+". Основные услуги компании- тесты на проникновение, аудит безопасности, разработка политики безопасности, обучение. Positive Technologies Основные направления деятельности компании Positive Technologies (PT): разработка программных продуктов, оказание услуг и информационная деятельность в области защиты компьютерных сетей от несанкционированного доступа. - коммерческая версия одного из лучших в мире сканеров безопасности XSpider7 (www.ptsecurity.ru/products.asp ) успешно эксплуатируется по всей России в организациях различного масштаба; - ни один из клиентов, пользующихся услугами PT по обеспечению информационной безопасности, не имел инцидентов в этой сфере; - принадлежащий компании портал по информационной безопасности (www.securityfocus.ru  и www.securitylab.ru ) уверенно лидирует в свой отрасли. Информация предоставлена самими компаниями.

 1 Позднее у меня эта ссылка не сработала, но www.malware.com/badnews.php, судя по всему, до сих пор вполне работоспособна. Никакой опасности она не несет, лишь эффектно демонстрирует, что можно заставить сделать Internet Explorer.