ИПУ в AVZ

[Алексей К.]

ИПУ выдает:Безопасность: разрешен автозапуск программ с CDROM
Но у меня в HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Policies\Explorer
ключ NoDriveTypeAutoRun со значением FF (отключен любой автозапуск)

Если запускать AVZ из под пользователя, то выдается новая вводная:
>> Безопасность: Разрешены терминальные подключения к данному ПК
>> Безопасность: Разрешена отправка приглашений удаленному помошнику

Ни то ни другое у меня не разрешено.

[mayas]

как пофиксить..

Безопасность: разрешен автозапуск программ с CDROM

нужно ли убирать
Безопасность: разрешен автоматический вход в систему

>> разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)

у меня обычная LAN через VPN (100 мегабит типо)

[SuperBrat]

как пофиксить..

http://virusinfo.info/showpost.php?p...8&postcount=11
Читайте внимательнее.

[XP user]

Проверять надо бы: * Не отключён ли Диспетчер Задач * Не отключён ли доступ в реестр * Не отключён ли показ скрытых и системных папок и файлов * Не работает ли юзер во время лечения с правами простого пользователя. (Есть уже такие зловреды, которые буквально ВСЕ админ права отнимают!

[NickGolovko]

Проверять надо бы: * Не отключён ли Диспетчер Задач * Не отключён ли доступ в реестр * Не отключён ли показ скрытых и системных папок и файлов * Не работает ли юзер во время лечения с правами простого пользователя. (Есть уже такие зловреды, которые буквально ВСЕ админ права отнимают!

Паул, уже реализовано все, кроме третьего пункта.

[Зайцев Олег]

Проверять надо бы: * Не отключён ли Диспетчер Задач * Не отключён ли доступ в реестр * Не отключён ли показ скрытых и системных папок и файлов * Не работает ли юзер во время лечения с правами простого пользователя. (Есть уже такие зловреды, которые буквально ВСЕ админ права отнимают!

А это не потенциальная уязвимость - это результат действия зловреда. Это проверяется в эвритической проверке системы - там как минимум есть контроль:
1. Скрытой загрузки (через Policies, Services Controller, AppInit_DLLs)
2. Блокировка диспетчера задач
3. Подмена диспетчера задач
4. Модификация ассоциаций для файлоы EXE, DLL, PIF, CMD, SCR
5. Префиксы протоколов в IE
6. Отладчики системных процессов
7. autorun.inf на жестких дисках и флешках
8. Блокировка редактора реестра

Не проверяются пока:
1. Отбор прав
2. Пустые пароли. Этот контроль мы обсуждали, метод есть - но как я говорил выше - он хакерский, и применять его не очень хочется

[NickGolovko]

Олег, кстати, состояние служб проверяется по единственному значению ключа? Служба может стоять на Вручную и тем не менее не работать. Что выводится, если ключ не найден? Я еще не проверял, но мне кажется, что у меня опять будут сообщения о разрешенных службах Alerter, Messenger и т.п., хотя они у меня просто не существуют.

[Зайцев Олег]

Олег, кстати, состояние служб проверяется по единственному значению ключа? Служба может стоять на Вручную и тем не менее не работать. Что выводится, если ключ не найден? Я еще не проверял, но мне кажется, что у меня опять будут сообщения о разрешенных службах Alerter, Messenger и т.п., хотя они у меня просто не существуют.

Если ключа нет - считается, что и службы нет. Проверка идет по состоянию (авто или вручную, причем для одних служб "вручную" считается нормой, для других - алерт)

[NickGolovko]

Спасибо, осталось проверить самому.

[Surfer]

Эмм, пофиксил я тут уязвимости...


Во вложении результат, залогинивания меня (администратор) не происходит теперь вообще Хотя всё работает как обычно.

Проверьте все у себя

[Surfer]

Up чтоли
Вот ещё нашёл для ИПУ, может будет интересно добавить.
Хотел перехватить RegMon'ом какие ключи она меняет, но лень )



http://lantricks.com/download/lansafety_setup.exe

[Jolly Rojer]

Может и AVZ научить делать тоже самое? Составить список критических патчей и проверять их наличие\отсутствие.

Согласен нужная фича!

Можно конечно. Но только проверять, без путей закачки ... Belarc Advisor могут нарваться и прекратить существование, так как судя по новостям MS заняли агрессивную политику против альтернатив их автоапдейту.

Вполне согласен достаточно думаю будет чтоб указывалось имя обновления, а где его скачать думаю пользователи и сами найдут... что бы там не решила MS все равно эти обновления будут в сети! А Google всем помогут их найти

[ALEX(XX)]

Согласен нужная фича!

Да, нужно.
А если Олег встроит сканер портов, то получим xSpider.

[Jolly Rojer]

Что тоже порой не обходимо... а тут все в одном флаконе!

[Зайцев Олег]

Да, нужно.
А если Олег встроит сканер портов, то получим xSpider.

У меня кстати есть десяток сканеров - я студентов на практике заставляю писать разные интеллектуальные сканеры портов, это мое любимое развлечение На самом деле я хочу не сканер в ИПУ запихать, а сниффер - чтобы спамботы ловить эвристикой. Действующий прототип уже есть

[ALEX(XX)]

На самом деле я хочу не сканер в ИПУ запихать, а сниффер - чтобы спамботы ловить эвристикой

Класс!

[Muzzle]

Отлично,будет утилита, почти на все случаи жизни
спс тебе Олег.

[drongo]

Прошу добавить остановку и отключение следующих сервисов, только лишние дырки.

O23 - Service: NetMeeting Remote Desktop Sharing (mnmsrvc) - Корпорация Майкрософт - C:\WINDOWS\system32\mnmsrvc.exe
O23 - Service: Диспетчер сеанса справки для удаленного рабочего стола (RDSessMgr) - Корпорация Майкрософт - C:\WINDOWS\system32\sessmgr.exe

[Зайцев Олег]

Прошу добавить остановку и отключение следующих сервисов, только лишние дырки.

O23 - Service: NetMeeting Remote Desktop Sharing (mnmsrvc) - Корпорация Майкрософт - C:\WINDOWS\system32\mnmsrvc.exe
O23 - Service: Диспетчер сеанса справки для удаленного рабочего стола (RDSessMgr) - Корпорация Майкрософт - C:\WINDOWS\system32\sessmgr.exe

Добавил, после обеда выйдет апдейт с доработанным ИПУ

[Ego1st]

По чаще бывать надо!
http://virusinfo.info/showpost.php?p...9&postcount=32

хм страно, непонятно почему.. с AVz особо рьяный пользователь и без ипу снести систему сможет так что ее потом хрен поднимешь..

а тут можно так например сделать, отдельный менеджер проводит сканирование, говорит потенциально уязвимые места, отмечаешь их галочкой, фиксишь и при следующем сканировании например они помечены уже галочкой и если снять галки можно все вернуть..
т.е. стандартный набор правил который можно дополнять..

Добавлено через 6 минут

2. Пустые пароли. Этот контроль мы обсуждали, метод есть - но как я говорил выше - он хакерский, и применять его не очень хочется

я понимаю все уже продумано до меня, но разве нельзя например просто создать файл и попытаться запустить его с правами администратора и т.д. и просто отследите это.. что в этом хакерского?