Пути заражения Windows в домене

Question

[tentakle]

Какие могут быть пути заражения, если пользователи пользуются учетными записями из группы Domain User?
То есть «не сидеть под администратором» не помогает?

Answer 1

[Николай Турнавиотов]

самый простой способ — настроить запрет групповыми политиками запуск всего чего попало кроме списка хешей ворда/екселя/ие/аськи/чего-там еще надо.
запрет запуска всего чего-попало из папок пользовательского профиля.
отрезание прав.
настройка фаервола, антивируса.

Comments

[mtp]

> запрет запуска всего чего-попало из папок пользовательского профиля.

совсем недавно на хабре обсуждалось — инсталляторы и некоторые программулины будут отваливаться. А так метод хороший был бы.

[Николай Турнавиотов]

1. Простите, а какого числа пользователям _разрешено_ что-то инсталлировать?
2 для Вашего пункта 2 см мой первый пункт про GPO.

[navion]

Можно даже не заморачиваться с хешами, а разрешить запуск приложений только из %systemroot% и %programfiles%.

[navion]

Антивирус (а точнее его IPS) в этом случае нужен лишь для защиты от незакрытых уязвимостей.

Answer 2

[Dal]

Интернет, почта, флэшки, дыры в самой ОС. Да и вирусу не всегда могут повышенные права понадобиться.

Comments

[tentakle]

То есть «не сидеть под администратором» не помогает?

[navion]

Малварь может работать в юзерспейсе, её легче вычистить (достаточно грохнуть %userprofile%), но проблем она может создать достаточно.

[Dal]

Вирусов зоопарк огромный. Защита комплексная должна быть.

Answer 3

[navion]

1. Флешки, шары, почта и т.п.
2. Через дыры в ОС
3. Подбором пароля к локальным адмнистраторам
4. С компьютеров администраторов домена

Answer 4

[shipovalov]

через уязвимости в Windows или если кто-то из Domain Admins запустит вирус

Answer 5

[shipovalov]

да еще, легкие пароли локальных администраторов

Comments

[tentakle]

Windows обновляется. Администраторы вменяемы.
Могут быть еще варианты?

Answer 6

[rinx]

отсутствие патчей ОС, необновлённые/старые версии приложений, которые могут содержать дыры(например Internet Explorer Adobe Flash Player, Adobe Reader, Java, etc), необновлённый антивирус.
Недонастроенный почтовый сервер, который пропускает спам, фишинговые письма, письма с опасными вложениями(bat, vbs, etc).

Comments

[Роман Мисюрев]

Саботаж забыли