Как защитить домашнюю сеть от взлома?

Question

[Валентин]

Вопрос параноикам.
У меня есть знакомый с желанием защитить его ПК и домашнюю сеть от взлома и кражи критичных данных.
Так как компьютер домашний, на нем он пользуется интернетом, в игры не играет. Я предложил ему ряд мероприятий:

1) на основную машину гипервизор, на нем две виртуалки - для работы с критичными данными и для интернетиков. Возможно ещё и третью контрольную виртуалку (мониторинг, проверка и т.д.)
2) на входе от провайдера два последовательных роутера разных моделей (с пакетным фильтром или если денег хватит statefull fw)
3) для гипервизора разрешить только обновления, для виртуалки с критичными данными - белый список, для виртуалки с интернетиками - что угодно (ну конечно established на вход).
4) с одной из виртуалок или гипервизора чекаем по крону md5 по прошивкам и конфигам обоих роутеров, сравниваем с эталоном.
5) Также чекаем хешы бинарников гипервизора.

Чтобы ещё вы рекомендовали?

Comments

[res2001]

Кто будет за всем этим зоопарком следить, настраивать, обновлять? У вашего знакомого хватит компетенций?

Во всех ваших предложениях нет самого главного - работать в ОС с ограниченными правами. Дополнительно к этому настройка правил сложности пароля пользователя и регулярная его смена. Это закроет большую часть рисков обычного домашнего пользователя.
Если при этом при переходе от "работы" "домой" не выключать голову и не пускаться во все тяжкие, то можно считать, что вы защитились.

п.2 очень сомнительное мероприятие - вряд ли добавит безопасности, зато геморой с поддержкой этой цепочки обеспечен. Statefull firewall, по моему, сейчас в каждом утюге. Да и сам по себе он ничего такого не делает, что бы способствовало большей безопасности.

[Ezhyg]

Чтобы ещё вы рекомендовали?

Посетить психолога или психотерапевта. Обоим.

Знокомому - чтобы не параноил. Тебе - чтобы не предлагал всякую ерунду знакомому.

[Валентин]

Ezhyg, ждал этого комментария. Как и любой «первонах» с комментарием не по сути и без смысла

[Ezhyg]

Валентин, дождался? Наслаждайся! Или страдай, если тебе это больше нравится. Я не осуждаю, это твой выбор.

Зато твои советы "знакомому" несут массу смысла! Настолько большую, что пора бы им схлопнуться в чёрную дыру.

Answer 1

[АртемЪ]

В идеале - рабочая машина, и небольшой домашний сервер с гипервизором.
Самый основной принцип который недооценивают - это не работать с полными правами.
На критичных машинах настраиваем ограниченную учетную запись, устанавливаем необходимый софт, настраиваем политику ограниченного использования программ, ничего лишнего - закрыты все порты кроме явно разрешенных, машина за NAT'ом. Если не требуется круглосуточная работа с этими данными - глушим виртуалку при ненадобности. Доступ по RDP/VNC с рабочей машины с ограниченными правами. Это надежно, это непробиваемо. Если при работе с критичными данными интернет не нужен, вообще доступ в интернет запрещаем.

на входе от провайдера два последовательных роутера разных моделей

Зачем? Хватит одного, того же микротика, главное чтобы управлялся он вами, а не провайдером.

Но если у человека фобия - тут уже все сложно. Логичные аргументы тут не помогут. А излишние навороты это лишние проблемы.
На основной машине - среднюю безопасность, там шаримся в интернете, делаем что хотим, но критичных данных не держим.

Answer 2

[profesor08]

Ноут с вынутым модулем вайфая и с шифрованием. Просто, удобно, надежно.

А вы предлагаете играться с роутерами, виртуалками, списками ip, какой-то крон чекающий мд5 (чиииво?), чекать хеши бинарников (чиииво?). Вы хоть понимаете сколько времени занимает проверка хешей? А проверять надо не только .exe, еще и .dll, .lib и кучу всего. А что будет между проверками? А кто за этим будет следить? А что если что-то отвалится?

Comments

[Валентин]

Сколько для примера файла-бинарника 10М?

[profesor08]

Валентин, бывало и до минуты, зависит от мощей, реализации алгоритма, языка программирования.

[Валентин]

profesor08, вот специально только что проверил (скопировать не могу), мд5 от прошивки роутера ~9M - 2 секунды

[profesor08]

Валентин, зависит от мощей и способа, которым обрабатывается файл. Но даже если 2 секунды, то сколько в системе файлов?

[Валентин]

profesor08, речь в первую очередь шла про целостность сетевого оборудования

Answer 3

[rionnagel]

От взлома защититься нельзя. Можно только снизить риски. Безопасность можно грейдить бесконечно, вплоть до изолированного острова с пулеметчиками по периметру и оружием массового поражения. Затраты на безопасность не должны превышать ценность защищаемого.
Надо разобраться что защищаем и каков бюджет. Может проще будет не иметь вообще защищаемых данных и/или не пользоваться ничем сложнее микроволновки? Или подойдет отдельный комп без подключения к интернету и сети с зашифрованной файловой системой?

Comments

[Валентин]

Я кажется описал все вводные. Буквально интернет нужен и микроволновка не подойдет

[rionnagel]

Валентин, бюджет?
Я не просто так спрашиваю. Например есть решения от check point, fortigate и прочие с модулями системы предотвращения вторжений, обо что можно нехило удариться кошельком.
Может быть нужна защита физического периметра, это от видеонаблюдения, до охранника с автоматом.

[АртемЪ]

Валентин, Интернет нужен именно на машине с критически важными данными?

Защищать можно до бесконечности.
Просто нужно реально соизмерять ценность данных.
В одном случае для надежной защиты хватит амбарного замка за 300рублей из ближайшего супермаркета.
В другом случае для надежной защиты нужна сотня пехотинцев по периметру объекта на круглосуточном боевом дежурстве помимо прочего.

[Валентин]

АртемЪ, ну ок, допустимые риски и вводные я достаточно описал. Защита нужна только от удаленного подлома компа и сетевой инфраструктуры (хотя sim3x зачем-то убрал тег «компьютерные сети»). Физически отдельный ноутбук не рассматривается. Доступ в инет нужен с той же машины, где и данные. Я так понимаю, здесь вопрос больше в компрометировании сетевого оборудования.

[rionnagel]

Валентин, извините, но вы недостаточно описали. Тем более риски. Что критичней, скомпрометировать данные или их лишиться совсем? Чего боимся? Случайной фигни из интернета и писем с Важный_Документ.doc.exe или таргетированной атаки? Если второе, то на каком уровне предполагаемая атака? Почему нельзя на изолированную машинку данные? Если "неудобно", то это ни в какие рамки. Кого боимся? КГБ? ЦРУ? Хакера Васю? Хакера конкурентов? Ведь в разных случаях надо делать по разному.
А что с сетевым оборудованием? Если снаружи портов например не открыто, фаерволом всё обмазано, даже всё равно (почти всегда), что оно дырявое.

[Валентин]

rionnagel,
1) скомпрометированные данные
2) таргетированная атака
3) не предмет вопроса, допустим, абсолютно виртуализированная среда
4) хакера конкурентов
5) исходим из того, что все-таки компьютером управляет неквалифицированный пользователь

[rionnagel]

Валентин, ну тогда я могу предложить следующее. Использовать НЕпрозрачный прокси (настроить на те 2.5 программы, которым нужен интернет + системные обновления). Системный обновления делать постоянно (ато уже было получить рута через cat), в репах всё должно быть https. Можно даже попробывать использовать профиль из центоса для спепслужб), честно я его не трогал. Снаружи не должно торчать открытых портов, фаервол должен давать интернет только тому хосту, которому он нужен. Прокси связать со snort или surricata например + проверка каким-нибудь антивирусником на лету. Работать обязательно под пользователем. Данные держать в криптоконтейнере, желательно чтобы он размонировался постоянно и надо было вводить пароль, а вот таймер уничтожения хз подойдет ли неквалифицированному пользователю. Рута юзеру не давать.
Про виртуалки скорее всего не стоит. 2 роутера тоже не надо, и прошивки тоже не трогайте, про md5 забудьте, роутер на линуксе поднимите (и только НЕпрозрачный прокси на нём), отдельную сетевуху ему дайте для точки входа. Дистрибутив выберите, который долго поддерживается и оперативно обновляется. Я бы рекомендовал именно centos по этим причинам. Все приложения, которые требуют интернет может через какую-нибудь песочницу запускать... либо действительно на отдельной виртуалке через проброс графического приложения через ssh.
Ну это всё, если рассматривать нулевой бюджет.

[Валентин]

rionnagel, вот, это уже предметный развёрнутый ответ, спасибо! На счёт роутеров есть фобия, что взломают именно их. Как проверять факт их компрометирования?

[rionnagel]

Валентин, ну в качестве роутера виртуалка с линуксом, а если роутер есть ещё до этого... Ну во первых если все порты закрыты - снаружи никто не пройдет, если конечно заранее не встроено бэкдора. А даже если и так - то всё равно, если пользоваться только связью через ssl (а за этим уже надо следить). Ну подменят а-запись на другой сервер в dns - выскочит ошибка сертификата (проинформировать юзера, что не юзать сайт, если на сертификат ругается и смотреть всегда, чтобы было https). Ну будут снимать tcp-дамп с зашифрованной белибердой и что?) скорость будет ниже. Даже если ваш железный роутер поломают (если он есть и в нём есть смысл... это например adsl или оптику конвертить) - за ним ваш роутер на линуксе с прокси, антивирусником и ips системой. Если езернатка идёт - то можно без железного роутера вообще. Но вообще использовать 2 роутера (один железо микротик например, второй виртуалка) может и имеет смысл. Но есть одно но - чем больше и сложней наворотите - тем чаще это всё нужно поддерживать и следить за критическими обновлениями и новостями каждого решения. Без поддержки это всё может быть плохо.
Лично я бы обошелся микротиком (как непрозрачный прокси), криптоконтейнером с самоуничтожением и правами юзера. Но лучше конечно отдельный пк с зашифрованным винтом без доступа в сеть.
Вообще взлом самого роутера тут это не то, на чём стоит сосредотачиваться, если конечно пароль на роутер не совпадает с другими паролями. Я бы больше проявлял бдительность со странными сообщениями, письмами, с похожими именами на доверенные домены, с не зашифрованными формами.
Тут надо представить себя на месте нарушителя и составить список вероятных нарушителей (наиболее вероятных). И уже думать про их действия в соответствии с их квалификацией.

Answer 4

[CityCat4]

Вы предлагаете просто ну какой-то тяжелый случай паранойи :)

Отдельный аппаратный комп без выхода в тырнет. Только RDP с соседней тачки с контролем по IP (заход возможен только одной учетке только с одного IP). Сверх-параноидальный вариант (уровень Первого отдела заводов СССР) - комп, вообще без проводов в сетевухах - работа только за локальной консолью, перенос данных на флэшках.

Comments

[sim3x]

Stuxnet Like this

[fdroid]

sim3x, ну тогда никаких Windows, только Astra Linux, сертифицированная ФСТЭК. Или LFS с личным изучением кода.

[sim3x]

fdroid, Petya nravitsja eto

[CityCat4]

sim3x, Если человек настолько [beep] что тычет в свой комп все что ни попадя - кто ж ему доктор :) Защита информации прредполагает и некоторую культуру поведения, базирующуюся на принципах оной защиты. Кстати, сертифицированную версию астры не купить - только "общего пользования".

[sim3x]

CityCat4,
Согласен
Если юзер не знает про все 0day в софте, что он ставит - он ССЗБ

[CityCat4]

sim3x, да нет, достаточно знать то, что не стоит сувать в комп с сенситивной информацией всякое бобро - мы же не оценили ее ценность - может там биткойны в диких количествах сложены :D

[sim3x]

CityCat4,
Несувать не всегда помогает https://www.zdnet.com/article/flaws-in-popular-pri... https://intelnews.org/2016/01/06/01-1839/ и тд и тп

Answer 5

[gremlintv2]

критические данные крипта?) может проще аппаратный кошелек, если для работы)

Answer 6

[Станислав Бодро́в]

Полностью изолировать от интернета!

Answer 7

[Asparagales]

1) на основную машину гипервизор, на нем две виртуалки - для работы с критичными данными и для интернетиков. Возможно ещё и третью контрольную виртуалку (мониторинг, проверка и т.д.)

Обратите внимание на операционную систему Qubes OS. Она вроде бы специально для таких целей сделана.

Comments

[NSA-bot]

Еще посмотрите Whonix, там все это из коробки.

Answer 8

[fara_ib]

В качестве ОС почитайте про https://ru.wikipedia.org/wiki/Qubes_OS вот сайт https://www.qubes-os.org/ пишут что там ориентированная на безопасность настольная операционная система, которая призвана обеспечить безопасность через изоляцию. Виртуализация осуществляется на базе Xen. А для сети попробовать pfsense по схеме "роутер на палке" с вланами и прочими вещами типа антивируса и ids/ips.