Impedire ai PC client di accedere alle macchine C & C

Question

Impedire ai PC client di accedere alle macchine C & C

#1 da (2 voti)
#2 da (0 voti)

2

Nel mio ufficio ci trovo costantemente a combattere con malware. Tutti gli utenti eseguono il livello "utente", abbiamo McAfee e recentemente abbiamo revisionato Guida alle best practice per assicurarci che aderiamo ad esso, tutti i miei sistemi sono corretti con WSUS e regolarmente gli aggiornamenti FireFox e Flash tramite GPO.

Nonostante tutte queste misure, continuo a trovare utenti che usano malware sui loro PC. Per la maggior parte questo malware è solo "Scareware", tuttavia sembra che sia stato messo lì da un contagocce di qualche tipo. Mentre lo Scareware viene pulito abbastanza facilmente, sono più preoccupato per il contagocce che mette un Trojan o un Rootkit su una macchina e quella macchina che invia informazioni offsite che non dovrebbe essere permesso di fare.

La mia domanda è se non siamo in grado di mitigare completamente l'infezione del PC, possiamo almeno impedire a quella macchina di connettersi al mondo esterno? I firewall raggiungono il limite massimo e mantengono una comunicazione con i computer esterni, purché siano quelli che hanno avviato la comunicazione. Questa comunicazione può essere efficacemente prevenuta?

access-control malware

posta DKNUCKLES 02.08.2012 - 22:41

fonte

2 risposte

0

Certo che puoi. È possibile impostare il firewall sulla macchina, il router hardware e il firewall NAT e il proxy HTTP contemporaneamente, e negare tutte le connessioni in uscita a Internet, tuttavia è necessario consentire ad alcuni software come browser ed e-mail di scaricare malware, quindi puoi aggiungere qualcosa anche al tuo scanner di email.

Su Windows 7, ad esempio, è possibile impostare il firewall per tutte le applicazioni e applicarlo tramite GPO, non esattamente nel modo grafico, ma è possibile eseguire tutte le regole per bloccare qualsiasi software sconosciuto non presente nella policy per connettersi da la macchina a qualsiasi cosa, quindi solo il set di file autorizzato in determinate posizioni può utilizzare il networking di Windows.

Ad esempio, puoi impedire che il software dalla cartella temporanea utilizzi effettivamente la rete per qualsiasi motivo, nonché il software installato nella cartella principale.

E alcuni malware in realtà lo spengono e uccide il messaggio di avviso, come ho visto una volta.

Sul firewall NAT è possibile limitare le connessioni in uscita a determinati elenchi di servizi disponibili su Internet, ad esempio solo HTTP / S e Skype per Office e qualsiasi altra cosa necessaria.

Su Proxy HTTP e proxy SSL (senza decodifica) è possibile negare il traffico in base alle informazioni sui virus, come la comunicazione con botnet e host infetti via HTTP, che è molto utile per le persone che navigano in Internet.

link - fai attenzione con loro; -)

link

link - microsoft

link - funziona con alcuni server proxy

link - cisco

risposta data 02.08.2012 - 23:22

fonte

Leggi altre domande sui tag access-control malware

Network Sniffing Java Applet Authentication Chiusura degli handle di un processo come utente normale

score 2 · Accepted Answer

Non puoi, non senza imporre un'intrusione ingiustificata alla capacità delle persone di portare a termine il lavoro.

È possibile disattivare tutte le connessioni di rete (o vietare tutte le connessioni in uscita), ma nessuno può svolgere alcun lavoro. Non è una soluzione utile.
Anche se potrebbe essere possibile creare una blacklist di server C & C noti e impedire alle macchine di contattare qualsiasi server su quella lista nera, questa non è probabilmente una difesa utile. Dove prenderesti quella lista nera? Non lo compilerai da solo; questa roba cambia troppo velocemente. E se qualcuno ha analizzato il software bot per identificare il server C & C, probabilmente lo hanno anche identificato per trovare un'impronta digitale che può essere aggiunta al software antivirus. Quindi mi aspetterei che qualsiasi cosa cattiva bloccata da questa difesa sia già riconosciuta dal software antivirus. In breve, non penso che questo offra molto valore rispetto alla semplice esecuzione del software antivirus.

In conclusione, non penso che questa sia una direzione promettente per risolvere i problemi di malware.

Penso che sia una scommessa migliore concentrarsi su pratiche standard: backup automatici, portare tutti fino all'ultima versione del sistema operativo e del software, attivare gli aggiornamenti automatici. Per gli utenti Windows, procurale l'ultima versione di Windows (XP deve morire), offri loro un browser moderno, disinstalla Java, Quicktime e altri software non necessari (a meno che non ne abbiano bisogno) e offri loro un software antivirus. Se vengono infettati, pulisci e reinstalla la loro macchina e impartisci loro un rapido, informale e improvvisato addestramento sulla sicurezza (ad esempio, fai clic su OK nelle finestre di dialogo). Inoltre, Secunia PSI può aiutarti a mantenere aggiornato il software degli utenti sulle ultime patch di sicurezza.