Рейтинг: 4.3/5.0 (1706 проголосовавших)Категория: Windows: Защита данных
Олег Татарников
Сегодня компьютерные вирусы буквально наводнили мир и свободно перемещаются по Интернету, поэтому когда речь заходит о портах, то большинство пользователей чаще вспоминают о логических портах, которые в таких сетевых технологиях, как TCP/IP или UDP, используются для организации каналов связи, и забывают о физических портах для подключения внешних устройств. Впрочем, даже для подключения принтеров, мышей и клавиатур все чаще применяются высокоскоростные USB-порты и все реже — старые добрые COM и LPT (последовательный и параллельный порты). Однако последние имеются даже в самых современных компьютерах, и, наверное, пришло время использовать их для каких-то других целей (скажем, для управления тем или иным специализированным устройством).
Для того чтобы отследить обмен между компьютером и каким-то устройством, как раз и необходимы программы — анализаторы портов.
Конечно, в продаже имеются и специальные приборы (пробники) для контроля аналоговых и цифровых сигналов (в том числе и анализаторы USB, LPT и COM), однако, как любое профессиональное оборудование, стоят они довольно дорого.
Контроль последовательного порта компьютера (COM)Одну из программ для анализа последовательного порта написал Валерий Ковтун (http://valery-us4leh.narod.ru/ ). Спасибо ему за хороший инструмент!
Программа называется Com Port Visual Control (http://valery-us4leh.narod.ru/ComVC.html ), распространяется бесплатно и предназначена для визуального контроля, документирования обмена данными и исследования процессов, происходящих в приемопередатчике UART во время работы приложений, использующих СОМ-порт персонального компьютера. Функционирует эта программа в среде Windows 9x/Me/NT/2000/XP и осуществляет постоянный просмотр (мониторинг) всех регистров микросхемы UART. Контроллер имеет формат 8x8 (восемь регистров по восемь бит) и для каждого регистра независимо отображается: текущее состояние (одновременно в десятичном и в шестнадцатеричном формате), а также логическое состояние. Кроме того, программа может записывать значения в регистры (также в обоих форматах — десятичном и шестнадцатеричном) и соответственно управлять логическим состоянием. Помимо этого она отслеживает изменения в регистрах и ведет протокол (LOG) согласно командам приемопередатчика микросхемы UART, а также ведет протокол принятых и переданных данных на уровне машинных кодов. После работы программа просматривает и сохраняет LOG-файлы и может осуществлять в них поиск необходимой информации.
Com Port Visual Control имеет встроенный приемопередатчик для стандартной настройки режимов порта: битов данных, стоповых битов, скорости, четности, контроля ошибок, возможности приема и передачи текстовых данных и команд модема, а также индикатор контроля активного состояния команд UART (поддерживается 17 основных команд). Кроме того, осуществляется контроль портов компьютера с одновременным отображением группы регистров и битов состояния и ведется протокол изменения данных в базовом регистре.
Из подобных программ можно отметить бесплатную утилиту ComLite32 компании Realtime Communications (RTCOMM, http://www.rtcomm.com/ ), написанную для Windows 95, и ее расширенную платную версию ComLab32 (http://www.rtcard.com/comlab32.html ).
Эти программы представляют собой мощные коммуникационные анализаторы реального времени, которые позволяют исследовать обмен по COM-порту и понять, как работает то или иное устройство, даже если на него отсутствует документация. Программа имеет удобный и интуитивно понятный интерфейс, облегчающий слежение за обменом, управление портами ввода-вывода и снабжение подробной онлайновой документацией.
Программы ComLite32 и ComLab32 работают с портами RS-232, RS-422, RS-485 и RTX485 (с последним портом — только на чтение) и позволяют вести протокол обмена с этими портами в обоих направлениях. Системные требования программы ComLite32 минимальны: всего 8 Мбайт оперативной памяти, 6 Мбайт дискового пространства и хотя бы одно устройство, работающее с последовательным портом (включая PCMCIA-модемы ноутбуков).
И наконец, хотелось бы отметить программы Advanced Serial Port Monitor и Advanced Serial Data Logger компании AGG Software (http://www.aggsoft.ru ). Advanced Serial Data Logger обрабатывает данные, полученные по RS-232, и передает их в файл Excel, Access, или в какое-либо другое приложение Windows. Программа предоставляет возможность в реальном времени собирать данные с любого устройства, а также принимать и передавать данные по интерфейсу RS-232 или по интерфейсу RS-485 при наличии аппаратного конвертора. Advanced Serial Data Logger собирает данные с последовательного порта, обрабатывает их в соответствии с нуждами пользователя, выделяет блоки данных из общего потока, а затем передает данные в любое приложение Windows или DOS — путем нажатия соответствующих клавиш в окне приложения. Данные передаются через DDE (Dynamic Data Exchange), ODBC, OLE и т.д. Это решение можно использовать в автоматизированных системах сбора данных или в системах анализа звонков офисных АТС.
Advanced Serial Data Logger также может передавать запросы и команды через последовательный порт для непосредственного управления устройствами по ASCII (по умолчанию) или MODBUS-протоколу. Таким образом, программа Advanced Serial Data Logger становится сервером ввода-вывода. Что касается управления и настройки, то они очень просты и интуитивно понятны. Дополнительное программирование для сбора данных не требуется.
Кроме того, Advanced Serial Data Logger может работать как сервис под Windows NT/2000/XP/2003, который будет стартовать при загрузке системы и записывать данные с последовательного порта в файл на диске или в другие указанные места еще до входа пользователя в систему (и продолжит функционировать после завершения сеанса пользователя).
Программа имеет возможность запуска нескольких копий на одном компьютере, так что несколько портов могут протоколироваться одновременно.
Что касается программы Advanced Serial Port Monitor, то она может пригодиться как начинающим пользователям, так и профессионалам.
Advanced Serial Port Monitor может служить как для наблюдения за передачей данных другими приложениями, так и для отправки и приема данных через последовательный порт компьютера (RS-232). Программа предоставляет различные способы сохранения данных в файл или визуализации их на экране монитора.
Таким образом, вы можете работать с любыми устройствами, работающими по интерфейсу RS-232 либо RS-485 (RS-422) при наличии соответствующего преобразователя. Вы будете наблюдать за обменом данными между любым Windows-приложением и внешними устройствами, подсоединенными к последовательному порту. Это может быть или измерительное устройство, или домашняя радиостанция, или же другой компьютер, соединенный через z-модемный или нуль-модемный кабель.
Advanced Serial Port Monitor поддерживает дуплексный режим работы, то есть вы можете наблюдать за обменом в обе стороны, не используя другие программы и не прерывая работу других приложений. Вся проходящая через последовательный порт информация отображается на экране в специальном окне и может быть записана в файл. Все отображаемые параметры можно менять во время работы. При этом программа поддерживает два режима — автоматический и ручной, то есть можно отсылать данные по нажатию кнопки «Отправить» или они будут отправляться автоматически через определенный интервал (от 10 до 10 000 мс).
С помощью дополнительных модулей можно не только принимать данные или передавать команды, но и эмулировать работу каких-то конкретных устройств, а в режиме наблюдателя (перехватчика) — просто следить за обменом данными между внешним устройством, подсоединенным к последовательному порту, и каким-то приложением Windows. И наконец, Advanced Serial Port Monitor имеет свой встроенный язык написания сценариев, с помощью которого можно запускать программу с предустановленными опциями и действиями, а также выполнять команды из модулей.
Контроль параллельного порта компьютера (LPT)У Валерия Ковтуна есть и другая полезная коммуникационная программа — LPT 3D Hard Analyzer. Программа представляет собой графический запоминающий анализатор-осциллограф, предназначенный для снятия цифровых сигналов и протоколов устройств, подключенных к параллельному порту компьютера в ОС Windows 95/98/Mе/NT/2000/XP.
LPT 3D Hard Analyzer работает через LPT-порт и позволяет анализировать пять входных линий (каналов) и 12 выходных каналов (то есть управлять цифровыми сигналами с компьютера) в режиме SPP или манипулировать четырьмя выходными и 14 входными параметрами в режиме EPP. Двунаправленный ЕРР-режим параллельного порта предусмотрен практически на всех компьютерах, выпущенных после 1993 года. Иногда, правда, он не включен по умолчанию в BIOS (это необходимо проверить и по возможности — включить).
При работе в режиме осциллографа программа запоминает все 17 графиков (линий), глубина (отображаемая длина графика по времени) которых ограничена только свободной памятью компьютера (а с учетом файла подкачки в OC Windows это будет несколько сот мегабайт). Также доступна возможность автоматического сохранения каждой новой страницы в графическом формате.
Анализатор-осциллограф LPT 3D Hard Analyzer строит графики изменения данных в двумерном и трехмерном виде, а также показывает две независимые диаграммы: 17-канальный осциллограф (по биту на канал) и график регистров порта (входных, выходных, контрольных). Имеется регулировка скорости анализа, и отображается общее количество циклов за весь период продвижения графика. Можно программировать и количество циклов с возможностью копирования графиков в память (глубина построения ограничена только доступной оперативной памятью компьютера). Программа имеет средства для экономии системных ресурсов во время считывания данных с высокоскоростных устройств, подключенных к LPT-порту и синхронизированных с ним данной программой (то есть она может применяться на относительно слабых компьютерах). При отключении графического режима вывода на дисплей графики копируются только в память компьютера — в результате скорость работы программы повышается в десятки раз. По окончании анализа график просматривается так же, как если бы он был переведен в графический режим отображения. Прокрутка графиков осуществляется плавно и постранично (правой кнопкой мыши). Имеется гибкая настройка скорости и шага прокрутки, а также возможность автоматического сжатия всей диаграммы в пределах одной страницы. Снимки состояния выбранной страницы графика можно запоминать в форматах BMP и WMF (Windows-метафайл) или задавать автоматическое сохранение в отдельный файл каждой новой страницы. Для просмотра в пакете имеется встроенный браузер графических файлов.
Модуль управления портами основан на ядре кода другой программы Валерия Ковтуна — XP LPT, использующей драйвер ввода-вывода LPT WDMIO.
Программа XP LPT предназначена для управления параллельными портами компьютера из ОС Windows 9x/2000/XP и имеет следующие возможности:
У этой программы доступен исходный код, описание, а также примеры создания программ для управления внешними устройствами посредством параллельного порта на основе данного решения.
Как мы уже упоминали, программа функционирует через драйвер ввода-вывода LPT WDMIO и предназначена специально для обучения и отладки самостоятельно изготавливаемых программ управления внешними устройствами посредством параллельного порта в среде Windows.
Валерий Ковтун также создал программу PortControl, которая используется для управления параллельным портом с 17-битным анализатором протокола обмена данными устройств, использующих LPT-порт компьютера. Программа написана для семейства ОС Windows и обладает следующими возможностями:
Эта программа может использоваться как в качестве цифрового многоканального осциллографа, так и для управления внешними устройствами посредством компьютера.
Программы анализа и управления портами могут иметь различные применения. Во-первых, их можно использовать для детальной проверки и тестирования работоспособности параллельного порта компьютера, например для проверки быстродействия LPT-порта и системы в целом с помощью режима Test out. Причем все операции удобно наблюдать во времени с помощью встроенного 17-канального анализатора-осциллографа с возможностью гибкой настройки под определенный тип измерений.
Для анализа подключенных к компьютеру высокоскоростных шин передачи цифровых данных различных радиоэлектронных устройств и микросхем рекомендуется компьютер с частотой процессора не ниже 300 МГц. Но для низкоскоростных устройств нормально работают и более слабые компьютеры под управлением Windows 95.
Во-вторых, программы-анализаторы можно применять для управления, анализа, настройки, разработки, проверки и ремонта цифровых радиоэлектронных схем (отдельных модулей, блоков, управляющих шин, протоколов управления синтезаторов частот, элементов управления цифровыми индикаторами, программаторами ПЗУ и т.д.), то есть там, где широко используются цифровые микросхемы, формирующие управляющие сигналы и как-то реагирующие на них.
В-третьих, программы — анализаторы портов можно просто использовать для считывания протоколов обмена. А синхронизировав шину данных и управляющие сигналы устройств хранения и идентификации информации, можно даже прочитать закодированные в последовательности нулей и единиц служебные сигналы и/или пароли доступа. В общем, эти программы предназначены для расширения возможностей радиолюбителя, электронщика или инженера-разработчика. Наглядное изучение протоколов работы радиоэлектронных устройств может быть полезно также при разработке собственного программного обеспечения под управлением различных контроллеров.
В-четвертых, программы-анализаторы окажутся очень полезными для ремонта оргтехники, так или иначе использующей параллельный порт компьютера, — различных принтеров, сканеров, кассовых аппаратов и других устройств.
В-пятых, перечисленные программы пригодятся начинающим программистам. Например, если вы решили написать небольшую программу для управления теми или иными внешними устройствами посредством параллельного порта, то вам будет очень удобно визуально наблюдать алгоритм работы вашей программы в многофункциональном интерфейсе PortControl. В результате вам удастся вовремя обнаружить и устранить допущенные ошибки без использования измерительных приборов на выходе порта и без вмешательства в схемотехнику управляемого устройства.
И наконец, для параллельного порта Валерий Ковтун предлагает полезную программу PinRegistrator, предназначенную для слежения и регистрации логического состояния битов LPT-порта. Написана программа под Windows 95/98/Me и протоколирует состояние параллельного порта автоматически или вручную.
Контроль USB-порта компьютераУ вышеупомянутой компании AGG Software существуют программы, предназначенные для анализа и мониторинга USB-портов, шин, контроллеров и устройств. Например, Advanced USB Monitor (http://www.aggsoft.ru/usb-monitor/index.htm ) позволяет захватывать, анализировать, просматривать и перерабатывать USB-трафик для эффективной отладки и тестирования USB-устройств. Поддерживаются устройства, соответствующие всем спецификациям: UHCI- (старые устройства USB 1.x, работающие на скоростях до 1,5 Мбит/с), OHCI- (устройства USB 1.x следующего поколения, работающие на скоростях до 12 Мбит/с) и, наконец, устройства EHCI-стандарта USB 2.0 (работают на скоростях до 480 Мбит/с). Advanced USB Monitor позволяет расширить лабораторный инструментарий как разработчиков USB-устройств, так и продвинутых пользователей.
Advanced USB Monitor может отображать передаваемые пакеты данных в читаемом виде, декодировать дескрипторы, определять ошибки в пакетах и измерять производительность устройств. Во время захвата пакеты данных могут отображаться в реальном времени, что позволяет отслеживать состояние устройств. Пакеты данных сохраняются в хронологическом порядке и содержат полную информацию об адресах и конечных точках. Это позволяет очень просто идентифицировать пакеты, фильтровать их и осуществлять по ним поиск. Программа предоставляет несколько уровней детализации при отображении данных. Быстрое декодирование USB-трафика дает возможность работать даже с такими скоростными устройствами, как USB-диски или USB-камеры. Причем захват, мониторинг и запись захватываемых данных происходят в реальном времени. С помощью Advanced USB Monitor вы можете просматривать трафик в тот же самый момент, когда он возникает, причем одновременно для ряда USB-устройств с помощью нескольких одновременно открытых окон мониторинга.
Использование драйвера ядра для захвата данных с поддержкой WDM, WMI, Power Management и PNP позволяет достичь полной совместимости с операционной системой и USB-устройствами, обеспечивая максимальное быстродействие.
Программа также дает возможность измерить производительность любого USB-устройства. Advanced USB Monitor легко ориентируется в топологии USB-устройств и получает детальную техническую информацию о таких устройствах, как USB-диски (интерфейсы, конечные точки, информация в реестре, информация о классе и многое другое). В конце исследования можно получить готовый отчет о подключенных устройствах и USB-трафике, а по окончании исследований распечатать его на принтере. Кроме того, программа имеет развитые функции экспорта данных в форматы PDF, XML или Microsoft Word, что позволяет не ограничивать процесс постобработки данных только одной этой программой.
По тому же принципу, что и вышеописанные анализаторы-осциллографы для параллельного порта, работают и USB-осциллографы (http://www.usb-osc.narod.ru/ ). USB-осциллограф в первую очередь предназначен для радиолюбителей, которые по роду своей деятельности сталкиваются с необходимостью проводить анализ низкочастотных аналоговых сигналов, регистрировать длительные медленно меняющиеся процессы, а также исследовать двоичные сигналы от различных устройств. Кроме того, USB-осциллограф может быть использован в качестве простого двухканального вольтметра для напряжений в диапазоне +/–20 В, частотомера для частот сигналов до 50 кГц или пробника со звуковым оповещением.
Итак, USB-осциллограф обеспечивает следующие режимы работы:
Кроме того, USB-осциллограф позволяет сохранять результаты всех измерений в виде векторного или растрового рисунка для последующего импорта в другие программы или для сохранения в файле для последующего анализа. Результаты всех измерений можно распечатывать, копировать в буфер обмена, а также задавать события и сопровождать их звуковым комментарием. Можно рассчитывать различные цифровые фильтры и производить фильтрацию аналоговых сигналов и сглаживание временных диаграмм осциллографа. Устройство позволяет отображать статистику по всем каналам логического анализатора и генератора.
Однако USB-осциллографы — это уже не просто программы, а устройства, выполненные в виде внешних блоков с USB-интерфейсом и сопровождаемые обслуживающими их программными модулями. То есть это целый универсальный измерительный комплекс, состоящий из коммутационной приставки и компьютера. Кстати, производить обновление прошивки такого устройства можно по USB-шине, что позволяет дополнять возможности устройства любыми функциями на заказ.
Производят такие устройства украинская компания Da-Labs (http://www.da-labs.com/ ) и российская компания «Трейд-М» (http://motor-master.ru/index.htm/). Цена комплекта российской фирмы составляет 1850 руб. без учета доставки.
Итак, вооружившись необходимым инструментарием, мы теперь имеем возможность самостоятельно писать программы управления различными внешними устройствами с помощью любых портов нашего компьютера.
IT-инфраструктура любой организации подвержена как внешним (из интернета), так и внутренним угрозам. Последние в подавляющем большинстве случаев вызваны тем, что офисные сотрудники имеют беспрепятственный доступ к корпоративным данным изнутри – со своих рабочих станций, объединенных в локальную сеть. Если этот доступ не контролировать, то результатом может быть несанкционированное копирование и удаление конфиденциальной информации, а также появление на пользовательских компьютерах вредоносных программ. Особую опасность для IT-безопасности предприятий в последнее время представляют USB-накопители по причине их распространенности, большой емкости и легкости подключения к вычислительным машинам.
Разработанный новосибирской компанией “Аларум” программный комплекс FileControl позволяет брать на карандаш различные внешние USB-устройства в офисных локальных сетях. Решение предоставляет гибкие возможности управления доступом к этим устройствам, сохраняет информацию о работе с хранящимися на них файлами, осуществляет теневое копирование их на сервер. Также приложение сохраняет информацию о работе с документами внутри локальной сети.
FileControl обеспечивает эффективную защиту от внутренних угроз – информационных утечек, уничтожения ценных сведений и документов, инсайдеров, USB-вирусов и других. Целевой аудиторией FileControl являются администраторы локальных сетей, руководители и менеджеры различных уровней, сотрудники служб безопасности.
Дополнительные сведения о продукте представлены на сайте filecontrol.ru .
Дата публикации: 28 October 2012
Артур Николаев Профи (606), закрыт 6 лет назад
Может ли мне кто-нибудь помочь в поиске программы со следующими параметрами:
1. Защита USB портов от несанкционированного подключения флэш накопителей. (В том числе защита USB портов на дополнительно подключенных устройствах, например охлаждающий планшет для ноутбука (куллер) )
2. Защита данной программы паролем.
4. Сохранение защиты USB портов после перезагрузки компа (В ряде подобных программ защита отключается при выключении/перезагрузке компа)
savus Просветленный (33606) 6 лет назад
Программа для контроля и мониторинга доступа к USB, CD/DVD, дисководам, принтерам и другим устройствам для ввода/вывода и хранения информации
FileControl - контроль доступа к внешним носителям информации
FileControl предназначен для управления доступом к внешним съемным устройствам - USB, CD и DVD приводам, флоппи-дисководам, а также Wi-Fi, Bluetooth и портах IrDa и COM на компьютерах локальной сети. Используется для защиты информации и обеспечения информационной безопасности организаций.
Не секрет, что наибольшую опасность для информационной безопасности организаций представляют вовсе не внешние угрозы - вирусы, трояны, хакеры и т. п, а внутренние. Внутренние угрозы вызваны тем, что пользователи имеют неконтролируемый доступ к важной информации изнутри - со своих компьютеров, объединенных в локальную сеть. Последствием может быть как несанкционированное копирование и удаление конфиденциальной информации, так и появление на рабочих компьютерах вредоносных программ и просто бесполезных файлов (например, видеофильмов и музыки). Как правило, в таких случаях используются внешние накопители информации (USB-диски, CD и DVD приводы, флоппи-дисководы, устройства Bluetooth и др. ) FileControl позволяет разрешать и запрещать использование тех или иных устройств, а также сохраняет в базу данных всю информацию об операциях с ними.
Программа дистанционно устанавливается на компьютеры локальной сети, невидима для пользователей, предельно проста в использовании. Целевая аудитория FileControl - администраторы локальных сетей, руководители и менеджеры различных уровней, сотрудники служб безопасности.
Остальные ответы
Известно, что наибольшей опасностью для безопасности локальных сетей являются не внешние угрозы (из интернета), а внутренние. Внутренние угрозы вызваны тем, что офисные сотрудники имеют доступ к важной информации изнутри - со своих компьютеров, объединенных в локальную сеть. Если этот доступ не контролировать, то последствием может быть несанкционированное копирование и удаление конфиденциальной информации, а также появление на рабочих компьютерах вредоносных программ (вирусов, троянов) и просто бесполезных файлов (например, видеофильмов и музыки). Особенную опасность для информационной безопасности организаций в последнее время представляют внешние USB устройства, по причине их распространенности, большой емкости и легкости подключения к офисным компьютерам.
Зачем нужен FileControlПрограмма эффективно справляется c вышеперечисленными проблемами в офисных локальных сетях, ограничивая использование различных устройств по установленным администратором правилам, и сохраняя информацию об операциях с файлами на этих устройствах. FileControl обеспечивает эффективную защиту от внутренних угроз - информационных утечек, уничтожения ценной информации, инсайдеров, usb-вирусов и других. Целевая аудитория FileControl - администраторы локальных сетей, руководители и менеджеры различных уровней, сотрудники служб безопасности.
Возможности FileControlКонтроль доступа к внешним устройствам и портам для предотвращения утечек информации, а также борьбы с вирусами и вредными файлами. Отслеживаются все типы USB дисков и других USB устройств, CD/DVD приводы, дисководы 3,5", порты COM, LPT, IrDA, принтеры, а также адаптеры Bluetooth и Wi-Fi.
Мониторинг и статистика в режиме реального времени. Осуществляется мониторинг состояния компьютеров и подключенных к ним устройств. Информация о работе с устройствами и файлами на них сохраняется в базе данных. Удобный поиск по базе данных с возможностью экспорта результатов файл для MS Еxcel.
Теневое копирование файлов, которые читались с внешних USB дисков, или записывались на них - копии всех файлов сохраняются на сервере без ведома пользователей.
Простая установка и использование программы - вся система умещается в одном дистрибутиве и автоматически разворачивается на сервере. Интерфейс панели управления предельно лаконичен; драйвера слежения на компьютеры локальной сети устанавливаются дистанционно с рабочего места администратора. Подробнее о возможностях FileControl >>>
Устройство и принципы работы FileControl состоит из четырех модулей:Драйверы в невидимом режиме отслеживают операции с файлами на клиентских машинах и передают информацию на сервер, где она сохраняется в базе данных. Установка драйверов слежения и управление ими осуществляется консолью администрирования с любого компьютера локальной сети. Также консоль используется для поиска по базе данных и мониторинга компьютеров и устройств. Подробнее об устройстве и принципах работы >>>
http://www.filecontrol.ru/
FileControl предназначен для управления доступом к внешним съемным устройствам - USB, CD и DVD приводам, флоппи-дисководам, а также Wi-Fi, Bluetooth и портах IrDa и COM на компьютерах локальной сети. Используется для защиты информации и обеспечения информационной безопасности организаций.
Известно, что наибольшей опасностью для информационной безопасности локальных сетей организаций являются не внешние угрозы (из Интернета), а внутренние. Внутренние угрозы вызваны тем, что пользователи компьютеров имеют доступ к важной информации изнутри - со своих компьютеров, объединенных в локальную сеть. Если этот доступ не контролировать, то последствием может быть как несанкционированное копирование и удаление конфиденциальной информации, так и появление на рабочих компьютерах вредоносных программ (вирусов, троянов) и просто бесполезных файлов (например, видеофильмов и музыки). Как правило, в таких случаях используются внешние накопители информации (USB-диски, CD и DVD приводы, флоппи-дисководы и др.)
FileControl решает эту проблему - программа ограничивает использование тех или иных устройств, а также сохраняет в базу данных всю информацию об операциях с файлами на этих устройствах. Программа дистанционно устанавливается на компьютеры локальной сети, невидима для пользователей, предельно проста в использовании. Целевая аудитория FileControl - администраторы локальных сетей, руководители и менеджеры различных уровней, сотрудники служб безопасности.
Возможности FileControl
Управление доступом к:
• съемным устройствам - USB-flash, внешним жестким дискам, различным USB устройствам (фотокамерам, сотовым телефонам, mp3 плеерам и др.);
• оптическим CD и DVD приводам;
• дисководам FDD 3,5";
• внешним портам ввода-вывода - COM, LPT, IrDA;
• устройствам, использующим технологию Bluetooth;
• адаптерам Wi-Fi;
• принтерам.
Контроль доступа осуществляется как для компьютеров, так и для отдельных пользователей Windows. Для устройств, доступ к которым должен быть разрешен всегда (USB-ключи, сканеры, принтеры и т.п.), реализован белый список.
Мониторинг и статистика
FileControl показывает USB-устройства, подключенные к компьютерам, и ведет журнал действий пользователей с внешними накопителям информации. Информация о времени подключения/отключения устройств и о том, какие файлы и когда были прочитаны или записаны, сохраняется в базу данных. С помощью удобной системы поиска с фильтрами можно быстро найти нужные данные. Также есть возможность экспортировать эти данные в MS Excel.
Теневое копирование файлов. которые читались с внешних USB дисков, или записывались на них - копии всех файлов сохраняются на сервере без ведома пользователей.
Быстрая установка драйверов слежения на компьютеры локальной сети. Компьютеры можно выбрать как по одному, указав имя или IP адресам, так и сразу несколько, указав диапазон IP адресов, или импортировав из Active Directory. Также возможна ручная установка драйвера.
Возможность контролировать доступ к различным устройствам хранения информации (особенно внешним USB дискам), теневое копирование и мониторинг действий с файлами - необходимые элементы обеспечения информационной безопасности любой организации, на компьютерах которой хранится ценная информация.
Принципы работы FileControl
FileControl состоит из трех модулей:
• серверного - собирает данные с драйверов слежения и разрешает/запрещает те или иные действия. Устанавливается на сервере локальной сети.
• пользовательского - драйвер слежения, невидимый для пользователя. Драйверы слежения устанавливаются на компьютеры локальной сети дистанционно, через консоль управления. Для удаленной установки необходимо иметь права администратора на удаленной машине.
• администраторского - консоль управления, из которой осуществляется управление сервером FileControl, установка и удаление драйверов слежения.
Драйвер отслеживает операции с файлами - их запись,чтение и удаление и разрешает или запрещает эту операцию для определенной группы внешних устройств в соответствии с установленными администратором правилами. Эти файлы, а также информация о всех действиях, отслеживаемых драйвером, передается на сервер и сохраняется там в базе данных SQLite для последующего просмотра. Пользователь компьютера, на котором установлен драйвер слежения FileControl, может вообще не догадываться о том, что его действия контролируются и записываются, т.к. драйвер работает в невидимом режиме и не виден в списке процессов.
Программа предельно проста в использовании. Управление драйверами слежения осуществляется с консоли FileControl, которая может быть запущена с любого компьютера локальной сети. Все действия с внешними устройствами на компьютерах, где установлен драйвер слежения, отображаются в консоли в режиме реального времени. FileControl ведет запись этих действий в файлы для последующего просмотра и анализа действий пользователей.
Новое в FileControl 2.0:
• FileControl обзавелся новым интерфейсом - он стал более удобным и симпатичным;
• Теперь можно задавать права для пользователей Windows, а не только для компьютеров;
• Добавлен импорт пользователей из домена Windows Active Directory;
• Реализовано сохранение настроек клиентских машин при недоступности сервера;
• Логи (журнал событий) теперь пишутся не в текстовые файлы, а в базу данных SQLite, что увеличивает скорость и позволит в будущем реализовать удобную систему отчетов;
• Реализован экспорт данных журналов событий в MS Excel.
Как обновить старые версии программы на FileControl 2.0:
• Открыть панель администратора старой версии и обязательно удалить все старые драйверы слежения с комьютеров;
• Перезагрузить комьютеры, с которых удален драйвер слежения;
• После того, как все драйвера слежения удалены, деинсталлировать старую версию FileControl
• Установить версию 2.0, внимательно прочитать инструкцию, и установить драйверы слежения на компьютеры локальной сети.
Версия: 2.0 build 180
Размер: 2,9mb
ОС: Windows 2000/2003 Server/XP/Vista
Перемещение информации через границы охраняемого периметра локальной сети компании доставляет, пожалуй, наибольшее количество хлопот службе информационной безопасности. С каждым годом острота проблемы только растет. За последнее время резко увеличилось число всевозможных USB-устройств, которые могут использоваться в качестве накопителей. При этом объем информации, который может быть записан с помощью таких устройств, уже сравним с объемом жестких дисков. Сегодня USB-накопители емкостью 4 Гбайт уже не редкость, объем жестких дисков переносных MP3-плееров превысил 80 Гбайт, а ведь кроме этого есть еще и фотоаппараты, мобильные телефоны, карманные компьютеры с большим объемом памяти и т.д. Рынок таких устройств растет экспоненциально: их физические размеры все меньше и меньше, а производительность и объем все больше и больше.
Постоянно увеличиваются инвестиции в межсетевые экраны, используются все новые и более надежные алгоритмы шифрования, другие средства и технологии контроля для защиты данных от хищения через Internet. Однако не стоит забывать, что большинство случаев хищения сегодня происходит по вине самих сотрудников, которые скачивают конфиденциальную информацию на различные USB-устройства. Все технологии защиты корпоративной сети от злоумышленников за пределами компании не в состоянии противостоять обиженным сотрудникам, которые вполне могут использовать USB-устройства для загрузки вредоносной программы в сеть компании или для хищения информации из локальной сети.
Все вышеперечисленное привело к тому, что был разработан целый класс программного обеспечения для контроля использования сменных накопителей. Типичными примерами данного программного обеспечения могут служить DeviceLock, разрабатываемый с 1996 года компанией «Смарт Лайн Инк» (SmartLine Inc), Sanctuary Device Control от люксембургской компании SecureWave S.A. ZLock от российской компании ЗАО «СекьюрИТ», GFI EndPointSecurity от мальтийской компании «GFI Software» и некоторые другие.
Вместе с тем в ближайшее время компания Microsoft представит на рынок серверных операционных систем новую серверную платформу Windows Server 2008, в которой будут реализованы функции контроля использования сменных накопителей с помощью групповых политик в случае использования как отдельного сервера, так и домена с Windows Server 2008 в качестве контроллера домена и Windows Vista в качестве рабочих станций.
Анализу данной функции и посвящена наша статья. Для ее написания использовалась 32-разрядная версия Windows Server 2008 RC0 Enterprise.
Установка контроля
Для использования функции контроля использования внешних носителей в Windows Vista администратор должен задействовать групповые (локальные) политики. При помощи групповых политик можно указать конкретные устройства, использование которых разрешено на данном компьютере. Предположим, что сотруднику распоряжением руководства разрешено использовать флэш-диск А, но из дома он может принести еще флэш-диск В. Средствами групповых политик в Windows Vista можно сделать так, что флэш-диск А можно будет подключить к корпоративному компьютеру, а при подключении флэш-диска В сотрудник получит сообщение о том, что в данном случае он нарушает политику безопасности. Рассмотрим подробнее, как это сделать.
Каждое устройство, использующее USB-порт, обладает так называемым уникальным цифровым идентификатором. То есть для создания списка разрешенных устройств нам сначала нужно получить идентификаторы (ID) этих устройств.
Получение ID
Для получения соответствующего идентификатора устройства необходимо подсоединить это устройство к USB-порту, дождаться, пока система опознает его, и войти в Drive Manager (для этого щелкните правой клавишей мыши на значке My Computer и из раскрывающегося меню выберите пункт Properties). Вы увидите окно, показанное на экране 1.
Затем из меню Tasks нужно выбрать Device Manager. В появившемся списке устройств следует открыть пункт Universal Serial Bus controllers (экран 2).
В полученном списке требуется выбрать USB Mass Storage Device. Нажмите правую клавишу мыши и в контекстном меню выберите Properties. Потом выберите вкладку Details. Укажите параметр Device Instance Path (экран 3).
Теперь нужно скопировать значение этого параметра в текстовый редактор (например, Microsoft Word).
Получим приблизительно такую строку: USBSTORDisk&Ven_JetFlash&Prod_TS2GJFV30&Rev_8.07BX1D3DGC&0
Из полученной строки следует выделить подстроку типа BX1D3DGC (набор символов от последнего символа до &) — это и будет искомое ID устройства.
В случае если вы получите строку, подобную USBSTORDisk&Ven_ChipsBnk&Prod_Flash_Disk&Rev_2.006&1c912e9b&0, имя устройства будет 6&1c912e9b.
После получения уникального ID устройства можно перейти к настройке групповых политик.
Настройка групповых политик
Все действия, перечисленные ниже, должны проводиться под учетной записью с правами администратора.
Для настройки локальных политик необходимо запустить режим командной строки из-под учетной записи с правами администратора. Для этого следует запустить командную строку (StartRuncmd) и в появившемся окне командной строки набрать gpedit.msc.
В окне редактора групповых политик (Local Group Policy Editor) выберите Administrative Templates-System-Device Installation (экран 4).
Далее выберите параметр Allow installation of devices that match any of these device IDs (экран 5).
Для создания соответствующего списка устройств необходимо нажать кнопку Show. В полученном окне (экран 6) введите идентификационные коды разрешенных устройств.
В полученном окне можно как добавить, так и удалить коды устройств с помощью соответствующих кнопок.
После создания данного списка устройств необходимо запретить установку устройств, не описанных другими правилами политики. Для этого выберите параметр политики Prevent installation of devices not described by other policy settings (экран 7).
В случае если пользователь все же решит задействовать устройство с идентификатором, не указанным в групповой политике, он получит уведомление, заголовок которого вы сможете указать с помощью пункта Display a custom message when installation is prevented by policy setting (экран 8).
Основной текст, отображаемый при этом во всплывающем окне, также можно задать при помощи пункта групповой политики (экран 9).
Для окончательного запрета установки устройств следует выбрать параметр Prevent installation of devices not described by other policy setting («Запретить установку устройств, не описанных другими параметрами политики»).
Окончательно параметры, описанные в групповой политике, будут введены в действие после ввода в командной строке команды обновления политик gpupdate.exe (экран 10).
После применения политики при попытке подключения USB-устройства, не описанного в правилах, появится предупреждающая надпись (экран 11).
Достоинства и недостатки
К несомненным достоинствам подхода, применяемого Microsoft, стоит отнести простоту настройки и использования, интеграцию с Active Directory, а также то, что такой подход не требует установки программ сторонних производителей.
Что же касается недостатков, то их, увы, гораздо больше. Данный подход не позволяет контролировать, что же именно пользователь записывает (считывает) с внешнего носителя, так как журналы операций записи/считывания просто не ведутся. По способу организации контроля внешних носителей данная функция операционной системы может быть отнесена к возможностям контроля использования внешних устройств начального уровня. Однако не стоит забывать и о том, что пока еще не существует других программ, способных выполнять аналогичные задачи под управлением Windows Server 2008 и Windows Vista.
Владимир Безмалый (Vladimir_Bezmaly@ec.bms-consulting.com ) — руководитель программы подготовки администраторов информационной безопасности «Академии БМС Консалтинг». MVP in Windows Security
