Пример безопасной настройки домашней локальной сети. Локальная сеть дома: как настроить так, чтобы не взломали

Правила информационной безопасности в данном случае должен соблюдать как провайдер, так и его клиент. Иными словами, существуют две точки уязвимости (на стороне клиента и на стороне провайдера), причем каждый из участников этой системы вынужден отстаивать свои интересы.

Взгляд со стороны клиента

Для ведения бизнеса в электронной среде требуются высокоскоростные каналы передачи данных, и если раньше основные деньги провайдеров делались на подключении к Internet, то сейчас клиенты предъявляют довольно жесткие требования к защищенности предлагаемых услуг.

На Западе появился целый ряд аппаратных устройств, обеспечивающих защищенное подключение к домашним сетям. Как правило, они так и называются «решениями SOHO» и совмещают в себе аппаратный межсетевой экран, концентратор с несколькими портами, DHCP-сервер и функции VPN-маршрутизатора. Например, именно по такому пути пошли разработчики Cisco PIX Firewall и WatchGuard FireBox. Программные межсетевые экраны остались только на персональном уровне, причем используются они как дополнительное средство защиты.

Разработчики аппаратных межсетевых экранов класса SOHO считают, что эти устройства должны быть простыми в управлении, «прозрачными» (то есть невидимыми) для пользователя домашней сети и соответствовать по стоимости размеру прямого ущерба от возможных действий злоумышленников. Средняя величина ущерба при успешной атаке на домашнюю сеть оценивается примерно в 500 долл.

Для защиты домашней сети можно использовать и программный межсетевой экран или попросту удалить лишние протоколы и сервисы из конфигурационных настроек. Лучший из вариантов - если провайдер протестирует несколько персональных межсетевых экранов, настроит на них свою собственную систему безопасности и обеспечит их техническое сопровождение. В частности, именно так поступает провайдер 2COM, который предлагает своим клиентам набор протестированных экранов и советы по их настройке. В простейшем случае рекомендуется объявить опасными почти все сетевые адреса, кроме адресов локального компьютера и шлюза, через который устанавливается соединение с Internet. Если программный или аппаратный экран на стороне клиента обнаружил признаки вторжения, об этом требуется незамедлительно сообщить в службу технической поддержки провайдера.

Следует отметить, что межсетевой экран защищает от внешних угроз, но не спасает от ошибок самого пользователя. Поэтому, даже если провайдер или клиент установил некую систему защиты, обе стороны все равно должны соблюдать ряд достаточно простых правил, позволяющих минимизировать вероятность нападений. Во-первых, следует оставлять как можно меньше личной информации в Internet, стараться избегать оплаты кредитными карточками или по крайней мере проверять наличие цифрового сертификата у сервера. Во-вторых, не стоит загружать из Сети и запускать на своем компьютере любые программы, особенно бесплатные. Не рекомендуется также делать локальные ресурсы доступными извне, устанавливать поддержку ненужных протоколов (таких, как IPX или SMB) или использовать настройки по умолчанию (например, скрытие расширений файлов).

Особенно опасно исполнять сценарии, прикрепленные к письмам электронной почты, а лучше вообще не пользоваться Outlook, поскольку большинство вирусов написано именно для этого почтового клиента. В некоторых случаях для работы с электронной почтой безопаснее применять службы Web-mail, поскольку вирусы, как правило, через них не распространяются. Например, провайдер 2COM предлагает бесплатный Web-сервис, позволяющий считывать информацию из внешних почтовых ящиков и загружать на локальную машину только нужные сообщения.

Провайдеры обычно не предоставляют услуги защищенного доступа. Дело в том, что уязвимость клиента зачастую зависит и от его собственных действий, поэтому в случае успешной атаки достаточно сложно доказать, кто именно допустил ошибку - клиент или провайдер. Кроме того, факт нападения еще нужно зафиксировать, а сделать это можно только с помощью проверенных и сертифицированных средств. Оценить ущерб, нанесенный взломом, тоже непросто. Как правило, определяется только его минимальное значение, характеризуемое временем на восстановление штатной работы системы.

Провайдеры могут обеспечить безопасность почтовых служб, проверяя всю входящую корреспонденцию с помощью антивирусных программ, а также блокировав все протоколы, кроме основных (Web, электронной почты, новостей, ICQ, IRC и некоторых других). Операторам не всегда удается проследить, какие события происходят во внутренних сегментах домашней сети, но, поскольку они вынуждены защищаться от внешних нападений (что согласуется и с политикой защиты пользователей), клиентам нужно взаимодействовать с их службами безопасности. Следует помнить, что провайдер не гарантирует абсолютной безопасности пользователей - он лишь преследует собственную коммерческую выгоду. Часто атаки на абонентов связаны с резким всплеском объема передаваемой им информации, на чем, собственно говоря, и зарабатывает деньги оператор. Это значит, что интересы провайдера иногда могут противоречить интересам потребителя.

Взгляд со стороны провайдера

Для провайдеров услуг домашних сетей основными проблемами являются несанкционированное подключение и большой внутренний трафик. Домашние сети часто служат для проведения игр, которые не выходят за пределы локальной сети одного жилого дома, но могут привести к блокировке целых ее сегментов. В этом случае работать в Internet становится сложно, что вызывает справедливое недовольство коммерческих клиентов.

С точки зрения финансовых затрат провайдеры заинтересованы в минимизации средств, используемых для обеспечения защиты и контроля домашней сети. Вместе с тем они не всегда могут организовать должную защиту клиента, поскольку для этого требуются определенные затраты и ограничения и со стороны пользователя. К сожалению, с этим согласны далеко не все абоненты.

Обычно домашние сети устроены следующим образом: есть центральный маршрутизатор, имеющий канал доступа в Internet, а к нему подключается разветвленная сеть квартала, дома и подъезда. Естественно, маршрутизатор выполняет функции межсетевого экрана, отделяющего домашнюю сеть от остального Internet. Он реализует несколько механизмов защиты, но наиболее часто используется трансляция адресов, которая позволяет одновременно скрыть внутреннюю инфраструктуру сети и сэкономить реальные IP-адреса провайдера.

Впрочем, некоторые провайдеры выдают своим клиентам именно реальные IP-адреса (например, так происходит в сети микрорайона «Митино», которая подключена к московскому провайдеру «МТУ-Интел»). В этом случае пользовательский компьютер становится доступным из Internet напрямую, поэтому его сложнее защитить. Неудивительно, что бремя обеспечения информационной защиты полностью ложится на абонентов, а у оператора остается единственный способ контроля за их действиями - по IP- и MAC-адресам. Однако современные Ethernet-адаптеры позволяют программно изменить оба параметра на уровне операционной системы, и провайдер оказывается беззащитным перед недобросовестным клиентом.

Конечно для некоторых приложений необходимо выделение реальных IP-адресов. Выдавать же реальный статический IP-адрес клиенту достаточно опасно, поскольку, если сервер с этим адресом будет успешно атакован, через него станет доступной и остальная часть внутренней сети.

Одним из компромиссных решений проблемы безопасного использования IP-адресов в домашней сети является внедрение технологии VPN, объединенной с механизмом динамического распределения адресов. Вкратце схема такова. От клиентской машины до маршрутизатора устанавливается кодированный туннель, задействующий по протоколу PPTP. Поскольку этот протокол поддерживается ОС Windows начиная с 95-й версии, а сейчас реализован и для других операционных систем, от клиента не требуется инсталляции дополнительного ПО - нужна лишь настройка уже инсталлированных компонентов. Когда пользователь подключается к Internet, он вначале устанавливает соединение с маршрутизатором, затем авторизуется, получает IP-адрес и только после этого может приступать к работе в Internet.

Указанный тип подключения эквивалентен обычному коммутируемому соединению с той разницей, что при его инсталлировании можно установить практически любую скорость. Работать по этой схеме будут даже вложенные подсети VPN, которые могут задействоваться для удаленного подключения клиентов к корпоративной сети. Во время каждого пользовательского сеанса провайдер динамически выделяет либо реальный, либо виртуальный IP-адрес. К слову, у 2COM реальный IP-адрес стоит на 1 долл. в месяц дороже, чем виртуальный.

Для реализации VPN-соединений 2COM разработал собственный специализированный маршрутизатор, который выполняет все перечисленные выше функции плюс тарификацию услуг. Следует отметить, что шифрование пакетов возложено не на центральный процессор, а на специализированный сопроцессор, что позволяет одновременно поддерживать до 500 виртуальных каналов VPN. Один такой криптомаршрутизатор в сети 2COM служит для подключения сразу нескольких домов.

В целом наилучшим способом защиты домашней сети является тесное взаимодействие провайдера и клиента, в рамках которого каждый имеет возможность отстаивать свои интересы. На первый взгляд методы защиты домашней сети кажутся аналогичными тем, которые используются для обеспечения корпоративной безопасности, но на самом деле это не так. В компаниях принято устанавливать достаточно жесткие правила поведения сотрудников, придерживаясь заданной политики информационной безопасности. В домашней сети такой вариант не проходит: каждому клиенту требуются свои сервисы и составить общие правила поведения удается далеко не всегда. Следовательно, построить надежную систему защиты домашней сети гораздо сложнее, чем обеспечить безопасность корпоративной сети.

Безопасность беспроводной сети

• Измените пароль администратора, установленный производителем Интернет роутера или точки доступа. Аккаунт администратора позволяет вносить изменения к настройкам сети. Проблема в том, что многие роутеры поставляются со стандартными, хорошо известными паролями и их легко найти в Интернете. Поэтому следует изменить заводской пароль на уникальный и сильный пароль, который будете знать только вы.
• Измените название сети, установленное производителем (его еще называют SSID). Это имя ваши устройства видят при поиске домашней беспроводной сети. Дайте своей домашней сети уникальное имя, которое легко узнать, но оно не должно содержать личной информации. Конфигурация сети как «невидимой» - малоэффективная форма защиты. Большинство программ сканирования беспроводных сетей и любой опытный хакер может легко обнаружить «невидимые» сети.
• Убедитесь, что к вашей сети могут подключаться только люди, которым вы доверяете, и что это соединение является зашифрованным. Это поможет повысить уровень безопасности. В настоящее время самым безопасным соединением является WPA2. При его использовании пароль запрашивается при подключении к сети, и при этом подключении используется шифрование. Убедитесь, что вы не используете устаревший метод, например, WEP, или не пользуетесь открытой сетью (которая вообще не предоставляет защиты). Открытая сеть позволяет абсолютно все подключаться к вашей беспроводной сети без аутентификации.
• Убедитесь, что для подключения к вашей сети люди используют сильный пароль, который не совпадает с паролем администратора. Помните, что вам нужно ввести пароль для каждого используемого устройства только однажды, этот пароль устройства могут запоминать и хранить.
• Большинство беспроводных сетей поддерживают, так называемую Гостевую Сеть (Guest Network). Это позволяет гостям выходить в Интернет, но домашняя сеть в этом случае защищена, так как гости не могут соединиться с домашними устройствами вашей сети. Если вы добавляете гостевую сеть, убедитесь, что используете WPA2, и она защищена с помощью уникального и сильного пароля.
• Отключите Wi-Fi Protected Setup или другую настройку, позволяющую подключать новые устройства без ввода пароля и других опций конфигурации.
• Если вам сложно запомнить все пароли, настоятельно рекомендуем использовать менеджер паролей для их хранения.

Безопасность ваших устройств

Об авторе

Когда я просматривал статистику поисковой системы Яндекс, то обратил внимание, что запрос: "Безопасность домашней сети" - запрашивается лищь 45 раз в месяц, что, скажем прямо, довольно прискорбно.

Чтобы не быть голословным, хочу рассказать одну занимательную историю из своей жизни. Некоторое время назад ко мне зашел сосед, который решил приобщиться к современной жизни и приобрел себе ноутбук, маршрутизатор, ну и озаботился тем, чтобы подключиться к сети интернет.

Маршрутизатор сосед купил марки D-Link DIR-300-NRU , а у этой модели имеется такая особенность. По умолчанию, в качестве имени беспроводной сети (SSID), он использует название бренда. Т.е. в списке доступных сетей обнаруживается сеть с именем dlink. Дело в том, что большинство производителей "зашивают" в настройки название сети в виде марки и модели (например, Trendnet-TEW432 и т.п.).

Так вот, увидел я в списке сетей dlink и сразу же к нему подключился. Сразу же оговорюсь, что любой маршрутизатор (кроме Wi-Spotов и прочей экзотики, которая не имеет сетевых проводных интерфейсов RJ-45) обязательно нужно настраивать, подключившись к нему по проводу. На практике, я могу сказать, что можно и по Wi-Fi настраивать, но только не перепрошивать, - перепрошивать только по проводу, а иначе есть вероятность его серьёзно повредить . Хотя, если бы я вёл настройку маршрутизатора по проводу, то этого курьёза бы не произошло и не было бы этой истории.

Я подключаюсь к сети dlink, начинаю настраивать - меняю SSID, задаю ключ шифрования, определяю диапазон адресов, канал вещания и т.п., перезапускаю маршрутизатор и только тут до меня доходит то, что уж больно какой-то неуверенный приём, хотя маршрутизатор рядом стоит.

Да, действительно, я подключился к чужому открытому маршрутизатору и настроил его, как надо. Естественно, я сразу же вернул все настройки к исходным, чтобы владельцы маршрутизатора не расстраивались и уже настроил целевой маршрутизатор, как надо. Но, при всём при этом, могу сказать, что этот маршрутизатор до сих пор так и стоит незашифрованный и к нему может прицепиться любой желающий. Так вот, чтобы избежать таких вот ситуаций, настраиваем беспроводной маршрутизатор и читаем дальше про безопасность домашней сети .

Давайте рассмотрим, какие элементы как аппаратные, так и программные, являются защитниками сети, а какие - потенциальными брешами, включая, кстати, и человеческий фактор . Но, обо всём по порядку.

Мы не будем рассматривать, каким образом интернет приходит к вам в дом - нам достаточно понимания того, что он приходит.

И вопрос - приходит куда? На компьютер? На маршрутизатор? На беспроводную точку доступа?

Мы не будем рассматривать, каким образом интернет приходит к вам в дом - нам достаточно понимания того, что он приходит. А, между тем, это вопрос очень и очень важный и вот почему. Каждое из вышеперечисленных устройств имеет свою степень защиты от различных хакерских атак и несанкционированного доступа.

Первое место по уровне защиты от сетевых атак можно смело отдать такому устройству, как маршрутизатор (его ещё иногда называют "роутер" - это то же самое, только по-английски - Router - маршрутизатор). Аппаратную защиту "пробить" гораздо сложнее, хоть и нельзя сказать, что невозможно. Но об этом позже. Существует такая народная мудрость, которая гласит: "Чем устройство проще - тем оно надёжней" . Т.к. маршрутизатор - гораздо более простое устройство и более узкоспециализированное, то оно, конечно, надёжней.

На втором месте по уровню защиты от сетевых атак - компьютер, оснащённый различными защитными программными средствами (межсетевыми экранами, которые так же называются FireWall - дословный перевод - Огненная стена. В ОС Windows XP и более поздних этот сервис называется Брандмауэр). Функционал примерно тот же, но появляется возможность реализации двух функций, которые чаще всего невозможно сделать средствами маршрутизатора, а именно - отслеживание посещения пользователями сайтов и ограничение доступа к определенным ресурсам. Конечно, в домашних условиях такой функционал чаще всего не требуется или легко реализуется с использованием бесплатных сервисов, например, Яндекс.DNS, если вам требуется оградить своего ребёнка от нехорошего контента. Конечно, на компьютере-шлюзе иногда имеется такой приятный функционал, как "проточный" антивирус, который умеет анализировать проходящий трафик, но это не является поводом к тому, чтобы отказываться от антивируса на компьютерах-клиентах, т.к. вирус на всякий случай может прилететь в файле-архиве с паролем, а туда антивирусу никак не попасть, пока вы его не вскроете.

Беспроводная точка доступа - это прозрачный в обе стороны шлюз, через который может прилететь что угодно, поэтому использовать точки доступа имеет смысл только в сетях, защищенных аппаратным или программным файрволом (маршрутизатором или компьютером с установленным специализированным ПО).

Чаще всего в домашней сети используются беспроводные маршрутизаторы, которые оборудованы четырьмя портами для подключения компьютеров по проводу и радиомодулем, выполняющим функцию точки доступа. В этом случае сеть имеет следующий вид:

Здесь мы наглядно видим, что главный защитник нашей сети от хакерских атак - маршрутизатор, однако это не говорит о том, что вы можете чувствовать себя в абсолютной безопасности.

Функция файрвола маршрутизатора состоит в том, что он транслирует ваши запросы в интернет и полученный ответ возвращает вам. При этом, если информация никем в сети, включая ваш компьютер, не запрашивалась, то файрвол такие данные отфильтровывает, оберегая ваш покой.

Какими методами можно попасть в вашу сеть, защищенную файрволом?

Чаще всего это вирусы-трояны, которые проникают в вашу сеть вместе с зараженными скриптами или скачанными зараженными программами. Нередко вирусы распространяются в виде вложений в электронные письма или ссылок, содержащихся в теле письма (почтовые черви). В частности, так распространяется вирус-червь, который шифрует всю информацию на жестких дисках вашего компьютера, а после этого вымогает деньги за расшифровку.

Что ещё способен сделать вирус, поселившийся на вашем компьютере?

Деятельность вируса может быть самой разнообразной - от "зомбирования" компьютера или воровства данных до вымогательства денег впрямую через блокировку Windows или шифрование всех пользовательских данных.

У меня есть знакомые, утверждающие, что не встречали более бесполезной программы, чем антивирус и прекрасно обходятся без него. Если вы считаете так же, то должен предупредить, что не всегда вирус выдает себя сразу и выдает вообще. Иногда его деятельность состоит в том, чтобы принять участие в DDoS атаке какого-либо узла в интернете. Вам это ничем не грозит кроме того, что вас может заблокировать провайдер и заставить провериться на вирусы. Поэтому, даже, если на вашем компьютере нет важных данных, антивирус, хотя бы бесплатный, лучше поставить.

Если на ваш компьютер проник троян - он может открыть порт, организовать туннель и предоставить своему создателю полную власть над вашим компьютером.

Многие вирусы умеют распространяться по сети, поэтому если вирус попал на один компьютер в сети, существует вероятность его проникновения на другие компьютеры вашей домашней сети

Как уберечь себя от вирусов?

Прежде всего, необходимо установить на каждый компьютер в сети обновляющийся антивирус. В идеале коммерческий, но если с деньгами туго можно использовать бесплатные антивирусы, вроде Avast, Avira, AVG, Microsoft Security Essentials и т.п. Это, конечно, не такая эффективная защита, как у платного антивируса, но лучше уж так, чем вообще без антивируса.

Важно: Между появлением нового вируса и добавлением его описания в антивирусную базу существует некоторый "зазор", длинной от 3 дней до 2-х недель (иногда дольше). Так вот, в это время ваш компьютер может быть потенциально под угрозой заражения вирусом, даже, с обновляющимся антивирусом. Поэтому переходим к следующему этапу, а именно инструкциям, выполняя которые вы сможете уберечь себя от заражения.

В действительности, подцепить вирус вы можете даже на любимом новостном ресурсе через всякие попандеры или различные тизеры и прочую рекламу на сайте. Чтобы это предотвратить - необходимо, чтобы у вас стоял обновляющийся антивирус. Вы же со своей стороны можете выполнить следующие моменты:

1. Никогда не открывать вложения в письма и не переходить по ссылкам с этих писем, если адресат вам неизвестен. Если адресат вам известен, но письмо имеет ярко выраженный рекламный характер или из разряда - "посмотри эти фотки - ты здесь голый", то, конечно же, ни по каким ссылкам переходить не следует. Единственное, что вы можете сделать полезного в этом случае - это сообщить человеку, что он поймал вирус. Это может быть как электронное письмо, так и сообщение в Skype, ICQ, Mail.ru-агенте и прочих системах.

2. Иногда вам может прийти сообщение от "коллекторского агентства" или из "МосГорСуда" о том, что у вас какие-то неприятности - знайте, так распространяются вирусы-шифрователи, поэтому ни в коем случае не следует переходить по ссылкам и открывать вложения.

3. Обязательно обратите внимание на то, как выглядят сообщения об обнаруженных вирусах антивирусом. Запомните их внешний вид, т.к. нередко при навигации по интернету возникает сообщение, что мол обнаружен вирус, немедленно скачайте с сайта антивирус и проверьтесь. Если вы помните, как выглядит окно сообщений антивируса, то всегда сможете понять - антивирус вас предупреждает или это "обманка". Да, и антивирус никогда не будет требовать скачать с данного сайта какое-то дополнение - это первый признак вируса. Не попадайтесь, а то потом придется вызывать специалиста лечить компьютер от вируса-вымогателя.

4. Вы скачали архив с какой-то программой или ещё чем-то, но при открытии файла требуют отправить смс и получить код - ни в коем случае этого не делайте, как бы ни были убедительны доводы, приведённые в окне. Вы отправите 3 смс, стоимостью по 300 рублей каждая и внутри увидите инструкцию по скачиванию файлов с торрентов.

6. Если вы используете беспроводную сеть Wi-Fi - вам необходимо установить ключ шифрования сети. Если у вас открытая сеть, то все желающие могут к ней подключиться. Опасность состоит не в том, что кто-то, кроме вас, будет пользоваться вашим интернетом, а в том, что он попадает в вашу домашнюю сеть, в которой наверняка используются какие-то общие ресурсы, которые нежелательно выставлять на всеобщее обозрение. О создании сети с использованием технологии Wi-Fi вы так же можете прочитать статью.

Вместо подведения итогов

Теперь мы знаем, что каким бы дорогим и качественным не был наш защитник - маршрутизатор, если не принимать определенных мер, то можно заразить свой компьютер вирусом, а попутно создать угрозу для всей сети. Ну, и, конечно же, нельзя забывать о том, что ключ шифрования вашей беспроводной сети так же является очень важным фактором.

Несмотря на постоянные сообщения о хакерских атаках на отдельные компьютеры, мобильные устройства и целые компании, мы по-прежнему слепо продолжаем верить, что с нами это никогда не произойдёт. Все эти стандартные пароли, вроде «admin-admin» без обязательного требования после первого запуска придумать свою комбинацию, приводят к тому, что вся наша домашняя сеть становится лакомым кусочком для интернет-хулиганов. Как следствие - вирусы, потерянная информация, удалённый доступ к нашим финансам. О том, как хотя бы попробовать защититься от этого с помощью элементарных действий, поговорим далее.

Избегайте роутеров от интернет-провайдера

Речь не о устройствах, что вам предлагают купить или взять в аренду, а о тех роутерах, которые интернет-провайдер обязует вас использовать. Причём все настройки учётной записи и конфигурацию самого устройства настраивает мастер, вы имеете лишь «гостевой» доступ к начинке. Проблема в том, что на такие роутеры невозможно ставить патчи, вы не можете оперативно сменить пароль, а настройки зачастую не предусматривают серьёзную защиту домашней сети. Всё это чревато огромными дырами в безопасности и зависимостью от благосклонности специалиста службы поддержки.

Измените пароль доступа

Казалось бы, банальное правило: купил в магазине роутер, распаковал, вошёл в систему управления, сразу замени пароль доступа на куда более сложный. Но большинство так радуется работающему Wi-Fi, что забывает об этом напрочь. Напомним ещё раз: сразу же после ввода стандартной комбинации, даже ещё не приступая к настройке, сразу замена пароля и перегрузка.

Ограничьте доступ

Когда вы подключите все домашние устройства к одной сети, зафиксируйте IP или MAC -адреса в памяти. Идеально, если прямо в настройках вы пропишете невозможность доступа устройств с другим адресом. Но дабы не оставлять без Wi-Fi своих гостей, можно пойти на небольшие хитрости, зависящие от модели роутера. Например, ограничить время сессии одного свободного слота доступа. Или включить экран дополнительной верификации.

В крайнем случае всегда можно собрать всех своих друзей, зафиксировать адреса их мобильных телефонов и включить их в «белый список». В общем, изучите внимательно инструкцию и подберите идеальный для вас и ваших гостей вариант.

Аккуратно работайте с интерфейсом

Старайтесь не залезать в настройки роутера без особой надобности. Ваш компьютер или телефон могут быть заражены вирусом, так что совсем ни к чему, чтобы последствия этого добрались до всей домашней сети. И даже в моменты редких визитов, не забывайте об элементарных правилах безопасности: короткие сессии и обязательный выход из системы по окончанию.

Измените LAN-IP адрес

Такая возможность далеко не всегда заложена, но, если настройки роутера позволяют сменить его адрес в сети (например, 192.168.0.1) - обязательно воспользуйтесь. Если же такой возможности нет, то хотя бы измените имя вашей Wi-Fi сети на то, где не содержится марка и модель роутера (так, DIR-300NRU - очень плохой вариант).

Создайте надёжный пароль Wi-Fi

Ещё один банальный рецепт защиты домашней сети, которым многие пренебрегают из-за возможных неудобств ввода на устройствах без клавиатуры, например, игровых консолях. Ваш пароль от Wi-Fi должен содержать минимум 12 символов, с цифрами и буквами, разными регистрами и желательно, чтобы это было что-то сложнее, чем «имя-фамилия-год рождения».

Установите надёжный протокол

Если вы ничего не понимаете, что означают эти непонятные буквы в выборе протокола безопасности, то просто выбирайте WPA2 . Такие протоколы WPA и WEP устарели, и их использование от более-менее настырного взломщика уже не защитит.

Отключите WPS

WPS (Wi-Fi Protected Setup) - функция быстрой настройки Wi-Fi подключения, благодаря которой иногда достаточно просто зажать две кнопки на роутере и адаптере. В более сложном варианте придётся ввести написанный на бумажке ПИН-код. Доподлинно известно, что WPS - не самая надёжная вещь на свете, что инструкции по её взлому без проблем можно найти в интернете . Поэтому не искушайте судьбу и просто настройте всё руками через проводное соединение.

Периодически обновляйте прошивку

Патчи и обновления для роутера - абсолютно точно не то, о чём вы думаете, устраиваясь поудобнее с чашкой кофе с утра за компьютером. Даже если на вашем устройстве есть функция автообновления, совсем не лишним будет хотя бы раз в пару месяцев заходить на сайт производителя и проверять актуальность прошивки вашей модели. Зачастую обновления просто не приходят из-за изменения адреса сервера или проблем с доступом, что тем не менее не должно ставить вашу сеть под угрозу.

Не включайте ненужные услуги

Когда вы начинаете копаться в настройках роутера и натыкаетесь на сервисы, назначение которых у вас вызывает сомнение, возможно от них лучше отказаться. Так, например, Telnet , UPnP (Universal Plug and Play), SSH (Secure Shell), и HNAP (Home Network Administration Protocol) представляют серьёзную угрозу безопасности. Во всех остальных случаях лучше потратить немного времени на изучение непонятных аббревиатур, чем просто выставлять галочки без понимания.

На этом с базовыми правилами закончим, в следующий раз — чуть более сложные советы для тех, кому действительно есть что терять в домашней сети.

А на вашу домашнюю сеть когда-нибудь нападали?

Про домашние сети уже было сказано очень много красивых слов, поэтому сразу переходим к делу.

омашняя сеть требует аккуратного и бережного к себе отношения. Она нуждается в защите от самых разных факторов, а именно:

• от хакеров и сетевых напастей, типа вирусов и нерадивых пользователей;
• атмосферных явлений и несовершенства бытовой электросети;
• человеческого фактора, то есть загребущих рук.

Хотя наш журнал и компьютерный, но в этой статье мы в основном будем говорить на некомпьютерные темы. Информационную защиту рассмотрим лишь в общем, без конкретики. А вот некоторые другие аспекты заслуживают внимания, и прежде всего потому, что о них редко вспоминают.

Итак, начнем разговор с известной темы…

Загребущие руки

повать на сознательность людей не стоит - красивое оборудование с мигающими лампочками неминуемо привлекает всех, кто способен его взять. В принципе, чтобы обезопасить домашнюю сеть, можно добиться того, что все оборудование будет размещено в квартирах пользователей, но иногда возникает необходимость использовать чердак или подобное помещение. Обычно там удобно ставить роутеры, хабы, репитеры и т.п. Поставить - это не проблема. Чаще всего администрация ЖЭКов и ДЭЗов идет навстречу и дает разрешение. Главная задача заключается в том, чтобы все это хорошенько спрятать. Поскольку автор тоже является пользователем домашней сети и участвовал в ее создании, поговорим о тех решениях, которые нам показались удобными. В нашем случае оказалось довольно эффективно использовать решетчатый ящик с замком, из которого наружу выходят провода. Использовать цельный ящик с малым числом окон не стоит, поскольку компьютеру там станет жарко, особенно летом. Согласитесь, решение простое и дешевое. Тем, кто скажет, что и ящик можно утащить, отвечу: в квартиру тоже несложно залезть. То же самое касается «тарелок». С хабами последнее время возникла другая проблема: там много лампочек, вот люди и принимают их за взрывные устройства. Остаются провода: их спрятать невозможно. Поэтому риск, что их обрежут, существует. Ведь некоторые и с высоковольток снимают. А вот следующая тема - это уже некоторая претензия на образованность тех, кто прокладывает сеть.

Электрическая безопасность

десь существует несколько аспектов. Первый - стабильная работа устройств, обеспечивающих функционирование сети. Для этого необходимо хорошее электроснабжение наших домов, что, к сожалению, не всегда возможно. Имеют место скачки и перепады напряжения, запросто может случиться авария или появится необходимость на время отключить электричество. Ото всего, конечно, не защитишься, да наверняка и сеть не настолько важна, чтобы перебои в ее работе имели какие-то фатальные последствия для пользователей. Тем не менее существуют приспособления, которые могут сгладить (в прямом и переносном смысле) проблему, - это сетевые фильтры. От отключения они не спасут, а вот от скачков напряжения - вполне. Вы можете несколько улучшить шансы стабильной работы, купив несколько таких фильтров, так как их цена невысока. Следующий этап - UPS, которые, конечно, дороже, но предоставляют новые возможности. Во-первых, можно пережить короткое (конкретный срок зависит от цены) отключение питания. Во-вторых, все та же защита от скачков напряжения. Но не надо забывать, что имеется два принципиально разных вида UPS: BACK и SMART. Первые умеют только поддерживать питание, пока есть запас в батарее. Вторые могут общаться с компьютером и выключить его, чтобы избежать сбоев при неожиданном отключении. Очевидно, что для обеспечения безопасности компьютеров, стоящих на чердаках, вкладывать деньги в BACK UPS бессмысленно. Чтобы эффективно его использовать, нужно сидеть рядом с ним и при необходимости все выключать. Применение SMART UPS встает в копеечку. Здесь надо думать, что для вас дороже: перебои и возможная утрата оборудования из-за резких отключений или сотни полторы долларов за один SMART UPS.

Второй аспект - взаимодействие с обычной электрической сетью. Эта проблема возникает, когда необходимо тянуть сетевые провода в непосредственной близости от силовых кабелей. В некоторых домах этого можно избежать. Там есть хитрые дырки и ходы, куда можно просунуть провода. В нашем доме, например, таких дырок нет, и тянули мы провода по стояку рядом с телефонной линией. Скажу честно - крайне неудобно. Тянули мы витой парой, а просунуть в маленькую дырочку больше пяти проводов, не оборвав телефонной линии, крайне сложно. тем не менее это возможно. В нашем случае оставалось надеяться, что наводок не будет. Можно, конечно, купить экранированную витую пару, но она вам пригодится только в том случае, когда сетевые и силовые провода будут идти вперемешку. Вообще-то, наводки - вещь не частая, так как слишком уж разные частоты передачи сигнала. Что еще связано с силовыми проводами - так это заземление. Вещь безусловно полезная, но в старых домах заземление просто отсутствует. В нашем доме вообще ситуация аномальная: в доме электроплиты, сеть трехфазная, есть рабочий ноль, но нет земли. В принципе, возможно заземление на батарею радиатора, если, конечно, никто, кроме вас, до этого не додумался. Вот в нашем доме уже кто-то что-то заземлил - теперь у меня в квартире напряжение между трубой отопления и земляным контактом около 120 В, что очень не слабо, смею вас уверить.

И третий аспект - воздушки, или междомовые соединения. Речь идет, конечно, о сетевых проводах. Поскольку расстояния обычно немаленькие, использование витой пары затруднительно (ее ограничение - 80 м). Поэтому обычно кидают коаксиальный провод, в котором второй канал является экраном для первого. Правда, на этом экране вообще индуцируется все что угодно. Особенно опасны грозы, когда может накапливаться действительно большой заряд. К чему это приводит, очевидно: заряд попадает в сетевую карточку компьютера, стоящего на чердаке, и с огромной вероятностью гробит ее или даже весь компьютер. Для защиты от этого существуют устройства, называемые протектами, которые устанавливаются на концах проводов. Однако они тоже не совершенны, и через них порой пробивает. Имеется еще так называемый магистральный коаксиал с дополнительным экраном, никак не связанным с данными, но этот провод стоит даже дороже обычной витой пары.

А теперь переходим к основной для сетевиков проблеме - информационной безопасности.

Информационная безопасность

а мой взгляд, это самый интересный вопрос, который, однако, будет подробно освещен в других статьях этого спецвыпуска.

При более-менее приличном количестве пользователей сеть имеет свой почтовый сервер, DNS, очень часто - собственную страничку. Таким образом, провайдеру остается только канал и общая статистика. Тип канала может быть любой - радио или оптоволокно, что не существенно. Существенно построение сети.

Первая проблема - это взаимоотношение пользователей. Пока вы объединяетесь с друзьями в одном доме - это еще ничего. Вы друг друга знаете, и, что называется, люди не случайные. Вы вместе играете по сети, обмениваетесь файлами, выкладываете на свои сетевые диски на всеобщее обозрение интересные программы и т.д. Когда же сеть расширяется, то появляются новые люди, новые интересы. Некоторые откровенно начинают проверять свои хакерские способности. Вы скажете, что это надо пресекать в корне, отключать пожизненно и т.д. и т.п. Все правильно - наказывать надо, но нужно уметь и отражать подобные атаки. Попросту вы должны быть готовы к тому, что кто-то и изнутри может подложить свинью. Иногда это случается не по вине пользователя, точнее, не по прямой его вине (может, у него появился вирус, который портит жизнь соседям), но в любом случае возможность такой ситуации нельзя не учитывать.

Вторая проблема - это руководство, то есть «админы». Хотя сеть и простая, админы должны быть. При этом не стоит думать, что это может быть любой человек, хоть немного понимающий в UNIX. Это серьезная работа, которую нужно выполнять: следить за сетью, быстро реагировать на неисправности. Ну и, конечно, нужно разбираться в администрировании: уметь грамотно наладить шлюз, firewall, организовать статистику, почту и, может быть, что-то еще. Все это должно работать стабильно и быстро. Плюс к тому у руководства сети появляется и финансовая ответственность. Им платят деньги за работу сети. И логично, что люди рассчитывают получить за эти деньги нормальную качественную связь. Ситуация особенно обостряется, когда пользователей становится много. Не все могут с пониманием отнестись к тому, что админов, скажем, три, пользователей 150, а авария вообще у внешнего провайдера.

Третья проблема - это статистика. Организовать ее несложно. Программ, осуществляющих биллинг, то есть работу со счетами, а в нашем случае - учет трафика, довольно много. Установить такую программу, разобраться с ее работой и начать считать каждый байт - дело нехитрое. Нужно только не забывать делать резервные копии. Желательно каждый день. хорошо бы делать такие копии со всех материалов и файлов, являющихся достоянием всей сети, однако особенно важной представляется информация о пользователях и их статистика.

И наконец, непосредственно информация. Во-первых - это шлюз. Надо сконфигурировать на нем firewall так, чтобы сеть была реально безопасной. Для этого нужно пропускать только свои пакеты, проверять, что происходит внутри сети, естественно, следить за попытками вторжения и постоянно обновлять систему. Во-вторых - это почта. Хорошо бы проверять почту на наличие вирусов сразу по ее приходу на почтовый сервер сети. Это может избавить от многих хлопот в дальнейшем. Если пользователи невнимательные и настройки их браузеров позволяют вирусам проникать в компьютер, то такая проверка обезопасит как самих этих пользователей, так и их соседей - если вирус сам распространяется по сети. В-третьих - это возможности пользователей. Нужно разрешать только то, что необходимо. Я имею в виду сетевые порты. Чем меньше их открыто, тем проще следить за происходящим в сети. Если открыты игровые порты или еще какие-либо нерабочие, то разумно делать их доступными только внутри сети.

С этой проблемой тесно связана проблема создания пользователями собственных ресурсов, например Web-серверов. Кажется логичным, что пользователь может поднять свой сервер на собственном компьютере. Однако тем самым создаются новые возможности для неугомонных хакеров. Нужно ли вам это? Может быть. Но в этом случае вы как администратор должны либо следить за компьютером этого пользователя, либо доверять опыту поднявшего свой сервер абонента.

Вот, пожалуй, и все, к чему хотелось привлечь ваше внимание. Нужно подчеркнуть еще раз, что сеть, в том числе и домашняя, - это не только компьютеры, порты и хакеры. Это еще, банальные сложности в отношениях с людьми, проблема сохранности оборудования, физическая и электрическая безопасность. Многие об этом не задумываются, так как просто привыкли видеть уже готовую инфраструктуру в офисе или где-либо еще, хотя уже при создании домашней сети начинают возникать вопросы. То, о чем здесь рассказано, частично имело место и при создании сети в нашем районе. Поэтому многие вопросы хорошо знакомы автору. Возможно, это попытка предостеречь других от ошибок, которые мы сами допустили или которых нам удалось избежать благодаря «старшим товарищам», уже имевшим определенный опыт.

КомпьютерПресс 3"2002