Сетевые экраны (firewall, брандмауэры) – это программное средство, осуществляющее контроль проходящих через него сетевых пакетов в соответствии с заданными правилами.

Сетевые экраны бывают аппаратные и программные, хотя это деление условно – аппаратный брандмауэр, входящий в состав маршрутизатора (см. главу 6 «Настройка локальной сети с доступом к Интернету»), разумеется, реализован тоже программными средствами. Говорят, что аппаратные брандмауэры предпочтительнее, хотя я этого не замечал – они сложнее в настройке, снижают скорость доступа и менее функциональны, и единственное, на мой взгляд, их преимущество – они защищают сразу всю локальную сеть. Программные экраны, устанавливаемые на локальном компьютере, называют еще персональными сетевыми экранами.

По сути, сетевой экран – очень простая программа, и вся ее функциональность сводится к выполнению фильтрации трафика с отсеиванием пакетов, поступающих из несанкционированного источника. Правила фильтрации устанавливает пользователь, потому любой брандмауэр приходится сначала обучать. Отличия разных брандмауэров заключаются, в основном, в удобстве процесса обучения и ряде предустановленных правил. Кроме того, все современные сетевые экраны (включая и брандмауэр Windows в версиях Vista и 7) могут фильтровать не только входящий, но и исходящий трафик, выборочно запрещая локальным программам доступ в Сеть. Правда, в брандмауэре Windows эта функция организована довольно неудобно – она максимально скрыта от пользователя, что, в общем, не в традиции Windows, имеющей привычку оповещать окружающий мир о любых своих телодвижениях, даже если это никому не нужно. И брандмауэр Windows будет вопить во весь голос о том, что «безопасность компьютера под угрозой», если вы в нем попытаетесь что-то отключить, но никогда не сообщит, что же он предпринимает для устранения этих самых угроз безопасности.

Потому я верю, что с момента создания брандмауэра Windows (впервые он был введен в Windows XP Service Pack 2, и в том виде был еще практически бесполезен) он значительно усовершенствовался, но сам предпочитаю сетевые экраны, которые в явном порядке сообщают пользователю, что вот такая программа стремится в сеть, и предлагают выбор – запретить, разрешить на этот раз или разрешить постоянно. Так удается пресечь попытки связаться с сервером большинства установочных программ (см. разд. 10.5 «Квопросу об автоматических обновлениях»).

Брандмауэр Outpost Firewall, которым я пользуюсь много лет (и рекомендую его при выборе из платных сетевых экранов), в последних версиях расширил свою функциональность почти до предела – он контролирует практически всю активность незнакомых программ: попытки записи в реестр, вызов других приложений (включая даже Explorer), изменения в выполняемых файлах и пр. Это создает неудобства, например, при установке новой программы, но я склонен эти неудобства терпеть, взамен приобретая уверенность в том, что программа не сделает ничего помимо моего желания.

В отличие от антивирусов, почти вся функциональность которых основана на полученной экспериментально базе вирусов, нет особых препятствий к тому, чтобы использовать бесплатный сетевой экран. К числу наиболее известных относятся Comodo Firewall, PC Tools Firewall, ZoneAlarm Free, не особо рекламируемый изготовителем Outpost Firewall Free (free.agnitum.com) и др. Разница с платной версией обычно заключается в функциональности и неких передовых технологиях, которые, разумеется, приберегаются для платной версии. Но подобрать бесплатный брандмауэр по вкусу все-таки можно, и в отличие от антивирусов, вы практически ничего при этом не потеряете.

15.2.1. Объединенные продукты типа Suite

Общая тенденция состоит сейчас в том, чтобы соединить функциональность сетевого экрана и антивируса «в одном флаконе». Так поступают практически все антивирусные бренды, хотя не всегда рекламируют это в явном виде (например, в Kaspersky Internet Security вы упоминания о брандмауэре или сетевом экране не найдете, хотя функциональность у этого продукта включает и их возможности). И бесплатные продукты (например, все тот же Outpost) тоже часто предлагаются в виде неких «сюит» (suite), из которых, правда, обычно можно извлечь нужный компонент при установке. Беда тут в том, что производители сетевых экранов обычно плохо разбираются в антивирусах, и наоборот, а для антивирусов, как мы говорили, как раз очень важны детали, дающие лишние проценты эффективности. Потому мне еще не удалось ни разу обнаружить «сюиту», в которой оба главных компонента были бы одинаково эффективны и удобны в пользовании. Например, при всем моем уважении к компании Outpost, сетевой экран которой я всячески рекомендую, предлагаемый ею антивирус оказался абсолютно беспомощным в деле обнаружения вредоносных программ на заведомо зараженном компьютере.

При выборе следует учесть, что все подобные продукты исключают совместное использование – нельзя иметь на одном компьютере одновременно два сетевых экрана или два антивируса. А поскольку функциональность антивирусов и сетевых экранов часто пересекается (см. на рис. 15.3 наличие в Outpost Firewall Pro модуля Антишпион), то часто нельзя и устанавливать по отдельности сетевой экран и антивирус (для Outpost Firewall и Outpost Antivirus такое совмещение запрещено явно, тем более это касается продуктов других компаний). Исключение составляет разве что брандмауэр Windows, который совместим с большинством других продуктов подобного рода (или они его отключают автоматически). Но в общем случае при желании иметь и то, и другое приходится выбирать именно совмещенный продукт, и стоит тогда уж склоняться в сторону традиционных антивирусных брендов – сетевой экран, как мы говорили, в реализации проще.

Рис. 15.3. Сетевой экран Outpost Firewall Pro

Как правило, функциональности достаточно «продвинутого» сетевого экрана хватает для того, чтобы предотвратить большую часть попыток проникновения на компьютер вредоносного кода (обнаружив сетевой экран без явных «дырок», хакеры просто уйдут туда, где попроще) и своевременно сигнализировать об активности тех вирусов, которые все-таки сумеют просочиться. «Лечить» зараженные файлы, разумеется, сетевые экраны не будут, но на этот случай есть одноразовые антивирусные средства, о которых говорилось в предыдущем разделе.

15.2.2. Настройки Outpost Firewall Pro

Типовые настройки сетевого экрана мы разберем на примере Outpost Firewall Pro версии 7. Учтите, что в других программах названия и функциональность соответствующих позиций могут отличаться, но рассмотреть все продукты мы не в состоянии, а общее представление можно получить и на этом одном примере.

При установке Outpost Firewall Pro вас попросят выбрать необходимый уровень безопасности: Повышенная безопасность (Advanced) или Обычный уровень (Normal). Как пишут сами разработчики, в последнем случае уменьшится число запросов программы, требующих реакции пользователя, потому стоит выбрать именно его. В процессе дальнейшей установки можно оставить все, как по умолчанию (единственное, на что стоит обратить внимание, – подтвердить или отказаться от участия в сообществе вокруг Outpost под названием ImproveNet). А вот по окончании ее стоит кое-что подправить в настройках.

Если вас окончательно достали постоянные сообщения Outpost Firewall, то часть из них можно отключить через раздел настроек, показанный на рис. 15.4. Правда, при этом вы перестанете полностью контролировать деятельность программы, что, на мой взгляд, неприемлемо – если этого вам не надо, то можно выбрать какой-нибудь сетевой экран и попроще.

Рис. 15.4. Настройки оповещений Outpost Firewall Pro

От настройки базовых параметров компонента Антишпион зависит режим проверки файлов на предмет наличия вредоносных модулей. В этих настройках, в частности, находится установка режима проверки съемных дисков при подключении – если она активирована, то при каждом подключении флэшки программа будет предлагать ее проверить. Если у вас относительно слабый компьютер, то в пункте Постоянная защита стоит установить уровень Облегченный, когда файлы будут проверяться только при их запуске. Более строгий контроль предпочтительнее, но если у вас включено отображение скрытых и системных файлов, то вы будете находить в папках непонятные «лишние» файлы с именами типа Op_cache.idx. Они ничему не мешают и в обычном режиме просто не видны, но могут раздражать своим постоянным присутствием и необходимостью отдельного подтверждения при удалении папки, т. к. являются системными.

Необходимость в настройках может возникнуть еще в ряде случаев – один из них описан в разд. 6.2 «Доступ к локальной сети в Windows». Для некоторых сетевых сервисов придется, возможно, покопаться в настройках веб-контроля (Настройки | Веб-контроль | Настройка). Так, для доступа к управлению разделом в библиотеке Мошкова (Lib.ru) мне пришлось разрешить referrers (это параметр протокола HTTP, отвечающий за проверку, откуда происходит обращение).

Когда вы в вопросах, которые задает Outpost при обнаружении сомнительной активности какого-либо приложения, делаете определенный выбор, то этот выбор фиксируется в списке, доступном через Настройки | Правила для приложений. Здесь можно изменить выбор, но проще всего, если вы ошиблись, просто удалить приложение из списка и при следующем появлении окна с вопросом задать новый режим.

15.3. Хранение паролей

Наиболее надежный способ хранения паролей к интернет-ресурсам – напечатанными на бумажке, только, разумеется, не приклеенной к монитору, а где-нибудь в недоступном для посторонних месте. Однако это и неудобно, и ненадежно (вдруг потеряете) и быстро надоедает их все время вводить вручную. Для домашнего компьютера пароли можно просто запоминать автоматически (любой браузер умеет это делать, причем Firefox даже позволяет их прочесть в открытом виде, хотя и хранит зашифрованными), но это не годится уже в тех случаях, когда кто-то посторонний имеет к нему доступ. В текстовом файле (включая форматы Microsoft Office), пароли хранить решительно не рекомендуется – первая попавшаяся программа-шпион их оттуда незаметно прочтет и отправит куда надо.

Вместе с тем, устанавливать запоминающиеся пароли (дату рождения, фамилию, номер телефона или что-то еще в этом роде) категорически не рекомендуется. А запоминать случайные последовательности символов, да еще и чувствительные к регистру букв, – не знаю, как вы, а я лично не способен. Потому постепенно пользователь скатывается к тому, чтобы применять для всех ресурсов один и тот же пароль, а это немногим лучше, чем хранить их в текстовых файлах. Как же объединить удобство копирования паролей через буфер обмена из текстового файла и в то же время уберечь их от шпионских программ?

Для серьезной работы с паролями есть специальные программы хранения паролей в зашифрованном виде. При их использовании придется запомнить всего один пароль на все случаи – доступа к самой программе. Одну из таких очень надежных (потому что разрабатывалась она крупными специалистами своего дела) и, в то же время, бесплатных программ под названием Password Safe я разместил на прилагаемом к книге диске в папке Password. Это программа из категории Open Source, распространяется она по лицензии Artistic License, и вы ее можете свободно распространять и даже, при желании – торговать ею, не можете только ее изменять. Последние версии программы вы можете найти на ее официальном сайте passwordsafe.sourceforge.net, но вся функциональность ее была реализована давно и с тех пор почти не менялась.

В последних версиях программы Password Safe при установке предлагается в числе прочих и русский язык интерфейса. Есть и русскоязычная справка, которую я также разместил на диске (файл pwsaferu.chm), кроме того, краткое русское описание программы доступно в Интернете по адресу: passwordsafe.sourceforge.net/ru_ index.html. Копию этой странички я также разместил на диске в указанной папке (файл PasswordSafe.htm). Перед установкой стоит ознакомиться с этими документами.

Для установки программы просто запустите файл pwsafe-3.25.exe из Проводника и следуйте указаниям. Из двух предлагаемых вариантов установки (Обычная и Портативная) следует предпочесть второй вариант, даже если вы устанавливаете систему на жесткий диск, а не на флэш-карту, – при портативной установке программу вместе с хранимыми паролями легче переносить с компьютера на компьютер, просто копируя всю папку Password Safe, которая создается по умолчанию на обычном месте – внутри папки Program Files. Можно спокойно устанавливать новую версию поверх старой, находившейся в той же папке, – предыдущая база паролей, если она существовала, будет обнаружена новой версией и останется в целости и сохранности.

При запуске программа Password Safe предлагает ввести пароль для текущей базы данных, которую она называет контейнером. Если при первом запуске программы такой базы еще нет, поле Открыть контейнер окажется пустым, и базу следует создать, нажав кнопку Новый контейнер. Если у вас уже стояла более ранняя версия программы, вам предложат ввести пароль для существующей базы (рис. 15.5).

Рис. 15.5. Программа Password Safe после запуска

Основная идея программы Password Safe (рис. 15.6) весьма проста – пары логин-пароль, которые вы добавляете, располагаются в виде таблицы, похожей на дерево каталогов, причем при щелчке правой кнопкой на определенной записи можно без лишних усилий скопировать в буфер обмена имя пользователя (пункт Копировать имя пользователя в буфер обмена), а затем и пароль (пункт Копировать пароль в буфер обмена). Буфер обмена автоматически очищается, когда вы закрываете программу. Управлять программой, как видно на рис. 15.6, можно полностью из контекстного меню. Кроме всего прочего, программа Password Safe – эффективный генератор истинно случайных паролей.

Рис. 15.6. Меню программы Password Safe