Среди программного обеспечения интернет-браузеры по используемости без преувеличений стоят на следующей ступени после операционных систем. Поэтому представляется важным рассмотреть нынешнее состояние безопасности этих популярных программ.
Согласно результатам исследований компании Net Applications браузер Microsoft Internet Explorer, оставаясь самым востребованным, постепенно сдает свои рыночные позиции. Так, по состоянию на конец августа 2009 г. с ним работало чуть меньше 67% всех опрошенных пользователей, в то время как в июле 2009-го их было 67,7%, а в августе 2008-го — 75,1%.
Второе место вслед за Internet Explorer занимает набирающий популярность Firefox: 22,5% пользователей в июле и 23% в августе. Доля расположившегося на третьем месте Apple Safari составляет 4,1% — она за два летних месяца не изменилась. Зато количество пользователей Google Chrome за это же время немного увеличилось — с 2,6% в июле до 2,8% в августе. Доля Opera на протяжении нескольких месяцев остается на уровне 2%.
Настройка безопасности для браузеров
Чтобы корректно оценивать риски, связанные с использованием наиболее распространенных интернет-браузеров, эксперты разделяют уязвимости браузеров как самостоятельных приложений и уязвимости их внешних вспомогательных компонентов — плагинов.
Отношение экспертов к безопасности собственно браузеров нельзя назвать единодушным. Так, согласно результатам испытаний, завершенных в августе компанией NSS Labs (в которых главными показателями были оперативность реагирования браузеров на различные угрозы, а также время, затраченное на их устранение), первое место по эффективности защиты от вредоносных программ и фишинга в Интернете занял Internet Explorer 8, оттеснив Firefox 3, Google Chrome 2, Safari 4 и Opera 10.
Веб-браузер — один из основных инструментов доставки вредоносных программ на компьютеры пользователей
Вместе с тем, стремясь улучшить свое положение, как отмечает Николай Романов, технический консультант Trend Micro в России и СНГ, разработчики Opera и Firefox сейчас активнее конкурентов “латают дыры” в своих продуктах. Сотрудник исследовательской компании Purewire Пол Роял тоже обращает внимание на оперативность в обновлениях Opera, что в совокупности с “непопулярностью” этого браузера среди хакеров дополнительно повышает его текущую безопасность. Пол Роял считает, что хакеры не особенно стараются разрабатывать для Opera эксплойты, полагая, что двух процентов пользователей, работающих с этим браузером, сегодня для прибыльного хакинга недостаточно. “Злоумышленники используют уязвимости, благодаря которым можно установить вредоносное ПО на максимально возможное количество компьютеров”, — соглашается с его мнением руководитель центра глобальных исследований и анализа угроз “Лаборатории Касперского” Александр Гостев, тем не менее считающий по итогам последних шести месяцев самым защищенным из наиболее распространенных браузер Google Chrome.
Со своей стороны технический консультант McAfee в России и СНГ Алексей Чередниченко отмечает, что только в браузере Firefox в полной мере реализованы механизмы защиты от переполнения буфера, предотвращающие связанные с этим популярные кибер-атаки.
ПОЛЕЗНЫЕ расширения для БРАУЗЕРОВ, ОБЛЕГЧАЮЩИЕ ЖИЗНЬ
По-разному относясь к защищенности самых популярных браузеров, эксперты единодушны в очень высокой уязвимости разрабатываемых для браузеров плагинов, в первую очередь предоставляемых компанией Adоbe. Опасность связанных с ними рисков усугубляются их высокой популярностью среди пользователей.
Оценивая общие показатели безопасности лидирующих на рынке браузеров, аналитик из компании “Доктор Веб” Валерий Ледовской отмечает, что количество уязвимостей, обнаруживаемых в таких популярных браузерах, как Internet Explorer, Opera, Mozilla Firefox, за последние полгода исчисляется десятками. Обращает на себя внимание то, что наряду с этим вирусописатели активизировались в использовании уязвимостей “нулевого дня”, т. е. уязвимостей, которые кибер-преступники успевают использовать в то короткое время, пока вендор не успел выпустить “заплатку”.
О неутешительном состоянии безопасности веб-браузеров свидетельствует и тот факт, что на соревнованиях по взлому браузеров, которые в марте проходили в США, занявшему первое место Чарли Миллеру, исследователю в области безопасности, понадобилось всего несколько минут, чтобы взломать последние версии Safari, Firefox и Internet Explorer.
Учитывая уровень безопасности браузеров в целом, эксперты полагают, что сегодня интернет-пользователям невозможно обойтись без специальных средств защиты, в первую очередь без современных антивирусов на рабочих местах, представляющих собой целые комплексы средств информационной безопасности — персональный межсетевой экран, защиту от спама, фишинга, шпионского ПО, репутационные технологии и т. п., а не только защиту от вирусов как таковых.
Как ни странно, в качестве одной из наиболее распространенных причин высоких ИБ-рисков, связанных с работой в Интернете, ИБ-аналитики по-прежнему регистрируют несвоевременную установку обновлений и патчей как на собственно браузеры, так и на остальное ПО, включая антивирусы, операционные системы, те же плагины и другие прикладные программы.
Чтобы повысить уровень безопасности, Александр Гостев рекомендует пользователям ОС Windows применять систему Date Execution Prevention (DEP, защита от исполнения кода, находящегося в области данных), доступную начиная с Windows XP Service Pack 2. “Активация этой опции для всех программ (а не только для сервисов ОС, как установлено по умолчанию), защитит от большей части известных и даже неизвестных на данный момент уязвимостей”, — считает он, уточняя, что некоторые программы в режиме DEP могут работать некорректно и поэтому, возможно, их придется внести в список исключений DEP. Опытным пользователям он рекомендует также установить программу DropMyRights, (которую можно скачать с сайта Microsoft) и запускать браузер через нее. ИБ-администраторам кроме перечисленного выше Александр Гостев советует контролировать доступными корпоративными средствами все данные, получаемые из Интернета, до того, как они поступают к пользователям.
Валерий Ледовской напоминает, что хорошим способом повышения безопасности браузинга является благоразумие, которое не будет лишним при желании посетить подозрительный сайт или закачать неизвестный файл и которого российским пользователям сегодня явно недостает. Так, согласно данным исследований компании Entensys, 46% пользователей Рунета в течение рабочего дня посещают сайты, никак не связанные с их должностными обязанностями, при этом около 7% из них обращаются к игровым и видеоресурсам, использование которых помимо дополнительных ИБ-угроз увеличивает для компании расходы на трафик, а также чревато перегрузкой канала подключения к провайдеру и снижением производительности корпоративной сети.
Интернет-пользователям сегодня невозможно обойтись без специальных средств защиты, в первую очередь без современных антивирусов
Браузер, по мнению Валерия Ледовского, является одним из основных инструментов доставки вредоносных программ на компьютеры пользователей. В ближайший год, как он считает, вряд ли стоит от производителей браузеров ожидать реализации новых компонентов защиты пользователей от вредоносных веб-ресурсов, скорее всего будут дорабатываться уже существующие механизмы и методы защиты. Происходить это, по общему мнению экспертов, будет на фоне роста количества обнаруживаемых уязвимостей. Что касается самих пользователей, то ИБ-специалисты советуют им становиться более осведомленными в области ИБ, чтобы реже допускать действия, которые могут привести к заражению вредоносным ПО информационных систем, как корпоративных, так и домашних.
Источник: www.itweek.ru
Руководство по безопасности браузеров
Я решился взяться за перевод проекта Михаила Залевски (Michal Zalewski) « Browser Security Handbook », в котором описаны подходы к обеспечению безопасности в браузерах. Материал будет полезен всем, кто интересуется веб-безопасностью.
Данная тема для меня нова, поэтому с переводом могут быть косяки. Текст перевожу не слово в слово, основные моменты стараюсь изложить в более понятной для российского восприятия форме. Привожу дополнительные ссылки, чтобы материал могли освоить такие же, как я, т.е. пользователи с минимальными знаниями в данной сфере. Также прошу у читателей помощи в переводе; готов выслушать любую критику по тексту.
Руководство по безопасности браузеров
(Browser Security Handbook)
Глава 1
Веб-браузер. Основные понятия
В этом разделе дается обзор основных стандартов и технологий, используемых в современных браузерах и их защитных свойств.
1. Унифицированный указатель ресурса ( URL )
Все веб-ресурсы адресуются с использованием унифицированного указателя ресурса. Возможность должным образом анализировать форму и содержащихся в ней допустимых данных является для многих серверных механизмов безопасности важным критерием.
Дополнительные механизмы описаны в RFC1738 , который определяет синтаксис URI в рамках HTTP, FTP, NNTP, Gopher и других протоколах передачи данных. Вместе с тем, в RFC представлена следующая традиционная форма записи интернет-ресурсов :
схема — схема обращения к ресурсу (в большинстве случаев имеется в виду сетевой протокол);
логин — имя пользователя, используемое для доступа к ресурсу;
пароль — пароль указанного пользователя;
хост — полностью прописанное доменное имя хоста в системе DNS или IP-адрес хоста в форме четырёх групп десятичных чисел, разделённых точками;
порт — порт хоста для подключения;
URL-путь — уточняющая информация о месте нахождения ресурса;
параметры — строка запроса с передаваемыми на сервер (методом GET) параметрами. Разделитель параметров — знак «параметр_2=значение_2параметр_2=значение_2 функции для символов [, ], !, $, ‘, (, ), *, ;, или ,явно нигде не определены, но они иногда используются как инструмент для скрытной передачи параметров в структуру web-приложений.
Сам RFC иногда подразумевает, что символы без конкретных функций в схеме должны быть обработаны как обычные символы ASCII, в ином случае предлагается, чтобы они сохранили особое значение – возникает двусмысленность.
Удобной формой записи IP-адреса ( IPv4 ) является запись в виде четырёх десятичных чисел со значением от 0 до 255, разделённых точками. Стандарты, определяющие общий синтаксис URL, позволяют использовать альтернативный способ записи IP-адреса с использованием нескольких систем счисления (возможно, даже одновременно), например, IP-адрес 213.180.204.3 может быть записан как 0325.0264.0314.03 (восьмеричная запись), 0xd5.0xb4.0xcc.0x3 (шестнадцатеричная запись)[3], 213.0264.0xcc.3 (смешанная: десятичная, восьмеричная и шестнадцатеричная формы записи). Кроме того, браузеры могут принять Url-адрес с технически недопустимыми символами, а затем, попытаться его проигнорировать или передать в первозданной форме, например, DNS-клиенту, который либо отвергнет, либо пропустит такой запрос характерным для операционной системы образом.
Особенно интересный пример URL-анализа несовместимости адреса:
Перейдя в браузере Firefox по ссылке, мы попадем на страницу «Яндекса», хотя ожидали открыть страницу « Google ».
Источник: www.securitylab.ru
15 правил для безопасной работы в интернете
Большая часть нашей повседневной жизни так или иначе связана с интернетом. Проведенный в 2021 году опрос показал, что у средней семьи в США имеется 25 устройств, подключенных к интернету, в то время как в 2019 году таких устройств было всего 11. С ростом количества онлайн-аккаунтов и подключенных к интернету устройств растут возможности злоумышленников, поэтому так важно знать правила безопасности в интернете – они помогут защититься от угроз и опасностей для данных и устройств. В этой статье описаны основные опасности в интернете и о том, как их избежать.
Основные опасности в интернете
Пользователи интернета подвергаются целому ряду потенциальных угроз. Ландшафт угроз постоянно меняется, а киберпреступники изобретают новые способы атак на интернет-пользователей. Вот лишь основной список опасностей при использовании интернета:
- Кража идентификационных данных
- Утечки данных
- Вредоносные программы и вирусы
- Фишинговые и мошеннические электронные письма
- Поддельные сайты
- Интернет-мошенничество
- Мошенничество на сайтах и в приложениях для знакомств
- Неприемлемый контент
- Кибербуллинг
- Неверные настройки конфиденциальности
Основные рекомендации по безопасности в интернете
Чтобы избежать перечисленных опасностей, важно знать и соблюдать основные правила работы в интернете .
№1. Убедитесь, что ваше интернет-соединение защищено
При использовании общедоступного Wi-Fi для выхода в сеть в общественном месте у вас отсутствует контроль над его безопасностью. Использование общедоступного Wi-Fi не всегда безопасно, однако может оказаться неизбежным, если вы находитесь вне дома. Если вы используете общедоступный Wi-Fi, избегайте выполнения таких операций как онлайн-банкинг и онлайн-покупки.
Если эти операции необходимы, используйте виртуальную частную сеть (VPN). VPN обеспечивает безопасность данных, передаваемых по незащищенной сети. Если вы не используете VPN, воздержитесь от совершения личных транзакций до момента, когда появится возможность надежного подключения к интернету.
№2. Используйте надежные пароли
Пароли – одно из самых слабых мест в системе кибербезопасности. Пользователи часто создают пароли, которые легко запомнить а, следовательно, злоумышленникам не составит труда их подобрать. Кроме того, опасно использовать один и тот же пароль для нескольких сайтов, поскольку, получив учетные данные с одного сайта, злоумышленники могут получить доступ к другим сайтам, на которых используются эти же учетные данные.
Выбирайте надежные пароли, подбор которых вызовет сложности у киберпреступников. Надежный пароль обладает следующими свойствами:
- Длинный: минимум 12 символов, в идеале, даже больше.
- Содержит заглавные и строчные буквы, а также специальные символы и цифры.
- Не очевидный: в пароле не используются комбинации последовательных цифр (1234) и личная информация, которую может угадать тот, кто вас знает, например, дата рождения или имя домашнего животного.
- Не содержит запоминающихся сочетаний клавиш.
В этом случае может оказаться полезным использование менеджера паролей. Менеджеры паролей помогают создавать надежные пароли, хранить их в цифровом хранилище, защищенном единым мастер-паролем, и получать их при входе в учетные записи.
№3. По возможности включите многофакторную аутентификацию
Многофакторная аутентификация – это способ проверки подлинности, при котором для доступа к учетной записи используются два или более метода проверки. Например, вместо простого запроса имени пользователя или пароля, при многофакторной аутентификации запрашивается дополнительная информация:
- Дополнительный одноразовый пароль, который серверы аутентификации веб-сайта отправляют на телефон или электронную почту.
- Ответы на личные вопросы безопасности.
- Отпечаток пальца или другая биометрическая информация, например, голосовые данные или распознавание лица.
Многофакторная аутентификация снижает вероятность кибератаки. Чтобы защитить онлайн-аккаунты, рекомендуется по возможности использовать многофакторную аутентификацию. Для обеспечения безопасности в интернете можно также применять сторонние приложения проверки подлинности, такие как Google Authenticator и Authy.
№4. Поддерживайте программное обеспечение и операционные системы в актуальном состоянии
Поддерживайте актуальное состояние всех используемых операционных систем и приложений. Разработчики постоянно работают над безопасностью продуктов, отслеживая последние угрозы и выпуская исправления безопасности в случае обнаружения уязвимостей. Использование последних версий операционных систем и приложений позволяет применять последние исправления безопасности. Это особенно важно для приложений, содержащих платежные данные, информацию о состоянии здоровья и прочую конфиденциальную информацию.
№5. Убедитесь, что веб-сайты выглядят и работают надежно
Надежность – важный атрибут всех посещаемых веб-сайтов, особенно тех, на которых осуществляются транзакции, таких как сайты электронной коммерции. Следует обратить внимание, имеется ли у сайта актуальный сертификат безопасности. Убедитесь, что веб-адрес сайта начинается с HTTPS, а не с HTTP (S означает «безопасный»), и что в адресной строке отображается значок замка. Другие признаки надежности сайта включают:
- Грамматически правильный текст без орфографических и пунктуационных ошибок. Авторитетные бренды прикладывают значительные усилия для обеспечения надлежащего качества своих веб-сайтов.
- Качественные изображения, соответствующие ширине экрана.
- Объявления, органично вписанные в структуру сайта и не перегружающие его.
№6. Оцените и ознакомьтесь с параметрами и политиками конфиденциальности
Маркетологи, как и злоумышленники, хотят знать о вас все. Они могут получить эту информацию из истории поисковых запросов и социальных сетей. Но вы можете контролировать доступную им информацию. В веб-браузерах и мобильных операционных системах предусмотрены параметры для обеспечения конфиденциальности в интернете.
На сайтах социальных сетей, таких как Facebook, Twitter, Instagram, LinkedIn и прочих, предусмотрены параметры для повышения конфиденциальности. Потратив некоторое время на детальное изучение параметров конфиденциальности, установите их на комфортном для вас уровне.
Многие из нас принимают политики конфиденциальности, не читая. Однако огромное количество данных обрабатывается в маркетинговых и рекламных целях, поэтому рекомендуется ознакомиться с политиками конфиденциальности используемых веб-сайтов и приложений и понять, как собираются и используются данные. Но даже если вы установили частные параметры конфиденциальности, не следует забывать, что ничего в интернете не является полностью конфиденциальным. Злоумышленники, администраторы веб-сайтов и правоохранительные органы могут иметь доступ к информации, которую вы считаете частной.
№7. Следите, по каким ссылкам вы переходите
Один неосторожный переход по ссылке – и ваши личные данные попали к злоумышленникам или устройство заразилось вредоносной программой. Поэтому важно внимательно переходить по ссылкам и избегать определенных типов контента: ссылок из ненадежных источников, спам-сообщений, онлайн-викторин, кликбейтных заголовков, «бесплатных» предложений и нежелательной рекламы.
При получении электронного письма, в подлинности которого вы сомневаетесь, не переходите по содержащимся в нем ссылкам и не открывайте вложения.
Рекомендуется вообще не открывать такие сообщения. Если вы не уверены в подлинности электронного письма, обратитесь непосредственно к отправителю. Например, позвоните в банк и спросите, является ли полученное сообщение подлинным.
При просмотре сайта, убедитесь, что переход по ссылкам осуществляется на страницы со связанным или ожидаемым содержимым. Например, если вы переходите по ссылке, которая, как вам кажется, ведет на описание сафари в Африке, но вместо этого попадете на кликбейтную страницу о том, как похудели знаменитости или на статью с заголовком «Где они сейчас?», немедленно покиньте эту страницу.
№8. Обеспечьте защиту устройств
По данным одного из отчетов, почти треть пользователей смартфонов не использует пароли, блокировку экрана и другие функции безопасности для защиты телефонов. Рекомендуется использовать пароли, секретные коды и другие средства безопасности, такие как считывание отпечатков пальцев или технологию распознавания лица на всех устройствах: телефонах, компьютерах, планшетах, умных часах, умных телевизорах и других устройствах.
№9. Регулярно выполняйте резервное копирование
Следует иметь резервные копии важной личной информации на внешних жестких дисках и регулярно создавать новые резервные копии. Программы-вымогатели – это тип вредоносных программ, блокирующих компьютер и не позволяющих получить доступ к важным файлам. Резервное копирование данных помогает минимизировать негативные последствия атак программ-вымогателей.
№10. Удаляйте неиспользуемые учетные записи
У многих есть устаревшие неиспользуемые учетные записи. Их наличие может стать источником уязвимостей при использовании интернета. Старые учетные записи с большей вероятностью имеют более слабые пароли, а сайты, на которых они использовались, могут иметь ненадежную политику защиты данных. Кроме того, по данным в старых профилях социальных сетей киберпреступники могут собрать о вас различные данные, например, дату рождения и местонахождение, и составить базовое представление.
№11. Будьте осторожны с загружаемыми из интернета объектами
Основная цель киберпреступников – обманным путем заставить пользователя загрузить вредоносные программы. Вредоносные программы могут быть замаскированы под различные приложения, от популярных игр до приложений для проверки трафика или погоды, или скрыты на подготовленных злоумышленниками веб-сайтах, с которых предпринимается попытка установить вредоносные программы на устройство.
Вредоносные программы наносят ущерб: нарушают работу устройства, крадут личные данные, предоставляют несанкционированный доступ к компьютеру. Обычно для загрузки вредоносных программ требуется ряд действия со стороны пользователя, но встречается также заражение путем скрытой загрузки, когда веб-сайт пытается установить вредоносные программы на компьютер, не спрашивая предварительного разрешения. Будьте осторожны при загрузке объектов на устройство, загружайте контент только из надежных или официальных источников.
№12. Будьте осторожны с информацией, публикуемой в интернете
В интернете нет возможности удаления опубликованной информации. Все опубликованные комментарии и изображения могут навсегда остаться в сети, поскольку при удалении оригинала не происходит удаление копий, которые могли сделать другие пользователи. После публикации комментария уже нет возможности «взять свои слова обратно», также невозможно удалить опубликованное компрометирующее изображение. Если вы не хотели бы, чтобы вашу публикацию увидели родители или потенциальный работодатель, не стоит публиковать этот материал.
Так же будьте осторожны, публикуя личную информацию в интернете: не указывайте адрес и дату рождения в биографических данных социальных сетей. В реальной жизни вы бы не сообщали личные данные незнакомцам, аналогично не следует публиковать их в интернете и делать доступными миллионам пользователей.
Соблюдайте осторожность при предоставлении адреса электронной почты. Полезно иметь дополнительную временную учетную запись электронной почты, используемую исключительно для регистрации и подписки. Она должна отличаться от рабочей и от используемой для переписки с друзьями и близкими.
№13: Будьте осторожны при знакомствах в интернете
Ваши интернет-знакомые не всегда являются теми, за кого себя выдают. Они могут даже не являться реальными людьми. Используя поддельные профили в социальных сетях, злоумышленники охотятся за неосторожными пользователями с целью кражи их средств. К социальной жизни в интернете стоит относиться с такой же осторожностью, как и к социальной жизни в реальном мире. Это особенно важно в связи с возросшим в последние годы количеством случаев мошенничества в сфере онлайн-знакомств.
№14. Перепроверяйте найденную в интернете информацию
К сожалению, в интернете присутствует большое количество поддельных новостей и ложных сведений. В потоке получаемой ежедневно информации легко потеряться. Если вы сомневаетесь в достоверности прочитанной информации, проведите собственное исследование и установите реальные факты. На надежных веб-сайтах, как правило, приводятся ссылки на первоисточники, а на подозрительных страницах вообще не приведено никаких ссылок. Вы можете ознакомиться с рекомендациями по выявлению фейковых новостей.
№ 15. Используйте надежное антивирусное решение и регулярно обновляйте его
Помимо соблюдения рекомендаций по обеспечению безопасности в интернете, важно использовать надежное антивирусное решение. Программное обеспечение для безопасности в интернете защищает устройства и данные и блокирует не только распространенные угрозы, такие как вирусы и вредоносные программы, но и комплексные атаки с использованием приложений-шпионов, шифровальщиков и межсайтового скриптинга. Аналогично операционным системам и приложениям, также важно регулярно обновлять антивирус для защиты от новейших киберугроз.
Рекомендуемые продукты:
- Kaspersky Anti-Virus
- Kaspersky Total Security
- Kaspersky Internet Security
- Kaspersky Password Manager
- Kaspersky Secure Connection
Статьи по теме:
- Безопасность в интернете: возрастные рекомендации для детей и подростков
- Что можно и нельзя делать при обучении детей безопасности в интернете
- Обучение детей кибербезопасности – никогда не поздно
- Когда ребенку пора давать смартфон?
15 правил для безопасной работы в интернете
Обеспечение безопасности в интернете имеет важнейшее значение для всех пользователей. Каких основных правил следует придерживаться и каким рекомендациям следовать для обеспечения безопасности в интернете? В этой статье рассказывается, как избежать рисков и сохранить безопасность при работе в интернете.
Источник: www.kaspersky.ru