Компьютеры и Интернет
Как ИТ-специалист, я регулярно слежу за компьютерами и электронной почтой сотрудников. Это важно в рабочей среде как для административных целей, так и для безопасности. Например, мониторинг электронной почты позволяет блокировать вложения, которые могут содержать вирусы или шпионские программы. Единственный раз, когда мне нужно подключиться к компьютеру пользователя и выполнить работу непосредственно на его компьютере – это исправить проблему.
Но, если вы чувствуете, что за вами следят, есть несколько маленьких хитростей, которые вы можете использовать, чтобы определить, правы ли вы. Во-первых, следить за кем-то через его компьютер означает, что они могут наблюдать за всем, что вы делаете на вашем компьютере, в режиме реального времени. Блокировка порносайтов, удаление вложений или блокирование спама, прежде чем он попадает в ваш почтовый ящик, и т.д. на самом деле не контроль, а больше похоже на фильтрацию.
Прежде чем двигаться дальше, я хочу подчеркнуть одну БОЛЬШУЮ проблему: если вы находитесь в корпоративной среде и думаете, что за вами следят, вы должны предположить, что они могут видеть ВСЁ, что вы делаете на компьютере. Кроме того, предположим, что вы не сможете найти программное обеспечение, которое записывает всё. В корпоративных средах компьютеры настолько настроены и перенастроены, что почти невозможно обнаружить что-либо, если вы не хакер. Эта статья больше ориентирована на домашних пользователей, которые думают, что друг или член семьи пытается их контролировать.
Компьютерный мониторинг
Теперь, если вы всё ещё думаете, что за вами следят, вот что вы можете сделать! Самый простой способ войти в ваш компьютер – использовать удаленный рабочий стол. Хорошо, что Windows не поддерживает несколько одновременных подключений, когда кто-то входит в консоль (для этого есть хак, но я бы не стал беспокоиться об этом). Это означает, что если вы вошли в свой компьютер с ОС Windows 7 или Windows 10, и кто-то должен был подключиться к нему с помощью встроенной функции удаленного рабочего стола Windows, ваш экран заблокировался бы и сообщил вам, что кто то пытается с вами связаться.
Так почему это полезно? Это полезно, потому что это означает, что для того, чтобы кто-то подключился к ВАШЕМ сеансу без вашего ведома или захвата экрана, он использовал стороннее программное обеспечение.
Если мы ищем стороннее программное обеспечение, которое обычно называют программным обеспечением для удаленного управления или виртуальными сетевыми вычислениями (VNC), мы должны начать с нуля. Обычно, когда кто-то устанавливает программное обеспечение такого типа на ваш компьютер, он должен сделать это, пока вас нет, и он должен перезагрузить ваш компьютер. Итак, первое, что может подсказать вам подозрительным, это если ваш компьютер был перезагружен, и вы не помните, чтобы Вы это делали.
Во-вторых, вы должны проверить в меню «Пуск» – «Все программы» и узнать, установлено ли что-то вроде VNC, RealVNC, TightVNC, UltraVNC, LogMeIn, GoToMyPC и т. д. Часто люди небрежны и считают, что обычный пользователь не знает, что такое программное обеспечение, и просто игнорирует его. Если какая-либо из этих программ установлена на ваш ПК, то кто-то может подключиться к вашему компьютеру без вашего ведома, если программа работает в фоновом режиме как служба Windows.
Это подводит нас к третьему пункту. Обычно, если установлена одна из вышеперечисленных программ, для неё на панели задач отображается значок, поскольку она должна постоянно работать.
Значки Панели задач
Проверьте все ваши иконки (даже скрытые) и посмотрите, что работает. Если вы найдёте что-то, о чём не слышали, выполните быстрый поиск в Google, чтобы увидеть, что за окно всплывает на вашем Рабочем столе. Программное обеспечение мониторинга довольно легко скрыть его значок на Панели задач, поэтому, если вы не видите там ничего необычного, то это ещё не значит, что у вас не установлено программное обеспечение для мониторинга.
Так что, если ничего не видно в очевидных местах, давайте перейдем к более сложным вещам.
Проверьте порты брандмауэра
Опять же, поскольку это сторонние приложения, они должны подключаться к Windows через разные коммуникационные порты. Порты – это просто виртуальное соединение для передачи данных, с помощью которого компьютеры обмениваются информацией напрямую. Как вы, возможно, уже знаете, Windows поставляется со встроенным брандмауэром, который по соображениям безопасности блокирует многие входящие порты. Если вы не используете FTP-для сайта, почему ваш порт 23 должен быть открытым, верно?
Таким образом, чтобы эти сторонние приложения могли подключаться к вашему компьютеру, они должны проходить через порт, который должен быть открыт на вашем компьютере. Вы можете проверить все открытые порты, выбрав Пуск, Панель управления и Брандмауэр Windows. Затем, на левой стороне, нажмите «Разрешить использование функции через брандмауэр Windows» .
Здесь вы увидите список программ с флажками рядом с ними. Проверенные являются «открытыми», а непроверенные или незарегистрированные – «закрытыми». Просмотрите список и посмотрите, есть ли программа, с которой вы не знакомы или которая соответствует VNC, дистанционному управлению и т. д. Если это так, вы можете заблокировать программу, сняв с неё флажок!
Проверьте исходящие соединения
К сожалению, это немного сложнее, чем написано выше. В некоторых случаях может быть входящее соединение, но во многих случаях программное обеспечение, установленное на вашем компьютере, будет иметь только исходящее соединение с сервером. В Windows разрешены все исходящие соединения, что означает, что ничего не заблокировано. Если всё шпионское программное обеспечение делает запись данных и отправляет их на сервер, то оно использует только исходящее соединение и поэтому не будет отображаться в этом списке брандмауэром.
Чтобы поймать такую программу, мы должны видеть исходящие соединения с нашего компьютера на серверы. Есть целый ряд способов, которыми мы можем сделать это, и здесь я собираюсь поговорить об одном или двух. Как я уже говорил ранее, сейчас это немного усложняется, потому что мы имеем дело с действительно скрытым программным обеспечением, и вы не сможете легко его найти.
TCPView
Во-первых, загрузите программу под названием TCPView от Microsoft. Это очень маленький файл, и вам даже не нужно его устанавливать, просто разархивируйте его и дважды щелкните Tcpview. Главное окно будет выглядеть так, как на скриншоте ниже.
По сути, оно показывает все подключения вашего компьютера к другим компьютерам. С левой стороны находится имя процесса, который будет выполнять запущенные программы, то есть Chrome, Dropbox и т. д. Столбцы, на которые мы должны обратить внимание – это Remote Address и State. Перейдите к сортировке по столбцу State и просмотрите все процессы, перечисленные в ESTABLISHED. Установлено означает, что в настоящее время существует открытое соединение. Обратите внимание, что шпионское программное обеспечение не всегда может быть подключено к удаленному серверу, поэтому рекомендуется оставить эту программу открытой и отслеживать любые новые процессы, которые могут появляться в установленном состоянии.
Что вы должны сделать, это отфильтровать этот список для всех процессов, чьё имя вы не знаете. Chrome и Dropbox – это нормально, и нет повода для тревоги, но что такое openvpn.exe и rubyw.exe? Ну, в моем случае я использую VPN для подключения к Интернету, поэтому эти процессы предназначены для моей службы VPN. Тем не менее, вы можете просто ввести в Google эти сервисы и быстро выяснить это самостоятельно. Программное обеспечение VPN не шпионит, поэтому не стоит об этом беспокоиться. Когда вы ищете процесс, вы сразу сможете определить, безопасно ли это подключение, просто посмотрев результаты поиска.
Ещё одну вещь, которую вы должны проверить – это крайние правые столбцы, называемые «Отправленные пакеты», «Отправленные байты» и т. д. Сортируйте по «Отправленные байты», и вы сразу сможете увидеть, какой процесс отправляет наибольшее количество данных с вашего компьютера. Если кто-то следит за вашим компьютером, он должен отправлять данные куда-то, поэтому, если процесс не очень хорошо спрятан, вы должны увидеть его здесь.
Process Explorer
Другая программа, которую вы можете использовать, чтобы найти все процессы, запущенные на вашем компьютере – это Process Explorer от Microsoft. Когда вы запустите его, вы увидите много информации о каждом отдельном процессе и даже дочерних процессах, запущенных внутри родительских процессов.
Process Explorer очень хорош, потому что он соединяется с VirusTotal и может мгновенно сообщить вам, был ли процесс обнаружен как вредоносное ПО или нет. Для этого нажмите «Параметры», VirusTotal.com, а затем нажмите «Проверить VirusTotal.com». Вы попадете на их веб-сайт, чтобы прочитать TOS, просто закройте его и нажмите «Да» в диалоговом окне программы.
Как только вы это сделаете, вы увидите новый столбец, который показывает частоту обнаружения последнего сканирования для многих процессов. Он не сможет получить ценность для всех процессов, но это лучше, чем ничего. Для тех, у кого нет баллов, продолжайте поиск этих процессов в Google вручную. Для тех, кто набрал очки, вы хотите, чтобы он в значительной степени показал 0/XX. Если это не 0, продолжайте поиск в Google и запустите процесс или щёлкните по цифрам, которые нужно перевести на веб-сайт VirusTotal для этого процесса.
Я также склонен сортировать список по названию компании и любому процессу, в котором нет перечисленной компании, я проверю обычно такие компании в Google. Однако даже с этими программами вы всё равно можете не увидеть все процессы.
Руткиты
Есть также стелс-программы, называемые руткитами, которые две вышеупомянутые программы даже не смогут увидеть. В этом случае, если вы не обнаружили ничего подозрительного при проверке всех описанных выше процессов, вам нужно попробовать ещё более надежные инструменты. Ещё одним хорошим инструментом от Microsoft является Rootkit Revealer, но он очень старый.
Другими хорошими инструментами для борьбы с руткитами являются Malwarebytes Anti-Rootkit Beta, которые я очень рекомендую, поскольку их инструменты для борьбы с вредоносными программами заняли первое место. Другой популярный инструмент – GMER.
Я предлагаю вам установить эти инструменты и запустить их. Если они что-то найдут, удалите всё, что они предлагают. Кроме того, вам следует установить и антивирусные программы. Многие из этих скрытых программ, которые люди используют, считаются вредоносными программами/вирусами, поэтому они будут удалены, если вы запустите соответствующее программное обеспечение. Если что-то обнаруживается, убедитесь, что Google это знает, чтобы вы могли узнать, было ли это программное обеспечение для мониторинга или нет.
Мониторинг электронной почты и веб-сайтов
Проверить, отслеживается ли ваша электронная почта, также сложно, но мы остановимся на простых материалах этой статьи. Когда вы отправляете электронное письмо из Outlook или другого почтового клиента на вашем компьютере, оно всегда должно подключаться к почтовому серверу. Клиент может подключаться напрямую или через прокси-сервер, который принимает запрос, изменяет или проверяет его и пересылает на другой сервер.
Если вы используете прокси-сервер для просмотра электронной почты или просмотра веб-страниц, веб-сайты, к которым вы обращаетесь, или электронные письма, которые вы пишете, можно сохранить и просмотреть позже. Вы можете проверить оба и вот как. Для IE, перейдите в Инструменты, затем Свойства обозревателя. Нажмите на вкладку «Подключения» и выберите «Настройки LAN».
Если флажок прокси-сервер установлен и имеет локальный IP-адрес с номером порта, то это означает, что вы сначала проходите через локальный сервер, прежде чем он достигает веб-сервера. Это означает, что любой веб-сайт, который вы посещаете первым, проходит через другой сервер, на котором запущено какое-то программное обеспечение, которое либо блокирует адрес, либо просто регистрирует его. Единственный случай, когда вы будете в какой-то степени в безопасности – это если сайт, который вы посещаете, использует SSL (HTTPS в адресной строке), что означает, что все данные, отправленные с вашего компьютера на удаленный сервер, зашифрованы. Даже если ваша компания получит промежуточные данные, они будут зашифрованы. Я говорю несколько безопасно, потому что, если на вашем компьютере установлено шпионское программное обеспечение, оно может фиксировать нажатия клавиш и, следовательно, записывать всё, что вы вводите в эти защищенные сайты.
Что касается вашей корпоративной электронной почты, вы проверяете то же самое, локальный IP-адрес для почтовых серверов POP и SMTP. Чтобы проверить в Outlook, перейдите в Инструменты, Учетные записи электронной почты и нажмите Изменить или Свойства, и найдите значения для POP и SMTP-сервера. К сожалению, в корпоративных средах сервер электронной почты, вероятно, является локальным, и поэтому вы, безусловно, будете находиться под наблюдением, даже если он работает не через прокси-сервер.
Вы всегда должны быть осторожными при написании электронных писем или просмотре веб-сайтов, находясь в офисе. Попытка прорваться через систему безопасности также может привести к неприятностям, если они узнают, что вы обошли их системы! Могу сказать по опыту, ИТ-специалистам это не нравится! Но, если вы хотите обеспечить безопасность просмотра веб-страниц и электронной почты, лучше всего использовать VPN, например, частный доступ в Интернет.
Это требует установки программного обеспечения на компьютер, что вы, возможно, не сможете сделать. Но, если вы можете, тогда вы можете быть уверены, что никто не сможет увидеть, что вы делаете в вашем браузере, если только у вас не установлено локальное шпионское программное обеспечение! Нет ничего, что могло бы скрыть ваши действия от локально установленного шпионского программного обеспечения, потому что оно может записывать нажатия клавиш и т. д., поэтому старайтесь следовать моим инструкциям выше и отключите программу мониторинга. Если у вас есть какие-либо вопросы или проблемы, не стесняйтесь комментировать.
