Качественное укрепление системы Windows 7?

Question

Исторически я парень из Linux и использую Windows только тогда, когда мне абсолютно необходимо использовать VM. Тем не менее, я недавно приобрел новую буровую установку, чтобы я мог поддерживать выделенную машину Windows 7 для тяжелой работы (кашель, игры, кашель) и для программного обеспечения, которое просто не будет работать в Linux.

Я более чем немного нервничаю. Я очень опытен в усилении систем Linux, но я - рыба из воды, когда дело доходит до Windows. Я установил Microsoft Security Essentials и включил брандмауэр Windows, но мне все еще кажется, что этого недостаточно (я видел несколько вирусов, прошедших Essentials до того, как я переключил свою жену с Windows Vista на Linux. Конечно, она, вероятно, помогла им ... она быстро щелкает вещами).

Какие шаги должен предпринять параноидальный пользователь, чтобы сделать свою установку Windows 7 максимально безопасной, кроме перерезания сетевого кабеля?

Answer 1

Настройте Windows 7 с обычной учетной записью пользователя рядом с учетной записью администратора, как в Linux. Практически невозможно по-настоящему испортить весь компьютер с помощью обычной учетной записи пользователя.

Таким образом, любая подозрительная деятельность потребует пароль администратора в приглашении повышения прав (эквивалент sudo)

Answer 2

Я думаю, что, учитывая, что вы пришли из среды, которая требует от вас понимания того, что происходит, у вас не будет проблем с обеспечением безопасности в Windows. По моему опыту, большинство проблем возникает из-за неопытных или ленивых пользователей, стреляющих себе (и своим системам) в ногу. Windows обеспечивает разумный уровень безопасности, но, конечно, не мешает вам (пользователю) ослабить его. Следующий список является довольно простым здравым смыслом, но IMHO - то, где большинство проблем возникает:

1. Обратите внимание на запросы UAC - даже если у вашего пользователя есть права администратора, Windows все равно будет требовать вашего подтверждения для всего, что требует повышения прав. Обратите внимание на то, что вы разрешаете.
2. Убедитесь, что вы позволяете Windows оставаться в курсе обновлений.
3. Не устанавливайте программное обеспечение, которому вы не доверяете, особенно держитесь подальше от таких шейдеров, как кейгены, взломы игр и т.д.
4. Поймите, как работает брандмауэр. Если вы используете iptables это будет на порядок проще. Используйте экран брандмауэра Windows Advanced для проверки и управления тем, что выставлено.
5. Само собой разумеется, не нажимайте на эту рекламу Виагры!

Answer 3

Это само по себе не является ужесточением, но вы можете запустить Microsoft Baseline Security Analyzer для проверки потенциальных проблем безопасности.

Answer 4

1. Помимо Windows Security Essentials и брандмауэра я бы также установил EMET (набор инструментов для расширенного смягчения последствий от Microsoft), не забудьте прочитать руководство пользователя EMET.
2. Всегда используйте стандартную учетную запись пользователя в качестве учетной записи по умолчанию. Поверните настройки UAC полностью вверх.
3. Если вы много скачиваете из Интернета, установите бесплатную версию MalwareBytes и пусть она иногда сканирует ваш компьютер.
4. Загрузите хороший диспетчер задач, такой как Process Hacker или Process Explorer, потому что встроенный в Windows 7 не так хорош (встроенный в Windows 8 намного лучше). Но вы можете использовать Resource Monitor (введите search resmon.exe), что хорошо.
5. Используйте 64-битную версию Windows 7/8
6. Если вы загрузили Java, отключите Java в браузере из панели управления Java.
7. Загрузка инструментов от Nirsoft или Sysinternals, таких как TcpView, может помочь вам, если вы поймаете какую-нибудь вредоносную программу.
8. Включите предотвращение выполнения данных для всех программ.
9. Я бы использовал Chrome, потому что он безопасен по своему дизайну, и я думаю, что он более безопасен, чем другие браузеры (только мое мнение).
10. Измените настройки общего доступа, отключите обнаружение сети.
11. Всегда устанавливайте последние обновления Windows
12. Я бы лично обновился до Windows 8.1, которая более безопасна, чем Windows 7

Вы можете пойти еще дальше, но обычно вам нужно сделать 2,3 и 11. А поскольку вы опытный пользователь, вы будете в безопасности.

Answer 5

Я хотел бы добавить / обновить несколько пунктов:

Получить хорошее программное обеспечение для обеспечения безопасности (его необходимо на Windows). MSE не достаточно. Вы можете искать в Интернете бесплатно / платные. Я не могу рекомендовать один здесь.

Хотя и немного экстремально, еще одна идея - установить Windows на диск и программное обеспечение на других. Храните документы / данные на диске, отличном от Windows. Настройте Windows / программное обеспечение, а затем "заморозьте" раздел Windows, используя что-то вроде faronics deepfreeze.

Это определенно защитит вас от всех видов вредоносных программ, предотвратив любые длительные изменения в файлах Windows или настройках. Достаточно просто перезагрузить компьютер, чтобы избавиться от всех вредоносных программ и их влияния на систему. Антивирусное программное обеспечение удалит вредоносное ПО на диск, отличный от Windows.

Answer 6

Если машина Windows используется в качестве веб-клиента, рекомендуется использовать Firefox с надстройкой NoScript. (И, конечно, Adblock Plus; само собой разумеется.)

Если вы случайно зашли на сайт с вредоносными скриптами, NoScript спасет вашу задницу.

NoScript может быть навязчивым и требует обучения пользователей. (Если пользователь просто слепо говорит «да» всем сценариям, это бессмысленно.)

Установите Evince для чтения PDF; держись подальше от Adobe. (Есть способ заставить Evince показывать встроенный в Firefox: http://www.libertexto.org/libertexto_en.html .)

Не используйте Windows Media Player; установить альтернативу. Проигрыватель Windows Media позволяет мультимедийным файлам предлагать пользователю загружать файлы. «Вам нужен специальный кодек для воспроизведения этого видео. Нажмите, чтобы установить FOO.EXE. "

Обучите своих пользователей не загружать и открывать ненадежные вложения, полученные по электронной почте, и никогда не говорить «да» ни одному неожиданному диалоговому окну.

Answer 7

Существует несколько способов защитить систему Windows. Первый - это удалить / отключить любые службы, которые вы не используете или не будете использовать. т.е. удаленные сервисы или телнет. Далее вы хотите отключить / переименовать ваши встроенные учетные записи. Вы хотите иметь и учетную запись администратора, но это не должна быть учетная запись, в которую вы будете входить ежедневно, вы хотите создать учетную запись пользователя для себя, и это должна быть та, которую вы используете. Я знаю, что это усугубляет ситуацию, но если вредоносное ПО будет загружено, оно сможет работать только на том уровне, на котором вы в данный момент авторизованы. Поддерживать обновление системы и хорошее AV очень важно. Наконец, если вы выберете STIG из DISA, FISMA или NIST, это даст вам хорошую основу для вашей сборки. Некоторые из этих сайтов находятся в окне https://web.nvd.nist.gov/view/ncp/repository или http://iase.disa.mil/stigs/Pages/index.aspx.