Комментарии 22
Расскажите, каким образом перезагрузка удаляет вредоносный код? Допустим, была у меня умная ip-камера на базе linux 2.6, её прорутовали. Теперь там в /rc.local ботнет. Я перезагружаю эту камеру, и....?
Это не единственная ошибка и не самая большая проблема статьи. Основная проблема в том, что с одной стороны это набор рекомендаций для тех, кто сам в этом всём не разбирается, но количество этих рекомендаций таково, что никто из тех, кто в этом не разбирается, не осилит всё это прочитать, понять и начать применять.
По большому счёту из подобного списка надо делать учебный план для школ, рассчитанный на достаточно длительный срок изучения. (Отдельные неточности тут не так уж и принципиальны.)
Так статья и есть "развернутый" учебный план, только не для школ, а для работников.
А про избыточность я полностью согласен — вот мне очень сложно представить человека "со стороны" кому все пункты будут интересны. Для корпоративных сотрудников тем более — про фишинг, пароли, впн не успеешь рассказать как все забывают / теряют интерес.
Подозреваю, что большинство злоумышленников не заморачивается и хранит вредоносный код в RAM-диске — единственной части файловой системы, доступной на запись.
Так что перезагрузка сотрет такой вредонос, но он вскоре появится снова, если в системе дырка.
Почему все безопасники рекомендуют всегда менять пароли регулярно? Особенно раздражает это на работе. Почему не учитывается "человеческий фактор" и психология? Ведь есть же уже исследования, показывающие, что зачатую частая смена паролей наоборот приводит к меньшей защищённости, так как ОДИН СЛОЖНЫЙ пароль человек может запомнить, а вот перезапоминать его каждые 3 месяца для многих станет уже "лень", что приводит к резкому упрощению паролей (даже на Хабре статья была — https://m.habr.com/ru/company/globalsign/blog/457036/)
В итоге большая часть сотрудников из квартала в квартал меняет пароли по цепочке вида: Vasya1 -> Vasya2 -> ...
ОДИН сложный пароль человек будет вбивать везде, а значит будет быстрее скомпромитирован.
Не спорю. Но ваш комментарий не отменяет озвученной мною проблемы, человеческого фактора и результатов исследований
Поддерживаю предыдущего оратора!
И даже если согласится, что менять системный пароль раз в 3 месяца действительно повышает безопасность, то как регулярная смена остальных паролей (сайты, почты и тп) должна помочь? Там достаточно иметь менеджер паролей и, соответственно, использовать уникальные сложные (16, 32, да хоть 64 знака) пароли для разных сервисов / сайтов. Утечет — ну удачи с перебором. Хороший менеджер паролей еще и по HIBP проверят (но конечно не все что утекает попадает в эту базу). А менять сложный и уникальный пароль на другой сложный пароль "просто потому что" вообще не меняет ничего.
Как уже писали, требования к паролю «менять регулярно, должен содержать все символы юникода и быть минимум двадцать символов длинной» приводит только к ослаблению паролей. Читал статью, в которой говорилось, что эти требования были придуманы каким-то случайным военным почти пол века назад и вообще никак не годятся для современных офисов. Далее там говорилось, что нужно требовать от юзера длинный пароль любой сложности, хоть из одних букв. Насколько понимаю, это требование стало каким-то стандартом.
Там где безопасники требуют менять пароль каждые 3 месяца — есть и требования к паролю, и его похожести на последние N т.е.вася1 и вася2 не пройдут по обоим критериям.
Банк, обслуживающий нашу организацию, требует регулярной смены пароля, но вариант «вася1 и вася2» для него вполне допустим. Причем это достаточно крупный банк.
По поводу действий с Вашей недвижимостью посредством левого электронного ключа надо не в кабинет госуслуг лазать, а подать в МфЦ заявку на запрет сделок с использованием ЭЦП. Занимает процедура 10 минут. В реестр ставится блокировка на действия с недвижимостью без личного присутствия. Рекомендую.
Пароль от почты вводить только на самой почте — больше нигде!
Для входа в облако используется логин в виде адреса электронной почты.
Вводить пароль приходится везде, например, при использовании офисных программ.
Установите сложный пароль на компьютере. Никто не сможет получить доступ к документам, фотографиям, проектам, паролям из браузера, установить следящее ПО, отформатировать жесткий диск или ваш ребенок случайно не сможет удалить папку и т.д.Ну, нет, это так не работает. Я элементарно могу загрузить с флешки другую систему, будь то Windows To Go или Kali Linux, и скопировать все файлы, даже без манипуляций по сбросу пароля. Чтобы действительно защитить данные — шифрование диска использовать обязательно. Тогда это работает.
ТАк и делал! Сейчас нифига не помню и восстановить аккаунты уже не могу.
Пароли надо держать в менеджере (напр. Keepass). Тогда не придётся ничего восстанавливать (только бэкапить базу Keepass надо не забывать, проще всего автоматически в dropbox или аналоги). Ответы на секретные вопросы надо генерировать так же, как и пароли, а держать их при желании можно в том же Keepass (хотя смысла в этом особого нет, учитывая что пароль теперь "забыть" уже невозможно).
Максимальная защита в Интернете