О Винде, червях и безопасности

[pascendi]

Вот тут опубликована история про нового загадочного сетевого червя Stuxnet, который:
- внедряется с флэшки в операционную систему MS Windows, используя сразу четыре ранее неизвестные уязвимости;
- распространяется по сети, пока не найдет систему управления промышленным производством какого-то, заранее определенного типа;
- найдя, меняет программу контроллеров Siemens -- скорее всего, таким образом, чтобы разрушить это производство.

Дай Бог, чтобы это не была атомная электростанция (тем более, с российскими реакторами).

Для меня это еще один совершенно очевидный аргумент, почему ни в какой mission critical системе никогда не должна применяться операционная система MS Windows.

Не столько из-за ее дефектов и уязвимости, сколько из-за ее распространенности и, главное, из-за того, что она поставляется в стандартной, всем известной и доступной для анализа конфигурации.

UNIX-based системы можно сконфигурировать так, что вирус просто не запустится, так как не найдет заложенных в него по умолчанию библиотек, модулей, путей и прочих элементов. И я бы советовал любую mission-critical систему делать уникальной по конфигурации, чтобы разработчики подобного вредоносного софта не могли знать ее особенностей (например, как называется user, от лица которого запускается тот или иной модуль программы, которую червь собирается использовать, в каком каталоге лежит тело программы и т.п.).

Comments

[pascendi.livejournal.com]

Это верно, но на самом деле сложнее, чем не использовать винду. :-)

[klammeraffe.livejournal.com]

Насколько я помню по нашим стандартам безопасных систем, при таком уровне секретности все машины должны проходить спецпроверку перед установкой на объект, а программноаппаратных фиговин, которые контролируют работу с внешними носителями - полно.

А еще, все-таки, неломаемых систем нет, если, как многие считают, за этим стояло какое-нибудь homeland security, то абсолютно неважно - windows или *nix, думаю порядок сумм, для создания узконаправленного вируса был бы одинаков.

[pascendi.livejournal.com]

Вот-вот. При соблюдении хотя бы такого режима, как был в конце СССР, и запрете на винду на объекте -- не было бы таких проблем.

[klammeraffe.livejournal.com]

И все-таки Винда - это ваш личный пунктик. Я пользуюсь виндой без антивируса уже лет 8 - и ни вирусов, ни система не падала, бывалли только аппаратные сбои. И программно-аппаратные решения, в созданиии которых я принимал участие - та же фигня, они переставали работать, когда материнка расплавлялась, но из-за винды проблем не было ) Конечно я не атомные станции автоматизировал, но достаточно сделал своими руками, чтоб избежать категоричности. Дело в руках и голове, а не инструменте, а ОС - это инструмент.