Цифровой журнал «Компьютерра» № 25

В работе с ActiveX произошли большие изменения. Обычный пользователь (без прав администратора) может установить ActiveX-элемент только в свой профиль. Даже если этот элемент окажется вредоносным, это никак не повлияет на ОС в целом. По умолчанию большинство ActiveX-компонентов автоматически блокируется браузером, и если сайту необходимо установить новый или задействовать один из имеющихся компонентов, то он спросит разрешения у пользователя. Существуют также специальные ActiveX-элементы, которые можно использовать только в пределах одного сайта. С помощью функции Manage Add-Ons пользователь всегда может просмотреть полную информацию обо всех установленных ActiveX-компонентах, плагинах, расширениях, панелях, ускорителях и так далее, а также включить или выключить их.

Некоторые механизмы безопасности находятся ещё глубже — на уровне взаимодействия браузера и ОС. Одним из таких механизмов является защищённый режим Internet Explorer 8, который доступен в Windows Vista и 7. В этом режиме браузеру и всем дополнениям даётся меньше привилегий, а пользователю выдаётся предупреждение при любой попытке внесения изменений в браузер или ОС. По умолчанию защищённый режим включён для всех зон, кроме локальной сети, и тех случаев, когда браузер запущен с правами администратора. Возможна одновременная работа нескольких вкладок в защищённом и незащищённом режимах. Также в Internet Explorer 8 была улучшена обработка MIME-типов, которые описывают, что за файл был получен из Сети и как его обрабатывать. При попытке запустить стороннее приложение для открытия полученного файла (например, плеер для проигрывания MP3) пользователю придётся подтвердить это действие.

Низкоуровневые технологии защиты встроены в саму операционную систему. Речь идёт о DEP (NX) и ASLR. Data Execution Prevention предотвращает исполнение кода из области памяти, помеченной как «только для данных». DEP предотвращает атаки, связанные с переполнением буфера. Похожим образом работает технология NX, только реализована она на аппаратном уровне. ASLR (Address Space Layout Randomization) случайным образом распределяет данные в памяти, что затрудняет выполнение некоторых видов атак. Эти механизмы не видны обычному пользователю, но именно они препятствуют большинству проникновений в систему.

По традиции Internet Explorer хорошо интегрируется с другими продуктами Microsoft. Для системных администраторов есть удобная поддержка групповых политик, которые представляют собой широкий набор настроек браузера для большого количества компьютеров. С помощью инструмента IEAK можно создать собственную сборку Internet Explorer 8 с предустановленными дополнениями и различными настройками.

В целом, Internet Explorer можно назвать современным безопасным браузером. Как и у любого продукта, в нём есть некоторые уязвимости. На недавно прошедшей хакерской конференции Pwn2Own специалистом из голландской фирмы Vreugdenhil Research был взломан ноутбук с Internet Explorer 8 и Windows 7. Справедливости ради надо отметить, что эта атака была названа «технически впечатляющей», так как удалось обойти DEP и ASLR. Тем не менее, Internet Explorer 8 всё ещё остаётся одним из наиболее защищённых браузеров, а согласно исследованиям, даже самым защищённым (см. отчёты Cenzic и NSS Labs за 2009 год, PDF). Даже если вы не планируете его использовать, то всё равно было бы неплохо обновиться до восьмой версии.

К оглавлению

MDOP: оптимизация в корпоративных средах Ника Парамонова

Опубликовано 16 июля 2010 года

Недавно корпорация Microsoft выпустила новую версию Microsoft Desktop Optimization Pack 2010 (MDOP). Инструментарий, предназначенный для упрощения развёртывания и эксплуатации программного обеспечения в корпоративных сетях, доступен подписчикам Software Assurance, новая версия пакета поддерживает Windows 7. По замыслу разработчиков это настольное решение сокращает расходы на развертывание программ и позволяет работать с приложениями как с сервисами. MDOP дает компании возможность более эффективно контролировать корпоративную ИТ-инфраструктуру.