Натолкнул на мысль описать своё мнение по этому поводу
этот топик на хабре.
Весьма поучительное чтение про очередную уязвимость в Windows и использующий её вирус.
Обращают на себя внимание следующие особенности этой истории:
Использование уязвимости в обработке *.lnk файлов, позволяющей осуществить заражение при простом просмотре каталога в Проводнике или практически в любом другом файловом менеджере. Например, Total Commander с установками по умолчанию тоже вызовет заражение.
Наличие легитимной цифровой подписи от Realtek(!) на запускаемые компоненты вируса на флешке или диске и для устанавливаемых в систему вирусных драйверов.
Уязвимы все ОС от WinXP до Win7
Авторы статьи, учитывая особенности распространения вируса и его работу, предполагают, что он использовался для несанкционированного съема информации со SCADA систем в промышленности. Немного неясным остался вопрос при каких привилегиях пользователя происходит укоренение данного вируса в системе, но такое впечатление при прочтении, что совсем не обязательно админских.
Какие, по моему мнению, меры необходимы для защищенности компьютерной системы к которой предъявляются повышенные требования к сохранности информации:
Она не должна опираться на активные антивирусные системы. Потому что как показывает практика, наличие антивирусной защиты ничего не гарантирует и фактически не повышает защищенность системы и только создает ложную иллюзию защищенности. Это психологически трудно воспринять, но если архитектура системы такова, что ей необходим антивирус, от неё надо отказываться.
Система должна иметь мандатную систему управления правами, исключающую работу и доступ к данным за пределами прописанных ролей.
Все системные файлы и любые исполнимые файлы должны быть подписаны ЭЦП, причем ЭЦП, сгенерированной администратором этой системы. Работа любых приложений, не имеющих этой подписи, должна быть невозможна.
Система не должна иметь в своем составе файлов, имеющих неясное происхождение и состав, кем бы они не были подписаны. Иначе говоря, должны быть исходные тексты на всё.
Труднее всего, конечно, соблюсти 4-й пункт, но и первые три довольно однозначно указывают, что винде (как и MacOS X) нечего делать там где требуется настоящая защита данных. В Linux эти пункты реализовать можно, хотя тоже не так-то просто.
