Утечка информации - Форум по вопросам информационной безопасности

Уверен, что нечистоплотный администратор интернет-провайдера "просматривает" экран пользователя, "сливая" информацию конкурентной фирме.

Как это может быть реализовано технически и как устранить подобную утечку информации.

Используйте межсетевой экран

Достаточно примитивная мера. Интересуют также юридические аспекты.

> нечистоплотный администратор интернет-провайдера "просматривает" экран пользователя

Почему именно он? Почему именно "просматривает экран"?

Используется одна или несколько локальных уязвимостей на компе пользователя (Например, Adobe Flash плюс операционка), эксплойт строит туннель до машины атакующего (например, через HTTP), сливает нужную информацию. Эдакий гибрид radmin'а с stunnel. Сделать это можно откуда угодно. Межетевой экран не поможет,так как соединение исходящее на вполне нормальный порт. Патчи, патчи и еще раз патчи.

> Интересуют также юридические аспекты

Статья 272 УК РФ

>Уверен, что нечистоплотный администратор интернет-провайдера "просматривает" экран пользователя, >"сливая" информацию конкурентной фирме.
У администратора интернет-провайдера есть техническая возможность просмотреть трафик пользователя. Но "просматривать экран" простыми средствами он не может.
>Как это может быть реализовано технически.
Проще всего использовать одну из систем удалнного управления, например radmin.
>как устранить подобную утечку информации.
Зависит от важности обрабатываемой информации, квалификации специалистов и других факторов. От "переустановить Windows" до "прекратить обработку конфиденциальной информации на машине подключенной к сети интернет".

Спасибо.

При загрузке драйвера расширенного мониторинга процессов в диспетчере процессов AVZ отображается ряд процессов, выделенные красным цветом при отсутствии информации о производителе, процессе, т.д. Процессы завершить возможности нет - появляются вновь. Какой утилитой узнать родителя процесса? Ранее подобная проблема решалась путем переустановки Windows.

если родитель не был показан avz значит он уже завершен.
что именно мешает завершать подозрительные процессы?
Используйте какой-нить ядерный отладчик.

Навскидку, если используются руткит техники пользовательского уровня, то анализируйте все, что относится к автозапуску, автозагрузке и т.д. + все, что относится к svchost. Родитель должен быть там.

Если проблемма проявилась более одного раза, значит Вы её не смогли решить в предыдущий раз.

>...завершить возможности нет - появляются вновь
пардон, не вчитался.
А process monitor из набора sysinternals suite ваши подозрительные процессы видит? (Можно пробовать через доверенное выполнение AVZ).
Если да, то запускайте его, пишите события, фильтруйте по созданию и завершению процессов и нитей.

>При загрузке драйвера расширенного мониторинга процессов в диспетчере процессов AVZ отображается ряд >процессов, выделенные красным цветом при отсутствии информации о производителе, процессе, т.д. >Процессы завершить возможности нет - появляются вновь. Какой утилитой узнать родителя процесса? Ранее >подобная проблема решалась путем переустановки Windows.
А зачем вам родитель? Планируете допросить его? Он не ответит ;-)
Переустановить Windows и программы с чистого дистрибутива. Лишнего не ставить. Программы имеющие незакрытые уязвимости не ставить. Обеспечить своевременную установку обновлений закрывающих вновь обнаруженные уязвимости. Это всё быстро и дешево. Дальше в зависимости от важности обрабатываемой информации.
С процессами вы будете долго воевать. Но виновного не найдёте.