Содержание
• Работа в виртуальной среде
- Область общего доступа
- Защита от чтения
- Очистка виртуальной среды
• Способы открытия файлов и ссылок в виртуальной среде
- Открытие любого файла в песочнице
- Открытие интернет-ссылок в песочнице
- Запуск программ в песочнице через интерфейс CIS
- Запуск программ в виртуальной среде с ограничениями
- Виртуальный рабочий стол
Работа в виртуальной среде
Существует возможность запускать программы в виртуальной среде (Sandbox, «песочница»), чтобы их активность почти не затрагивала реальную систему. Если, например, вызвать контекстное меню на какой-либо «сомнительной» программе и выбрать пункт «Запустить в Comodo Sandbox», то она запустится и во многих случаях будет полноценно работать, но не произведет нежелательных изменений. Запущенные ей программы также будут виртуализированы.
О том, что программа виртуализирована, можно судить по зеленой рамке вокруг ее окна, а также по списку изолированных процессов, вызываемому из главного окна CIS.
Область общего доступа
Если необходимо сохранить файлы с результатами работы такой программы, следует поместить их в специальную папку обмена, доступ к которой не виртуализируется. На мой взгляд, местоположение этой папки по умолчанию выбрано неудачно: она не видна в диалоговом окне выбора каталогов, поэтому удобнее создать аналогичную папку, например, в корне диска «C:» или на общем рабочем столе, разрешить на уровне NTFS-прав доступ к ее содержимому всем пользователям и отключить виртуализацию для нее в CIS.
Если виртуализированная программа сохранила результаты работы в иное место, запускаем, например, «Total Commander» в Sandbox через контекстное меню и перемещаем нужные файлы в папку обмена. Вариант: делаем это через проводник, открывая папку с результатами посредством предложенного ниже контекстного меню.
Защита от чтения
Начиная с версии CIS 7.0, виртуальная среда может защищать данные не только от изменения данных, но и от чтения: если в окне настройки открыть вкладку «Защита+» > «HIPS» > «Защищенные объекты» > «Папки с защищенными данными» и добавить в список какой-либо каталог, то виртуализированные приложения будут воспринимать его пустым. Полезно скрыть таким способом каталог с временными файлами, каталог с профилем интернет-браузера и т.п.
Очистка виртуальной среды
По завершении работы с виртуальной средой имеет смысл удалить следы работы и остановить все ее процессы кнопкой «Очистить Sandbox». Для удобства эту кнопку можно продублировать в главном окне (через контекстное меню).
Способы открытия файлов и ссылок в виртуальной среде
Открытие любого файла в песочнице
Стандартный пункт контекстного меню «Запустить в Comodo Sandbox» присутствует только у некоторых исполняемых файлов. Чтобы снабдить аналогичным пунктом контекстное меню всех файлов и каталогов, внесем изменения в системный реестр (т.е. сохраним приведенный код в файле «ComodoSandbox.reg» и запустим его):
Открытие интернет-ссылок в песочнице
Можно оснастить интернет-браузер контекстным меню для открытия сомнительных ссылок в виртуальной среде. Приведу пример для браузера Firefox.
- Будем использовать два браузера: основной, назначенный по умолчанию, и дополнительный, портативный.
- Каталог с основным браузером добавим в «Папки с защищенными данными».
- Дополнительный браузер поместим в каталог наподобие «C:\mySecretPath\FirefoxPortable» (путь не должен содержать пробелы и т.п.).
- В основной браузер установим дополнение Open With.
- В параметрах дополнения включим контекстное меню ссылок и добавим элемент с параметрами:
- путь: «C:\Program Files\COMODO\COMODO Internet Security\virtkiosk.exe»;
- аргументы: «-v c:\mySecretPath\FirefoxPortable\FirefoxPortable.exe»;
- имя: «Открыть в песочнице».
Запуск программ в песочнице через интерфейс CIS
На «обратной стороне» главного окна CIS имеется кнопка «Запуск в Sandbox». Этой кнопкой можно также создать ярлык для запуска какого-либо приложения в виртуальной среде.
В окне настройки CIS на вкладке «Защита+» > «Sandbox» можно задать программы, которые будут принудительно запускаться в виртуальной среде.
Запуск программ в виртуальной среде с ограничениями
Существует возможность запускать программы не только виртуализированно, но и с дополнительными ограничениями. Для этого следует добавить программу в список на вкладке «Защита+» > «Sandbox» и задать ограничения. Уровни ограничений похожи на режимы работы автопесочницы, но отличаются тем, что сочетаются с полной виртуализацией. Даные ограничения наследуются дочерними процессами. Например, если задать файловому менеджеру FreeCommander уровень «Ограниченное», то он и запущенные из него программы будут работать в виртуальной среде и не получат доступа к буферу обмена.
На мой взгляд, неудобно заниматься настройкой CIS каждый раз, когда требуется запустить новое сомнительное приложение в виртуальной среде с ограничениями. Предложу способ запуска через контекстное меню проводника:
- создадим каталог «C:\ContextMenu» и в нем — текстовый файл «RunLimited.bat» с единственной строкой: «start "" %*»;
- добавим этот файл на вкладку «Защита+» > «Sandbox» и зададим любой желаемый уровень, например, «Ограниченное» (кроме «Недоверенного»);
- добавим этот файл в «доверенные»;
- внесем изменения в реестр:
Теперь для запуска программы с ограничениями следует вызвать на ней, удерживая клавишу Shift, контекстное меню и выбрать пункт «Запустить в песочнице Comodo как ограниченное». Недостаток этого способа — не будут применяться ограничения по времени работы программы (особенность использования bat-скрипта).
Виртуальный рабочий стол
Кроме виртуализированного запуска отдельных программ, CIS имеет дополнительную оболочку: «Виртуальный рабочий стол» (в версии CIS 6 она называлась «Виртуальным киоском»). Эта оболочка имеет двоякое назначение, причем для прямо противоположных целей.
Во-первых, виртуальный рабочий стол — это отдельный рабочий стол для запуска сомнительных приложений в виртуальной среде. Однако, на мой взгляд, он не имеет преимуществ перед обычным запуском в песочнице через контекстное меню, а в качестве безопасного рабочего стола лучше использовать полноценные виртуальные машины (однако VirtualBox считается несовместимым с CIS). Вообще, следует сказать, что виртуализация в CIS по функциональности уступает другим подобным средствам, как, например, Sandboxie.
Во-вторых, эта оболочка предназначена для совершения защищенных операций, например, с платежными системами. Защита заключается в том, что от всех программ, кроме запущенных в самом виртуальном рабочем столе, скрывается экран и нажатия клавиш. Также имеется виртуальная клавиатура.
Однако виртуальный рабочий стол не защищает от перехвата буфера обмена или доступа к файлам (например, к «кукам» браузера). Главное: он совершенно не защищен от запуска сомнительных программ внутри него самого. Активность всех программ виртуального рабочего стола протекает в виртуальной среде и неподконтрольна проактивной защите. И если при работе в нем произойдет запуск зловреда — нажатия клавиш могут быть перехвачены.
Проблема другого рода: из виртуального рабочего стола невозможен доступ к защищенным данным. Например, при работе с платежной системой пользователю понадобится хранилище паролей, однако разумно было бы защитить его от чтения из виртуальной среды.
Суть проблем виртуального рабочего стола в том, что он работает в той же самой виртуальной среде, которая предназначена для выполнения сомнительных программ. В результате имеем защиту внешней среды от виртуальной, тогда как для платежных операций, наоборот, следовало бы защищать саму виртуальную среду: пресекать запуск неопознанных програм в ней, шифровать создаваемые в ней файлы и при этом предоставлять ей доступ к защищенным данным.
Таким образом, я не рекомендую виртуальный рабочий стол к частому использованию.
Ситуация, в которой виртуальный рабочий стол все же будет полезен — зараженная система. Если есть риск, что запущен зловред, то безопаснее воспользоваться этой оболочкой, чем допустить перехват нажатий клавиш. Но следует соблюдать осторожность:
- перед использованием виртуального рабочего стола выполнить очистку виртуальной среды;
- не копировать защищенные данные в буфер обмена;
- избегать запуска посторонних программ в виртуальном рабочем столе;
- пользоваться виртуальной клавиатурой;
- после закрытия виртуального рабочего стола выполнить очистку виртуальной среды.