Tarkista, käyttääkö joku tietokonettani

Tietokoneen jakaminen perheessä voi aiheuttaa ongelmia. Tämä opas auttaa tunnistamaan, onko tietokonettasi käytetty luvattomasti ja mitä siellä on tehty.

Yksi perheen tai kodin ikävimmistä ongelmista on saman tietokoneen jakaminen. Tietokone on henkilökohtainen, jokainen järjestää sen omalla tavallaan, eikä kukaan hyppää ilosta, jos joku muu koskee siihen, siirtää sitä tai muuttaa sen tiedostoja, mahdollisesti muokkaamalla asetuksia, poistaen tietoja tai puuttuen henkilökohtaisiin asioihimme. Jos epäilemme, että joku käyttää tietokonettamme, kun emme ole kotona, tässä oppaassa näytämme, kuinka tarkistaa, onko joku käyttänyt tietokonettamme, mitä hän on katsonut ja mitä hän on tehnyt.

Havaittavat merkit: Salaisista aktiviteeteista ilmenneet oireet

Jokainen tunkeutuminen, olipa kyseessä etäyhteys tai taustalla toimiva vakoiluohjelma, jättää lähes aina jälkiä. Toisinaan ne ovat ilmeisiä, toisinaan vaativat asiantuntevaa silmää. Suorituskyvyn äkillinen hidastuminen, järjestelmän jumiutuminen tai jäätyminen ilman näkyvää syytä, ovat usein ensimmäisiä merkkejä: vahingollinen ohjelma, kuten crypto miner tai Remote Access Trojan (RAT), käyttää vain arvokkaita resursseja. Tätä merkkiä ei koskaan tule aliarvioida.

On syytä kiinnittää huomiota myös:

• Odottamattomat aktiviteetit: Hiiren osoitin liikkuu itse, ikkunoita avautuu, ohjelmat käynnistyvät ilman komentoa, tai webbikamera aktivoituu valon ollessa päällä epäilyttävissä hetkissä. Tämä on merkki aktiivisesta etäyhteydestä.
• Muokkaukset asetuksissa: Muutokset selaimen aloitussivussa, odottamattomien työkalupalkkien asennus tai pahimmillaan uusien käyttäjätilien ilmestyminen järjestelmään, joita hallinnoija ei ole luonut. Luvatonta pääsyä yritetään usein saada aikaan pitkäkestoisesti.
• Verkkoliikenteen lisääntyminen: Internetyhteys, joka on erittäin kuormitettu jopa silloin, kun tietokone on ilmeisesti passiivinen, viittaa siihen, että joku siirtää tai vastaanottaa tietoja etänä, esimerkiksi varastamalla tiedostoja.

Fyysiset jäljet ja muokatut tiedostot

Kaikki pääsy ei ole etäyhteyksien kautta. Jos tietokone on yhteiskäytössä tai jätetään vartioimatta, tunkeutuminen voi tapahtua paikallisesti. Tarkistaaksesi, onko joku käyttänyt tietokonettasi poissa ollessasi, nopea tutkimus voi paljastaa luvattoman pääsyn. Windowsilla riittää, että avaat Tiedostonhallinnan ja tarkistat "Pika pääsy" tai "Viimeisimmät". Täällä luetellaan äskettäin avatut asiakirjat, kansiot ja ohjelmat, vaikka ne olisi suljettu välittömästi käytön jälkeen.

Tarkistaaksesi, onko joku käyttänyt tietokonettasi ilman lupaa, voit käyttää EverythingViimeisintä muokkausta -saraketta, jotta saat järjestettyä kaikki tietokoneella olevat tiedostot aikajärjestykseen (uusimmasta muokkauksesta vanhimpaan).

Selatessasi luetteloa näet jokaisen muokatun tai luodun tiedoston, joka on peräisin Windowsilta tai ohjelmilta (joita ei voi poistaa kaikista), mukaan lukien tiedostot selaimen profiileille tai tietyn ohjelman avaamiselle. Kärsivällisyydellä ja halulla voimme rekonstruoida tietokoneen käytön käynnistyksestä sammutukseen, jotta tiedämme tarkalleen, mitä on tapahtunut poissa ollessamme.

Macilla "Viimeisimmät" -osio Finderissa täyttää saman tehtävän. Jos esiintyy asiakirjoja, joita emme ole koskettaneet, tai jopa järjestelmäohjelmia ja piilotettuja kansioita, jotka on avattu äskettäin, on erittäin todennäköistä, että joku on selaillut tiedostojärjestelmää. Tämä menetelmä, vaikkakin tylsä, jää usein huomiotta niiden toimesta, jotka vakoilevat tai uteliaisuuteen perustuvat.

Käyttöjärjestelmän analyysi: Prosessien ja käyttäjien tarkastaminen

Ennen kuin turvaudumme ulkoisiin ohjelmiin, käyttöjärjestelmät Windows ja Mac tarjoavat erittäin tehokkaita sisäisiä diagnostiikkatyökaluja tunkeutujien metsästämiseen.

Tehtävälista ja seuranta (Tehtävienhallinta/Tehtävienvalvoja)

Ensinnäkin avaa Tehtävienhallinta Windowsissa (Ctrl+Shift+Esc) tai Tehtävienvalvoja Macilla (Sovellukset > Apulaitteet). Täällä voit saada reaaliaikaisen näkymän kaikista.

Prosessi käynnissä.

Windowsin Tehtävienhallinnassa kiinnitä huomiota kahteen tärkeään välilehteen:

• Prosessit: Etsi prosesseja, joilla on epänormaali CPU, Muisti tai Verkkokulutus. Jos huomaat oudon ohjelmanimen tai sellaisen, joka kuluttaa paljon, vaikka sitä ei olisi käynnistetty, se on kiireellinen tutkimuksen kohde.
• Käyttäjät: Tämä on selkein todiste. Tarkista, onko aktiivisia käyttäjäsessioita omaa sessiotasi enemmän. Windows-järjestelmässä etäkäyttäjä ilmestyy usein erillisenä sessioina, elleivät käyttöoikeudet ole erikoiset.

Macin Toimintamonitorissa Verkko-osio on hyödyllinen sovellusten tarkastamiseen, joilla on korkea tietovirtaus. Tuntemattomat ohjelmat, jotka siirtävät suuria määriä tietoa, ovat selkeä hälytysmerkki.

Tarkista Etäyhteysohjelmat

Hyökkääjä käyttää harvoin oikeaa RDP-protokollaa (Etätyöpöytäprotokolla), joka on hyvin näkyvä ja jättää selkeät jäljet. Hän mieluummin asentaa salaa etäohjausohjelmia. Tarkista Asennetuista sovelluksista (Ohjauspaneeli > Ohjelmat tai Windowsin/Macin asetukset) onko siellä nimiä kuten TeamViewer, AnyDesk, LogMeIn, VNC tai GoToMyPC, joita emme muista asentaneemme tai joita emme käytä säännöllisesti. Vaikka ohjelma ei olisi käynnissä, luvaton asennus on hälytysmerkki.

Nämä ohjelmat voivat olla ongelmallisia, sillä kerran asennettuna, jos ne on konfiguroitu valvomattomalle pääsylle ja heikoilla salasanoilla, ne muodostavat pysyvän takaoven, joka on paljon vaarallisempi kuin pelkkä haittaohjelma. Sovellusten tarkastaminen on olennaista, ja se tulisi tehdä säännöllisesti.

Kirjautumisen lokitarkastus (Tapahtumien katselu)

Käyttöjärjestelmät pitävät yksityiskohtaista lokia kaikista kirjautumisista. Jos joku on käyttänyt tietokonettasi fyysisesti pois ollessasi tai on kirjautunut etänä, tieto on siellä, vaikka se olisikin piilotettu satojen tapahtumien joukkoon:

• Windowsilla: Avaa Suorita-ikkuna (Win + R) ja kirjoita eventvwr avataksesi Windowsin tapahtumalokin.Siirry Windowsin lokit > Suojaus -osioon. Suodata tai selaa tapahtumia etsiäksesi Tapahtumakoodit, jotka liittyvät Kirjautumiseen (Logon) ja Kirjautumisen lopettamiseen (Logoff). Onnistuneet kirjautumistapahtumat aikana, jolloin et ollut tietokoneen ääressä, ovat selkeitä merkkejä tunkeutumisesta.

  Koska tapahtumien katselussa eteen tulevat kohteet voivat olla hankalia tulkita aloitteleville käyttäjille, voit helpottaa itseäsi asentamalla tietokoneellesi WinLogOnView:n, ilmaisohjelman, jonka on kehittänyt tunnettu Nirsoft-yhtiö, joka tunnetaan monista hyödyllisistä työkaluista. Selvittääksesi, kuka on kirjautunut tietokoneeseesi, napsauta Kirjautumisaika-sarake, jotta voit nähdä kirjautumiset aikajärjestyksessä, uusimmasta vanhimpaan: vertaamalla sitä omaan käyttöaikaasi ei ole vaikeaa ymmärtää, milloin tietokonetta on käytetty ilman lupaasi.

• Maciilla: Sovellus Konsoli (Sovellukset > Työkalut) tarjoaa pääsyn järjestelmän lokitietoihin, joista voi etsiä merkintöjä, jotka liittyvät Etätyöpöytään tai tunnistamattomiin SSH-yhteyksiin. Päivämäärän ja ajan haku auttaa rajaamaan epäilyttävää aikajaksoa.

Edistyneet vinkit: Komentorivi ja järjestelmän lokit

Syvällisempään analyysiin on tarpeen käyttää korkeatasoisia työkaluja, jotka ovat usein jo olemassa järjestelmässä ja tarjovat tarkemman näkymän.

Avoimien yhteyksien tarkastus Netstatilla

Tämä on tehokkain menetelmä tunnistaa etäyhteys reaaliajassa. Netstat-komento näyttää kaikki sisään- ja ulospäin suuntautuvat yhteydet tietokoneelta sekä kuuntelussa olevat portit.

• Windowsilla: Avaa Komentokehote (kirjoittamalla cmd Käynnistä-valikkoon) ja suorita komento:netstat -bano
• -a: Näyttää kaikki yhteydet ja...
• Kuunteluporteista:
  • -i: Näyttää avointa yhteyksiä ja portteja.
  • -P: Näyttää osoitteet ja portit numeerisessa muodossa (nopeampi).
  • -n: Näyttää suoraan käyttöön tulevat portit ja niiden osoitteet.
  • -b: Näyttää suoritettavan tiedoston nimet (*.exe*), jotka ovat luoneet yhteyden.
  • -o: Näyttää prosessin PID:n (Prosessitunniste).
• Mac/Linux-käyttäjille: Avaa terminaali ja kirjoita:sudo lsof -i -P -n tai netstat -an | grep LISTEN

  Komento lsof on kattavampi ja näyttää prosessin nimen (COMMAND) sekä siihen liittyvän PID:n.

Jos näet yhteyden, jonka tila on ESTABLISHED tuntemattomaan IP-osoitteeseen, tai portin LISTENING, joka on yhdistetty ohjelmaan, jota emme ole käynnistäneet, on tärkeää ottaa talteen PID ja etsiä se Tehtävienhallinnasta tunnistaaksesi vastuullisen suoritettavan tiedoston ja keskeyttää se heti.

Erityistyökalut vaativiin tapauksiin

Joskus tunkeutujat piiloutuvat käyttäen paljon viekkaampia menetelmiä, kuten rootkit tai naamioituja prosesseja. Näissä tapauksissa on tarpeen turvautua edistyneisiin diagnoosityökaluihin, jotka kaivavat syvemmälle käyttöjärjestelmään.

Edistyksellinen diagnoosi Sysinternalsilla

Microsoftin ilmainen **Sysinternals Suite** -paketti sisältää oikeus analysointityökaluja Windowsille, jotka ylittävät Tehtävienhallinnan ja ovat alan ammattilaisten standardi:

• • • Process Explorer: Erittäin tehokas vaihtoehto Tehtävienhallinnalle. Se mahdollistaa prosessihierarkian tarkastelun, ketkä ovat ne käynnistäneet ja, mikä tärkeintä, tarkistaa selkeästi jokaisen suoritettavan tiedoston avautuvat verkkoyhteydet.
    • TCPView: Kuten nimikin vihjaa, se on käyttäjäystävällisempi versio netstatista. Se näyttää kätevällä graafisella käyttöliittymällä kaikki aktiiviset TCP- ja UDP-soketit (yhteydet) sisältäen etäosoitteen ja tilan, mikä on hyödyllistä piiloliikenteen tunnistamiseksi ilman komentorivikäyttöä.

Skannaus keyloggereille ja webcam-vakoilulle

Keyloggerit ja webcam-vakoilutyökalut kuuluvat vaarallisimpien vakoiluohjelmien ja rootkitin luokkaan. Nämä ohjelmat on suunniteltu erityisesti niin, etteivät ne näy tavallisilta virustorjuntaohjelmilta, piiloutuen ydin- tai naamioimalla prosessejaan.

Niiden tunnistamiseksi on tärkeää käyttää työkaluja, jotka menevät tavallisen skannauksen yli:

• • • Malwarebytes Anti-Rootkit: Tarjoaa ilmaisen version, joka on erityisesti tarkoitettu tunnettujen rootkitien etsimiseen ja poistamiseen, toimiakseen syvemmällä kuin tavallinen virustorjunta. Se on olennainen alku avata keyloggerien ja vakoilun jälkiä.
    • GMER: Erittäin vanha työkalu, joka on tarkoitettu ensisijaisesti kokeneemmille käyttäjille (vain Windows), ja se suorittaa ydinperustaisen tarkastuksen piilotettujen hookien ja näkymättömien prosessien löytämiseksi. Webcam-vakoiluohjelmat tai keyloggerit manipuloivat usein ydinrakennetta piiloutumiseen.

Suosittelen myös fyysistä suojatoimenpidettä: pienen webcam-peitteen (esimerkiksi palanen matta teippiä) käyttö estää kaiken visuaalisen vakoilun, vaikka valvontasoftware onnistuisikin pakenemaan havaintoja.

Lisätietoja tunkeutumisista

Valtuuttamaton pääsy ei rajoitu pelkästään havaintovaiheeseen, vaan herättää useita keskeisiä kysymyksiä tulevasta turvallisuudesta ja tunkeutumisen vaikutuksesta. Käydään läpi avainkohdat ongelman kattavasta hallinnasta:

• • • Mitä tehdä heti valtuuttamattoman pääsyn jälkeen? Ensimmäinen toimi on irrottaa tietokone heti verkosta (kuten Ethernet-kaapelin irrottaminen tai Wi-Fi:n poistaminen käytöstä) keskeyttääkseen aktiivinen etäyhteys ja estääkseen lisätietojen varastamisen. Eristäminen on ensisijainen tavoite.
    • Voiko tunkeutuja edelleen pääsyä järjestelmään irrottamisen jälkeen? Riippuu. Jos pääsy on tapahtunut...

Uhkat ja estot

• • • haittaohjelma jonka sisällä on takaovi tai rootkit (jotka käynnistyvät jokaisen käynnistyksen yhteydessä), tunkeilija voi palata seuraavassa uudelleenkäynnistyksessä ja yhteydessä. Tämän vuoksi on olennaista käyttää Rootkit-skanneria ja, vakavimmissa tapauksissa, muuttaa ja asentaa käyttöjärjestelmä puhtaasti uudelleen.
    • Mitkä tiedot on vaarantunut? Jos etäyhteys on löytynyt, on erittäin todennäköistä, että salasanat, asiakirjat ja taloudelliset tiedot on kopioitu. Ensisijainen tehtävä on vaihtaa kaikki salasanat turvalliselta laitteelta (kuten älypuhelimelta tai toiselta tietokoneelta) ja aktivoida kaksivaiheinen todennus (MFA) kaikkialla, missä se on mahdollista.
    • Kuinka estää tulevat etäyhteydet? Parhaat torjunta keinot eivät ole monimutkaisia ja perustuvat muutamaan, mutta tärkeään, hyvään tapaan:
      • Tarpeettomien palveluiden poistaminen käytöstä: Sammuta Etätyöpöytä (RDP) -toiminto, ellet todella tarvitse sitä.
      • Vahvat salasanat ja MFA: Käytä monimutkaisia ja kierrättämättömiä yhdistelmiä, aktivoimalla aina monivaiheinen todennus jokaisella herkällä tilillä.
      • Tarkista reititin: Varmista reitittimen hallintapaneelista (yleensä kirjoittamalla 192.168.1.1 tai 192.168.0.1 selaimeen), onko siellä porttiohjauksia tai avoimia VPN-palveluja, joita emme ole määrittäneet ja jotka voivat olla ulkoisen pääsyn kohtia.
      • Jatkuvat päivitykset: käyttöjärjestelmän ja kaikkien ohjelmien pitäminen ajan tasalla on välttämätöntä tunnetuimpien tietoturva-aukkojen sulkemiseksi, joita hyökkääjät käyttävät.

Vähentääksesi ongelmia tulevaisuudessa, on aina suositeltavaa asettaa kirjautumis- ja lukitus salasana Windowsille, kuten näimme oppaassamme Suojata Windows PC:n pääsy lukitusnäytöllä ja salasanalla.

Jos kuitenkin haluamme antaa muiden ihmisten tai perheenjäsenten käyttää tietokonetta ilman pääsyä omaan henkilökohtaiseen tiliimme, suosittelemme lukemaan oppaitamme siitä, kuinka luoda tilejä Windowsissa ja hallita tietokoneen käyttäjiä tai Kuinka antaa ystävien ja vieraiden käyttää PC:tä erikseen ja turvallisesti.

Nyt kun olet lukenut Tarkista, käyttääkö joku tietokonettani loppuun, kutsumme sinut tutustumaan lisää Oppaat-kategoriaan. Löydät sieltä muita mielenkiintoisia artikkeleita, jotka laajentavat tietojasi ja pitävät sinut ajan tasalla. Älä lopeta lukemista ja löytämistä!