Firewall + HIPS

[The Graverobber]

nod32 4 си е доста добра програма (уеб + файл скенер, малко използвани ресурси + почти без false positives. вградения SysInspector + добрата съвместимост с pc tools firewall-a ги правят за мен една от най-добрите комбинации за защита на уиндоус 7. единствено може би касперски им е равностоен, поради множеството си модули.

[Night_Raven]

Само че нито NOD32, нито ESS разполагат с HIPS и малко не се вписват в темата.

[Гост tnn]

Само че нито NOD32, нито ESS разполагат с HIPS и малко не се вписват в темата.

Два дни ми са достатъчно - на Mamutu 2.0 + PrivateFirewall 6.1 Free не им е нужен NOD 32 v.4 при Win XP SP3 и той е поредният деинсталиран антивирус. Поздрави

[The Graverobber]

поради каква причина го махаш ? с какво не се е справил ? извинявам се за офтопика, но ми е любопитно с оглед на необходимостта на подобен елемент в защитата на всеки един потребител заедно с останалите, за които е темата.

[Гост tnn]

поради каква причина го махаш ? с какво не се е справил ? извинявам се за офтопика, но ми е любопитно с оглед на необходимостта на подобен елемент в защитата на всеки един потребител заедно с останалите, за които е темата.

Мога да докажа доста пропуски в темата за ловенето във форума на Калдата - отказах се, защото пак ще ме обвинят в анти-ESET тенденциозности, а това не е така. На двете IDS/HIPS програми не им е нужен антивирус. KAV 2010 също се сработва с тях и наскоро например ми намири уязвимости в два браузъра - също го деинсталирах заедно с браузърите -а тези неща дали са заплаха срещу подобен тип защита и няма ли да бъдат блокирани преди да се изявят? NOD 32 v.4 мога и да не го махам, работи си с тях - но добре ли е да е излишен и да е в сянката на две доста по-добри други програми? Пробвах и с Avira Free - и тя не им е нужна. Поздрави

[Гост tnn]

Mamutu 2.0 + PrivateFirewall 6.1 Free също се сработват и с Panda Cloud Antivirus Free, който действа от облаците и не се обновява с дефиниции като другите антивируси. Пълното сканиране със същия отново нищо не установи. PC Tools Firewall Plus Free Edition + ThreatFire Free са друга подобна впечатляваща двойка . С тях преди време испанският облак ми "изглеждаше страхотен". Без тях той си е около нивото си - с доста недостатъци, които вече са осезаемо видими. Дали това не е вярно за всички антивируси и не настъпва ли вече времето на задължителност за разработване на HIPS/IDS компоненти при всички програми с претенции!? Сега пак се чудя - да оставя ли тази безплатна Panda или да я деинсталирам... Поздрави

[draco_volans]

Mamutu 2.0 + PrivateFirewall 6.1 Free също се сработват и с Panda Cloud Antivirus Free, който действа от облаците и не се обновява с дефиниции като другите антивируси. Пълното сканиране със същия отново нищо не установи. PC Tools Firewall Plus Free Edition + ThreatFire Free са друга подобна впечатляваща двойка . С тях преди време испанският облак ми "изглеждаше страхотен". Без тях той си е около нивото си - с доста недостатъци, които вече са осезаемо видими. Дали това не е вярно за всички антивируси и не настъпва ли вече времето на задължителност за разработване на HIPS/IDS компоненти при всички програми с претенции!? Сега пак се чудя - да оставя ли тази безплатна Panda или да я деинсталирам... Поздрави

 

Ми при положение, че в почти всеки твой коментар проглушаваш с това колко яка комбинация е Mamutu 2.0 + PrivateFirewall 6.1 и как не ти тябват други антивируси, които само бездействат (то NOD32, то Avira, то Kaspersky(?)), то какво има толкова да се чудиш? Слагаш си резачките MBAM и SAS и периодично/контролно сканираш с тях. Ако хващат нещо опасно, значи комбинацията ти не е толкова съвършрна/цялостна, ако не хващат нищо опасно, заначи всичко ти е OK и не се занимаваш с глупости... Колкото до риторичната питанка за HIPS/IDS: новите заплахи изискват нови защитни решение и която фирма иска да е конкурентна, трябва да се съобразява с това.

[Гост tnn]

При този тип защити при мен MBAM и SAS, A-squared Free и The Cleaner 2010 също нищо не установяват - дори и бисквитки. Не ги считам за непробиваеми - явно това е доста по-трудно. Бъдещето ще покаже.

[draco_volans]

Ами щом и A-squared Free не открива за какво да се хване, то сиситемата ти е направо като Неродена мома...

 

И нещо, което ми стана интересно покрай тестовете на разни HIPS-ове и проактивни защити, изискващи намесата на ЗКУ... Ами при тия тестова се подхожда много с рогата напред... В смисъл, за да се тества, се издува защитата до дупка и се отива на сайт или се стартира приложение, за които предварително се знае, че са опасни... То тогава, на каквото писне HIPS-а, значи е опасно и се дава Block до ламарината... Ако не писне - черна точка за програмата... Ами в живия живот, да не би да е така? Посещаваш си редовно (с години) едни и същи сайтове, за които вече си добил реакция, че са като Edem на безопасността и един прекрасен ден, си влизаш рано сутрин сънен в някой от тях, HIPS-чето се обажда, ти разсеяно му давш Allow... и си готов... Или пък друг сценарии: Инсталираш си програма, на която имаш пълно доверие (примерно някой Player)... Естествено HIPS-чето почва да писка, защото програмата иска достъп до системата, за да се инсталира... Пита веднъж, пита втори път, пита трети и т.н. И ти все си цъкаш Allow... Да, ама едно от тия Allow-чета да кажем, слага rootkit-че в System32 -> drivers, но ти не си упял да отреагираш и да го разпознаеш, защото изобщо, ама изобщо не си очаквал такова нещо... Честито, вече си заразен! Вариант е, при всяко изпискаване на HIPS-a да даваш на пауза и да почваш да ровиш из Google-то да видиш, дали конкретното нещо има достъм до еди къде си... Или преди цялата процедура по инсталация, почваш да търсиш из нета максимално подробна информация за това как трябва да протича инсталацията на дадено приложение: т'ва инсталационна директория, т'ва драйвери, как точно се именуват (до последната буква), колко им е размера (до последния бит!), какви точно записи прави в регистрите, в кои части от тях и т.н. И каквото се отклонява от шаблона - Block! И това трябва да е за всяко приложение и за всяка негова нова версия! И така, за да инсталираш едно приложение, може да ти иде цял ден, щото информацията из нетa може да бъде доста противoречива...

 

Или пък друга форма на тест (тип 3-те карти на късмета): Хващаме един средностатистически потребител (ССП) (дето поназнайва нещо) за ушите слагаме го пред компа с някое творение на HIPS-индустрията (майтап) и му казваме: "Виж ся', тука имаме 50 приложения. Някой от тях са безвредни и съвсем обикновени, други са били обикновени и безвредни, ама ние сме скрили гадинка в тях и трети, са напълно вредни... Айде да те пробваме, колко от безвредните ще успееш да инсталираш/разпознаеш, пипайки само с HIPS-а, колко от модифицираните безопасни ще блокираш и колко от наистина опасните ще спреш..." Ами мисля, че резултатът ще бъде плачевен, защото при всяка грешка ССП губи, независимо дали е спрял всички гадини..., освен 1, или е пуснал всички гадини, освен една... Няма Load Game! Пък, съответната защита нека си е добра колкото ще... За мен, такъв един тест е достоверен, който работи със средна стойност на рисковия фактор (ЗКУ), а не такъв, който е изцяло механизиран и се прави от такива, които с това си вадят хляба или очакват конкретна опасност от конкретна посока. Последното хипотетично тестче, аз посмъртно не мога да го мина... Нещо ме съмнява, че tnn и tanganika също... Може би Night_Raven или B-boy/StiLe/ ще успеят, ако са в кондиция....

Направо си заприличва на изпитание от SAW ("Убийствен пъзел")... Let's Game Begin!

[Night_Raven]

Вече трябва да съм го казвал повече от веднъж, но ще го кажа отново, щом се налага. HIPS, като принципи на работа и идея, е сред най-солидните защити. Една наистина добра HIPS програма може да бъде много трудно преодоляна, а ако е настроена добре с допълнителни подсигурени места, то тя е почти непробиваема. При HIPS механизмите ахилесовата пета е била, е и ще бъде и занапред потребителят. Те затова авторите на зловреден код се опитват не толкова да пробият HIPS програмите, колкото да да успеят да заблудят потребителите да позволят стартирането на отрочето им. То затова и HIPS не е защита за начинаещи, а може би и дори леко напреднали, потребители. HIPS е общо взето на крайностите - предлага най-пълен контрол върху системата и в общи линии най-добрата защита (макар да не съвсем без конкуренция) спрямо останалите методи на защита, но и е най-сложната за настройка и работа защита. Просто такъв е характерът/типът на HIPS механизмите. Има много видове защитни програми и всеки е свободен да избере най-оптималните за него програми. Никой не е виновен, че доста потребители просто не могат да изберат правилно по една или друга причина. Колко му е някой като tanganika да се изцепи насам натам, че Comodo Internet Security е най-яката програма, правена някога, което да накара неуките, но лесно впечатляващи се, потребители веднага да си я инсталират, без да се доосведомят колко е сложна за работа например и какъв точно е принципът й на работа. Те я инсталират, защото е "най-добрата", но идея си нямат, че "най-добра" е много относително понятие. А ако препоръчващият "специалист" не доуточни за какво става въпрос, другият потребител съвсем ще живее в заблуда, че е защитен. Да не говорим, че има и хора, които дори след по-сериозно осведомяване все пак си инсталират някоя по-сложна програма, защото си надценяват възможностите.

Правилният избор на защитна програма е много важен и е една от основите на добре защитен компютър, защото потребители има най-различни и програма, която е добра за един потребител, няма да е реално добра за друг потреибител, независимо, че сама по себе си е страхотна. То и едно ферари само по себе си е страхотно, но дали е подходящ за всяка страна и всеки жител?

 

Колкото до тестовете, да, за тях си прав. Но имай предвид, че с тези тестове се тества просто дали дадената програма въобще би отреагирала в дадена ситуация. Т.е. тества се дали съответната HIPS програма поддържа и разпознава различни и разнообразни действия, които се извършват в системата. Има различни начини даден зловреден код да се нагнезди в даден комютър. Въпросът е, ако даден зловреден код бъде стартиран, той ще бъде ли видим за HIPS-а въобще или ще използва техники, които съответната HIPS програма просто не следи и ще успее да си свърши работата, без бъде усетен. А вече как би реагирал даден потребител е отделен въпрос. Тества се дали въобще би му се дал шанс да блокира заплахата или ще бъде директно компрометиран, без да се разбере.

[draco_volans]

Еми и аз на това исках да наблегна, макар и по малко заядлив начин... Правят се тестове на HIPS-защитните програми в строго специфична, изолирна среда (in vitro), на базата на които се оценяват качествата на съответната програма. Човешкият фактор се ограничава колкото може повече. Но после, резултатите от тестовете веднага се превръщат в реклава, която е насочена към широката аудитория (GET IT NOW FREE!!!)... Никъде не пишат: "Ако се чувствате прости, моля не ползвайте нашия продукт!" Това не е изгодно за търгувията, пък и те на Запад (US) си се знаят: ха са изцепили нещо подобно, ха се намерил някой да ги съди за дискриминация, щото си помислил, че го наричат тъп (казус тип Aли Макбийл). Все пак, тази реклама си казва думата и някои ентусиасти, дето не знаят за какво точно става на въпрос, подкачат и почват да тръбят колко било ефективно това жувотно HIPS-a, без да отбелязват колко дълбоки познания се искат, за да се ползва с такава ефективност, каквато е според думите им... Способността да се разграничава верния от погрешния избор остава на заден план... и всичко изглежда толкова лесно: изскоква ти зловредни код (като по анимационен филм) и Block! Хората се увличат по тази илюзия, слагат стената и... когато напускат гадините, се чудят защо не са се опазили... Ами, защото са си надценили познанията и са повярвали на рекламата... И аз до преди половин година, това HIPS-a изобщо не го знаех какво е, но после Бат' tanganika като почна с безпрецедентно убедителните си експерименти и ме кандардиса и за малко повярвах, че това е манна небесна... После прочетох и видях, че нещата са доста по-сложни, но пак ми беше любопитно да пробвам да видя какво е това нещо, какво точно представлява... Мисля, че за повечето по-малко разбиращи потребители, като мене, пък и за тези които си мислят, че разбират е валидно правилото:

http://i37.tinypic.com/10qbhut.jpg

Ще спасявате, какво да ни правите... В секциите Downloads, срещу този тип продукти никога няма да сложат стрелкичка: "Ако се чувствате прекалено прости, за да ползвате този продукт, моля цъкнете тук..."

[Гост tnn]

Всеки може да ги ползва, с който антивирус желае - аз пробвах съвместимостта с някои. Предпочетох с тази цел да ги инсталирам- вместо да ползвам техните онлайн скенери. Винаги следва да са водещи собствената преценка и личния избор- защото и отговорността за възможни последствия с усложнения също си е лична. Ще кажа само, че нещата не са много сложни и трудни - за човек с желание. Поздрави

[tanganika]

draco_volans,въпреки че съм тотален аматьор разчитащ единствено на HIPS + Firewall вече 10 месеца нито една програма не е открила нищо и в двата компютъра които ползвам.Да наистина HIPS-а е много труден за ползване и настройки,но знаеш ли как може да се изяде цял слон ?

Ами хапка по хапка не може наведнъж.

 

Да възможно е начинаещ който е решил да ползва HIPS + Firewall да направи грешка,но също така ако разчита на антивирусна положението му няма да е по-розово,нали виждаш колко хора търсят помощ във форума чийто ОС е защитавана от антивирусна програма.Дори начинаещия потребител да допусне грешка зловредния код няма да може да нанесе толкова сериозни щети защото HIPS-а е многопластова защита.Комодо и Online Armor Free имат много ценни опции при рестарт на ОС да блокират/затварят приложения за които няма изрично създадени правила

 

http://i33.tinypic.com/fkv037.png

 

Тоест ако зловредния код има нужда да се доинсталира при рестарт въпреки че преди това потребителя е цъкал на Allow до второ пришествие ще бъде осакатен,няма да си свърши работата за която е създаден и ще бъде елементарен за отстраняване.

 

Напълно съм съгласен с Tnn че „нещата не са много сложни и трудни - за човек с желание”

[damto]

http://www.matousec.com/downloads/leaktests.zip

 

http://www.anti-malware.ru/forum/index.php...=7469&st=60

 

Внимателно с архива - има риск от заразяване

[Гост tnn]

https://www.virustotal.com/analisis/1a005e8...151e-1253635201 File leaktests.zip received on 2009.09.22 16:00:01 (UTC)

Current status: Loading ... queued waiting scanning finished NOT FOUND STOPPED

 

 

Result: 37/41 (90.25%)

Antivirus Version Last Update Result

a-squared 4.5.0.24 2009.09.22 -

AhnLab-V3 5.0.0.2 2009.09.22 Win-Trojan/Downloader.23040.FS

AntiVir 7.9.1.23 2009.09.22 TR/Click.Small.IP

Antiy-AVL 2.0.3.7 2009.09.22 Trojan/Win32.Small.gen

Authentium 5.1.2.4 2009.09.21 W32/Trojan.IHU

Avast 4.8.1351.0 2009.09.21 Win32:Small-AHL

AVG 8.5.0.412 2009.09.22 Clicker.XH

BitDefender 7.2 2009.09.22 Trojan.Clicker.Small.IP

CAT-QuickHeal 10.00 2009.09.22 TrojanClicker.Small.il

ClamAV 0.94.1 2009.09.22 Trojan.Clicker.Small-104

Comodo 2403 2009.09.22 Application.Win32.LeakTest.AWFT

DrWeb 5.0.0.12182 2009.09.22 Trojan.Click.743

eSafe 7.0.17.0 2009.09.22 Win32.Banker

eTrust-Vet 31.6.6753 2009.09.22 -

F-Prot 4.5.1.85 2009.09.21 W32/Trojan.IHU

F-Secure 8.0.14470.0 2009.09.22 Trojan-Clicker.Win32.Small.ip

Fortinet 3.120.0.0 2009.09.22 Misc/LeakTest

GData 19 2009.09.22 Trojan.Clicker.Small.IP

Ikarus T3.1.1.72.0 2009.09.22 Trojan-Downloader.Win32.Small

Jiangmin 11.0.800 2009.09.22 TrojanClicker.Small.dj

K7AntiVirus 7.10.851 2009.09.22 Trojan-Clicker.Win32.Small.il

Kaspersky 7.0.0.125 2009.09.22 Trojan-Clicker.Win32.Small.ip

McAfee 5749 2009.09.22 New Win32.g4

McAfee+Artemis 5749 2009.09.22 potentially unwanted program Demo-LeakTest

McAfee-GW-Edition 6.8.5 2009.09.22 Heuristic.BehavesLike.Win32.Suspicious.H

Microsoft 1.5005 2009.09.22 TrojanClicker:Win32/Small

NOD32 4447 2009.09.22 Win32/Leaktest.AWFT

Norman 6.01.09 2009.09.22 W32/Agent.NKX

nProtect 2009.1.8.0 2009.09.22 -

Panda 10.0.2.2 2009.09.22 Generic Malware

PCTools 4.4.2.0 2009.09.22 HackTool.FwBypass.B

Prevx 3.0 2009.09.22 -

Rising 21.48.14.00 2009.09.22 Trojan.Clicker.Small.hf

 

r:\sav\ruta_trabajo1\82749504.zip>>Breakout/breakout-mz.exe Infected:Trojan.Agent.bah

 

r:\sav\ruta_trabajo1\82749504.zip>>Breakout2/breakout-wp.exe Infected:Trojan.Agent.zag

 

r:\sav\ruta_trabajo1\82749504.zip>>DNStest/dnstest.exe Infected:Trojan.Agent.azw

 

r:\sav\ruta_trabajo1\82749504.zip>>FireHole/firehole.exe>>6d Infected:Backdoor.Win32.FireHole.a

 

r:\sav\ruta_trabajo1\82749504.zip>>TooLeaky/tooleaky.exe Infected:Packer.Win32.UnkPacker.a

Sophos 4.45.0 2009.09.22 Mal/Generic-A

Sunbelt 3.2.1858.2 2009.09.22 Trojan.Win32.Generic!BT

Symantec 1.4.4.12 2009.09.22 Trojan Horse

TheHacker 6.5.0.2.014 2009.09.21 Trojan/Clicker.Small.ip

TrendMicro 8.950.0.1094 2009.09.22 TROJ_CLICKER.CQD

VBA32 3.12.10.10 2009.09.21 Trojan-Clicker.Win32.Small.ip

ViRobot 2009.9.22.1948 2009.09.22 Trojan.Win32.Clicker.23040

VirusBuster 4.6.5.0 2009.09.22 Trojan.CL.Small.FBB Ето и доклад от a-squared Free - Версия 4.5

Последно обновяване: 9/22/2009 6:51:11 PM

 

Настройки на проверката:

 

Scan type: N/A

Обекти: C:\Downloads\leaktests.zip

Проверка на архиви: Включено

Евристика: Изключено

ADS Проверка: Включено

 

Начало на проверката: 9/22/2009 7:08:25 PM

 

C:\Downloads\leaktests.zip/breakout-ie.exe Открити: Trojan-Downloader.Win32.Small!IK

C:\Downloads\leaktests.zip/breakout-mz.exe Открити: Trojan.Win32.Agent!IK

C:\Downloads\leaktests.zip/breakout-wp.exe Открити: Trojan.Win32.Agent!IK

C:\Downloads\leaktests.zip/copycat.exe Открити: Exploit.Win32.Copycat!IK

C:\Downloads\leaktests.zip/CPILSuite.exe Открити: Win32.SuspectCrc!IK

C:\Downloads\leaktests.zip/dnstest.exe Открити: Trojan.Win32.Agent!IK

C:\Downloads\leaktests.zip/dnstester.exe Открити: Virus.Win32.Trojan!IK

C:\Downloads\leaktests.zip/firehole.exe Открити: Trojan.FireHole.1.0.1!IK

C:\Downloads\leaktests.zip/Ghost.exe Открити: Riskware.Application.Leaktest!IK

C:\Downloads\leaktests.zip/jumper.exe Открити: Virus.Win32.Trojan!IK

C:\Downloads\leaktests.zip/pcaudit.exe Открити: Virus.Win32.Trojan!IK

C:\Downloads\leaktests.zip/pcaudit2.exe Открити: Riskware.Monitor.Win32.LeakTest!IK

C:\Downloads\leaktests.zip/lt-runner.exe Открити: Virus.Win32.AdWare!IK

C:\Downloads\leaktests.zip/surfer.exe Открити: Virus.Win32.Trojan!IK

C:\Downloads\leaktests.zip/thermite.exe Открити: BehavesLikeWin32.ExplorerHijack!IK

C:\Downloads\leaktests.zip/tooleaky.exe Открити: Riskware.application.Win32.LeakTest!IK

C:\Downloads\leaktests.zip/Yalta.exe Открити: Virus.Win32.Trojan!IK

C:\Downloads\leaktests.zip/zabypass.exe Открити: HackTool.Win32.FWBypass.A!IK

 

Проверени

 

Файлове: 129

Следи: 0

Бисквитки: 0

Процеси: 0

 

Открити

 

Файлове: 18

Следи: 0

Бисквитки: 0

Процеси: 0

Записи в регистъра: 0

 

Край на проверката: 9/22/2009 7:08:29 PM

Време за проверката: 0:00:04