Firewall + HIPS

[Night_Raven]

Каква е разликата между System Safety Monitor платената и безплатната (кои функции липсват в безплатната) ?

Сайтът на програмата отдавна го няма, но е хубаво, че има Archive.org. Скролни надолу и виж таблицата. На пръв поглед изглежда доста поорязана, но на втори (и евентуално трети) поглед се оказва, че не е чак толкова. Т.е. липсват функции наистина, но основните неща са там и са си доста подробни и в уж базовия си вид. Т.е. изглежда по-орязана, отколкото е в действителност. Разбира се HIPS фанатиците няма да са доволни, но като цяло това е една отлична защитна програма и дори безплатната е достатъчна в повечето (да не кажа почти всички) случаи.

[Pe6o]

Night_Raven&tanganika,

Разбира се, че HIPS защитава регистрите, но тук става въпрос за промените в регистрите, а това са две коренно различни неща и не бива да се смесват.

За да стане ясно, какво имам впредвид, ще си послужа със следния пример.

Защитната формация се състой от SSM+Threat Fire. За HIPS регистрите са един файл/и по дефиниция е така/ и ги защитават като такъв, но нямат отношение към промените вътре в тях.

Извършвам нещата ръчно, но същото може да се приложи и от зловреден код.

1.Отварям регистрите. HIPS се задейства и това е защитата на регистратурата. При определени условия това защитно действие може да се елеминира.

Мога да дам примери, но това е друга тема, затова продължаваме нататък в съответствие с пояснението по т.1.

 

http://img151.imageshack.us/img151/7124/tcpip1final.jpg

 

2.Отиваме на:HK_L_M\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Interfaces\xxxxxxxxxxxxxxxxxxx-->IPAddress

 

http://img151.imageshack.us/img151/2554/tcpip2final.jpg

 

3.Десен клик върху:"IPAddress".Отваряме: "Modify Binary Data".

4.Променяме поне една цифра на IPAddress'a. OK.

 

http://img151.imageshack.us/img151/3599/tcpip3final.jpg

 

5.Реакцията на "Threat Fire".

 

http://img151.imageshack.us/img151/4751/tcpip4afinal.jpg

http://img151.imageshack.us/img151/8344/tcpip6final.jpg

 

Последствието от това действие е че след първият рестарт губим достъпа до Интернет. Значи до този момент нямаме реакция на SSM.

Мога да дам и други примери със значителни пробиви в сигурността/например преподреждане стартирането на драйвърите- писахме за 0,1...4/ и затова

препоръчах комбинацията: HIPS+Bi&Blocker програма.

Весели празници!

http://img147.imageshack.us/img147/9682/1aaj.gif

http://img147.imageshack.us/img147/5963/nm1aa.gif

[Night_Raven]

Това е различно. Едно е потребител ръчно да отвори и редактира регистратурата. Друго е външна програма да се опита да направи промените без това да е видимо за потребителя.

Смисълът на защитата е да няма потайни промени по нея без знанието на потребителя.

Това не прави едновременното наличие на HIPS и behaviour blocker препоръчително. Не е задължително фатално, но като цяло не е особено добра идея, защото това са програми със сходни функции. Дори може би почти идентични, с разликата, че behaviour blocker програмите извършват нещата автоматично (т.е. автоматичен HIPS в общи линии).

[damto]

Да излиза че съм прав,HIPS-а не сканира/анализира „ «разрешенное действие –

запрещенное действие» „ за това няма товарене на системата.

 

Nikssi,благодаря за предоставената информация.Осъзнаваш ли че това е доказателство за всички мои твърдения и как тотален аматьор като мен е разбрал принципа на действие на HIPS програмите за разлика от „специалистите” в тази област които не ми позволяваха да пиша в онзи друг форум защото съм подвеждал потребителите ? Излиза че може да сме защитени само с HIPS + FirreWall и то до 100 %.

Троянските коне,червеите,ментаците и т.н. не представляват никаква заплаха за HIPS-а при правилна реакция на потребителя,но от статиите/интервюта които чета установявам че заплаха за HIPS-а са Rootkits и борбата е кой ще се стартира първи от там нататък всичко е ясно кой ще победи.

 

 

Правиш извадки,такива които ти изнасят.Ако беше прочел по надолу щеше да видиш че само с HIPS не се и препоръчва в тази статия.

 

Не ми се търси да ти цитирам края май поста ми е изтрит.

Е,не ми и дреме нека си трият затова са модераторите.Хе хе голям си бил специалист бре дръжки

Не познаваш нито една програма от тези които хулиш задълбочено и естествено ставаш смешен.Нали твърдеше,нещо за HIPS-а на Касперски май не си много в час А?

Защо тогава изобщо коментираш нещо което не познаваш?

[tanganika]

Правиш извадки,такива които ти изнасят.Ако беше прочел по надолу щеше да видиш че само с HIPS не се и препоръчва в тази статия.

 

Не ми се търси да ти цитирам края май поста ми е изтрит.

Е,не ми и дреме нека си трият затова са модераторите.Хе хе голям си бил специалист бре дръжки

Не познаваш нито една програма от тези които хулиш задълбочено и естествено ставаш смешен.Нали твърдеше,нещо за HIPS-а на Касперски май не си много в час А?

Защо тогава изобщо коментираш нещо което не познаваш?

 

Не се препоръчва ползването само на HIPS поради финансови изгоди за Kaspersky Lab.

Ти би ли рязал клона на който седиш ?

Малко по-надолу беше написано че е възможно и само с HIPS,но потребителя трябва да е наясно с материята,а всяко нещо си има цена.

Касперски има HIPS,но не е от най-добрите на 9-то място в тестовете на „matousec” ако обаче го сравнявам с този на AntiHook и ProcessGuard отива на още по-ниско ниво.

Не оплювам Касперски само ме дразни арогантното поведение на касперци,които се опитват да убедят ползвателите че продукта им е мислещ (сигурно си вярват че може и шах да играе).Дори и частично автоматизираните защитни програми са мнооого по-лесни за заобикаляне от зловредния код.

[mihnev_sz]

Не се препоръчва ползването само на HIPS поради финансови изгоди за Kaspersky Lab.

Ти би ли рязал клона на който седиш ?

Малко по-надолу беше написано че е възможно и само с HIPS,но потребителя трябва да е наясно с материята,а всяко нещо си има цена.

Касперски има HIPS,но не е от най-добрите на 9-то място в тестовете на „matousec” ако обаче го сравнявам с този на AntiHook и ProcessGuard отива на още по-ниско ниво.

Не оплювам Касперски само ме дразни арогантното поведение на касперци,които се опитват да убедят ползвателите че продукта им е мислещ (сигурно си вярват че може и шах да играе).Дори и частично автоматизираните защитни програми са мнооого по-лесни за заобикаляне от зловредния код.

@Tanganika ,aйде сега и финансов консултант ли стана .Ти не си ли фен на Comodo или беше?Ти беше този, който промива/ше мозъци с Comodo за съвършената програма за защита,програмата защитаваща на 100% от всякакви заплахи,дрън дрън.

Точно поради тази причина не мисля да те убеждавам в каквото и да е било.Само ще ти напомня,понеже е факт ,че Comodo e шпионски софтуер. Това не можеш да го преглътнеш,но факта си е факт.Но, това да намесваш феновете и да оплюваш програмите наред без никакви аргументи и доказателства си е детска му работа.

 

Безспорно HIPS е технологията на бъдещето, но не е приложима мащабно няма и как да стане,като изцяло самостоятелно приложение, тъй като не всеки е с нужните познания и не всеки е длъжен да разбира от всичко и естествено идва момент на фаталната грешка, давайки грешното и сляпо решение за достъп.

 

Да очакваш от обикновения потребител,който понякога не знае с каква ОС е в момента,да взима правилните решения си е жива фантазия.Още повече,че може дори да се достигне до пълен блокаж.

Затова HIPS като самостоятелно приложение е непрепоръчително.Професионалистите и маниаците на тема защита ще се справят поне в повече случаи но другите...

 

И още повече,не можеш да сравняваш комплексна програма за защита с HIPS механизъм с индивидуална HIPS програма,понеже се засягат и интереси на самите потребители и защитата от която имат нужда,определено не опира до едно единствено HIPS приложение в защита под Windows OS.

 

mihnev,HIPS-а на Аваст ли реагира първи при опит за инсталиране на драйвер или този на SSM ?

Интересно коя ли е доминиращата,коя има пълен контрол над ОС-ма ?

 

P.s. Блокера на Avast ,реагира,но на определени разширения,за които му е зададено да блокира.

Няма място за сравнение!Не намирам логика във въпроса ти!

[B-boy/StyLe/]

@tanganika - за какъв модул на D.E.P. в HIPS програмите става въпрос ?

 

D.E.P. си се поддържа от Windows XP SP2 нагоре и Windows Vista, но за да се възползваш напълно от него трябва да имаш и подходящ хардуер за целта:

 

http://pic-bg.net/files/eaqip1tnkq7z3t1rj1kuh8r78im84rwmhbgu69fq.jpg

 

И той си пази само Win файловете + услугите и трябва да го настроиш допълнително, ако искаш да го направиш активен за всички файлове:

 

http://pic-bg.net/files/igxl5ay22f57qzpf267ogcyh2buslpjc1lmnkf0l.jpg

 

И все пак не бих се доверил напълно на него...По-добре си обновявай старичкия софтуер с инструмент като Secunia Personal Inspector (за който Night_Raven спомена по-нагоре).

 

То и квантова защита щяло да има, но всичко направено от човек се заобикаля от същия:

 

Мечтата за перфектна онлайн защита е с една идея по близо до потребителите след като на научната конференция във Виена, Австрия бе показана първата непробиваема компютърна мрежа в света. Мрежата свързва шест различни точки във Виена, като използва 200 километра стандартни оптични кабели. Типичната защита на компютърни мрежи, която се използва в момента е базирана на сложни математически процедури, които са изключително трудни за пробиване от външни лица, но с достатъчно добра техника или повече време са преодолими.

 

Новата квантова защита е базирана на законите на квантовата теория и според създателите й тя е на практика непробиваема колкото и време и ресурси да се отделят за преминаването през нея.

 

Също и нещо като обновен D.E.P.

 

В университета на американския щат Мичиган е разработена технология, която е способна да предпази централния процесор на компютъра от изпълнение на код, който съдържа грешка, а също така да предотврати поемане на контрол над компютъра от злосторници.

 

Разработчиците са нарекли технологията ''Семантичен страж''. Технически тя представлява малка система за мониторинг на процесора, която проверява дали кода на дадена програма не се опитва да изпълни действие, което не е планирано от създателите на програмата.

 

Създателите на технологията казват, че тяхната програма работи на физическо и логическо ниво. При първото тя предотвратява изпълнението на код, който води до ''зависване'' на процесора, а при второто тя предотвратява изпълнение на код, който предизвиква препълване на буфера, DoS-атаки и др. Семантичният страж може в движение да разкрива неочаквани за оборудването състояния и да забавя работата на процесора, за да спре въздействието на нежеланите действия.

 

От университета в Мичиган казват, че под "забавяне" те разбират спиране на някои цикли за части от секундата за анализ, което няма да бъде забелязано от потребителя. С това решение ще се предотвратят сривове на системата и загуби на данни, които още не са били записани на диска.

 

Живот и здраве ще ги видим...

[tanganika]

Mihnev,никога не съм бил фен на която и да е програма,но Комодо си остава най-добрата защитна стена не случайно е на първо място.А това че Комодо не допусна нито един вирус въпреки че съм се ровил къде ли не (винаги на параноични настройки) е вярно и факт.Всяка инсталирана програма на компютъра ти може да те шпионира,свали си розовите очила подарени от Kaspersky.Lab и той не е в състояние да те опази от шпионаж на такова ниво.Докато успеят да направят HIPS-а на Касперски добър ще измислят нова по-съвършенна технология.Аз не говоря за обикновения потребител а принципно на какво е способен HIPS-а при правилна употреба и го доказвам на практика за тези които не вярват.Nikssi беше дал извадка от книга където писателя който е специалист в компютърната сигурност твърдеше следното:

„Эффективность HIPS может доходить до 100% предотвращения повреждения или инфицирования системы”

 

Например когато стартираш Gmer който инсталира драйвер,Аваст ли блокира инсталирането първи или SSM ?

[tanganika]

Mihnev

@Tanganika ,aйде сега и финансов консултант ли стана .Ти не си ли фен на Comodo или беше?Ти беше този, който промива/ше мозъци с Comodo за съвършената програма за защита,програмата защитаваща на 100% от всякакви заплахи,дрън дрън.

Точно поради тази причина не мисля да те убеждавам в каквото и да е било.Само ще ти напомня,понеже е факт,че Comodo e шпионски софтуер.Това не можеш да го преглътнеш,но факта си е факт.Но, това да намесваш феновете и да оплюваш програмите наред без никакви аргументи и доказателства си е детска му работа.

Mihnev и това ли не е аргумент че Касперски занижават и така ниското им ниво на сигурност което осигуряват,виж тази диаграма с процентите спрямо годината и датата.

 

http://www.matousec.com/projects/proactive...5&to_y=2009

 

Държат 9-то място със страшна клизма,но за сметка на това са арогантни когато някой се опитва да им покаже дупка в сигурността на програмата.Уязвимост която може да се използва дори и от ограничен акаунт:

http://www.rootkit.com/newsread.php?newsid=726

Ако кажеш че това е било за версия 6.0-7.0 пак виж горната диаграма и резултатите от тестовете на версия 2009 8.0.0.506,където се виждат все същите основни слабости,тоест възможности за прекратяване на защитата от зловреден код.

 

Nikssi,знам че си голям фен на ограничения акаунт,но изглежда голяма полза няма и това не може да помогне на Касперски.EP_X0FF който е създател на невидими rootkits го твърди не аз.

[damto]

Nikssi,знам че си голям фен на ограничения акаунт,но изглежда голяма полза няма и това не може да помогне на Касперски.EP_X0FF който е създател на невидими rootkits го твърди не аз.

 

Хе,хе не аз съм фен,по скоро това е допълнително подсигуряване. Ти Wista,Windows 7 пробвал ли си? Не си - затова пишеш бисери.

Чети човече,чети

[S235]

Дали биха се сдружили- КАВ 2009 + PC Tools Firewall +Process Guard Free?

[Night_Raven]

Между PC Tools Firewall Plus и ProcessGuard Free не би трябвало да има проблеми. Не знам обаче Kaspersky AntiVirus как ще се разбира с тях.

[damto]

Дали биха се сдружили- КАВ 2009 + PC Tools Firewall +Process Guard Free?

 

Фукционирането на KAV и Process Guard ще е нарушено и на практика и двете защитни програми ще са - неработещи пълноценно.

 

http://prikachi.com/files/812429X.jpg

 

Ако желаеш да ползваш Process Guard Free,който е доста поорязан трябва да деинсталираш Касперски Антивирус и обратното.

КАВ 2009 + PC Tools Firewall работят добре и без конфликти.

[S235]

Фукционирането на KAV и Process Guard ще е нарушено и на практика и двете защитни програми ще са - неработещи пълноценно.

Да разбирам ли, че всички HIPS програми, биха имали конфликт с КАВ?

[tanganika]

Да разбирам ли, че всички HIPS програми, биха имали конфликт с КАВ?

Няма да имат конфликт но първо трябва да инсталираш стената поставяш я в обучителен режим и след това инсталираш КАВ,като най-добре е след това да настроиш стената въобще да не се занимава с КАВ,трябва да има пълна свобода на действие за да работят нормално,да не си пречат и да товарят системата.Вероятно стената ще е доминираща и ще се стартира първа,поне при мене с Comodo Firewall беше така.

 

Комбинацията с КАВ + ProcessGuard обаче е по-сложно и трудно.