System Safety Monitor и др. HIPS-системы

[Laren]

Цитата

А у меня два!!!

Так не бывает.

Бывает, у нас так было на одном из компов. Зависит от того, какое кол-во программ и процессов запущено на конкретном компе. 2 - это самое минимальное, меньше не может быть.

[Saule]

Так не бывает.

Бывает, честное слово ;)

А у меня меньше трех ну никак не получается:)

Два процесса svchost.exe, скорее всего, не получаются из-за того, что в одной svchost-группе находится служба 'Remote Procedure Call (RPC)', во второй: 'DCOM Server Process Launcher' и в третьей группа служб согласно след. ключу реестра:

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SvcHost]

"netsvcs"

И вот у меня просто отключена (ручной тип запуска, но сама она не активируется при загрузке) служба DCOM Server Process Launcher :)

Причем на работоспособности, по крайней мере, моей системы на данный момент это практически никак не отражается (максимум: не могут быть выполнены некоторые команды cmd, но лишь редко используемые + если действительно нужно, то в любой момент зашла в консоль и ручками эту службу запустила (потом для отключения - перезагрузка) или, например, Windows Installer самостоятельно не активируется - его точно также нужно запускать ручками, но новые программы через инсталлер Windows (.msi) у меня всё-таки устанавливаю далеко не каждый день).

[NickGolovko]

Бывает, честное слово

И вот у меня просто отключена (ручной тип запуска, но сама она не активируется при загрузке) служба DCOM Server Process Launcher ;)

Причем на работоспособности, по крайней мере, моей системы на данный момент это практически никак не отражается (максимум: не могут быть выполнены некоторые команды cmd, но лишь редко используемые + если действительно нужно, то в любой момент зашла в консоль и ручками эту службу запустила (потом для отключения - перезагрузка) или, например, Windows Installer самостоятельно не активируется - его точно также нужно запускать ручками, но новые программы через инсталлер Windows (.msi) у меня всё-таки устанавливаю далеко не каждый день).

Да, вам проще. Я не могу отключить эту службу - только некоторые компоненты, через WWDC, - так как от нее зависит генерация alertoв моей системой защиты.

[barsukRed]

Неужели запуск серверных процессов DCOM-такой опасный сервис(в плане безопасности),что стоит его отключить или перевести в режим "вручную"?Не думаю,что его надо отключать чтобы экономить ресурсы машины.Один мой знакомый жаловался,что при отключении этого сервиса у него переставал работать один из словарей-я пробовал,есть такое дело! Saule,а почему Вы его на "вручную"?;)

[NickGolovko]

Неужели запуск серверных процессов DCOM-такой опасный сервис(в плане безопасности),что стоит его отключить или перевести в режим "вручную"?Не думаю,что его надо отключать чтобы экономить ресурсы машины;).Один мой знакомый жаловался,что при отключении этого сервиса у него переставал работать один из словарей-я пробовал,есть такое дело! Saule,а почему Вы его на "вручную"?:)

А дело не в ресурсах. :) Дело в закрытии портов.

Ненужные службы следует отключать или переводить в позицию Вручную.

В частности, на моей машине состояние Работает имеют 18 служб; остальные 56 не запущены.

[barsukRed]

А дело не в ресурсах. ;) Дело в закрытии портов.

Ненужные службы следует отключать или переводить в позицию Вручную.

В частности, на моей машине состояние Работает имеют 18 служб; остальные 56 не запущены.

У меня 17 служб работают.А разве WWDC не достаточно для решения этой проблеммы? У меня сервис работает но все порты закрыты(без фаервола)...Мне кажется у Вас

точно так-же:).

[NickGolovko]

У меня 17 служб работают.А разве WWDC не достаточно для решения этой проблеммы? У меня сервис работает но все порты закрыты(без фаервола)...Мне кажется у Вас

точно так-же;).

Для обезвреживания DCOM - достаточно.

[Saule]

Неужели запуск серверных процессов DCOM-такой опасный сервис(в плане безопасности),что стоит его отключить или перевести в режим "вручную"?Не думаю,что его надо отключать чтобы экономить ресурсы машины.Один мой знакомый жаловался,что при отключении этого сервиса у него переставал работать один из словарей-я пробовал,есть такое дело! Saule,а почему Вы его на "вручную"?

Что касается экономии ресурсов, то вот конфигурация компьютера, о котором идёт речь: angel.jpg

Дело совсем не в этом Дело скорее в тех причинах, по которым у вашего друга не работал тот словарь.

Если не вдаваться в подробности, то технология DCOM основана на RPC-механизме и необходима для того, чтобы программные компоненты могли взаимодействовать друг с другом через сеть. Что касается RPC, то этог механизм осуществляет в Windows обмен данными и позволяет одной программе давать указания другим (например, чтобы было нагляднее, словарь у вашего друга таким образом отправлял одному из своих компонентов запрос на выполнение, предположим, определенного поиска и возврата ему найденного результата). И примерно так в системе функционирует множество очень важных приложений, без которых загрузка ОС будет невозможной. Это с одной стороны.

Что же касается другой, то сама суть проблемы состоит в том, что для RPC не имеет значения, где именно функционирует нужная на тот момент программа - на этом же компьютере, на соседнем, или где-то в интернете.

Но тем не менее, не смотря на всё вышесказанное, я очень не советую делать так, как я. Потому что это не совсем нормально :) Можно даже считать, что я всего лишь провожу временный эксперимент и не более того.

[barsukRed]

Что касается экономии ресурсов, то вот конфигурация компьютера, о котором идёт речь: angel.jpg

Дело совсем не в этом Дело скорее в тех причинах, по которым у вашего друга не работал тот словарь.

Если не вдаваться в подробности, то технология DCOM основана на RPC-механизме и необходима для того, чтобы программные компоненты могли взаимодействовать друг с другом через сеть. Что касается RPC, то этог механизм осуществляет в Windows обмен данными и позволяет одной программе давать указания другим (например, чтобы было нагляднее, словарь у вашего друга таким образом отправлял одному из своих компонентов запрос на выполнение, предположим, определенного поиска и возврата ему найденного результата). И примерно так в системе функционирует множество очень важных приложений, без которых загрузка ОС будет невозможной. Это с одной стороны.

Что же касается другой, то сама суть проблемы состоит в том, что для RPC не имеет значения, где именно функционирует нужная на тот момент программа - на этом же компьютере, на соседнем, или где-то в интернете.

Но тем не менее, не смотря на всё вышесказанное, я очень не советую делать так, как я. Потому что это не совсем нормально :D Можно даже считать, что я всего лишь провожу временный эксперимент и не более того.

1:)фраза про ресурсы-это я в шутку(обратите внимание на ее построение). 2 :) Так я и писал что службу DCOM Server Process Launcher выключить мне не удастся :). Saule-машина у Вас классная!(чашка тоже:)).А если серьезно-спасибо за обстоятельный ответ!

[Iomhar Dealgach]

Мне эта софтина в тему - хотел защитить реестр и сделал это даже free версией...

Есть еще правда CyberHawk и CoreForce - КТО ПРОБОВАЛ, ПОДСКАЖИТЕ СТОИТ ли...

[barsukRed]

Есть еще правда CyberHawk и CoreForce

Они коммерческие. Слышал о них хорошие отзывы.А разве SSM Вам не достаточно?

Есть еще правда CyberHawk и CoreForce

Они коммерческие. Слышал о них хорошие отзывы.А разве SSM Вам не достаточно? :)

[NickGolovko]

Тоже бесплатные.

[Iomhar Dealgach]

Они коммерческие. Слышал о них хорошие отзывы.А разве SSM Вам не достаточно?

Они коммерческие. Слышал о них хорошие отзывы.А разве SSM Вам не достаточно? :)

Совсем не коммерческие! Точно freeware!

Вобщем-то функций SSM мне хватает...

Прочел в одном форуме что они более функциональны и легче настраиваются, нежели SSM...

Кто их пробовал - ОТЗОВИСЬ плиз!

[NickGolovko]

Это программы иного типа, нежели SSM. CyberHawk - "экспертная" HIPS, которая выносит вердикты по совокупности действий приложения и потому эффективна не на 100%, как многие другие. CoreForce - скорее брандмауэр, чем HIPS, и если SSM кажется вам сложной, то CF я вам искренне не советую...

[Iomhar Dealgach]

Это программы иного типа, нежели SSM. CyberHawk - "экспертная" HIPS, которая выносит вердикты по совокупности действий приложения и потому эффективна не на 100%, как многие другие.

Понятненько! Здорово разъяснил - СПАСИБО!

CoreForce - скорее брандмауэр, чем HIPS, и если SSM кажется вам сложной, то CF я вам искренне не советую... :)

И здесь СПАСИБО за совет (Была бы у Вас SMS-Копилка - ей богу бы не пожалел!)!

SSM не думаю что настолько сложна - буду копать глубже... :)

Кстати, а что Вы думаете насчет appdefend+regdefend и насчет GeSWall?

На одном забугорном форуме мне посоветовали поставить 3 HIPS и разделить между ними функции вот так:

GeSWall (Sandbox) + CyberHawk (Bhavioral Blocker) + SSM (classical anti-exe and reg defense).

Не слишком ли громоздко? И настолько ли эффективно, чтобы столько памяти им отдать - хотя у меня гектар)???

[NickGolovko]

App/RegDefend - в смысле Ghost Security Suite? Тоже неплох, напоминает SSM, хотя беднее по функционалу и все время просит денег. Что касается комбинации песочницы, поведенческого анализатора и HIPS, то в принципе идея не безумная. На машине без антивируса проблем быть не должно. Кроме того, HIPS-системы известны своей легкостью с точки зрения ресурсов, так как состоят в основном из драйвера, таблицы правил и интерфейса. Имейте в виду, что многие вирусы умеют защищаться от песочницы, а поведенческие анализаторы не могут предотвратить вредоносные действия.

[Iomhar Dealgach]

App/RegDefend - в смысле Ghost Security Suite? Тоже неплох, напоминает SSM, хотя беднее по функционалу и все время просит денег.

Да - Вы правы - я имел ввиду GSS... СПАСИБО за подсказку!

Что касается комбинации песочницы, поведенческого анализатора и HIPS, то в принципе идея не безумная. На машине без антивируса проблем быть не должно. Кроме того, HIPS-системы известны своей легкостью с точки зрения ресурсов, так как состоят в основном из драйвера, таблицы правил и интерфейса. Имейте в виду, что многие вирусы умеют защищаться от песочницы, а поведенческие анализаторы не могут предотвратить вредоносные действия.

Понятно! Так вот у меня уже на машине Avira+Spyware Terminator+Comodo PF...

Значит будут проблемы? Есть варианты избавления?

ЗЫ: Так где-же Ваша SMS-Копилка (smskopilka[dot]ru)?

[NickGolovko]

Копилки нет. Есть репутация. :)

Если не ошибаюсь, с десяти постов у вас есть право ее менять.

Ваше сочетание защитных систем довольно распространено и в принципе неплохо для бесплатных продуктов.

[Iomhar Dealgach]

Ваше сочетание защитных систем довольно распространено и в принципе неплохо для бесплатных продуктов.

Оценка "...неплохо..." мне приятна! Сенкс!

Но это сочетание на Ваш взгляд - нуждается в добавлении HIPS? Тогда какой лучше все-же?

ЗЫ: М.б. еще AVZ добавить?

Копилки нет. Есть репутация. :)

Если не ошибаюсь, с десяти постов у вас есть право ее менять.

Да вот уж двенадцать - что-то не видать где это право ее менять закноплено? :)

[NickGolovko]

Кнопка с плюсом справа от показателя репутации. Впрочем, насчет количества сообщений могу ошибаться. Если вы хорошо осведомлены о принципах работы системы, SSM может быть вам очень полезна.

[Iomhar Dealgach]

С результатами тестов SSM можно ознакомиться здесь (язык правда английский):

http://kareldjag.over-blog.com/2-categorie-69553.html

И я снова в раздумьях...

[Iomhar Dealgach]

И здесь тоже о нем:

http://kareldjag.over-blog.com/8-categorie-69553.html

9 из 10 - думаю очень хорошая оценка!

Теперь решено - SSM на моем железе быть - мне его функций более чем хватит!!!

[Saule]

Кстати, а что Вы думаете насчет appdefend+regdefend и насчет GeSWall?

На одном забугорном форуме мне посоветовали поставить 3 HIPS и разделить между ними функции вот так:

GeSWall (Sandbox) + CyberHawk (Bhavioral Blocker) + SSM (classical anti-exe and reg defense).

GeSWall в качестве песочницы ставить точно не нужно - у неё с изоляцией проблемы. Даже примитивная Sandboxie, размером около 200 кб, с этими обязанностями справляется гораздо лучше.

[Iomhar Dealgach]

GeSWall в качестве песочницы ставить точно не нужно - у неё с изоляцией проблемы. Даже примитивная Sandboxie, размером около 200 кб, с этими обязанностями справляется гораздо лучше.

Все бы ничего - но по 1 грину за 10 килобайт - Этот примитивизм из разряда: "Черный квадрат" Малевича?

ЗЫ: GeSWall будет подлиннее, но freeware... И команда проблемы изоляции вроде решает, судя по инфе с их сайта...

[NickGolovko]

Все бы ничего - но по 1 грину за 10 килобайт - Этот примитивизм из разряда: "Черный квадрат" Малевича?

ЗЫ: GeSWall будет подлиннее, но freeware... И команда проблемы изоляции вроде решает, судя по инфе с их сайта...

Я бы на вашем месте прислушался к Saule, а не к рекламе на сайте GesWall...