System Safety Monitor и др. HIPS-системы

[barsukRed]

Антивирусы,фаерволы... Баловство все это. Только деньги на обновления давай. Защиту надо организовывать на уровне оси и только так. Все,кто с антивирусами и с фаерами-"бегают" по форумам с криками "HELP!". Что говорить.да вы и сами это видите...

[Brox]

Saule, а вы не могли бы рассказать о принципиальных отличиях песочницы от classical anti-exe and reg defense HIPS?

[Saule]

Saule, а вы не могли бы рассказать о принципиальных отличиях песочницы от classical anti-exe and reg defense HIPS?

Песочница (Sandbox), если говорить в двух словах, - это механизм, позволяющий запускать программы и приложения как бы изолированно от операционной системы.

Такие механизмы обычно используются для тестирования подозрительных приложений, а также для ограничения возможностей потенциально опасных программ, т.е. с помощью которых вред операционной системе можно нанести легче всего (как пример, если вы запустите "через песочницу" браузер, то любой вредоносный код, попавший на ваш компьютер через него, не принесет вреда вашей ОС, так как его "общение" с ней будет либо имитировано, либо жестко ограничено в этом плане).

В качестве примеров подобных программ в первую очередь нужно отметить:

GreenBorder

DefenseWall HIPS

BufferZone (+ отдельно: P2P File Sharing, Web Browsers, Instant Messaging)

ShadowSurfer

CORE FORCE

Sandboxie

И ряд бесплатных (но, к сожалению, справляющихся далеко не во всех ситуациях, но при наличии другого ПО для защиты - вполне можно попробовать, хотя бы в целях ознакомления с принципами самих механизмов):

VappWare

DriveSentry

SVS (Altiris Software Virtualization Solution)

Virtual Sandbox 1.0

GeSWall Freeware

Spyberus

[Brox]

Saule, спасибо! :) А со списочком бесплатных обычных HIPS (classical anti-exe and reg defense HIPS), которые не песочница, не поможете?

[Saule]

Saule, спасибо! :) А со списочком бесплатных обычных HIPS (classical anti-exe and reg defense HIPS), которые не песочница, не поможете?

Behavior Blockers HIPS:

System Safety Monitor Free Edition

ProcessGuard

AntiHook

Cyberhawk

Ghost Security Suite

ProSecurity Free Edition

wssecure Application Monitor

All-Seeing Eye

Strata Guard

Firekeeper

WehnTrust

Neoava Guard

Winpooch

DSA

SensiveGuard

API Guard

Hurricanesoft Internet Security 2006 Free Edition

Изменено 25 июля, 2007 пользователем Saule

[torch777]

Saule: А по вашему мнению для организации проф. защиты ПО, что лучше использовать?

[Iomhar Dealgach]

Я бы на вашем месте прислушался к Saule, а не к рекламе на сайте GesWall...

1. Я не спорю о плюсах, о которых говорит несомненно Уважаемая мною Солнце, а лишь упомянул минус (даже Гейтс за подоконники в соотношении байты/доллары берет меньше!)...

2. На сайте Sandboxit тоже реклама...

3. Я и прислушался (почти-что послушался)!

Saule: А по вашему мнению для организации проф. защиты ПО, что лучше использовать?

У меня к тройке файрволл/антивирус/антизловред добавлено System Safety Monitor - все работает, ничего не конфликтит!

...И ряд бесплатных (но, к сожалению, справляющихся далеко не во всех ситуациях, но при наличии другого ПО для защиты - вполне можно попробовать, хотя бы в целях ознакомления с принципами самих механизмов):

VappWare...

У них альфа-версия пока и тестеров они уже набрали (хотя если очень попросить емайлом, то мож и пришлют!

Behavior Blockers HIPS:

...Winpooch...

Был он у меня - чем-то накосячил (а мож я с ним не совладал!) - снес...

Behavior Blockers HIPS:

System Safety Monitor Free Edition...

Им и пользуюсь!

Только вопросик вот есть по-ходу:

Солнце, а есть ли смысл (надо ли) к SSM установить в пару Sandboxie? Они поделять функции или им надо указать жестко на это?

В смысле не будет ли конфликтов и будет ли польза?

СПАСИБО again!

[engineer garin]

Behavior Blockers HIPS:

System Safety Monitor Free Edition

ProcessGuard

AntiHook

Cyberhawk

Arovax Shield

Ghost Security Suite

ProSecurity Free Edition

wssecure Application Monitor

All-Seeing Eye

Strata Guard

Firekeeper

WehnTrust

Neoava Guard

Winpooch

DSA

SensiveGuard

API Guard

Hurricanesoft Internet Security 2006 Free Edition

Для профессиональной защиты вроде как не пользуют всю эту муть . Профи пользуют многоуровневую защиту .

[Iomhar Dealgach]

Для профессиональной защиты вроде как не пользуют всю эту муть...

Вроде как?

...Профи пользуют многоуровневую защиту .

Все в одном флаконе? Каспера рекламируешь? Про него в другой ветке...

[Saule]

Saule: А по вашему мнению для организации проф. защиты ПО, что лучше использовать?

Немного не понятно, вопрос касался организации защиты в целом или задавался относительно списка программ, который приведен выше?

Если первое, то основные обязанности, связанные с защитой, я бы точно не сваливала на антивирус, так как доверять приложению, которое всего лишь сравнивает содержимое найденного со своей базой (при этом база ни при каких обстоятельствах не может быть совершенной) - это более чем сомнительно. Антивирус может использоваться только как контрольное дополнение.

Основные средства по защите, лично для меня - это HIPS + файрволл, установленные на должным образом настроенную систему (без дырок!). При этом оба из компонентов отрегулированы на максимальную чувствительность к происходящему:

- т.е. HIPS не только не позволит завершить один из процессов или осуществить инсталляцию чего бы там ни было без моего ведома, но и, к примеру, предупредит при попытке открыть файл на запись.

- файрволл же в идеале должен задавать вопрос абсолютно о каждом соединении (буквально о загрузке каждой картинки сайта), и пока ему не будет дано согласие, ничего происходить не должно.

В случаях, когда напрягаться не хочется, использование в качестве "песочницы", например, VMware (или другими словами, полностью контролируемую систему внутри вашей системы), которая в таких ситуациях применяется при любом общении с сетью и "неизвестными" вам приложениями.

[Saule]

2. На сайте Sandboxit тоже реклама...

Я делаю выводы исходя не из рекламы, а на основе личного опыта.

GeSWall, не смотря на инфу с их сайта, к сожалению, позволяет с её помощью изолированным программам проникать в основную систему и заражать её. А Sandboxie - действительно делает то, для чего она была создана (какими именно методами - примитивными или подлинными - в такой ситуации и при данном раскладе уже не суть важно).

На соотношение байтов/долларов - честно говоря, при тестировании не обращала внимания, поэтому, возможно, в этом плане вы действительно правы.

Солнце, а есть ли смысл (надо ли) к SSM установить в пару Sandboxie? Они поделять функции или им надо указать жестко на это?

В смысле не будет ли конфликтов и будет ли польза?

Польза может быть только в том случае, если вы сами для себя четко определите, для чего установлена та или иная программа. Изначально конфликтов не будет, но неверная конфигурация может легко к ним привести. Поэтому мне искренне кажется, что для начала вам лучше привыкнуть и разобраться с основными возможностями SSM (так как в программе их более, чем достаточно), а потом уже думать о каких-либо дополнениях, которые вполне возможно будут лично вам не нужны.

Для профессиональной защиты вроде как не пользуют всю эту муть . Профи пользуют многоуровневую защиту .

Высказывайтесь, пожалуйста, обоснованно и по существу. Так как во-первых, просьба Brox'а заключалась в помощи со списком бесплатных программ класса HIPS - контроль над приложениями.

И во-вторых, интересно, как вы себе представляете многоуровневую защиту персонального компьютера в домашних условиях? =)

[NickGolovko]

Высказывайтесь, пожалуйста, обоснованно и по существу. Так как во-первых, просьба Brox'а заключалась в помощи со списком бесплатных программ класса HIPS - контроль над приложениями.

И во-вторых, интересно, как вы себе представляете многоуровневую защиту персонального компьютера в домашних условиях? =)

Ваш собеседник - человек нестандартный.

Не всегда удается понять, что он имеет в виду.

[barsukRed]

И во-вторых, интересно, как вы себе представляете многоуровневую защиту персонального компьютера в домашних условиях? =)

:D А я знаю что имелось ввиду:

* уровень первый-умная,образованная голова пользователя(не зря же учился!);

* уровень второй-умелые руки,которые знают что делают.

Ну как,пройдет зловред такую защиту? :D

[NickGolovko]

Ну если так, то, конечно, многоуровневая защита возможна. :D Например:

- если сайт заражен известной вредоносной программой, она будет детектирована и не пролезет.

- если сайт заражен неизвестной программой - отключены скрипты, она не пролезет.

- если доверенный сайт заражен неизвестной программой - система защищена от браузера системой правил HIPS, вирус все равно не пролезет.

- если файл пинча создается в месте, не контролируемом правилами HIPS - хук на CreateProcess, зараза опять не пролезет.

- если случайно нажмется "Разрешить" и пинч запустится - на компьютере нет никаких сохраненных паролей, и пинч сработает безо всякого результата. :D

[barsukRed]

Совершенно верно сказано! Для перестраховки браузер: ничего не запоминает, при нулевом кэше,все сайты не доверенные,отключены скрипты не только галочкой в настройках браузера но и дополнительным расширением(NoScript)! По поводу последнего хотелось-бы заметить что говорят есть способ поставить галку в firefox на "разрешить Java Script". Cам я,правда, ни разу не встречал в интернете такой эксплойт,но слухи ходят. :D

[NickGolovko]

Нда. Читает кто-нибудь эту тему и думает: "два параноика нашли друг друга"... :) Впрочем, как говорил герой Петросяна, "в нашем деле без этого нельзя..." :)

[barsukRed]

Нда. Читает кто-нибудь эту тему и думает: "два параноика нашли друг друга"... :)

:) :) :) Пусть думают! Думать-это хорошо! Главное,чтобы они,прочитав выше написанное,еще и задумались над этим! :) Разве не для этого существуют форумы? :) :) :)

[engineer garin]

Совершенно верно сказано! Для перестраховки браузер: ничего не запоминает, при нулевом кэше,все сайты не доверенные,отключены скрипты не только галочкой в настройках браузера но и дополнительным расширением(NoScript)! По поводу последнего хотелось-бы заметить что говорят есть способ поставить галку в firefox на "разрешить Java Script". Cам я,правда, ни разу не встречал в интернете такой эксплойт,но слухи ходят. :)

Весьма разумные решения, есть и кой чего еще...

[barsukRed]

Весьма разумные решения, есть и кой чего еще...

Интересно бы узнать :)

[Saule]

По поводу последнего хотелось-бы заметить что говорят есть способ поставить галку в firefox на "разрешить Java Script". Cам я,правда, ни разу не встречал в интернете такой эксплойт,но слухи ходят. :(

Также можно просто скинуть настройки браузера на установленные по умолчанию (обработка Java Script по умолчанию включена) и т.д... Поэтому изменяем данные, выводимые браузером, для того, чтобы большее количество сайтов считало, что вы просматриваете их не с помощью Firefox, а, допустим, с помощью Opera...

И в целом, как уже говорила выше, бесконтрольный запуск браузера осуществляется из под виртуальной машины (или хотя бы из под ограниченной учетной записи, можно с помощью runas). Тогда в любом случае злоумышленник, при удачном для него исходе, попадает не на реальную систему, а на виртуальную.

[barsukRed]

Поэтому изменяем данные, выводимые браузером, для того, чтобы большее количество сайтов считало, что вы просматриваете их не с помощью Firefox, а, допустим, с помощью Opera...

Вы имеете ввиду смену названия браузера? "var namebrouser=navigator.appName" на это поведется? :(

[Iomhar Dealgach]

:D :D :D Пусть думают! Думать-это хорошо! Главное,чтобы они,прочитав выше написанное,еще и задумались над этим! :) Разве не для этого существуют форумы? :) :) :)

Для этого... А еще существуют соответствующие темки (топики) - Кто-нибудь еще помнит как эта темка обзывается?

[barsukRed]

Конечно помнит. :D Читайте пост №61 и последнее предложение... :D

[Saule]

Вы имеете ввиду смену названия браузера? "var namebrouser=navigator.appName" на это поведется?

Я имею в виду смену идентификатора браузера. В большинстве случаев этого вполне достаточно, чтобы сайт во время соответствующей проверки принял бы ваш браузер за какой-нибудь другой (благодаря чему эксплойт не сможет корректно сработать).

[NickGolovko]

- т.е. HIPS не только не позволит завершить один из процессов или осуществить инсталляцию чего бы там ни было без моего ведома, но и, к примеру, предупредит при попытке открыть файл на запись.

А что ж это за HIPS, если не секрет? Я давно ищу своей системе такую замену, но до сих пор не видел подобного.