System Safety Monitor и др. HIPS-системы

[barsukRed]

Я имею в виду смену идентификатора браузера. В большинстве случаев этого вполне достаточно, чтобы сайт во время соответствующей проверки принял бы ваш браузер за какой-нибудь другой

Если Вы говорите о способе через about:config-general.useragent.extra.firefox то тест-сайты меня определяют влегкую. :) Если Вы знаете еще способ-научите простого юзера! Не пожадничайте!

(благодаря чему эксплойт не сможет корректно сработать).

Простейший определитель браузеров на JavaScript для подбора эксплойтов тоже не удается обмануть... :) Что делать? Помогите!!!

[Saule]

А что ж это за HIPS, если не секрет? Я давно ищу своей системе такую замену, но до сих пор не видел подобного.

Этот HIPS позволяет это делать.

Если Вы говорите о способе через about:config-general.useragent.extra.firefox то тест-сайты меня определяют влегкую. :) Если Вы знаете еще способ-научите простого юзера! Не пожадничайте!

Ручками создаете:

general.useragent.override

(идентификатор браузера)

general.useragent.vendor

(браузер)

general.useragent.vendorSub

(версия браузера)

[barsukRed]

Ручками создаете:

general.useragent.override

(идентификатор браузера)

general.useragent.vendor

(браузер)

general.useragent.vendorSub

(версия браузера)

:) Вот спасибо большое! Попробовал. В подавляющем большинстве обманули сайты. :) А с определителем от ротатора так и не получилось... Не ошибается,определяет... :) Видно вредный попался...

Огромное,Saule, Вам спасибо. За помощь и за диалог тоже. :) Интересный Вы человек!

[NickGolovko]

Этот HIPS позволяет это делать.

Что ж, спасибо. Осталось дождаться, пока на сайте появится хоть одна рабочая ссылка на столь заманчиво описанный продукт... :) Потому как решение, которое нельзя увидеть даже по ссылке "Записаться в бета-тестеры", можно считать несуществующим. :)

[Iomhar Dealgach]

Что ж, спасибо. Осталось дождаться, пока на сайте появится хоть одна рабочая ссылка на столь заманчиво описанный продукт... :) Потому как решение, которое нельзя увидеть даже по ссылке "Записаться в бета-тестеры", можно считать несуществующим. :)

Присоединяюсь к ожидающим... Nick, Мы просто - УВЫ! - не успели, а вот Солнце его получила и обкатала...

Не думаю, что Она говорит о том, чего не знает...

[Iomhar Dealgach]

Нарыл в инете прогу китайских товарищей: EQSysSecure 2007

Прога freeware, русского языка нет - только английский (и китайский конечно)!

Рекомендую тем, кто в HIPSах использует только функции Anti-Exe и Registry Defense -

Делает она это аккуратно и много памяти не берет!

Не конфликтит с Avira(Avast) и Comodo PF...

При использовании с Spybot S&D у последней надо отключить "Поиск несовместимостей в реестре".

Нормально работает в группе с GeSWall/Sandboxie (Sandbox функции только) + CyberHawk (Behavioral Blocker функции только).

Ссылка: http://www.eqspywatch.com (на китайском, но названия ссылок в панели FireFox при наведении курсора - английские, и найти download несложно!).

[Saule]

Нарыл в инете прогу китайских товарищей: EQSysSecure 2007...

Отличная программа. Тем более, если учесть тот факт, что она еще и бесплатная.

В двух словах со скриншотами:

EQSysSecure 2007

Прямая ссылка на файл инсталляции: EQSysSecureSetup.exe

Как включить английский язык:

Интерфейс выглядит следующим образом:

Защита делится на 3 части:

- Registry Protect - контроль над созданием, изменением и удалением ключей реестра.

- Files Protect - контроль над созданием, чтением, изменением и удалением файлов.

- Application Protect - контролируются следующие события:

Execute application

(запуск приложений)

Load library file

(загрузка библиотек)

Load driver

(загрузка драйверов)

Access to physical memory

(доступ к физической памяти)

Low-level disk operation

(низкоуровневые операции с диском)

Create remote thread

(создание потоков в других процессах)

Modify the memory of other processes

(модификация памяти других процессов)

Shutdown/Restart system

(выключение и перезагрузка системы)

Terminate/Suspend Thread

(уничтожение и остановка потоков)

Install global hook

(установка глобальных перехватов)

Install service or driver

(установка службы или драйвера)

Key logger

(перехват клавиатуры)

Modify system time

(изменение системного времени)

Direct modify with SCC

При этом есть возможность создания нескольких режимов работы (см. скриншот: Dad, Mum и т.д.).

Также можно отметить очень удобную реализацию добавления новых ключей и функцию логирования событий:

Алерты выглядят следующим образом:

С самозащитой - всё в порядке.

Плюс в качестве дополнительной самозащиты используется опция 'Auto Enable Protect'.

Т.е. в случае, если по каким-то причинам защита программы была выключена - она автоматически включится через определенное кол-во времени (это время задается в настройках: Summary > Configuration > General > Set to enable protect automatically):

Также есть возможность установить парольную защиту на изменение настроек программы, отключение её модулей и её завершения (Summary > Configuration > Password protect).

Плюс имеется собственный Task Manager, который реализует такие функции, как 'Search Thread' и 'Search Module':

________________________________

О недостатках:

1. Не удалось посмотреть на функцию обновления, так как на данный момент, по всей видимости, она не работает (хотя с другой стороны особой необходимости в ней пока тоже нет):

2. Пару раз программу всё-таки удалось "уронить" (но в целом работа стабильная):

3. Не все правила работают на таком уровне, как хотелось бы (например, контроль доступа к физической памяти), но общее впечатление программа оставила положительное!

Изменено 5 сентября, 2007 пользователем Saule

[engineer garin]

Никогда не заменят

Позвольте поинтересоваться, почему вы так считаете? :)

На мой взгляд, программы подобного класса уже сейчас вполне могут заменить обычный антивирус, при условии, что установка осуществляется на чистую систему + пользователь дружит со своим компьютером.

Не могу сказать как программер, скажу как юзер.Что-то сомнительное имеется в попытках заменить Антивирус системой HIPS. Уже сейчас во многих Антивирусах присутствует контроль за приложениями.

[Iomhar Dealgach]

Не могу сказать как программер, скажу как юзер.Что-то сомнительное имеется в попытках заменить Антивирус системой HIPS. Уже сейчас во многих Антивирусах присутствует контроль за приложениями.

Ну Вы сами заметили и сказали о том, в какую сторону движутся разработчики Антивирусов! - К чему бы это, Вы как думаете? Кто действительно ДРУЖИТ с компом (суть - умеет заметить и руками выловить вирус) - тот действительно в Антивирусе не нуждается... Я пока настолько не силен - HIPS (EQSysSecure) работает у меня в паре с Антивирусом (неделю уже NOD32)...

[engineer garin]

Ну Вы сами заметили и сказали о том, в какую сторону движутся разработчики Антивирусов! - К чему бы это, Вы как думаете? Кто действительно ДРУЖИТ с компом (суть - умеет заметить и руками выловить вирус) - тот действительно в Антивирусе не нуждается... Я пока настолько не силен - HIPS (EQSysSecure) работает у меня в паре с Антивирусом (неделю уже NOD32)...

Отметим также , одними HIPS без антивирусов , не пользуются ( если я не прав попробуйте на практике , отключите антивирус , зайдите на Warez , скачайте какой нить кряк с вирусом ).Во вторых чем мощнее будет HIPS , что будем наблюдать....?

[Iomhar Dealgach]

Отметим также , одними HIPS без антивирусов , не пользуются ( если я не прав попробуйте на практике , отключите антивирус , зайдите на Warez , скачайте какой нить кряк с вирусом ).Во вторых чем мощнее будет HIPS , что будем наблюдать....?

Ну это верно - мало народу я знаю, которые без антивирей - разве что у кого аппаратный CISCO...

А что наблюдаем? Ну видимо кто что... Я например изменения реестра и запуск EXE без моего ведома...

[Saule]

Не могу сказать как программер, скажу как юзер.Что-то сомнительное имеется в попытках заменить Антивирус системой HIPS. Уже сейчас во многих Антивирусах присутствует контроль за приложениями.

Не совсем удачный пример, но во многих антивирусах (уже сейчас) присутствуют и сетевые экраны. Тем не менее, очень многие предпочитают установить файрволл в качестве отдельной программы (и я бы не сказала, что файрволлы достаточно просты в настройке, там всё-таки тоже нужно разобраться, что к чему - если хочешь, чтобы от файрволла был толк).

Отметим также , одними HIPS без антивирусов , не пользуются ( если я не прав попробуйте на практике , отключите антивирус , зайдите на Warez , скачайте какой нить кряк с вирусом ).

Антивирус защищает вас лишь от уже известных ему вирусов (он очень зависим от сигнатур). Поэтому если вы запустите вирус с варезного сайта, который не знаком вашему антивирусу - ваша система будет заражена.

Что касается HIPS'ов, то программы этого класса защищают от любых видов вредоносных программ (и не важно: известен вирус кому-нибудь или нет), потому что контролируют потенциально-опасные и/или опасные действия в системе.

Скачав и запустив зараженный крак с варезного сайта, вы получите не одно предупреждение, на каждом из этапов (попыток) внедрения вируса в систему: создание исполняемых (возможно, скрытых) файлов где-либо на диске (в случае, если крак будет "дропать" вирус и потом его запускать - так делают обычно), запуск этого приложения. Далее, скорее всего, он полезет в какую-либо из автозагрузок (не обязательно в простой ключ "Run" в реестре), потом он может пытаться установить перехваты в системе (много способов и все они должны контролироваться) - функциями системы, открытием других процессов и их модификацией, подгрузкой своих модулей во все или некоторые процессы, создание потоков в других процессах и т.д. При попытке установить и запустить драйвер - так же запрос. При попытке скрыть себя в списке процессов или драйверов - его автоматическое нахождение. При попытке скрыть себя в реестре или на диске - нахождение там (при соответствующем запуске сканирования; пассивный анализ). При попытке заражать (менять, дописывать) другие исполняемые объекты в системе (на диске) - так же запрос.

В общем, у вас будет не меньше 3-15 шансов остановить вирус практически на каждом этапе его вредоносной деятельности в системе. Более того. Если даже вы умудрились все эти действия разрешить, у вас так же остается возможность в дальнейшем нейтрализовать этот вирус, запретив ранее разрешенные действия. И в каждом из запросов - удалить файл, объект в памяти и т.д.

И антивируса в такой системе нет.

В такие системы могут включать антивирусы лишь для того, чтобы не мучать пользователя вопросами, ответы на которые могут быть известны уже заранее. Если, например, четко известно, что это вирус - об этом можно сразу же сообщить пользователю, не предлагая ему возможности что-либо запускать и "анализировать". Для упрощения процесса.

Во вторых чем мощнее будет HIPS , что будем наблюдать....?

А что будем наблюдать?

[engineer garin]

Системы HIPS обсуждались на сайте Antimalware в марте месяце.Там же статья Ивана Голенкова , аналитика ЛК.

В России главный эксперт по HIPS Илья Рабинович,разработал свою HIPS, сайт www.soft.sphere.com , проги платные ,продление платное.Читайте кому интересно.

[Iomhar Dealgach]

Системы HIPS обсуждались на сайте Antimalware в марте месяце.Там же статья Ивана Голенкова , аналитика ЛК.

В России главный эксперт по HIPS Илья Рабинович,разработал свою HIPS, сайт www.soft.sphere.com , проги платные ,продление платное.Читайте кому интересно.

Вообще-то правильный адрес - это www.softsphere.com

Это офсайт DefenseWall HIPS - о ней вроде бы здесь уже упоминалось... И вроде-бы по результатам тестирований HIPS эта прога не была лучшей... Хотя в теме HIPS, как говорится, на вкус и цвет...

[engineer garin]

Вообще-то правильный адрес - это www.softsphere.com

Это офсайт DefenseWall HIPS - о ней вроде бы здесь уже упоминалось... И вроде-бы по результатам тестирований HIPS эта прога не была лучшей... Хотя в теме HIPS, как говорится, на вкус и цвет...

Возможно.Насчет китайских продуктов - умеют копировать чужие. Создавать свои качественные....Убедите , если сможете.

[Iomhar Dealgach]

Возможно.Насчет китайских продуктов - умеют копировать чужие. Создавать свои качественные....Убедите , если сможете.

А я и не собирался агитировать Вас ни за, ни против... Повторюсь - на вкус и цвет... HIPS продуктов немалое количество - попробуйте несколько, сравните и выберите! Не хотите пробовать и сравнивать - положитесь на результаты чужих тестов...

[alex_s]

System Safety Monitor-oчень эффективная HIPS. При использовании столкнулся с настройками модулей.Есть модуль защиты INI файлов.

Подскажите,друзья,как более грамотно использовать этот модуль? Я запретил изменение файлов win.ini; system.ini. Что еще можно хорошего сделать? У меня windows XP SP2.

согласно этим тестам не очень. Если из чистых HIPS, то ProSecurity лучше. Хотя и они уступают комбинированным системам (FW + HIPS).

Вот есть свежие результаты от матусека:

http://www.matousec.com/projects/windows-p...sts-results.php

[Iomhar Dealgach]

согласно этим тестам не очень. Если из чистых HIPS, то ProSecurity лучше. Хотя и они уступают комбинированным системам (FW + HIPS).

Вот есть свежие результаты от матусека:

http://www.matousec.com/projects/windows-p...sts-results.php

Ну лучший фаер (согласно этим результатам) пытается расширить свои HIPS-функции, но меня пока это не удовлетворяет!

Поэтому и пользуюсь сторонним (не комбинированным)!

[alex_s]

Ну лучший фаер (согласно этим результатам) пытается расширить свои HIPS-функции, но меня пока это не удовлетворяет!

Поэтому и пользуюсь сторонним (не комбинированным)!

Тут есть интересный момент. Именно HIPS, как таковых, в комодо не очень, они еще только их делают в третьей версии. Насчет Jetico не в курсе, а в Online Armor HIPS без дураков, по моим ощущениям получше чем в специализированных HIPS. Был еще вот такой тест:

http://membres.lycos.fr/nicmtests/Unhooker...oking_tests.htm, не демонстрашка, а против реальных агрессивных руткитов.

[Iomhar Dealgach]

Тут есть интересный момент. Именно HIPS, как таковых, в комодо не очень, они еще только их делают в третьей версии. Насчет Jetico не в курсе, а в Online Armor HIPS без дураков, по моим ощущениям получше чем в специализированных HIPS. Был еще вот такой тест:

http://membres.lycos.fr/nicmtests/Unhooker...oking_tests.htm, не демонстрашка, а против реальных агрессивных руткитов.

Online Armor не пробовал, но даже если в ней HIPS лучший, то сам фаер (опять-таки из тестов) пока нет...

ЗЫ: Вот бы к Комодиному фаеру приклеили ОА HIPS (комплексом)...

ЗЗЫ: ОА фаер у Тебя бесплатный или платный? Поди как раз в бесплатном-то и нету HIPS-функций? - Выяснил сам: Бесплатный ОА сильно урезан, в нем НЕТ многих функций, в том числе и HIPS! За платный просят 40 мертвых американских президентов...

Изменено 18 октября, 2007 пользователем Iomhar Dealgach

[alex_s]

Online Armor не пробовал, но даже если в ней HIPS лучший, то сам фаер (опять-таки из тестов) пока нет...

ЗЫ: Вот бы к Комодиному фаеру приклеили ОА HIPS (комплексом)...

ЗЗЫ: ОА фаер у Тебя бесплатный или платный? Поди как раз в бесплатном-то и нету HIPS-функций?

У меня шаровой :)

Я в бетатиме состою. Согласно объявленному, текущая фришная версия вместе с платной должна занять первое место, поскольку единственный пропущенный по недоразумению тест (breakout2) уже закрыли, но еще не отправляли на матусек. Некоторое время я пользовался и комодо. Фаервол хороший, но утомил меня своей подозрительностью. В нем защита реализована с помощью component-control, то есть если в программе появляется новый компонент или новый парент при ее запуске, это вызывает аларм и попап. Из-за чего их утомительно много, особенно в первые пару недель. Кроме того из-за этого некоторые тесты, которые проходятся комодо при условии чистой установки, через некоторое время перестают проходиться. В то же время Online Armor избрал другую тактику. Вместо отгрызающего ресурсы компонет-контроля они сосредоточили внимание на HIPS, то есть именно Prevention (предупреждение). Получается гораздо меньше ложных срабатываний, при этом безопасность на высшем уровне остается и на будущее собираются в каком-то виде (как независымый уровень защиты) добавить компонент-контроль. Ну и поражает скорость развития. В начале лета вышла первая версия, которая заняла типа седьмое место, а уже в сентябре вышла следующая, которая заняла второе,

и было обещано что текущая должна быть первой :)

[Iomhar Dealgach]

Команда Comodo тоже на месте не стоит...

У меня CPF 2.4, на 3.0 пока не перехожу (бетка все-же - жду stable), но в третьей версии тоже больше упора на HIPS (чем в 2.4) будет. Судя по инфе многие фаеры и антивири клеят к себе HIPS-функции.

Вот выйдет CPF 3 stable, отправят они его тож на тестирование - тогда будем посмотреть, не так ли?

ЗЫ: Излишняя подозрительность меня не утомляет - утомляет (если не сказать сильнее) недогляд!!!

Изменено 18 октября, 2007 пользователем Iomhar Dealgach

[alex_s]

ЗЫ: Излишняя подозрительность меня не утомляет - утомляет (если не сказать сильнее) недогляд!!!

Само собой, речь идет не о недогляде, а о ложных срабатываниях, то есть срабатываниях на события не несущие непосредственной угрозы безопасности. Опять же, я ничего не имею против комодо, и долгое время им пользовался. Но по роду моей работы излишняя подозрительность не просто достает, но и мешает. Совершенно случайно попал в арморовский бетатим и там прижился. Даже пару фич реализовали по просьбе. На текущий момент мне просто ничего другого не нужно, поскольку полная версия армора включает и антикейлоггер (на сегодняшний день ловит все доступные кейлоггеры) и OEM антивирус касперского и контроль стартапов и установку драйверов и скрытые запуски и install mode и любая обнаруженная дырка закрывается за день-два. В общем, все что мне нужно в одном флаконе. Виртуализаторами я не пользусь, потому что пользуюсь настоящей виртуализацией при необходимости (то есть VMWare).

[alex_s]

Отметим также , одними HIPS без антивирусов , не пользуются ( если я не прав попробуйте на практике , отключите антивирус , зайдите на Warez , скачайте какой нить кряк с вирусом ).Во вторых чем мощнее будет HIPS , что будем наблюдать....?

Это зависит от установленного софта. При наличии хорошей HIPS системы будем наблюдать несколько предупреждающих попапов, которые позволят заблокировать опасные действия

Я могу сказать точно, что будет делать моя система в каждом конкретном случае, если мне пришлют кокнретный вирус, малваре или руткит.

PS.

Я не агитирую сносить антивирусы, но многие из них нуждаются в защите, потому что агрессивный малваре может их просто задизейблить, убить, расхукать.

[alex_s]

Король умер, да здравствует король ! :blush2:

http://www.matousec.com/projects/windows-p...sts-results.php

===

Latest news

2007-11-02: A response from Tall Emu Pty Ltd, the vendor of Online Armor has been added.

2007-11-02: We are working on new leak-tests and we have suspended leak-testing until the new tests are finished. However, we have received direct request from two vendors of personal firewalls to make one more testing of their products as soon as possible. We have satisfied these requests also because both vendors promised 100% protection against all known leak-tests.

Lexicographically first product is Online Armor Personal Firewall 2.1.0.19 Free. The new version passes all leak-tests on its default settings and scores full 9625 points, which is 250 points more than its previously tested version.

Outpost Firewall Pro 2008 6.0.2162.205.402.266 also fulfils the promised perfection. This means that Outpost also scores 9625 points, which is 925 points more than its previously tested version.

Congratulations to both vendors for the perfect scores!

===

Теперь рейтинг выглядит так:

Product Product Score Level of Anti-leak Protection

Online Armor Personal Firewall 2.1.0.19 Free FREE 9625 Excellent - 100%

Outpost Firewall Pro 2008 6.0.2162.205.402.266 9625 Excellent - 100%

Comodo Firewall Pro 2.4.18.184 FREE 9475 Excellent

Jetico Personal Firewall 2.0.0.35 9375 Excellent

ProSecurity 1.40 beta 1 8875 Very good

ZoneAlarm Pro 7.0.408.000 8600 Very good

Lavasoft Personal Firewall 2.0.1019.7604 (700) 8500 Very good

Kaspersky Internet Security 7.0.0.125 8475 Very good

System Safety Monitor 2.4.0.617 beta 7975 Very good

Jetico Personal Firewall 1.0.1.61 FreewareFREE 7750 Very good

Privatefirewall 5.0.8.11 7625 Very good

Ghost Security Suite [bETA] 1.110 7500 Very good

Dynamic Security Agent 1.0.8.8FREE 7375 Good

Trend Micro PC-cillin Internet Security 2007 15.30.1151 7000 Good

F-Secure Internet Security 2007 7.01.128 6625 Good

G DATA InternetSecurity 2007 6100 Good

PC Tools Firewall Plus 3.0.0.36FREE 5825 Poor

BlackICE PC Protection 3.6.cpv 5750 Poor

Sunbelt Personal Firewall 4.5.916 5200 Poor

FortKnox Personal Firewall 2007 2.0.205.0 5125 Poor

Look 'n' Stop 2.06 4300 Poor

Safety.Net 3.61.0002FREE 4000 Poor

Norton Internet Security 2008 15.0.0.60 3600 Very poor

Avira Premium Security Suite 7 build 98 2450 Very poor

SensiveGuard 1.06FREE 2350 Very poor

Sygate Personal Firewall 5.6.2808FREE 2350 Very poor

McAfee Internet Security Suite 2006 8.0 2325 Very poor

Blink Personal Edition 3.0.8.1496FREE 2250 Very poor

ZoneAlarm Free 7.0.302.000FREE 1500 Very poor

CA Personal Firewall 2007 3.0.0.196 1000 None

Outpost Firewall Free 1.0.1817.1645FREE 1000 None

BitDefender Internet Security 10.108 750 None

Norman Personal Firewall 1.42 750 None

TheGreenBow Personal Firewall 2.60.005 750 None

Panda Antivirus + Firewall 2007 6.00.00 650 None

AVG Anti-Virus plus Firewall 7.5.431 500 None

Armor2net Personal Firewall 3.13.30 500 None

Ashampoo FireWall Pro 1.14 500 None

Filseclab Personal Firewall 3.0.0.8686FREE 500 None

Rising Personal Firewall 2007 19.33.10 500 None

Prisma Firewall 2.4.4.0 250 None

Windows Firewall XP SP2FREE 0 None