Защита без антивируса?

[Mr. Justice 771]

sda не нужно постить одно и тоже (по смыслу) в разных разделах форума. Я знаю вашу точку зрения по этому вопросу и согласен с тем, что можно, в принципе, при большом желании, обойтись без антивируса. Вы просто вырвали фразу из контекста. Ваш метод работает при условии отсутствия zero-day уязвимости в ОС. Не так ли?

[SDA 750]

sda не нужно постить одно и тоже (по смыслу) в разных разделах форума. Я знаю вашу точку зрения по этому вопросу и согласен с тем, что можно, в принципе, при большом желании, обойтись без антивируса. Вы просто вырвали фразу из контекста. Ваш метод работает при условии отсутствия zero-day уязвимости в ОС. Не так ли?

И zero-day в том числе. Поясню:

В связи с применением специальных технологий 0day угрозы не могут быть детектированы классическими антивирусными технологиями. Именно по этой причине продукты, в которых сделана ставка на классические антивирусные технологии, показывают весьма посредственный результат в динамических антивирусных тестированиях.

Для обеспечения эффективной защиты против 0day вредоносных программ и уязвимостей необходимо использование проактивных технологий антивирусной защиты. Благодаря специфике проактивных технологий защиты, они способны одинаково эффективно обеспечивать защиту как от известных, так и от незвестных-0day угроз ( процитировал из вики . )

А теперь сравните с проактивными технологиями используемыми антивирусами, к примеру тем же хипс, с принципом работы UAC, да еще в максимальном режиме с виртуализацией. Похоже не так ли, и на мой взгляд, где то даже превосходит, потому что работает сама система, ограничивая действия пользователя. Плюс применяем все остальные штатные средства защиты Севен. В 99% система защищена, 100% дает только комп отключенный от сети, без возможности подключить внешние носители.

[Mr. Justice 771]

sda вы не могли пояснить как "ваш метод" спасает от zero-day уязвимостей ОС? Заранее благодарю.

[Synthetyic_Man 5]

В смысле к папкам не будет доступа?

К папкам будет доступ как обычно, только их нельзя никак изменить реально. Все вернется к исходному состоянию после перезагрузки.

[SDA 750]

sda вы не могли пояснить как "ваш метод" спасает от zero-day уязвимостей ОС? Заранее благодарю.

Постараюсь короче

zero-day уязвимости, это неизвестные уязвимости ПО. Антивирусы используют для борьбы с ними проактивные технологии. Если брать ОС (имею ввиду Севен), то пресечение эксплуатации этих уязвимостей решается, принципом ограничения п/о (от минимальных до максимальных), в том числе и штатного, т.е ограничением прав. Это на мой взгляд главное, по остальному комплексу защиты повторяться не буду. Установку патчей и обновлений тоже никто не отменял.

Приведу небольшой пример: даже работа в Севене из под локального админа, не дает полных прав по ОС. Полные права дает суперадминская учетка, которая по умолчанию отключена, следовательно при той же атаке 0day пострадает только локальный админ "Вася", а не вся ОС.

Ну вот коротко все. Еще вопросы?

[SDA 750]

Постараюсь короче

zero-day уязвимости, это неизвестные уязвимости ПО. Антивирусы используют для борьбы с ними проактивные технологии. Если брать ОС (имею ввиду Севен), то пресечение эксплуатации этих уязвимостей решается, принципом ограничения п/о (от минимальных до максимальных), в том числе и штатного, т.е ограничением прав. Это на мой взгляд главное, по остальному комплексу защиты повторяться не буду. Установку патчей и обновлений тоже никто не отменял.

Приведу небольшой пример: даже работа в Севене из под локального админа, не дает полных прав по ОС. Полные права дает суперадминская учетка, которая по умолчанию отключена, следовательно при той же атаке 0day пострадает только локальный админ "Вася", а не вся ОС.

Ну вот коротко все. Еще вопросы?

Добавлю, что в прошлом году проходила информация о эксплойте который обходил защиту, обеспечиваемую технологией UAC (User Account Control), присутствующей в Windows Vista и Windows 7. Эксплойт использовал баг в файле win32k.sys, входящем в ядро Windows, и является результатом того, что вызов API NtGdiEnableEUDC не в состоянии проверить пользовательский ввод на вредоносное содержание. Злоумышленники могли использовать этот баг для перезаписи адресов возврата на вредоносный код, который в дальнейшем исполняется в привилегированном режиме. В результате брешь позволяет пользователям или процессам даже с ограниченными привилегиями исполнять код с повышенными правами.

Это к тому, что 100% защиты не бывает, но это также применимо и к антивирусному п/о, где таких отрицательных моментов на порядок больше, я уж не говорю о негативном влиянии на ОС при ошибках в коде движков АВ, примеры которых можно привести практически по всем вендорам (обновления вызывающие сбой ОС, ошибочные детекты и т.д.)

[Mr. Justice 771]

К папкам будет доступ как обычно, только их нельзя никак изменить реально.

Что значит "их нельзя никак изменить реально"? Переименовать? Сменить атрибуты? Или нельзя в них разместить новые файлы?

Еще вопросы?

Нет, на возникший у меня вопрос вы ответили >>>: предложенный вами метод от zero-day уязвимостей не спасает.

[SDA 750]

Нет, на возникший у меня вопрос вы ответили >>>: предложенный вами метод от zero-day уязвимостей не спасает.

А Вы хотели, чтобы я ответил, что мой метод это абсолютная защита?

Конечно проще установить антивирусное П/О (что большинство обычных пользователей и делает), чем что то настраивать, лишать себя прав и вообще напрягать мозги. Правда, до некоторых доходит (в основном при возникновении проблем), что лучше напрячь мозги один раз, чем платить деньги и решать проблемы с негативным влиянием на ОС антивируса, который тоже 100% защиты не дает. Но так делают немногие и поэтому все есть, как оно есть.

[Mr. Justice 771]

А Вы хотели, чтобы я ответил, что мой метод это абсолютная защита?

Нет, я хочу чтобы Вы поняли, что к состоянию "абсолютной защиты" можно приблизиться, добавив дополнительный механизм защиты, например, антивирус и/или IPS.

Конечно проще установить антивирусное П/О (что большинство обычных пользователей и делает), чем что то настраивать, лишать себя прав и вообще напрягать мозги.

Конечно, это еще одна причина по которой ваш метод не может получить широкого применения, ибо подавляющее большиство пользователей не будет все это изучать - у них есть чем заняться.

Правда, до некоторых доходит (в основном при возникновении проблем), что лучше напрячь мозги один раз, чем платить деньги и решать проблемы с негативным влиянием на ОС антивируса, который тоже 100% защиты не дает. Но так делают немногие и поэтому все есть, как оно есть.

Наоборот, для большинства проще заплатить деньги чем разбираться во всем этом или поставить бесплатный продукт

[SDA 750]

Нет, я хочу чтобы Вы поняли, что к состоянию "абсолютной защиты" можно приблизиться, добавив дополнительный механизм защиты, например, антивирус и/или IPS.

Это Ваше мнение, я его прекрасно понимаю, но у меня другое мнение. Не буду больше на эту тему спорить, но хочу заметить, что по теме поста "защита без антивируса", я привел достаточно на мой взгляд оснований, что без антивируса можно вполне нормально защищаться силами одной системы, а где то даже лучше, чем с антивирусной защитой.

[Mr. Justice 771]

Это Ваше мнение, я его прекрасно понимаю, но у меня другое мнение. Не буду больше на эту тему спорить, но хочу заметить, что по теме поста "защита без антивируса", я привел достаточно на мой взгляд оснований, что без антивируса можно вполне нормально защищаться силами одной системы, а где то даже лучше, чем с антивирусной защитой.

согласен с тем, что можно, в принципе, при большом желании, обойтись без антивируса.

http://www.anti-malware.ru/forum/index.php...st&p=129238

И еще раз повторю, что ваш вариант, мягко говоря, подходит не всем.

[SDA 750]

И еще раз повторю, что ваш вариант, мягко говоря, подходит не всем.

Будущее и Microsoft подтвердят мой вариант

http://b23.ru/nvn2

[Mr. Justice 771]

Наоборот, думаю оно его опровергнет. Когда Win7 наберет приличную популярность, уязвимостей будет значительно больше и их количество будет возрастать с увеличением ее популярности. Это поверенный временем закон. И я не уверен, в том, что в дальнейшем будет можно также легко обходится без антивируса /IPS.

[Chekm 100]

..... как "ваш метод" спасает от zero-day уязвимостей ОС? ...

Позволю себе напомнить, с чего начиналась данная тема:

Дано: хозяйка, молодая (красивая) женщина, нэтбук с непредсказуемым по времени подключением к интернету, постоянное пользование флешками и полное непонимание, да и нежелание вникать в проблемы с защитой...

В конце-концов, пару раз воссоздав из предварительно созданного Акронисом образа (весь системный диск) обрушенную систему и вволю наобновлявшись антивируса вручную. Установил для защиты следующие программы:

- Online Armor Free v4.0.045 rus

- Shadow Defender 1.1.0.325 ...

Как это не странно звучит, но на свете существует некоторое количество компов НИКОГДА не подключаемых к интернету, но тем не менее активно используемых... И не поддающихся (пока) обучению пользователей.

Пример первый, с него всё и начиналось... Изначально 3 подруги занялись оказанием услуг на рынке недвижимости. В офисе стационарный комп, к инету подключен и про него речи нет. На руках нетбуки с договорами, фотографиями обьектов и т.д. Флешки туды-сюды... Нетбуки в инет не ходят. Как ещё защитить?

Пример второй: младшая дочь, непоседливое существо 5 лет, взялась осваивать интернет. Каждый вечер по 1-1,5 часа сидит на сайте "флеш игры для девочек" и одевает-раздевает разных барби... Жена меня зовёт: "разберись там что-то в инет лезет, а фаервол вопросы задаёт". Смотрю в папке для загрузок десяток файлов .exe ... Дочь играя в игрушки, накачала часть из них на комп... Читать-то ещё не умеет. Активировал Shadow Defender на все диски без исключений- перезагрузка и всё смыло волной. Если требуется сохранить - в исключения.

У Online Armor : въедливый ХИПС, внятно настраиваемый фаервол и возможность отметив любое кол-во программ запускать их всегда с пониженными привилегиями. Ну это уже повторяюсь однако.

[SDA 750]

Позволю себе напомнить, с чего начиналась данная тема:

Как это не странно звучит, но на свете существует некоторое количество компов НИКОГДА не подключаемых к интернету, но тем не менее активно используемых... И не поддающихся (пока) обучению пользователей.

Пример первый, с него всё и начиналось... Изначально 3 подруги занялись оказанием услуг на рынке недвижимости. В офисе стационарный комп, к инету подключен и про него речи нет. На руках нетбуки с договорами, фотографиями обьектов и т.д. Флешки туды-сюды... Нетбуки в инет не ходят. Как ещё защитить?

Пример второй: младшая дочь, непоседливое существо 5 лет, взялась осваивать интернет. Каждый вечер по 1-1,5 часа сидит на сайте "флеш игры для девочек" и одевает-раздевает разных барби... Жена меня зовёт: "разберись там что-то в инет лезет, а фаервол вопросы задаёт". Смотрю в папке для загрузок десяток файлов .exe ... Дочь играя в игрушки, накачала часть из них на комп... Читать-то ещё не умеет. Активировал Shadow Defender на все диски без исключений- перезагрузка и всё смыло волной. Если требуется сохранить - в исключения.

У Online Armor : въедливый ХИПС, внятно настраиваемый фаервол и возможность отметив любое кол-во программ запускать их всегда с пониженными привилегиями. Ну это уже повторяюсь однако.

Я тоже повторюсь

В первом случае достаточно отключить автозапуск, во втором сделать ограниченную учетку.

Наоборот, думаю оно его опровергнет. Когда Win7 наберет приличную популярность, уязвимостей будет значительно больше и их количество будет возрастать с увеличением ее популярности. Это поверенный временем закон. И я не уверен, в том, что в дальнейшем будет можно также легко обходится без антивируса /IPS.

Речь была о будущем системном механизме защиты от вирусов файловой системы Windows 8, схожей с системой проверки от вирусов в Apple Mac OS X. Вместо обычной проверки постоянно обновляющегося списка вредоносных файлов, Microsoft будет использовать и дополнительные алгоритмы для верификации. Технология Microsoft’s SmartScreen будет интегрирована непосредственно в Windows, и будет проверять файлы на безвредность и легальность.

[ntuser 70]

А теперь сравните с проактивными технологиями используемыми антивирусами, к примеру тем же хипс, с принципом работы UAC, да еще в максимальном режиме с виртуализацией. Похоже не так ли, и на мой взгляд, где то даже превосходит, потому что работает сама система, ограничивая действия пользователя.

Типичное заблуждение пользователей, не понимающих предназначение UAC и воспринимающих его как некий HIPS.

И это несмотря на то, что сотрудники Microsoft вроде бы доступным языком пишут.

Например, Mark Russinovich - Inside Windows 7 User Account Control:

"As we've stated since before the launch of Windows Vista, the primary purpose of elevation is not security, though, it's convenience.."

"Remember, though, if malware does start running, it can accomplish most of the things that malware wants to do with just standard user rights, including configuring itself to run every time the user logs on, stealing or deleting all the user's data, or even becoming part of a botnet."

[SDA 750]

Типичное заблуждение пользователей, не понимающих предназначение UAC и воспринимающих его как некий HIPS.

И это несмотря на то, что сотрудники Microsoft вроде бы доступным языком пишут.

Например, Mark Russinovich - Inside Windows 7 User Account Control:

"As we've stated since before the launch of Windows Vista, the primary purpose of elevation is not security, though, it's convenience.."

"Remember, though, if malware does start running, it can accomplish most of the things that malware wants to do with just standard user rights, including configuring itself to run every time the user logs on, stealing or deleting all the user's data, or even becoming part of a botnet."

Не надо умничать "Похожий" не синоним одинакового. А лучше дайте классификацию HIPS и посмотрите похожие элементы в UAC, даю подсказку, та же виртуализация (песочница), файлов и реестра.

[Guest Андрей555]

Дано: хозяйка-молодая (красивая) женщина, нэтбук с непредсказуемым по времени подключением к интернету, постоянное пользование флешками и полное непонимание, да и нежелание вникать в проблемы с защитой...

В конце-концов, пару раз воссоздав из предварительно созданного Акронисом образа (весь системный диск) обрушенную систему и вволю наобновлявшись антивируса вручную. Установил для защиты следующие программы:

- Online Armor Free v4.0.045 rus

- Shadow Defender 1.1.0.325

Получилось следующее: в Armor Программы -Расширенные настройки - Защита (активировал всё) http://s52.radikal.ru/i135/1008/34/edbda15a4f45.jpg

и весь системный диск защитил от изменений при помощи Shadow Defender, в программе поставил размер виртуальной области 3 Гб...

т.е все изменения и вся работа ОС и программ проходят в виртуальной области, после перезагрузки всё очищается и возвращается к первозданному состоянию... На диске Д только документы и нужные пользователю файлы. Когда добираюсь до нетбука прогоняю AVP.... Уже больше месяца всё нормально, но всё таки душа чуть неспокойна.... Насколько удачно такое решение?

Установите хоть какой нибудь, надежнее будет.

[SySOPik 52]

Дано: хозяйка-молодая (красивая) женщина

Очень важный пункт

На нетбуки могу посоветовать поставить MSE. Шустро и удобно, пока никто не жаловался + раз в месяц проверить Cureit или утилитой от Каспера.

[red17 65]

Защита без антивируса?

Нет ничего проще остаются ещё антишпионы ХИПСы и Фаерволы.

Я последнее время вообще вирусов перестал боятся, да и в подавляющем большинстве от них спасёт работа под обычным пользователем.

От всего остального поставить антишпион и надёжный Фаервол-ХИПС мутант зачастую там даже антишпион уже есть.

Очень важный пункт

На нетбуки могу посоветовать поставить MSE. Шустро и удобно, пока никто не жаловался + раз в месяц проверить Cureit или утилитой от Каспера.

Прошу прощения, но MSE это же антивирус, а тема Защита без антивируса? Конечно если отказ от антивируса связан с мощностью ПК то я уже создавал похожую тему и могу посоветовать автору данной темы туда и заглянуть

Дано: хозяйка-молодая (красивая) женщина, нэтбук с непредсказуемым по времени подключением к интернету, постоянное пользование флешками и полное непонимание, да и нежелание вникать в проблемы с защитой...

В конце-концов, пару раз воссоздав из предварительно созданного Акронисом образа (весь системный диск) обрушенную систему и вволю наобновлявшись антивируса вручную. Установил для защиты следующие программы:

- Online Armor Free v4.0.045 rus

- Shadow Defender 1.1.0.325

Получилось следующее: в Armor Программы -Расширенные настройки - Защита (активировал всё) http://s52.radikal.ru/i135/1008/34/edbda15a4f45.jpg

и весь системный диск защитил от изменений при помощи Shadow Defender, в программе поставил размер виртуальной области 3 Гб...

т.е все изменения и вся работа ОС и программ проходят в виртуальной области, после перезагрузки всё очищается и возвращается к первозданному состоянию... На диске Д только документы и нужные пользователю файлы. Когда добираюсь до нетбука прогоняю AVP.... Уже больше месяца всё нормально, но всё таки душа чуть неспокойна.... Насколько удачно такое решение?

Если работа под Shadow Defender не смущает, то защита от заражения 100% или очень близкая к тому, как максимум встречал проникновение зловредов через общие папки, но их можно и не создавать правда от кражи конф. инфы. Shadow Defender не спасёт, если такой вопрос стоит, то надо отнестись к защите значительно серьёзнее и Online Armor тут не панацея...

[red17 65]

И zero-day в том числе. Поясню:

В связи с применением специальных технологий 0day угрозы не могут быть детектированы классическими антивирусными технологиями. Именно по этой причине продукты, в которых сделана ставка на классические антивирусные технологии, показывают весьма посредственный результат в динамических антивирусных тестированиях.

Для обеспечения эффективной защиты против 0day вредоносных программ и уязвимостей необходимо использование проактивных технологий антивирусной защиты. Благодаря специфике проактивных технологий защиты, они способны одинаково эффективно обеспечивать защиту как от известных, так и от незвестных-0day угроз ( процитировал из вики . )

А теперь сравните с проактивными технологиями используемыми антивирусами, к примеру тем же хипс, с принципом работы UAC, да еще в максимальном режиме с виртуализацией. Похоже не так ли, и на мой взгляд, где то даже превосходит, потому что работает сама система, ограничивая действия пользователя. Плюс применяем все остальные штатные средства защиты Севен. В 99% система защищена, 100% дает только комп отключенный от сети, без возможности подключить внешние носители.

Вы бы могли если конечно это Вас не затруднит на простых примерах пояснить о какой виртуализации идёт речь, как это можно использовать, как Вы это делаете, что такое Контроль учётных записей UAC я конечно знаю , но сдаётся мне Вы несколько о другом говорите. Вы каким то образом настраиваете виртуализацию приложений это такой sandbox средствами Windows 7 получается, у меня в диспетчере задач если кликнуть правой кнопкой по процессу есть такой пункт Виртуализация UAC.

[red17 65]

sda не нужно постить одно и тоже (по смыслу) в разных разделах форума. Я знаю вашу точку зрения по этому вопросу и согласен с тем, что можно, в принципе, при большом желании, обойтись без антивируса. Вы просто вырвали фразу из контекста. Ваш метод работает при условии отсутствия zero-day уязвимости в ОС. Не так ли?

Я вообще не очень понял как Уважаемый sda собирается защищатся с помощью UAC поэтому прошу пусть пояснит пожалуйста, если это заключается в банальном выкручивании контроля UAC под псевдо админом то тогда уж лучше ещё пароль на UAC задать в локальных политиках, если нет желания использовать обычного пользователя, а то с UAC по умолчанию были неприятные случаи Но простите каким образом даже использование обычного пользователя поможет заменить антивирус, что мешает получить зверинец в профиле этого ограниченного пользователя? Что помешает получить эксплойт под ограниченным пользователем и лишится прав на уровне sustem(к слову тут вообще ничего не помешает ), а потом заразу на уровне ring0. Антивирус от zero 0 тоже почти 0, но потом скорее всего детектить будет и возможно даже и лечить, что помешает успешной работе трояна в профиле? Что помешает руткиту? Если нет желания возится с запретом на исполнение-запись всего кроме Вашего Whitelist, то под учётку обычного пользователя нужен как минимум фаервол от выхода троянцев наружу, кстати выход трояна из профиля легче детектится и тут некоторые фаерволы могут приблизится к 100%(но только не Брандмауэр создайте обычного пользователя и настройте исходящие правила для Брандмауэра вних должен войти IE т.к. тест для него потом скачайте простейший тест и запустите под обычным пользователем) хотя слышал есть хитрожопые твари которым и HDD не нужен, но их удел это видимо недалёкое будущее, когда работа в облаке станет популярнее, а если дальше по списку то и HIPS и антивирус(пускай только сканер по требованию) тоже понядобятся, по теме сравнения HIPS и UAC(как есть) в теорию лезть не буду т.к. незнаю скажу лишь, то что нормальный HIPS мониторит всё и запуск того, что не требует прав администратора.

[SDA 750]

Я вообще не очень понял как Уважаемый sda собирается защищатся с помощью UAC поэтому прошу пусть пояснит пожалуйста, если это заключается в банальном выкручивании контроля UAC под псевдо админом то тогда уж лучше ещё пароль на UAC задать в локальных политиках, если нет желания использовать обычного пользователя, а то с UAC по умолчанию были неприятные случаи

Простой тест UAC на Trojan.MBRlock.6/Trojan-Ransom.Win32.PornoAsset.kv. Запускал локера в профиле локального администратора. Защита Веба была отключена.

Дополню:

С блокером МБР был особый случай, MBRlock постоянно дергал UAC, т.е. UAC выкидывал алерт через каждые 2 секунды. Своего рода "игра на нервах". В конце концов, кто то может согласиться и нажать "да". Более опытный пользователь просто перезагрузит систему, потому что поймет, что не может UAC при нормальном легитимном приложении выдавать запросы через каждые 2 секунды, значит это ломится зловред. Юзер в ограниченной учетке под запароленным UAC, естественно не зная пароль, просто перезагрузит комп из за надоедших, мешающих запросов.

[red17 65]

Спасибо за ответ sda оказывается Вы про банальный Контроль учётных записей говорили. Да занимательный пример с локером , но Вы наверно понимаете, что это лишь базовый уровень защиты которы бы неплохо дополнить вариантом комбайн Internet Security уделив особое внимание настройкам фаервола.

Настоятельно рекомендую вместо "да нет" поставить пароль, на Pwn2Own ОС с незапароленым UAC доступом сломали, хотя может и с паролем бы сломали, но не факт.

Хотя если используете NoScript то можете на всё это "забить" во всяком случае так считают некоторые спецы, ну а в том что Вы сами установите какого нибудь зловреда я сильно сомневаюсь к этому я бы ещё добавил своевременные обновления всего софта(хотя может и лишнее) т.к. NoScript в реальности и так защитит от всех эксплойтов(в теории это не так)

[priv8v 960]

обновления всего софта(хотя может и лишнее)

не, лишним не будет

(винду тоже за софт можно считать - т.е и ее обновлять тоже надо бы)