Оптимальное сочетание настроек защиты КИС 2011

[shaana 10]

Здравствуйте, уважаемое сообщество.

Обладатель лицензионного КИС 2011 (лиц. на 2 ПК), Windows 7 Home Premium x64 (лиценз., ОЕМ) и Windows XP Pro SP 3 лиценз. из коробки. На рабоч. станциях сконцентрировано много важной и конфиденц. информации, потому безопасности уделяется первоочередное внимание.

Тему поднимал на оф. форуме:

http://forum.kaspersky.com/index.php?showtopic=207590

но широкой дискуссии она не вызвала, хотя на некоторые вопросы мне ответили.

Был бы признателен, если б ответили опытные пользователи и эксперты.

1. У меня все неизвестные программы в Контроле программ автоматически падают в "Недоверенные" (KSN используется для определения груп, а также наличие цифровой подписи). Фактически, по логике, любой исполняемый код, у которого нету цифровой подписи и которому не присвоен доверенный статус в KSN, будет блокироваться. Для того, чтобы запустить новую программу, нужно поменять ей группу на Доверенную или в группу с ограничениями вручную (а чтобы поменять группу, нужно ввести мастер-пароль для КИСа). Насколько повышает такая политика безопасности эту самую безопасность?

Стоит ли убрать галку "Доверять программам, имеющим цифровую подпись"?

Что имеет приоритет: наличие цифровой подписи или рейтинг из KSN?

2. Какие именно исполняемые файлы контролирует Контроль программ? Опытным путем я установил, что он контролирует .exe, .msi, .com и .vbs.

3. Насколько трудно злоумышленнику, не зная мастер пароля к КИСу, но имея к машине физический доступ, удалить его из системы?

4. Предотвратит ли Контроль программ с вышеозначенными настройками выполнение кода, что запускается посредством всяческих сплоитов (допустим, что и сплоит и исполняемый код есть 0 day и ничем не детектятся)?

Может, у кого есть советы по настройке КИСа 2011 для наибольшей безопасности?

[Umnik 997]

Насколько повышает такая политика безопасности эту самую безопасность?

Значительно

Стоит ли убрать галку "Доверять программам, имеющим цифровую подпись"?

Не думаю. Да, известны случаи, когда вредоносны имели валидную подпись, однако KSN позволяет быстро и без привязки к обновлению баз блокировать эти подписи и доверия к ним не будет.

Что имеет приоритет: наличие цифровой подписи или рейтинг из KSN?

KSN - истина в последней инстанции

2. Какие именно исполняемые файлы контролирует Контроль программ? Опытным путем я установил, что он контролирует .exe, .msi, .com и .vbs.

.dll, .bat, может быть что-то еще. Это не от расширения зависит, а от типа файла. Потому в таблице иногда даже *.tmp можно встретить.

3. Насколько трудно злоумышленнику, не зная мастер пароля к КИСу, но имея к машине физический доступ, удалить его из системы?

Зная пароль Админа - проще простого. Не зная пароля адмнистратора и не имеющего таких прав можно с Live CD.

4. Предотвратит ли Контроль программ с вышеозначенными настройками выполнение кода, что запускается посредством всяческих сплоитов (допустим, что и сплоит и исполняемый код есть 0 day и ничем не детектятся)?

Уязвимости на то и уязвимости... Только запустится ли вредонос вообще при таких настройках, если ты сам его не засунешь в разрешенные? Ну плюс можно использовать песочницу, которая есть в составе KIS.

[shaana 10]

Я слышал мнение, что чем быстрее машина, тем более эффективно работает эвристика on the fly (т.е. антивирус имеет определенный тайм аут на эмулирование) и если машина успевает доэмулировать до вредоносного кода, то собственно екзешнику присваивается флаг подозрительного... Правда ли это?

Чем именно отличаются поверхностный, дефолтный и глубокий уровни эвристики?

[Umnik 997]

1. Да

2. Глубина эмуляции. Сам не знаю, что это значит

[shaana 10]

столкнулся с неожиданной проблемой.

У меня все неизвестные программы в Контроле программ попадают в группу "Недоверенные". Легальный софт, который попадает в группу недоверенных, я вручную перетаскиваю в доверенные или слабые ограничения.

Но имеет место такая проблема. Иногда КИС ни с того ни с сего самовольно перемещает программы, которые были мной определены как Доверенные, сразу в недоверенные. Как правило, это происходит абсолютно спонтанно, например, когда я печатаю что-то в ворде и точно знаю, что ничего не запускалось. Поскольку я настроил уведомления таким образом, что при определении группы программы мне выскакивает уведомление, то я это сразу вижу...

Я так понял, КИС периодически устраивает рескан в таблице Контроля программ?

Снятие галочек "Загружать правила для программ из КСН" и "Обновлять правила из КСН" не помогло.

Кто что может сказать?

[Umnik 997]

shaana

Известная проблема, когда программы вылетают из своей группы при проблеме с доступом к серверам KSN. Исправлено в версии 12.0.

[red17 65]

любой исполняемый код, у которого нету цифровой подписи и которому не присвоен доверенный статус в KSN, будет блокироваться.

Иначе говоря "белый список", а его эфективность значительно выше чем у классического "черного".

Стоит ли убрать галку "Доверять программам, имеющим цифровую подпись"?

Я убираю для пущей надёжности(может это параноя ), тем более что на комфортность работы это не влияет.

P.S. Отличная тема!

[Anonym 0]

Подскажите, у меня стоит КИС 2010, проверил систему на http://2ip.ru/port-scaner/, на предмет безопасности компа, выдало три порта, которые необходимо закрыть, как их закрыть в брандмаузере КиСа? где там нужно прописать.

скрин прилагаю.

Отредактировал Июнь 9, 2011 Anonym

[priv8v 960]

самое главное - 80 порт закрыть наглухо и навсегда, через него-то и лезет большинство зловредов...

[Anonym 0]

самое главное - 80 порт закрыть наглухо и навсегда, через него-то и лезет большинство зловредов...

я понимаю, что важно закрыть, но проблема в том, что не знаю, как, если не трудно напишите, куда лезть, т.к. в антивирусных системах безопасности компа не шарю. ОС виндовс 7 х32, KIS 2010.

[Kapral 311]

http://www.kaspersky.ru/support/kis2010/fi...l?qid=208636821

[red17 65]

я понимаю, что важно закрыть, но проблема в том, что не знаю, как, если не трудно напишите, куда лезть, т.к. в антивирусных системах безопасности компа не шарю. ОС виндовс 7 х32, KIS 2010.

Где то на форуме ЛК была тема, что KIS не проходит некоторые тесты, но по мнению той же ЛК это не страшно, а если по теме можно использовать Брандауэр Windows 7 запретив все входящие соединения у меня так работало без конфликтов около недели с KIS 2011 потом отключил Брандмауэр показалось как то неистетично. Можете воспользоватся предложенным мной вариантом в ожидании более подходящего ответа.

Опс проглядел Вам уже ответили.

[Kapral 311]

но по мнению той же ЛК это не страшно

Так оно и есть

Брандауэр Windows 7 запретив все входящие соединения

И КИСулей можно все запретить , было бы желание

[red17 65]

было бы желание

У меня провайдеры и так всё блокируют, проверял на Windows что с вкл. Брандмауэром что с откл. все тесты проходит на ура.

[red17 65]

Иначе говоря "белый список"

Хочу себя поправить я был неправ белого списка или того что можно понять под выражением white list при таких настройках небудет, а будет значительное увеличение безопасности по сравнению с дефолтными настройками.