Тест фаерволов на защиту от внутренних атак (результаты)

[A. 876]

А так была бы каша, у одним мы меняем настройки, а у других - запихиваем утилиты в доверенные. Сами же и запинали тест первыми. Поэтому было принято волевое решение, у DW четко написано, что результаты эти для untrusted zone. В самом начале прямо статьи в таблице. Имхо это самый правильный выход из этой сложной ситуации, иначе проще его вообще в такие тесты не брать.

Напомни мне все же - это был тест чего конкретно ? Что именно интересовало при проведении теста и для чего писались утилиты и придумывались методы ? Какой именно функционал требовалось протестировать ? С какой целью в методологии было прописано обязательно условие отсутствия детектирования на утилиты ?

[Илья Рабинович 521]

OK, раз ты таки соизволил таки высказать претензию вслух, давай с ней разбираться. А то у кого-то тоже могут возникнуть подобные вопросы.

Когда вместо заявленного тестирования способности продуктов отражать 40 МЕТОДОВ, нам подсовывают результаты тупой блокировки запуска приложений

Ну так попробуйте пройти у него тест продуктом, который не дает запустить ни один тестовый файл.

Я продолжаю считать, что это неправильно, потому что мы тут проверяли методы обхода фв, а не "особенности" фв и результат в НОЛЬ процентов должен быть отражен публично, просто потому что никаких технологий защиты от тестируемых _методов_ - у тебя нет.

Как я понимаю, ты считаешь, что DW прошёл данный тест только потому, что им были заблокирован запуск тестовых утилит. Так вот- DW не блокирует запуск приложений. Вообще. Это песочница на правилах (чтобы тебе было проще- наподобие KIS HIPS, но без "обнюхивателя") с применением на основе правил. Так что DW прошёл тест абсолютно честно, полностью согласно методологии, заблокировав потенциально опасное поведение программ-симуляторов. Если уж не знаешь, как работает программа, то спроси у тех, кто знает.

Меня интересует вопрос - на каком основании для DW запуск тестовых утилит производился из "недоверенной" зоны?

На основании того, что браузер, почтовый клиент и прочие потенциально опасные приложения, а также всё, что сквозь них проходит- недоверенные. Копейцев мог скачать себе симуляторы через браузер или прислать себе по почте, или запустить с флешки, или по локальной сети или через зашаренную папку: результат будет абсолютно одинаков. На основании того, что когда юзер ловит drive-by с сайта через браузер, зловреды вываливаются в недоверенную зону и пытаются атаковать машину из-под неё.

Но, тебе всё эт не интересно, ибо

вопрос уже сугубо риторический.

и что там происходит на самом деле и как всё работает не имеет для тебя ровным счётом никакого значения. Хорошая жизненная позиция для главного аналитика!

[A. 876]

Так что DW прошёл тест абсолютно честно, полностью согласно методологии, заблокировав потенциально опасное поведение программ-симуляторов. Если уж не знаешь, как работает программа, то спроси у тех, кто знает.

Батенька, не несите уже эту чушь дальше. DW не проходит тест на "доверенном" режиме. Точка.

Ноль.

Зиро.

Зип.

Это не тест песочниц. С тестами песочниц не сюда.

За сим дискуссию с тобой заканчиваю.

[Kopeicev 94]

Comodo, Online Armor

У Online Armor любое приложение можно запустиь с пониженными правами, по сути без админских прав и в доп настройках защитить от исполнения удаленного кода и т. д.

Что делалось?

Comodo - режим работы фаервола переведён в положение "Пользовательская политика".

Online Armor - мы пробовали все варианты настроек, но на результат так ни одно изменение не повлияло.

[Kopeicev 94]

PC Tools, BitDefender, F-Secure, DrWeb

PC tools - на результаты повлияло только изменение ползунка "Усовершенствованные разрешения безопасности (ESP)" в положение "Высокий".

Dr. Web - Режим работы брандмауэра переключён в "Интерактивный".

По остальным будет позже.

[ntoskrnl 155]

Другое дело, что Комодо может ругаться при устновке нового софта, плагинов и тп. Даже почти на 100% будет ругаться, в то время как другие продукты рангом пониже в данном тесте дадут поставить софт спокойно и не будут пугать юзера.

Дело в том, что практически все продукты, проходящие по белым спискам, устанавливаются без каких-либо ексцессов. Иногда возникают недоразумения, вроде того же Duplex Secure (sptd.sys) и продуктов на его базе, которые ловит Memory Firewall, но это редкость. Естественно, речь об умолчальных настройках, дальше сами понимаете, какие алерты "накрутим", те и получим... Кстати, может стоит ещё пробежаться по списку, но не заметил тестов на переполнение буфера. Естественно, в каком-то смысле, это удалённая атака, но тем не менее, особенно с учётом того, что на x64 локально она намного эффективнее, чем удалённая.

Именно поэтому я бы с осторожностью рекомендовал продукты лидеры начинающим юзерам. Может быть как в анекдоте, и разобьют и руки порежут

В некотором смысле соглашусь. Продукт серьёзный и наличие хотя бы минимальных знаний по теме очень желательно, блАндинкам может не подойти. Но, на мой взгляд, в индустрии сложилась очень интересная ситуация. Как-то само собой разумеется, что для того, чтобы делать красивые таблички в ворде или экселе, нужно хоть немного их знать. Чтобы "намалевать" что-нибудь в кореле или фотошопе, нужно хотя бы самую малость с ними ознакомиться. Даже для записи обычной DVD-болванки необходимы какие-то минимальные знания и навыки. Да, естественно, многие вещи делаются интуитивно и разработчики прилагают все усилия, чтобы сделать всё ещё проще. Но, тем не менее. Индустрия же средств безопасности, "учуяв" необъятный рынок, старательно вбивает в голову пользователя тезис о том, что "ничего настраивать не надо", "ничего дополнительного знать не нужно", "включили и всё само работает, только деньги давайте". Такой подход, имхо, всё-таки перебор. И юзеру желательно хотя бы иметь представление о том, чем он рискует, отказываясь от "ненужных" дополнительных знаний и умений. В частности поэтому, я, в том числе, предлагал в своё время тестировать такой "разброс" настроек. В основном потому, что лучше виден технический потенциал продуктов, а не позиция маркетинговых отделов. И тест, имхо, получился гораздо более интересный, сразу видно, с каким продуктом нужно иметь голову на плечах, с какими это "уже не поможет", а с какими можно чуть расслабиться. Шероховатости, думаю, впоследствии сгладятся. Скажем, я лично не уверен, что стоит так или иначе минусовать алерты, особенно в "максимальных" режимах, ими пользуются в основном те, кто может адекватно ответить на алерт или, по крайней мере, будет опасаться ответить неадекватно. Так что не совсем согласен с указанной "функцией распределения" (пополам-напополам)...

[canni2 50]

Скажем, я лично не уверен, что стоит так или иначе минусовать алерты, особенно в "максимальных" режимах, ими пользуются в основном те, кто может адекватно ответить на алерт или, по крайней мере, будет опасаться ответить неадекватно. Так что не совсем согласен с указанной "функцией распределения" (пополам-напополам)...

Согласился бы, если б сами алерты были адекватными. Иногда даже не в максрежимах такие вопросы задаёт, что юзера в ступор вгоняют и даже "минимальные знания темы" не спасают. А пока - любой алерт - это шок для пользователя, так что - минус. Можно, конечно, протестить алерты на понятность, но это уже вопросы социологии...

[Chekm 100]

Согласился бы, если б сами алерты были адекватными. ... А пока - любой алерт - это шок для пользователя, так что - минус. ...

А простите, зачем пользователю, которого любой аллерт вгоняет в шок, настраивать программу на повышенную защиту?

Для таких пользователей вполне достаточно режимов по-умолчанию.

[canni2 50]

А простите, зачем пользователю, которого любой аллерт вгоняет в шок, настраивать программу на повышенную защиту?

Для таких пользователей вполне достаточно режимов по-умолчанию.

А в умолчаниях алертов не бывает? Их, конечно, меньше, но, тем не менее - они есть, и есть сначала шок, а потом ступор...

[amid525 67]

При вкл. песочнице, юзерам практически ничего не нужно делать, и додумывать.

[Рашевский Роман 110]

DW не проходит тест на "доверенном" режиме. Точка.

Ок, а KIS на "доверенном" режиме пройдет?

[Danilka 678]

Ок, а KIS на "доверенном" режиме пройдет?

А в отчете не видно?

[GReY 35]

С тестами песочниц не сюда.

а куда?

Dr. Web - Режим работы брандмауэра переключён в "Интерактивный"

спасибо

[Danilka 678]

а куда?

Возможно когда то и этот тест будет проведен. Вот туда. Точнее в ту тему.

[Илья Рабинович 521]

Вот туда. Точнее в ту тему.

"Куда, блин? Туда блин".

[GReY 35]

Возможно когда то и этот тест будет проведен.

ну, одну песочницу уже и в хвост и в гриву протестили

[Umnik 997]

ntoskrnl

Отключенный детект такой штуки по умолчанию как бы намекает И да, в Интерактивном режиме он тоже отключен.

[todnei 0]

Я думаю, Symantec Endpoint Protection 12.1.671.4971 обеспечивает най-лучшую защиту для Win XP. Можно протестить?

[Mr. Justice 771]

Я думаю, Symantec Endpoint Protection 12.1.671.4971 обеспечивает най-лучшую защиту для Win XP. Можно протестить?

Тест завершен. Прочитайте пожалуйста методологию теста. Тест посвящен продуктам класса Internet Security.

[strat 275]

Кнопки "попкорн" не хватает, вообще это самый неоднозначный тест здесь, можно сказать холиварный такой тест. Почти не обсуждаются сами продукты, результаты того, как будет защищен пользователь, больше спорят из-за настроек, методологии и всяких таких вещей. Количество острых ругательно/уничижительных постов стремится к опасной величине.

[OlegAndr 236]

Кнопки "попкорн" не хватает, вообще это самый неоднозначный тест здесь, можно сказать холиварный такой тест. Почти не обсуждаются сами продукты, результаты того, как будет защищен пользователь, больше спорят из-за настроек, методологии и всяких таких вещей. Количество острых ругательно/уничижительных постов стремится к опасной величине.

Для меня в этом тесте остался один большой вопрос - почему он называется тестом фаерволов, а не утечек\самозащиты,

В целом тест слишком сложен чтобы кто-то спорил в стиле "да кто ж так перехватывает-то!", хотя бы потому что это требует глубоких знаний + бесплатное образование для хакеров.

То ли дело любой другой тест - на него каждый может сказать - "а вот у меня другие результаты"....

[Виталий Я. 859]

Для меня в этом тесте остался один большой вопрос - почему он называется тестом фаерволов, а не утечек\самозащиты,

В целом тест слишком сложен чтобы кто-то спорил в стиле "да кто ж так перехватывает-то!", хотя бы потому что это требует глубоких знаний + бесплатное образование для хакеров.

То ли дело любой другой тест - на него каждый может сказать - "а вот у меня другие результаты"....

Самозащиту почти не тестировали, поэтому высок балл у ряда продуктов, у Матушека дальше 1-2 уровня не проходящих, и низок у того же Dr.Web, например.

[Mr. Justice 771]

Флейм и оффтопик перемещен в /dev/null http://www.anti-malware.ru/forum/index.php...mp;#entry139574

Сообщения, касающиеся особенностей работы DefenseWall выделены в отдельную тему http://www.anti-malware.ru/forum/index.php?showtopic=19539

[Вадим Волков 176]

Тест завершен. Прочитайте пожалуйста методологию теста.

Вопрос к тестировщикам и администрации.

Если есть методология и она повторяема, то почему бы тогда постепенно не добавлять новые продукты к результатам теста (как у Matousec), а не ждать ещё год до следующего глобального тестирования.

[NOSS 130]

Если есть методология и она повторяема, то почему бы тогда постепенно не добавлять новые продукты к результатам теста (как у Matousec), а не ждать ещё год до следующего глобального тестирования.

Тестировать продукт про выходе новой финальной версии.