Перейти к содержанию
bormann

Кто быстрее закрывает уязвимость антивирус или производитель по.

Recommended Posts

bormann

Столкнулся со статьёй Вадима Стеркина.

Удивил момент

Не стоит слепо надеяться на то, что производители антивирусов среагируют на уязвимости Windows, Java или Adobe быстрее разработчиков.

Сам длительное время использую комплексный антивирус от известного разработчика, как раз надеясь на то, что производители антивирусов среагируют на уязвимости быстрее разработчиков программного обеспечения. Получается, что я тешу себя пустыми надеждами на прибавку в защите или всё же автор лукавит.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
ShIvADeSt

С какого перепугу производители АВ должны реагировать на уязвимости софта? Лечить заразу, которая проникла через эти дыры - да, но большее - они что за это деньги получают? И уж тем более закрывать дыры на уровне АВ себе дороже (в смысле производителю АВ), так как после этого пойдут жалобы, что программа де глючит и тп.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Виталий Я.
И уж тем более закрывать дыры на уровне АВ себе дороже (в смысле производителю АВ), так как после этого пойдут жалобы, что программа де глючит и тп.

Вранье. Сообщать про эксплойты производитель не всегда обязан, т.к. есть спецпрограммы у топ вендоров, обязывающие не раскрывать уязвимость до их фикса вендором... Но выпускать сигнатуры, правила HIPS и апгрейды с фиксами уязвимостей ОС и стороннего ПО для лидеров с "комбайнами" - дело чести.

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
ShIvADeSt

Угу, то то я и смотрю, что когда кидо по сети ходил - АВ закрывали уязвимости. Лечить лечили, но ВЕЗДЕ писали, что НАДО ставить патчи. Что корпоративные продукты, что для домашнего пользователя.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Виталий Я.
Угу, то то я и смотрю, что когда кидо по сети ходил - АВ закрывали уязвимости.

Очень разные ситуации бывают. Все уязвимости ОС не закроешь правилами HIPS, конечно. Но всех под одну гребенку... Давайте лучше разделять на "классических АВ" (у кого нелады с фаерволами и HIPS-ами) и "проактивных" производителей.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
zels
Угу, то то я и смотрю, что когда кидо по сети ходил - АВ закрывали уязвимости. Лечить лечили, но ВЕЗДЕ писали, что НАДО ставить патчи. Что корпоративные продукты, что для домашнего пользователя.

Раз писали, значит патчи УЖЕ БЫЛИ. Антивирусы лечили, прозводитель патчи выпустил, только пользователи их не ставили.

Почему "наезд" на антивирусы - совершенно непонятно.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Burbulator
Очень разные ситуации бывают. Все уязвимости ОС не закроешь правилами HIPS, конечно.

Что-то мне кажется, что речь идет не о HIPS, а о IPS, блокируещем известные уязвимости по сигнатурам атак

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Mr. Justice

bormann

Современные защитные комплексы класса Internet Security и Total Security имеют в своем составе IPS, которая предназначена для прикрытия уязвимостей ОС и прикладного ПО. Пропуск одной-двух сетевых атак не свидетельствует о том, что IPS неэффективна. Антивирусы чаще пропускают вирусы, но мало кому придет в голову отказаться от их использования.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Виталий Я.
HIPS, а о IPS, блокируещем известные уязвимости по сигнатурам атак

У Outpost, например, сетевая активность и межпроцессное взаимодействие анализируются "в одном флаконе" для каждого приложения, ну и формируются и поставляются в виде правил комплектом.

Но мешать понятия Host-intrusion prevention с intrusion detection/prevention и вправду не стОит, хотя вряд ли кто-то из top HIPS еще не сделал сетевую и локальную защиту гибридной.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Виталий Я.
Ждем-ждем.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Mr. Justice
У Outpost, например, сетевая активность и межпроцессное взаимодействие анализируются "в одном флаконе" для каждого приложения, ну и формируются и поставляются в виде правил комплектом.

Виталий, пользуясь случаем задам вопрос. Как часто обновляются базы IPS в продуктах Agnitum и насколько оперативно компания реагирует на появление новых угроз (если кончено есть какие-нибудь данные об оперативности реагирования и они не конфиденциальны).

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
bormann

Господа полный разброд и шатание. HIPS не может закрыть уязвимость его дело блокировать проникший через уязвимость вирус. Речь идёт о технологиях Kaspersky поиск уязвимостей и Symantec виртуальный патч, вот почитайте. Google закрыл уязвимость в Adobe Flash Player раньше самого Adobe. Очень интересна реактивность технологий Kaspersky поиск уязвимостей и Symantec виртуальный патч обгоняют ли они по скорости закрытия уязвимостей производителей программного обеспечения или же нет. Тогда разъясните, пожалуйста, смысл этих технологий, зачем нужна двойная перестраховка для уже закрытой производителем программного обеспечения уязвимости. Для любителей не ставить патчи надо полагать.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
bormann

Видимо несколько некорректно поставил вопрос, под защитой уязвимости антивирусом, надо полагать имеется ввиду защита от эксплоита. Возвращаюсь к вопросу, что же случится быстрее закрытие уязвимости производителем программного обеспечения, под которую есть рабочий эксплоит или детект антивирусом этого эксплоита. И ещё, какие типы IPS используются в современных антивирусах IPS ищущие атаки, основываясь на найденных ранее эксплойтах, или IPS с анализом протоколов.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
mimoXod
быстрее закрытие уязвимости производителем программного обеспечения, под которую есть рабочий эксплоит

В современных домашних антивирусах используются IPS без анализа протоколов.

ps. На форуме прочитал.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Rustock.C
Symantec виртуальный патч обгоняют ли они по скорости закрытия уязвимостей производителей программного обеспечения или же нет.

О IPS в продуктах Symantec (уникальной в своём роде). IPS-это система предотвращения вторжений, которая сканирует получаемые и отправляемые пакеты и сравнивает их с набором сигнатур атак.

Если информация соответствует известной сигнатуре атаки, то система предотвращения вторжений автоматически уничтожает пакет и прерывает соединение с компьютером, отправившем данные. То есть по сути это Network IPS (NIPS).

И ещё, какие типы IPS используются в современных антивирусах IPS ищущие атаки, основываясь на найденных ранее эксплойтах, или IPS с анализом протоколов.

Некорректная постановка утверждения. В IPS применяется технология Deep Packet Inspection, осуществляется не только фильтрация заголовка пакета, но и производится разбор всего стека с целью глубокого проникновения в тело данных и анализа передаваемых протоколов и всё это применяется с так называемыми потоковыми сигнатурами для осуществления пакетного сканирования.

Кто быстрее закрывает уязвимость антивирус или производитель по

Закрывает только производитель. А компонент в антивирусном комплексе лишь защищает от неё. Основная проблема заключается в пользователях, которые не обновляют своевременно ПО, и самом ПО, в котором отсутствует возможность оперативного обновления. Также написать сигнатуру для IPS намного проще и быстрее, чем дожидаться закрытия уязвимости со стороны разработчиков ПО. Следственно имея сетевой IPS в продукте, мы получаем надежную защиту компьютера.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Александр Соколов
Основная проблема заключается в пользователях, которые не обновляют своевременно ПО

Особенно если чел. обновляется в течении часа после выхода заплатки :blink:быстро же однако.

написать сигнатуру для IPS намного проще и быстрее, чем дожидаться закрытия уязвимости со стороны разработчиков ПО.
Не стоит слепо надеяться на то, что производители антивирусов среагируют на уязвимости Windows, Java или Adobe быстрее разработчиков.

Rustock.C vs Стёркин.

Вадим Стеркин занимается развитием компьютерного портала OSZone.net, объединяющего сайт, форум и каталог программного обеспечения. Он отвечает на вопросы участников форума OSZone с 2002 года, а на сайте ведет раздел автоматической установки Windows. Вадим также пишет статьи о клиентских операционных системах Microsoft, которые помимо OSZone.net публикуются на Microsoft Technet, в базе знаний Microsoft, журнале Windows IT Pro/RE. В своем блоге он делится опытом и секретами эффективной работы в Windows. С 2006 года Вадим пять раз подряд становился обладателем награды Наиболее ценный специалист Microsoft (MVP), присуждаемой за вклад в развитие технических сообществ.

Rustock.C Руткит образца 2007 года. Факты подтверждающие ваши умозаключения будут?

Следственно имея сетевой IPS в продукте, мы получаем надежную защиту компьютера.

Ничего "мы" не получаем "мы" же обновляемся в течении часа после выхода патча :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Rustock.C
Особенно если чел. обновляется в течении часа после выхода заплатки быстро же однако.

Чел. просто молодец. А я говорил за большинство пользователей.

Факты подтверждающие ваши умозаключения будут?

Простите, а вы кто такой? И что конкретно я должен подтверждать?

Ничего "мы" не получаем "мы" же обновляемся в течении часа после выхода патча

:facepalm:

Я даже не знаю как это комментировать. Вот обнаружили уязвимость- и бах hotfix-патч на неё в течении часа. Да никогда такого не было.

А тут другой вариант. Написали сигнатуру для IPS и выпустили обновление в течении часа. Это возможный и не сказочный вариант.

И для этих атак тоже выпущено обновление в течении часа? :lol:

  • Downvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Александр Соколов
Чел. просто молодец. А я говорил за большинство пользователей.

Простите, а вы кто такой? И что конкретно я должен подтверждать?

:facepalm:

Я даже не знаю как это комментировать. Вот обнаружили уязвимость- и бах hotfix-патч на неё в течении часа. Да никогда такого не было.

А тут другой вариант. Написали сигнатуру для IPS и выпустили обновление в течении часа. Это возможный и не сказочный вариант.

И для этих атак тоже выпущено обновление в течении часа? :lol:

Учимся читать внимательнее, про выпуск hotfix-патча в течении часа у меня ни слова, коментировать вы нехотите ибо нечем и фактов у вас нет.

:facepalm::lol:

Чел. просто молодец. А я говорил за большинство пользователей.

А я то грешным делом подумал, что мы в этой теме все данному чел. помочь хотим. ;)

Далее по теме: При таких реактивных установках обновлений бояться можно только зеродэев от которых отлично защищает технология с проактивной защитой HIPS+Firewall. В Norton проактивная защита крайне слабая см. тест 20% Not recommended. Осмелюсь посоветовать подукты получившие свыше 90%, а ещё лучше 100%. К тому же Comodo абсолютно бесплатен и не падает во время сканирования репутации, как некоторые. Сами понимаете, что между продуктами получившими 99% и 100% огромная пропасть, у злоумышленника уже есть готовый шаблон обхода продукта получившего менее 100% см. методологию Matouseca. В отличии от продукта который даже Matousec обойти не смог, возможно, что это и никому другому не под силу в тестах АМ Comodo тоже отстоял на все 100%.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Rustock.C
При таких реактивных установках обновлений бояться можно только зеродэев от которых отлично защищает технология с проактивной защитой HIPS+Firewall.

Вы можете подтвердить свои слова фактами? Например, привести статистику замеров интервалов времени между обнаружением уязвимости и выходом на неё заплатки? Если нет, то ваши слова просто балабольство.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Александр Соколов
Вы можете подтвердить свои слова фактами?

Естественно, я привык отвечать за свои слова.

0day (англ. zero day) – термин, принятый в индустрии антивирусного программного обеспечения и обозначающий вредоносные программы или уязвимости, против которых существующие защитные механизмы бессильны. В данном случае имел ввиду уязвимости ибо топикстартер утверждает, что самостоятельно не устанавливает вредоносный код. Один из главных защитных механизмов от уязвимостей это патч от производителя ПО если нет патча уязвимость считается 0 day ;)По мнению антивирусных компаний, для обеспечения эффективной защиты против 0day вредоносных программ и уязвимостей необходимо использование проактивных технологий антивирусной защиты. Сами технологии туда входят: Эвристик, эмулятор кода, Анализ поведения и песочнца проще говоря HIPS, Виртуализация, я бы ещё ИМХО добавил фаервол, но готов спорить. Какие из этих технологий за исключением SONAR который HIPS и ой :o простите, совсем забыл ГЛАВНОЕ эвристический анализатор который показал себя в Августовском On-Demand Comparative на максимальных настройках заняв 15е место, присутсвуют в Norton и смогут защитить от 0 day.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Rustock.C

Я спрашивал не про 0 day. А про обновления, которые вы реактивно установите. Приведите информацию с интервалами времени между обнаружением уязвимости и выходом на неё заплатки. Этим самым вы докажите, что IPS -это ничто и покажите, что обнаруженные уязвимости будут очень быстро закрыты, не нанеся никакого вреда пользователям.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Александр Соколов
Я спрашивал не про 0 day. А про обновления, которые вы реактивно установите. Приведите информацию с интервалами времени между обнаружением уязвимости и выходом на неё заплатки. Этим самым вы докажите, что IPS -это ничто и покажите, что обнаруженные уязвимости будут очень быстро закрыты, не нанеся никакого вреда пользователям.

При установке, как сказано обновлений в течении часа после их пупликации. IPS и так понятно, что ничто. Так как не входит в перечень проактивных методов защиты и вы не привели фактов доказывающих обратное.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Rustock.C
При установке, как сказано обновлений в течении часа после их пупликации.

Вам известны сроки публикации обновления с момента обнаружения уязвимости?

Так как не входит в перечень проактивных методов защиты и вы не привели фактов доказывающих обратное.

Проактивные методы здесь ни при чём, так как я спрашивал не про 0 day.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Александр Соколов
Вам известны сроки публикации обновления с момента обнаружения уязвимости?

Проактивные методы здесь ни при чём, так как я спрашивал не про 0 day.

Тогда вопрос закрыт, от не 0day уязвимостей топикстартер устанавливает патчи.

Вопрос довольно тонкий и поставлен углом, допустим пропиаришь продукт и скажешь IPS прикрывает 0day уязвимости иначе говоря производители антивирусов среагируют на уязвимости быстрее разработчиков.© Получается, что кто то 3,14. А этот кто то довольно автортетен в своих высказываниях, а значит автоматом твой продукт есть УГ и пиарщик не лучше. Поэтому лучше плавно перейти к проактивным методам защиты которые защитят от последствий проникновения через 0day, как то так:

У Outpost, например, сетевая активность и межпроцессное взаимодействие анализируются "в одном флаконе" для каждого приложения, ну и формируются и поставляются в виде правил комплектом.

Но мешать понятия Host-intrusion prevention с intrusion detection/prevention и вправду не стОит, хотя вряд ли кто-то из top HIPS еще не сделал сетевую и локальную защиту гибридной.

и волки сыты и офцы целы, а пользователь долго втыкает и ставит...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Создайте учетную запись или войдите, чтобы комментировать

Вы должны быть пользователем, чтобы оставить комментарий

Создать учетную запись

Зарегистрируйте новую учётную запись в нашем сообществе. Это очень просто!

Регистрация нового пользователя

Войти

Уже есть аккаунт? Войти в систему.

Войти

  • Сообщения

    • demkd
      это если пользоваться regedit-ом, впрочем там невозможно обнулить dacl там можно его сделать пустым, что приведет к обратному - недоступности ключа для всех пользователей кроме владельца, если убивать dacl программно то ничего не появляется его просто нет и ключ доступен для всех. Сами исправят когда-нибудь, я им не пользуюсь. Увы, но майнеры работают напрямую с библиотеками amd opencl или с cuda nvidia или просто с opencl какой зацепят включая интеля, через них можно получить общую загрузку gpu для родной карты, но не раскладку по процессам, ну разве что за исключением nvidia quadro у них есть свои бибилиотки и там вроде как можно что-то вытянуть, но опять же только для quadro.
      Да и это не актуально, я набросал на коленке небольшую тестовую утилиту через direct-x, все довольно точно считает и в 10-ке и в 7-ке, вряд ли оно конечно будет работать в XP, но оно и не надо впрочем желающие протестируют, добавлю в след. версии uVS, будет считать аналогично CPU с момента запуска процесса, такой подход майнеров CPU/GPU выявляет замечательно, они грузят постоянно, а значит и процент близкий 100 выходит, на фоне практически нуля для всех остальных процессов.
    • PR55.RP55
      Dragokas Да, сегодня искал по данному вопросу информацию. https://ru.bmstu.wiki/Кража_веб-страниц,_запускаемых_в_браузере_пользователя,_с_использованием_уязвимостей_графического_процессора + Ещё будет полезна информация полученная по:  tasklist  [ Память ] https://docs.microsoft.com/en-us/windows-server/administration/windows-commands/tasklist  
    • Dragokas
      Раз уж в них такие нестыковки по показаниям GPU, проще наверное взять исходники какого-нибудь консольного майнера. Там обычно отображаются и учитываются все такие нагрузки, уже заточена поддержка под несколько видеокарт и даже можно задать ограничения. Можно начать с NiceHashMiner - там внутри папки есть все наиболее популярные майнеры и дальше уже смотреть, у какого из них есть исходник, в крайнем случае списаться с автором.
    • Dragokas
    • demkd
      Сейчас посмотрел в Windows 10 1803, PH показал загрузку, но вот только отличие от реальной более чем в 2 раза xD
      PE показал на процент больше, но считай тоже самое, виндовый диспетчер задач показал менее процента при реальной загрузке близкой к 100%
      Вывод очевиден: надо делать самому с нуля, почитаю что там умеет dx оценю объем работ, если он небольшой то сделаю, если нет то когда-нибудь...

      Посмотрел что показывает PE на Windows 7 с 4-мя картами загруженными майнингом на 100%:
      Как бы он вообще не видит что zecminer64 насилует все 4 карты одновременно


      ProcessHacker повел себя идентично, копипаст рулит, одинаковые ошибки в одинаковых случаях.
×