тестирование шлюзовых антивирусов - Выбор домашних средств защиты - Форумы Anti-Malware.ru Перейти к содержанию
ags

тестирование шлюзовых антивирусов

Recommended Posts

ags

Здравствуйте!

Есть задача протестировать несколько антивирусных корпоративных шлюзовых продуктов. Прежде всего интересует способность обнаруживать заразу в динамическом содержимом - в скриптах и т.п.

Может, кто-нибудь подскажет коллекцию URL с активной скриптовой заразой?

Спасибо.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин

Распространение вредоносных программ, статья УК РФ :-)

Коллекцию URL собрать сложно, время жизни часто очень маленькое, что-то есть у нас закрытом разделе для опытов. Пишите в личку, если интересно.

Вообще я сомневаюсь, что такой тест даст что-то покажет, уж больно нерепрезентативной может быть выборка зловредов.

Я бы рекомендовал ориентироваться на тесты качества детектирования (detection rate), так как в любом случае движок один и тот же везде, зловред или ловится или нет.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Dr.Golova

> Я бы рекомендовал ориентироваться на тесты качества

> детектирования (detection rate), так как в любом случае движок

> один и тот же везде, ...

А вот и фигушки - WEB антивирус из KIS ловит сплоеты/скрипты/малвару сразу в трафике. А в пакетах оно выглядит совсем подругому, к тому же многое на диск вобще не попадает по определению, и поэтому уходит из под надзора многих АВ.

Будьте бдительны и выбирайте правильную защиту :-)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин
А вот и фигушки - WEB антивирус из KIS ловит сплоеты/скрипты/малвару сразу в трафике. А в пакетах оно выглядит совсем подругому, к тому же многое на диск вобще не попадает по определению, и поэтому уходит из под надзора многих АВ.

Но это персональный продукт, реализованы ли подобные алгоритмы в шлюзовых продуктах ЛК или кого-то еще?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Константин

Очень нужная тема, у нас сейчас как раз собираются ставит шлюзовый продукт, предполагается что он будет от ЛК. Хотелось бы чтобы высказались спецы по поводу этого шлюзового продукта и продуктов других производителей.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
ags

Уточняю - кто-нибудь что-то может сказать про опыт использования на шлюзе движка от CA?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Mike
Уточняю - кто-нибудь что-то может сказать про опыт использования на шлюзе движка от CA?

CA - это norton или mcafee?

кстати могу скинуть программку,

кототая при отключенном антивирусе за 5 минут загоняет на комп 40–60 троянов,

которые большинство антивирусов не детектят.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Mike
CA - это norton или mcafee?

http://ca.com/worldwide/

с просония не сообразил.

с симантеком и наи перепутал.

ето бывший труст, что–ли?

его в прошлом году на цебите анонсировали как единственный сертифицированный антивирус для suse–линукс

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Maxim
А вот и фигушки - WEB антивирус из KIS ловит сплоеты/скрипты/малвару сразу в трафике. А в пакетах оно выглядит совсем подругому, к тому же многое на диск вобще не попадает по определению, и поэтому уходит из под надзора многих АВ.

Но это персональный продукт, реализованы ли подобные алгоритмы в шлюзовых продуктах ЛК или кого-то еще?

в зависимости от того что вы хотите фильтровать. есть продукт под сквид и, в данный момент, научился работать с железками (цыска, блюкот).

там ситуация аналогична - трафик не попадет юзеру.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Mike
в зависимости от того что вы хотите фильтровать. есть продукт под сквид и, в данный момент, научился работать с железками (цыска, блюкот).

там ситуация аналогична - трафик не попадет юзеру.

позволю себе не согласиться.

если зловреда нет в базе касперского,

то юзер получает зловредов на тарелке.

два примера: у менйа касперский

пропустил знаменитую "Vicky Hatchetson",

а также "корейские" линки.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Maxim
позволю себе не согласиться.

если зловреда нет в базе касперского,

утрировать не надо. если вирья нет в базе, то любой его пропустить. проактивка, блокираторы и прочий хлам на серверном софте бесполезен.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Mike
утрировать не надо. .

да я вроде не утрирую, а опытом делюсь.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин
Уточняю - кто-нибудь что-то может сказать про опыт использования на шлюзе движка от CA?

Забудь об этом проду достойного в этой сфере они никогда не делали ИМХО, купили два антивирусных движка и оба убили по сути, детект просто никакой, реальной худхий показатель по индустрии :(

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Mike

утрировать не надо. .

да я вроде не утрирую, а опытом делюсь.

чтобы не быть голословным протестировал шлюзовой антивирус касперского, немецкая версия

все вирусы были в базе или были добавлены в базу касперского

9 страниц с вирусами:

Virus ..... http://antimalware.ru..........id=574 gefunden.

Virusname:Virus detected: Trojan-Dropper.Win32.Agent.azx /®£®¢®à¨¬-ª v2.1.exe

Server ..... zugriffsgeschützt.

http://antimalware.ru/.........id=959

Server ...... zugriffsgeschützt.

http://antimalware.ru/..........id=1070

Virus ...... http://antimalware.ru/..........id=1072 gefunden.

Virusname:Virus detected: Trojan.Java.ClassLoader.ao /11f0e733-1ae9601e/BaaaaBaa.class

Server ..... zugriffsgeschützt.

http://antimalware.ru/.......id=710

Virus ..... http://antimalware.ru/.....id=1102 gefunden.

Virusname:Virus detected: Trojan-Downloader.Win32.Agent.brr /xpdx.sys

Virus .... http://antimalware.ru/......id=1104 gefunden.

Virusname:Virus detected: Trojan.Win32.Dialer.qn /wnd2B8.tmp

результат: из 9 страниц с вирусами были заблокированы 9

блокированы также вирусы, заархивированные винраром с паролем.

100% :applause:

краткий перевод:

Virus .....gefunden --- вирус обнаружен

Server ..... zugriffsgeschützt ---- файл с сервера имеет пароль и блокируется

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Михаил Кондрашин

Для шлюзового антивируса важен не только уровень детекта, но и

1. Производительность

2. Особая обработка при загрузке больших файлов

3. Интеграция в существующую инфраструктуру

4. Дополнительные возможности (блокировка порнографии, квотирование трафика, аутентификация пользователей, ...)

Если по какой-то из этих позиция продукт не подходит, то его уровень детекта совершенно не принципиален.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Mike
Для шлюзового антивируса важен не только уровень детекта, но и Особая обработка при загрузке больших файлов.

это основной недостаток антивируса касперского.

скачивание файлов большого размера через шлюз с антивирусом касперского практически невозможно.

для этой цели необходимо использовать альтернативный доступ в интернет.

по крайней мере у меня для скачивания больших файлов имеется дополнительный выход в интернет минуя шлюз.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Dr.Golova

> скачивание файлов большого размера через шлюз с антивирусом касперского практически невозможно.

А нука обоснуем, с приведением настроек на шлюзе. Это всетаки не персональный АВ, и настройки очень многое значат!

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • Ego Dekker
      Домашние антивирусы для Windows были обновлены до версии 18.2.17.
    • PR55.RP55
      Так как, по сути нет возможности проверить расширения браузеров Chrom\ium при работе с образом - то, что-то нужно с этим делать. Отправлять все расширения на V.T. - в момент генерации образа, или упаковывать их в отдельный архив к\с образом автозапуска, или загружать... в облако. Возможно добавить пункт в меню: "Создать полный образ автозапуска с проверкой расширений браузеров".      
    • demkd
      RC4 переименован в релиз v5.0 с небольшим дополнением, v5.0 доступна для скачивания с сайта и через обновление.
      ---------------------------------------------------------
       5.0
      ---------------------------------------------------------
       o Новый параметр в settings.ini
         [Settings]
         ; Задает количество выводимых в лог процессов, возможно причастных к внедрению подозрительного потока в процесс.
          TopCount (Допустимые значения 0-20, по умолчанию 5, 0 - отключено).
       
    • demkd
      Проблема оказалась в редакции windows, для home нужно дополнительно прописывать флаг в реестр, в RC4 теперь это делается автоматически.
        Добавил функцию для образов.

      ---------------------------------------------------------
       5.0.RC4
      ---------------------------------------------------------
      o Добавлена поддержка включения отслеживания командной строки процессов для "Home" редакций Windows.
        Теперь при включении отслеживания в лог печатается статус этой опции.

      o Функция "Распечатать в лог топ-10 процессов пересекающихся по времени с этим процессом" теперь доступа и при работе с образом,
        если образ сделан при активном отслеживании процессов.

      o Исправлена критическая ошибка при создании файла описания для скопированного в Zoo большого текстового файла (vbs/cmd и т.д.).

       
    • santy
      Привет. По 5.0 RC3 Это работает. (саму команду еще не проверил как работает). И в цепочку процесс укладывается, хотя цепочка достаточно запутана, но к сожалению, отслеживание командной строки не включилось по какой-то причине. Возможно потому что не был отключен антивирус MBAM.
       o В окне истории процессов и задач в контекстное меню процесса добавлен новый пункт: 
         "Распечатать в лог топ-10 процессов пересекающихся по времени с этим процессом"
         Это может быть полезно при поиске процесса модифицировавшего неявно запущенный им процесс. Функция есть в истории процессов и задач, но работает видимо только из активной системы.                           DESKTOP-867G3VL_2025-07-15_20-59-13_v5.0.RC3.v x64.7z
×