Перейти к содержанию

Recommended Posts

alisa_sh

Очередной "тест АВ продуктов" из просторов интернета вызывает привычный набор эмоций, даром что источник в этот раз именитый.

http://secunia.com/blog/29/

Тестировать "способность детектировать уязвимости" в рамках файлового сканирования самописных proof-of-concept - это еще круче, чем тестировать сигнатурное сканирование на коллекции неопознанных "каких-то там вирусов" без дат и источников.

Для тех кто не в теме, упрощенно поясню: детектировать поки - это примерно как детектировать хакерские утилиты (типа сканера), а детектировать поки файловым сканированием - это примерно как детектировать вирусы для мобильников антивирусом для ПК.

И что самое печальное, традиционная закрытость методологии и материалов тестирования (набивший всем оскомину легкомысленный, антинаучный подход к тестированию) не оставляет кому-либо шансов подвергнуть оценку ситуации обоснованному критицизму.

Вообще у меня есть гипотеза, что если любой тест равноранговых продуктов (т.е из единого конкурентного поля) показывает отрыв одного из представителей больше чем на 20-30%, то это автоматическое свидетельство аффилированности. Либо прямой (=покупка результата, это не эстетично), либо косвенной (=необъективность методологии, в частности случайная или умышленная ее "заточенность" под конкретный продукт).

Просто потому что в условиях игры на одном и том же поле у продуктов нет возможностей - а по большому счету и поводов - СИЛЬНО обходить конкурентов. В условиях рыночной конкуренции любое нововведение быстро перенимается всеми. И если отрыв все-таки происходит, то это уже совсем другой рынок и другое поле.

С другой стороны, если не застревать на этапе критицизма, то возникают новые интересные мысли. Например о том, что "защитные" продукты действительно не занимаются эксплойтами в той степени, в которой последние того заслуживают. Если оглядеть ретроспективно вирусную ситуацию этого года, оказывается, что большинство более-менее серьезных кейсов (приближенных к эпидемиям) произошли именно от эксплуатации уязвимостей (SWF exploits etc.). А ведь это только публичные кейсы, помимо них есть еще и приватные сплоеты (пардон, нераскрываемые техники), через которые распространяется более серьезная и штучная малварь.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
vaber
Тестировать "способность детектировать уязвимости" в рамках файлового сканирования самописных proof-of-concept - это еще круче, чем тестировать сигнатурное сканирование на коллекции неопознанных "каких-то там вирусов" без дат и источников.

Для тех кто не в теме, упрощенно поясню: детектировать поки - это примерно как детектировать хакерские утилиты (типа сканера), а детектировать поки файловым сканированием - это примерно как детектировать вирусы для мобильников антивирусом для ПК.

И что самое печальное, традиционная закрытость методологии и материалов тестирования (набивший всем оскомину легкомысленный, антинаучный подход к тестированию) не оставляет кому-либо шансов подвергнуть оценку ситуации обоснованному критицизму.

Я думаю, что тест имел цель обратить внимание на проблему уязвимостей и проблему своевременного патчинига уязвимых программ. В результатах видно одно - сигнатурной детектирование эксплоитов путь в никуда и что нужно подходить к проблеме с другой стороны.

Вообще у меня есть гипотеза, что если любой тест равноранговых продуктов (т.е из единого конкурентного поля) показывает отрыв одного из представителей больше чем на 20-30%, то это автоматическое свидетельство аффилированности. Либо прямой (=покупка результата, это не эстетично), либо косвенной (=необъективность методологии, в частности случайная или умышленная ее "заточенность" под конкретный продукт).

Просто потому что в условиях игры на одном и том же поле у продуктов нет возможностей - а по большому счету и поводов - СИЛЬНО обходить конкурентов. В условиях рыночной конкуренции любое нововведение быстро перенимается всеми. И если отрыв все-таки происходит, то это уже совсем другой рынок и другое поле.

Хм..странная гипотеза :). Неужели Вы полагаете, что по всем важным параметрам продукты одинакового класса имеет близкую эффективность? В общем подождем тест на активное - тогда думаю Вашу гипотезу Вы отвергнете сами ;)

С другой стороны, если не застревать на этапе критицизма, то возникают новые интересные мысли. Например о том, что "защитные" продукты действительно не занимаются эксплойтами в той степени, в которой последние того заслуживают. Если оглядеть ретроспективно вирусную ситуацию этого года, оказывается, что большинство более-менее серьезных кейсов (приближенных к эпидемиям) произошли именно от эксплуатации уязвимостей (SWF exploits etc.). А ведь это только публичные кейсы, помимо них есть еще и приватные сплоеты (пардон, нераскрываемые техники), через которые распространяется более серьезная и штучная малварь.

Угу, эксплоитами занимаются "защитные" продукты, а патчами производители уязвимого софта.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Илья Рабинович

На самом деле, очень правильный тест. Возможности антивирусов в детектировании эксплойтов сильно ограничены, это есть очевидный факт, совершенно неочевидный подавляющему большинству пользователей, как домашних, так и корпоративных, продолжающих верить в "волшебную палочку" антивирусных продуктов.

Соответственно, из теста есть только два вывода (для людей, которые умеют думать):

1. Нужно ставить патчи на уже найденные дырки (патч-менеджмент).

2. Нужно ставить HIPS для минимизации ущерба от эксплуатации 0-day уязвимостей.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
vaber
2. Нужно ставить HIPS для минимизации ущерба от эксплуатации 0-day уязвимостей.

Согласен, хипс ставить нужно, но насколько эффективно он защитит от эксплуатации этих самых 0-day? Имею ввиду хипс в целом, а не конкретный продукт.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Илья Рабинович
Согласен, хипс ставить нужно, но насколько эффективно он защитит от эксплуатации этих самых 0-day?

HIPS не защищают от экплуатации 0-day уязвимостей. Они защищают от последствий успешной эксплуатации уязвимости. Разные HIPS продукты- с разной степенью успешности.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
vaber
HIPS не защищают от экплуатации 0-day уязвимостей. Они защищают от последствий успешной эксплуатации уязвимости. Разные HIPS продукты- с разной степенью успешности.

Это и имел ввиду - последствия, но написал почему-то эксплуатацию :). Я вообще к чему клонил - к тому, что зачастую теперь используют уязвимости (зеродеи мне пока не попадались) для атаки на сам HIPS, с целью нарушить его работу и тем самым закрепиться в системе.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Иван

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Илья Рабинович
Это и имел ввиду - последствия, но написал почему-то эксплуатацию

Ну, я же не могу залезть каждому в голову, чтобы понять, кто что _хотел_ написать. Приходится читать прямо с забора! :)

Я вообще к чему клонил - к тому, что зачастую теперь используют уязвимости (зеродеи мне пока не попадались) для атаки на сам HIPS, с целью нарушить его работу и тем самым закрепиться в системе.

Каждый программный продукт имеет уязвимости и ошибки программирования. Какой-то больше, какой-то меньше. Вопрос даже не в этом. Чем более гетерогенна общая среда защиты, тем больше нужно тратить средств и времени для поиска уязвимостей в каждом из продуктов, который может встетиться на пути. Что отсеивает пионэров. А нет их- нет и притока в malware-индустрию новых мозгов.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Создайте учетную запись или войдите, чтобы комментировать

Вы должны быть пользователем, чтобы оставить комментарий

Создать учетную запись

Зарегистрируйте новую учётную запись в нашем сообществе. Это очень просто!

Регистрация нового пользователя

Войти

Уже есть аккаунт? Войти в систему.

Войти

  • Сообщения

    • accimeque
      Buy atopex europe online, buy atopex ir


      What can be better than being sure that the drugs you buy are effective and of high quality!


      Top Offers For Atopex - MORE INFORMATION



      We are ready to provide you with all the medications you need to stay healthy and happy!





      Lifeboat skipper, 51, quits the RNLI because 'it is in the grip of political correctness' She the North Bianca Andreescu Joins the Raptors in Canadian Sports Lore 'Wearable chair' that straps to ones backside is dividing social media users after going viral Devastated family tell of heartbreak after father and son die in New South Wales light air crash How to haggle around the world Like eating balls of compressed sawdust Pompeo Calls Attacks on Saudi Arabia atopex Act of War and Seeks Coalition to Counter Iran Breathtaking sound for the posh hi-fi crowd Red Bull Salzburg Gets Its Wings Atopex 100mg lowest prices. Dawid Malan emerges as surprise target for Yorkshire with Middlesex future uncertain 13-Year-Olds Are Arrested Over Hong Kong Protests Man, 25, got a glass thermometer stuck in his bladder Firm advertised huge returns. It won an award in Monaco. The SEC calls it a fraud Jofra Archer is staying cool despite a seismic summer for England's Ashes hero Contraceptive pills may raise the risk of type 2 diabetes
    • Quinzy
      А хотели бы вы научиться рисовать в зрелом возрасте? Многие ведь жалеют, что когда-то их родители не отдали в художку или просто в местности, где жили, не было такой возможности, чтобы учиться рисовать. И вот мне интересно, есть ли у взрослых людей такое желание? Сам я даже университет закончил по специальности преподаватель изобразительного искусства. Но по профессии не работаю, ибо платят мало. Вот прочитал про одну бизнес-идею https://b-mag.ru/hudozhestvennaja-shkola-dlja-vzroslyh-plan-v-6-shagov/ про открытие частной художественной школы для взрослых. Думаете стоит попытать счастье и открыть что-то подобное? 
    • Liza2u
      Тут все зависит от политики компании, есть те что работают на совесть, а есть тем что важна только быстая прибыль, без оглядки на репутацию. Мне как то довелось заказывать синии розы, так я столько намучалась пока не нашла этих ребят flowers.ua/ru/articles/sinie-rozy . Были всегда на созвоне, предупредили что опоздают на пять минут и за это чуть скинули цену, так что впечатления в целом положительные.
      Тут мне кажеться нужно смотреть сколько компания на рынке и искать отзывы. 
    • Quinzy
      Я вам вот что скажу. Когда производитель решает за сколько продавать ту или иную технику, включая компьютер, то он рассчитывает и доходы населения. И если в той же Германии или Финляндии зарплаты 3-4 тысячи евро, то у нас не более 500. И там такой же компьютер будет стоит условные 500 евро, а у нас 100. Ориентация на доходы населения идёт. Понимаете?! Так что, берите лучше у нас. За границей найдете только б\у недорогую технику. И не знаю, как вы ищите, что не можете себе нормальный компьютер найти. Я себе без проблем нашёл хороший мощный компьютер Qbox https://qbox.ua/ua/product/kompyuter-qbox-a0165/ на базе процессора AMD с оперативой DDR4 на 4 GB и жестким на террабайт. Так мне его с лихвой хватает. И на игры, и для работы. 
    • Momo
      Можно, только я не могу найти для себя хороший компьютер для себя.
×