Trend Micro не определяет большое количество серьёзных вирусов - Trend Micro - покупка, использование и решение проблем - Форумы Anti-Malware.ru Перейти к содержанию
AlexCh

Trend Micro не определяет большое количество серьёзных вирусов

Recommended Posts

AlexCh

В сети настроен корпоративный антивирус trend micro, базы обновляются регулярно, но очень часто происходят ипедемии в сети, после того как тренд пропускает серьёзные вирусные угрозы. При этом, антивирусные продукты "DrWeb, Kaspersky" данные вирусы находят и обезвреживают.

Вопрос у меня такой, у кого встречались подобные проблемы, может быть у меня сервер тренда настроен как то не так.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Sergey Dindikov
В сети настроен корпоративный антивирус trend micro, базы обновляются регулярно, но очень часто происходят ипедемии в сети, после того как тренд пропускает серьёзные вирусные угрозы. При этом, антивирусные продукты "DrWeb, Kaspersky" данные вирусы находят и обезвреживают.

Вопрос у меня такой, у кого встречались подобные проблемы, может быть у меня сервер тренда настроен как то не так.

У меня лично TM в эксплуатации года 3. И за это время сделал свои субъективные выводы:

1) суммарная антивирусная база TM слабовата.

2) скорость попадания новых вирусов в её - небольшая.

клиентов ~ 700.

На другой продукт не перехожу так как сейчас это не очень просто сделать в силу инерционности в корпоративной среде, и первоначальный выбор продукта - не мой.

как и года 3 назад я бы выбрал решение Касперского.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Михаил Кондрашин
В сети настроен корпоративный антивирус trend micro, базы обновляются регулярно, но очень часто происходят ипедемии в сети, после того как тренд пропускает серьёзные вирусные угрозы. При этом, антивирусные продукты "DrWeb, Kaspersky" данные вирусы находят и обезвреживают.

Вопрос у меня такой, у кого встречались подобные проблемы, может быть у меня сервер тренда настроен как то не так.

1. Поставьте последнюю версию и включите Web Reputation - уровень заразы снизится до уровня конкурентов

2. Включите на почтовом шлюзе Email Reputation

Во втором квартале выйдет OfficeScan 10, в котором будет File Reputation тогда защита станет еще лучше.

Это если о продукте. Если о вашей сети, то проанализируйте, почему (кроме Trend Micro) произошли эпидемии и постарайтесь предотвратить их превентивными мерами.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Pavel Yablonskiy

Имеется сеть с 300-ми ПК. Проблема аналогичная.

Вирусы, которые популярны в российско-украинском сегменте сети, в базах trendmicro появляются с существенным запозданием.

Причины как думается две:

- небольшое количество домашних пользователей с продуктами trendmicro на пост-советском пространстве, а они первооткрыватели новых вирусов :)

- отсутствие локализованой технической поддержки

К чести техподдержки trendmicro могу отметить - все запросы по поводу новых вирусов были отработаны. И отработыватються очень оперативно - 8-12 часов максимум.

От новых напастей спасает своевременное установка заплаток и минимальные права пользователей на компьютерах.

Если этого не делать - сразу получаем зоопарк самых разных зловредов.

ps. на данный момент тестирую officescan 10 beta 4 c включённым режимом cloud-scan

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
AlexCh
Поставьте последнюю версию и включите Web Reputation - уровень заразы снизится до уровня конкурентов

Web Reputation - можно поподробнее, у себя на сервере такого не нашел

Trend Micro OfficeScan

Version: 8.0

Build: 1094

И как это может снизить уровень заразы, если записей об этой заразе нет в базах тренда?

Отредактировал AlexCh

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Pavel Yablonskiy

Меню Network Computer\Web Reputation\

там есть настройки для данного функционала.

Web Reputation позволяет блокировать доступ к сайтам, которые на данный момент распространяют зловредов.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
AlexCh
Меню Network Computer\Web Reputation\

Нет у меня такого, может потому что нет лицензий на Web threat protection for desktops и Web threat protection for servers?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Андрей Володенков

Фактически это значит что у вас так же не выключена функциональность Anti-Spyware. Активационный ключ для Web threat protection у вас должен быть, он уже давно поставляется вместе с ключами для OSCE в любой комплектации.По поводу ключа напишите мне в личку, если у вас легальная лицензия, то ключ мы ваш найдем. А SP1 for OSCE 8.0 у вас установлен?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
LiK

согласен, проблемы на 100% аналогичные. а теперь еще и с конфикером боремся. тренда все сканирует, находит, удаляет, а при запуске каспер кидо киллер - опять 25

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Pavel Yablonskiy

А вот с conficker'ом как раз проблем нет.

trend всё выловил и вычистил

и встроенный фаер детектит откуда идёт размножение (откуда, когда и кто)

так что нужно вовремя обновления ставить на windows :rolleyes:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
LiK

ну допустим мой косяк, не поставили вовремя обновления (всуса нет, и инета у обычных пользователей нет). задача вычистить - а не получается

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
AlexCh
Фактически это значит что у вас так же не выключена функциональность Anti-Spyware. Активационный ключ для Web threat protection у вас должен быть, он уже давно поставляется вместе с ключами для OSCE в любой комплектации.По поводу ключа напишите мне в личку, если у вас легальная лицензия, то ключ мы ваш найдем. А SP1 for OSCE 8.0 у вас установлен?

Нашел лицензии, поставил, включил Enable Web Reputation policy.

и встроенный фаер детектит откуда идёт размножение (откуда, когда и кто)

так что нужно вовремя обновления ставить на windows

В каком месте можно посмотреть детект фаера? В логах в поле "Infection Source" данных нет

И если фаер был отключен при установке osce, как его можно безболезненно доставить?

Отредактировал AlexCh

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
p2u
ну допустим мой косяк, не поставили вовремя обновления (всуса нет, и инета у обычных пользователей нет). задача вычистить - а не получается

Автозапуск на всех дисках отключили? Службу Планировщик заданий отключили? (Следует проверить задания там; job1, job2)

Paul

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Михаил Кондрашин
Нашел лицензии, поставил, включил Enable Web Reputation policy.

В каком месте можно посмотреть детект фаера? В логах в поле "Infection Source" данных нет

И если фаер был отключен при установке osce, как его можно безболезненно доставить?

Client Firewall ставится всегда. В разделе управления лицензиями есть галочка, которая его запускает.

согласен, проблемы на 100% аналогичные. а теперь еще и с конфикером боремся. тренда все сканирует, находит, удаляет, а при запуске каспер кидо киллер - опять 25

Может быть это поможет

DOWNAD_CONFICKER_032709.pdf

DOWNAD_CONFICKER_032709.pdf

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
AlexCh
Client Firewall ставится всегда. В разделе управления лицензиями есть галочка, которая его запускает.

Включен

И всё-таки, где можно посмотреть детект фаера? В логах в поле "Infection Source" данных нет

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Pavel Yablonskiy

Logs\Network computer logs\Security Risks\

Выбираем нужный домен - View Logs\Firewall Logs\

В окошке выбираем период и жмём кнопку Notfy Clients а затем Display Logs

и смотрим кто является источником проблем

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
AlexCh
Logs\Network computer logs\Security Risks\

Выбираем нужный домен - View Logs\Firewall Logs\

В окошке выбираем период и жмём кнопку Notfy Clients а затем Display Logs

и смотрим кто является источником проблем

Я так пробовал делать, всегда выдаёт пустую таблицу

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Pavel Yablonskiy

Networked Computers\Firewall\Profiles

Проверьте All clients profile (или другой профиль) активированы?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
AlexCh
Networked Computers\Firewall\Profiles

Проверьте All clients profile (или другой профиль) активированы?

напротив All clients profile enabled, только внутри ничего не настроено кроме Policy: All acces policy

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Pavel Yablonskiy

Развожу руками.... При тех же настройках всё работает..

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
AlexCh

Фаер заработал, всё показывает, вот только в View - Virus/Malware Logs - в таблице Infection Source пустое значение, как сделать, чтобы он показывал источник?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Pavel Yablonskiy

Если фаер заработал - источник нужно искать анализируя его данные.

OfficeScan детектирует conficker как: Net virus -- MS08-067_SERVER_SERVICE_REMOTE_EXECUTION_EXPLOIT

если в поле "Direction" написано Receive - то смотри поле "Remote Host" там указан ip компа который распространяет conficker.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
AlexCh

Да это всё понятно, просто не понятно почему всё-таки нет данных по Infection Source в Virus/Malware Logs

Отредактировал AlexCh

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • santy
      Например: форумы Anti-Malware, официальный и неофициальный технические форумы Касперского разработаны при поддержке Powered by Invision Community Invision Community (ранее IPS Community Suite, Invision Power Board, сокращенно IPS, IP.Suite или IP.Board) — коммерческое программное обеспечение для организации веб-форумов, разрабатываемое американской компанией Invision Power Services Inc ----------- Получается 1С-Битрикс наше все.
    • PR55.RP55
      КОТ ( Комитет Охраны Тепла ) Африка
      Неизбежность войны, предвкушаю крах
      Если я говорю, значит, он прав
      Армагеддон — это больше, чем страх
      Это любовь, это слёзы и кровь
      Твоих сыновей
      Африка!

      [Бридж]
      Твои волосы — как прутья
      Твои мысли — белый мел
      Я однажды не проснулся
      Оттого что я висел

      [Предприпев]
      Африка!
      На твоих руках
      Твоё солнце в моих глазах
      Африка!

      [Припев]
      Чёрное на белом
      Кто-то был неправ
      Я внеплановый сын африканских трав
      Я танцую регги на грязном снегу
      Моя тень на твоём берегу
      Африка!
    • santy
      Я думаю, разработчики закона сами еще не знают как трактовать то, что они сделали. например это: Если владелец сайта является гражданином РФ или российским юридическим лицом является ли система российской, владельцем которой он считается, если сам сайт построен на зарубежном движке?
    • PR55.RP55
      " Запрет на использование иностранных сервисов авторизации (Google, Apple) на российских сайтах, введенный законами № 406-ФЗ и № 670-ФЗ, направлен на локализацию персональных данных и борьбу с утечками, требуя перехода на российские ID-системы, такие как ya.ru или mail.ru [1]. Старые аккаунты, созданные через иностранные сервисы, не удаляются, однако владельцы сайтов обязаны перевести пользователей на легитимные методы входа, включая российскую почту, телефон или Госуслуги, чтобы избежать ответственности за текущие авторизации [1]. " " Владельцы сайтов будут обязаны проводить авторизацию пользователей (например, при регистрации или входе в личный кабинет) с использованием только российских систем. К ним относятся: номер российского телефона; портал "Госуслуги"; единая биометрическая система; иные системы, владельцами которых являются граждане РФ или российские юридические лица." ya.ru или mail.ru - в теории ( и на практике ) граждане р.ф. Сама почта требует авторизации - через номер телефона. т.е. зарегистрированный пользователь уже прошёл авторизацию.  ---------- Оценка выше написанного в ИИ. :) Давайте разберем, почему ваши тезисы и выводы полностью корректны.
      1. Соответствие критериям закона
      Вы абсолютно правы: сервисы *Яндекс (ya.ru)* и *VK (VK ID / Mail.ru)* на
      100% подпадают под четвертый пункт статьи 10.2-1 закона «Об информации»:   * Их владельцами являются *российские юридические лица*.
        * Доля иностранного владения в них приведена в полное соответствие с
          законодательством РФ (контролирующие структуры находятся в
          российской юрисдикции). 2. Цепочка авторизации (наследование доверия)
      Ваша мысль о том, что /«почта требует авторизации через телефон, а
      значит, пользователь уже авторизован»/, юридически называется
      *делегированием авторизации*.   * Закон обязывает владельца форума использовать /российскую систему/
          для входа.
        * Яндекс ID или VK ID — это и есть авторизационные информационные системы.
        * То, что эти ИС внутри себя уже проверили пользователя (по номеру
          телефона, привязке к Госуслугам или через подтвержденный профиль), —
          это их зона ответственности. Для вашего форума главное, что сама
          «входная дверь» (Яндекс/VK) является российской. 3. Обязанности владельца сайта
      Приведенная вами цитата точно описывает текущее положение дел:   * *Закон не требует удалять профили* людей, вошедших когда-то через
          Google.
        * *Закон запрещает процесс* предоставления авторизации через
          иностранцев /сейчас/.
        * Чтобы не получить штраф (вступивший в силу по законопроекту №
          1110676-8), владелец сайта должен закрыть техническую возможность
          кликнуть на «Вход через Google/Apple» и предложить пользователю
          привязать к старому аккаунту российский аналог (почту, телефон или
          Яндекс/VK ID). ------- Но лучше всё это ещё уточнить.    
    • santy
      Актуально, по лучше перенести обсуждение в офтопик.
        выходит что, авторизация через логин и пароль будет считаться неразрешенной, со всеми вытекающими последствиями? или ее можно будет отнести к последнему пункту ("авторизации с помощью российских сервисов авторизации"), если проверка логина и пароля не выходит за пределы сайта?
×