Перейти к содержанию
Сергей Ильин

Тест HIPS на предотвращение проникновения в ядро Microsoft Windows

Recommended Posts

Сергей Ильин
Во-первых спасибо vaber и Илья Рабинович.

Я думаю Василий и Илья рады вашим поздравлениям, но реально к тест они не делали :)

Напомню, что смысл теста не в том, чтобы выяснить суммарную защищенность пользователя выбранных продуктов защиты, а в том, чтобы показать возможности HIPS. Например, KIS 2009 занес бы зловредов в недоверенные и на этом бы все закончилось, как правильно об этом писали выше. OSS 2009 тоже при полностью выключенном с самого режиме обучения присек бы все попытки проникновения в ядро. Тут много нюансов есть. Мы много думали и решили остановиться на такой методологии.

P.S. В статье появились комментарии от ЛК и Агнитум.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
p2u
вредоносы

Ни одна из тестируемых программ не должна знать, что это вредоносы - это тот же новый mebroot, допустим, который тоже пока никто не познаёт; вот в чём проблема когда тестируется отдельный функционал. :)

Paul

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Umnik
Дим,что в первом,что и во втором случае- вредоносы попали сразу в недоверенные-настройки то для этой группы одинаковые в обоих режимах-запрет на все.

Я знаю. Просто пояснил про эти "умолчания", коих в KIS сразу два.

К методологии

Почему перемещение было именно в слабые ограничения? Может эмулятор HIPS присвоил бы вредоносам рейтинг близкий к 100 и предложил пользователю ограничить действия программы? А тогда вредонос попал бы в сильные ограничения. Не могу сказать, повлияло бы это на тот единственный минус, но количество алертов точно сократилось бы, за счет предустановленных запретов в группе. Т.е. для проверки отработки самой HIPS слабые ограничения достаточны, но оценка количества алертов уже не точная.

Кроме того, нужно будет уточнить у Марата, может ли эмулятор помещать вредоносы в группу Недоверенные. Я полагаю может, если вердикт будет вроде Heur.Trojan.Generic. PDM точно может.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Danilka
Ни одна из тестируемых программ не должна знает, что это вредоносы - это тот же новый mebroot, допустим, который тоже пока никто не познаёт; вот в чём проблема когда тестируется отдельный функционал. :)

Paul

Тогда надо было исключить из теста KIS-фактически он знал,что это вредоносы.

Напомню, что смысл теста не в том, чтобы выяснить суммарную защищенность пользователя выбранных продуктов защиты, а в том, чтобы показать возможности HIPS. Например, KIS 2009 занес бы зловредов в недоверенные и на этом бы все закончилось, как правильно об этом писали выше. OSS 2009 тоже при полностью выключенном с самого режиме обучения присек бы все попытки проникновения в ядро. Тут много нюансов есть. Мы много думали и решили остановиться на такой методологии.

Я считаю это не правильным.

Объясняю почему-в моем понимание и как написанно в самой статье-нужно было проверить способность HIPS предотвращать проникновения в ядро Microsoft Windows.

Так вот:

Запускаем вредонос- и смотрим на реакцию на это HIPS того или иного продукта-у всех она скорее всего разная,например KIS помещает в недоверенные без всяких аллертов-все тест пройден или как я писал в самом начале-еслибы небыло данных зловредов в базах-то появился бы аллерт,и человек бы нажал в большинстве случаях на рекомендуемое действие-а это сильные ограничения группа-тоже самое тест пройден. Другой продукт выдает аллерт на запуск к примеру-нажимаем запретить-тест пройден. Третий продукт выдает например аллерт на установку драйвера и т.д.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Виталий Я.

Добавления к официальному комментарию Agnitum:

Максим Коробцев, технический директор Agnitum:

«В соответствии с методологией тестирования модуля HIPS в продукте Outpost Security Suite Pro 2009 тестировался в условиях заранее активированного режима автообучения, при котором автоматически создаются разрешающие правила для приложений. Данный режим призван оградить пользователя от излишних "вопросов" и ложных срабатываний брандмауэра и системы проактивной защиты в дальнейшем, так как в процессе обучения выявляется ежедневная легитимная активность приложений на пользовательском ПК. В условиях уточненной методологии (с отключенным автообучением) результаты тестирования модуля "Локальная безопасность" Outpost соответствуют уровню лучших конкурирующих продуктов».

Общее резюме - тест очень неплохой, но вот Outpost (OSSP) протестировали "криво".

Даю расширенный комментарий: в рамках данного теста были допущены ошибки в отключении автообучения Outpost, поэтому 4 из 4 "провалов" однозначно - не вина Outpost, а следствие методологии.

Коммент 1: Рассмотрим шаги проведения тестирования:

"5. Отключение режима автообучения (если такой имеется)"

- должно быть на этапе 1 шага (иначе создаются правила, разрешающие загрузку драйвера), именно поэтому из-за "автолерна" не отфильтровали "ZwLoadDriver - подмена системного драйвера вредоносным, путем перемещения и последующая прямая загрузка. Встречаемость ITW: высокая".

Коммент 2:

"StartServiceA - загрузка вредоносного драйвера производится путем подмены файла системного драйвера в каталоге %SystemRoot%\System32\Drivers с последующей загрузкой. Позволяет загрузить драйвер без модификации реестра. Встречаемость ITW: высокая"

- да, подмена драйвера произойдет, только загрузить его никто не сможет (т.к. мы ФИЛЬТРУЕМ ZwLoadDriver) - загрузить не дадим.

Коммент 3:

"SCM - использование для регистрации и загрузки драйвера менеджера управления сервисами. Этот метод используется как легитимными приложениями, так и вредоносными программами. Встречаемость ITW: высокая" -

Во-первых, регистрация создания драйверов и сервисов контролируется HIPS Outpost (не даем писать в реестр).

Во вторых, опять же мы ФИЛЬТРУЕМ ZwLoadDriver) - загрузить не дадим.

Коммент 4:

С RPC ситуация следующая: у нас закрыт RPC порт 135 фаерволом, однако для 100% уверенности нужно еще время. Вполне вероятно, используется LPC для вживления "дровины", однако, чтобы загрузить сам драйвер необходимо (опять же) вызвать ZwLoadDriver или ZwSetSystemInformation, которые еще раз повторим, Outpost фильтрует.

Так что результаты спорные, т.к. ответы на запросы продуктов давались с упором на то, как бы делал самый продвинутый пользователь, но вот внимание к преднастройке Outpost было снижено.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Umnik
Тогда надо было исключить из теста KIS-фактически он знал,что это вредоносы.

Нет, Данил. Речь шла о технике. Появится новый вредонос, который использует эту технику (с момента публикации теста таких уже появилось с пару сотен, наверняка), но не известен сигнатурно. Вот тогда отработает так, как в тесте (подобно).

а это сильные ограничения группа-тоже самое тест пройден

Я бы не был столь уверенным, что сильные ограничения дали бы 100% прохождения теста. Хотя надеюсь на это.

Другой продукт выдает аллерт на запуск к примеру-нажимаем запретить-тест пройден.

Таких алертов в KIS нет. Т.е. есть, но они не поднимаются при "вторых умолчаниях", их нужно специально включить.

Третий продукт выдает например аллерт на установку драйвера и т.д.

Ну это и проверялось. Если поднимался алерт (а в Слабых огранчиениях они на все поднимаются), то выполнялось рекомендуемое действие. А установку драйвера рекомендуется запрещать.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Danilka
Нет, Данил. Речь шла о технике. Появится новый вредонос, который использует эту технику (с момента публикации теста таких уже появилось с пару сотен, наверняка), но не известен сигнатурно. Вот тогда отработает так, как в тесте (подобно).

Но не в слабых ограничениях же... :blink:

Я бы не был столь уверенным, что сильные ограничения дали бы 100% прохождения теста. Хотя надеюсь на это.

Если в слабых с запросами в интерактиве прошел(кроме одного),то в сильных и подавно в интерактиве пройдет(думаю все). ;)

Таких алертов в KIS нет. Т.е. есть, но они не поднимаются при "вторых умолчаниях", их нужно специально включить.

Ну это и проверялось. Если поднимался алерт (а в Слабых огранчиениях они на все поднимаются), то выполнялось рекомендуемое действие. А установку драйвера рекомендуется запрещать.

Это я уже не о KIS а про другие продукты... :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Umnik
Но не в слабых ограничениях же... blink.gif

Зависит от того, что заметят эмулятор и PDM.

Если в слабых с запросами в интерактиве прошел(кроме одного),то в сильных и подавно в интерактиве пройдет(думаю все). wink.gif

TDSS так не думает. Но я не помню, в какую группу он попадал.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Danilka
Зависит от того, что заметят эмулятор и PDM.

Само собою.

P.S. Соглашусь с Олегом- даже в данном тесте- KIS показал очень хороший результат.

P.P.S. Но схема проведения тестирования все равно по моему мнению не верна. По ней нельзя реально оценить в сравнении тот или иной продукт,т.к. они были не в равных условиях.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Umnik

Продукты всегда не в равных условиях из-за подхода к защите. А вот требования к ним едины.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
vaber
Общее резюме - тест очень неплохой, но вот Outpost (OSSP) протестировали "криво"

Мне Сергей Ильин писал об этом. Я собственноручно у себя перепроверял. Причина кроется вовсе не в режиме автообучения - причина кроется в создании правил. Даже если поставить Агнитум как Вы показали на скрине - результат идентичен.

Проблема в том, что сам продукт при запуске легитимного приложения с драйвером выдаст алерт с предложением создать правило. Если пользователь выберет не создавать правило, а разрешить однократно - то да, алерты последуют и на малвары. Но тогда к Вам вопрос - зачем было предложено использовать в сравнении легитимную утилиту? Не задумывались? Или Вы считаете, что пользователи не будут никогда создавать правил - и будут на десятках алертов тыкать "разрешить однократно"? Правило предлагается создать не для продукта, ставящего драйвер, а для процесса services (SCM). Вот и получается -что если пользователь создает правило для легитимного приложения - это автоматом делает возможной загрузку драйверов любым трояном.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
p2u
Я собственноручно у себя перепроверял.

Тяжёлый офф-топ: Хочу упоминать о том, что сильно не хватает здесь ZoneAlarm. Я понимаю, что это офф-топ, но вы можете намекать на то, как бы выглядел он в данном тесте? Спасибо. :)

Paul

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Umnik
Кроме того, нужно будет уточнить у Марата, может ли эмулятор помещать вредоносы в группу Недоверенные. Я полагаю может, если вердикт будет вроде Heur.Trojan.Generic. PDM точно может.

Марат сказал, что эмулятор может переносить приложение в недоверенные.

untrusted.PNG

Теперь улавливаем логическую связь с http://www.anti-malware.ru/forum/index.php?showtopic=6649 Итого потенциально имеем если не 9/9, то ~9/9 точно.

И что важно. Если эмулятор засунет в Недоверенные, до пользователя ни о чем не спросят. Его уведомят, что программа в группе недоверенные и все. Т.е. опять снижение количества алертов.

post-3736-1240303247_thumb.png

Отредактировал Umnik
добавил

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Danilka

Дим,спасибо за инфу. ;)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
IgorTT3
...

2) Кружочек с кольцами защиты позабавил, сперли с википедии. Честно говоря, не знаю что за "нубы" его рисовали.

...

SWW, может Вы внесете в эту статью изменения? Желательно в русскую. Спасибо.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
p2u
И что важно. Если эмулятор засунет в Недоверенные, до пользователя ни о чем не спросят. Его уведомят, что программа в группе недоверенные и все. Т.е. опять снижение количества алертов.

Но это больше похоже на облегчение задач HIPS (если его рассматривать как блокиратор действий). Я не говорю, что подход к защите плохой - наоборот: очень даже эффективный. Но в интерактивном режиме интереснее оценить технические возможности KIS (то есть: отключить этот механизм). :)

Paul

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Umnik
Но в интерактивном режиме интереснее оценить технические возможности KIS (то есть: отключить этот механизм). smile.gif

Вы хотите рассмотреть поведение ХИПС или уровень его защиты? Первое показано в тесте, для первого нужно помещать в слабые. Второе не показано, по причинам, что я указал выше.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Илья Рабинович
PS: Спасибо большое vaber'y и Илье Рабиновичу за проведение этого полезного теста.

Я здесь не при чём. Тестовые семплы делал Василий.

- да, подмена драйвера произойдет, только загрузить его никто не сможет (т.к. мы ФИЛЬТРУЕМ ZwLoadDriver) - загрузить не дадим.

И при старте операционной системы тоже не дадите?

С RPC ситуация следующая: у нас закрыт RPC порт 135 фаерволом, однако для 100% уверенности нужно еще время. Вполне вероятно, используется LPC для вживления "дровины", однако, чтобы загрузить сам драйвер необходимо (опять же) вызвать ZwLoadDriver или ZwSetSystemInformation, которые еще раз повторим, Outpost фильтрует.

Подсказка- 135 порт тут вообще и близко не валялся.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
dr_dizel
Общее резюме - тест очень неплохой, но вот Outpost (OSSP) протестировали "криво".

Виталий, всё "ровно". :rolleyes:

Я писал о проблеме отсутствия контроля опосредованного доступа в списке рассылки agnitum ещё в 2008 году.

После чего было сказано: "Да, это ДЫРА ОГРОМНОГО РАЗМЕРА. Причём она наверняка касается очень много.", и всё - тишина.

А почему? Надо менять дизайн продукта, переписывать движок, переписывать всю базу правил, а это титаническая работа.

Всего лишь одно правило даже для доверенной подписанной программы (часто автоматическое на основе ImproveNet) может сделать из системы защиты решето. На эту роль идут прямиком services и svchost. Что можно делать посредством них? А многое:

C:\XP\system32>reg.exe delete ****** The operation completed successfullyC:\XP\system32>reg.exe delete ****The operation completed successfully*****#BSOD.

Можно даже пробивать защиту в перспективе:

reg add ***** REG_MULTI_SZ  ****** \%SystemRoot%\system32\drivers\ *****

Всё это очень печально...

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
vaber
Что можно делать посредством них? А многое:

А Вы проверяли, удаляется ли сервис таким способом, если включена самозащита? Тоже касается PendingFileRenameOperations - а файлы перемещаются агнитума, при включенной самозащите? :)

Добавил: хыхыхы, а ведь реально работает, и даже отложенное перемещение не нужно - дрова просто удалить можно :).

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
p2u
Виталий, всё "ровно". :rolleyes: Всего лишь одно правило даже для доверенной подписанной программы (часто автоматическое на основе ImproveNet) может сделать из системы защиты решето. На эту роль идут прямиком services и svchost. Что можно делать посредством них? А многое:

Это сообщение + дальнейшее обсуждение по этой проблеме я перенёс бы в закрытый раздел. Можно заодно удалить мой комментарий.

Paul

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
dr_dizel
Это сообщение я перенёс бы в закрытый раздел...

Так это не баг. Таков дизайн продукта.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
p2u
Так это не баг. Таков дизайн продукта.

Тем более... ;)

Paul

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
vaber
Так это не баг. Таков дизайн продукта.

Ага, дизайн Ж)

Товарищи модераторы - отредактируйте сообщение dr_dizel плиз!!

А самому dr_dizel выдать медаль, золотого цвета с пометкой: великий и ужасный убийцо всея Огнитум :)))

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
dr_dizel
А Вы проверяли, удаляется ли сервис таким способом, если включена самозащита? Тоже касается PendingFileRenameOperations - а файлы перемещаются агнитума, при включенной самозащите? :)

Добавил: хыхыхы, а ведь реально работает, и даже отложенное перемещение не нужно - дрова просто удалить можно :).

Да проверял я всё. Ещё в 2008 году. Да, можно подменять дрова. Можно много чего. Разработчики об этом с того времени знают.

Но тут в теме начали говорить, что это всё ерунда... И никаких изменений не наблюдается. Продукт продаётся.

Вот я уже давно не сижу на аутпосте т.к. смыл небольшой.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • Ego Dekker
    • ArktiTig
      Арктика - северная полярная область Земли, включающая окраины материков Евразии и Северной Америки, почти весь Северный Ледовитый океан с островами и прилегающие к нему части Атлантического и Тихого океанов. Название её происходит от греческого слова arctos (медведь) и связано со звёздами: Полярная звезда, находящаяся почти точно в зените над Северным полюсом, принадлежит к созвездию Малая Медведица.
    • ArktiTig
      Арктика - северная полярная область Земли, включающая окраины материков Евразии и Северной Америки, почти весь Северный Ледовитый океан с островами и прилегающие к нему части Атлантического и Тихого океанов. Название её происходит от греческого слова arctos (медведь) и связано со звёздами: Полярная звезда, находящаяся почти точно в зените над Северным полюсом, принадлежит к созвездию Малая Медведица.
    • PR55.RP55
      .xml  файлы taskschd.msc Могут быть подписаны  цифровой подписью. Думаю будет нелишним, если uVS будет это фиксировать. т.е. проверять не только подпись целевого файла, но и подпись самого файла\задачи. и писать в ИНфО .  
    • demkd
      ---------------------------------------------------------
       4.15.2
      ---------------------------------------------------------
       o Исправлена ошибка при работе с образом автозапуска.
         Для некоторых процессов команда unload не добавлялась в скрипт при нажатии кнопки "принять изменения".  o Добавлена плашка окна на таскбаре для окна удаленного рабочего стола.
         (при работе с удаленной системой) -----------------------------------------------------------
      Есть проблема с локализацией глюка в редких случаях приводящему к аварийному завершению uVS при активном флаге "Проверять весь HKCR".
      На основе дампов его найти не получается, нужна копия реестра системы с такой проблемой, если кому-то попадется такая проблема, то присылайте архив с копией реестра системы мне на почту.  
×