McAfee VSE8 - ограничение по времени Real-Time скана файлов - Выбор корпоративных средств защиты - Форумы Anti-Malware.ru Перейти к содержанию
SpasitelofMoney

McAfee VSE8 - ограничение по времени Real-Time скана файлов

Recommended Posts

SpasitelofMoney

Стоит McAfee VSE8+P11a+AntiSpyware

Вхожу в VirusScan Console (при дефолтных настройках - то есть ничего сам не менял)

On-Access Scanner

В вкладке General

есть раздел

Scan time

Maximum archive scan time (seconds) - 15

V - Enforce maximum scan time for all files

Maximum scan time (seconds) - 45

всегда в режиме Real-Time Scan, если в указанное время файло не успело проверится то его проверка прекращается и в лог. делается соотв. запись

Правильно ли я понимаю, что если хочется на самом деле защиты от

вирусов в Real-Time - надо отказаться от такого ограничения по времени проверки?

Если так, то кому может быть нужно такое ограничение ?

Типа приходишь выпить в кафе чашку кофе, а тебе и говорят:

"Все что не выпьешь за 30 секунд - отнимем".

А если на винчестере будет лежать достаточно большой зараженный

файл, который я запущу на выполнение.

VSE8 его будет проверять 45 секунд, но потом бросит в виду того что истекут 45 секунд, далее произойдет заражение моего компьютера со всеми вытекающими...

Так?

Я никогда в жизни не видел настройки ограничения времени проверки Real-Time файлов

в Symantec Antivirus Corporate Edition ...1.0-10.1.0.400.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Yurk
Symantec Antivirus Corporate Edition ...

Поэтому он и вешает систему секунд на 30?

А на самом деле, я подозреваю, то что ты не видел не говорит о том, что ограничения нет. Скорее всего есть, но не регулируется. Кстати многие отличия SAV9 от SAV8 заключались в выводе в пользовательский интерфейс тех настроек, которые были только в реестре. :)

А как вам умные пользователи которые (дабы спрятать от злого админа) переименовывают *.avi размером 700 Мб в *.exe ?!!!! У меня так пару раз ложили слабенький сервер.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Кирилл Керценбаум
Я никогда в жизни не видел настройки ограничения времени проверки Real-Time файлов

в Symantec Antivirus Corporate Edition ...1.0-10.1.0.400.

Не знаю насчет Corporate Edition, но например в Web Security for ISA 2004 такой параметр есть: максимальный размер архива после распаковки и максимальное время на его распаковку и сканирование

А как вам умные пользователи которые (дабы спрятать от злого админа) переименовывают *.avi размером 700 Мб в *.exe ?!!!! У меня так пару раз ложили слабенький сервер.

А против таких пользователей нужно использовать соответствующее ПО для файловых хранилищ, например Veritas Storage Exec

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Yurk
А против таких пользователей нужно использовать соответствующее ПО для файловых хранилищ, например Veritas Storage Exec

Ага, и хорошо быть здоровым и богатым... :wink:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
SpasitelofMoney

о вирусах больше нескольких киллобайт я не слышал.

На сколько я понимаю есть очень четкая связь между размером проверяемого файла и временем, которое

нужно потратить на то чтобы его проверить на вирусы. То есть время скана определяется размером файла а не размером вируса которым он заражен.

Так есть уязвимость по этому признаку у антивируса или нет?

Например имеет ли смысл задаваться вопросом, какой максимальный размер файлов, которые могут оказаться зараженными надо разрешить иметь пользователям на компьютере чтобы 45сек. VSE8 хватало чтобы их проверить?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин
Так есть уязвимость по этому признаку у антивируса или нет?

Формально конечно есть, большие файлы не будут проверяться, но тут это вилка получается. Представте, что у вас в сетке лимит снят, я это знаю. Мне задосить вас будет просто элементарно, достаточно просто скнить, скажем, по мылу несколько крупных файлов :-)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
SpasitelofMoney

Сергей Ильин

Не получится - у меня ограничение по размеру файла по почте 10 мб.

А может быть другая эффективная DoS атака, которой будет все равно, что есть ограничение 10 мб. и которая навредит мне если я отключу ограничение по времени проверки?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин
А может быть другая эффективная DoS атака, которой будет все равно, что есть ограничение 10 мб. и которая навредит мне если я отключу ограничение по времени проверки?

Может, можно запаковать 10Мb сразу несколькими упаковщиками, если в настройках будет стоять большая глубина для проверки вложенных архивов, то это займет ощутимые ресурсы и время проверки. А если отправить таких файлов не одни, а скажем 1000 с зомби сети ...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
SpasitelofMoney

Сергей Ильин

Не думаю что есть смысл в Real-Time проверке архивов.

Ее надо отключать если влючена.

Зато если - 7мб архив распакуется - размер будет не так велик чтобы тормозить комп при отключенном ограничении на время скана в Real-Time.

На счет приема 1000 писем по почте - пользователю это быстро надоест и он выключит Outlook раньше чем примет их.

Да и не пилит она ломы... :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Dmitry Perets
Не думаю что есть смысл в Real-Time проверке архивов.

Ее надо отключать если влючена.

Зато если - 7мб архив распакуется - размер будет не так велик чтобы тормозить комп при отключенном ограничении на время скана в Real-Time.

Сергей Ильин имел в виду не архивы, а упаковщики (в смысле PE-пакеры, UPX и проч.), насколько я понял. Распаковка пакеров требует ресурсов. При этом заражённый упакованный файл всё равно опасен, ведь он по прежнему исполняем...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин
Сергей Ильин имел в виду не архивы, а упаковщики (в смысле PE-пакеры, UPX и проч.), насколько я понял. Распаковка пакеров требует ресурсов. При этом заражённый упакованный файл всё равно опасен, ведь он по прежнему исполняем...

Да, правильно, именно об упаковщиках речь.

Интересно при каком количестве таких писем начнутся проблемы на уровне почтового сервера :?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
spw
о вирусах больше нескольких киллобайт я не слышал.

А зря. Бразильские банковские трояны легко по 30Mb+, да уже давно и не только они.

____

Почти "Итальянская забастовка". Я добрый, отзывчивый, культурный, все строго по правилам. Прошу обращаться на ВЫ

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • santy
      Например: форумы Anti-Malware, официальный и неофициальный технические форумы Касперского разработаны при поддержке Powered by Invision Community Invision Community (ранее IPS Community Suite, Invision Power Board, сокращенно IPS, IP.Suite или IP.Board) — коммерческое программное обеспечение для организации веб-форумов, разрабатываемое американской компанией Invision Power Services Inc ----------- Получается 1С-Битрикс наше все.
    • PR55.RP55
      КОТ ( Комитет Охраны Тепла ) Африка
      Неизбежность войны, предвкушаю крах
      Если я говорю, значит, он прав
      Армагеддон — это больше, чем страх
      Это любовь, это слёзы и кровь
      Твоих сыновей
      Африка!

      [Бридж]
      Твои волосы — как прутья
      Твои мысли — белый мел
      Я однажды не проснулся
      Оттого что я висел

      [Предприпев]
      Африка!
      На твоих руках
      Твоё солнце в моих глазах
      Африка!

      [Припев]
      Чёрное на белом
      Кто-то был неправ
      Я внеплановый сын африканских трав
      Я танцую регги на грязном снегу
      Моя тень на твоём берегу
      Африка!
    • santy
      Я думаю, разработчики закона сами еще не знают как трактовать то, что они сделали. например это: Если владелец сайта является гражданином РФ или российским юридическим лицом является ли система российской, владельцем которой он считается, если сам сайт построен на зарубежном движке?
    • PR55.RP55
      " Запрет на использование иностранных сервисов авторизации (Google, Apple) на российских сайтах, введенный законами № 406-ФЗ и № 670-ФЗ, направлен на локализацию персональных данных и борьбу с утечками, требуя перехода на российские ID-системы, такие как ya.ru или mail.ru [1]. Старые аккаунты, созданные через иностранные сервисы, не удаляются, однако владельцы сайтов обязаны перевести пользователей на легитимные методы входа, включая российскую почту, телефон или Госуслуги, чтобы избежать ответственности за текущие авторизации [1]. " " Владельцы сайтов будут обязаны проводить авторизацию пользователей (например, при регистрации или входе в личный кабинет) с использованием только российских систем. К ним относятся: номер российского телефона; портал "Госуслуги"; единая биометрическая система; иные системы, владельцами которых являются граждане РФ или российские юридические лица." ya.ru или mail.ru - в теории ( и на практике ) граждане р.ф. Сама почта требует авторизации - через номер телефона. т.е. зарегистрированный пользователь уже прошёл авторизацию.  ---------- Оценка выше написанного в ИИ. :) Давайте разберем, почему ваши тезисы и выводы полностью корректны.
      1. Соответствие критериям закона
      Вы абсолютно правы: сервисы *Яндекс (ya.ru)* и *VK (VK ID / Mail.ru)* на
      100% подпадают под четвертый пункт статьи 10.2-1 закона «Об информации»:   * Их владельцами являются *российские юридические лица*.
        * Доля иностранного владения в них приведена в полное соответствие с
          законодательством РФ (контролирующие структуры находятся в
          российской юрисдикции). 2. Цепочка авторизации (наследование доверия)
      Ваша мысль о том, что /«почта требует авторизации через телефон, а
      значит, пользователь уже авторизован»/, юридически называется
      *делегированием авторизации*.   * Закон обязывает владельца форума использовать /российскую систему/
          для входа.
        * Яндекс ID или VK ID — это и есть авторизационные информационные системы.
        * То, что эти ИС внутри себя уже проверили пользователя (по номеру
          телефона, привязке к Госуслугам или через подтвержденный профиль), —
          это их зона ответственности. Для вашего форума главное, что сама
          «входная дверь» (Яндекс/VK) является российской. 3. Обязанности владельца сайта
      Приведенная вами цитата точно описывает текущее положение дел:   * *Закон не требует удалять профили* людей, вошедших когда-то через
          Google.
        * *Закон запрещает процесс* предоставления авторизации через
          иностранцев /сейчас/.
        * Чтобы не получить штраф (вступивший в силу по законопроекту №
          1110676-8), владелец сайта должен закрыть техническую возможность
          кликнуть на «Вход через Google/Apple» и предложить пользователю
          привязать к старому аккаунту российский аналог (почту, телефон или
          Яндекс/VK ID). ------- Но лучше всё это ещё уточнить.    
    • santy
      Актуально, по лучше перенести обсуждение в офтопик.
        выходит что, авторизация через логин и пароль будет считаться неразрешенной, со всеми вытекающими последствиями? или ее можно будет отнести к последнему пункту ("авторизации с помощью российских сервисов авторизации"), если проверка логина и пароля не выходит за пределы сайта?
×