Перейти к содержанию
пользователь

SONAR - принципы работы

Recommended Posts

пользователь
Для этого есть SONAR, который вполне вероятно отловит этот факт и заблокирует процесс, но естественно речь не идет о 100% гарантии

Спасибо!

Кирилл, если я правильно понимаю, то SONAR собирает данные по запускаемым программам и исследует следы их активности? Я правильно понял? Получается, что кто-то из пользователей заражается, на его компьютере собирается информация и отправляется в symantec и полученные результаты отправляются по мере необходимости другим клиентам?

  • Downvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Кирилл Керценбаум
Кирилл, если я правильно понимаю, то SONAR собирает данные по запускаемым программам и исследует следы их активности? Я правильно понял? Получается, что кто-то из пользователей заражается, на его компьютере собирается информация и отправляется в symantec и полученные результаты отправляются по мере необходимости другим клиентам?

Это в данной системе есть, но как некий сопутствующий функционал, основная же задача SONAR (Symantec Online Network for Advanced Response) - это анализ поведения приложений, оценка их характеристик, требований и др. и в зависимости от этого их блокировка или удаление, в ожидаемой в сентябре 2009 года версии Norton 2010 предстоит релиз следующей версии системы - SONAR 2, опирающейся на степень доверия к приложениям, данный функционал будет уникальным. Уже идет разработка системы SONAR 3, но о том, что в ней появится абсолютно нового пока говорить рано

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
пользователь
Это в данной системе есть, но как некий сопутствующий функционал, основная же задача SONAR (Symantec Online Network for Advanced Response) - это анализ поведения приложений, оценка их характеристик, требований и др. и в зависимости от этого их блокировка или удалени

Спасибо, Кирилл, это было очень очень интересное, но, к сожалению, чересчур общее описание. Вы бы не могли уточнить, каким образом SONAR оценивает программное обеспечение? Давайте предположим, что у меня есть совершенно новый файл и что опыт других пользователей мне не может помочь. Предположим, я запускаю файл и что происходит дальше? Файл обследуется в песочнице/эмуляторе?

в ожидаемой в сентябре 2009 года версии Norton 2010 предстоит релиз следующей версии системы - SONAR 2, опирающейся на степень доверия к приложениям, данный функционал будет уникальным. Уже идет разработка системы SONAR 3, но о том, что в ней появится абсолютно нового пока говорить рано

Это дело будущего. Я еще не совсем понимаю, как он сейчас работает.

PS. Кирилл, вы бы не могли выделить это обсуждение в отдельную тему? Спасибо.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Кирилл Керценбаум

пользователь технические подробности системы SONAR являются коммерческой тайной. Известно лишь, что данная система анализирует все выполняющиеся и запускаемые приложения и процессы на предмет их нормального или аномального поведения (создание файлов, порождение процессов, записи в реестре, доступ в сеть, наличие цифровой подписи и множество других) и на базе этого принимает решение о его легитимности и необходимости блокировки. Начиная с версии 2010 система Quorum позволит также в этом процессе задействовать показатели уровня доверия сообщества Norton Community Watch к тем или иным файлам, степень их распространения и т.д.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Danilka
... технические подробности системы SONAR являются коммерческой тайной.

Хм... А может в SONAR заложен шпионский функционал? Почему вдруг это коммерческая тайна?

  • Downvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Кирилл Керценбаум
Хм... А может в SONAR заложен шпионский функционал? Почему вдруг это коммерческая тайна?

Вы я смотрю мастак по гениальным идеям, только вот все как-то не по теме и без пользы

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Danilka
Вы я смотрю мастак по гениальным идеям, только вот все как-то не по теме и без пользы

Спасибо за развернутый ответ по данной технологии. :)

Вопросов больше нет. У меня... Но они теперь возникнут у других более компетентных лиц... ;)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
пользователь
пользователь технические подробности системы SONAR являются коммерческой тайной. Известно лишь, что данная система анализирует все выполняющиеся и запускаемые приложения и процессы на предмет их нормального или аномального поведения (создание файлов, порождение процессов, записи в реестре, доступ в сеть, наличие цифровой подписи и множество других) и на базе этого принимает решение о его легитимности и необходимости блокировки

Спасибо.

Я правильно понимаю, что SONAR анализирует производимые программой действия постфактум? То есть, не предотвращение действий, а исправление последствий?

Начиная с версии 2010 система Quorum позволит также в этом процессе задействовать показатели уровня доверия сообщества Norton Community Watch к тем или иным файлам, степень их распространения и т.д.

Разумно, но всегда будет хоть один неудачник...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
priv8v

Имхо, это перебор про шпионский функционал. Я сам вполне допускаю наличие таких вкладок от разработчиков в любом антивирусном софте, поэтому подозревать в этом Симантек (их Сонар) считаю несколько некорректным...

Что про Сонар, то в 2009 версии на дефолтных настройках практически нереально заставить его хоть что-то заблочить или удалить. В 2010 сонар2 уже нормально смотрит на активность файла и выявляет "нормальная" ли у файла деятельность или нет...

Я правильно понимаю, что SONAR анализирует производимые программой действия постфактум?

Нет.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Кирилл Керценбаум
Я правильно понимаю, что SONAR анализирует производимые программой действия постфактум? То есть, не предотвращение действий, а исправление последствий?

В режиме реального времени, то есть особо опасное действие будет заблокировано до его совершения, менее опасные - если в совокупности они дают большой уровень подозрений - то последнее также будет заблокировано До

Что про Сонар, то в 2009 версии на дефолтных настройках практически нереально заставить его хоть что-то заблочить или удалить. В 2010 сонар2 уже нормально смотрит на активность файла и выявляет "нормальная" ли у файла деятельность или нет...

Да, в 2009 версии было только начало этой технологии, в первую очередь нужно было накопить статистику, чтобы не мучить пользователь сотнями уведомлений и высоким уровнем ложных срабатываний - теперь статистика накоплена, движок сильно доработан - результат налицо, один из примеров уже приводился на АМ, как я уже говорил, идет работа над SONAR 3, который появится в 2011 версии

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
пользователь
В режиме реального времени, то есть особо опасное действие будет заблокировано до его совершения, менее опасные - если в совокупности они дают большой уровень подозрений - то последнее также будет заблокировано До

Кирилл, сможет ли SONAR заблокировать установку драйвера неизвестного зловредного п/о?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
priv8v

Вы говорите про 2010 версию?..

Все будет зависеть от кучи факторов (цифровой подписи, другой деятельности файла, его репутации). Если же самому набрость быстро файл, который в лоб через SCM будет грузить драйвер (также написанный нами и симантеку незнакомый), то скорее всего будет или вопрос, или просто блокировка загрузки с уведомлением.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Кирилл Керценбаум
Кирилл, сможет ли SONAR заблокировать установку драйвера неизвестного зловредного п/о?

Вы же уже вроде видели мой ответ на это - http://www.anti-malware.ru/forum/index.php...st&p=76137:

Для этого есть SONAR, который вполне вероятно отловит этот факт и заблокирует процесс, но естественно речь не идет о 100% гарантии

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Danilka

По крайней первая бета 2010 установку руткита TDSS не ловила SONAR 2.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
пользователь
Вы же уже вроде видели мой ответ на это - http://www.anti-malware.ru/forum/index.php...st&p=76137:

Не буду переливать из пустого в порожнее. Я уже понял, что ничего нового сказано не будет.

Спасибо за ответы.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Vadim Fedorov
Я правильно понимаю, что SONAR анализирует производимые программой действия постфактум? То есть, не предотвращение действий, а исправление последствий?

пользователь, Вы же и сами понимаете, что описанный в Вашем предположении алгоритм

несуразен по своей сути, и был бы в двойне несуразен, если бы применялся в антивирусном продукте.

Само собой разумеется, что модуль SONAR предназначен для предотвращения действий

еще неизвестных вредоносных программ на основании анализа их подозрительного поведения

в режиме реального времени.

SONAR представляет собой эвристический модуль поведенческого анализа (Behavioral Detection engine),

отслеживающий подозрительную активность в системе и контролирующий все запускаемые на компьютере

приложения, файлы, определяя на основании сотен эвристических параметров, не является ли их поведение подозрительным,

присущим вредоносным программам. Самыми простейшими примерами такого подозрительного поведения,

является "Запись в run key", "Регистрация BHO", "Модификация etc/hosts" и т.д.

Также само собой разумеется, что отслеживаемые приложения, файлы находятся под контролем,

и в случае выявления подозрительной активности (естественно в режиме реального времени), будут перемещены в карантин.

Модуль SONAR 2, входящий в состав продуктов Norton 2010 (выпуск финальной (Release) версии которых

ожидается в сентябре, проходящих в данный момент этап beta-тестирования) будет постоянно совершенствоваться

на протяжении всего этапа beta-тестирования. Помимо уже приведенного выше примера эффективной работы SONAR 2,

можно привести еще один пример:

Не так давно, можно было наблюдать сомнительную историю (начало "истории"), когда сотрудник Лаборатории Касперского,

в целях намеренной дискредитации продуктов Norton, разместил модифицированную им же программу,

которая предположительно должна была продемонстрировать неэффективность (ложное срабатывание)

модуля SONAR 2 продукта Norton 2010, находящегося в стадии BETA-тестирования.

Правда сотрудник ЛК не учел того, что "уже вовсю продающийся в Европе" Release-продукт Kaspersky 2010,

точно также реагирует на поведение данного файла, помещая его в карантин при работе в автоматическом режиме.

Вследствие чего, при первой же возможности, в целях устранения данного непредвиденного конфуза, он добавил этот файл

в Базу данных доверенного ПО Лаборатории Касперского.

После чего, продолжил с воодушевлением распространять на сторонних ресурсах сведения, дискредитирующие компанию Symantec -

" Что касатется группы "доверенных"- я его добавил, и при старте он имено туда и попадает.

Посмотрим, на сколько месяцев опаздает Симернтик по части "доверия" к калькулям, учитывая, что всякий левый софт,

который дают им не голд-партнеры по специальной (недешевой) подписке рассматривается по остаточному принцыпу,

а популярности у именно этой версии калькулятора явно немного. "

Правда сотрудник ЛК не учел того, что модуль SONAR 2 во второй публичной BETA-версии 17.0.0.105

продуктов Norton 2010 BETA, вышедшей еще 20.07.2009 уже не помещает данный файл в карантин -

Видео-ролик "Калькулятор" (517 КБ) - http://depositfiles.com/files/no9yssk33

причем произошло это не за счет внесения "исподтишка, задним числом" в какие-либо "White list" никому неизвестного файла,

модифицированного никому неизвестным сотрудником ЛК, а за счет планового совершенствования

продуктов Norton 2010 BETA (в том числе и модуля поведенческого анализа) на этапе beta-тестирования.

Тем самым, данный сотрудник ЛК, оконфузился во второй раз подряд.

Думаю, что мое сообщение поможет лучше понять принцип работы модуля SONAR,

а также избежать абсолютно несуразных предположений, о том, что продукты Norton

сначала допускают заражение, и уж только после этого начинают его устранять,

что попросту противоречит любому здравому смыслу, и, естественно, не соответствует действительности.

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Black_Z

Если обратиться к истокам SONAR, а именно к некогда выпускаемой Symantec - http://www.sysinternals.com).

Отключение брандмауэра Windows

Процесс отключил брандмауэр Windows. Такое действие является подозрительным.

Изменение файла hosts

Процесс изменил файл hosts, который используется для настройки сети на компьютере. Добавляя записи в этот файл или изменяя их, вредоносные программы могут направлять сетевые подключения на определенные веб-узлы без ведома пользователя.

Изменение файла config.sys

Процесс изменил файл config.sys, который содержит список драйверов, по умолчанию загруженных системой при запуске. Это может указывать на попытку загрузить вредоносный модуль ядра в виде части установки руткита.

Изменение файла autoexec.bat

Процесс изменил файл autoexec.bat, который управляет запуском Windows. Вредоносные программы могут пытаться изменить файл autoexec.bat таким образом, чтобы он загружал их каждый раз при запуске Windows.

Изменение параметров обозревателя

Процесс изменил параметры веб-обозревателя, такие как домашняя страница или параметры поиска. Хотя некоторые благонадежные установщики могут изменять эти параметры, такое поведение свойственно рекламным и шпионским программам, а также программам, целью которых является получение контроля над обозревателем.

Запуск системной службы

Процесс запустил системную службу с использованием приложения поддержки net.exe.

Останов системной службы

Процесс остановил системную службу с использованием приложения поддержки net.exe.

Продолжение выполнения после перезагрузки

Эта программа автоматически запускается Windows после каждой перезагрузки. Вредоносные программы, как правило, должны обеспечить свое выполнение после перезагрузки, чтобы эффективно выполнять сбор сведений. Многие благонадежные программы также продолжают выполнение после перезагрузки.

Вероятное продолжение выполнения после перезагрузки

Исполняемый файл не зарегистрирован явным образом для продолжения выполнения после перезагрузки, однако он был запущен сразу после начала работы системы и имеет свойства, поддерживающие продолжение выполнения после перезагрузки. Вредоносные программы, как правило, должны обеспечить свое выполнение после перезагрузки, чтобы эффективно выполнять сбор сведений. Многие благонадежные программы также продолжают выполнение после перезагрузки.

Порождение процессов

Процесс породил подчиненные процессы.

Выполнение из кэша

Программы, выполнение которых ведется из кэш-памяти, являются подозрительными. Эти файлы либо были загружены и выполняются непосредственно из обозревателя или клиентской программы электронной почты, либо представляют собой программы, которые выполняются из кэш-памяти с целью скрыть свое присутствие.

Ведение журнала нажатия клавиш с использованием обработчика Windows

Процесс установил обработчик Windows для ведения журнала нажатия клавиш (клавиатурный шпион). Вредоносные программы устанавливают такие обработчики клавиатурных шпионов, чтобы похитить имена пользователей, пароли и номера кредитных карт. Некоторые благонадежные программы, например программы обмена мгновенными сообщениями, используют обработчики для отслеживания активности пользователя, чтобы установить его статус.

Выполнение из каталога Windows

Процесс выполняется из каталога Windows файловой системы. Многие вредоносные программы выполняются из каталога Windows, чтобы их нельзя было обнаружить среди ключевых исполняемых файлов Windows и служебных программ, расположенных в этом каталоге.

Выполнение из каталога Program Files

Процесс выполняется из каталога Program Files файловой системы. Этот каталог используется по умолчанию для установки благонадежных программ, но из него также выполняются некоторые рекламные программы.

Ведение журнала нажатия клавиш

Программа предприняла попытку вести журнал нажатия клавиш и, вероятно, является вредоносной.

Выполнение из файловой системы

Процесс выполняется из области файловой системы, которая не является каталогами Windows и Program Files или кэшем.

Регистрация объектов COM

Процесс зарегистрировал объект COM, который представляет собой программный модуль для расширения функциональности Windows. Благонадежные установщики часто устанавливают объекты COM, но некоторые шпионские программы это тоже делают.

Регистрация расширения протокола

Процесс зарегистрировал расширение протокола, что представляет собой способ расширения сетевых возможностей Windows. Такое поведение является подозрительным.

Регистрация панели инструментов

Процесс зарегистрировал панель инструментов Internet Explorer. Хотя существуют благонадежные панели инструментов, значительная их часть является вредоносной.

Регистрация appinit_dlls

Процесс зарегистрировал dll-библиотеку (исполняемый модуль), и этот модуль будет загружаться в каждый процесс Windows. Иногда такой механизм используется программными средствами обеспечения безопасности, но он также используется вредоносными программами для реализации функций руткита.

Регистрация расширения Winlogon

Процесс зарегистрировал расширение процесса Winlogon, который является программой, управляющей такими системными событиями, как завершение работы, запуск, начало или завершение сеанса пользователя. Процесс Winlogon начинается одним из первых и завершается последним. Некоторые приложения безопасности используют эти расширения, но вредоносные программы тоже могут их использовать.

Регистрация BHO

Процесс зарегистрировал объект модуля поддержки обозревателя или BHO, который представляет собой программу, расширяющую функциональность оболочки Windows (explorer.exe) и обозревателя Internet Explorer. Объекты модуля продержки обозревателя часто являются подозрительными.

Регистрация LSP

Процесс вставил LSP-драйвер в сетевой системный стек. Это изменяет способ обработки некоторых сетевых событий системным стеком. Хотя существуют благонадежные экземпляры LSP-драйверов, такое действие крайне подозрительно.

Завершение работы

Процесс завершил свою работу.

Запись в каталог Windows

Процесс создал исполняемый файл в каталоге Windows. Хотя некоторые благонадежные программы установки копируют исполнительные файлы в этот каталог, то же самое делают и вредоносные программы, чтобы их нельзя было обнаружить.

Вставка кода

Процесс предпринял попытку внедрить код в выполняемые процессы, в результате чего они выполняют чужеродный код. Это действие также носит название внедрение dll и часто указывает на вредоносное поведение. К обычным программам, которые внедряют код в другие программы, относятся программные средства обеспечения безопасности, такие как антивирусное и антишпионское программное обеспечение.

Надежный

Исполняемый файл является проверенным корпорацией Symantec.

Регистрация обработчика поиска URL-адресов

Процесс регистрирует обработчик поиска URL-адресов, который изменяет порядок выполнения поиска в Internet Explorer. Такое действие часто выполняется вредоносными программами.

Повторная установка вредоносной программы

Процесс повторно установил вредоносную программу. Это крайне подозрительно.

Запись в файловую систему

Процесс создал исполняемый файл в файловой системе. Это действие часто выполняется вредоносными программами.

Видимое окно

Процесс имеет видимое окно. Это свойство скорее связано с обычными программами, чем с вредоносными.

Отключение защиты файлов Windows

Процесс предпринял попытку отключить защиту файлов Windows, которая предотвращает вмешательство в основные исполняемые файлы Windows. Такое действие крайне подозрительно.

Модуль ядра

Исполняемый файл зарегистрирован как модуль ядра.

Регистрация драйвера фильтра

Процесс зарегистрировал драйвер фильтра, который расширяет функции ядра Windows.

LSP-драйвер

Исполнительный файл зарегистрирован как LSP-драйвер, который представляет собой программный модуль, изменяющий порядок обработки сетевых событий на компьютере.

Изменение общей области запуска

Процесс изменил каталог, который содержит файлы, автоматически выполняемые при загрузке системы. Это крайне подозрительно.

Надежный установщик

Исполняемый файл имеет цифровую подпись компании, которую корпорация Symantec считает надежной. Подпись была проверена, и этому исполняемому файлу можно доверять.

Объект COM

Исполняемый файл зарегистрирован как объект COM.

Обработчик протокола

Исполняемый файл зарегистрирован как обработчик сетевого протокола.

Расширение Winlogon

Исполняемый файл зарегистрирован как расширение Winlogon.

Объект модуля поддержки обозревателя

Исполняемый файл зарегистрирован как объект модуля поддержки обозревателя.

Обработчик поиска URL-адресов

Исполняемый файл зарегистрирован как обработчик поиска URL-адресов.

Панель инструментов

Исполняемый файл зарегистрирован как панель инструментов Internet Explorer.

DLL-библиотека Appinit

Исполняемый файл зарегистрирован для загрузки во все процессы Windows с использованием раздела реестра appinit_dlls.

Установлен через программу обмена мгновенными сообщениями

Исполняемый файл был установлен с использованием программы обмена мгновенными сообщениями.

Установлен через электронную почту

Исполняемый файл был установлен с использованием программы электронной почты.

Установлен через обозреватель

Исполняемый файл был установлен с использованием обозревателя.

Исполняемый файл упакован

Исполняемый файл является упакованным (сжатым или зашифрованным). Обычно это уменьшает размер исполняемого файла. Многие вредоносные программы распространяются в упакованном виде с целью избежать обнаружения механизмами, основанными на распознавании сигнатур.

Скрытая служба

Исполнительный файл зарегистрирован как системная служба, скрытая от пользователя. Это крайне подозрительное свойство, оно свидетельствует о поведении руткита.

Вот такой довольно сложный механизм...

Визуально можно было увидеть и уровень серьезности:

Каждой характеристике для этого процесса назначен уровень серьезности. Уровни серьезности могут быть следующими:
  • Один зеленый квадрат — хорошие характеристики неугрожающих процессов.
  • Два желтых квадрата — низкий уровень риска, содержатся характеристики, которые могут быть использованы для причинения вреда.
  • Три оранжевых квадрата — средний уровень риска, содержатся характеристики, которые могут быть использованы как вредоносные.
  • Четыре красных квадрата — высокий уровень риска, проявляются агрессивные характеристика, которые необходимо проверить.

Понятно, что это было только начало данной технологии, которая с прошедшим временем естественно развивалась, прогрессировала и автоматизировалась, что бы не задавать лишних вопросов пользователю…

Думаю, данная информация будет полезна для интересующихся данной технологией защиты..

  • Upvote 10

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
пользователь
пользователь, Вы же и сами понимаете, что описанный в Вашем предположении алгоритм

несуразен по своей сути, и был бы в двойне несуразен, если бы применялся в антивирусном продукте.

Спасибо. Вопросов больше не имею.

PS. Давно бы так.

PPS. Разведение флейма - не одобряю (особенно модератором). Тем более, у ЛК уже есть белый список, а у вас - только бета NIS2010.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Vadim Fedorov
PPS. Разведение флейма - не одобряю (особенно модератором).

Полностью разделяю Ваше мнение.

Действительно, размещаемые командой модераторов официального форума ЛК сообщения в разделе Symantec данного форума,

подпадают под определение "флейм" и, к сожалению, также являются и заведомо провокационными, размещаемыми намеренно и осознано,

пользуясь сверхлояльностью и доброжелательностью супермодератора, предпочитающего очень мягкий стиль модерирования.

Тем более, у ЛК уже есть белый список, а у вас - только бета NIS2010.

пользователь, я понимаю, что данная часть Вашего сообщения вызвана отсутствием информации / знаний

о продуктах Norton, поэтому предлагаю Вам ознакомиться с двумя сообщениями -

http://www.anti-malware.ru/forum/index.php...ost&p=68172

http://www.anti-malware.ru/forum/index.php...ost&p=69311

описывающими некоторые из технологий, содержащихся в продуктах Norton 2009, выпущенных официально еще 9 сентября 2008 года.

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Zilla
а у вас - только бета NIS2010.

Symantec некуда спешить..

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
пользователь
Полностью разделяю Ваше мнение.

Действительно, размещаемые командой модераторов официального форума ЛК сообщения в разделе Symantec данного форума,

подпадают под определение "флейм" и, к сожалению, также являются и заведомо провокационными, размещаемыми намеренно и осознано,

пользуясь сверхлояльностью и доброжелательностью супермодератора, предпочитающего очень мягкий стиль модерирования.

Не знаю, кого вы здесь имеете ввиду, но я имел ввиду Вас, уважаемый Vadim Fedorov. Модераторы официального форума ЛК, здесь - обычные форумчане. Все, что они делают - это их личное дело. А вот к лицу ли модератору АМ устраивать на АМ флейм и холивар?

пользователь, я понимаю, что данная часть Вашего сообщения вызвана отсутствием информации / знаний

о продуктах Norton, поэтому предлагаю Вам ознакомиться с двумя сообщениями -

http://www.anti-malware.ru/forum/index.php...ost&p=68172

http://www.anti-malware.ru/forum/index.php...ost&p=69311

описывающими некоторые из технологий, содержащихся в продуктах Norton 2009, выпущенных официально еще 9 сентября 2008 года.

Да, вы правы, я действительно многого о NIS не знаю, но в данном случае я имел ввиду кое что другое... В ЛК приложение перед добавлением в белый список обязательно проверяют. Насколько я знаю, с помощью KSN могут сделать вывод, что какое-то п/о - это вирус, но не наоборот. Пока файл не побывает в ЛК - никакого доверия ему не будет.

Марат проверил этот калькулятор, добавил его белый лист и теперь, пользователи KIS 8/9, никогда больше не столкнуться с этой проблемой, а вот у вас, как я понимаю, проблема пока решена только в NIS2010. Или я ошибаюсь?

PS. Это были риторические вопросы, если отвечать неудобно или не хочется - то и не нужно.

Symantec некуда спешить..

Зря так думаете. В ЛК уже собирают пожелания на KIS2011...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Zilla
Зря так думаете. В ЛК уже собирают пожелания на KIS2011...

А в Symantec уже разрабатывают SONAR 3 =)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
пользователь
А в Symantec уже разрабатывают SONAR 3

Пока еще даже SONAR2 не вышел - еще нечем хвастаться.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Zilla

Может открыть на форуме Symantec тему "Пожелания для NIS 2011" и тоже ей хвастаться? ) Да и никто ничем не хвастается, я вообще независимое лицо.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Vadim Fedorov
Не знаю, кого вы здесь имеете ввиду, но я имел ввиду Вас, уважаемый Vadim Fedorov. Модераторы официального форума ЛК, здесь - обычные форумчане. Все, что они делают - это их личное дело. А вот к лицу ли модератору АМ устраивать на АМ флейм и холивар?

пользователь, не стоит подменять очевидное положение вещей, так как это выглядит неубедительно.

Подытоживая, отвечу на Ваш вопрос: да, намеренное размещение провокационных сообщений,

носящих собой единственную цель намеренной дискредитации определенных продуктов / производителей

это действительно личное дело каждого из участников, каким бы неэтичным и недостойным оно не являлось.

Также отмечу то, что Вы прекрасно осведомлены о том, что только за попытку устроить подобную провокацию,

сопровождающуюся заодно и размещением несоответствующих действительности сведений на форуме ЛК,

Ваши же коллеги-модераторы незамедлительно применят меры по отношению к подобным пользователям-провокаторам,

манеру поведение которых, они почему-то применяют на данном форуме в разделе Symantec, цинично пользуясь доброжелательностью

модераторов раздела Symantec, не примиряющим меры даже к таким, далеких от какой-либо этики участникам.

Поэтому мне вдвойне удивительно читать Ваше сообщение о том, что модератор, предоставляющий возможность

высказываться даже не обладающим чувством этики участникам, а после этого аргументированно отвечающий

на их сообщения, носящие явно провокационный характер, а также безосновательно и намеренно дискредитирующие определенные продукты

(вместо того, чтобы сразу же применить жесткую модерацию, характерную для любого форума в подобных случаях),

оказывается "устраивает флейм и холивар".

Довольно циничная подмена существующего положения вещей, но это Ваше личное дело.

// Как модератор раздела, предлагаю закончить обсуждение не относящихся к теме и сути раздела вопросов,

и сосредоточиться на обсуждении вопросов, непосредственно относящихся к теме и сути раздела.

Да, вы правы, я действительно многого о NIS не знаю, но в данном случае я имел ввиду кое что другое... В ЛК приложение перед добавлением в белый список обязательно проверяют. Насколько я знаю, с помощью KSN могут сделать вывод, что какое-то п/о - это вирус, но не наоборот. Пока файл не побывает в ЛК - никакого доверия ему не будет.

Мне кажется, что Вы все-таки невнимательно прочитали предложенные мною для ознакомления сообщения.

В них присутствует следующее описание:

" ....Далее Symantec получает оригинальные установочные пакеты данных приложений,

которые затем устанавливаются в "чистой" среде, в которой гарантированно исключается

внешнее воздействие, либо вирусное заражение. После этого рассчитывается SHA256 hash

установленных файлов и сверяется с SHA256 hash, полученными посредством Norton Community Watch.

В случае совпадения, информация вносится в базу данных Symantec.

Все файлы, входящие в состав приложений тщательно анализируются, и только в случае признания их

заслуживающими доверия, в Symantec назначают Community Trusted рейтинг для данных файлов. "

у вас, как я понимаю, проблема пока решена только в NIS2010. Или я ошибаюсь?

Да, Вы ошибаетесь.

Зря так думаете. В ЛК уже собирают пожелания на KIS2011...

Тоже неплохо конечно, но в то время как в упомянутой Вами ЛК "собирают пожелания",

в Symantec уже работают над продуктами Norton 2011.

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Гость
Эта тема закрыта для публикации ответов.

  • Сообщения

    • Quinzy
      Новый телефончик не желаете приобрести для супруги ? Сейчас ожидается "Чёрная пятница" у Самсунга и товары можно будет приобрести со скидкой аж до 90%. Правда не думаю, что такая скидка будет на последние модели. Но на них тоже обещают существенное понижение цены. Почитайте тут https://bfday.ru/brendy/chernaya-pyatnica-v-samsung/ когда она проводится и какие ещё привилегии можно получить за участие в "Чёрной пятнице". А ваша любимая останется довольна на 100%. 
    • Quinzy
      Соглашусь со многими, что у нас техника есть нормальная, да и можно всегда подешевле её купить. Особенно в дни "Чёрной пятницы". Сейчас в конце ноября-начале декабря многие такие распродажи делают. Вот даже про ДНС https://bfday.ru/magaziny/chernaya-pyatnica-v-dns/ почитайте, у них тоже скоро будут хорошие скидки. 
    • soty20
      С Госсектором сейчас всё в порядке. Оборудование ставится российское, с образованием, вроде как, тоже всё  в норме. С ПО полная жопа) отечественный софт...даже не знаю, что должно случиться, чтобы на него перешли в определенных органах
    • Quinzy
      Ну конечно, проигрывая деньги на ставках, ты конечно заработаешь себе на бизнес, ага. Не обязательно на обычной работе собирать деньги, чтобы вложиться в бизнес. Я даже скажу, что никакой бизнесмен так не делал. Все идёт через кредиты. И, кстати, игровой бизнес очень выгодный, когда ты сам ведешь казино или букмекерскую контору. Я вот подобным и пробую сейчас заниматься. Пока доделывают сайт, уже купил ПО с игровыми автоматами champion club casino https://sharks-soft.com/champion-club-casino/ , взял кредит, чтобы на развитие этого всего. Надеюсь быстро всё на игроманах окупится. 
    • AM_Bot
      «СёрчИнформ Контур информационной безопасности» («СёрчИнформ КИБ», КИБ) – российская DLP-система для защиты от утечек конфиденциальных данных, а также предотвращения и расследования внутреннего мошенничества. Ранее мы рассматривали ее архитектуру и технические требования, теперь же сосредоточимся на новых возможностях и сценариях применения.     Введение АрхитектураЧто умеет «СёрчИнформ КИБ»3.1. Контроль коммуникаций и передвижения информации по максимально возможному числу каналов3.2. Анализ перехвата3.3. Расследование инцидентовНовые возможности «СёрчИнформ КИБ»4.1. Контроль привилегированных пользователей: удаленные доступы и сессии4.2. Отключение сетевых устройств при связи по LAN4.3. Контроль новых каналов4.4. Расширение возможности контроля корпоративных облачных хранилищ4.5. Расширение функциональности для агентов на Linux4.6. Интеграция со СКУД «Орион Про»Выводы Введение  «Однозадачность» DLP-систем ушла в прошлое. Современные программы должны создавать полноценный контур информационной безопасности в компании, защищать от:утечек информации (в личных целях, в пользу конкурентов, по глупости и ошибке, из мести);корпоративного мошенничества (создания «боковых схем», взяточничества, кумовства);непродуктивного использования рабочего времени и ресурсов компании.«СёрчИнформ» фокусируется на оптимизации работы системы, расширении ее функциональности, а также выпускает родственные решения, которые работают в связке с DLP («СёрчИнформ SIEM», «СёрчИнформ ProfileCenter», «СёрчИнформ TimeInformer» и «СёрчИнформ FileAuditor», о котором писали недавно).Это — тоже в духе потребностей рынка, потому что в идеальном случае софт должен избавлять заказчика от необходимости переключаться с одного решения на другое, снимать вопросы внутренней безопасности в едином интерфейсе.Это — не первый обзор «СёрчИнформ КИБ». Вы можете прочесть полную информацию о предыдущих версиях программного обеспечения в обзорах 2016 и 2018 годов. В этом тексте для удобства повторимся в описании основных функциональных возможностей системы и расскажем об обновлениях. Рисунок 1. Линейка продуктов «СёрчИнформ». Все бесшовно интегрируются друг с другом  Архитектура«СёрчИнформ КИБ» имеет клиент-серверную структуру, защита данных обеспечивается:на конечных рабочих станциях;посредством взаимодействия с сетевым оборудованием или прокси-серверами;за счет интеграции с корпоративными системами.Продукт имеет 15 модулей контроля каналов передачи информации, 2 аналитических модуля. Что умеет «СёрчИнформ КИБ»Главное современное требование к DLP-системам – защищать информацию по всем каналам в любом формате, анализировать поток данных и немедленно выявлять среди них факты нарушения политик безопасности, в том числе в ретроспективном режиме.Рассмотрим, как это реализовано в «СёрчИнформ КИБ». Контроль коммуникаций и передвижения информации по максимально возможному числу каналовПередача данных, а также коммуникации сотрудников друг с другом и пользователями за пределами компании полностью берутся под контроль.«СёрчИнформ КИБ» собирает информацию из:почты;внешних устройств;FTP-серверов;принтеров;мессенджеров, включая те, что используют end-to-end шифрование (Telegram, WhatsApp, Viber);с микрофона, камеры, монитора и клавиатуры компьютера;трафика, переданного по HTTP/HTTPS-протоколам, а также запущенных программ;действий пользователей через удаленные соединения;облачных хранилищ.Контроль также возможен в режиме реального времени, т.к. DLP-система позволяет подключаться к монитору, микрофону, веб-камере. Рисунок 2. В «СёрчИнформ КИБ» — 15 модулей, которые держат под контролем все основные каналы передачи информации Анализ перехватаАналитические возможности – сильная сторона «СёрчИнформ КИБ». В отличие от решений конкурентов, система работает на движке собственной разработки – SearchServer, который создавался исключительно для использования в DLP. В прошлом году движок был обновлен, что повысило производительность всей программы на 30% (по результатам некоторых тестов — на 40%). Это ускорило все процессы, от первичной обработки информации до итоговой поисковой выдачи.SearchServer позволяет индексировать данные перехвата и искать по нему информацию, используя множество разных видов анализа: по словам, словарям, морфологии, атрибутам, по регулярным выражениям, цифровым отпечаткам, по алгоритму «поиск похожих», статистическим и комплексным поисковым запросам, а также любым комбинациям вышеперечисленных. В систему встроен бесплатный OCR-модуль – средство распознавания символов. Он позволяет обнаружить в массиве документов те, которые отвечают установленному образцу. «СёрчИнформ КИБ» также интегрирован с решением ABBYY FineReader Engine, имеющим более широкие, чем у бесплатной OCR, возможности распознавания текста на изображениях (более 200 языков, более качественное распознавание рукописных символов).Также система «понимает» попытки обхода политик безопасности, уловки, например использование цифр вместо букв, транслитерацию, умышленное искажение слов и даже попытки шифровать архивы.Поисковый движок КИБ поддерживает Unicode – он работает с документами на разных языках (решение адаптировано для работы в 26 странах), имеет совместимость со всеми популярными типами файлов.В новой версии также реализована возможность находить заданную комбинацию символов в точной последовательности. Эта опция появилась как альтернатива поиску по регулярным выражениям и позволяет не создавать лишнюю нагрузку на сервер. Она подходит, когда ИБ-специалист точно знает, какую комбинацию ищет (номер машины, договора, паспорта и т.д.). Рисунок 3. Обнаружены документы (авиабилеты) с помощью модуля распознавания текста   Запись аудио для экономии времени можно настроить по критериям: например, она может включаться каждый раз при запуске конкретных критичных процессов или программ.Такие мощные поисковые возможности позволяют реализовывать текущий контроль даже по самым сложно настроенным политикам безопасности, предотвращать преступления на этапе их планирования, а также проводить ретроспективные расследования, анализируя архив собранных данных.Расследование инцидентовВсе описанные выше возможности востребованны не только для одномоментного обнаружения инцидента по политикам безопасности, но и для сбора информации обо всех обстоятельствах нарушения, восстановления цепочки действий и круга причастных лиц. Всё это становится основой для доказательной базы.Сценарий использования:После установки DLP стало понятно, что региональный директор производственной компании и ее подчиненная берут «откаты». Более того, стало ясно, что происходило это на протяжении 12 лет. Суммы контрактов были большими, и за годы накопились миллионы долларов.Заподозрили схему благодаря анализу коммуникаций коллег друг с другом (устные переговоры, сообщения в мессенджерах). Далее ИБ-служба начала собирать всю информацию за эти годы. Подняли все заключенные обеими сотрудницами контракты, изучили цены и рынок, пообщались с представителями контрагентов. В итоге выяснилось, что сотрудница и руководитель закладывали «откат» в размере 10% от итоговой стоимости контракта. Во время общения со службой безопасности сотрудница признала наличие схемы. Обе причастные коллеги уволены.В качестве иллюстрации обстоятельств инцидента КИБ предлагает больше 30 базовых шаблонов отчетов. Они удобны для работы пользователей программы – ИБ-специалистов и ИБ-директоров. Кроме того, они позволяют быстро собрать информацию для отчета перед руководством.Отчет по связям – показывает каналы коммуникации, число сообщений по пользователям как внутри сети, так и с внешними адресатами.Рисунок 4. Граф отношений, построенный в Консоли аналитика  Контентный маршрут – описывает перемещение документов от отправителя к получателю как по внутренним, так и по внешним каналам связи. Рисунок 5. Контентный маршрут в «СёрчИнформ КИБ»  Отчет продуктивности и эффективности пользователей – показывает загрузку, фактически отработанное время, фиксирует ранние и поздние уходы, а также наглядно иллюстрирует эффективность сотрудников по тем процессам, которыми они были заняты в течение дня.Отчет по программам и устройствам – упорядочивает данные об установке и удалении программ, отражает изменения в комплектующих и устройствах, которые пользователи подключают к компьютеру.Пользователь может настроить для себя и другие отчеты под собственные нужды. Рисунок 6. Скриншот отчета    Новые возможности «СёрчИнформ КИБ»Контроль привилегированных пользователей: удаленные доступы и сессииВ новой версии функции контроля усилены, реализована функциональность для предотвращения опасных действий пользователей.В «СёрчИнформ КИБ» можно комплексно контролировать протокол подключения к удаленному рабочему столу (RDP) – основному средству удаленного администрирования Windows. С помощью гибких настроек стало удобнее управлять действиями пользователей при активном RDP-подключении:  задавать разные правила для ПК пользователя и удаленной машины – например, запретить копирование с одной стороны или вставку с другой;делать теневую копию всех файлов, обмен которыми идет в RDP;запрещать любое перемещение файлов через RDP-подключение.Также специалисты по безопасности смогут ограничивать действия сотрудников, которые используют VMware/VirtualBox для доступа к виртуальным средам (машинам, ресурсам, приложениям). КИБ заблокирует флешки и другие съемные устройства, если пользователь попытается подключить их к виртуальной машине. Рисунок 7. Настройка действий при использовании VMware/VirtualBox  Основная цель обоих инструментов – не дать пользователям с привилегиями занести на удаленную машину нежелательные файлы или украсть оттуда информацию. На данный момент в DLP конкурентов нет таких широких возможностей защиты терминальных серверов, виртуальных сред и средств удаленного администрирования. Первым шагом было взятие под контроль TeamViewer и его аналогов как самых популярных средств удаленного администрирования. После появились решения для контроля других инструментов, с помощью которых пользователи получают доступ к удаленным хранилищам и машинам.Сценарий использования:Сотрудник банка с привилегированным доступом был в курсе, что действия пользователей контролируются с помощью DLP «СёрчИнформ КИБ», но о том, что система видит действия пользователей во время удаленных сессий, не знал. В результате ИБ-служба увидела попытку сотрудника скопировать часть базы с персональными данными клиентов через интерфейс TeamViewer и предотвратила утечку.Отключение сетевых устройств при связи по LANВ КИБ появилась возможность контролировать действия пользователя при подключении сетевых устройств – реализована опция блокировки беспроводных соединений, если подключен сетевой кабель. Рисунок 8. Настройка действий при подключении по LAN  Опциональная блокировка работы Opera VPNВ КИБ добавлена возможность блокировать работу VPN-соединений в HTTPS/SOCKS в браузере Opera, что позволяет закрыть потенциальную «дыру» в безопасности сети. Без блокировки трафик VPN-соединений в Opera окажется фактически невидимым, и пользователь сможет обходить правила безопасности.Контроль новых каналовС момента прошлого обзора в «СёрчИнформ КИБ» расширена функциональность контроля переписки в бизнес-чате Bitrix24. Теперь мониторинг сообщений происходит путем интеграции с внутренним сервером Bitrix, что не создает дополнительную нагрузку на агент, облегчает возможность перехвата.Под контроль КИБ также взяты бизнес-мессенджеры Microsoft Teams, Slack, Lotus Sametime. В поле зрения специалистов по безопасности попадут документы, изображения и ссылки, которыми обмениваются пользователи.Корпоративные мессенджеры интегрированы с популярными облачными хранилищами и онлайн-планировщиками. Информация оттуда тоже станет доступной. Рисунок 9. Контроль мессенджера Slack. Сработала политика безопасности по «откатной» тематике  Теперь КИБ обеспечивает контроль наибольшего числа популярных мессенджеров – как общедоступных, так и корпоративных. Перехват информации из популярных мессенджеров с end-to-end-шифрованием (Telegram, WhatsApp, Viber и др.) осуществляется на уровне рабочих станций. При этом контролируются не отдельные приложения и типы коммуникаций, а клиенты для рабочего стола, веб-версии, тексты, звонки и файлы.«СёрчИнформ КИБ» находит утечки документов и файлов через переписки, а также обнаруживает коммуникации, сигнализирующие об опасных склонностях и поведении сотрудников.Сценарий использования:На производстве сдавали кислоту на утилизацию, за что организация платила подрядчику 12 тысяч рублей за каждую сданную тонну. В перехват DLP попала переписка из WhatsApp (веб-версия), сработала политика по словарю «боковые схемы». Из нее следовало, что сотрудник, ответственный за сдачу кислоты, каждый раз дописывает 5 лишних тонн. В результате по каждой сделке компания переплачивала 60 тысяч рублей (360 тысяч рублей за год).Расширение возможности контроля корпоративных облачных хранилищВ DLP-системе «СёрчИнформ КИБ» расширена возможность сканирования облачных хранилищ. Содержимое проверяется на соответствие политикам безопасности. Можно проверять документы, которые загружаются или скачиваются сотрудниками из корпоративной инфраструктуры, а также все данные, хранящиеся на аккаунтах. В новой версии функциональность доступна и для популярного хранилища OneDrive. В более ранних версиях КИБ под контроль были взяты Yandex.Disk, DropBox, CMIS.Расширение функциональности для агентов на Linux«СёрчИнформ КИБ» была первой системой, прошедшей сертификацию на совместимость с ОС Astra Linux Special Edition по программе «Software Ready for Astra Linux». Первоначально возможности КИБ для Linux были скромными, но вендор продолжает наращивать их, и сейчас они приближаются к возможностям для Windows-систем.Реализован сбор данных по протоколам HTTP, IM, Mail, FTP, Cloud для операционных систем Ubuntu 16.04.5 LTSи CentOS 7.6. Для CentOS 7.6 также доступна блокировка USB-устройств и сетевых ресурсов. Появилась возможность создавать белые/черные списки – обеспечивать контроль доступа.В новой версии реализована возможность добавления сайтов в черный и белый списки блокировки HTTP. Ранее это делалось на сетевом уровне, что не решало вопроса блокировки в том случае, если пользователь подключался к интернету посредством, например, Wi-Fi, розданного с личного телефона. Теперь блокировка возможна на уровне агента, что в случае необходимости ограничит или, наоборот, разрешит доступ к определенным сайтам с конкретного компьютера.Интеграция со СКУД «Орион Про»Решение поддерживает интеграцию со СКУД с 2017 года. В новой версии добавлена поддержка еще одной распространенной системы, «Орион-Болид». Данные из нее теперь возможно опционально отобразить в отчетах ProgramController:опоздания сотрудников,ранние уходы,журнал рабочего времени,посещения сотрудников,табель рабочего времени.Интеграция DLP со СКУД дополняет отчеты о соблюдении режима доступа информацией о продуктивности сотрудников и показывает, кто появляется на работе в срок, но проводит время за разговорами и кофе, симулирует сверхурочную занятость и т.д. DLP-система фиксирует на видео события, попадающие в поле обзора камеры компьютера. Но интеграция со СКУД позволяет дополнить картину инцидента еще и по «физическим» уликам в офисном пространстве.Сценарий использования:В тех компаниях, где предусмотрена оплата за отработанные часы, встречается форма «латентного» воровства – ненужные переработки, когда человек может сделать задачу за 4 часа, но будет делать ее весь день, а может, и останется на часок после работы. Для сотрудника это — «переработки», которые оплачиваются как сверхурочные.ИБ-служба должна выявлять такие факты. В этой истории ИБ-специалист проверил отчеты по ProgramController, выбрал сотрудников, которые работают более 10 часов, выгрузил данные из СКУД. Внимание привлекла аномалия по одному работнику. Он прошёл через турникет в 18:02, как и все, но судя по запущенным на компьютере процессам, работал за ним до 21:27. Возможные причины:кто-то работал за его машиной из-под его учетки,сам сотрудник работал удаленно,сбой в СКУД.Дальнейшее расследование показало, что «старательный» сотрудник логинился через TeamViewer Portable. Программы удаленного доступа в компании были запрещены, но для TeamViewer Portable не нужны права администратора. Так ИБ-служба раскрыла лазейку, которой воспользовался сотрудник, а также предотвратила «кражу времени» в компании. ВыводыВ целом «СёрчИнформ КИБ» уже можно рассматривать как многофункциональную «машину» для защиты не только данных, но и всего бизнеса от внутренних угроз. Задачи трансформации DLP перед вендорами встают регулярно, и «СёрчИнформ» движется в русле этого тренда.ДостоинстваПродукт позволяет выполнять смежные для DLP функции: eDiscovery, Time Tracking, Risk Management, криптозащита информации, аудит IТ-инфраструктуры, контроль привилегированных пользователей и другое. Также «СёрчИнформ КИБ» легко интегрируется с другими продуктами с «родственными» задачами (SIEM, FileAuditor, ProfileCenter).«СёрчИнформ КИБ» –  отечественная разработка. Наличие сертификатов и опыт позволяют реализовывать крупные и сложные проекты (максимальный размер внедрения – 50 тысяч рабочих станций), в том числе в госсекторе.Большое число контролируемых каналов (почта, внешние устройства, принтеры, мессенджеры, в том числе end-to-end, облачные хранилища, интеграция со СКУД и др.)Развитые возможности поиска и анализа информации, проведения расследований и сбора доказательной базы: обширный архив, в том числе теневых копий файлов с устройств, облачных хранилищ и т.п.Самые широкие среди конкурирующих продуктов возможности контроля удаленных и привилегированных пользователей.  Высокая скорость внедрения и возможность быстрого расширения функциональности благодаря модульной структуре.Более низкая, чем у продуктов конкурентов, нагрузка на IT-инфраструктуру.НедостаткиВ КИБ пока нет поддержки бесплатных СУБД.Нет поддержки macOS на агентах, нет агентов для мобильных платформ.Нет возможности использовать бесплатную операционную систему для сервера, работа только на платной ОС Windows Server.Функциональность для Linux развивается, но пока уступает возможностям агентов для Windows-систем.Вы можете запросить систему для бесплатного полноценного триала на любое число рабочих станций в течение месяца.  Читать далее
×