Перейти к содержанию
katbert

Symantec Antivirus Corporate Edition

Recommended Posts

katbert

На Windows 2003 SP2 стоит антивирусный сервер 10.1.8.8000

Функция Risk tracer по умолчанию включена, однако при записи в сетевую папку EICAR в журнале исправно фиксируется пользователь, из-под которого подключались к папке, а в поле "компьютер" записан сам сервер

При отключенной Risk Tracer пользователь тоже фиксируется

Пробовал закидывать EICAR с WinXP SP2, Vista SP1, Win2003 SP1 - все без уставленного клиента SAV

Пробовал изменять период опроса подключений с 1000 до 100, затем до 50 мс - не помогло

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
katbert

Cудя по этой - статье

В журнале должны бить поля Source Computer и Name Source Computer IP

А я таких не наблюдаю

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Shell

Вы пытаетесь отследить этот компьютер? Если записывается пользователь - то в чем проблемы? Или от system идут сообщения?

Немного непонятна преследуемая Вами цель.

а в поле "компьютер" записан сам сервер

так и должно быть - источник, давший предупреждение. Собственно, сам сервер там и значится.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
katbert
Вы пытаетесь отследить этот компьютер? Если записывается пользователь - то в чем проблемы? Или от system идут сообщения?

Немного непонятна преследуемая Вами цель.

Пользователь определяется правильно, и это происходит независимо от того, включена ли фича Risk Tracer

Судя по приведенному мною постом выше описанию, эта технология должна показать именно имя компьютер-источника заразы

А она не показывает - см. скрин-шот

risk_tracer.jpg

post-359-1249013032_thumb.jpg

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Shell

Я могу ошибаться, но не зависит ли это определение от опции "Network Scanning options"? Я не знаю тонкого построения компонентов SAV и их взаимосвязей. Но по идее, в Вашем случае Risk tracer работает четко с файловым антивирусом. То есть, SAV видит что от конкретного пользователя лежит файл с сигнатурой - и это отображает в лог-файле. Собственно, пользователь - из владельцев (сразу скажу по опыту, что с Sality - это бесполезно :) ). Из этого можно судить - что для определения на уровне сети (а там, и только там можно взять IP и имя компа-источника) - нужна проверка на уровне сети. Попробуйте активировать функцию. Предупрежу сразу, что она значительно тормозила работу с файл-серверами до версии 1.1.5.5000.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
katbert
Попробуйте активировать функцию. Предупрежу сразу, что она значительно тормозила работу с файл-серверами до версии 1.1.5.5000.

Оно включено по умолчанию

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
katbert

Еще нашел в документации:

Информацию программы Threat Tracer можно просмотреть в окне диалога

«Свойства угрозы». Она доступна только для тех угроз, которые связаны с

заражением файлов.

То есть если речь идет именно о ЗАРАЖЕНИИ существующих файлов - тогда фича теоретически должна сработать

А если я сразу закидываю eicar в сетевую папку - оно его не видит

Но тогда останется неопознанным и вирус, кидающий свои exe-файлы во все доступные папки

Есть ли у кого возможность проверить это?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Shell
Но тогда останется неопознанным и вирус, кидающий свои exe-файлы во все доступные папки

Есть ли у кого возможность проверить это?

Если вирус закинут под учеткой пользователя - будет значится имя пользователя в логах. Источником будет тот SAV, который нашел этот вирус. Если вирус детектится постфактум, в ходе плановой полной проверки - то, в большинстве случаев, от пользователя system.

Это Вы хотели услышать?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Создайте учетную запись или войдите, чтобы комментировать

Вы должны быть пользователем, чтобы оставить комментарий

Создать учетную запись

Зарегистрируйте новую учётную запись в нашем сообществе. Это очень просто!

Регистрация нового пользователя

Войти

Уже есть аккаунт? Войти в систему.

Войти

  • Сообщения

    • SemenovaI
      Отзывы читать надо путешественников и уже согласно их мнению ехать отдыхать. Мы так с мужем в Болгарию летом съездили, сначала я изучила впечатления туристов об отелях, кафе и уже тогда выбрала маршрут и забронировала гостиницу. На Букинг зайдите там много всего интересного почитать можно. Кстати, бронировала отель используя кэшбэк https://letyshops.com/shops/bookingcom мне понравилось. Недорого так заплатила за номер, который сняли на пару недель. 
    • Зотов Тимур
      Ой, понимаю, банька это сила. Тоже на даче хочу построить, а то так понравилось отдыхать с мужиками, с пивком и девочками http://prostitutkichelyabinskaxxx.com/ , после горячего отдыха еще и в бассейн прыгнуть... Красота.
    • demkd
      это просто id задачи в кэше он будет виден только в ссылках или не будет виден, я уже не помню, в любом случае оно не представляет интереса.
    • PR55.RP55
      В теме к сожалению работали с устаревшими версиями uVS .4.0 В uVS  запись: C:\PROGRAM FILES (X86)\GOOGLE\CHROME\APPLICATION\CHROME.EXE C:\WINDOWS\SYSTEM32\TASKS\{B3F8DFD8-6BC7-3786-4E00-E03FE910D91A} ------------ В FRST запись: Task: {0EA205A7-5227-418F-A262-BBF8FD9349B0} - System32\Tasks\{B3F8DFD8-6BC7-3786-4E00-E03FE910D91A} => "C:\Program Files (x86)\Google\Chrome\Application\chrome.exe" hxxp://nbsallastar.com/cl/?guid=y92wjhgqs5boj6xi0hl7thkb6nfjreyg&prid=1&pid=4_1106_0 {0EA205A7-5227-418F-A262-BBF8FD9349B0}  - нет {B3F8DFD8-6BC7-3786-4E00-E03FE910D91A}  - есть Да, актуальная версия должна бы это увидеть. Из Fixlog "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Plain\{0EA205A7-5227-418F-A262-BBF8FD9349B0}" => removed successfully
      "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{0EA205A7-5227-418F-A262-BBF8FD9349B0}" => removed successfully
      C:\Windows\System32\Tasks\{B3F8DFD8-6BC7-3786-4E00-E03FE910D91A} => moved successfully
      "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\{B3F8DFD8-6BC7-3786-4E00-E03FE910D91A}" => removed successfully
    • fafa
      Но именно от плохих водителей оно именно защитит. По крайней мере если водитель будет ехать и не пропускать ни одной ямы, то ни какая ходовая не выдержит. Так, что давайте просто лучше водить, и тогда пленка не надо.
×