Контроль приложений в KIS 8.0 (2009), или Что такое HIPS и как с ней работать

Уважаемые пользователи!

Вашему вниманию предлагается статья, содержащая необходимую информацию по работе с новым модулем Kaspersky Internet Security – «Контроль приложений». Смею надеяться, что она поможет вам лучше понять этот модуль и снять большинство вопросов, возникающих при знакомстве с ним.

Контроль приложений KIS 2009 – это классическая локальная система предотвращения вторжений (Host Intrusion Prevention System, HIPS), объединяющая в себе функционал проактивной защиты и сетевого экрана. HIPS позволяет гибко манипулировать разрешениями на доступ к файлам и реестру, системным правам и сетям различных типов, что, в свою очередь, помогает существенно снизить количество обращений к пользователю за счет предоставления полной свободы действий доверенным приложениям и полного ограничения в правах недоверенных приложений.

Основу любой HIPS составляет таблица правил. В одних продуктах она никак не разделяется, в других – разбивается на промежуточные таблицы в соответствии с характером правил (например, правила для файлов, правила для сетей, правила для системных привилегий и так далее), в третьих разделение таблицы происходит по приложениям и их группам. HIPS в KIS 2009 относится преимущественно к третьему типу, и большинство ее правил сгруппировано по приложениям.

[img]http://images.kaspersky.com/ru/support_new/groupships_9(ru).gif[/img]

Суть HIPS проста, но эффективна. Эти охранные системы контролируют определенные системные события (например, такие, как создание или удаление файлов), и каждый раз, когда эти события должны произойти, HIPS сверяется со своей таблицей правил, после чего действует в соответствии с заданными в таблице настройками. Сообразно действие либо разрешается, либо запрещается, либо HIPS задает пользователю вопрос о том, что ей следует предпринять в данном конкретном случае.

Из описанной выше сущности HIPS непосредственно вытекает первое правило, которое следует помнить при работе с такими системами: [i]не следует ожидать от HIPS того, чего вы не сказали ей делать[/i]. Под защитой HIPS будут находиться только те объекты, которые обозначены в ее правилах, и, если вы, положим, захотите защитить от изменений корень системного диска, то, естественно, HIPS не догадается этого сделать только потому, что вы этого захотели. Для этого потребуется создание соответствующего правила.

Важной особенностью HIPS является групповая политика, которая позволяет применять одни и те же разрешения для всех приложений, внесенных в определенную группу. По умолчанию в KIS 2009 подготовлены четыре группы, по которым продукт будет автоматически распределять запускаемые на компьютере приложения. Это [b]Доверенные, Слабо ограниченные, Сильно ограниченные и Недоверенные.[/b] Для каждой группы уже заданы определенные разрешения, которые, по мнению экспертов Лаборатории Касперского, являются оптимальными. В частности, Доверенные приложения никоим образом не ограничены в своих правах и возможностях, Слабо ограниченным запрещаются наиболее опасные для системы действия, Сильно ограниченным разрешены лишь те действия, которые не могут нанести существенного ущерба, а Недоверенные не могут выполнять практически никаких системных действий.

Основная таблица Контроля приложений позволяет быстро задавать однотипные разрешения для групп и отдельных приложений. В этой таблице четыре колонки – [b]Операционная система, Конфиденциальные данные, Права и Сети.[/b] Сделаем очередной экскурс в идеологию HIPS, а затем вернемся к этим колонкам и работе с таблицами.

Правила HIPS обычно содержат три базовых компонента: [b]субъект[/b] (т.е. приложение или группа, которое вызывает определенное событие), [b]действие[/b] (разрешить, запретить или спрашивать пользователя) и [b]объект[/b] (то, к чему приложение или группа пытается получить доступ). HIPS в KIS 2009 работает по тому же принципу. В зависимости от типа объекта правила разделяются на три группы:

- Файлы и системный реестр
- Системные права
- Сети

У первой и третьей группы объектом являются файлы, ключи реестра, а также сетевые объекты (IP-адреса и их группы, порты и направления).
У второй группы объект – это системные права на выполнение тех или иных действий (например, на запуск или остановку процессов).

Объекты для правил первого и третьего типа вы можете создавать и редактировать на вкладке [b]Ресурсы[/b]. Там они распределены на несколько подгрупп для удобства работы с ними. Например, группа ресурсов [b]Операционная система[/b] – это файлы и ключи реестра, обеспечивающие нормальную работу Windows, а ее подгруппа [b]Параметры автозапуска[/b] – это полный набор ключей, которые обеспечивают автоматический старт компонентов системы; туда может прописаться вредоносное ПО для скрытого запуска. При желании вы можете создавать свои ресурсы и таким образом определять права доступа приложений к вашим собственным объектам.

[img]http://images.kaspersky.com/ru/support_new/sources_hips9(ru).gif[/img]

Очевидно, что основные группы ресурсов, а также системные права и представлены в колонках основной таблицы Контроля приложений. Вы можете быстро задавать доступ к ним для групп и отдельных приложений.

Следует, однако, помнить, что некоторые правила неоднородны: например, для файлов и реестра можно отдельно определять разрешения на чтение, запись, удаление и перечисление. Из главной таблицы такую тонкую настройку выполнить невозможно – это делается с помощью расширенного редактирования правил. Выделение приложения или группы и щелчок по ссылке [b]Редактировать[/b] вызывает упомянутый расширенный редактор. Здесь вы можете определить разрешения отдельно для каждого возможного объекта – скажем, в разделе [b]Права[/b] перечислены все виды системных прав, которые контролирует KIS 2009.

Имейте в виду, что, если вы определяете разрешения для группы (положим, Доверенные), то эти настройки будут автоматически скопированы на все приложения, входящие в эту группу. Вместе с тем вы имеете возможность назначить отдельному приложению свои, индивидуальные права, отличающиеся от групповых.

[b]Наследование прав[/b]

В KIS 2009 реализован механизм наследования прав. Когда одно приложение запускает другое, разрешения для первого автоматически передаются на второе. Если бы этого механизма не было, недоверенное приложение могло бы использовать доверенное в своих целях и, пользуясь его неограниченными привилегиями, творить что угодно. Теперь же, даже если доверенное будет запущено недоверенным, ему будут переданы настройки для недоверенных приложений, и система не будет повреждена.

Вместе с тем этот механизм имеет свои недостатки. В реальной работе довольно часто получается, что приложение обрабатывается не по своим правилам, а по правилам запустившего его процесса. Соответственно могут возникать ситуации, когда вы создали разрешающее правило по определенному действию для такого-то приложения, но это правило не срабатывает. В этом случае вы можете либо дать соответствующее разрешение родительскому процессу, либо в самом низу окна расширенного редактора правил снять галочку, определяющую автоматическую передачу этому приложению прав родительского процесса.

[img]http://images.kaspersky.com/ru/support_new/parentalrule_hips9(ru).gif[/img]

[b]Сетевой экран[/b]

Правила, определяющие сетевую активность приложений, то есть правила Сетевого экрана, являются теперь частью таблицы HIPS. Работайте с ними, как со всеми прочими правилами HIPS, поскольку они устроены точно так же: субъект – действие – объект.

Наиболее общие настройки Сетевого экрана находятся в колонке [b]Сети[/b] главной таблицы Контроля приложений. Если задать действие [b]Разрешить[/b] для всех групп приложений, то Сетевой экран будет работать в режиме, эквивалентном прежнему «[b]Разрешать все[/b]». Задание вердикта [b]Запрос действия[/b] равнозначно включению [b]Режима обучения[/b]. Действие [b]Запретить[/b] для всех групп переводит Сетевой экран в режим [b]Блокировать все[/b].

Вы можете, к примеру, установить режим обучения для слабо и сильно ограниченных приложений, разрешить все доверенным и блокировать все для недоверенных.

[img]http://images.kaspersky.com/ru/support_new/rules_hips9(ru).gif[/img]

Детальная настройка правил доступна вам либо в таблице [b]Сети[/b] расширенного редактора правил, либо на вкладке [b]Сетевые пакеты[/b]. Здесь перечислены так называемые пакетные правила, определяющие доступ приложений к сетевым ресурсам. В самом верху списка, под заголовком "Пакетные правила", собраны правила без приложения, т.е. без субъекта; они применяются ко всем приложениям на компьютере. Ниже, сгруппированные по субъекту, размещаются правила для конкретных приложений.

В списке пакетных правил для каждого приложения вы увидите три неактивных правила, затененных серым и неизменяемых. Эти три правила отражают разрешения, заданные в главной таблице Контроля приложений (т.е. если в главной таблице в колонке [b]Сети[/b] для этого приложения стоит вердикт [b]Запрос действия[/b], то и в этих серых правилах будет обозначен вердикт [b]Запрос действия[/b]). Это правила самого низкого приоритета, и они работают только в том случае, если нет никаких противоречащих им правил более высокого приоритета. Не обращайте на них особенного внимания, на этой вкладке они играют только роль индикаторов.

[img]http://images.kaspersky.com/ru/support_new/3rules_hips9(ru).gif[/img]

Очень разнообразны объекты правил для Сетевого экрана. Их несколько типов, от более глобальных до более узких, но все они являются ресурсами, то есть доступны на вкладке [b]Ресурсы[/b], и все они могут быть объектами правил. Давайте остановимся на этом более подробно.

Наиболее глобальный объект – это сеть. Продукт различает три типа сетей: доверенные, локальные и публичные, и каждый раз при активизации незнакомого подключения KIS 2009 спросит вас, к какому типу отнести эту сеть. Обратите внимание, что, если развернуть колонку [b]Сети[/b] в главной таблице, можно задать отдельные общие разрешения для каждого типа сетей. Поэтому и неактивных пакетных правил для каждого приложения три: первое отражает настройки для доверенных сетей, второе – для локальных, третье – для публичных.

Если вы определили свое подключение как публичную сеть, иначе Интернет, то абсолютно любая активность приложения по отношению к этой сети будет считаться обращением к ресурсу «Публичные сети» и обрабатываться по третьему неактивному пакетному правилу, если нет противоречащих этому правил.

Итак, допустим, вы определили приложению application.exe [b]Запрос действия[/b] при работе с [b]Публичными сетями[/b]. Обучение для этого приложения еще не началось, и список правил пуст (за исключением упомянутых выше неактивных правил). Поэтому при обращении application.exe к ресурсу в сети Интернет (например, IP-адресу 123.456.789.0) продукт предъявит вам вопрос режима обучения – что делать с этой попыткой соединения?

С помощью мастера создания детального правила вы можете создать разрешающее правило для application.exe, которое позволит ему без вопросов в дальнейшем соединяться с указанным IP. На первой странице мастера вы выбираете вердикт [b]Разрешить[/b] и переходите на вторую страницу.

Здесь вы встречаетесь со следующим типом объекта для правила Сетевого экрана – сетевым сервисом. В этом типе ресурса собрано значительное количество шаблонов определенной сетевой активности – например, [b]DNS-запрос[/b]. Сетевой сервис «Исходящая DNS-активность» будет, таким образом, содержать данные о [b]направлении[/b] (исходящее), [b]протоколе[/b] (UDP) и [b]удаленном порте[/b] (53). Продукт автоматически подбирает вам подходящие сетевые сервисы из своей базы; вы можете также просмотреть весь список или создать свой сетевой сервис (потом его можно будет найти на вкладке [b]Ресурсы[/b]).

Теперь заготовка правила почти готова: она содержит [b]субъект[/b] (application.exe), [b]действие[/b] (Разрешить) и [b]объект[/b] (сетевой сервис «Исходящая DNS-активность»). Остался последний компонент сетевого правила – можно назвать его вторичным объектом. Это IP-адрес.

IP-адрес также может входить в ресурс, то есть быть объектом. В один ресурс можно собрать и группу адресов, и диапазон, и несколько диапазонов, после чего назначить все это вторичным объектом правила. В мастере вы можете создать ресурс (куда автоматически будет добавлен IP-адрес, на которое приложение обращалось изначально) или выбрать его из списка уже созданных.

В результате в списке пакетных правил образовалось новое, уже активное правило, которое разрешает приложению application.exe доступ к объекту «Исходящая DNS-активность» со вторичным объектом «IP-адрес 123.456.789.0». Это правило более приоритетно, чем серые неактивные правила, и теперь, когда application.exe будет отсылать исходящий UDP-пакет на адрес 123.456.789.0 и порт 53, продукт обнаружит данное правило в списке и будет действовать в соответствии с ним. Но, если application.exe обратится уже по протоколу TCP на адрес 12.34.56.78 и порт 80, соответствующего правила обнаружено не будет, и вновь сработает серое неактивное правило запроса действия при обращении к публичным сетям.

Обратите внимание: активные пакетные правила неравноправны. Список пакетных правил устроен иерархически, то есть правило, расположенное выше, приоритетнее правила, расположенного ниже. К неактивным правилам это не относится.

Например, вам требуется разрешить приложению посещать два конкретных IP-адреса из диапазона, а доступ ко всем прочим IP этого диапазона запретить. Теперь процедура такой настройки проста. Создайте ресурс, куда впишите требуемые адреса; на вкладке [b]Сетевые пакеты[/b] создайте приложению пакетное правило, разрешающее ему любую сетевую активность на созданный вами ресурс. Теперь создайте другой ресурс, содержащий требуемый диапазон; создайте второе правило, запрещающее приложению любую сетевую активность на этот ресурс. С помощью расширенного редактора поднимите первое правило выше второго.

Теперь, если обращение приложения подпадает под действие первого правила, доступ будет разрешен. Если же нет, продукт проверит, не подпадает ли оно под действие второго правила. Подпадает – действие будет запрещено. Не подпадает – продукт перейдет к следующему правилу по списку, и так будет сверять, пока правила не закончатся. Если никакое из активных правил не соответствует обращению приложения к сети, решение будет принято в соответствии с неактивными правилами.

Копия данной статьи размещается также в Базе знаний Лаборатории Касперского по адресу [url="http://support.kaspersky.ru/faq/?qid=208636059"]http://support.kaspersky.ru/faq/?qid=208636059[/url]

[b]***[/b]

[b]Приложение. Перевод англоязычных названий сетевых ресурсов[/b]

[b]DNS over TCP / UDP[/b] - запрос к серверу доменных имен DNS по протоколу TCP или UDP
[b]Sending / Receiving E-mails[/b] - отправка / прием электронной почты
[b]Web-Browsing[/b] - просмотр страниц Интернета с помощью обозревателя
[b]IRC-Activity (out)[/b] - исходящая активность интернет-чатов IRC
[b]DHCP Address Assignment (UDP)[/b] - обращение к сервису присвоения IP-адресов DHCP по протоколу UDP
[b]Any outgoing TCP / UDP stream[/b] - любая исходящая активность по протоколу TCP или UDP
[b]Any incoming TCP / UDP stream[/b] - любая входящая активность по протоколу TCP или UDP
[b]Any incoming ICMP[/b] - любая входящая активность по протоколу ICMP
[b]Local Services (TCP / UDP)[/b] - входящие соединения по протоколу TCP или UDP с локальными портами, которые открывают службы операционной системы
[b]ICMP Echo Request (in / out)[/b] - исходящие или входящие эхо-запросы по протоколу ICMP
[b]ICMP Echo Reply (in)[/b] - входящий эхо-ответ по протоколу ICMP
[b]ICMP Destination Unreachable (in)[/b] - входящий ответ "компьютер назначения недоступен" по протоколу ICMP
[b]ICMP Time Exceeded (in)[/b] - входящий ответ "время ожидания истекло" по протоколу ICMP
[b]Any network activity[/b] - любая сетевая активность
[b]ActiveSync[/b] - сетевая активность, необходимая для работы технологии ActiveSync
[b]Remote Desktop[/b] - сетевая активность, необходимая для работы технологии удаленного рабочего стола

Отличная статья. Как раз пытался разобраться что к чему.
Есть несколько вещей которых очень не хватает в КИС
1. В меню правого клика исполняемых файлов проводника нужны пункты добавления в различные группы.
2. НУжна опция "Запустить приложение как доверенное". При этом приложению разрешается делать всё что нужно, но никаких новых правил не создаётся. Это очень удобно для запуска инсталляторов. Сейчас мне приходится просто выключать КИС для нормальной инсталляции.
3. Должна быть опция заносить в группы не только аппликации, но и директории. НАпример очень удобно кеш браузера занести в группу недоверенных.

[size="1"][color="#666686"][B][I]Добавлено через 11 минут[/I][/B][/color][/size]

Кстати, по поводу наследования прав есть вопрос. Например ИЕ в группе доверенных. Срабатывает експлоит и ИЕ скачивает и запускает троян. Получается что троян будет выполнен с правами доверенного приложения?

[QUOTE=Geser;276646]Получается что троян будет выполнен с правами доверенного приложения?[/QUOTE]
Нет

[QUOTE=DVi;276666]Нет[/QUOTE]

Тогда не понятно как работает наследование прав.

1. Сам я выступаю за выдачу alerta при попытке запуска приложения, чтобы еще до запуска его можно было внести вручную в ту или иную группу, но такой вариант тоже может быть интересен :)
2. Это можно сделать уже сейчас - выделите группу Доверенные, нажмите Добавить и внесите установщик в группу. Потом его можно будет вручную удалить из нее.
3. Это хорошая мысль :) я тоже думал о подобном.
4. Посмотрите для наглядности на главную таблицу. Перед вами четыре группы сверху вниз в порядке убывания прав. Так вот, механизм следующий:
- сверху вниз права не наследуются,
- в пределах группы права наследуются (одна из недоработок, с которыми я борюсь),
- снизу вверх права наследуются.

2. Возможно, но, к примеру. Я бы предпочел занести ИЕ в группу недоверенных, от греха подальше. Но иногда нужно запустить его как доверенный. НАпример для установки обновлений.
4. Всеравно я не понял. Когда аппликация в группе доверенных запускает другую аппликацию, с какими правами она будет запучена?

[size="1"][color="#666686"][B][I]Добавлено через 37 минут[/I][/B][/color][/size]

Всёравно совершенно не понятно как это работает. Взял я ИЕ и занес его в группу "Сильные ограничения". Во первых с его правилами ничего не произошло. Так и осталось на всё разрешить. Разве не логично было бы что бы при переносе в другую группу правила автоматом ставились по правам группы? Ну да ладно.
Я выставил везде правила руками на "Запрос действия". После этого доступ к интернету исчез. А где запрос???
Потом я зашел в настройки и поставил на все действия создания/изменения опцию писать лог. ПОсле чего я добавил сайт в список доверенных, вроде это защищается в ресурсах, и не получил ни запроса ни записи в логе. Вопрос что я делаю не так?

[size="1"][color="#666686"][B][I]Добавлено через 10 минут[/I][/B][/color][/size]

А, я понял нужно было отключить автопринятир решений

[size="1"][color="#666686"][B][I]Добавлено через 11 минут[/I][/B][/color][/size]

Вот забавное сообщение
[URL=http://img366.imageshack.us/my.php?image=ie1qz8.png][IMG]http://img366.imageshack.us/img366/6046/ie1qz8.th.png[/IMG][/URL]

очень. я каждое Ваше добавление с интересом читаю :)

[QUOTE=priv8v;276727]очень. я каждое Ваше добавление с интересом читаю :)[/QUOTE]

А. поставил ИЕ8 и небольшие глюки. Аттачи не цеплаются :( Добавил картинку

[size="1"][color="#666686"][B][I]Добавлено через 6 минут[/I][/B][/color][/size]

Обнаружил интересную особенность. ИЕ в группе "Сильные ограничения". ЕСли нет галки принимать решения автоматически, то есть запрос на добавление сайтов в список доверенных. Однако если стоит галка принимать решение автоматически, то без всяких вопросов разрешается добавление сайта в список доверенных, т.е. изменение защищенного ресурса. Разве не логичнее было это блокировать?

[QUOTE='NickGolovko']вам лучше понять этот модуль[/QUOTE]А домохозяйкам-то как теперь быть?.. Я теперь вообще не понимаю, кто кого должен понять - эксклюзивная хипс свою хозяйку, или хозяйка свою защитницу?.. Я понимаю, что она не понимает, что я понимаю, что она не понимает... Я не понимаю, что она понимает, что я не понимаю, что она понимает... Видать, в товарищах согласья нет... Или пусть девочки друг дружку игнорят, а там будь что будет... Революшн... о_О

[QUOTE=Geser;276708]4. Всеравно я не понял. Когда аппликация в группе доверенных запускает другую аппликацию, с какими правами она будет запучена?[/QUOTE]

C правами непосредственного родителя. То есть, чтобы вас не спрашивали, разрешать ли Outlook доступ к паролям, разрешить это действие нужно не только самому Outlook, но и Проводнику, который его запустил. Потому я и говорю, что это недоработка, и в дальнейшем намерен лечь костьми во имя ее исправления. :) В пределах группы наследование совершенно бессмысленно и только мешает.

[QUOTE=Geser;276730]Обнаружил интересную особенность. ИЕ в группе "Сильные ограничения". ЕСли нет галки принимать решения автоматически, то есть запрос на добавление сайтов в список доверенных. Однако если стоит галка принимать решение автоматически, то без всяких вопросов разрешается добавление сайта в список доверенных, т.е. изменение защищенного ресурса. Разве не логичнее было это блокировать?[/QUOTE]

В автоматическом режиме "Запрос действия" равен "Разрешить". Почему - вопрос не ко мне :)

[QUOTE=ananas;276826]А домохозяйкам-то как теперь быть?.. Я теперь вообще не понимаю, кто кого должен понять - эксклюзивная хипс свою хозяйку, или хозяйка свою защитницу?.. Я понимаю, что она не понимает, что я понимаю, что она не понимает... Я не понимаю, что она понимает, что я не понимаю, что она понимает... Видать, в товарищах согласья нет... Или пусть девочки друг дружку игнорят, а там будь что будет... Революшн... о_О[/QUOTE]

Любимая многими спорящими пресловутая "домохозяйка" может отныне забыть вообще о существовании антивируса. :)

[quote="Umnik"]Товарищи, а вот вы уже РЕАЛЬНО работали с продуктом? Давайте я расскажу чуть-чуть.
1. На ПК тестя установил Продукт в режиме быстрой инсталляции. Вопросов не было.
2. Все программы работают замечательно.
3. Балуны о добавлении программ в зоны появляются сначала часто, а через несколько часов уже - редко. И все реже и реже
4. Программы ставятся легко. И руками ничего никуда не переносится - "нюхач" справляется.
5. Тесть, который вообще никак не связан с IT, работает с ПК без проблем.
6. Одна-единственная программа, которая попала в немилость, была Кол Оф Дюти - его любимая игра. Мне нужно было 1(!) раз показать, что делать, если прога не запускается и все. Более того, ему эти знания более еще ни разу не понадобились.

Ну намотайте на ус - домохозяйки (с домохозяинами) будут пользоваться режимом новичка, а не экспертным.[/quote]

[url]http://forum.kaspersky.com/index.php?showtopic=64200&st=40&p=590417&#entry590417[/url]

Посмотрите фото.

А теперь вопрос: Как я могу сюда файлы в список добавить? только ключи реестра можно...

Возможно режим автоматического принятия решений достаточно удобен для домохозяек. Насколько он эффективен для предотвращения заражения и кражи паролей покажет время. Однако для человека который пытается настроить ХИПС вручную, система сложная, не понятная, не достаточно гибкая и не даёт чувства защищенности. Объяснения в хелпе не достаточно подробные что бы действительно понять что нужно делать и что произойдет в случае заражения.
Например известно что эксплуатация уязвимостей ИЕ является сегодня одним из основных источников заражения. Каким образом ХИПС защищает от этого, если ИЕ в списке доверенных?
1. В какую группу попадёт троян скачанный и запущенный через ИЕ при помощи експлоита?
2. Унаследует ли этот троян право доступа к хранилищу паролей ИЕ?

Далее у меня концептуальный вопрос. КИС хорошо известный распространенный антивирус. Известно что серьёзные троянописатели проверяют свои трояны на то что они не детектируются распространенными антивирусами перед их выпуском в свет. Следовательно они будут проверяться и на рейтинг который они получат от песочницы КИС, и основываясь на котором программы разделяются на группы. Автоматически напрашивается вывод, что через пару месяцев почти все новые трояны будут попадать в группу "Слабые ограничения".
Вопрос, зачем нужны группы "сильные ограничения" и "недоверенные", если туда будут попадать практически только легитимные программы?

[QUOTE=zerocorporated;276863]Посмотрите фото.

А теперь вопрос: Как я могу сюда файлы в список добавить? только ключи реестра можно...[/QUOTE]

Увы, это ресурс с "зашитыми" параметрами, который, вероятно, не предназначен для изменения. Лучше всего будет сделать так:

- выделите щелчком группу "Системы обмена сообщениями"
- нажмите "Добавить"
- назовите новую группу, например, Skype Custom Files
- вносите в нее что хотите :)

Громоздко, но пока другого пути нет.

[size="1"][color="#666686"][B][I]Добавлено через 38 минут[/I][/B][/color][/size]

[QUOTE=Geser;276894]Возможно режим автоматического принятия решений достаточно удобен для домохозяек. Насколько он эффективен для предотвращения заражения и кражи паролей покажет время.[/quote]

К сожалению, в том, что касается эффективности автоматического режима, существует целый ряд вопросов к разработчикам. Конечно, с учетом того, что KIS позиционируется как многослойная система защиты, риски несколько ниже, но не элиминируются полностью. В частности, у нас бывали рапорты об инцидентах попадания пинча в группу слабо доверенных.

[QUOTE]Однако для человека который пытается настроить ХИПС вручную, система сложная, не понятная, не достаточно гибкая и не даёт чувства защищенности. Объяснения в хелпе не достаточно подробные что бы действительно понять что нужно делать и что произойдет в случае заражения.[/QUOTE]

Да, это так. Особенно в плане гибкости. Почти сразу после технического релиза я вывесил на форуме бета-тестирования изрядную простыню под названием "Реформирование HIPS", в которой изложил основные недочеты существующей идеологии и архитектуры. Образно говоря, сейчас HIPS максимум гнется на 90 градусов, в то время как я привык, чтобы ее можно было завязать узлом. Но я думаю, что все еще впереди, в конце концов, это лишь первая попытка, проба пера. HIPS будет обеспечивать развитие продукта еще в течение двух или трех версий как минимум - столько всего просится к исправлению, добавлению или модификации. Cо справкой тоже беда - она далеко не всегда достаточно информативна, и подчас складывается ощущение, что ее авторы не пробовали сами делать то, о чем они пишут. Не хватает понимания процесса.

[QUOTE]Например известно что эксплуатация уязвимостей ИЕ является сегодня одним из основных источников заражения. Каким образом ХИПС защищает от этого, если ИЕ в списке доверенных?
1. В какую группу попадёт троян скачанный и запущенный через ИЕ при помощи експлоита?
2. Унаследует ли этот троян право доступа к хранилищу паролей ИЕ?[/QUOTE]

Давайте попробуем разобрать.

1. В группу доверенных троян уже не попадает, если только у него нет цифровой подписи или его не одобрили в самой компании занимающиеся этим аналитики. Если он детектирован сигнатурно, то он без разговоров полетит в группу недоверенных и останется отдыхать там, пока не будет удален. Если нет, то в зависимости от того, какой рейтинг присвоит ему эвристический анализатор, он окажется либо в слабых, либо в сильных ограничениях.

2. Как я озвучил выше, права не наследуются сверху вниз. То есть более широкие права не передаются на более узкие. Права Доверенных могут наследовать только Доверенные (и то это скорее недочет, чем фича). Убедитесь сами: занесите AVZ в слабо или сильно ограниченные, запустите ее доверенным Проводником и попробуйте сделать что-нибудь, что разрешено доверенным приложениям, но запрещено ограниченным. Вас будет ждать фиаско :)

[quote]Далее у меня концептуальный вопрос. КИС хорошо известный распространенный антивирус. Известно что серьёзные троянописатели проверяют свои трояны на то что они не детектируются распространенными антивирусами перед их выпуском в свет. Следовательно они будут проверяться и на рейтинг который они получат от песочницы КИС, и основываясь на котором программы разделяются на группы. Автоматически напрашивается вывод, что через пару месяцев почти все новые трояны будут попадать в группу "Слабые ограничения".
Вопрос, зачем нужны группы "сильные ограничения" и "недоверенные", если туда будут попадать практически только легитимные программы?[/QUOTE]

Смотрите сами: вы назвали причину (будут проверять на рейтинг) и следствие (новые трояны будут попадать в Слабые ограничения), но никак не обозначили связь (то есть за счет чего будет достигнуто данное следствие). Соответственно мне будет сложно ответить конкретно, т.е. исходя из того, как вы представляете себе этот процесс. Если вы имеете в виду, что это будет делаться за счет соответствующего модифицирования ПО, то давайте попробуем представить, можно ли это вообще сделать.

Для попадания в сильно ограниченные приложение должно иметь опасный функционал и признаки (нет цифровой подписи, нет в базе безопасных, имеются очень подозрительные функции, такие, как, например, серверная активность, напоминающая бэкдор, виртуализация, нападение на программы защиты и тому подобное). Позвольте, но как убрать эти функции и признаки? Подписать троян цифровой подписью невозможно по определению. Внести его в базу безопасных бесперспективно. Убрать бэкдорный функционал и прочее - лишить данный образец его основного предназначения. Тогда что делать? Единственный вариант - противодействовать анализатору файлов, который рассчитывает индекс опасности. Это действительно может быть вектором для атаки, но мне думается, что ЛК будет принимать соответствующие меры.

Менее значительные вирусы, скорее всего, и так будут попадать в Слабые ограничения, я писал об этом выше. Это тоже вектор для атаки, здесь, к сожалению, приходится надеяться на дальнейшую корректировку идеологии, распределительного механизма и умолчательных правил.

Что касается группы недоверенных, то в нее автоматически заносятся сигнатурно детектированные образцы.

Ок, я понял по поводу наследования и занесения в группы. В общем выглядит относительно терпимо.

[QUOTE]Для попадания в сильно ограниченные приложение должно иметь опасный функционал и признаки (нет цифровой подписи, нет в базе безопасных, имеются очень подозрительные функции, такие, как, например, серверная активность, напоминающая бэкдор, виртуализация, нападение на программы защиты и тому подобное). Позвольте, но как убрать эти функции и признаки?
...
Единственный вариант - противодействовать анализатору файлов, который рассчитывает индекс опасности. Это действительно может быть вектором для атаки, но мне думается, что ЛК будет принимать соответствующие меры.[/QUOTE]

Совершенно верно. И методы противодействия известны и используются. Протекторы и трюки позволяющие обнаружить эмуляцию и подсунуть эмулятору совсем не тот код, который будет выполняться на реальной системе. Может еще что-то о чем я не знаю. ЛК, конечно, будут принимать меры, но вирусописатели всегда будут на шаг впереди. Потому нет никакого сомнения что все качественные трояны и новые версии Пинча будут попадать в "Слабые ограничения". Потому я не вижу смысла делать 4 групы. Групп должно быть 2. Доверенные и не доверенные. И ко всем кто в недоверенных должно быть отношение как к трояну. Т.е. запрещено всё что не разрешено. Всё остальное выглядит красиво и солидно для обывателя, но реальная ценность в плане защиты, IMHO, равна нулю.

[size="1"][color="#666686"][B][I]Добавлено через 4 минуты[/I][/B][/color][/size]

Далее, вопрос как защищаются доверенные процессы от процессов из группы "Слабые ограничения". Есть ли защита от dll injection, записи в адресное пространство доверенного процесса и т.п. трюков используемых троянописателями?

[QUOTE=NickGolovko;276900]Подписать троян цифровой подписью невозможно по определению.[/QUOTE]
Чушь.

[QUOTE=rav;276999]Чушь.[/QUOTE]

Как бы не встряли из за такой чуши...

P.S: Работа KIS 2009 в автоматическом режиме меня поразила вообще - стоит там запрос на модификацию файлов с расширением exe, sys, dll, а на деле слабо ограниченные что хотят мутят... :?

[QUOTE=Geser;276912]Потому я не вижу смысла делать 4 групы. Групп должно быть 2. Доверенные и не доверенные. И ко всем кто в недоверенных должно быть отношение как к трояну. Т.е. запрещено всё что не разрешено. Всё остальное выглядит красиво и солидно для обывателя, но реальная ценность в плане защиты, IMHO, равна нулю.[/quote]

Это некоторое преувеличение. Помимо безусловно недоверенных и безусловно доверенных есть промежуточный вариант - приложения, которые вроде бы легитимные, но в то же время не вполне доверенные - такие, как, скажем, Internet Explorer. Поэтому список групп можно было бы сократить до трех элементов - Доверенные, Ограниченные, Недоверенные.

[quote]Далее, вопрос как защищаются доверенные процессы от процессов из группы "Слабые ограничения". Есть ли защита от dll injection, записи в адресное пространство доверенного процесса и т.п. трюков используемых троянописателями?[/QUOTE]

Непосредственного воспроизведения прежнего Контроля целостности в продукте нет. Есть защита от управления процессами, установки библиотек-перехватчиков, внедрения кода - см. таблицу "Права".

[QUOTE="rav"]Чушь.[/QUOTE]

Простите, а вы много видели вредоносного программного обеспечения с ЭЦП Microsoft?

[quote]P.S: Работа KIS 2009 в автоматическом режиме меня поразила вообще - стоит там запрос на модификацию файлов с расширением exe, sys, dll, а на деле слабо ограниченные что хотят мутят... [/quote]

См. выше:

[QUOTE]В автоматическом режиме "Запрос действия" равен "Разрешить". Почему - вопрос не ко мне :)[/QUOTE]

хотя вроде бы должно выполняться рекомендуемое действие, а оно в вашем случае - Запретить.

[QUOTE=NickGolovko;277040]Простите, а вы много видели вредоносного программного обеспечения с ЭЦП Microsoft?[/QUOTE]
Про ЭЦП именно от MS ничего не говорилось (см. топики выше). Говорилось именно про ЭЦП вообще. Зловредописателю получить такую для себя в том же Thawte или RSA- проще пареной репы.

Поясню: имел в виду именно ЭЦП Microsoft, поскольку не осведомлен о принципах обработки KIS 2009 других подписей.

В таблице права есть "Доступ к другим просессам" и "Модификация системы" или я смотрю не в той таблице?
Так что какая конкретно защита процессов осуществляется совершенно не понятно.

[QUOTE=Geser;277074]В таблице права есть "Доступ к другим просессам" и "Модификация системы" или я смотрю не в той таблице?
Так что какая конкретно защита процессов осуществляется совершенно не понятно.[/QUOTE]

Имелась в виду эта таблица:

[QUOTE=rav;277056]Говорилось именно про ЭЦП вообще. Зловредописателю получить такую для себя в том же Thawte или RSA- проще пареной репы.[/QUOTE]
Неоднократно скомпрометированные поставщики сертификатов исключаются из белого списка КАВ2009.

[B]NickGolovko[/B], тонкости тонкой настройки нужны, что бы сделать крепкую защиту еще крепче. И тут же Вы рассказываете про уязвимости и противоречия, в борьбе с которыми Вы даже готовы ложиться костьми. А восторги умников из Вашей цитаты вообще не имеют ничего общего с антивирусной защитой, ни все вместе, ни по отдельности. Вот и получается: у домохозяйки уязвимостей выше крыши, а в тонкой настройке черт ногу сломит - революшн...

[QUOTE=ananas;277328][B]NickGolovko[/B], тонкости тонкой настройки нужны, что бы сделать крепкую защиту еще крепче. И тут же Вы рассказываете про уязвимости и противоречия, в борьбе с которыми Вы даже готовы ложиться костьми. А восторги умников из Вашей цитаты вообще не имеют ничего общего с антивирусной защитой, ни все вместе, ни по отдельности. Вот и получается: у домохозяйки уязвимостей выше крыши, а в тонкой настройке черт ногу сломит - революшн...[/QUOTE]

И для домохозяйки нынешняя ХИПС лучше чем ничего.

[QUOTE=Geser;277330]И для домохозяйки нынешняя ХИПС лучше чем ничего.[/QUOTE]Т.е. до нынешней ХИПС было "ничего". Или - ни чего не было. Что-то слишком крутовато выходит(?). Ну да ладно.

[QUOTE=ananas;277336]Т.е. до нынешней ХИПС было "ничего". Или - ни чего не было. Что-то слишком крутовато выходит(?). Ну да ладно.[/QUOTE]

На сегодня сигнатурный анализ это почти "ничего", не важно для какого антивируса, что хорошо видно из темы "тестирование антивирусов"

А при чем тут другие? У них революций не отмечено, так лишь, ярко-красочные, но нереволюционные эпитеты.

[QUOTE=ananas;277346]А при чем тут другие? У них революций не отмечено, так лишь, ярко-красочные, но нереволюционные эпитеты.[/QUOTE]

Это спор ради спора? Я что-то не вижу/понимаю аргументов и фактов :)
Наличие в КИС ХИПС это явное улучшение защиты, даже учитывая его нынешние недостатки. Это всё что я хотел сказать.

[B]Geser[/B], это вообще у меня с Вами не спор. А если и спор, то опять же, не с Вами. Я жду топикстартера. Пожалуйста, если угодно, можете продолжать обучение тонкостям.

[QUOTE=ananas;277328][B]NickGolovko[/B], тонкости тонкой настройки нужны, что бы сделать крепкую защиту еще крепче. И тут же Вы рассказываете про уязвимости и противоречия, в борьбе с которыми Вы даже готовы ложиться костьми. А восторги умников из Вашей цитаты вообще не имеют ничего общего с антивирусной защитой, ни все вместе, ни по отдельности. Вот и получается: у домохозяйки уязвимостей выше крыши, а в тонкой настройке черт ногу сломит - революшн...[/QUOTE]

Ну что ж, давайте разберем на компоненты то, что вы сказали.

>>> тонкости тонкой настройки нужны, что бы сделать крепкую защиту еще крепче. И тут же Вы рассказываете про уязвимости и противоречия, в борьбе с которыми Вы даже готовы ложиться костьми. <<<

Соединяя два предложения через "и тут же", вы намекаете на существование противоречия между ними. Я, в свою очередь, не вижу в них оппозиции. Если бы я готовил рекламную статью, или если бы я сам писал этот компонент, а потом боролся бы с собственным творением, то, действительно, я противоречил бы сам себе. Однако в заголовке темы не пресс-релиз и не промо-текст, а разъяснение идеологии нового компонента и принципов его настройки. Нет ничего удивительного в том, что в комментариях я касаюсь и существующих недоработок - это совершенно нормальное явление для автора, смотрящего на продукт со стороны. Обратите, кстати, внимание, что оба термина - "уязвимость" и "противоречие" - озвучили вы сами.

>>> А восторги умников из Вашей цитаты вообще не имеют ничего общего с антивирусной защитой, ни все вместе, ни по отдельности. <<<

В цитате нет восторгов, в ней есть изложение хода событий после установки продукта в автоматическом режиме. Цитата приведена в ответ на ваше сообщение о непонимании между пользователем и продуктом, которое, в свою очередь, также не имеет ничего общего с антивирусной защитой. Поэтому и цитата никоим образом не обязана иметь что-то общее с ней.

>>> Вот и получается: у домохозяйки уязвимостей выше крыши, а в тонкой настройке черт ногу сломит - революшн... <<<

Уточните, пожалуйста, значение выражения "выше крыши". Насколько я вижу, в вашем понимании "выше крыши" означает "две", поскольку из моих сообщений можно извлечь две недоработки, которые с натяжкой можно определить как уязвимости - спорадические попадания вредоносного программного обеспечения в группу слабо ограниченных и равенство вердиктов "Разрешить" и "Запрос действия".

Кроме того, в дискуссии выше не звучало оснований для утверждения, что новый модуль является сверхсложным в тонкой настройке - напротив, в процессе разработки предпринимались усилия, чтобы упростить работу с ним. Есть мелкие недочеты, такие, как вопрос zerocorporated выше о добавлении элементов в ресурс Skype, однако это основания не для того, чтобы определять модуль как архипроблемный - это основания для участия в бета-тестировании будущих версий. Если что-либо в продукте не устраивает - приходите в раздел бета-тестинга на форуме ЛК, помогите разработчикам и золотым бета-тестерам сделать его лучше. Продукт-то делается для вас, и у вас есть возможность донести свое мнение до непосредственных его авторов, а не до таких же пользователей, как и вы сами.

[b]NicGolovko[/b], благодарю Вас за ответ. Я с Вами не согласен. Продукт делается вами для вас, и только потом - для нас. Товарищ А. более честен, когда высказывается в смысле - заплати бабки, получи защиту. Кто готов вам всем помогать - это его дело.

Я покупаю готовое. Или юзаю бесплатное. Перед первым и вторым - выбираю. Мой вывод однозначен: я не стану пользоваться продуктом, мнение о котором даже внутри породившей его конторы неоднозначное - от революционного до лягу костьми, что бы исправить.
Спасибо.

[QUOTE=ananas;277374][b]NicGolovko[/b], благодарю Вас за ответ. Я с Вами не согласен. Продукт делается вами для вас, и только потом - для нас. Товарищ А. более честен, когда высказывается в смысле - заплати бабки, получи защиту. Кто готов вам всем помогать - это его дело.

Я покупаю готовое. Или юзаю бесплатное. Перед первым и вторым - выбираю. Мой вывод однозначен: я не стану пользоваться продуктом, мнение о котором даже внутри породившей его конторы неоднозначное - от революционного до лягу костьми, что бы исправить.
Спасибо.[/QUOTE]

1. NickGolovko не является работником ЛК.
2. Ваше мнение, мягко говоря, не логичное :)

Дополню про ЭЦП. Зайдите в IE и найдите "Доверенные центры сертификации". Если приложение подписано одним из этих центров, оно будет доверенным. Т.к. KIS берет данные именно оттуда.

[B]Geser[/B], и Вам спасибо. Буквально воспринятое мягкое мнение не стало мягче. Посмотрите на список спасиб в начале топика. Присоединяюсь.

[QUOTE=ananas;277374]Мой вывод однозначен: я не стану пользоваться продуктом, мнение о котором даже внутри породившей его конторы неоднозначное - от революционного до лягу костьми, что бы исправить.
Спасибо.[/QUOTE]

Я не внутри конторы. :) Я золотой бета-тестер, но не устроился работать в компанию по примеру некоторых моих коллег (хотя, безусловно, понимаю, что доказать это мне нечем :) ). Ваше право верить или не верить мне. Но мой статус Gold Beta Tester на форуме ЛК позволяет мне в некоторой степени влиять на развитие HIPS - поэтому я и пишу, что буду прилагать все доступные мне усилия к совершенствованию продукта и исправлению его недостатков; ведь я вижу, что модуль получился у разработчиков не идеальным, не таким, как я хотел бы его видеть (а опыт у меня есть: я с 2006 года работаю с профессиональной классической HIPS, которая вышла в релиз еще в 2005 году; в версии 2009 KIS впервые приблизилась к ней по функционалу, но по-прежнему проигрывает ей в гибкости, удобстве и эффективности).

[QUOTE=Geser;277348]Наличие в КИС ХИПС это явное улучшение защиты, даже учитывая его нынешние недостатки. [/QUOTE]
Именно так.
HIPS - это новый уровень защиты, не отменяющий остальные уровни (сигнатурный детект, эвристический), которыми оснащены предыдущие версии КИС. Поэтому, [B]ananas[/B], если Вы видите какую-то ошибку в ХИПСе, не стоит ее воспринимать как "дыр выше крыши" - ведь это не единственный уровень защиты.

[QUOTE=NickGolovko;277408]Я не внутри конторы. Я золотой бета-тестер ... я с 2006 года работаю с профессиональной классической HIPS, которая вышла в релиз еще в 2005 году; в версии 2009 KIS впервые приблизилась к ней по функционалу, но по-прежнему проигрывает ей в гибкости, удобстве и эффективности[/QUOTE]Извините пожалуйста, [B]NickGolovko[/B], меня за мою неосведомленность. Но как это меняет сути вопроса, я не вижу.[QUOTE=DVi]если Вы видите какую-то ошибку в ХИПСе, не стоит ее воспринимать как "дыр выше крыши"[/QUOTE]Я вообще не говорил про ошибки в ХИПС. Какой бы она не была, рулят заданные в ней правила. Я говорю: настроенные авторские правила для домохозяйки домохозяйку не защищают, а настройка правил для эксперта запутана и сложна - из одной крайности в другую. Не удобно ни первое, ни второе, имхо. И даже эта статья не отвечает на все вопросы, а все равно требует дальнейших пояснений. Может быть кому-то интересно разбираться и вникать во все тонкости, как, например, тестерам, а мне - нет. Легче сразу выбрать чего-то иное, заведомо попроще (и не факт, что хуже).

[QUOTE=ananas;278410]Легче сразу выбрать чего-то иное, заведомо попроще (и не факт, что хуже).[/QUOTE]

Например?

Пара месяцев на Comodo + NOD и еще пара на нем же + Avira у меня нареканий не вызывали. Пока так и оставил. Может, домохозяйкам это и не подойдет. Но у экспертов особых проблем с настройками быть не должно, имхо (хотя я и не эксперт, а так - слегка интересующийся).

Кроме того, я не сомневаюсь, что будь у меня КИС 2009, проблем тоже бы не было, даже не смотря на то, что еще никто не лег костьми буквально при устранении проблем. Но для чего тогда искать в нем неочевидные (?) противоречия, если не для устранения гипотетических угроз, имхо же. Может быть критика авторов принесет плоды быстрее, и поможет тестерам не ложиться костьми. Например, 2ip тест из списка доверенных убрали или это ерунда для мировой революции?

[QUOTE=ananas;278474]Пара месяцев на Comodo + NOD и еще пара на нем же + Avira у меня нареканий не вызывали. Пока так и оставил. Может, домохозяйкам это и не подойдет. Но у экспертов особых проблем с настройками быть не должно, имхо (хотя я и не эксперт, а так - слегка интересующийся).

Кроме того, я не сомневаюсь, что будь у меня КИС 2009, проблем тоже бы не было, даже не смотря на то, что еще никто не лег костьми буквально при устранении проблем. Но для чего тогда искать в нем неочевидные (?) противоречия, если не для устранения гипотетических угроз, имхо же. Может быть критика авторов принесет плоды быстрее, и поможет тестерам не ложиться костьми. Например, 2ip тест из списка доверенных убрали или это ерунда для мировой революции?[/QUOTE]

НОД это, мягко говоря, отстой :)
Авира, вроде, не плохой антивирус, но приемуществ над КАВ я не нашел.
А что хорошего есть в Комодо?