AVZ 4.15 + AVZGuard - тестирование, обсуждение, предложения по доработке

[QUOTE]впрочем, он убивается даже (!!!) стандартным виндовым Task Manager-ом[/QUOTE]
Это как? У меня не выходит

[QUOTE=Geser]Это как? У меня не выходит[/QUOTE]
Примерно так... По пунктам:
1. Запускаем 'Диспетчер задач Windows' (Task Manager, если не по-нашему) тремя бубками (Ctrl-Alt-Esc).
2. Стартуем AVZ, включаем в нем режим AVZGuard, в появившемся диалоге подтверждаем, т.е. жмем 'OK'. При этом все приложения, кроме AVZ, автоматом становятся недоверенными - т.е. им ничего "криминального" делать не разрешено.
3. В 'Диспетчере задач Windows' выбираем закладку 'Приложения', находим там пункт 'Антивирусная утилита AVZ', выделяем его и нажимаем кнопку 'Снять задачу' в правом нижнем углу 'Диспетчера...'.
4. Все - AVZ бесследно исчезает. Драйвер AVZGuard, естественно, остается активным... но какой с него толк, если нет самого AVZ? :)
5. Ввиду невозможности продолжить работу (ничего нового не стартует, а старое заблокировано) остается только перегрузиться...

[QUOTE=aintrust]Примерно так... По пунктам:
1. Запускаем 'Диспетчер задач Windows' (Task Manager, если не по-нашему) тремя бубками (Ctrl-Alt-Esc).
2. Стартуем AVZ, включаем в нем режим AVZGuard, в появившемся диалоге подтверждаем, т.е. жмем 'OK'. При этом все приложения, кроме AVZ, автоматом становятся недоверенными - т.е. им ничего "криминального" делать не разрешено.
3. В 'Диспетчере задач Windows' выбираем закладку 'Приложения', находим там пункт 'Антивирусная утилита AVZ', выделяем его и нажимаем кнопку 'Снять задачу' в правом нижнем углу 'Диспетчера...'.
4. Все - AVZ бесследно исчезает. Драйвер AVZGuard, естественно, остается активным... но какой с него толк, если нет самого AVZ? :)
5. Ввиду невозможности продолжить работу (ничего нового не стартует, а старое заблокировано) остается только перегрузиться...[/QUOTE]
Мда, и правда работает :)

[QUOTE=Geser]Мда, и правда работает :)[/QUOTE]
Это работает - я и не давил такую возможность. AVZ получает от диспетчера предложение завершить работу и корректно реагирует :) Давить это нужно не на уровне драйвера, а на уровне самого AVZ, сейчас я это придавлю.

[QUOTE=Campri]Внесу свою лепту:

При расширении окон, кнопочки двигаются:)

[ATTACH]1678[/ATTACH][/QUOTE]
Баг однако :) Исправлено, спасибо ...
[B]to kps[/B]
1. - исправлено, 2 - исправлено, 3 - исправлено

[QUOTE=Зайцев Олег]Это работает - я и не давил такую возможность. AVZ получает от диспетчера предложение завершить работу и корректно реагирует :) Давить это нужно не на уровне драйвера, а на уровне самого AVZ, сейчас я это придавлю.[/QUOTE]
:) Точно так же "предложение завершить работу" AVZ может получить от любого недоверенного приложения - и отреагирует аналогично, т.е. тихо и "корректно" скончается. Правда, слово "корректно" в данном аспекте вряд ли применимо, т.к. в случае действительно корректного завершения AVZ еще дополнительно спрашивает, не отключить ли режим AVZGuard. А драйвер "защиты" тут действительно не при чем - это, похоже, явная ошибка дизайна самого AVZ, и сколько еще таких ошибок можно найти, немного повозившись с ним - кто знает? :).

А что касается непосредственно ошибок драйвера, то их еще предстоит исправить - я уже писал об этом намедни... да и проблема с синькой в avzsg.sys также периодически проявляется. На самом деле "проблема" тут только одна - почти полное отсутствие серьезного бета-тестирования продукта, т.е. не на уровне пользователя, пусть даже очень "продвинутого", а на уровне серьезных системщиков и спецов по защите информации. Можно спросить так: "А кому из таковых спецов этот продукт реально нужен"? Ответ, к сожалению, совсем не прост... :(

Мы с Олегом (он не даст соврать) периодически обсуждаем эту проблему с позиционированием AVZ (точнее, с отсутствием точного позиционирования). На мой взгляд, отсюда все и растет. Продукт в одном лице не может удовлетворить нужды и "домохозяйки", и серьезного спеца по защите - и тут надо прибиваться к какому-то берегу, иначе и дальше все будет так, как сейчас...

[QUOTE]и сколько еще таких ошибок можно найти, немного повозившись с ним - кто знает?[/QUOTE]
А для этого и существуют бета-тестеры :)

[quote=aintrust]Продукт в одном лице не может удовлетворить нужды и "домохозяйки", и серьезного спеца по защите - и тут надо прибиваться к какому-то берегу, иначе и дальше все будет так, как сейчас...[/quote]

Золотые слова! Говорю как специалист по позиционированию...

1. Поиск RootKit и программ, перехватывающих функции API
1.1 Поиск перехватчиков API, работающих в UserMode
Анализ kernel32.dll, таблица экспорта найдена в секции .text
Анализ ntdll.dll, таблица экспорта найдена в секции .text
Анализ user32.dll, таблица экспорта найдена в секции .text
Анализ advapi32.dll, таблица экспорта найдена в секции .text
Анализ ws2_32.dll, таблица экспорта найдена в секции .text
Анализ wininet.dll, таблица экспорта найдена в секции .text
Анализ rasapi32.dll, таблица экспорта найдена в секции .text
Анализ urlmon.dll, таблица экспорта найдена в секции .text
Анализ netapi32.dll, таблица экспорта найдена в секции .text
-------------------------------------------------------------------
Обясните.
Как понимать такую запись?
Это говорит о заражении файла?

[QUOTE=kozakoff]Как понимать такую запись?
Это говорит о заражении файла?[/QUOTE]
нет.

[QUOTE=kozakoff]1. Поиск RootKit и программ, перехватывающих функции API
1.1 Поиск перехватчиков API, работающих в UserMode
Анализ kernel32.dll, таблица экспорта найдена в секции .text
-------------------------------------------------------------------
Обясните.
Как понимать такую запись?
Это говорит о заражении файла?[/QUOTE]
Это говорит об положении таблицы экспорта имён библиотек в файле, если сказать по простому это говорит о том что указанные системные файлы в порядке и один из нескольких тестов системы на вшивость завершился удачно (в смысле ничего подозрительного не найдено).

Спасибо за ликбез.

было бы неплохо сделать всплывающие подсказки в диспетчерах служб, процессов и др. там где описание или путь к файлу. Просто строка бывает достаточно длинной и нужно скроллить и растягивать окно, чтобы все увидеть - а так навел мышой и все видно

[QUOTE=kozakoff]
Анализ urlmon.dll, таблица экспорта найдена в секции .text
Анализ netapi32.dll, таблица экспорта найдена в секции .text
-------------------------------------------------------------------
Обясните.
Как понимать такую запись?
Это говорит о заражении файла?[/QUOTE]

to Олег
По-моему вот эту информацию по умолчанию не стоит писать в протокол, т.к. она может смутить неопытного пользователя. Думаю, лучше добавить в настройки возможность вести детальный или "нормальный" протокол.

[QUOTE=aintrust]
Мы с Олегом (он не даст соврать) периодически обсуждаем эту проблему с позиционированием AVZ (точнее, с отсутствием точного позиционирования). На мой взгляд, отсюда все и растет. Продукт в одном лице не может удовлетворить нужды и "домохозяйки", и серьезного спеца по защите - и тут надо прибиваться к какому-то берегу, иначе и дальше все будет так, как сейчас...[/QUOTE]
Мнение неспециалиста по безопасности. Может быть, Олегу имеет смысл вести разработку монитора совместно с rav, поскольку идеи AVZGuard в чем-то близки к DefenseWall. Если AVZ позиционируется как инструмент уничтожения вредоносных программ определенного типа, думаю лучше использовать подобный монитор именно на время лечения системы, отключив "промышленный" антивирусный монитор, если он присутствует. По крайней мере, на определенном этапе развития АВЗ.

оффтопик, но... что-то мне подсказывает, что АВЗ еще долго не станет коммерческим продуктом ;-)

Интересно, но в новой версии опять 25...
--
6. Поиск открытых портов TCP/UDP, используемых вредоносными программами
В базе 319 описаний портов
В ходе проверки возникла ошибка. Проверка не производилась
--
Пару минут назад "произвелась", а через некоторое время, при проверке другой папки, не производилась...

[QUOTE=santy]Может быть, Олегу имеет смысл вести разработку монитора совместно с rav, поскольку идеи AVZGuard в чем-то близки к DefenseWall.[/QUOTE]
Близка, но не совсем. AVZ призван работать на заражённом компьютере и защищаться от внедрения в себя и модификации системы во время лечения. DefenseWall же работает на заведомо чистой машине, защищая её от заражения извне. То есть задачи AVZGuard и DefenseWall диаметрально противоположны. Соответственно, и средства их достижения также различны.

[QUOTE=aintrust]Впрочем, если говорить об AVZGuard vs AVZMonitor, то ты знаешь мое мнение - я не сторонник методов лечения пост-фактум, т.к., на мой взгляд, это пустая трата времени - после такого лечения нет никакой уверенности в том, что у тебя на компьютере чего-нибудь не осталось из живности.[/QUOTE]

Об этом можно поспорить. Имхо AVZ это как раз и есть инструмент для лечения компьютера пост-фактум и для этой цели утилита и применяется, что очень легко увидеть, заглянув в раздел "Помогите". Там многие, кто просил помощи в лечении уже зараженного компа, убедились, что это не пустая трата времени.
Конечно, надо "предохраняться", но тут есть один момент: даже предохраняясь есть шанс попадания вредоносного ПО на компьютер, т.к. 100%-ной защиты быть не может. И вот тут придется лечить комп пост-фактум :)

[QUOTE=aintrust]
Поэтому - [U]только монитор[/U], и чем скорее, тем лучше!!! :)
[/QUOTE]
А по-моему AVZGuard нужнее монитора.
Разве не достаточно монитора хорошего антивируса (KAV, DrWeb, BitDefender, NOD), к-рому AVZ уступает в кол-ве детектируемых сигнатурным методом вредоносных программ?
А если нужен постоянный контроль над недоверенными процессами, разве недостаточно DefenseWall ?
По-моему AVZ это утилита именно для лечения уже зараженного компа, к-рая имеет много полезных инструментов и методов борьбы с вредоносным ПО и монитор ей не особо нужен.

Все это только мое мнение, конечно.

[QUOTE=kps]
По-моему AVZ это утилита именно для лечения уже зараженного компа, к-рая имеет много полезных инструментов и методов борьбы с вредоносным ПО и монитор ей не особо нужен. [/QUOTE]

+=1