Поведенческие анализаторы

Кто какие посоветует программы - поведенческие анализаторы? Пробовал только 2 - Norton AntiBot и PC Tools ThreatFire (бывший CyberHawk), но так и не довелось удостовериться в их надёжности.
В ThreatFire ещё встроен неотключаемый антивирусный сканер PC Tools с регулярно обновляющимися базами, который мешает понять, что к чему.
Может быть, кто-то тестил их или знает нечто получше?

[quote=Ivaemon;266944]Кто какие посоветует программы - поведенческие анализаторы? Пробовал только 2 - Norton AntiBot и PC Tools ThreatFire (бывший CyberHawk), но так и не довелось удостовериться в их надёжности. Может быть, кто-то тестил их или знает нечто получше?[/quote]
KIS 2009. Он эмулирует запуск программы перед ее реальным запуском, изучает ее поведение и по системе правил оценивает опасность и вредоносность ... так называемый SR - рейтинг. Если рейтинг выше заданного порога, то выдается алерт или программа запускается и HIPS автоматом "подрезает" ее права, считая программу недоверенной. Достоинство такого подхода - поведенческий анализ программы изучается в "виртуальной среде" до ее запуска, а не по факту ее работы...

Олег, спасибо, но хотелось бы услышать о специализированных утилитах, не входящих в какой-либо комбайн безопасности.

[quote=Ivaemon;267007]Олег, спасибо, но хотелось бы услышать о специализированных утилитах, не входящих в какой-либо комбайн безопасности.[/quote]
Специализированных мало ... так как размышление о защите ПК рано или поздно приводит к комбайну, как на него не смотреть ... (причина проста - продетектив зловредное поведение утилите потребуется лечилка + блокиратор, что-то типа HIPS. Для мониторинга сетевой активности нужен Firewall - так как мало мониторить, нужно еще и блокировать передачу данных со стороны программы, которая подозрительно себя ведет. Плюс потребуется сигнатурная база для опознания известных легитимных приложений - чтобы не фолсить на них. И т.п. ....). А если брать тот-же Norton AntiBot, то по поведению он если узнает одного зловреда из десяти, то и то хорошо - я его тестировал, интересно же, как он работает...

но если вы все-таки не хотите следовать здравым советам Олега, то почитайте вот эту тему:
[URL]http://virusinfo.info/showthread.php?t=24630[/URL]
тут немного высказались на тему ХИПСов.
можете продолжить ту тему если хотите...
Тут на форуме много хороших людей, которые неравнодушны к теме ПДМ экранов:) - они помогут.
Хотя комбайн (имхо) лучше;)

Дело в том, что есть у меня комбайн... Собрал его из хорпоших антивируса+фаера с хипсой+антиспая+антиспама. Не хватает поведенческого анализатора.
Венрнее, стоит сейчас ThreatFire, но вижу в основном попытки сигнатурного детекта. Согласитесь, что, имея Авиру Антивир Премиум, как-то не испытываешь потребности в сигнатурном детекте PC Tool.
Значит, Нортон Антибот не особо хорош. Вроде бы он заточен на отлов ботов, что есть хорошо - неохота оказаться в числе невольных участников какой-нибудь DOS-атаки...
А что насчёт Виндоуз Дефендера?

про Windows Defender
[url]http://virusinfo.info/showthread.php?t=20595[/url]

Кстати, вот здесь: [url]http://www.safensoft.ru/security.phtml?c=577[/url] - о тесте, где нортон антибот - лидер проактивной защиты (??).

Так что именно нужно, ты уж определись- поведенческий анализатор или поведенческий блокиратор? Один к другому мало какре отношение имеет.

[quote="Ivaemon"]
Дело в том, что есть у меня комбайн...Собрал его из хорпоших антивируса+фаера с хипсой+антиспая+антиспама. Не хватает поведенческого анализатора.
Венрнее, стоит сейчас ThreatFire, но вижу в основном попытки сигнатурного детекта. Согласитесь, что, имея Авиру Антивир Премиум, как-то не испытываешь потребности в сигнатурном детекте PC Tool.
Значит, Нортон Антибот не особо хорош. Вроде бы он заточен на отлов ботов, что есть хорошо - неохота оказаться в числе невольных участников какой-нибудь DOS-атаки...
Значит, Нортон Антибот не особо хорош. Вроде бы он заточен на отлов ботов, что есть хорошо - неохота оказаться в числе невольных участников какой-нибудь DOS-атаки...
А что насчёт Виндоуз Дефендера?[/quote]
Как-то интересно у вас получается. Собрали "комбайн гибридный", по вашим же слова хороший. И что-то ещё хочется :D
Так обвешайтесь HIPS-ами под завязку. Благо их много. Можете ещё виртуалку поставить. Для почти 100% гарантии и "полного комплекта". Например Returnil Virtual System :dirol:

[QUOTE]Как-то интересно у вас получается. Собрали "комбайн гибридный", по вашим же слова хороший. И что-то ещё хочется :D[/QUOTE]
Честно говоря, не понял юмора :unknw:
(Кстати, слова "хороший" я про свой комбайн не говорил)
[QUOTE=rav;267481]Так что именно нужно, ты уж определись- поведенческий анализатор или поведенческий блокиратор? Один к другому мало какре отношение имеет.[/QUOTE]
А в чём принципиальная разница? :unknw::unknw:

Поведенческий анализатор и поведенческий блокиратор
[QUOTE=Ivaemon;267541]А в чём принципиальная разница? :unknw::unknw:[/QUOTE]
[url]http://av-school.ru/wiki/index.php/%D0%9F%D0%BE%D0%B2%D0%B5%D0%B4%D0%B5%D0%BD%D1%87%D0%B5%D1%81%D0%BA%D0%B8%D0%B9_%D0%B1%D0%BB%D0%BE%D0%BA%D0%B8%D1%80%D0%B0%D1%82%D0%BE%D1%80[/url]
Поведенческий анализатор сосредоточится не настолько на правила блокировки, а больше на исключения, чтобы дать возможность корректно работать тем программам, которые в процессе выполнения своей задачи возможно не вписываются в очень жёсткие правила.
Недостатком поведенческих блокираторов является ложное срабатывание на действия определённых программ. Кроме того, для принятия окончательного решения о вредоносности приложения требуется вмешательство пользователя, который может не знать на самом деле, что делать.

Paul

Paul, спасибо! Тогда, конечно, я имею в виду блокиратор.

Тогда какого типа блокиратор интересует? На основе поведенческих сигнатур или песочница?

[QUOTE=rav;267799]Тогда какого типа блокиратор интересует? На основе поведенческих сигнатур или песочница?[/QUOTE]
[B]rav[/B], первое.

Тогда читай здесь [URL]wiki.castlecops.com[/URL], пункт "Smart expert based Behavior blockering". Там практически все они описаны.

rav
Offtop А хелп у defensewall все же оставляет желать лучшего...

[QUOTE=rav;267945]Тогда читай здесь [URL]wiki.castlecops.com[/URL], пункт "Smart expert based Behavior blockering". Там практически все они описаны.[/QUOTE]
rav, не нашёл указанного пункта по адресу. Разве что вот это: [url]http://wiki.castlecops.com/HIPS/IDP_programs/services[/url]

(добавил позже) нашел: [url]http://wiki.castlecops.com/Lists_of_freeware_behavior_blockers[/url]
Интересно, что здесь много прог, которые не являются поведенческими блокираторами. Просто собраны все хипсы, в основном контролирующие процессы на исполнение.
Интересный опыт, судя по всему, PrevX2: весь нашпигован разными эвристиками.))))

[QUOTE=Ivaemon;268289]rav, не нашёл указанного пункта по адресу. Разве что вот это: [url]http://wiki.castlecops.com/HIPS/IDP_programs/services[/url][/QUOTE]
Сорри, моя ошибка. Правильный линк вот: [URL]http://wiki.castlecops.com/Different_classes_of_security_software[/URL]

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

[QUOTE=Geser;268282]rav
Offtop А хелп у defensewall все же оставляет желать лучшего...[/QUOTE]
Ты какой смотрел, от 2.xx веток или 1.хх? Если 2.хх- буду признателен за конструктивную критику и предложения по улучшению.

[QUOTE=Ivaemon;267541]Честно говоря, не понял юмора :unknw:
(Кстати, слова "хороший" я про свой комбайн не говорил)
[/QUOTE]

Ошибаетесь, говорили - "из хорпоших антивируса+фаера с хипсой+антиспая+антиспама" :P

Юмор в том, что у вас уже достаточно ПО для защиты. Например антишпиён не нужен особо, но тут уж дело вкуса и удачного выбора.
Так что вы хотите? Защиты, максимально приближенной к 100%? Так ОС настраивайте - 2/3 защиты примерно приходиться на неё.
Хотите, чтобы HIPS-ов было много? Так поставьте себе SSM и ProSecurity. Рядышком DefenceWall.
И будет вам счастье:D Если вы именно этого хотели примерно :dirol:

[QUOTE=rav;268333]Сорри, моя ошибка. Правильный линк вот: [URL]http://wiki.castlecops.com/Different_classes_of_security_software[/URL]

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]


Ты какой смотрел, от 2.xx веток или 1.хх? Если 2.хх- буду признателен за конструктивную критику и предложения по улучшению.[/QUOTE]

Поставил сейчас 2.44 для пробы.
НАпример:
The Defense Excludes List contains files that are allowed to be Modified by Untrusted applications or processes.


These items still remain Untrusted and cannot harm your system.
Не совсем понятно что имеется в виду во втором предложении. Значит ли это что если в Defense Excludes List занести папку, то все исполняемые файлы в ней в случае запуска будут исполняться как Untrusted?

Untrusted application excludes:
Allows you to add a Default (Built-in Untrusted List) Untrusted item to the Excludes List, as well as remove it from that list.
НАсколько я понимаю позволяет добавить апликации из внутреннего списка не доверенных. Так что они становятся доверенными? Тогда почему при выборе этой опции нет списка апликаций из этого внутреннего списка?

[QUOTE=taloran;268416]Ошибаетесь, говорили - "из хорпоших антивируса+фаера с хипсой+антиспая+антиспама" :P[/QUOTE]
Да, составные части хорошие. А про комбайн в целом я этого не говорил. Вы же не станете отрицать, что команда из хороших игроков может играть неудачно? Тем более, что не хватает блокиратора.
[QUOTE=taloran;268416]
Так что вы хотите? Защиты, максимально приближенной к 100%? [/QUOTE]
А разве кто-то этого не хочет???
[QUOTE=taloran;268416]
Хотите, чтобы HIPS-ов было много? Так поставьте себе SSM и ProSecurity. Рядышком DefenceWall.
И будет вам счастье:D Если вы именно этого хотели примерно :dirol:[/QUOTE]
Ничего подобного. Именно это мне и не нужно. Я писал очень чётко: мне нужна хорошая прога типа ThreatFire, как выяснилось, поведенческий блокиратор. Но если вам не чего посоветовать в этом отношении - по крайней мере, зачем ёрничать, не понимаю...

[QUOTE=Geser;268441]Поставил сейчас 2.44 для пробы.
НАпример:
The Defense Excludes List contains files that are allowed to be Modified by Untrusted applications or processes.


These items still remain Untrusted and cannot harm your system.
Не совсем понятно что имеется в виду во втором предложении. Значит ли это что если в Defense Excludes List занести папку, то все исполняемые файлы в ней в случае запуска будут исполняться как Untrusted?[/QUOTE]
По-моему, всё правильно написано. Файлы можно модифицировать недоверенными процессами, но запускаться будут как доверенные.

[QUOTE=Geser;268441]
Untrusted application excludes:
Allows you to add a Default (Built-in Untrusted List) Untrusted item to the Excludes List, as well as remove it from that list.
НАсколько я понимаю позволяет добавить апликации из внутреннего списка не доверенных. Так что они становятся доверенными? Тогда почему при выборе этой опции нет списка апликаций из этого внутреннего списка?[/QUOTE]
Да, а вот тут явно недоработка. На самом деле, в этот список можно вносить всё, что угодно. Спасибо, будем исправлять.

[QUOTE=rav;268525]По-моему, всё правильно написано. Файлы можно модифицировать недоверенными процессами, но запускаться будут как доверенные.
[/QUOTE]

Ну не знаю. НАписано
These items still remain Untrusted
These это те кто находится в "Defense Excludes List"? НАписано что они Untrusted, или я как-то не так понимаю?

Решил открыть отдельную [URL="http://virusinfo.info/showthread.php?t=28197"]тему [/URL]

[QUOTE=Ivaemon;268521]Да, составные части хорошие. А про комбайн в целом я этого не говорил. Вы же не станете отрицать, что команда из хороших игроков может играть неудачно? Тем более, что не хватает блокиратора.[/QUOTE]
Разумеется, результат игры не определяется только лишь особенностями команды.
Результат вообще может быть непредсказуем...
Вы считаете, что ваш комбайн хорош лишь по отдельности? Или что имелось ввиду под "в целом не говорил"?

[QUOTE=Ivaemon]А разве кто-то этого не хочет???[/QUOTE]
Представьте себе, как это не странно - но не хочет! Не буквально, конечно, а не предпринимая дополнительных мер.
Или вообще считает это излишней блажью...
Например я недавно наткнулся на обсуждение одно в инете - а нужен ли межсетевой экран. Зачем, дескать, обременять себя всякой лишней головной болью. Сижу годами без проблем и т.д. ...
Какие уж тут HIPS-ы :>

[QUOTE=Ivaemon]Ничего подобного. Именно это мне и не нужно. Я писал очень чётко: мне нужна хорошая прога типа ThreatFire, как выяснилось, поведенческий блокиратор. Но если вам не чего посоветовать в этом отношении - по крайней мере, зачем ёрничать, не понимаю...[/QUOTE]
Вы слишком остро воспринимаете мои слова. Я лишь пояснил, что когда "комбайн" собран "хорошо" - дальнейшие поиски "ещё чего" несколько излишни.
Конечно, хочется "наотлично" - но это можно осуществлять до бесконечности :D
Как я понял, вас заинтересовали особо eхpert HIPS.
В качестве примера:
Primary Response SafeConnect, Mamutu, Prevx, Safe'n'Sec.

Ладно, раз куча вопросов, оффтопить буду, модеры, звиняйтэ...
[QUOTE=taloran;268711]
Вы считаете, что ваш комбайн хорош лишь по отдельности? Или что имелось ввиду под "в целом не говорил"?
[/QUOTE]
Именно это и имелось в виду. Поскольку единого комбайна нет, а есть отдельные проги, хорошо выполняющие конкретные защитные функции. Тем более бесконфликтность до конца не выяснена. Но имхо, этот путь всё равно лучше тех комбайнов, которые на рынке, поскольку они все, за малым исключением, глючны, несбалансированы и недоделаны.
[QUOTE]Представьте себе, как это не странно - но не хочет! Не буквально, конечно, а не предпринимая дополнительных мер.
Или вообще считает это излишней блажью...[/QUOTE]
Имхо, не заморачиваются с программами по безопасности: 1) абсолютно безграмотные чайники и 2) спецы-профессионалы, которые и без антивирей-фаеров могут обеспечить чистоту системы, как это здесь уже не раз говорилось.
Проги как раз и нужны чайникам. Коих 99%. Нужны умные проги, которые можно было бы "поставить и забыть". Это лучше, чем ничего. За ХИПСами будущее, но пока что их уровень не радует...
[QUOTE]Как я понял, вас заинтересовали особо eхpert HIPS.
В качестве примера:
Primary Response SafeConnect, Mamutu, Prevx, Safe'n'Sec.[/QUOTE]
Благодарю. С первой незнаком; скачал PrevX2, но уж больно страшный зверюга, говорят, кучу фолсов даёт... Как-нибудь опробую.
Не знаю, нужны ли такие проги, если отключены половина служб, убран NetBios, почищена автозагрузка и закрыты лишние порты. Думаю, не помешают. Да и потестить интересно.

[QUOTE=Ivaemon;268719]Ладно, раз куча вопросов, оффтопить буду, модеры, звиняйтэ...

Именно это и имелось в виду. Поскольку единого комбайна нет, а есть отдельные проги, хорошо выполняющие конкретные защитные функции. Тем более бесконфликтность до конца не выяснена. Но имхо, этот путь всё равно лучше тех комбайнов, которые на рынке, поскольку они все, за малым исключением, глючны, несбалансированы и недоделаны.[/QUOTE]
Комплексные решения удобнее тем, что не надо искать отдельно их составляющие, а так же отсутствием возможных конфликтов. Что, однако, как вы и заметили - не означает отсутствия глючности, недоделанности и пр. Лично я тоже не сторонник комплексных решений.
В принципе, это больше дело вкуса и предпочтений, чем всего остального.

[QUOTE]Имхо, не заморачиваются с программами по безопасности: 1) абсолютно безграмотные чайники и 2) спецы-профессионалы, которые и без антивирей-фаеров могут обеспечить чистоту системы, как это здесь уже не раз говорилось.
Проги как раз и нужны чайникам. Коих 99%. Нужны умные проги, которые можно было бы "поставить и забыть". Это лучше, чем ничего. За ХИПСами будущее, но пока что их уровень не радует...[/QUOTE]
Не заморачиваются по разным мотивам. Безграмотные полностью - действительно, зачастую не особо стремятся к изучению выбора и его определения. Впрочем, это касается не только защитного ПО.
Остальным же это ПО нужно. Даже спецам оно может понадобиться. Просто им оно может совсем не пригодиться, посколько как я уже говорил выше - защита начинается с настройки ОС и во многом определяется ей. Им может вполне хватить её капитальной настройки.
Остальным уж кому что. Некоторые только антивирями и довольны. И больше им нечего не надо.
HIPS-ы существуют давно. Дело не в них, а в том, что пользователям обычным не особо они нужны. Им и антивирусы не очень-то по душе...

[QUOTE]Благодарю. С первой незнаком; скачал PrevX2, но уж больно страшный зверюга, говорят, кучу фолсов даёт... Как-нибудь опробую.
Не знаю, нужны ли такие проги, если отключены половина служб, убран NetBios, почищена автозагрузка и закрыты лишние порты. Думаю, не помешают. Да и потестить интересно.[/QUOTE]
Нужность их в данном случае жизненной необходимости не несёт. Поколько вы уже покопались в ОС и у вас есть свой "комбайн" :)
Тут уже больше ради интереса и прикладного значения. Хотя, если риски угроз для вас велики, для страховки не помешает :D
Если вам интересны всякие допoлнительные инструменты, загляните сюда, возможно вам пригодится что-нибудь

[url]http://www.osp.ru/win2000/2006/04/2627979[/url]

Новый владелец недавно проданной ProSecurity выпустил программу Real-time Defender Professional v1.0.
Эта версия основана на ProSecurity v1.43 и является бесплатной.
Что нового (в сравнении с ProSecurity v1.43)?
1. Исправлена ошибка вызывающая Синий экран смерти, и устранены другие мелкие ошибки.
Если у вас уже установлена ProSecurity, вы можете экспортировать правила, удалить ProSecurity и, после установки Real-time Defender Professional, импортировать правила.
Скачать можно [url=http://yangpizhi.shyd89.2666.com.cn/RTDPro_Setup.rar]здесь[/url] - 2,57 МБ

[URL=http://img84.imageshack.us/my.php?image=rtdefenderat9.png][IMG]http://img84.imageshack.us/img84/7954/rtdefenderat9.th.png[/IMG][/URL]

Очень любопытно... Очевидно, новая фирма, еще и сайта нет.

_http://www.rtdefender.com/ в данный момент недоступен и идёт перенаправление на другие сайты. Автор изначальной Pro-Security теперь работает в китайском филиале Comodo в г. Пекине:
[url]https://forums.comodo.com/hips_host_intrusion_prevention_systems/prosecurity_hips_ownerdeveloper_joins_comodo-t25687.0.html;msg185009#msg185009[/url]

Paul

Собственно, он и есть этот самый Пекинский филиал Comodo. Точно также, как я бы мог стать их Московским филиалом. :)