Достаточно открыть любую тему в разделе "помогите", и у пользователя в 99% случаев стоит какой-то антивир. Тем не менее, зараза успешно размножается. Я понимаю, что вирусолечители могут не успевать за вирусописателями в чем-то, но... в моем конкретном случае Dr.Web-овский spider засек появление вирусни, но не смог придушить на начальном этапе. И после этого вылечить тоже не смог. Зачем мне такой антивирус, не понятно... И от этого грустно ибо навивает мысли о каком-то лохотроне... :)
Мужик, не поверишь, в аптеках тонны лекарств, а люди всё равно болеют... :)
Элементарно- потому что современные антивирусы не могут обеспечить приемлемый уровень защиты от зловредных приложений. Пользуйся топовыми HIPS, они спасают.
[QUOTE=rav;323771]Элементарно- потому что современные антивирусы не могут обеспечить приемлемый уровень защиты от зловредных приложений. Пользуйся топовыми HIPS, они спасают.[/QUOTE]
Ум, самая толковая HIPS, ИМХО
[quote=ALEX(XX);323767]Мужик, не поверишь, в аптеках тонны лекарств, а люди всё равно болеют... :)[/quote]
В точку. :megalol:
Лучше и не скажешь. :biggrinsanta:
А если по теме, ясно что любой антивирус может что-то пропустить, но может и не пропустить. А без антивируса есть только первый вариант. :rolleyes:
...также не забывайте, что одна из самых больших брешей в системе - это криворукий юзер...
[quote=sergey888;323785]
А если по теме, ясно что любой антивирус может что-то пропустить, но может и не пропустить. А без антивируса есть только первый вариант. :rolleyes:[/quote]
Я и говорю, больше на лохотрон похоже :) "Несите нам денюжки, а мы, может быть, вас когда-нибудь защитим". И если в случае "обычных" вырусов это "когда-нибудь" бывает в 99.9% случав, то в случае malware2 вероятность падает практически до 0. Только вот "обычный" вирус я последний раз видел, наверное, во времена доса.
В моем случае меня добивает, что:
1. вирь был обнаружен по логам файрвола. Активный антивир молчал.
2. путем манипуляций с безопасным режимом можно было заставить антивир найти вирусню и даже попытаться ее вылечить, но после перезагрузки все возвращалось назад.
Не было бы файрвола и любознательного пользователя на том компе (это не я), так бы никто никогда ничего и не узнал. Нафига, спрашивается, мне такой антивирь? В общем, это так, вопрос риторический, можно не отвечать :)
[quote=Boom;323918]Я и говорю, больше на лохотрон похоже :) "Несите нам денюжки, а мы, может быть, вас когда-нибудь защитим". И если в случае "обычных" вырусов это "когда-нибудь" бывает в 99.9% случав, то в случае malware2 вероятность падает практически до 0. Только вот "обычный" вирус я последний раз видел, наверное, во времена доса.
В моем случае меня добивает, что:
1. вирь был обнаружен по логам файрвола. Активный антивир молчал.
2. путем манипуляций с безопасным режимом можно было заставить антивир найти вирусню и даже попытаться ее вылечить, но после перезагрузки все возвращалось назад.
Не было бы файрвола и любознательного пользователя на том компе (это не я), так бы никто никогда ничего и не узнал. Нафига, спрашивается, мне такой антивирь? В общем, это так, вопрос риторический, можно не отвечать :)[/quote]
На самом деле это типовое заблуждение. Дело в том, что если:
1. Установить антивирус на чистую систему
2. Подрезать права пользователя, под которым будет идти повседневная работы (хотя-бы до Power User, в идеале - до обычного юзера).
И все, ПК получает защиту на 99.99999% от всех напастей. А вот если юзер сидит под админом, то получается, что по сути процесс антивируса и процесс зловреда работают с равными правами (про ситуацию, когда драйвер зловреда установился раньше антивируса я вообще молчу - в данной ситуации у зловреда значительное преимущество). Конечно есть проактивка, самозащита и прочие чудеса, но подменять ими штатную систему привилегий операционки глупо ... если интересно, можно смеха ради попробовать позапускать разных инсталляторов малварей с руткитами из под ограниченной учетной записи - результаты приятно удивят :)
Я порешал дело проще - отрубил автозапуск. О вирях забыл. + подхожу ко всему с умом.
[quote=Зайцев Олег;323922]На самом деле это типовое заблуждение. Дело в том, что если:
1. Установить антивирус на чистую систему
2. Подрезать права пользователя, под которым будет идти повседневная работы (хотя-бы до Power User, в идеале - до обычного юзера). [/quote]
знать бы чего резать. Под обычным юзером сидеть - мука. Кстати, запуск IE через
runas /noprofile /user:lamer@*** iexplore.exe не спасет?
[quote=Зайцев Олег;323922]
А вот если юзер сидит под админом, то получается, что по сути процесс антивируса и процесс зловреда работают с равными правами [/quote]
Согласен. Но, по идее, у антивируса д.б. преимущество, т.к. он уже запущен, а зловреда еще нет. И не может она (зловреда) сразу на уровне ядра запуститься. Т.е. imho антивирь прощелкивает ключевые этапы заражения...
[quote=Boom;323933]
1. знать бы чего резать. Под обычным юзером сидеть - мука.
2. Кстати, запуск IE через runas /noprofile /user:lamer@*** iexplore.exe не спасет?
3. Согласен. Но, по идее, у антивируса д.б. преимущество, т.к. он уже запущен, а зловреда еще нет. И не может она (зловреда) сразу на уровне ядра запуститься. Т.е. imho антивирь прощелкивает ключевые этапы заражения...[/quote]
1. А что мучительного то ? На ПК ставится необходимый для работы софт и он может не меняться годами ... и все будет работать как часы. А вот если постоянно что-то устанавливать, удалять, переустанавливать, то система стремительно начинает напоминать помойку, начинает работать нестабильно и глючить. Пример - у меня на моем основном ПК система переставлялась 2 года назад, последнее значимое изменение в установленном софте было полгода назад. И что интересно - за эти два года компьютер ни разу не повисал, не глючил, я не видел никогда "синего экрана"
2. Не спасет. Это повысит защищенность, так как запущенный в контексте IE зловред или зловредный скрипт будет ограничен в правах и не сможет сильно навредить ... но это не панацея.
3. Преимущество антивируса в том, что он установлен раньше, теряет значимость с учетом того, что антивирус может скачать каждый желающий и неделями искать дырки в создаваемой им защите (а как известно, в каждой мышеловке обязательно существую дырочки :) ). В то время как вирусологи узнают о новом методе обхода защиты только после появления реализующего его зловреда ... меры конечно будут приняты, но это получается неизбежная "борьба щита и меча".
По поводу п.п. 1 - если уже так хочется эксперименторовать с установкой нового софта, игрушек и т.п., то можно завести две операционки - одну с антивирусом, урезанными правами и т.п. - для работы, ползанья в Инет и т.п, вторую - без антивируса и с правами админа, с которой снять образ тем-же Acronis для отката и творить на ней все, что угодно (в это операционке не будет почтовых программ, платежных системы и хождения по Инет - поэтмоу ущерб от зловреда будет по сути нулевым). Для защиты системы можно произвести физическое разделение (т.е. использовать два ПК или в одном ПК поставить два HDD и попросить знакомого электронщика поставить на "морде" компьютера тумблер, переключающий шины питания +5 и +12 вольт только на один из этих двух дисков. Если "щелкнуть" таким тумблером в ходе работы ПК, крах системы или как минимум BSOD гарантиррован, а вот если завершить работу и выключить ПК, затем тумблером выбрать систему и снова загрузиться - получим "аппаратную мультизагрузку" и полной аппаратной изоляции одного диска от другого
[quote=Зайцев Олег;323937]Пример - у меня на моем основном ПК система переставлялась 2 года назад, [/quote]
Ну... У папана на компе XP без переустановки стояла с 2002года. Папан постоянно что-то ставит-сносит, проблем нет ;) Точнее не было до недавней смерти винта от старости и подключения adsl. После подключения полезли проблемы :)
[quote=Зайцев Олег;323937]
2. Не спасет. Это повысит защищенность, так как запущенный в контексте IE зловред или зловредный скрипт будет ограничен в правах и не сможет сильно навредить ... но это не панацея.[/quote]
В чем тогда разница между работой под ограниченным эккаунтом и запуском через runas с использованием того же ограниченного экаунта?
[quote=Boom;323939]В чем тогда разница между работой под ограниченным эккаунтом и запуском через runas с использованием того же ограниченного экаунта?[/quote]
Когда я работаю под ограниченной учетной записью, все запускаемые мной процессы работают под этой ограниченной записью ... (если я не запуще что-то с большими или меньшими привилегиями через тот-же RunAs или планироващик. А вот если я работаю с правами адлмина и с урезанными правами запускаю только IE, то я снижаю вероятность проникновения заразы через IE, и не более того ... и скажем установка флешки с червяком или открытие в электронной почте картинки с эксплоитом приведет к заражению системы. В результате получается "полумера".
[quote=Зайцев Олег;323944]А вот если я работаю с правами адлмина и с урезанными правами запускаю только IE, то я снижаю вероятность проникновения заразы через IE, и не более того ... и скажем установка флешки с червяком или открытие в электронной почте картинки с эксплоитом приведет к заражению системы. В результате получается "полумера".[/quote]
Это понятно. Я интересуюсь именно в контексте борьбы с заразой, лезущей при обычном инет серфинге через браузер.
[quote=Boom;323956]Это понятно. Я интересуюсь именно в контексте борьбы с заразой, лезущей при обычном инет серфинге через браузер.[/quote]
Если речь идет только про заразу в IE, то путей несколько:
1. Стоит поставить сто-то типа KIS - продукт с WEB-антивирусом и блокиратором доступа к сайтам, про которые заранее известно, что с них ставится зараза или что они поломаны. Неизбежным следствием будет небольшое подтормаживание при серфинге, на современном ПК как правило незаметное. Это дает "прослойку" между браузером и Инет и задушит известную заразу "на подлете". Плюс HIPS и PDM подобного продукта задавят известную антивирусу опасную активность. Хорошо сочетается с п.п. 4
2. Применить специализированную "песочницу" типа SandBoxIE, которая по сути виртуализирует все действия запущенной программы и соответственно позволит их откатить (и не позволит программе в "песочнице" особенно начудить в системе)
3. Аналог 2, только работать с Inet с виртуалки, например VirtualPC. Тут все совсем хорошо - поработали, виртуалка выключается, все изменения откатываются
4. Урезать права IE через runas
[QUOTE=Зайцев Олег;323968]3. Аналог 2, только работать с Inet с виртуалки, например VirtualPC. Тут все совсем хорошо - поработали, виртуалка выключается, все изменения откатываются[/QUOTE]В том числе закладки, куки, пароли...
Ну, с параноидальной точки зрения пароли в куках - это зло, подлежащее искоренению.
А с практической?
[quote=Maxim;324008]А с практической?[/quote]
А с практической - зло в квадрате :) Ведь кукиз может спереть зловредный скрипт, следовательно если строить параноидальную защиту, следует отключить прием и сохранение кукизов ...
Тогда за форумы и другие сайты требующие авторизации придется забыть. Нужен ли такой интернет?
[QUOTE=Maxim;324018]Нужен ли такой интернет?[/QUOTE]
Во! Грамотный и очень интересный вопрос, а нужен ли вообще интернет?
[QUOTE]Зачем мне такой антивирус, не понятно... И от этого грустно ибо навивает мысли о каком-то лохотроне...[/QUOTE] вся наша жизнь один сплошной лохотрон.
есть ось платная, есть ось бесплатная. есть антивирусы платные, а есть бесплатные. провалы случаются и у тех и других. но выбор всегда есть.
хотя выбор тоже вещь относительная. новый киса - задумка сверхзамечательная, а вот реализация мне не понравилась. первый запуск приложений просто ложит на лопатки, не только слабую психику юзера, но и машинку средней выносливости.
случаются оплошности и не только с пропусками зверьков. принимала как то участие в спасении машинки ушедшей в цикл синек, долго спасали. спасли. мне стало интересно отчего же почему же (ибо были подозрения)...на форуме касперского тайное стало явным - обновления не подошли. много ещё примеров
всегда была поклонницей кисы. исдохла моя старенькая шестерочка, то бишь перестала поддерживаться, пошла на форум тех. поддержки, а у них на все вопросы - один ответ: ставьте новую версию и будет вам счастье, очень рекламировали и советовали "режим блондинки" (для тех кто не знает - это у них автомат так называется). решила оттестить я новый продукт особенно в режиме блонди, терять мне было нечего лицензии на шестерочку там оставалось дней на 8.
оттестила в разных неблагоприятных средах я режим блонди и тоже подумала
[QUOTE]Зачем мне такой антивирус, не понятно... [/QUOTE]
с горя начала щупать ручной режим...долго думала, пришла к выводу - мудрено, длинно, запутанно и неудобно все. в итоге удалось получить тот результат, который ожидался. в моих руках побывало достаточно антивирусов и фаеров особенно, и то пришлось пару раз напрячься чтоб осилить происходящее. возможности у нового продукта оказались прекрасными, но их надо было добыть и активировать через ручник. вот и подумалось мне, что купит лицензию неопытный юзер, запустит режим блонди, а будет ли ему счастье? в итоге поставила на слабую машинку на которой скончалась шестерочка авиру и зону к ней влепила. а ведь не люблю я авиру, хоть и неплоха она в чем-то, но не люблю, а выбор пришлось сделать, ибо всегда есть выбор
[QUOTE]и скажем установка флешки с червяком или открытие в электронной почте картинки с эксплоитом приведет к заражению системы. В результате получается "полумера".[/QUOTE] простые правила безопасности могли бы повысить полумеру в меру...не совать пальцы в розетку, не пить из луж, не есть заведомо несъедобные предметы, или не открывать все подряд в почте особенно вложения, тоже относится к автозапуску флешки. в остальных случаях хватает [QUOTE]продукт с WEB-антивирусом[/QUOTE]
[QUOTE]блокиратором доступа к сайтам, про которые заранее известно, что с них ставится зараза или что они поломаны.[/QUOTE] а это реализовано в фоксе уже, да и поисковики уже пытаются при выдаче списка на поисковое слово ставить метки.
[quote=Maxim;324018]Тогда за форумы и другие сайты требующие авторизации придется забыть. Нужен ли такой интернет?[/quote]
На эти сайты и форумы разрешаем (зная, что они безопасные), на остальные запрещаем. Дополнение к Файрфоксу CSlite делает процесс очень удобным.:biggrin:
[QUOTE=Maxim;324018]Тогда за форумы и другие сайты требующие авторизации придется забыть. Нужен ли такой интернет?[/QUOTE]
ручками придется пароли вводить. Ставьте менеджер паролей, тогда у трояна меньше шансов спереть инфу.
[QUOTE=Ivaemon;324364]На эти сайты и форумы разрешаем[/QUOTE]Как??? Виртуалка всё откатит по окончании работы.
[quote=Maxim;324443]Как??? Виртуалка всё откатит по окончании работы.[/quote]
Ах да, речь шла об этом... тогда пардон. Именно по этой причине терпеть не могу виртуалку и мирюсь с 0,5% недоверия своему антивирю.
Кстати - почти за 5 лет [B]ни разу[/B] не заражался. Антивирусы (ставил по очереди почти все) отлавливали реальную заразу десятки, если не сотни раз. К вопросу о нужности АВ.
Что такое HIPS?:unsure:
[quote=Mihalych_L;325179]Что такое HIPS?:unsure:[/quote]
О, это классное слово:) Смотря в каком контексте :)Шакира про них поёт :) Hips don't lie ( Бёдра мои не лгут ) :lol:
А ещё это значит high-impact polystyrene - пластмасса такая :)
[url=http://64.233.183.132/search?q=cache:Oq-iLQb8jqkJ:www.compress.ru/Archive/CP/2006/6/86/+hips&hl=ru&ct=clnk&cd=6&gl=il&client=firefox-a] Жми и узнаешь что значит в контексте компьютерной безопасности[/url]
К вопросу о лохотроне - у нас есть такая замечательная область, как автопром )) дайте нам немножко денег и оно как-то поедет ;) у меня товарищ есть, юзал Москвич 2141, пока тот не скончался, от нехватки денег. теперь купил праворукую тойоту - я давно не видел таких счастливых людей! хотя согласен, аналогия не совсем точна. с антивирями все несколько менее прозрачно.
Могу сказать, что имея здравый рассудок и алергию на непонятные ссылки и сайты, вероятность заразиться стремится к нулю. а когда народ не глядя тыкает в письма с приглашениями в odnoklassinki.ru (всего-то 1 буква разницы) - о чем речь? на уровне корпоративной сети - баны и лимиты в правах всем. а домашним юзерам - придет с опытом. или не придет. но это уже их проблемы. дурака учить - только портить. есть антивирусы. нет защиты от дурака.
[QUOTE=drongo;325357]Смотря в каком контексте[/QUOTE]
Но самый прикольный- [url=www.hips.org]вот этот[/url]!
[QUOTE=rav;325442]Но самый прикольный- [url=www.hips.org]вот этот[/url]![/QUOTE]А самый надежный - Ваш.
А че никто не поздравляет?
Поздравляю. :)
[URL="http://www.anti-malware.ru/forum/index.php?showtopic=6272&st=0&#entry51043"][B]rav[/B], присоединяюсь к поздравлениям.[/URL]
Спасибо большое!
а чего этот тест нигде на ВИ не обсуждают?((
или я прохлопал ушами?))
Неа, не обсуждают. Видимо, неинтересно, Касперский только второй... :)
[QUOTE=NRA;326242]Если можете эффективно обходиться без оных, то обязуюсь впредь называть Вас не иначе как [b]IT-СПЕЦИАЛИСТ экстра-класса[/b].[/QUOTE]
Для того, чтобы жить без антивируса, не нужно быть специалистом экстра-класса. Нужно лишь иметь хороший HIPS.
[QUOTE]Честно говоря пол-годичные тесты лично мне не представляют особого интереса.[/QUOTE]
все-таки тестировалось в основном не то, что обычно - не сигнатурный детект, а анализ активности ... и судя по тому, КАК выбирали семплы для анализа (ссылки и то, что грузил эксплоит) эти тесты не устарели до сих пор - т.е если бы их провели также хоть недели две назад - результаты бы разнились не сильно.
новизна семплов определялась т.к очень интересным образом...
[QUOTE]есть(были?) определённые нюансы как в самом тестировании, так и в перцептивной объективности оценки дружески настроеных экспертов [/QUOTE]
вот как раз это можно и обсудить, обдумать. предложить свои варианты/улучшения/доработки тестирования и т.д
[QUOTE]Очень нехватает новых/обновлённых (=улучшеных) участников ИМХО.[/QUOTE]
а как Вы узнаете обновлены они или нет? новые и улучшенные они или просто хорошо закриптованные? (ведь их "новость" определялась именно файловым антивирем (сигнатурным детектом) - заливкой на вирустотал). Т.е нету никаких гарантий, что это будут новинки...
Если бы они публиковали как они детектятся по классификации ЛК - то еще куда ни шло - тут можно было бы и посмотреть насколько новы семплы и что они делают (найти самому такие и ковырнуть).
####################
[QUOTE]Цитата:
Сообщение от NRA Посмотреть сообщение
Если можете эффективно обходиться без оных, то обязуюсь впредь называть Вас не иначе как IT-СПЕЦИАЛИСТ экстра-класса.
Для того, чтобы жить без антивируса, не нужно быть специалистом экстра-класса. Нужно лишь иметь хороший HIPS.[/QUOTE]
Господа, такими темпами мы снова свалимся в обсуждения brain.exe, прямых рук, правильной настройки системы и т.д - все приходит к этому, когда разговор заходит в таком духе...
Ведь кто-нибудь обязательно придет и скажет, что достаточно, в принципе, мозгов и т.д.
И будет с какой-то точки зрения прав ... ну и т.д
Это нам нужно?..
[QUOTE=rav;326248]Для того, чтобы жить без антивируса, не нужно быть специалистом экстра-класса. Нужно лишь иметь хороший HIPS.[/QUOTE]
1 пропущенный сэмпл из 34 это мало или много? и не имея антивирус, сигнатуры которого в дальнейшем могли бы помочь, как хипс вылечит заражение?
[QUOTE]пропущенный сэмпл из 34 это мало или много?[/QUOTE]
еще не ясно что именно он пропустил...
...кстати, прежде чем кидаться в кулачный бой стенка на стенку нужно решить - кому мы что доказываем? себе? а смысл? мы вроде бы и так разумеем... домохозяйке?..
Хм... если нет или да, то опять (и в том и в другом случае) можно закрыть этот один пропущенный семпл мозгами, руками и лисой с носкрипт :)
Т.е опять замкнутый круг)
[QUOTE=priv8v;326250]как Вы узнаете обновлены они или нет? новые и улучшенные они или просто хорошо закриптованные? (ведь их "новость" определялась именно файловым антивирем (сигнатурным детектом) - заливкой на вирустотал). Т.е нету никаких гарантий, что это будут новинки[/QUOTE]Имелись ввиду обновления программ защиты, их новые версии и сборки, которые "к сожалению" антималвары все еще выходят...
[QUOTE=priv8v;326250]Если бы они публиковали как они детектятся по классификации ЛК - то еще куда ни шло - тут можно было бы и посмотреть насколько новы семплы и что они делают[/QUOTE]?..[quote]Сергей Ильин:
Некоторые и до сих пор не детектируют эти образцы
Посмотрите в поиске по хешу на virustotal.com, хеши указаны в экселевском файле (полном отчете о тестировании).
[/quote][QUOTE]Вердикт по классификации Лаборатории Касперского[/QUOTE]!..
[QUOTE=priv8v;326250]Это нам нужно?..[/QUOTE]Что же вам тогда нужно?.. Попробую угадать...
Результаты протестированных продуктов с настройками от производителя возможно должны быть интересны тем, кто сам ничего не настраивает, а [URL="http://www.anti-malware.ru/forum/index.php?showtopic=6256&st=0&gopid=51210&#entry51210"]доверяет разработчикам этих программ[/URL]. Да и разработчики может чего докрутят в своих настройках по умолчанию ради пущей заботы о начинающих пользователях.