Как победить ликтесты со старым файрволом

[Myxa_beer]

Спасибо за статью. Я как раз нахожусь в поиске оптимального firewall на свой компьютер. Поставил OutpostFirewall. Не нравиться он мне :1) Интуитивно не понятен. 2)Мой старенький Celeron1000 вешает не слабо.
Сегодня буду ставить Kerio.

[XP user]

Сегодня буду ставить Kerio.

Хочу всё-таки предупредить - я не вызываю всем поставить этот файрвол!
Тема была написана для того, чтобы доказать, что можно проходить ликтесты другим образом - прошу тестить эту идею, а не выбрать старенький Kerio для вашей защиты.
Дело в том, что у этого файрвола есть свои недостатки - например: он плохо справляется с фрагметированными пакетами. Это значит, что хакер *может* пробиться если хочет.

Paul

[Myxa_beer]

Хорошо, тогда может подскажите оптимальный firewall? Я читал, что Comodo очень неплохой продукт - и тесты отсюда доказывают это. Почитал форумы, но там каждый хвалит свое

[XP user]

Хорошо, тогда может подскажите оптимальный firewall?

Да, Comodo - неплохой выбор.

Paul

[polimorf]

Или outpost

[XP user]

Или outpost

В сообщении 21 Myxa_beer уже описал свой опыт с Outpost'ом.

Paul

[Ego1st]

Прочитал статью Паула, хотел бы всех заранее предупредить что 70% ликтестов Паул прошел не из-за firewall'a а из-за настроек своей системы при которых не все могу сидеть в том числе и я долго не выдержал=))
Это я так на всякий случай сказал, что бы знали, а то я смотрю все сразу бросились его качать=)

[bqqqaez]

Хороший фаервол и, главное, бесплатный для домашнего использования.
Вот только правила на скриншоте от p2u показались чуть странными.
Локальные порты, для безопасности, лучше назначать в диапазоне выше системных, т.е. 1024-65535
Не пойму, что страшного произойдет, если сделать одно правило DNS для всех приложений:
DNS UDP(Both) [1024-65535] [Any address]:[53] Any application

[XP user]

Вот только правила на скриншоте от p2u показались чуть странными.
Локальные порты, для безопасности, лучше назначать в диапазоне выше системных, т.е. 1024-65535

Зачем, если сама Windows начинает отчёт опять с порта 1024 как только ваш браузер закрыл порт 4999/5000? Многие трояны очень любят высокие порты. Порты надо делать доступными только по требованиям программ у вас на компе.
P.S.: По моему на Висте, например, исходящие DNS-запросы, производимые процессом svchost.exe, осуществляются даже не с портов 1024-4999, а с портов 49152-65535, но ему предпочтительно вообще выходить никуда не надо, и одновременно блокировать его тоже не стоит - службу DNS Client надо отключить, и всё. Программы должны САМИ делать DNS запросы.

Не пойму, что страшного произойдет, если сделать одно правило DNS для всех приложений:
DNS UDP(Both) [1024-65535] [Any address]:[53] Any application

Дело в том, что некоторые трояны могут выдать свои действия как DNS запрос. Система (и часто программа защиты на ней) обманывается и Трояны вылезают.
P.S.: Боюсь, что с таким правилом вы не пройдёте DNS tester если у вас нет программы HIPS.

Paul

[barsukRed]

Неплохой бесплатный фаервол был sygate PF v4.6(последняя free,если не путаю). Очень жаль что в интернете не сыскать больше этой версии. Хотелось бы такой иметь себе...

[XP user]

Неплохой бесплатный фаервол был sygate PF v4.6(последняя free,если не путаю). Очень жаль что в интернете не сыскать больше этой версии. Хотелось бы такой иметь себе...

Почему бы нет?
Последний Free был 5.6.2808. Его можно грузить отсюда.
P.S.: Предупреждаю: так как продукт больше не поддерживается, могут быть неустранимые проблемы по совместимости с другими программами. У Sygate защита драйвера - очень сильная, даже до такой степени, что Касперский с ним не справится в борьбе за господство.
Sygate, например, не даст антивируснику сканировать свои папки, и система зависает; только кнопка 'reset' поможет.

P.S.: Описание настроек + базовые примеры создания правил и обьяснения (на русском)
http://rapidshare.com/files/52562917/Sygate.rar

Paul

[bqqqaez]

Зачем, если сама Windows начинает отчёт опять с порта 1024

Из параноидальных соображений
Понятно, что Windows, будет назначать локальные порты для соединения выше 1024, но вреда не будет если диапазон локальных портов жестко прописать. мало ли, а вдруг в будущем какая-нибудь специфическая уязвимость возникнет?

У меня даже у почтового клиента прописан IP адрес mail-сервера. Нефик Фандерберду куда попало лазать

Порты надо делать доступными только по требованиям программ у вас на компе.
Дело в том, что некоторые трояны могут выдать свои действия как DNS запрос.

Аха! Я понял свою ошибку: любой открытый для всех порт можно использовать как транспорт для тоянчиков.
Исправил правила.

Последний Free был 5.6.2808. Его можно грузить отсюда.
P.S.: Предупреждаю: так как продукт больше не поддерживается, могут быть неустранимые проблемы по совместимости с другими программами. У Sygate защита драйвера - очень сильная

О Боже! Сколько же настроек у этого Sygate!
Уж лучше я останусь на Керио. Там все просто: создал правила по приложениям и портам и больше ничего настраивать не надо.
В принципе, от файрволла кроме контроля приложений, создания правил по портам и IP адресам больше ничего и не требуется, imho.

[XP user]

Из параноидальных соображений
Понятно, что Windows, будет назначать локальные порты для соединения выше 1024, но вреда не будет если диапазон локальных портов жестко прописать. мало ли, а вдруг в будущем какая-нибудь специфическая уязвимость возникнет?

Ну? Именно из-за этого у меня диапазон доступных портов жёстко прописан; не 1024-65535, как вы предлагаете, а более узкий: 1024-4999. Договорились? Только в картинке с правилами Kerio для данного эксперимента это не указано (там стоит 'All' для локальных портов), так как такие параметры не совсем относятся к ликтестам...

Я даже в своё время, когда я ещё тестировал для Комодо повесил свои настройки на форум по просьбе одного из участников:

Share Your Settings

Профиль я там сам удалил, так что контактировать меня там не удаётся. Найти другие сообщение можно.

Paul

[bqqqaez]

Кстати, хочу сказать спасибо тебе p2u!

Долго мучался выбором файрволла.
Outpost оказался слишком тормозным со своими HIPSами, и глючным до синих экранов смерти.

У других фарволлов встретил не понятный, не дружественный интерфейс. Черт возьми, что может означать опция 'защита netbios'? Сложно догадаться.

Хотелось простой инструмент в котором можно создавать правила и ничего лишнего. И такой инструмент нашелся благодаря этому топику.

[barsukRed]

Почему бы нет?
Последний Free был 5.6.2808. Его можно грузить отсюда.
P.S.: Предупреждаю: так как продукт больше не поддерживается, могут быть неустранимые проблемы по совместимости с другими программами. У Sygate защита драйвера - очень сильная, даже до такой степени, что Касперский с ним не справится в борьбе за господство.
Sygate, например, не даст антивируснику сканировать свои папки, и система зависает; только кнопка 'reset' поможет.

P.S.: Описание настроек + базовые примеры создания правил и обьяснения (на русском)
http://rapidshare.com/files/52562917/Sygate.rar

Paul

Спасибо большое, Паул, за ссылочку. У меня постоянно стоит версия 5.5 PRO сборки 2710. К сожалению платная версия. Очень хорошо чувствует себя с free антивирусами. Никогда не имел проблем. А в интернете попадались только сборки с подлинкованой рекламой. Попробую Ваш.

Добавлено через 8 минут

Хотелось простой инструмент в котором можно создавать правила и ничего лишнего. И такой инструмент нашелся благодаря этому топику.

Имхо,конечно,но на мой взгляд использовать очень старые фаерволы-некоторый риск. Происходит постоянное обновление системных и др драйверов а фаер обновить нельзя по понятным причинам. Могут возникать проблемы в работе...

[bqqqaez]

Происходит постоянное обновление системных и др драйверов а фаер обновить нельзя по понятным причинам. Могут возникать проблемы в работе...

Без проблем работало на XP SP2. После наката SP3 также отлично работает.
Вот на Vista сетевой стек поменяли и там с Kerio не то что проблемы будут - вообще работать не будет.

Вот это проблема. Вдруг придется купить какой-нибудь ноутбук с предустановленной Vista и снова начнуться поиски идеального файрвола. Хочется простого и легкого фаера с контролем приложений и пакетным фильтром. Без всяких тормозных и глючных HIPSов и проативок.

Прочитал статью Паула, хотел бы всех заранее предупредить что 70% ликтестов Паул прошел не из-за firewall'a а из-за настроек своей системы при которых не все могу сидеть в том числе и я долго не выдержал=))

Держу пари, что в чистой системе без настроек результат был бы аналогичным.
Дело не в твиках системы, а в тех, грамотно созданных, правилах, что видны на скриншотах. А файрволл оказался лишь подходящим инструментом в умелых руках.

[barsukRed]

Хочется простого и легкого фаера с контролем приложений и пакетным фильтром. Без всяких тормозных и глючных HIPSов и проативок.

Мне нравится этот GhostWall FireWall 1.150 от http://www.ghostsecurity.com/index.php?page=ghostwall. Воистину проще,наверное,не бывает.

[XP user]

Держу пари, что в чистой системе без настроек результат был бы аналогичным.
Дело не в твиках системы, а в тех, грамотно созданных, правилах, что видны на скриншотах. А файрволл оказался лишь подходящим инструментом в умелых руках.

А здесь с Ego1st'ом спорить не стоит; он - прав. Есть вещи похитрее, чем ликтесты. Настройки системы - основное. Если закрыть все 'слушающие' порты, например, тогда уже имеет смысл файрвол поставить от атак извне. Если так НЕ делать, то тогда защиты от вашего файрвола может не быть при эксплойтах. И не забудем про всякие библиотеки, которые браузер грузит (Flash Player, к примеру). Они все выходят именно через разрешения браузера, какие бы узкими эти разрешения ни были. В этом как раз доказательство о том, что хорошие результаты на ликтестах дают ЛОЖНОЕ ощущение защищённости.

Paul

[barsukRed]

И не забудем про всякие библиотеки, которые браузер грузит (Flash Player, к примеру). Они все выходят именно через разрешения браузера, какие бы узкими они ни были.
Paul

Возможно,такие вещи можно регулировать с помощью мониторов компонентов(как в комоде 2.*). Но насколько эффективно это можно делать? Имхо,наверное для пользователя такой контроль будет несколько "геморойным"...

[XP user]

Возможно,такие вещи можно регулировать с помощью мониторов компонентов(как в комоде 2.*). Но насколько эффективно это можно делать? Имхо,наверное для пользователя такой контроль будет несколько "геморойным"...

А вы попробуйте держать Flash Player под контроль, даже с монитором компонентов - если не отключить или удалить его, вам это вряд ли удастся. Так программёры задумали...

Paul