praegune kellaaeg 19.06.2025 21:48:31 |
|
Hinnavaatlus
:: Foorum
:: Uudised
:: Ärifoorumid
:: HV F1 ennustusvõistlus
:: Pangalink
:: Telekavad
:: HV toote otsing
|
|
| autor |
|
Bssldr
HV kasutaja
liitunud: 05.12.2009
|
22.10.2011 13:03:45
BIOS flashimine? |
|
|
Mainiks ära, et süsteem on puhas, aga teatud ajavahemike tagant teen siiski ennetavas mõttes kõikidele kõvaketastele zerofilli. Mõtlesin, et võiks nende meetodite hulka lisada ka BIOS flashimise. Oletame nüüd, et on worst-case scenario ja mingi pahalane istub nii BIOSis kui ka kõvakettal - mis oleks sellisel juhul parim cleanup meetod?
Ise olen mõelnud midagi sellist:
1. Kõvaketas tühjaks.
2. Q-Flash või DOS utiliidiga BIOSile flash (Windowsi-põhise flash utiliidiga võib pahalane arvatavasti manipuleerida).
3. OS peale.
|
|
| Kommentaarid: 9 loe/lisa |
Kasutajad arvavad: |
   |
:: |
0 :: |
0 :: |
8 |
|
| tagasi üles |
|
 |
Märt.
HV Guru
liitunud: 17.01.2004
|
|
22.10.2011 20:13:40
|
|
|
BIOSega ära mängi, võid saada töötava emaplaadi asemel tellise. Pärast CIH-i pole eriti selliseid pahalasi esinenud. Neil on vaja töötavat masinat. Ja kui sa kõvakettale mingi teatud aja tagant zero filli teed, siis peaksid küll fooliumimütsikest kandma või end arvutikasutamise osas kõvasti rohkem harima. Pahalased arvutis on alati tihendi viga.
_________________
Albert Einstein: "Vaid kaks asja on lõpmatud, universum ja inimlik rumalus, ja selles esimeses pole ma nii kindel." |
|
| Kommentaarid: 29 loe/lisa |
Kasutajad arvavad: |
|
:: |
0 :: |
0 :: |
23 |
|
| tagasi üles |
|
|
Bssldr
HV kasutaja
liitunud: 05.12.2009
|
|
22.10.2011 21:27:23
|
|
|
| udusiil kirjutas: |
| BIOSega ära mängi, võid saada töötava emaplaadi asemel tellise. Pärast CIH-i pole eriti selliseid pahalasi esinenud. Neil on vaja töötavat masinat. Ja kui sa kõvakettale mingi teatud aja tagant zero filli teed, siis peaksid küll fooliumimütsikest kandma või end arvutikasutamise osas kõvasti rohkem harima. Pahalased arvutis on alati tihendi viga. |
Sellise jutu peale ütlen sulle, et hoopis sina peaksid end harima. Mulle meeldib oma süsteem hoida puhas ja teha regulaarseid puhastuskuure, isegi kui selleks pole suurt vajadust - võid seda nimetada fooliummütsikese kandmiseks, kui tahad. Sa ikka tead, et lootma ei saa jääda antiviiruse kasutamisele ja sellele, et "sa ei käi kahtlastel veebilehtedel ja ei jooksuta kahtlasi faile"? Kui sa ikka satud 0-day browser exploiti otsa ja see su masinas rootkiti käima tõmbab, siis antiviirusega pole enam midagi teha - kõik vastavad kerneli funktsioonid, mis annavad failide, protsesside, tcp ühenduste jne kohta infot, on arvatavasti hookitud. Samuti ei tee desktop AVd runtime scanne, seega saab väga lihtsalt juba tuntud viirused krüpteerimise abil süsteemi libistada. Mina leian, et regulaarne puhastus on selliste ohtude puhul igati õigustatud.
|
|
| Kommentaarid: 9 loe/lisa |
Kasutajad arvavad: |
|
:: |
0 :: |
0 :: |
8 |
|
| tagasi üles |
|
|
heikis
HV Guru
liitunud: 17.03.2003
|
|
22.10.2011 22:09:25
|
|
|
| a milleks see zero fill vajalik on?
|
|
| Kommentaarid: 338 loe/lisa |
Kasutajad arvavad: |
|
:: |
0 :: |
4 :: |
290 |
|
| tagasi üles |
|
|
blinx
HV vaatleja
liitunud: 28.11.2009
|
|
23.10.2011 12:14:49
|
|
|
| tsitaat: |
a milleks see zero fill vajalik on?
|
siis kui keegi kuskilt x kohalt koodi tahab laadida vms.
_________________
'Just buy everything then you're safe' |
|
| tagasi üles |
|
|
Marie
HV Guru
liitunud: 23.06.2003
|
|
23.10.2011 12:25:29
|
|
|
Kõige suurem turvalisuse ohu põhjustab Windows OS kasutamine, kõigepealt loobu Windowsi kasutamisest, kasuta mõnda Linux versiooni, või veel suurema turvalisuse tagab kui kasutad Live Linux`i versiooni, BIOS`e üle flash`imine ei anna turvalisuse seisukohalt midagi juurde
_________________
CPU Power (Watt)  Protsessorite voolutarve Pentium D 805 (4.1GHz) Full Load 474W  |
|
| Kommentaarid: 83 loe/lisa |
Kasutajad arvavad: |
|
:: |
1 :: |
0 :: |
74 |
|
| tagasi üles |
|
|
Bssldr
HV kasutaja
liitunud: 05.12.2009
|
|
23.10.2011 13:51:25
|
|
|
| Marie kirjutas: |
| Kõige suurem turvalisuse ohu põhjustab Windows OS kasutamine, kõigepealt loobu Windowsi kasutamisest, kasuta mõnda Linux versiooni, või veel suurema turvalisuse tagab kui kasutad Live Linux`i versiooni, BIOS`e üle flash`imine ei anna turvalisuse seisukohalt midagi juurde |
Ja linuxi kõva turvalisus põhineb millel? Sellel, et pahavara kirjutajate jaoks ei ole linux väikese kasutajaskonna tõttu arvestatav OS.
|
|
| Kommentaarid: 9 loe/lisa |
Kasutajad arvavad: |
|
:: |
0 :: |
0 :: |
8 |
|
| tagasi üles |
|
|
kusti85
Tavaline kasutaja
liitunud: 11.11.2007
|
|
23.10.2011 14:21:04
|
|
|
pigem sellel, et sa ei ole kogu aeg ruuduna sees.
_________________
Rockmuusikateemaline viktoriin Tallinnas - https://www.facebook.com/groups/rocktoriintallinn/
Ketas, ketta, ketast, kettasse, kettas, kettast, kettale, kettal, kettalt, kettaks, kettani, kettana, kettata, kettaga. <--SPIKKER |
|
| Kommentaarid: 217 loe/lisa |
Kasutajad arvavad: |
|
:: |
3 :: |
0 :: |
183 |
|
| tagasi üles |
|
|
ThedEviL
HV Guru
liitunud: 13.03.2003
|
|
23.10.2011 14:24:07
|
|
|
Kas fooliummytsikest ka ikka formeerid?
Ja windowsi plaadid on steriilsed?
Klaviatuuri kasutad ikka kummikinnastega?
Vårgupistiku otsas on ikka kondoom?
|
|
| Kommentaarid: 108 loe/lisa |
Kasutajad arvavad: |
|
:: |
0 :: |
0 :: |
97 |
|
| tagasi üles |
|
|
Betamax
HV Guru
liitunud: 29.05.2003
|
|
23.10.2011 15:54:28
Re: BIOS flashimine? |
|
|
| Bssldr kirjutas: |
Mainiks ära, et süsteem on puhas, aga teatud ajavahemike tagant teen siiski ennetavas mõttes kõikidele kõvaketastele zerofilli. Mõtlesin, et võiks nende meetodite hulka lisada ka BIOS flashimise. Oletame nüüd, et on worst-case scenario ja mingi pahalane istub nii BIOSis kui ka kõvakettal - mis oleks sellisel juhul parim cleanup meetod?
Ise olen mõelnud midagi sellist:
1. Kõvaketas tühjaks.
2. Q-Flash või DOS utiliidiga BIOSile flash (Windowsi-põhise flash utiliidiga võib pahalane arvatavasti manipuleerida).
3. OS peale. |
OK, see selleks, et sa ülimalt paranoiline oled. Pigem tekib mul küsimus, milleks sa KÕIKIDELE ketastele zerofilli teed? Kopid andmed mujale ja siis tagasi? Siis on sellel zero fillil ju zero effect 
Kadestan, et sul on nii palju aega, et pidevalt töötavat OSi reinstallida ja seadistada  
|
|
| Kommentaarid: 729 loe/lisa |
Kasutajad arvavad: |
|
:: |
1 :: |
1 :: |
550 |
|
| tagasi üles |
|
|
Bssldr
HV kasutaja
liitunud: 05.12.2009
|
|
23.10.2011 19:50:54
Re: BIOS flashimine? |
|
|
| kusti85 kirjutas: |
| pigem sellel, et sa ei ole kogu aeg ruuduna sees. |
Uuematel Windows'idel ju siiski selline tore asi olemas nagu UAC. Algusaegadel esines küll mõningaid turvaauke, mille abil sai UAC'st mööda hiilida, aga nüüd ei ole pikka aega selliseid probleeme olnud.
| Betamax kirjutas: |
| Bssldr kirjutas: |
Mainiks ära, et süsteem on puhas, aga teatud ajavahemike tagant teen siiski ennetavas mõttes kõikidele kõvaketastele zerofilli. Mõtlesin, et võiks nende meetodite hulka lisada ka BIOS flashimise. Oletame nüüd, et on worst-case scenario ja mingi pahalane istub nii BIOSis kui ka kõvakettal - mis oleks sellisel juhul parim cleanup meetod?
Ise olen mõelnud midagi sellist:
1. Kõvaketas tühjaks.
2. Q-Flash või DOS utiliidiga BIOSile flash (Windowsi-põhise flash utiliidiga võib pahalane arvatavasti manipuleerida).
3. OS peale. |
OK, see selleks, et sa ülimalt paranoiline oled. Pigem tekib mul küsimus, milleks sa KÕIKIDELE ketastele zerofilli teed? Kopid andmed mujale ja siis tagasi? Siis on sellel zero fillil ju zero effect
Kadestan, et sul on nii palju aega, et pidevalt töötavat OSi reinstallida ja seadistada |
Väga tore, et kadestad. Võin sulle öelda, et kogu protsess võtab mõned tunnid ja paar korda kuus seda teha ei käi üle jõu. Failide hoidmiseks on abiks väline kõvaketas. Zerofilli eesmärk on siiski saada lahti failidest, mis võivad end väljaspool failisüsteemi peita. Varundada on mul tavaliselt vaja ainult faile, mille iseloom on selline, et midagi üllatavat nendesse peita ei saa/pole mõtet. Samuti võib olla kindel, et varundamise käigus tulevad failid ikka failisüsteemi seest ja satuvad sinna ka välisel kettal.
|
|
| Kommentaarid: 9 loe/lisa |
Kasutajad arvavad: |
|
:: |
0 :: |
0 :: |
8 |
|
| tagasi üles |
|
|
Betamax
HV Guru
liitunud: 29.05.2003
|
|
23.10.2011 19:58:45
|
|
|
| Yeah, edu selle strateegiaga. Tänapäeval on kõikidesse failidesse võimalik hunnik pahalasi peita. Kaasa arvatud foto-, video- ja muusikafailid. Lisaks võib su arvuti edukalt välise kõvaketta nakatada mõne Autorun ussiga, mis omakorda nakatab su zerofill kettale tehtud puhta installi. Ehk siis on sul kordades suurem võimalus saada oma masinasse suvaline Windowsi-põhine pahalane kui BIOSi pahalane.
|
|
| Kommentaarid: 729 loe/lisa |
Kasutajad arvavad: |
|
:: |
1 :: |
1 :: |
550 |
|
| tagasi üles |
|
|
kasutaja01
Kreisi kasutaja
liitunud: 09.05.2009
|
|
23.10.2011 20:03:39
Re: BIOS flashimine? |
|
|
| Bssldr kirjutas: |
Võin sulle öelda, et kogu protsess võtab mõned tunnid ja paar korda kuus seda teha ei käi üle jõu. Failide hoidmiseks on abiks väline kõvaketas. Zerofilli eesmärk on siiski saada lahti failidest, mis võivad end väljaspool failisüsteemi peita. Varundada on mul tavaliselt vaja ainult faile, mille iseloom on selline, et midagi üllatavat nendesse peita ei saa/pole mõtet. Samuti võib olla kindel, et varundamise käigus tulevad failid ikka failisüsteemi seest ja satuvad sinna ka välisel kettal. |
2X kuus  . Minu arust on ka 1X aastas palju. Nii hull see asi nüüd ka pole kuigi pean ennast ka üsna paranoiliseks. Aga sinu paranoilisuse juures kahtlustaks, et mõni paha satub ka välisele kettale.
|
|
| Kommentaarid: 25 loe/lisa |
Kasutajad arvavad: |
|
:: |
0 :: |
0 :: |
23 |
|
| tagasi üles |
|
|
friik1
HV Guru
liitunud: 18.06.2004
|
|
23.10.2011 20:14:20
|
|
|
| Bssldr, ilmselgelt on su IT teadmised eriti viletsad, et ennast sellise masohhismiga vaevad.
|
|
| Kommentaarid: 188 loe/lisa |
Kasutajad arvavad: |
|
:: |
1 :: |
1 :: |
166 |
|
| tagasi üles |
|
|
Märt.
HV Guru
liitunud: 17.01.2004
|
|
23.10.2011 20:14:23
|
|
|
No las teeb, mis tahab- tahab, flashib masina telliseks- tahab -zerofillib kettaid ja transab asju edasi-tagasi (tegelikult peaksid need failid ka hävitama, sest tänapäeval pahalane peidetakse suva faili edukalt).
Asi on ikkagi tihendis ja kodanikud, ärge muretsege liialt, las tegutseb turvalisuse nimel edasi, kuis Don Quijote.
Edu!
_________________
Albert Einstein: "Vaid kaks asja on lõpmatud, universum ja inimlik rumalus, ja selles esimeses pole ma nii kindel." |
|
| Kommentaarid: 29 loe/lisa |
Kasutajad arvavad: |
|
:: |
0 :: |
0 :: |
23 |
|
| tagasi üles |
|
|
ipredator
HV vaatleja
liitunud: 06.08.2009
|
|
23.10.2011 20:23:53
|
|
|
| Ja ma mõtlesin, et ma olen paranoiline. Kasuta siis juba mõnda Linux live cd-d. Iga boot on puhas op süsteem.
|
|
| tagasi üles |
|
|
Bssldr
HV kasutaja
liitunud: 05.12.2009
|
|
23.10.2011 20:31:25
|
|
|
| Betamax kirjutas: |
| Yeah, edu selle strateegiaga. Tänapäeval on kõikidesse failidesse võimalik hunnik pahalasi peita. Kaasa arvatud foto-, video- ja muusikafailid. Lisaks võib su arvuti edukalt välise kõvaketta nakatada mõne Autorun ussiga, mis omakorda nakatab su zerofill kettale tehtud puhta installi. Ehk siis on sul kordades suurem võimalus saada oma masinasse suvaline Windowsi-põhine pahalane kui BIOSi pahalane. |
Foto-, video- ja muusikafailidega on see lugu, et sinna midagi peita on üsnagi mõttetu. Sellel pole mingit efekti juhul kui neid faile lugevas programmis just buffer overflow'd tekitada ei suudeta. Ainuke mis juhtuda saab, on see, et fail rikutakse ära. Väga tähtsad failid on mul muidugi hashitud ning nende verifitseetimine toimub automaatselt. On üsnagi normaalne, et igasuguseid autorun scripte automaatselt käima tõmmata ei lubata. Viimane pahalane, mis efektiivselt kaasaskantavatel andmekandjatel levis, kasutas nn. LNK turvaauku ja see oli 2010.
friik1, ilmselgelt oled sa idioot. Ma lähtun sellest, mis on võimalik, mitte sellest, kui tõenäoline midagi on. Ma arvan, et sa pole üldse pädev antud teemal kaasa rääkima.
|
|
| Kommentaarid: 9 loe/lisa |
Kasutajad arvavad: |
|
:: |
0 :: |
0 :: |
8 |
|
| tagasi üles |
|
|
friik1
HV Guru
liitunud: 18.06.2004
|
|
23.10.2011 20:39:37
|
|
|
Bssldr, ilmselgelt pead sa kõiki siinseid inimesi idiootideks. Paraku peavad kõik siinsed sind idioodiks. Samuit ütles üks tark mees kunagi, et kui sa arvad, et kõik on idioodid, oled sa seda paraku ise...
Ma arvan, et ma olen paraku üsna pädev sellel teemal sõna võtma, kuna olen tegelenud delikaatsete isikuandmete käitlemise, kõrgkäideldavuse jms tegevustega, kus terviklus ja käideldavus on olulised ning võin pidada end piisavalt pädevaks väitma, et sa mängid kilplast.
|
|
| Kommentaarid: 188 loe/lisa |
Kasutajad arvavad: |
|
:: |
1 :: |
1 :: |
166 |
|
| tagasi üles |
|
|
Bssldr
HV kasutaja
liitunud: 05.12.2009
|
|
23.10.2011 20:51:53
|
|
|
| friik1 kirjutas: |
Bssldr, ilmselgelt pead sa kõiki siinseid inimesi idiootideks. Paraku peavad kõik siinsed sind idioodiks. Samuit ütles üks tark mees kunagi, et kui sa arvad, et kõik on idioodid, oled sa seda paraku ise...
Ma arvan, et ma olen paraku üsna pädev sellel teemal sõna võtma, kuna olen tegelenud delikaatsete isikuandmete käitlemise, kõrgkäideldavuse jms tegevustega, kus terviklus ja käideldavus on olulised ning võin pidada end piisavalt pädevaks väitma, et sa mängid kilplast. |
Ära nüüd hakka oletama, keda ma pean idioodiks ja keda mitte, kuid võid kindel olla, et sind pean ja seda sa ka oled. Ausalt öeldes ei ütle see sinu delikaatsete andmete käitlemise kogemus midagi, tule nüüd oma high-horse seljast maha eksole. Kui sa seda diskussiooni siin veel jätkata tahad, siis ole hea ja ütle, millised toimingud sa ette võtad, et teha kindlaks, kas Windowsi süsteemis istub pahalane või ei. Sooviks kohe väga näha, milles see sinu ekstreemne pädevus väljendub.
|
|
| Kommentaarid: 9 loe/lisa |
Kasutajad arvavad: |
|
:: |
0 :: |
0 :: |
8 |
|
| tagasi üles |
|
|
friik1
HV Guru
liitunud: 18.06.2004
|
|
23.10.2011 21:05:23
|
|
|
Bssldr, esiteks sellest, et tuleks takistada pahavara süsteemi jõudmist või kui see on juba toimunud, takistada selle käivitamist. Ning see on vaata et olulisemgi, kui pidev süsteemi kontroll.
Pädev antiviirus + piiratud kasutajaõigused + Software Execution Policies / AppLocker on Windowsis piisavalt pädevad pahavara püüdmiseks ja piiramiseks. Kui nõutav tase on kõrgem, siis ka mõni kurjem tulemüür (Windowsi sisseehitatud pädeb kah üldjuhul) kas tööjaamale või veel parem, sisu kontrolliva proxyga terve võrgu ette.
Sinu BIOSipaanikat aitab maandada uuema kooli brändikatel olev võimalus lubada vaid digiallkirjastatud sisu BIOSi kirjutada. Kuna privaatvõti on vaid tootjal, võid mingi jama BIOSist kohe ära unustada.
Lühikese vastusena on ainuke tõsiseltvõetav tööriist kontrollimiseks siiski antiviirus, kuid enamik rõhku läheb ennetustööle.
|
|
| Kommentaarid: 188 loe/lisa |
Kasutajad arvavad: |
|
:: |
1 :: |
1 :: |
166 |
|
| tagasi üles |
|
|
Bssldr
HV kasutaja
liitunud: 05.12.2009
|
|
23.10.2011 21:33:29
|
|
|
| friik1 kirjutas: |
Bssldr, esiteks sellest, et tuleks takistada pahavara süsteemi jõudmist või kui see on juba toimunud, takistada selle käivitamist. Ning see on vaata et olulisemgi, kui pidev süsteemi kontroll.
Pädev antiviirus + piiratud kasutajaõigused + Software Execution Policies / AppLocker on Windowsis piisavalt pädevad pahavara püüdmiseks ja piiramiseks. Kui nõutav tase on kõrgem, siis ka mõni kurjem tulemüür (Windowsi sisseehitatud pädeb kah üldjuhul) kas tööjaamale või veel parem, sisu kontrolliva proxyga terve võrgu ette.
Sinu BIOSipaanikat aitab maandada uuema kooli brändikatel olev võimalus lubada vaid digiallkirjastatud sisu BIOSi kirjutada. Kuna privaatvõti on vaid tootjal, võid mingi jama BIOSist kohe ära unustada.
Lühikese vastusena on ainuke tõsiseltvõetav tööriist kontrollimiseks siiski antiviirus, kuid enamik rõhku läheb ennetustööle. |
Ennetustööst pole kasu, kui sa selle pahalase oma süsteemi läbi mõne turvaaugu saad, fix tuleb küll arvatavasti mõne päevaga aga selleks ajaks on süsteem nakatunud.
Tulemüür on kasutu, kui netiliikluse lubamine toimub programmi-tasemel. Möödapääsemiseks on vajalik ainult jooksutada programm(default browser kõlbab), millel on luba olemas ja selle protsessi sisse koodi injectida. Kui kerneli Winsocki kasutada, siis enamus tulemüürid üldse seda liiklust ei näe. Mõni tulemüür filtreerib küll kerneli tasemel, kuid sellest mööda pääsemiseks on vaja ise lihtsalt NDIS draiver kirjutada.
Antiviirus on kasutu, kui tegemist on uue või krüpteeritud pahalasega. Täiesti vabalt võib võtta mõne aastatetaguse pahalase(näiteks PoisonIvy) , selle krüpteerida ning antiviirus ei tee teist nägugi ei selle süsteemi jõudmisel ega käivitamisel. Üldjuhul käivitab krüpteermise puhul pahalase stub, mis tegelikku pahalast sisaldab resourcena. Edasi tekitatakse uus suvaline protsess(notepad.exe) suspended olekus, kirjutatakse mälus notepad.exe kood pahalase koodiga üle ja lastakse protsess käima.
Kui pahalane AV signatuurikontrollist mööda pääses, siis ei maksa loota, et ta tulevikus, kui signatuur AV andmebaasi jõuab, üles leitakse. Selleks ajaks on arvatavasti hookitud kõik kerneli funktsioonid, mille kaudu AV võiks üldse failide, protsesside, tcp ühenduste ja muu kohta infot küsida - pahalast sisaldavad kirjed filtreeritakse välja.
Nakatunud masina sees ei ole mõtet pahalast otsida, kui pahalane on piisavalt hästi kirjutatud, siis seda sealt ei leia. Jääb üle loota, et pahalane siiski tekitab mingit netiliiklust, siis võib ruuteris seda monitoorida.
|
|
| Kommentaarid: 9 loe/lisa |
Kasutajad arvavad: |
|
:: |
0 :: |
0 :: |
8 |
|
| tagasi üles |
|
|
friik1
HV Guru
liitunud: 18.06.2004
|
|
23.10.2011 21:45:22
|
|
|
Bssldr, see turvaaugujutt on väga tore, aga sellise taseme 0-day rünnakud on üsna haruldlased ning praktiliselt alati on olemas mingi workaround, mis ohu likvideerib.
See tulemüürijutt on väga tore, aga kõige selle jutu jaoks on vaja administraatoriõigusi. Software Execution Policies / AppLocker ei luba väljaspoolt määratud asutkohti (Windows ja Program Files by default) koodi käivitada ega librasid mällu laadida, maandades oluliselt riski.
Krüpteeritud pahalane tuleb paraku käivitamiseks dekrüpteerida ning antiviirus jälgib mälus toimuvat. Uued viirused või vanad viirused, nad üritavad teha samasuguseid või sarnaseid tegevusi, mida antiviiruste heuristikafunktsioonid kenasti tuvastavad ja blokeerivad. Samuti tulevad kasuks Intrusion Protection tooted. Teise protsessi mälu üle kirjutamiseks on tarvis admini õigusi, kuna kaasaegsed op-süsteemid töötavad protected mode režiimis.
Ja kerneli torkimiseks on samuti tarvis admini õigusi.
Mees, tegele oma paranoiaga. Ainus tõsiseltvõetav asi sinu jutust on 0-day rünnak. Paraku pole selleks võimalik eriti valmistuda, see on lihtsalt risk, mida tuleb maandanda muude meetmetega.
|
|
| Kommentaarid: 188 loe/lisa |
Kasutajad arvavad: |
|
:: |
1 :: |
1 :: |
166 |
|
| tagasi üles |
|
|
ipredator
HV vaatleja
liitunud: 06.08.2009
|
|
23.10.2011 21:51:01
|
|
|
| Bssldr, ootaks sinupoolset pädevat vastust ka kuidas kindlaks teed, et pahalane arvutis istub?
|
|
| tagasi üles |
|
|
Bssldr
HV kasutaja
liitunud: 05.12.2009
|
|
23.10.2011 22:10:00
|
|
|
| friik1 kirjutas: |
Bssldr, see turvaaugujutt on väga tore, aga sellise taseme 0-day rünnakud on üsna haruldlased ning praktiliselt alati on olemas mingi workaround, mis ohu likvideerib.
See tulemüürijutt on väga tore, aga kõige selle jutu jaoks on vaja administraatoriõigusi. Software Execution Policies / AppLocker ei luba väljaspoolt määratud asutkohti (Windows ja Program Files by default) koodi käivitada ega librasid mällu laadida, maandades oluliselt riski.
Krüpteeritud pahalane tuleb paraku käivitamiseks dekrüpteerida ning antiviirus jälgib mälus toimuvat. Uued viirused või vanad viirused, nad üritavad teha samasuguseid või sarnaseid tegevusi, mida antiviiruste heuristikafunktsioonid kenasti tuvastavad ja blokeerivad. Samuti tulevad kasuks Intrusion Protection tooted. Teise protsessi mälu üle kirjutamiseks on tarvis admini õigusi, kuna kaasaegsed op-süsteemid töötavad protected mode režiimis.
Ja kerneli torkimiseks on samuti tarvis admini õigusi.
Mees, tegele oma paranoiaga. Ainus tõsiseltvõetav asi sinu jutust on 0-day rünnak. Paraku pole selleks võimalik eriti valmistuda, see on lihtsalt risk, mida tuleb maandanda muude meetmetega. |
Oleta nüüd hetkeks, et sa oled siiski lubanud administraatori õigustega jooksma programmi, mille payload on pahalane; või sai see jooksma läbi turvaaugu. Nii, ennetustöö ei toiminud, pahalane sai adminni õigustega jooksma - edasi teeb ta kõik selleks, et tal järgmine kord käivitudes kõrgeimad õigused oleks. Siitmaalt peale ei aita mingid AppLockerid ega AV heuristikud. Just nimelt, krüpteeritud pahalase puhul toimub dekrüptimine mälus, kettale droppimist ei toimu - kahjuks ei ole kuulda olnud desktop AV'dest, mis mälu scanniksid - tegemist on äärmiselt ressursinõudliku protsessiga. Miks sa räägid mulle teise protsessi mälu üle kirjutamisel adminni õigustest? Kui stub(parent) teeb uue protsessi, siis on tal väga hästi õigused olemas. Ma saan aru, et sa pole programmeerija ja sul pole kogemust WinAPI ega WDK funktsioonidega - vastasel juhul sa tajuksid, mida AV reaalselt saab teha pahalase vastu ja vastupidi.
ipredator, nagu ütlesin eelmises postis, siis nakatunud masina sees igasuguste vingete utiliitidega nakkuse otsimine on mõttetu tegevus.
|
|
| Kommentaarid: 9 loe/lisa |
Kasutajad arvavad: |
|
:: |
0 :: |
0 :: |
8 |
|
| tagasi üles |
|
|
friik1
HV Guru
liitunud: 18.06.2004
|
|
23.10.2011 22:30:14
|
|
|
Arutlus teemal, mis juhtuks siis kui käivitada vidin administraatoriõigustes, on üsna mõttetu, kuna eesmärk on seda takistada. Siiski, antiviirus käib kerneliruumis ning seal tegutsevad vidinad saavad teha praktiliselt ükskõik mida tahavad. Samamoodi järgivad nad ka adminiõigustes käivitatud asju ning pahavarale omaseid mustreid.
Sinu loogika järgi ei töötaks antiviirused üldse. Antiviirus kontrollib käivitatavat koodi sõltumata tema asukohast ning astub vahele. Käivitatav kood on üldjuhul muutumatu ning selle kontroll pole eriti ressursimahukas. Polümorfne kood on teine asi. Sellised asjad on üldjuhul haruldlased ning väga spetsiifilised. Ka pahavara on tihti polümorfne, seega on sellised rakendused false-positive'de allikad.
Ma saan aru, et sa oled progeja ning ei tea suurt midagi süsteemide kaitsest. Soovitan tutvuga terminitega riskianalüüs ja aksepteeritav jääkrisk.
|
|
| Kommentaarid: 188 loe/lisa |
Kasutajad arvavad: |
|
:: |
1 :: |
1 :: |
166 |
|
| tagasi üles |
|
|
|
| lisa lemmikuks |
|
 |
sa ei või postitada uusi teemasid siia foorumisse
sa ei või vastata selle foorumi teemadele
sa ei või muuta oma postitusi selles foorumis
sa ei või kustutada oma postitusi selles foorumis
sa ei või vastata küsitlustele selles foorumis
sa ei saa lisada manuseid selles foorumis
sa võid manuseid alla laadida selles foorumis
|
|
Hinnavaatlus ei vastuta foorumis tehtud postituste eest.
|
:: KKK
:: otsing 
:: statistika
:: kasutajate nimekiri
:: kasutajate grupid
:: registreeri
teata moderaatorile
