237 ответов в этой теме

[Aleksey Strokin]

Э, нет - мы ведь про отправку паролей, а не вредоносного кода. Гейт и сейчас ловит отправку суслика на ВирусТотал. С другой стороны, DPL ведь как-то работают и справляются.

Не будет никакой отправки, т.к. нет самого заражения VM.

Ну, насчет панацеи никто и не говорит. Но думается, так: если кто-то а) не даст незнакомому суслику запуститься, или б) не даст заинжектиться суслику в системный процесс, или ц) заблокирует действия этого суслика уже внутри процесса, или д) почистит память процесса от суслика, то это будет хорошо, как бы оно ни называлось.

Да не будет никакого инжекта, он и так уже запущен в нужном ему контексте браузера, нафига ему инжектится ещё куда. Кернел эксплойт и заражаем MBR прямо из ядра. Всё дело сделано, остальное зависит от поставленных задач.

[Borka]

Э, нет - мы ведь про отправку паролей, а не вредоносного кода. Гейт и сейчас ловит отправку суслика на ВирусТотал. С другой стороны, DPL ведь как-то работают и справляются.

Не будет никакой отправки, т.к. нет самого заражения VM.

Э-э-э. А это тогда о чем:

А вот, скажем, если некое приложение сканируя трафик заблокирует передачу вредноносного кода в VM, тады другое дело.

Ну, насчет панацеи никто и не говорит. Но думается, так: если кто-то а) не даст незнакомому суслику запуститься, или б) не даст заинжектиться суслику в системный процесс, или ц) заблокирует действия этого суслика уже внутри процесса, или д) почистит память процесса от суслика, то это будет хорошо, как бы оно ни называлось.

Да не будет никакого инжекта, он и так уже запущен в нужном ему контексте браузера, нафига ему инжектится ещё куда. Кернел эксплойт и заражаем MBR прямо из ядра. Всё дело сделано, остальное зависит от поставленных задач.

Это ответ на

К сожалению HIPS бесполезен во многих случаях. Т.е. вреда от него много, а пользы маловато будет. Но при этом все кругом просто уверенны что HIPS их обязательно спасёт. Это опасные иллюзии.

http://forum.drweb.com/public/style_emoticons/default/smile.png

[Aleksey Strokin]

Э, нет - мы ведь про отправку паролей, а не вредоносного кода. Гейт и сейчас ловит отправку суслика на ВирусТотал. С другой стороны, DPL ведь как-то работают и справляются.

Не будет никакой отправки, т.к. нет самого заражения VM.

Э-э-э. А это тогда о чем:

А вот, скажем, если некое приложение сканируя трафик заблокирует передачу вредноносного кода в VM, тады другое дело.

http://forum.drweb.com/public/style_emoticons/default/unsure.png

Имеется в виду что если будет заблокирован вредноносный код в трафике, тогда браузер и VM его не получит, не заразится и не станет отсылать пароли(т.е. отправки паролей не будет).

[Aleksey Strokin]

Общий смысл таков, что некоторые элементы HIPS нужны и отказываться от них никто не собирается(и они будут совершенствоваться). Но превращать HIPS в некого монстра, ради призрачной пользы и тратить на это время никто не хочет. Вот такая понимаете-ли загогулина выходит.

[Silver_klop]

Не-а. Снаружи изменений в поведении VM нет. Как работала(что-то отсылала/получала по сети) так и работает.

а как же "призрачный" спайдер нетттинг? неужели отказались от его выпуска?

[Пол Банки]

Не-а. Снаружи изменений в поведении VM нет. Как работала(что-то отсылала/получала по сети) так и работает.

а как же "призрачный" спайдер нетттинг? неужели отказались от его выпуска?

похоже нетинг это другие разрабы. а тут с хипцами разбераемся http://forum.drweb.com/public/style_emoticons/default/rolleyes.gif

[pig]

Хм, а как вы одно от другого отличаете, если оба в большой степени призрачны?

[Пол Банки]

Хм, а как вы одно от другого отличаете, если оба в большой степени призрачны?

ну как...один из них должен быть чем-то похож на спайдера http://forum.drweb.com/public/style_emoticons/default/tongue.png

[Aleksey Strokin]

Не-а. Снаружи изменений в поведении VM нет. Как работала(что-то отсылала/получала по сети) так и работает.

а как же "призрачный" спайдер нетттинг? неужели отказались от его выпуска?

похоже нетинг это другие разрабы. а тут с хипцами разбераемся http://forum.drweb.com/public/style_emoticons/default/rolleyes.gif

Jawohl, Herr Sergeika. Sie haben recht!

[Пол Банки]

Не-а. Снаружи изменений в поведении VM нет. Как работала(что-то отсылала/получала по сети) так и работает.

а как же "призрачный" спайдер нетттинг? неужели отказались от его выпуска?

похоже нетинг это другие разрабы. а тут с хипцами разбераемся

Jawohl, Herr Sergeika. Sie haben recht!

ооо йееееее...
ой...или это из другой оперы?
http://forum.drweb.com/public/style_emoticons/default/smile.png

[Borka]

Хм, а как вы одно от другого отличаете, если оба в большой степени призрачны?

Как известно, драконов не существует. Эта примитивная констатация может удовлетворить лишь ум простака, но отнюдь не ученого; банальность бытия установлена слишком давно и не заслуживает более ни единого словечка. Гениальный Цереброн Эмдеэртий, атаковав проблему методами точных наук, установил, что имеется три типа драконов: нулевые, мнимые и отрицательные. Все они, как было сказано, не существуют, однако каждый тип - на свой особый манер.

Классик как в воду глядел. http://forum.drweb.com/public/style_emoticons/default/smile.png

[Borka]

Общий смысл таков, что некоторые элементы HIPS нужны и отказываться от них никто не собирается(и они будут совершенствоваться). Но превращать HIPS в некого монстра, ради призрачной пользы и тратить на это время никто не хочет. Вот такая понимаете-ли загогулина выходит.

Панацеи не существует. http://forum.drweb.com/public/style_emoticons/default/smile.png А вот контроль инжектов, как мне кажется, нужная вещь.

[Aleksey Strokin]

Общий смысл таков, что некоторые элементы HIPS нужны и отказываться от них никто не собирается(и они будут совершенствоваться). Но превращать HIPS в некого монстра, ради призрачной пользы и тратить на это время никто не хочет. Вот такая понимаете-ли загогулина выходит.

Панацеи не существует. http://forum.drweb.com/public/style_emoticons/default/smile.png А вот контроль инжектов, как мне кажется, нужная вещь.

Контроль инжектов, это как воду в решете носить, слишком много способов. Это и прямое внедрение через вызов самого разнообразного системного API, и через ключи в реестре(ух... тут можно целые диссертации писать), и через параметры командной строки, и через эмуляцию действий пользователя, и через уязвимости конкретного но весьма распространённого софта. Причём каждый из этих пунктов предполагает самые разнообразные варианты действий. Всё это сильно усложнено тем, что легальный софт зачастую действует также, т.е. не отличим. Пользователь который будет всё это настраивать должен обладать не хилой квалификацией, а в итоге всё равно малоэффективно. Тут нужно что-то, что не будет сильно доставать пользователя вопросами, но при этом обнаруживать большую часть подозрительных действий, т.е. на HIPS(в том виде в каком его тут все хотят видеть) опять-таки не тянет.

[Borka]

Общий смысл таков, что некоторые элементы HIPS нужны и отказываться от них никто не собирается(и они будут совершенствоваться). Но превращать HIPS в некого монстра, ради призрачной пользы и тратить на это время никто не хочет. Вот такая понимаете-ли загогулина выходит.

Панацеи не существует. http://forum.drweb.com/public/style_emoticons/default/smile.png А вот контроль инжектов, как мне кажется, нужная вещь.

Контроль инжектов, это как воду в решете носить, слишком много способов. Это и прямое внедрение через вызов самого разнообразного системного API, и через ключи в реестре(ух... тут можно целые диссертации писать), и через параметры командной строки, и через эмуляцию действий пользователя, и через уязвимости конкретного но весьма распространённого софта. Причём каждый из этих пунктов предполагает самые разнообразные варианты действий. Всё это сильно усложнено тем, что легальный софт зачастую действует также, т.е. не отличим. Пользователь который будет всё это настраивать должен обладать не хилой квалификацией, а в итоге всё равно малоэффективно. Тут нужно что-то, что не будет сильно доставать пользователя вопросами, но при этом обнаруживать большую часть подозрительных действий, т.е. на HIPS(в том виде в каком его тут все хотят видеть) опять-таки не тянет.

Так и что будет-то?

[Aleksey Strokin]

Так и что будет-то? http://forum.drweb.com/public/style_emoticons/default/wink.png

Начальство хочет шобы оно там внутрях само решало и GUI почём зря не терроризировало. Токмо в таком вот виде, оно нужного мархетингового эффекта не возымеет. Дык вот и хотелось-бы обсудить, что лучше. Прийти так сказать к консенсусу, какие вам драконы нужны, нулевые, мнимые или отрицательные?

[Borka]

Так и что будет-то?

Начальство хочет шобы оно там внутрях само решало и GUI почём зря не терроризировало. Токмо в таком вот виде, оно нужного мархетингового эффекта не возымеет. Дык вот и хотелось-бы обсудить, что лучше. Прийти так сказать к консенсусу, какие вам драконы нужны, нулевые, мнимые или отрицательные?

Нам нужно, шобы оно работало. http://forum.drweb.com/public/style_emoticons/default/smile.png И токмо в таком виде.

[IlyaS]

Нуль-дракон, поворачивающий вспять время в системе к моменту заброски вируса на комп, будет крайне полезен http://forum.drweb.com/public/style_emoticons/default/smile.png

[Aleksey Strokin]

Нам нужно, шобы оно работало. http://forum.drweb.com/public/style_emoticons/default/smile.png И токмо в таком виде.

Эвон оно как... А я то подумал шо вам со спецэффектами надоть. А так шоб работало и шоб оно бац, а оно вот! Лехко!

[Denis Lipnicky]

Вот смотрю я на вашу милую беседу... и мне почему-то кажется, что нам до HIPS'а(хотя бы до беты) как до...
K.Y. в свое время обещал, что будет HIPS, с автоматическим режимом работы, и с интерактивным. Как теперь планы? И не надо ничего внутрь "запихивать". Дайте нам добротный, в меру функциональный HIPS.

[Aleksey Strokin]

... добротный, в меру функциональный HIPS.

Опять двадцать пять... Это какой такой добротный? Огласите весь список пжалоста.