237 ответов в этой теме

[Aleksey Strokin]

есть интерфейс-взаимодействуем..а вообще таймер на принимаемое по умолчанию действие.


а как сей драйвер попал в систему?

Драйвер ведь в реестре прописывается?Кто его туда пустил?

Дык получается, по умолчанию не давать загружать драйвера пока пользователь их не разрешит? Хм... а винда на загрузке не умрёт если парочку драйверов загрузить не сможет?

Не обязательно в реестре(впрочем и веток реестра для этого то-же хватает). Можно заменить собой какой-нибудь очень важный и нужный системе драйвер, типа beep.sys. Можно MBR заразить.

[VVS]

To mrbelyash
Что же это за ХИПС такой, что не способен выдавать алерты на загрузку драйверов??
Хотя способы есть разные.

Так я смотрю здесь хипс только для контроля выхода в сеть планируется....а мне глобально-гламурный надо http://forum.drweb.com/public/style_emoticons/default/rolleyes.gif

Драйвер может передавать данные через сеть, так что контроль загрузки драйвера это по теме. Вопрос в том, как именно нужно взаимодействовать с пользователем, т.к. в момент загрузки драйвера интерфейс для общения с пользователем может быть не доступен.

Ну это уж совсем черезчур; блокировать загрузку бутовых драйверов как-то не свосем что ли правильно...

А зачем блокировать загрузку, тем более, что это чревато...?
IMHO блокировать надо попытку записи в реестр ключа для запуска такого драйвера.

[VVS]

есть интерфейс-взаимодействуем..а вообще таймер на принимаемое по умолчанию действие.


а как сей драйвер попал в систему?

Драйвер ведь в реестре прописывается?Кто его туда пустил?

Дык получается, по умолчанию не давать загружать драйвера пока пользователь их не разрешит? Хм... а винда на загрузке не умрёт если парочку драйверов загрузить не сможет?

Умрёт, умрёт... это мы уже проходили. http://forum.drweb.com/public/style_emoticons/default/smile.png

[Aleksey Strokin]

Умрёт, умрёт... это мы уже проходили. http://forum.drweb.com/public/style_emoticons/default/smile.png

Тогда получается по умолчанию придётся разрешать, а тогда это блокировка пригодится только если кто-то станет запускать драйвер прямо счас вот. Хм... как то оно мало эффективно выглядит.

[mrbelyash]

есть интерфейс-взаимодействуем..а вообще таймер на принимаемое по умолчанию действие.


а как сей драйвер попал в систему?

Драйвер ведь в реестре прописывается?Кто его туда пустил?

Дык получается, по умолчанию не давать загружать драйвера пока пользователь их не разрешит? Хм... а винда на загрузке не умрёт если парочку драйверов загрузить не сможет?

Не обязательно в реестре(впрочем и веток реестра для этого то-же хватает). Можно заменить собой какой-нибудь очень важный и нужный системе драйвер, типа beep.sys. Можно MBR заразить.

но драйвер-то устанавливается/регестрируется не при загрузке...а при обычной работе.


И проверочку можно делать

[Aleksey Strokin]

А зачем блокировать загрузку, тем более, что это чревато...?
IMHO блокировать надо попытку записи в реестр ключа для запуска такого драйвера.

Ну а ежели ето апдейт? А? Не умрёт-ли оно от того? что реестр ему не дали?

[Aleksey Strokin]

но драйвер-то устанавливается/регестрируется не при загрузке...а при обычной работе.

А что собственно помешает его зарегистрировать при начале shutdown(ну или logoff)?

[mrbelyash]

но драйвер-то устанавливается/регестрируется не при загрузке...а при обычной работе.

А что собственно помешает его зарегистрировать при начале shutdown(ну или logoff)?

Можно смотреть кто родитель(как в файрволе)...и отсекать дроперы в процессе инсталяции драйвера.


--------

а чей драйвер стартанет быстрее-доктора или малвари?

[VVS]

Умрёт, умрёт... это мы уже проходили. http://forum.drweb.com/public/style_emoticons/default/smile.png

Тогда получается по умолчанию придётся разрешать, а тогда это блокировка пригодится только если кто-то станет запускать драйвер прямо счас вот. Хм... как то оно мало эффективно выглядит.

М.б. можно запретить запуск драйвера (ну как при start=4), а потом, если юзер подтвердит, то сказать, что драйвер будет запущен после перезагрузки?

[Borka]

а чей драйвер стартанет быстрее-доктора или малвари?

Как кому повезет. http://forum.drweb.com/public/style_emoticons/default/smile.png

[Aleksey Strokin]

Можно смотреть кто родитель(как в файрволе)...и отсекать дроперы в процессе инсталяции драйвера.

Ну например родитель services.exe вызов из svchost.exe, разрешать или запретить?

а чей драйвер стартанет быстрее-доктора или малвари?

Зависит от того как именно он себя проинсталит, если в бутсектор то раньше нас.

[Aleksey Strokin]

М.б. можно запретить запуск драйвера (ну как при start=4), а потом, если юзер подтвердит, то сказать, что драйвер будет запущен после перезагрузки?

Ну и чем это кардинально отличается от запрета его запускать при непосредственно самой попытке его запуска? Система при загрузке его не запустит, а это например новый драйвер RAID контроллера(типа апдейт нас настиг). Последствия очевидны.

[VVS]

М.б. можно запретить запуск драйвера (ну как при start=4), а потом, если юзер подтвердит, то сказать, что драйвер будет запущен после перезагрузки?

Ну и чем это кардинально отличается от запрета его запускать при непосредственно самой попытке его запуска? Система при загрузке его не запустит, а это например новый драйвер RAID контроллера(типа апдейт нас настиг). Последствия очевидны.

Если ты его пристрелишь при попытке запуска, то можешь получить BSOD.
Если ты запретишь его запуск (типа start=4), то просто отвалится рейд.
После загрузки винды юзер подтвердит, что драйвер валиден, перезагрузит винду и всё будет в порядке.

Сообщение было изменено VVS: 26 Апрель 2011 - 17:54

[Borka]

Я понял... Можно (и наверное, нужно) ничего не делать - все равно нас "сделают". Не так "сделают", так по-другому "сделают"... Не? http://forum.drweb.com/public/style_emoticons/default/wink.png

[Aleksey Strokin]

Если ты его пристрелишь при попытке запуска, то можешь получить BSOD.
Если ты запретишь его запуск (типа start=4), то просто отвалидся рейд.
После загрузки винды юзер подтвердит, что драйвер валиден, перезагрузит винду и всё будет в порядке.

Не будет никакой загрузки ибо грузимся мы с этого самого райда(вот такая у нас неожиданность случилась). Подтверждать будет некому.

[VVS]

Если ты его пристрелишь при попытке запуска, то можешь получить BSOD.
Если ты запретишь его запуск (типа start=4), то просто отвалидся рейд.
После загрузки винды юзер подтвердит, что драйвер валиден, перезагрузит винду и всё будет в порядке.

Не будет никакой загрузки ибо грузимся мы с этого самого райда(вот такая у нас неожиданность случилась). Подтверждать будет некому.

Надо почитать RTFM...
ЕМНИП винда умеет грузиться только с простого тома.

Хотя...
По любому ты прав - ведь это может быть не рейд, а просто обновление дров какого-нибудь экзотического набортного контроллера.

Сообщение было изменено VVS: 26 Апрель 2011 - 17:59

[Aleksey Strokin]

Я понял... Можно (и наверное, нужно) ничего не делать - все равно нас "сделают". Не так "сделают", так по-другому "сделают"... Не? http://forum.drweb.com/public/style_emoticons/default/wink.png

Отставить пораженческие настроения. Если ничего не делать тогда точно сделают.

[Alexey Nevolin]

давно пора плашку на тему вешать http://forum.drweb.com/public/style_emoticons/default/smile.png проблема, как всегда, в том, что хотим то, не знаем что. вот увидели у аналогичных продуктов слово из 4-х букв на коробке и вопросы возникли --- а где тут такое?

совершенствовать технологии защиты пользователей мы планируем, да и успешно с этим справляемся. как это назвать --- это десятый вопрос.

Сообщение было изменено Alexey Nevolin: 26 Апрель 2011 - 18:17

[mrbelyash]

давно пора плашку на тему вешать http://forum.drweb.com/public/style_emoticons/default/smile.png проблема, как всегда, в том, что хотим то, не знаем что. вот увидели у аналогичных продуктов слово из 4-х букв на коробке и вопросы возникли --- а где тут такое?

совершенствовать технологии защиты пользователей мы планируем, да и успешно с этим справляемся. как это назвать --- это десятый вопрос.

Про какие технологии речь?

[Konstantin Yudin]

все смешали... spider netting это отдельный модуль, о нем тут никто не скажет. как и что сделано в неттинге, уже обсуждено, решено и реализовано. делаем интеграцию. могу сказать что Беляшу понравится. http://forum.drweb.com/public/style_emoticons/default/smile.png

если по простому. то в неттинге два режима работы. первый поведенческий анализитор/блокиратор, который детектирует вредоносное по, выводя алерты только в случае когда мы уверены что это плохая программа. второй режим для маньяков, который позволяет задать реакцию на различные события, либо добавлять свои правила, на файлы, прцессы, реестр,... и т.п. и будет плеваться алертами на любой чих, который пожелает юзер.