HIPS: Outpost, czy Comodo? Który lepszy?

[morphiusz]

To, że Comodo umieścił plik a piaskownicy i wyświetlił alert tylko o haka, nie znaczy, że nie blokuje innych, bo nie wyświetla alertów (taki cel piasku w comodo).

U mnie na odpaleniu w limitowanym (jeden poziom wyżej niż def.) oblewa:
- Screenshot Test4a
- Screenshot Test4b
- Screenshot Test5a
- Screenshot Test5b
- Registry access test1

Dźwięku oraz kamery nie sprawdzałem.

Sprawdziłem, u mnie przechodzi:
- keylogging test,
- screenshot 1 a,b 2 a,b 3 a,b
-clipboard monitoring,
-system protection cały,

[Eugeniusz]

Na ustawieniach domyślnych czy po tweakach? Bo jeśli Outpost na fabrycznych zalicza wszystko (mogę się mylić, nie chce mi się cofać) a Comodo na tweakach... sami sobie dokończcie

[morphiusz]

Na ustawieniach domyślnych.

A tutaj dlaczego testy SpySheltera to nie jakaś panika dla Comodo

[Aby zobaczyć linki, zarejestruj się tutaj]

Yes we are aware of that test. It is not a real risk.I am not aware of a malware which only takes a screenshot and does nothing...

Theoretical stuff. If it was a real threat, we would immeidately take care of it. Relax.For example, if it was a DLL injection method, or a way for malware to make itself persist a reboot , infect a file etc., it would be something.

[Eugeniusz]

No jak zwykle to nie jest zagrożenie, proszę się nie martwić

Hmm jak Comodo coś sukcesywnie blokuje, to ludzie od Comodo błyszczą, chwalą się, proszę bardzo jacy jesteśmy zajefajni. A jak jest odwrotnie, czegoś brakuje lub inaczej działa, to wtedy jest spokojnie, to nie jest zagrożenie, jesteśmy zajefajni i w ogóle my jesteśmy nadludzie a reszta dostawców rozwiązań antywirusowych to podludzie.

Nazi-Comodo

[ktośtam]

Sorki morphiusz, ale tym razem muszę się czepnąć Comodo - tłumaczenie w stylu "It is not a real risk" to żadne tłumaczenie - w tym teście chodzi o metody jakie mogą zostać wykorzystane przez złośliwe aplikacje i moim zdaniem Comodo poległo. Rozumiem, że chodzi o kompromis pomiędzy upierdliwością programu a zadowoleniem użytkownika, ale to jest HIPS i musi reagować!

[morphiusz]

No i jak zwykle wszystko musi być kalką outposta >
Znajdź to malware, które robi screenshoty tymi metodami, od razu zostaną one uwzględnione w następnym updacie.

[Konto usunięte]

No ale publikując takie informacje sami sobie strzelają w stopy - przecież ktoś może sprawdzić jak działa test spysheltera i użyć tych samych metod z testów, które on oblewa.
Ja mam na def. z tym, podczas instalacji (CF) wybrałem max. ochronę proaktywną no i podniosłem z częściowo limitowane na limitowane.
BTW. Test Zemany też traktuje jako aplikację zaufaną no i może ona sobie czytać co chce (w ogóle o nic nie pyta, test SpySheltera przynajmniej leci do piasku)...
Co, jeżeli malware podszyje się pod taki test?

[morphiusz]

Z tą Zemaną powinno być poprawione lada chwila. Co do samych testów to Comodo tutaj przechodzi Zemane w 100%

BTW. Test Zemany też traktuje jako aplikację zaufaną no i może ona sobie czytać co chce (w ogóle o nic nie pyta, test SpySheltera przynajmniej leci do piasku)...
Co, jeżeli malware podszyje się pod taki test?

[Eugeniusz]

Hmm cała Zemana jest traktowana przez OA jako zaufany hueh hueh

[ktośtam]

No i jak zwykle wszystko musi być kalką outposta >
Znajdź to malware, które robi screenshoty tymi metodami, od razu zostaną one uwzględnione w następnym updacie.

Nie mówię, że musi być kalką, wystarczy że HIPS będzie robił co do niego należy a póki co, to HIPS coś tam stęknie raz na jakiś czas a tak to wszystko do pseudo piaskownicy. Może powinni zmienić nazwę na Comodo Sandbox?
Po drugie mają swój malware lab, to niech szukają i uwzględniają. I przypominam, że temat dotyczy HIPS a nie modułu AV, więc co da dodanie konkretnego malware do bazy AV, jak HIPS dalej będzie zachowywał się tak samo?

---

Dodano: 13 sie 2011 13:47

Hmm cała Zemana jest traktowana przez OA jako zaufany hueh hueh

W sumie nie ma się co dziwić, kiedy aplikacje testowe Zemany są podpisane cyfrowo

[morphiusz]

Nie mówię, że musi być kalką, wystarczy że HIPS będzie robił co do niego należy a póki co, to HIPS coś tam stęknie raz na jakiś czas a tak to wszystko do pseudo piaskownicy. Może powinni zmienić nazwę na Comodo Sandbox?

Spokojnie. Po to jest ta piaskownica, by wykorzystywać możliwość HIPSa przez nowicjuszy, którzy nie wiedzą jak odpowiedzieć na alerty.
Chociaż przyznam szczerze Panowie - zgadzam się z Wami, że na wszelki wypadek warto by było dodać metody ochrony proaktywnej, aby przechodzić te testy.
Tak dmuchając na zimne.

[ktośtam]

morphiusz : łaśnie o tym mówię i cieszę się, że rozumiesz gdzie widzę problem
Mam jeszcze do Ciebie prośbę, czy mógłbyś sprawdzić jak CIS reaguje na

[Aby zobaczyć linki, zarejestruj się tutaj]

?
Nie mam zainstalowanego CIS a nie chce mi się teraz z tym walczyć.
Z góry dzięki.

[morphiusz]

Już kiedyś sprawdzałem, wyniki są tutaj:

[Aby zobaczyć linki, zarejestruj się tutaj]

[ktośtam]

Hmmm. A czy CIS ma Zemanę w TVL?

[morphiusz]

Zapewne, dlatego ufa tym testom.
Jednak mogą chyba pojedyncze pliki nie uwzględnić jako bezpieczne

[Ambient]

Z tą Zemaną powinno być poprawione lada chwila. Co do samych testów to Comodo tutaj przechodzi Zemane w 100%

BTW. Test Zemany też traktuje jako aplikację zaufaną no i może ona sobie czytać co chce (w ogóle o nic nie pyta, test SpySheltera przynajmniej leci do piasku)...
Co, jeżeli malware podszyje się pod taki test?

Nie wiem, ale ciągle jest jakieś "ale" z tym pakietem. Tu coś nadszarpnięte, tu coś nie dociągnięte, a tam to się robi w kolejnym wydaniu. Instaluję Sandboxie i wiem nie muszę się niczego obawiać, instaluję OA, czy Outpost wiem, że spełnią swoje zadania. A Comodo? Uważam, że idzie na łatwiznę z receptą na wszystko w postaci autosanbox i " na de sprytną" redukcją alertów w D+ w postaci białej listy, którą uzyskują bez zgody użytkownika, ale znając życie Comodowcy przekabacą, zmanipulują i przegadają wszystko w tym temacie

[morphiusz]

Ale autosandbox to nic innego jak HIPS z automatycznym podejmowaniem decyzji

To nie jakaś technologia z piekieł.

[Ambient]

Który łoi po mordzie wszystkie nieznane mu aplikacje, czy są one dobre, czy nie

[morphiusz]

To już inna kwestia
Jak ktoś chce to może wyłączyć sobie piaskownicę i mieć klasycznego firewalla + HIPS.
Chyba ponownie do nich uderze o wybór tej możliwości podczas instalacji.

[ktośtam]

Moim zdaniem wystarczy, że przy nieznanych aplikacjach będzie się pytał co ma zrobić, a nie z partyzanta do piachu wszystko.
Nie lubię, kiedy program stara się być mądrzejszy od użytkownika.