Dimitr1s
Advanced Member | Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
kil0byte
1. Пока нет, к счастью. 2. Если я в ресурсах файла изменю атрибуты и значок и стану выдавать за другую программу, в свойствах и при запуске будет виден значок и название той программы. Узнать что это не так можно или изучив код, или запустив. Если же изменить хоть один байт в файле имеющим цифровую подпись, цифровая подпись теряется, на основании только этого, можно сделать вывод что программа не та за которую себя выдаёт, независимо какой значок и что написано в свойствах.
tahomavlz
Цитата:| process attack должен отлавливать все потенциально вредоносные действия. а indirect access - следствие того что эти действия были разрешены. или я чего то не понимаю? |
Если код одной из взаимодействующих программ содержит вызов сетевых функций, приложения дополнительно обрабатываются в таблице indirect access, а так как большинство программ (почему некоторые не могут напрямую отфильтроваться, причин может быть масса описывать не буду, учи сам) работают вызывая через ядро функции других программ, для которых в таблице process attack уже были созданы разрешающие правила, может произойти утечка, для этих случаев, как дополнительная защита выступит indirect access.
tahomavlz
CaptainFlint
Вопрос не в том как кому удобнее (сколько пользователей столько может быть и вариантов, мне существующий кажется самым удобным, вам нет) и как какой из вариантов может ввести в заблуждение отдельно взятого юзверя, а в том как правильно, отобразить запрос, на запуск файла, хеш которого не совпадает ни с одним имеющимся в базе. Почему нынешний вариант мне кажется правильным во всех отношениях, я попытался изложить.
CaptainFlint
Цитата:| Остался ещё один вопрос: чем всё-таки плох вариант, когда Джетика говорит, что приложение новое, при этом обновляя существующую чексумму? |
Но это уже совсем не логично получается.
Цитата:| Всё-таки если человек согласился разрешить работу приложения, значит он сам своей рукой удостоверяет безо всяких подписей, что таки да, это именно то самое приложение, просто с обновившимся файлом, а никак не некая новая неизвестная зловредная программа. Так почему бы в этом конкретном случае не обновить запись этого же самого обновившегося приложения в базе вместо добавления нового? |
На самом деле, прекрасно понятен вопрос спора между существующей реализацией и сторонников иной, более упрощённой, автоматизированной. Суть которого: неважно что там будет написано и как правильней, как безопасней - лишь бы не нажимать много кнопок, но, опять же согласитесь, в конечном итоге он ведёт к той самой, заветной, одной_большой_кнопке, нажав на которую получаешь "полную защиту" (как не поверить если известный бренд гарантирует) и при этом не вдаваясь не в какие подробности. Я спорить не буду о невозможности такой реализации в принципе. Вопрос в другом, зачем пытаться уговаривать разработчиков делать ещё одну поделку_комбайн, их и так сейчас сколько угодно много, на любой вкус. То, о чём здесь спор, реализовано во многих продуктах, а куда деваться тем кто не хочет ничего лишнего и кого не пугает лишний раз удалить правило или нажать кнопку в обмен на почти полную прозрачность происходящего и приемлемую надёжность и стабильность, тем более вот оно, подобное, уже существует. Тем более хотелось бы, что бы доделали более важные вещи: Нормальный контроль записи в реестр, а не то как сейчас реализовано, Изменение важного объекта системы, неплохая задумка, но пока в зачаточном состоянии пока, да много чего ещё.
|
Комментировать не буду, tahomavlz это уже сделал (я собирался написать фактически точно то же, что и он). 
в сторонке, а вот комодо
ещё остаётся серьёзным конкурентом Jetico