Tatry03 píše:Tak je toho dost.
Stale nerozumiem tomu, ze ked sa da z logov (napr. tu na fore) vycitat, ze nieco je malware, preco to napriklad z tych istych logov nevie "vycitat" AV?
AV urcuje na zaklade vzoriek z databaz, kde je presne identifikovane, ze toto a toto je malware.
Poviem to na priklade:
povedzme, ze AV system je policajt a dostal zoznam hladanych osob. Ma ich fotografie, odtlacky prstov, zoznam mien.Tak hlada podla vyzoru, odtlackov, ci v zozname mien. Ak sa niekto podoba na recidivistu, ide po nom. Ak ma rovnake odtlacky prstov, rovno ho zatkne. Ak ma rovnake meno, patra dalej a vsima si ho. Taktiez u neho funguje intuiciia, cize ak vidi, ze niekde je chlapik s kuklou na tvari, ohana sa zbranami, alebo vidi, ze kradne niekomu nieco z vrecka, tak sa snazi zakrocit.
Lenze je tu problem. Co ked recidivista nebol trestany, ma cisty zaznam trestov, nikto ho nikdy nevidel, nepozna ho a na svoju nekalu cinnost chodi obleceny v peknom saku a snazi sa tvarit, ako muzikant ? Vtedy moze stat policajtovi pred nosom a pre neho je to ctihodny obcan.
Teraz prirovnam analytikov na fore, alebo mimo neho - k takym pokrocilejsim policajtom, skor skolenym bezpecnostnym agentom, alebo sukromna ochranka. Takyto agent sa nezaobera beznymi kriminalnikmi, ktorych chyta policajt. On si vsimne napr., ze pekny panko v sacku stoji niekde na podozrivom mieste, pripadne robi nieco, co by nemal. Sice neporusuje ziadny zakon, ale je podozrivy. Agent zacne patrat a vsimat si daneho jedinca a zistuje, ze ten podozrivy clovek nieco robi, ale tam kde to robi, NEMA ROBIT NIC, a vobec TAM NEMA BYT. Sice nic neporusil, nic sa mu neda casto dokazat... A tu nastupuje skusene oko agenta analytika, ktory rozozna, ze tu nieco smrdi, aj ked podla predpisov je vsetko koser. No a co urobi, mileho panka vypoklonkuje pekne prec, nech robi, co robi....
U policajta by to bol problem, lebo by porusil zakon a obmedzoval jeho slobodu. Ale ochranke je to jedno, dany panko tam nema co hladat, tak ho vyprevadia von.
Spat k systemu - keby sa takto spraval AV v systeme, tak by sa mu mohlo zdat po zlom usudku, ze trebars system deravy ako reseto je nebezpecny a mohol by povedat, ze toto sa tu robit nebude a toto tiez nie a nakoniec by prestalo fungovat vsetko, lebo by nevedel rozoznat, co spravne a co nie.
Tatry03 píše:
Na druhej strane. Ako sa pri takom systeme, ktory by sa spustal z CDcka riesili aktualizacie?
V tom je ta krasa, ze aktualizacie nepotrebujes. Staci restart a je po probleme. Eventuelne by sa dalo urobit, ze po restarte sa dotaha nejaka aktualizacia a zapise sa na RAMDISK kde bude ulozena. Po restarte vsak vsetko zmizne a je ciste.
Tatry03 píše:
A ako vytvorit "ciste" instalacne CD v home prostredi, o ktorom by sa dalo urcite tvrdit, ze je v poriadku?
To treba vytvorit v cistom prostredi, ci to urobi niekto iny. A napalit by sa to dalo aj na uzivatelskom systeme z image suboru a vypalit trebars na CD,DVD...
Tatry03 píše:
No a k detekcii roznymi AV produktami. Napr. aj v ESET sekcii som si vsimol sa riesi nejaky web, ktory niektory oznacuju ako infikovany, a ine AV nie. To sa neda jednoznacne urcit, alebo to len nestoji konkretnym spolocnostiam za namahu? Maju malo ludi na detekciu, alebo v com je problem?
Infekcia webu ako celku, nie infikovanej stranky, je funkcia, ktoru nema kazdy AV. Preto niektore mozu web blokovat, ine nie. Okrem toho, vzorka sa musi pridat do zoznamu blokovanych webov. Co ked ma niekto v nejakej podstranke ulozene nieco, co heuristika vyhodnoti ako virus, alebo tam ma len neskodny testovaci subor EICAR, ktory kazdy AV oznacuje ako virus ? Zablokuje mu tam pristup ? Moze ist o uplne korektnu stranku. Webov na internete su miliony, webovych stranok su miliardy, malwaru su statisice. Neni mozne chytat vsetko. Aj testy AV, ktore sa robia su robene na vzorkach, ktore su zname... Staci, ze je nejaky novy malware, ktory neni rozsireny a nechyta sa ziadny AV. Vid moja tema
http://forum.viry.cz/viewtopic.php?f=28&t=123280
A ano. Vacsinou na to nemaju ludi, lebo sa sustredia na marketing. Vi nom pripade su aj ine skutocnosti, ako som uvadzal v linkovanej teme, niektore aj vzorku dostanu a inokedy vedia reagovat do par hodin z nejakeho dovodu, niektore druhy niektore AV uplne ignoruju. Bud schvalne, alebo su v nejakych volitelnych databazach.
