Analyzátor LOGů z RSIT

[michal.kolesa]

Existuje nějaká webová služba do které se nahraje LOG z RSIT a ona označí potenciálně problémové aplikace, aby si člověk mohl udělat analýzu sám a nemusel "otravovat" zde ?

Třeba aplikace System Explorer má analyzátor procesů.

[vyosek]

Zdravim,

ne neni...log je treba precist a pak za pomoci zkusenosti, bystreho oka a google analyzovat

[Vrtule]

Zdravím,

co se týče zdejšího předchůdce RSITu, nstroje HJackThis, tak v jeho případě existovalo několik služeb, které se automaticky snažily analyzovat zaslaný log a určit, co je potenciálně nebezpečné a co je v pořádku. Dokonce tu byl i pokus bývalých členů tohoto fóra něco takového vytvořit. Ale to už je hodně dávno, řekl bych, že i možná 3-4 roky.

A výsledky podle mého názoru nebyly zrovna dobré. Lidé na svých počítačích používají různé programy a mám pocit, že RSIT nevypisuje moc informací, podle kterých by se dala pravost těch programů ověřit (například nějaký hash obsahu souboru). Jméno nemusí být přísliš spolehlivým údajem, jelikož si každý může soubor pojmenovat dle libosti (což o výsledku hashování neplatí, nebo by nemělo).

Výsledek pak je takový, že analyzátor obsahuje spoustu pravidel, která říkají, jaké soubory jsou špatné a jaké ty dobré, ale pořád to hodně uživatelům vyhazuje falešné poplachy. Takže je to služba veskrze o ničem. Spíš by tady byla zajímavá nějaká aplikace, která by využívala "inteligence roje". Například Norton Internet Security něco na podobné bázi měl (a asi pořád má). Když jste pouštěli nějakou aplikaci, tak se NIS podíval do databáze, kolik uživatelů tuhle aplikaci vlastní a pouvažuje za bezpečnou. A na základě tohoto údaje buď to spuštění povolil, nebo zakázal. Na podobném principu by se asi dala založit ta analýza logů. Ale to by chtělo to provádět celosvětově, aby byl roj dostatečně velký.

Jinak sám jsem se kdysi snažil o jistý pokus v tomto směru. Rozhodl jsem se schromáždit jména souborů vyskytujících se na čistém systému, včetně hashů jejich dat. Můj pokus celkem nikam nevedl, pouze ke zjištění, že těch souborů a jejich různých verzí je opravdu hrozně moc. Ale asi se k tomuto pokusu ještě někdy vrátím.

Závěr: souhlasím s kolegou.

[michal.kolesa]

Ono stačí, když se soubor aktualizuje s nějakou novou verzí aplikace nebo Windows a tím pádem se změní i hash a pro "analyzátor" to bude nový neznámý soubor.

[vyosek]

Fajn,

odpoved jste dostal, myslim muzem tema uzavrit a povazovat za vyresene....

[michal.kolesa]

taky souhlas. Odpověď byla dostačující, že by to teoreticky možné bylo, ale prakticky by byli jen problémy.

[vyosek]