JacK wrote:
que ça doit servir à heu, hooker nan ? ;o). Donc, DLL peu discrète et
facilement repérable puisqu'injectée dans tous les processus ! En
plus, ça pénalise un peu les performances du système puisque il y a
une file d'attente qui permet de gérer les appels des différents
hookeurs. Enfin, c'est facilement bypassable. Tu peux patcher la DLL
par exemple... Ou empêcher que la DLL soit chargée dans ton processus
! Mais bon, je ne vais pas donner d'exemple, j'en connais encore un
qui va m'écrire pour me faire la morale :o).
JacK wrote:
que ça doit servir à heu, hooker nan ? ;o). Donc, DLL peu discrète et
facilement repérable puisqu'injectée dans tous les processus ! En
plus, ça pénalise un peu les performances du système puisque il y a
une file d'attente qui permet de gérer les appels des différents
hookeurs. Enfin, c'est facilement bypassable. Tu peux patcher la DLL
par exemple... Ou empêcher que la DLL soit chargée dans ton processus
! Mais bon, je ne vais pas donner d'exemple, j'en connais encore un
qui va m'écrire pour me faire la morale :o).
JacK wrote:
que ça doit servir à heu, hooker nan ? ;o). Donc, DLL peu discrète et
facilement repérable puisqu'injectée dans tous les processus ! En
plus, ça pénalise un peu les performances du système puisque il y a
une file d'attente qui permet de gérer les appels des différents
hookeurs. Enfin, c'est facilement bypassable. Tu peux patcher la DLL
par exemple... Ou empêcher que la DLL soit chargée dans ton processus
! Mais bon, je ne vais pas donner d'exemple, j'en connais encore un
qui va m'écrire pour me faire la morale :o).
Qu'elle soit repérable localement, n'est pas le problème ;)
Pdv
pénalisation performances, ça doit se chiffrer en nano-seconde,
négligeable vu l'intérêt et bien moindre que n'importe quel AV.
Bien
sûr qu'on peut patcher la dll, terminer le process ou empêcher son
chargement comme certains malwares le font pour des AV ou des FW.
Ce
que je dis, c'est que je ne connais aucun malware actuellement conçu
pour le faire et permettre son exécution en passant inaperçu.
IMHO,
c'est une excellente couche de protection supplémentaire à l'AV et au
FW, à ma connaissance, *pour l'instant* aucune modif illicite, dll
injection, injection de code dans un process en cours, inscription
aux clés RUN, etc..., terminaison ou démarrage d'un service,
installation furtive ne lui échappe.
Le seul problème est que ce logiciel nécessite un minimum de
connaissance et n'est pas destiné à l'utilisateur lambda.
Si tu as connaissance d'un machin quelconque en circulation capable de
s'installer en le bypassant, ça m'intéresserait de le savoir.
Qu'elle soit repérable localement, n'est pas le problème ;)
Pdv
pénalisation performances, ça doit se chiffrer en nano-seconde,
négligeable vu l'intérêt et bien moindre que n'importe quel AV.
Bien
sûr qu'on peut patcher la dll, terminer le process ou empêcher son
chargement comme certains malwares le font pour des AV ou des FW.
Ce
que je dis, c'est que je ne connais aucun malware actuellement conçu
pour le faire et permettre son exécution en passant inaperçu.
IMHO,
c'est une excellente couche de protection supplémentaire à l'AV et au
FW, à ma connaissance, *pour l'instant* aucune modif illicite, dll
injection, injection de code dans un process en cours, inscription
aux clés RUN, etc..., terminaison ou démarrage d'un service,
installation furtive ne lui échappe.
Le seul problème est que ce logiciel nécessite un minimum de
connaissance et n'est pas destiné à l'utilisateur lambda.
Si tu as connaissance d'un machin quelconque en circulation capable de
s'installer en le bypassant, ça m'intéresserait de le savoir.
Qu'elle soit repérable localement, n'est pas le problème ;)
Pdv
pénalisation performances, ça doit se chiffrer en nano-seconde,
négligeable vu l'intérêt et bien moindre que n'importe quel AV.
Bien
sûr qu'on peut patcher la dll, terminer le process ou empêcher son
chargement comme certains malwares le font pour des AV ou des FW.
Ce
que je dis, c'est que je ne connais aucun malware actuellement conçu
pour le faire et permettre son exécution en passant inaperçu.
IMHO,
c'est une excellente couche de protection supplémentaire à l'AV et au
FW, à ma connaissance, *pour l'instant* aucune modif illicite, dll
injection, injection de code dans un process en cours, inscription
aux clés RUN, etc..., terminaison ou démarrage d'un service,
installation furtive ne lui échappe.
Le seul problème est que ce logiciel nécessite un minimum de
connaissance et n'est pas destiné à l'utilisateur lambda.
Si tu as connaissance d'un machin quelconque en circulation capable de
s'installer en le bypassant, ça m'intéresserait de le savoir.
Malheureusement si car ses réactions peuvent engendrer des
dysfonctionnements, bugs, risques.
Ca n'en fait pas une vulnérabilité mais une faiblesse.
Si car elle devient exploitable. Enfin bon on ne va pas encore pinailler
Non.
Car sa réponse laissait entendre qu'un FW ne sert à rien. Ce qui est une
contre-vérité.
Ben non. Sa réponse faisait clairement la différence entre une menace et un
outil qui n'est pas adapté a lutter contre cette menace précise. Il ne
disait rien des autres menaces
On s'est expliqué ensemble donc sujet clos pour moi.
Surtout sans connaitre son environnement. C'est le probleme principal. Les
gens utilisent des ordinateurs sans connaitre les risques.
Ils ne sont pas sensibilisés à ces risques en général mais je trouve
Le contrôle de la BDR permet d'aministrer et gèrer son environnement
tout comme d'accepter/refuser toute entrée/sortie.
controler la base de registre ne veut pas dire bloquer l'écriture.
Bien sur que si tu peux empêcher la création, l'effacement, la
Déjà l'heuristique des antivirus c'est pas un truc optimal...
Ca l'est de plus en plus.
Peux-tu expliquer pourquoi tu dis cela ?
Parce qu'il n'offre aucune garantie que ce qu'il dit est pertinent.
C'était vrai il y a encore 2ans. Depuis les résultats sont de plus en
Il n'y
a pas d'intelligence derrière.
Si les algorithmes employés.
Juste des regles de conduites.
Des règles d'analyses dont la corrélation aboutit à un résultat.
Et donc ce
n'est pas parce qu'il dit qu'un fichier n'est pas dangereux qu'il ne l'est
pas réellement.
Il y a toujours des erreurs mais je t'avouerai que je suis de plus en
Donc meme avec tes autres
contremesure j'estime que je trojan a de bonne chance de passer et de virer
le disque.
Tu oublies le cryptage des données.
Non je ne l'oublie pas. Tout dépend de quel cryptage on parle.
Documents, fichiers, disque dur (ou les mails, les serveurs mais ce
Pour les autres types de trojans ca les arrêteras.
Tous les trojans sont détectables si on maitrise son environnement.
La détection a 100% n'existe pas.
Au vu de leur mode de fonctionnement les Trojans sont tous détectables.
Pour moi le premier echelon de la bonne sécurité c'est l'utilisateur. Tout
le reste de ce qu'on peut mettre en place ne servira a *rien* si
l'utilisateur n'est pas formé. Donc c'est pour moi la pièce maitresse et
tout le reste est dépendant de cette condition.
Pour le user particulier oui et encore pour quelque temps avant d'avoir
Le controle de la BDR a partir du moment ou ce que le trojan veut faire
c'est effacer des fichiers ou lire directement dans d'autres (voir meme
lire la BDR) ca ne servira a rien.
Tu considères que le Trojan est déjà installé. Avant même qu'il ne
puisse agir je t'explique que l'on peut toujours le détecter.
Ben non on ne peut pas "toujours".
Ok on va pas pinailler bêtement. ;)
Bien
entendu cela dépend du niveau de sécurité de l'environnement de la cible
et du comportement du user.
Non. C'est une certitude.
Ben si, c'est la combinaison comportement/attitude + contre-mesure qui
Quelle que soit les techniques trouvées pour
détecter des programmes dangereux il existera une technique suivante qui
les dissimulera a ces nouvelles techniques et qui obligera a mettre en
place des techniques supplémentaires.
C'est l'histoire du voleur et ...
SAUF si on arrive a expliquer a tout
le monde qu'il ne faut pas cliquer sur n'importe quoi. Etc.
Voeux pieux. ;)
L'utilisateur
formé rend la nécessité des parades moins vitales.
Excuses-moi il est peut être trop tard mais je ne comprends pas le sens
Mais ces données il faut bien y avoir acces. Et si l'utilisateur qui a le
droit fait quelque chose de mauvais (lancer un trojan) cryptage ou pas...
ca ne bloquera pas)
On est d'accord.
Le cryptage est la pour assurer que une personne non autorisée n'aura pas
acces aux données qu'il ne peut pas voir. Pas pour s'assurer que
l'utilisateur qui y a acces ne fera pas de conneries.
Exactement.
Oui bien sur. Je n'en suis pas sorti.
Ok ;)
Le firewall n'est pas
concu pour analyser un flux. Il est concu pour bloquer ou autoriser des
connections sur base de critères.
C'est juste pour ce qui est du firewall classique dirons-nous. Mais il
existe des firewalls applicatifs.
Non. Le firewall applicatif dans le sens qui lui est donné sur ce forum est
un firewall qui peut gérer les applications qui peuvent avoir acces au
réseau en plus de filtrer simplement sur les ports et protocoles. Donc ca
reste des criteres. Par exemple le détournement d'IE par JAB (excellent POC
de Nicob) montre a quel point il est erroné de croire que le firewall
applicatif offre une protection a 100%
Ok.
Le filtrage des flux se situe au niveau de l'IDS qui est un autre aspect de la sécurité.
Le filtrage des flux s'effectue au niveau des applications, protocoles.
L'iDS est une technique de détection à base de signatures.
Comment savoir qu'une page HTML qui arrive dans internet explorer est une
page valide ou pas?
Cela repose sur l'utilisation de règles et filtres.
Comment savoir que cette page a été demandée par un
programme malsain? c'est pas possible.
Si tu utilises un proxy local comme Proxomitron par exemple tu peux le
Sinon le flux HTTPS ... si tu veux l'analyser ca veut dire que ca doit se
faire par le programme qui établit la connexion... puisque ce qui arrive
au niveau du firewall est déjà illisible.
L'analyse des flux https repose sur l'emploi de firewall applicatif
(reverse proxy).
Si tu reprend bien ma réponse tu verras que ca parle du programme qui
établit la connexion.
lol excuses-moi je ne me suis pas relu. Remplaces analyse par filtrage.
Donc que ca soit un reverse proxy (tiens a ce sujet
ca n'existe pas pour faire de l'analyse de flux mais principalement pour
des systèmes de load balancing, fail over et un peu de sécurité)
Je suis allé trop vite en besogne (cf ci-dessus)
Sinon ca serait interessant de donner plus d'info sur un firewall qui
jouerait le role de reverse proxy...
Un reverse proxy permet de faire du filtrage http/https et de paramètrer
Malheureusement si car ses réactions peuvent engendrer des
dysfonctionnements, bugs, risques.
Ca n'en fait pas une vulnérabilité mais une faiblesse.
Si car elle devient exploitable. Enfin bon on ne va pas encore pinailler
Non.
Car sa réponse laissait entendre qu'un FW ne sert à rien. Ce qui est une
contre-vérité.
Ben non. Sa réponse faisait clairement la différence entre une menace et un
outil qui n'est pas adapté a lutter contre cette menace précise. Il ne
disait rien des autres menaces
On s'est expliqué ensemble donc sujet clos pour moi.
Surtout sans connaitre son environnement. C'est le probleme principal. Les
gens utilisent des ordinateurs sans connaitre les risques.
Ils ne sont pas sensibilisés à ces risques en général mais je trouve
Le contrôle de la BDR permet d'aministrer et gèrer son environnement
tout comme d'accepter/refuser toute entrée/sortie.
controler la base de registre ne veut pas dire bloquer l'écriture.
Bien sur que si tu peux empêcher la création, l'effacement, la
Déjà l'heuristique des antivirus c'est pas un truc optimal...
Ca l'est de plus en plus.
Peux-tu expliquer pourquoi tu dis cela ?
Parce qu'il n'offre aucune garantie que ce qu'il dit est pertinent.
C'était vrai il y a encore 2ans. Depuis les résultats sont de plus en
Il n'y
a pas d'intelligence derrière.
Si les algorithmes employés.
Juste des regles de conduites.
Des règles d'analyses dont la corrélation aboutit à un résultat.
Et donc ce
n'est pas parce qu'il dit qu'un fichier n'est pas dangereux qu'il ne l'est
pas réellement.
Il y a toujours des erreurs mais je t'avouerai que je suis de plus en
Donc meme avec tes autres
contremesure j'estime que je trojan a de bonne chance de passer et de virer
le disque.
Tu oublies le cryptage des données.
Non je ne l'oublie pas. Tout dépend de quel cryptage on parle.
Documents, fichiers, disque dur (ou les mails, les serveurs mais ce
Pour les autres types de trojans ca les arrêteras.
Tous les trojans sont détectables si on maitrise son environnement.
La détection a 100% n'existe pas.
Au vu de leur mode de fonctionnement les Trojans sont tous détectables.
Pour moi le premier echelon de la bonne sécurité c'est l'utilisateur. Tout
le reste de ce qu'on peut mettre en place ne servira a *rien* si
l'utilisateur n'est pas formé. Donc c'est pour moi la pièce maitresse et
tout le reste est dépendant de cette condition.
Pour le user particulier oui et encore pour quelque temps avant d'avoir
Le controle de la BDR a partir du moment ou ce que le trojan veut faire
c'est effacer des fichiers ou lire directement dans d'autres (voir meme
lire la BDR) ca ne servira a rien.
Tu considères que le Trojan est déjà installé. Avant même qu'il ne
puisse agir je t'explique que l'on peut toujours le détecter.
Ben non on ne peut pas "toujours".
Ok on va pas pinailler bêtement. ;)
Bien
entendu cela dépend du niveau de sécurité de l'environnement de la cible
et du comportement du user.
Non. C'est une certitude.
Ben si, c'est la combinaison comportement/attitude + contre-mesure qui
Quelle que soit les techniques trouvées pour
détecter des programmes dangereux il existera une technique suivante qui
les dissimulera a ces nouvelles techniques et qui obligera a mettre en
place des techniques supplémentaires.
C'est l'histoire du voleur et ...
SAUF si on arrive a expliquer a tout
le monde qu'il ne faut pas cliquer sur n'importe quoi. Etc.
Voeux pieux. ;)
L'utilisateur
formé rend la nécessité des parades moins vitales.
Excuses-moi il est peut être trop tard mais je ne comprends pas le sens
Mais ces données il faut bien y avoir acces. Et si l'utilisateur qui a le
droit fait quelque chose de mauvais (lancer un trojan) cryptage ou pas...
ca ne bloquera pas)
On est d'accord.
Le cryptage est la pour assurer que une personne non autorisée n'aura pas
acces aux données qu'il ne peut pas voir. Pas pour s'assurer que
l'utilisateur qui y a acces ne fera pas de conneries.
Exactement.
Oui bien sur. Je n'en suis pas sorti.
Ok ;)
Le firewall n'est pas
concu pour analyser un flux. Il est concu pour bloquer ou autoriser des
connections sur base de critères.
C'est juste pour ce qui est du firewall classique dirons-nous. Mais il
existe des firewalls applicatifs.
Non. Le firewall applicatif dans le sens qui lui est donné sur ce forum est
un firewall qui peut gérer les applications qui peuvent avoir acces au
réseau en plus de filtrer simplement sur les ports et protocoles. Donc ca
reste des criteres. Par exemple le détournement d'IE par JAB (excellent POC
de Nicob) montre a quel point il est erroné de croire que le firewall
applicatif offre une protection a 100%
Ok.
Le filtrage des flux se situe au niveau de l'IDS qui est un autre aspect de la sécurité.
Le filtrage des flux s'effectue au niveau des applications, protocoles.
L'iDS est une technique de détection à base de signatures.
Comment savoir qu'une page HTML qui arrive dans internet explorer est une
page valide ou pas?
Cela repose sur l'utilisation de règles et filtres.
Comment savoir que cette page a été demandée par un
programme malsain? c'est pas possible.
Si tu utilises un proxy local comme Proxomitron par exemple tu peux le
Sinon le flux HTTPS ... si tu veux l'analyser ca veut dire que ca doit se
faire par le programme qui établit la connexion... puisque ce qui arrive
au niveau du firewall est déjà illisible.
L'analyse des flux https repose sur l'emploi de firewall applicatif
(reverse proxy).
Si tu reprend bien ma réponse tu verras que ca parle du programme qui
établit la connexion.
lol excuses-moi je ne me suis pas relu. Remplaces analyse par filtrage.
Donc que ca soit un reverse proxy (tiens a ce sujet
ca n'existe pas pour faire de l'analyse de flux mais principalement pour
des systèmes de load balancing, fail over et un peu de sécurité)
Je suis allé trop vite en besogne (cf ci-dessus)
Sinon ca serait interessant de donner plus d'info sur un firewall qui
jouerait le role de reverse proxy...
Un reverse proxy permet de faire du filtrage http/https et de paramètrer
Malheureusement si car ses réactions peuvent engendrer des
dysfonctionnements, bugs, risques.
Ca n'en fait pas une vulnérabilité mais une faiblesse.
Si car elle devient exploitable. Enfin bon on ne va pas encore pinailler
Non.
Car sa réponse laissait entendre qu'un FW ne sert à rien. Ce qui est une
contre-vérité.
Ben non. Sa réponse faisait clairement la différence entre une menace et un
outil qui n'est pas adapté a lutter contre cette menace précise. Il ne
disait rien des autres menaces
On s'est expliqué ensemble donc sujet clos pour moi.
Surtout sans connaitre son environnement. C'est le probleme principal. Les
gens utilisent des ordinateurs sans connaitre les risques.
Ils ne sont pas sensibilisés à ces risques en général mais je trouve
Le contrôle de la BDR permet d'aministrer et gèrer son environnement
tout comme d'accepter/refuser toute entrée/sortie.
controler la base de registre ne veut pas dire bloquer l'écriture.
Bien sur que si tu peux empêcher la création, l'effacement, la
Déjà l'heuristique des antivirus c'est pas un truc optimal...
Ca l'est de plus en plus.
Peux-tu expliquer pourquoi tu dis cela ?
Parce qu'il n'offre aucune garantie que ce qu'il dit est pertinent.
C'était vrai il y a encore 2ans. Depuis les résultats sont de plus en
Il n'y
a pas d'intelligence derrière.
Si les algorithmes employés.
Juste des regles de conduites.
Des règles d'analyses dont la corrélation aboutit à un résultat.
Et donc ce
n'est pas parce qu'il dit qu'un fichier n'est pas dangereux qu'il ne l'est
pas réellement.
Il y a toujours des erreurs mais je t'avouerai que je suis de plus en
Donc meme avec tes autres
contremesure j'estime que je trojan a de bonne chance de passer et de virer
le disque.
Tu oublies le cryptage des données.
Non je ne l'oublie pas. Tout dépend de quel cryptage on parle.
Documents, fichiers, disque dur (ou les mails, les serveurs mais ce
Pour les autres types de trojans ca les arrêteras.
Tous les trojans sont détectables si on maitrise son environnement.
La détection a 100% n'existe pas.
Au vu de leur mode de fonctionnement les Trojans sont tous détectables.
Pour moi le premier echelon de la bonne sécurité c'est l'utilisateur. Tout
le reste de ce qu'on peut mettre en place ne servira a *rien* si
l'utilisateur n'est pas formé. Donc c'est pour moi la pièce maitresse et
tout le reste est dépendant de cette condition.
Pour le user particulier oui et encore pour quelque temps avant d'avoir
Le controle de la BDR a partir du moment ou ce que le trojan veut faire
c'est effacer des fichiers ou lire directement dans d'autres (voir meme
lire la BDR) ca ne servira a rien.
Tu considères que le Trojan est déjà installé. Avant même qu'il ne
puisse agir je t'explique que l'on peut toujours le détecter.
Ben non on ne peut pas "toujours".
Ok on va pas pinailler bêtement. ;)
Bien
entendu cela dépend du niveau de sécurité de l'environnement de la cible
et du comportement du user.
Non. C'est une certitude.
Ben si, c'est la combinaison comportement/attitude + contre-mesure qui
Quelle que soit les techniques trouvées pour
détecter des programmes dangereux il existera une technique suivante qui
les dissimulera a ces nouvelles techniques et qui obligera a mettre en
place des techniques supplémentaires.
C'est l'histoire du voleur et ...
SAUF si on arrive a expliquer a tout
le monde qu'il ne faut pas cliquer sur n'importe quoi. Etc.
Voeux pieux. ;)
L'utilisateur
formé rend la nécessité des parades moins vitales.
Excuses-moi il est peut être trop tard mais je ne comprends pas le sens
Mais ces données il faut bien y avoir acces. Et si l'utilisateur qui a le
droit fait quelque chose de mauvais (lancer un trojan) cryptage ou pas...
ca ne bloquera pas)
On est d'accord.
Le cryptage est la pour assurer que une personne non autorisée n'aura pas
acces aux données qu'il ne peut pas voir. Pas pour s'assurer que
l'utilisateur qui y a acces ne fera pas de conneries.
Exactement.
Oui bien sur. Je n'en suis pas sorti.
Ok ;)
Le firewall n'est pas
concu pour analyser un flux. Il est concu pour bloquer ou autoriser des
connections sur base de critères.
C'est juste pour ce qui est du firewall classique dirons-nous. Mais il
existe des firewalls applicatifs.
Non. Le firewall applicatif dans le sens qui lui est donné sur ce forum est
un firewall qui peut gérer les applications qui peuvent avoir acces au
réseau en plus de filtrer simplement sur les ports et protocoles. Donc ca
reste des criteres. Par exemple le détournement d'IE par JAB (excellent POC
de Nicob) montre a quel point il est erroné de croire que le firewall
applicatif offre une protection a 100%
Ok.
Le filtrage des flux se situe au niveau de l'IDS qui est un autre aspect de la sécurité.
Le filtrage des flux s'effectue au niveau des applications, protocoles.
L'iDS est une technique de détection à base de signatures.
Comment savoir qu'une page HTML qui arrive dans internet explorer est une
page valide ou pas?
Cela repose sur l'utilisation de règles et filtres.
Comment savoir que cette page a été demandée par un
programme malsain? c'est pas possible.
Si tu utilises un proxy local comme Proxomitron par exemple tu peux le
Sinon le flux HTTPS ... si tu veux l'analyser ca veut dire que ca doit se
faire par le programme qui établit la connexion... puisque ce qui arrive
au niveau du firewall est déjà illisible.
L'analyse des flux https repose sur l'emploi de firewall applicatif
(reverse proxy).
Si tu reprend bien ma réponse tu verras que ca parle du programme qui
établit la connexion.
lol excuses-moi je ne me suis pas relu. Remplaces analyse par filtrage.
Donc que ca soit un reverse proxy (tiens a ce sujet
ca n'existe pas pour faire de l'analyse de flux mais principalement pour
des systèmes de load balancing, fail over et un peu de sécurité)
Je suis allé trop vite en besogne (cf ci-dessus)
Sinon ca serait interessant de donner plus d'info sur un firewall qui
jouerait le role de reverse proxy...
Un reverse proxy permet de faire du filtrage http/https et de paramètrer
Noshi wrote:Pour les autres types de trojans ca les arrêteras.
Tous les trojans sont détectables si on maitrise son environnement.
La détection a 100% n'existe pas.
Au vu de leur mode de fonctionnement les Trojans sont tous détectables.
Noshi wrote:
Pour les autres types de trojans ca les arrêteras.
Tous les trojans sont détectables si on maitrise son environnement.
La détection a 100% n'existe pas.
Au vu de leur mode de fonctionnement les Trojans sont tous détectables.
Noshi wrote:Pour les autres types de trojans ca les arrêteras.
Tous les trojans sont détectables si on maitrise son environnement.
La détection a 100% n'existe pas.
Au vu de leur mode de fonctionnement les Trojans sont tous détectables.
Qu'elle soit repérable localement, n'est pas le problème ;) Pdv
pénalisation performances, ça doit se chiffrer en nano-seconde, négligeable
vu l'intérêt et bien moindre que n'importe quel AV. Bien sûr qu'on peut
patcher la dll, terminer le process ou empêcher son chargement comme
certains malwares le font pour des AV ou des FW. Ce que je dis, c'est que
je ne connais aucun malware actuellement conçu pour le faire et permettre
son exécution en passant inaperçu. IMHO, c'est une excellente couche de
protection supplémentaire à l'AV et au FW, à ma connaissance, *pour
l'instant* aucune modif illicite, dll injection, injection de code dans un
process en cours, inscription aux clés RUN, etc..., terminaison ou
démarrage d'un service, installation furtive ne lui échappe.
Le seul problème est que ce logiciel nécessite un minimum de connaissance et
n'est pas destiné à l'utilisateur lambda.
Qu'elle soit repérable localement, n'est pas le problème ;) Pdv
pénalisation performances, ça doit se chiffrer en nano-seconde, négligeable
vu l'intérêt et bien moindre que n'importe quel AV. Bien sûr qu'on peut
patcher la dll, terminer le process ou empêcher son chargement comme
certains malwares le font pour des AV ou des FW. Ce que je dis, c'est que
je ne connais aucun malware actuellement conçu pour le faire et permettre
son exécution en passant inaperçu. IMHO, c'est une excellente couche de
protection supplémentaire à l'AV et au FW, à ma connaissance, *pour
l'instant* aucune modif illicite, dll injection, injection de code dans un
process en cours, inscription aux clés RUN, etc..., terminaison ou
démarrage d'un service, installation furtive ne lui échappe.
Le seul problème est que ce logiciel nécessite un minimum de connaissance et
n'est pas destiné à l'utilisateur lambda.
Qu'elle soit repérable localement, n'est pas le problème ;) Pdv
pénalisation performances, ça doit se chiffrer en nano-seconde, négligeable
vu l'intérêt et bien moindre que n'importe quel AV. Bien sûr qu'on peut
patcher la dll, terminer le process ou empêcher son chargement comme
certains malwares le font pour des AV ou des FW. Ce que je dis, c'est que
je ne connais aucun malware actuellement conçu pour le faire et permettre
son exécution en passant inaperçu. IMHO, c'est une excellente couche de
protection supplémentaire à l'AV et au FW, à ma connaissance, *pour
l'instant* aucune modif illicite, dll injection, injection de code dans un
process en cours, inscription aux clés RUN, etc..., terminaison ou
démarrage d'un service, installation furtive ne lui échappe.
Le seul problème est que ce logiciel nécessite un minimum de connaissance et
n'est pas destiné à l'utilisateur lambda.
Connaîtrais-tu un exécutable quelconque qui y arriverait ?
Connaîtrais-tu un exécutable quelconque qui y arriverait ?
Connaîtrais-tu un exécutable quelconque qui y arriverait ?
Autrement dans le même esprit pourquoi ne traduis-tu pas
enfin/définitivement l'expression anglosaxone "safe hex" ?
Autrement dans le même esprit pourquoi ne traduis-tu pas
enfin/définitivement l'expression anglosaxone "safe hex" ?
Autrement dans le même esprit pourquoi ne traduis-tu pas
enfin/définitivement l'expression anglosaxone "safe hex" ?
On Thu, 20 May 2004 20:44:16 +0200, JacK wrote:Connaîtrais-tu un exécutable quelconque qui y arriverait ?
Même mon JAB ne passait pas ...
:(
Nicob
On Thu, 20 May 2004 20:44:16 +0200, JacK wrote:
Connaîtrais-tu un exécutable quelconque qui y arriverait ?
Même mon JAB ne passait pas ...
:(
Nicob
On Thu, 20 May 2004 20:44:16 +0200, JacK wrote:Connaîtrais-tu un exécutable quelconque qui y arriverait ?
Même mon JAB ne passait pas ...
:(
Nicob
Malheureusement si car ses réactions peuvent engendrer des
dysfonctionnements, bugs, risques.
Ca n'en fait pas une vulnérabilité mais une faiblesse.
Si car elle devient exploitable. Enfin bon on ne va pas encore pinailler
Non.
Car sa réponse laissait entendre qu'un FW ne sert à rien. Ce qui est une
contre-vérité.
Ben non. Sa réponse faisait clairement la différence entre une menace et un
outil qui n'est pas adapté a lutter contre cette menace précise. Il ne
disait rien des autres menaces
On s'est expliqué ensemble donc sujet clos pour moi.
Surtout sans connaitre son environnement. C'est le probleme principal. Les
gens utilisent des ordinateurs sans connaitre les risques.
Ils ne sont pas sensibilisés à ces risques en général mais je trouve
Le contrôle de la BDR permet d'aministrer et gèrer son environnement
tout comme d'accepter/refuser toute entrée/sortie.
controler la base de registre ne veut pas dire bloquer l'écriture.
Bien sur que si tu peux empêcher la création, l'effacement, la
Déjà l'heuristique des antivirus c'est pas un truc optimal...
Ca l'est de plus en plus.
Peux-tu expliquer pourquoi tu dis cela ?
Parce qu'il n'offre aucune garantie que ce qu'il dit est pertinent.
C'était vrai il y a encore 2ans. Depuis les résultats sont de plus en
Il n'y
a pas d'intelligence derrière.
Si les algorithmes employés.
Juste des regles de conduites.
Des règles d'analyses dont la corrélation aboutit à un résultat.
Et donc ce
n'est pas parce qu'il dit qu'un fichier n'est pas dangereux qu'il ne l'est
pas réellement.
Il y a toujours des erreurs mais je t'avouerai que je suis de plus en
Donc meme avec tes autres
contremesure j'estime que je trojan a de bonne chance de passer et de virer
le disque.
Tu oublies le cryptage des données.
Non je ne l'oublie pas. Tout dépend de quel cryptage on parle.
Documents, fichiers, disque dur (ou les mails, les serveurs mais ce
Pour les autres types de trojans ca les arrêteras.
Tous les trojans sont détectables si on maitrise son environnement.
La détection a 100% n'existe pas.
Au vu de leur mode de fonctionnement les Trojans sont tous détectables.
Pour moi le premier echelon de la bonne sécurité c'est l'utilisateur. Tout
le reste de ce qu'on peut mettre en place ne servira a *rien* si
l'utilisateur n'est pas formé. Donc c'est pour moi la pièce maitresse et
tout le reste est dépendant de cette condition.
Pour le user particulier oui et encore pour quelque temps avant d'avoir
Le controle de la BDR a partir du moment ou ce que le trojan veut faire
c'est effacer des fichiers ou lire directement dans d'autres (voir meme
lire la BDR) ca ne servira a rien.
Tu considères que le Trojan est déjà installé. Avant même qu'il ne
puisse agir je t'explique que l'on peut toujours le détecter.
Ben non on ne peut pas "toujours".
Ok on va pas pinailler bêtement. ;)
Bien
entendu cela dépend du niveau de sécurité de l'environnement de la cible
et du comportement du user.
Non. C'est une certitude.
Ben si, c'est la combinaison comportement/attitude + contre-mesure qui
Quelle que soit les techniques trouvées pour
détecter des programmes dangereux il existera une technique suivante qui
les dissimulera a ces nouvelles techniques et qui obligera a mettre en
place des techniques supplémentaires.
C'est l'histoire du voleur et ...
SAUF si on arrive a expliquer a tout
le monde qu'il ne faut pas cliquer sur n'importe quoi. Etc.
Voeux pieux. ;)
L'utilisateur
formé rend la nécessité des parades moins vitales.
Excuses-moi il est peut être trop tard mais je ne comprends pas le sens
Mais ces données il faut bien y avoir acces. Et si l'utilisateur qui a le
droit fait quelque chose de mauvais (lancer un trojan) cryptage ou pas...
ca ne bloquera pas)
On est d'accord.
Le cryptage est la pour assurer que une personne non autorisée n'aura pas
acces aux données qu'il ne peut pas voir. Pas pour s'assurer que
l'utilisateur qui y a acces ne fera pas de conneries.
Exactement.
Oui bien sur. Je n'en suis pas sorti.
Ok ;)
Le firewall n'est pas
concu pour analyser un flux. Il est concu pour bloquer ou autoriser des
connections sur base de critères.
C'est juste pour ce qui est du firewall classique dirons-nous. Mais il
existe des firewalls applicatifs.
Non. Le firewall applicatif dans le sens qui lui est donné sur ce forum est
un firewall qui peut gérer les applications qui peuvent avoir acces au
réseau en plus de filtrer simplement sur les ports et protocoles. Donc ca
reste des criteres. Par exemple le détournement d'IE par JAB (excellent POC
de Nicob) montre a quel point il est erroné de croire que le firewall
applicatif offre une protection a 100%
Ok.
Le filtrage des flux se situe au niveau de l'IDS qui est un autre aspect de la sécurité.
Le filtrage des flux s'effectue au niveau des applications, protocoles.
L'iDS est une technique de détection à base de signatures.
Comment savoir qu'une page HTML qui arrive dans internet explorer est une
page valide ou pas?
Cela repose sur l'utilisation de règles et filtres.
Comment savoir que cette page a été demandée par un
programme malsain? c'est pas possible.
Si tu utilises un proxy local comme Proxomitron par exemple tu peux le
Sinon le flux HTTPS ... si tu veux l'analyser ca veut dire que ca doit se
faire par le programme qui établit la connexion... puisque ce qui arrive
au niveau du firewall est déjà illisible.
L'analyse des flux https repose sur l'emploi de firewall applicatif
(reverse proxy).
Si tu reprend bien ma réponse tu verras que ca parle du programme qui
établit la connexion.
lol excuses-moi je ne me suis pas relu. Remplaces analyse par filtrage.
Donc que ca soit un reverse proxy (tiens a ce sujet
ca n'existe pas pour faire de l'analyse de flux mais principalement pour
des systèmes de load balancing, fail over et un peu de sécurité)
Je suis allé trop vite en besogne (cf ci-dessus)
Sinon ca serait interessant de donner plus d'info sur un firewall qui
jouerait le role de reverse proxy...
Un reverse proxy permet de faire du filtrage http/https et de paramètrer
Malheureusement si car ses réactions peuvent engendrer des
dysfonctionnements, bugs, risques.
Ca n'en fait pas une vulnérabilité mais une faiblesse.
Si car elle devient exploitable. Enfin bon on ne va pas encore pinailler
Non.
Car sa réponse laissait entendre qu'un FW ne sert à rien. Ce qui est une
contre-vérité.
Ben non. Sa réponse faisait clairement la différence entre une menace et un
outil qui n'est pas adapté a lutter contre cette menace précise. Il ne
disait rien des autres menaces
On s'est expliqué ensemble donc sujet clos pour moi.
Surtout sans connaitre son environnement. C'est le probleme principal. Les
gens utilisent des ordinateurs sans connaitre les risques.
Ils ne sont pas sensibilisés à ces risques en général mais je trouve
Le contrôle de la BDR permet d'aministrer et gèrer son environnement
tout comme d'accepter/refuser toute entrée/sortie.
controler la base de registre ne veut pas dire bloquer l'écriture.
Bien sur que si tu peux empêcher la création, l'effacement, la
Déjà l'heuristique des antivirus c'est pas un truc optimal...
Ca l'est de plus en plus.
Peux-tu expliquer pourquoi tu dis cela ?
Parce qu'il n'offre aucune garantie que ce qu'il dit est pertinent.
C'était vrai il y a encore 2ans. Depuis les résultats sont de plus en
Il n'y
a pas d'intelligence derrière.
Si les algorithmes employés.
Juste des regles de conduites.
Des règles d'analyses dont la corrélation aboutit à un résultat.
Et donc ce
n'est pas parce qu'il dit qu'un fichier n'est pas dangereux qu'il ne l'est
pas réellement.
Il y a toujours des erreurs mais je t'avouerai que je suis de plus en
Donc meme avec tes autres
contremesure j'estime que je trojan a de bonne chance de passer et de virer
le disque.
Tu oublies le cryptage des données.
Non je ne l'oublie pas. Tout dépend de quel cryptage on parle.
Documents, fichiers, disque dur (ou les mails, les serveurs mais ce
Pour les autres types de trojans ca les arrêteras.
Tous les trojans sont détectables si on maitrise son environnement.
La détection a 100% n'existe pas.
Au vu de leur mode de fonctionnement les Trojans sont tous détectables.
Pour moi le premier echelon de la bonne sécurité c'est l'utilisateur. Tout
le reste de ce qu'on peut mettre en place ne servira a *rien* si
l'utilisateur n'est pas formé. Donc c'est pour moi la pièce maitresse et
tout le reste est dépendant de cette condition.
Pour le user particulier oui et encore pour quelque temps avant d'avoir
Le controle de la BDR a partir du moment ou ce que le trojan veut faire
c'est effacer des fichiers ou lire directement dans d'autres (voir meme
lire la BDR) ca ne servira a rien.
Tu considères que le Trojan est déjà installé. Avant même qu'il ne
puisse agir je t'explique que l'on peut toujours le détecter.
Ben non on ne peut pas "toujours".
Ok on va pas pinailler bêtement. ;)
Bien
entendu cela dépend du niveau de sécurité de l'environnement de la cible
et du comportement du user.
Non. C'est une certitude.
Ben si, c'est la combinaison comportement/attitude + contre-mesure qui
Quelle que soit les techniques trouvées pour
détecter des programmes dangereux il existera une technique suivante qui
les dissimulera a ces nouvelles techniques et qui obligera a mettre en
place des techniques supplémentaires.
C'est l'histoire du voleur et ...
SAUF si on arrive a expliquer a tout
le monde qu'il ne faut pas cliquer sur n'importe quoi. Etc.
Voeux pieux. ;)
L'utilisateur
formé rend la nécessité des parades moins vitales.
Excuses-moi il est peut être trop tard mais je ne comprends pas le sens
Mais ces données il faut bien y avoir acces. Et si l'utilisateur qui a le
droit fait quelque chose de mauvais (lancer un trojan) cryptage ou pas...
ca ne bloquera pas)
On est d'accord.
Le cryptage est la pour assurer que une personne non autorisée n'aura pas
acces aux données qu'il ne peut pas voir. Pas pour s'assurer que
l'utilisateur qui y a acces ne fera pas de conneries.
Exactement.
Oui bien sur. Je n'en suis pas sorti.
Ok ;)
Le firewall n'est pas
concu pour analyser un flux. Il est concu pour bloquer ou autoriser des
connections sur base de critères.
C'est juste pour ce qui est du firewall classique dirons-nous. Mais il
existe des firewalls applicatifs.
Non. Le firewall applicatif dans le sens qui lui est donné sur ce forum est
un firewall qui peut gérer les applications qui peuvent avoir acces au
réseau en plus de filtrer simplement sur les ports et protocoles. Donc ca
reste des criteres. Par exemple le détournement d'IE par JAB (excellent POC
de Nicob) montre a quel point il est erroné de croire que le firewall
applicatif offre une protection a 100%
Ok.
Le filtrage des flux se situe au niveau de l'IDS qui est un autre aspect de la sécurité.
Le filtrage des flux s'effectue au niveau des applications, protocoles.
L'iDS est une technique de détection à base de signatures.
Comment savoir qu'une page HTML qui arrive dans internet explorer est une
page valide ou pas?
Cela repose sur l'utilisation de règles et filtres.
Comment savoir que cette page a été demandée par un
programme malsain? c'est pas possible.
Si tu utilises un proxy local comme Proxomitron par exemple tu peux le
Sinon le flux HTTPS ... si tu veux l'analyser ca veut dire que ca doit se
faire par le programme qui établit la connexion... puisque ce qui arrive
au niveau du firewall est déjà illisible.
L'analyse des flux https repose sur l'emploi de firewall applicatif
(reverse proxy).
Si tu reprend bien ma réponse tu verras que ca parle du programme qui
établit la connexion.
lol excuses-moi je ne me suis pas relu. Remplaces analyse par filtrage.
Donc que ca soit un reverse proxy (tiens a ce sujet
ca n'existe pas pour faire de l'analyse de flux mais principalement pour
des systèmes de load balancing, fail over et un peu de sécurité)
Je suis allé trop vite en besogne (cf ci-dessus)
Sinon ca serait interessant de donner plus d'info sur un firewall qui
jouerait le role de reverse proxy...
Un reverse proxy permet de faire du filtrage http/https et de paramètrer
Malheureusement si car ses réactions peuvent engendrer des
dysfonctionnements, bugs, risques.
Ca n'en fait pas une vulnérabilité mais une faiblesse.
Si car elle devient exploitable. Enfin bon on ne va pas encore pinailler
Non.
Car sa réponse laissait entendre qu'un FW ne sert à rien. Ce qui est une
contre-vérité.
Ben non. Sa réponse faisait clairement la différence entre une menace et un
outil qui n'est pas adapté a lutter contre cette menace précise. Il ne
disait rien des autres menaces
On s'est expliqué ensemble donc sujet clos pour moi.
Surtout sans connaitre son environnement. C'est le probleme principal. Les
gens utilisent des ordinateurs sans connaitre les risques.
Ils ne sont pas sensibilisés à ces risques en général mais je trouve
Le contrôle de la BDR permet d'aministrer et gèrer son environnement
tout comme d'accepter/refuser toute entrée/sortie.
controler la base de registre ne veut pas dire bloquer l'écriture.
Bien sur que si tu peux empêcher la création, l'effacement, la
Déjà l'heuristique des antivirus c'est pas un truc optimal...
Ca l'est de plus en plus.
Peux-tu expliquer pourquoi tu dis cela ?
Parce qu'il n'offre aucune garantie que ce qu'il dit est pertinent.
C'était vrai il y a encore 2ans. Depuis les résultats sont de plus en
Il n'y
a pas d'intelligence derrière.
Si les algorithmes employés.
Juste des regles de conduites.
Des règles d'analyses dont la corrélation aboutit à un résultat.
Et donc ce
n'est pas parce qu'il dit qu'un fichier n'est pas dangereux qu'il ne l'est
pas réellement.
Il y a toujours des erreurs mais je t'avouerai que je suis de plus en
Donc meme avec tes autres
contremesure j'estime que je trojan a de bonne chance de passer et de virer
le disque.
Tu oublies le cryptage des données.
Non je ne l'oublie pas. Tout dépend de quel cryptage on parle.
Documents, fichiers, disque dur (ou les mails, les serveurs mais ce
Pour les autres types de trojans ca les arrêteras.
Tous les trojans sont détectables si on maitrise son environnement.
La détection a 100% n'existe pas.
Au vu de leur mode de fonctionnement les Trojans sont tous détectables.
Pour moi le premier echelon de la bonne sécurité c'est l'utilisateur. Tout
le reste de ce qu'on peut mettre en place ne servira a *rien* si
l'utilisateur n'est pas formé. Donc c'est pour moi la pièce maitresse et
tout le reste est dépendant de cette condition.
Pour le user particulier oui et encore pour quelque temps avant d'avoir
Le controle de la BDR a partir du moment ou ce que le trojan veut faire
c'est effacer des fichiers ou lire directement dans d'autres (voir meme
lire la BDR) ca ne servira a rien.
Tu considères que le Trojan est déjà installé. Avant même qu'il ne
puisse agir je t'explique que l'on peut toujours le détecter.
Ben non on ne peut pas "toujours".
Ok on va pas pinailler bêtement. ;)
Bien
entendu cela dépend du niveau de sécurité de l'environnement de la cible
et du comportement du user.
Non. C'est une certitude.
Ben si, c'est la combinaison comportement/attitude + contre-mesure qui
Quelle que soit les techniques trouvées pour
détecter des programmes dangereux il existera une technique suivante qui
les dissimulera a ces nouvelles techniques et qui obligera a mettre en
place des techniques supplémentaires.
C'est l'histoire du voleur et ...
SAUF si on arrive a expliquer a tout
le monde qu'il ne faut pas cliquer sur n'importe quoi. Etc.
Voeux pieux. ;)
L'utilisateur
formé rend la nécessité des parades moins vitales.
Excuses-moi il est peut être trop tard mais je ne comprends pas le sens
Mais ces données il faut bien y avoir acces. Et si l'utilisateur qui a le
droit fait quelque chose de mauvais (lancer un trojan) cryptage ou pas...
ca ne bloquera pas)
On est d'accord.
Le cryptage est la pour assurer que une personne non autorisée n'aura pas
acces aux données qu'il ne peut pas voir. Pas pour s'assurer que
l'utilisateur qui y a acces ne fera pas de conneries.
Exactement.
Oui bien sur. Je n'en suis pas sorti.
Ok ;)
Le firewall n'est pas
concu pour analyser un flux. Il est concu pour bloquer ou autoriser des
connections sur base de critères.
C'est juste pour ce qui est du firewall classique dirons-nous. Mais il
existe des firewalls applicatifs.
Non. Le firewall applicatif dans le sens qui lui est donné sur ce forum est
un firewall qui peut gérer les applications qui peuvent avoir acces au
réseau en plus de filtrer simplement sur les ports et protocoles. Donc ca
reste des criteres. Par exemple le détournement d'IE par JAB (excellent POC
de Nicob) montre a quel point il est erroné de croire que le firewall
applicatif offre une protection a 100%
Ok.
Le filtrage des flux se situe au niveau de l'IDS qui est un autre aspect de la sécurité.
Le filtrage des flux s'effectue au niveau des applications, protocoles.
L'iDS est une technique de détection à base de signatures.
Comment savoir qu'une page HTML qui arrive dans internet explorer est une
page valide ou pas?
Cela repose sur l'utilisation de règles et filtres.
Comment savoir que cette page a été demandée par un
programme malsain? c'est pas possible.
Si tu utilises un proxy local comme Proxomitron par exemple tu peux le
Sinon le flux HTTPS ... si tu veux l'analyser ca veut dire que ca doit se
faire par le programme qui établit la connexion... puisque ce qui arrive
au niveau du firewall est déjà illisible.
L'analyse des flux https repose sur l'emploi de firewall applicatif
(reverse proxy).
Si tu reprend bien ma réponse tu verras que ca parle du programme qui
établit la connexion.
lol excuses-moi je ne me suis pas relu. Remplaces analyse par filtrage.
Donc que ca soit un reverse proxy (tiens a ce sujet
ca n'existe pas pour faire de l'analyse de flux mais principalement pour
des systèmes de load balancing, fail over et un peu de sécurité)
Je suis allé trop vite en besogne (cf ci-dessus)
Sinon ca serait interessant de donner plus d'info sur un firewall qui
jouerait le role de reverse proxy...
Un reverse proxy permet de faire du filtrage http/https et de paramètrer
Ne déformez pas la réalité. Nous échangeons en français que je sache.
L'emploi de qq anglicismes sont là uniquement pour mettre une petite
touche originale/sympathique.
La jeunesse n'a plus aucune courtoisie et notion du respect d'autrui.
[...]
Vous avez encore besoin de maturité.
Ne déformez pas la réalité. Nous échangeons en français que je sache.
L'emploi de qq anglicismes sont là uniquement pour mettre une petite
touche originale/sympathique.
La jeunesse n'a plus aucune courtoisie et notion du respect d'autrui.
[...]
Vous avez encore besoin de maturité.
Ne déformez pas la réalité. Nous échangeons en français que je sache.
L'emploi de qq anglicismes sont là uniquement pour mettre une petite
touche originale/sympathique.
La jeunesse n'a plus aucune courtoisie et notion du respect d'autrui.
[...]
Vous avez encore besoin de maturité.
