Re: Trouver un emploi chez un éditeur AV

JacK wrote:

Je n'echance pas d'info avec les diffuseurs de virus. Et mon enquete
a commence avant que je le contacte.
Une enquête doit être à charge et à décharge : pas seulement chercher d'un

seul côté.
Guillermito diffuseur de virus ?

On parlait de Spanska au dessus...

Pas besoin d'être un virus pour être potentiellement dangereux.
Que ce soit un programme, un script ou un autre bidule qui endommage le
système ou les données, le résultat est le même : pas de raison
d'êtrte expliqué sur des sites de vulgarisation ou tout public.

Je n'ai pas d'autre moyen de prouver mes dires.

--
[ACBM] Olivier Aichelbaum Pirates Mag'
14/30, rue de Mantes Le Virus Informatique
F-92 700 Colombes
Tel (Fax) : -1 47 81 04 45 (03 72) http://www.acbm.com

In news:3F1EF6DE.837AFCE1@acbm.com,
Olivier Aichelbaum <acbm@acbm.com> signalait:

JacK wrote:

Je n'echance pas d'info avec les diffuseurs de virus. Et mon enquete
a commence avant que je le contacte.
Une enquête doit être à charge et à décharge : pas seulement

chercher d'un seul côté.
Guillermito diffuseur de virus ?

On parlait de Spanska au dessus...
Ce gars ne m'intéresse pas spécialement, je m'intéresse plutôt aux problèmes

de Guillermito et je trouverais
positivement scandaleux s'il n'y avait pas non-lieu. sorry si mes propos
prêtait à confusion.

Pas besoin d'être un virus pour être potentiellement dangereux.
Que ce soit un programme, un script ou un autre bidule qui endommage
le système ou les données, le résultat est le même : pas de raison
d'êtrte expliqué sur des sites de vulgarisation ou tout public.

Je n'ai pas d'autre moyen de prouver mes dires.
Rien à prouver là : tout le monde est d'accord là dessus ;)

--
JacK

Le Wed, 23 Jul 2003 21:32:11 +0200, Arnold McDonald (AMcD) a écrit :

Non, je ne partage pas cette idée. Tu ne sais pas à quoi/qui tu risques
d'avoir affaire.

Dans le cadre d'une entité comme une entreprise c'est prévu dans la
politique de sécurité.

Le mieux, c'est le plus puissant et le plus efficace, pas le plus adapté.
AMHA.

Tu te trompes complètement. Ainsi dans un environnement complètement
fermé, sans possibilités de mises à jour (si si ca existe), ce sera plutot
le moteur heuristique qu'il faudra tester que la base de signatures qui
sera là mise au plan totalement secondaire. Dans le cadre d'un
environnement avec un accès uniquement email, sans autre communication
possible avec le web. Il sera plus utile de mettre le paquet coté serveur
de mail. Le choix de l'antivirus sera alors encore une fois différent (en
fonction notamment du serveur de mails choisi (sendmail, postfix, qmail,
etc...), du nombre de mail à traiter dans un temps T, des règles de
suppressions de tel type de fichier déjà en place, etc...

amicalement,

--
Christophe Casalegno | Digital Network | UIN : 153305055
http://www.digital-network.net | http://www.speed-connect.com
http://www.securite-reseaux.com | http://www.dnsi.info
Security engineer network/systems | Intrusion tests specialist.

salut
"Brain 0verride" <christophe.casalegno@digital-network.net> a écrit
dans le message news:
pan.2003.07.23.21.50.05.255125@digital-network.net

Tu te trompes complètement.

houlala... t'es téméraire toi :-)

ça va encore mal se terminer, c't histoire

amicalement itou

Dans la news:pan.2003.07.23.21.50.05.255125@digital-network.net,
Brain 0verride <christophe.casalegno@digital-network.net> a écrit:

Non, je ne partage pas cette idée. Tu ne sais pas à quoi/qui tu
risques d'avoir affaire.

Dans le cadre d'une entité comme une entreprise c'est prévu dans la
politique de sécurité.

Le mieux, c'est le plus puissant et le plus efficace, pas le plus
adapté. AMHA.

Tu te trompes complètement. Ainsi dans un environnement complètement
fermé, sans possibilités de mises à jour (si si ca existe)

Chic, c'est très moderne :-)

ce sera
plutot le moteur heuristique qu'il faudra tester que la base de
signatures qui sera là mise au plan totalement secondaire. Dans le
cadre d'un environnement avec un accès uniquement email, sans autre
communication possible avec le web.

Est-ce que vous en connaissez beaucoup, des communications comme ça ?
Quid de supports amovibles ?

Ewcia

--
Niesz !

Non, je ne partage pas cette idée. Tu ne sais pas à quoi/qui tu risques
d'avoir affaire.

Dans le cadre d'une entité comme une entreprise c'est prévu dans la
politique de sécurité.

D'accord avec ca. Tu ne sais jamais precisement a quoi tu auras affaire, mais
par contre tu peux eventuellement savoir a quoi tu n'auras pas affaire.
Un bon exemple : le cas de decrit dans le fil "Le Meilleur Antivirus" :
news:3f1d9acc$0$28672$626a54ce@news.free.fr

Le reseau de M. Ortolo ne sera pas relie' a internet. Il est donc de-facto
protege' contre la plupart des worms (ceux qui ne sont pas en meme temps des
infecteurs de fichiers). La menace principale viendra pour ce reseau tres
probablement des virus de macro. Le taux de detection *et de desinfection* des
virus de macro doit donc etre un critere determinant dans le choix de l'AV.
Ensuite, on sait que l'AV a installer ne pourra pas etre mis a jour via
internet. Restent deux choix : les mises a jour de signature par disquette/cd ou
l'installation d'un...heuuu...bloqueur sans mise a jour de signatures.

Deja, il faut faire un choix entre ces deux options, et pour ca se poser
les questions suivantes :
- Peut-on envisager de bloquer l'execution de tout executable "hors macro de
documents" par toute personne n'etant pas administratrice ?
- Quelle est l'efficacite' d'un bloqueur en ce qui concerne la detection
(forcement generique) et l'eradication des virus de macro, si on la
compare a celle d'un anti-virus standard ? Avec quel taux de faux-positifs ?
(je n'ai pas la reponse a ces question)

Si on choisit un anti-virus avec mise a jour de signatures, il faut d'abord
verifier que les signatures peuvent bien etre mises a jour via un support
amovible (je ne suis absolument pas certain que ca soit evident pour tous
les AVs). Puis il faut s'interroger sur la frequence des mises a jour : dans
ce genre de cas ou il s'agit d'une operation un peu contraignante le plus
souvent, au debut, on est plein de bonnes resolutions, puis on s'apercoit un
jour que la derniere m-a-j date d'il y a plus d'un mois.

Mieux vaut donc choisir un AV qui a des heuristiques efficaces et qui est
succeptible de bien reparer les eventuels degats.

D'autres criteres peuvent entrer en compte dans ce cas precis, par exemple :
Souhaite-t'on gerer de maniere centralisee les antivirus de tous les postes
depuis le serveur Linux ?

Selon les besoins, on pourrait meme envisager une solution completement
differente : un serveur de fichiers (sous linux) stockant l'ensemble des
documents partages via le reseau sur un disque scanne' par un AV et des
stations (sous windows) ne stockant que le systeme. Celui-ci pouvant etre
integralement restaure a partir d'images "ghost" saines, stockees elles aussi
sur le serveur.

Le mieux, c'est le plus puissant et le plus efficace, pas le plus adapté.
AMHA.

Tu te trompes complètement.

Yep. Le plus puissant, le plus efficace : vis a vis de tel ou tel critere. Un
AV n'est pas forcement le meilleur sur tous les points.

--
Tweakie
--
Ce message a été posté via la plateforme Web club-Internet.fr
This message has been posted by the Web platform club-Internet.fr

http://forums.club-internet.fr/

"Arnold McDonald (AMcD)" <arnold.mcdonald@free.fr> wrote in message news:<3f1da616$0$28672$626a54ce@news.free.fr>...

LaDDL wrote:

En matière d'AV, il est vrai que certains préfèrent une démarche en
amont ou d'autres en aval !
Alors quelles technologies ? Scanner, Heuristique, Générique ou
Neuronale...
La réponse : un AV en fonction de ses besoins.

Non. Tu ne sais pas à priori quel type de virus tu attrapera,

nous sommes d'accord sur ce point ;)

alors, comment

connaître tes besoins ?

IMHO il s'agit de savoir de quel environnemnt on parle : poste de
travail à domicile ou bien réseau d'entreprise. Car le contexte est
différent ainsi que les problèmes. Peux-tu être plus précis stp ?
Merci. ;)

Ce qu'il faut... c'est le meilleur AV possible !

Pour moi c'est avant tout la solution la plus adaptée à mon
environnement.
Enfin si je raisonne au plan personnel cad : le poste de travail d'un
utilisateur connecté à internet à son domicile doit être équipé d'un
AV couvrant : la détection, l'identification, l'interception, le
traitement des virus. Les AV utilisent des technologies diverses :
recherche de signature, monitoring, détection algorithmique, détection
heuristique, bases de connaissances... Aussi tjrs ds ce contexte mon
choix s portera sur l moteur d'analyse l plus puissant, l'expérience
de l'éditeur & l support.

Tweakie wrote:

Dans le cadre d'une entité comme une entreprise c'est prévu dans la
politique de sécurité.

D'accord avec ca. Tu ne sais jamais precisement a quoi tu auras
affaire, mais par contre tu peux eventuellement savoir a quoi tu
n'auras pas affaire.
Un bon exemple : le cas de decrit dans le fil "Le Meilleur Antivirus"
: news:3f1d9acc$0$28672$626a54ce@news.free.fr

Oui, mais vous ne "comprenez" pas le fond de mon raisonnement. Le votre est
clair; on définit une politique de sécurité puis on utilise les outils
adaptés à cette politique. L'avantage est de parfaitement coller au besoins,
d'avoir une efficacité maximale puisque ne seront utilisés que des outils
concernant des besoins spécifiques et ciblés. Certes. Mais moi, je ne suis
pas d'accord. Il est très difficile de connaître les besoin exacts en
fonction du contexte. Voire impossible. À trop vouloir être spécifique, on
risque d'être dépassé le jour ou un besoin non prévu surgit.

Le reseau de M. Ortolo ne sera pas relie' a internet. Il est donc
de-facto protege' contre la plupart des worms (ceux qui ne sont pas
en meme temps des infecteurs de fichiers). La menace principale
viendra pour ce reseau tres probablement des virus de macro. Le taux
de detection *et de desinfection* des virus de macro doit donc etre
un critere determinant dans le choix de l'AV. Ensuite, on sait que
l'AV a installer ne pourra pas etre mis a jour via internet. Restent
deux choix : les mises a jour de signature par disquette/cd ou
l'installation d'un...heuuu...bloqueur sans mise a jour de
signatures.

Eh non. C'est ce genre de raisonnement que je ne partage pas. Tu ne sais pas
qui sont les autres utilisateurs, ce qu'ils imposeront d'avoir à leur
disposition, d'avoir le droit de faire. Et n'oublie jamais le cas du "je
veux pouvoir faire ça, juste une fois". Je te prend un exemple simple. Il y
a deux ans je m'occupais d'un réseau d'environ 80 postes win95/98 dans un
lycée. Chaque prof avait ses exigences qu'il fallait bien sûr satisfaire et
qui n'étaient jamais en accord avec les principes de sécurité que j'essayais
d'appliquer. Et si ton chef te dis "moi je veux aller sur le net" ben tu le
laisses y aller non ? C'est ça qui est pénible, les cas partiuliers. J'avais
par exemple désactivé les lecteurs de CD. Les virus venaient toujours ! Tu
sais quoi ? Les kids venaient avec des lecteurs portables ! Les profs se
plaignaient des accès aux sites pornos. Après enquête, c'étaient des...
filles qui s'y connectaient ! Bref, c'était comme ça tous les jours. Tu
désactivais l'accès au Net ? Un prof allait voir un administrateur et le
faisait ouvrir parce qu'il en avait besoin pendant deux heures. Et je
pourrait continuer longtemps... Les besoins étaient mouvants et changeaint
tous les jours.

Alors, les besoins "locaux" et ciblés, je persiste et signe : dans 95 % des
cas, c'est impossible à discerner avec précision. Donc, pour prévenir, on
prend du lourd qui fait tout. Quitte à désactiver/activer certaines
fonctionnalités au cas par cas ensuite.

Le mieux, c'est le plus puissant et le plus efficace, pas le plus
adapté. AMHA.

Tu te trompes complètement.

Yep. Le plus puissant, le plus efficace : vis a vis de tel ou tel
critere. Un AV n'est pas forcement le meilleur sur tous les points.

Le problème, c'est surtout d'être sûr que les critères de ta politique de
sécurité ne bougeront pas dans le temps et sont parfaitement choisis. Cela
n'est pas toujours possible.

--
AMcD

http://arnold.mcdonald.free.fr/
(still in fossilization progress but now in english, thus the whole
world can see my laziness)

"Arnold McDonald (AMcD)" <arnold.mcdonald@free.fr> a écrit dans le
message news: 3f1fc630$0$27873$626a54ce@news.free.fr

Alors, les besoins "locaux" et ciblés, je persiste et signe : dans 95
% des cas, c'est impossible à discerner avec précision. Donc, pour
prévenir, on prend du lourd qui fait tout. Quitte à
désactiver/activer certaines fonctionnalités au cas par cas ensuite.

c'est p'têt parce que t'es un manche et que tu ne sais pas utiliser les
*bons* outils

@tchao
--
chacun son avis !
mais c'est quand même *MOUAAAAAA* qu'a raison !
et je vous merde :-P

Oui, mais vous ne "comprenez" pas le fond de mon raisonnement. Le votre est
clair; on définit une politique de sécurité puis on utilise les outils
adaptés à cette politique. L'avantage est de parfaitement coller au besoins,
d'avoir une efficacité maximale puisque ne seront utilisés que des outils
concernant des besoins spécifiques et ciblés. Certes. Mais moi, je ne suis
pas d'accord. Il est très difficile de connaître les besoin exacts en
fonction du contexte. Voire impossible. À trop vouloir être spécifique, on
risque d'être dépassé le jour ou un besoin non prévu surgit.

Certes, mais idealement, la "stabilite'" des contraintes ayant conduit
a l'etablissement de telle ou telle politique de securite' est un
parametre qui devrait etre pris en compte dans la definition de
cette politique (c'est y pas beau comme phrase). Et surtout, la politique
de securite' doit etre mise en place a l'issue d'une phase observation des
besoins et des habitudes des utilisateurs. Si c'est trop diactatorial et trop
brutal, ils trouverons toujours un moyen de ne pas la respecter.

Il y a (au moins) trois facteurs primordiaux qui vont jouer sur la
stabilite' de ces contraintes :
- La taille de la structure : en regle generale, plus c'est gros, moins
les besoins evoluent vite.
- La responsabilite' deleguee a celui qui choisit la politique de
securite' : s'il n'a aucun reel pouvoir pour imposer ses decisions,
il est de toute facon mal barre'...
- L'importance de l'investissement (si on investit cher et "longtemps"
dans quelque chose, on a pas envie de casser ce quelque chose).

Reprenons le cas de M. Ortolo (qui tombe a pic), il convient donc
d'evaluer si possible la probabilite' d'occurence des evenements
suivants (par exemple) :

- Raccordement du reseau, ou d'un de ses elements, a internet. Dans
quels delais et a quelles conditions cela est il envisageable ?
- Raccordement de postes nomades (les portables de membres de
l'association) a cet intranet (risque de choper des saloperies via
les partages windows).
- Utilisateur malveillant ou inconscient qui foutrait plus ou moins
sciemment le systeme en rade (dans un lycee, tu as surement vu ca).
Si ce risque est important, il vaut mieux se prevoir des le
depart une solution de restauration systeme efficace (vu ce qu'il
dit dans un autre message, ca me semble de toute facon une bonne
idee d'y penser).
- Non respect des consignes donnees aux utilisateurs (exemple
typique si l'association regroupe des "jeunes" : l'installation de
jeux en reseau, et bien sur des cracks veroles qui vont avec,
paske c'est c00l les postes windows en reseau).
- Impossibilite' pour le ou les responsables de mettre a jour
les AVs pendant une longue periode.

Et je dirais que plus son reseau a des chances d'etre "ouvert", plus
il a interet a investir dans un produit multi-taches, et a privilegier
le long terme. Si on lui a promis jure' que son reseau ne bougerait
pas pendant les deux prochaines annees, il a plutot interet a se
concentrer sur un produit ciblant specifiquement les dangers immediats,
quitte a en changer dans deux ans si le besoin s'en fait sentir.

Eh non. C'est ce genre de raisonnement que je ne partage pas.
Tu ne sais pas qui sont les autres utilisateurs, ce qu'ils imposeront
d'avoir à leur disposition, d'avoir le droit de faire.

C'est bien pour ca qu'il faut poser la question, et la poser de maniere
assez detaillee, avant toute prise de decision...

Alors, les besoins "locaux" et ciblés, je persiste et signe : dans 95 % des
cas, c'est impossible à discerner avec précision. Donc, pour prévenir, on
prend du lourd qui fait tout. Quitte à désactiver/activer certaines
fonctionnalités au cas par cas ensuite.

Mais le lourd qui fait tout fait il forcement tout aussi bien ?
A l'heure actuelle, il y a surement plusieurs excellents choix qui
font a peu pres tout vraiment bien : McAffee, K*V, Sophos, F-Secure...
Restent les contraintes materielles :
- Installation sur des postes non relies au net (question a ceux
ayant d/l Norton 2004 beta : vous croyez qu'avec son schmilblick
d'activation via le reseau Norton est installable sur un tel poste ?)
- MaJ de l'AV depuis un support amovible
- eventuellement : administration centralisee
- ergonomie ?

Bref, meme si on ne peut oas tout orevoir, il n'y a pas que le critere
"efficacite'", et le choix optimal pour M. Ortolo (qui n'a pas precise'
l'age - ou les perfs - de ses PCs, autre critere a prendre en compte)
n'est sans doute pas le meme que celui du "home user" standard ou de
la grande entreprise.

--
Tweakie
--
Ce message a été posté via la plateforme Web club-Internet.fr
This message has been posted by the Web platform club-Internet.fr

http://forums.club-internet.fr/