OVH Cloud OVH Cloud

Spyware et firewall

8 réponses
Avatar
Pascal
Bonjour,

Je me demandais : est ce que les spywares sont capables de passer outre
le firewall? Je pense que non. En moyenne, tous les mois j'ai 2 ou 3
spywares. Dont parfois des exe, et je ne vois jamais de logs de
tentative de connexion à l'ext de ces exe dans mes logs de firewall.

--
Pascal

8 réponses

Avatar
Fabien LE LEZ
On 10 Oct 2004 20:55:20 GMT, Pascal :

Je me demandais : est ce que les spywares sont capables de passer outre
le firewall?


Quels spywares ? Quel firewall, configuré comment ?
Généralement, un spyware s'installe de quatre façons différentes :
1- une pièce jointe à un email, que tu exécutes
2- une faille de ton navigateur web
3- il accompagne un logiciel que tu utilises
4- une faille de ton OS, avec une vulnérabilité sur un port
ouvert (exemple : Sasser).

Le firewall peut empêcher le cas [4], mais ne peut rien pour les
autres. Le cas [2] peut être évité par un proxy, mais c'est pas
garanti, et de toutes façons c'est hors-sujet.

Maintenant, une fois qu'il est installé, peut-il envoyer des
informations vers l'extérieur ? Là encore, ça dépend du firewall.
Kerio 2.1.5 bien configuré l'arrêtera ; le firewall de Windows XP le
laissera passer (y compris avec le SP2 si j'ai bien tout compris).


--
;-)

Avatar
Dominique Blas
Pascal wrote:

Bonjour,

Je me demandais : est ce que les spywares sont capables de passer outre
le firewall? Je pense que non. En moyenne, tous les mois j'ai 2 ou 3
spywares. Dont parfois des exe, et je ne vois jamais de logs de
tentative de connexion à l'ext de ces exe dans mes logs de firewall.

Voir la réponse de Fabien : cela dépend de la configuration ?

Firewall local (applicatif et réseau) ou sur une passerelle (réseau),
marque (possibilités ?) du firewall, type de configuration (bonne ou
mauvaise), type de dispositif de protection : firewall (filtrage réseau) ou
proxy (filtrage applicatif).
De toute manière un spyware normal communique via le port 80 et à moins de
recenser les possibilités de contact du spyware et de les déclarer dans le
filtre réseau une éventuelle protection est jouable au niveau d'un proxy
qui interceptera le type d'agent (User-Agent) ou d'autres éélments de
l'entête (ou des entêtes).

De toute manière le mieux est encore de NE PAS avoir de spyware, n'set ce
pas ?

db
--
email : usenet blas net

Avatar
Pascal
Dominique Blas wrote:

firewall : sygate personnal firewall. Bien conf en pratique
Réseau local.

Les spy viennent de "che pas ou". Une faille du navigateur. Dernièrement
j'ai eu droit à un exe, d'après ad aware, il utilise une faille pour
s'installer. Or je suis à jour coté windows 2000. Et pis mon browser
c'est avant browser.

De toute manière un spyware normal communique via le port 80 et à moins de
recenser les possibilités de contact du spyware et de les déclarer dans le
filtre réseau une éventuelle protection est jouable au niveau d'un proxy
qui interceptera le type d'agent (User-Agent) ou d'autres éélments de
l'entête (ou des entêtes).


Mais si je ne l'ai pas déclaré dans ma liste de soft à utiliser
internet, il ne pourra pas passer. Ce que je ne comprends pas, c'est que
dans ce cas, il devrait des traces sur mes logs... non?

De toute manière le mieux est encore de NE PAS avoir de spyware, n'set ce
pas ?


Utopie?



--
Pascal

Avatar
Fabien LE LEZ
On 11 Oct 2004 19:27:23 GMT, Pascal :

Et pis mon browser
c'est avant browser.


Avant Browser, c'est pas un truc qui utilise le moteur d'IE ? Donc
pourri jusqu'à la moelle.

Or je suis à jour coté windows 2000.


Tu as bien IE6 SP2 ? Comment ça "Il est pas dispo pour W2K" ? ;-)

Mais si je ne l'ai pas déclaré dans ma liste de soft à utiliser
internet, il ne pourra pas passer.


Ça dépend :
- de la configuration de ton firewall
- des failles d'icelui
- de la capacité du spyware à outrepasser le firewall

Ce que je ne comprends pas, c'est que
dans ce cas, il devrait des traces sur mes logs...


Ça dépend :
- de la configuration de ton firewall
- des failles d'icelui
- de la capacité du spyware à outrepasser le firewall



--
;-)

Avatar
Dominique Blas
Pascal wrote:

Dominique Blas wrote:

firewall : sygate personnal firewall. Bien conf en pratique
Réseau local.

Les spy viennent de "che pas ou". Une faille du navigateur. Dernièrement
j'ai eu droit à un exe, d'après ad aware, il utilise une faille pour
s'installer. Or je suis à jour coté windows 2000. Et pis mon browser
c'est avant browser.

De toute manière un spyware normal communique via le port 80 et à moins
de recenser les possibilités de contact du spyware et de les déclarer
dans le filtre réseau une éventuelle protection est jouable au niveau
d'un proxy qui interceptera le type d'agent (User-Agent) ou d'autres
éélments de l'entête (ou des entêtes).


Mais si je ne l'ai pas déclaré dans ma liste de soft à utiliser
internet, il ne pourra pas passer. Ce que je ne comprends pas, c'est que
dans ce cas, il devrait des traces sur mes logs... non?
Je n'en sais rien. Je ne connais pas les << firewall >> Windows.

J'utilise une combinaison firewall statefull et détecteur d'intrusion à <<
l'envers >>.


De toute manière le mieux est encore de NE PAS avoir de spyware, n'set ce
pas ?


Utopie?
Certainement pas et encore heureux !

J'ai quelques clients qui, à l'aide d'une politique de sécurité bien faite
et respectée n'ont pas eu de merdes depuis un bon bout de temps (et l'un
d'entre eux possède plusieurs centaines de postes de travail derrière
l'entrée Internet principale).
Ces règles sont facilement applicables chez un particulier à condition qu'il
les respecte.
C'est un choix : un peu de discipline et aucune << merde >>, pas de
discipline et << merdes >> assurées.
Un minimum de règles suffit à être débarassé de > 95% des trucs en tout
genre qui traînent :
- utiliser Mozilla à la place de IE/Outlook tout en neutralisant les
popups ;
- ne JAMAIS ouvrir une pièce-jointe provenant d'un inconnu ;
- ne jamais ouvrir une pièce-jointe (y compris provenant d'un ami)
pouvant contenir un code exécutable (genre .exe, .vbs, .doc, .xls, .com,
etc).

Pour les .doc et .xls il existe des visionneuses Word et Excel chez µsoft
qui ne possèdent pas la couche macros et sont donc sans danger.

C'est pas sorcier tout de même, un enfant de 5 ans le commprendrait,

db

--
email : usenet blas net


Avatar
Pascal
Dominique Blas wrote:

Je n'en sais rien. Je ne connais pas les << firewall >> Windows.
J'utilise une combinaison firewall statefull et détecteur d'intrusion à <<
l'envers >>.


Un firewall ne fonctionne que d'une façon : si tu connais un firewall,
tu les connais tous.

Un minimum de règles suffit à être débarassé de > 95% des trucs en tout
genre qui traînent :


Et donc pas 100%. J'ai pas dit le contraire : ce que je dis c'est que on
ne pourra jamais avoir 0 spyware tout le temps. C'est pas dificile à
comprendre non plus. :)


--
Pascal

Avatar
Dominique Blas
Pascal wrote:

Dominique Blas wrote:

Je n'en sais rien. Je ne connais pas les << firewall >> Windows.
J'utilise une combinaison firewall statefull et détecteur d'intrusion à
<< l'envers >>.


Un firewall ne fonctionne que d'une façon : si tu connais un firewall,
tu les connais tous.
Complètement faux sur la forme. Hélas, mille fois hélas mais faux.

D'une part parce que les gens du marketing font exprès d'inventer des termes
nouveaux pour signifier quelque chose qui est déjà connu sous une autre
expression,
d'autre part parce que les firewalls du marché incluent en général des
fonctions bien éloignées d'un filtre de paquets au sens plein (NAT, PAT,
port forwarding, proxy, content filtering, IDS, IPS, etc) dont il faut
apprendre le maniement, l'intérêt et le comportement.

Ainsi un firewall nécessite toujours un temps d'adaptation afin de
mémoriser :
son interface homme-machine ;
ses caractéristiques,
le vocabulaire employé,
ses réactions.

Dans le fond je suis d'accord mais sur la forme ça reste purement
théorique : on ne manipule pas un FW-1 comme on manipule un IPF ou un
M>Wall.


Un minimum de règles suffit à être débarassé de > 95% des trucs en tout
genre qui traînent :


Et donc pas 100%. J'ai pas dit le contraire : ce que je dis c'est que on
ne pourra jamais avoir 0 spyware tout le temps. C'est pas dificile à
comprendre non plus. :)
Si, désolé. Je ne parviens pas à comprendre comment on peut récupérer ce

genre de merdes.
Car, en appliquant les règles sus-mentionnées, j'ai 0 spyware depuis 10 ans
(la machine la plus ancienne aura 10 ans dans 6 mois).

db

--
email : usenet blas net


Avatar
Christophe Lephay
Dominique Blas wrote:
Pascal wrote:
Et donc pas 100%. J'ai pas dit le contraire : ce que je dis c'est
que on ne pourra jamais avoir 0 spyware tout le temps. C'est pas
dificile à comprendre non plus. :)
Si, désolé. Je ne parviens pas à comprendre comment on peut récupérer

ce genre de merdes.
Car, en appliquant les règles sus-mentionnées, j'ai 0 spyware depuis
10 ans (la machine la plus ancienne aura 10 ans dans 6 mois).


Sur une machine de production sur laquelle on n'installe que les logiciels
dont on a strictement besoin, je suis d'accord. Par contre, on a vite fait
de se choper des spywares dans le cadre d'une utilisation familale, ne
serait-ce qu'en installant tel ou tel codec. C'est bien pour celà qu'il
existe des logiciels pour lutter contre, de même qu'il existe des logiciels
anti-virus. Si un minimum de discipline permet d'éviter 95% des problèmes,
personne ne peut être certain de ne rien avoir chopé sans l'utilisation de
tels logiciels, quelque soit son niveau de discipline (à moins qu'il
n'installe jamais rien que strict minimum, ce qui reste un peu utopique dans
le cadre d'une utilisation familiale).

Chris