Отправляет email-рассылки с помощью сервиса Sendsay

RFpro.ru: Защита информации, шифрование данных

Подписаться Бесплатная «Серебряная» новостная рассылка . Подписчиков 1.834 RSS
←   Июнь 2006   →
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30


За последние 60 дней ни разу не выходила


Сайт рассылки: http://rusfaq.ru
Открыта: 19-07-2005

Автор
Калашников О.А.

Статистика

1.834 подписчиков
0 за неделю
←   Все выпуски   →

RusFAQ.ru: Защита информации


РАССЫЛКИ ПОРТАЛА RUSFAQ.RU

/ КОМПЬЮТЕРЫ И ПО / Защита информации / Защита информации

Выпуск № 125
от 29.06.2006, 05:05

Администратор:Калашников О.А.
В рассылке:Подписчиков: 449, Экспертов: 40
В номере:Вопросов: 1, Ответов: 2

Вопрос № 47179: Здравствуйте! Вот такая история приключилась: недавно протестировал все активные dll-ки и обнаружил: 1-вирус обнаружен антивирем при обращении, хотя до этого антивирь молчал (полная проверка системы не прововдилась) и 2 модуля без електронных под...

Вопрос № 47.179
Здравствуйте!
Вот такая история приключилась: недавно протестировал все активные dll-ки и обнаружил: 1-вирус обнаружен антивирем при обращении, хотя до этого антивирь молчал (полная проверка системы не прововдилась) и 2 модуля без електронных подписей, машина без них работает отлично.
В связи с этим возникает несколько естественных вопросов:
1. Все ли файлы в папке Windows должны иметь цифровые подписи?
2. Насколько сложно подделать цифровую подпись (не в прямом смысле подделать, а создать файл, в котором производителем бы указывалась Microsoft Corporatoin или другая) и как проверить действительное соответствие файла в таком случае? (насколько надёжна защита системных файлов цифровыми подписями вообще?)
3. Как автоматически проверить все файлы на наличие цыфровых подписей в системных папках?
4. Антивирус запускается как служба, что если вирус запускается до антивируса, производит действия и выгружается из памяти, оставаясь незамеченным (либо вирус вообще незнаком антивирусу!) Как в таком случае просмотреть все файлы (и их модули!) запускаемые при старте системы.
Я не совсем просвещён по данной теме, поэтому прошу прощения, если вопрос покажется туманным и не вполне конкретным. Буду очень благодарен за любые ответы, относящиеся к данной теме.
Отправлен: 24.06.2006, 05:04
Вопрос задал: Rok-set (статус: 2-ой класс)
Всего ответов: 2
Мини-форум вопроса >>> (сообщений: 0)
Отвечает: LastSoul
Здравствуйте, Rok-set!

1. Теоретически - все файлы относящиеся к самой Windows подписаны. Но в папке Windows могут находиться также и файлы сторонних программ, в том числе вполне легальные, но далеко не всегда подписанные.

2. Подделать цифровую подпись принципиально возможно, но достаточно сложно для того чтобы это никто не пытался сделать. Во всяком случае, таких случаев пока не зарегистрировано.

4. Сомневаюсь что вирус будет самостоятельно выгружаться из памяти не оставляя после себя хотя бы дочерние процессы. Современным вирусам это не свойственно, поскольку выгружаясь полностью вирус во первых теряет контроль за системой - т.е. не может активно препятствовать антивирусам, а во вторых даже если предположить что вирус специально грузится как можно раньше (чтобы успеть отработать до любого антивируса) то такое поведение сильно ограничило бы его область/скорость размножения, поскольку сеть в этот момент как правило тоже еще не доступна. А вирус не спосообный нормально размножаться долго не живет.

На случай, если вирус не знаком антивирусу нужно обновить базы антивируса либо попробовать другой антивирус.

При старте системы программы запускаются из следующих мест:
%ALLUSERSPROFILE%Start MenuProgramsStartup
%USERSPROFILE%Start MenuProgramsStartup
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRunOnce
HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRun
HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRunonce
а также запускаются как системные службы.

Для проверки подписей уже запущенных программ, а также многого другого рекомендую воспользоваться программой Process Explorer из пакета SystemInternals.
Ответ отправил: LastSoul (статус: 4-ый класс)
Ответ отправлен: 26.06.2006, 13:29
Оценка за ответ: 5
Комментарий оценки:
БОЛЬШОЕ спасаибо за программу!!!
Но всё-таки вопрос остается открытым - как контролировать цифровые подписи у всех запускаемых модулях(как в файерволе)? Не просматривать же каждый раз вручную! (может есть такая опция в файрере, но я найти не могу - только "общие компоненты" стенка - Outpost Firewall Pro ver. 3.0.543.5722 (431) подскажит, кто знает)
Отвечает: Elinn
Здравствуйте, Rok-set!
отвечу только частично
на самом деле есть вирусы, которые запускаются очень быстро, но все равно они не могут не оставлять после себя "следов", тогда по идее теряется их смысл
рекомендуется периодически проверять компьютер в безопасном режиме, тогда вероятность обнаружения "хитрых" вирусов выше, кроме того, необходимо постоянно обновлять антивирусные базы
что касается "либо вирус вообще незнаком антивирусу", то сейчас практически все антивирусы снабжены модулями распознования незнакомых вирусов, они чаще всего основаны на анализе действия программ, и если действия кажутся подозрительными, то включается процесс блокировки или карантина. Это не исключает того, что какой-нибудь незнакомый вирус все же пройдет, но...
Ответ отправила: Elinn (статус: Студент)
Ответ отправлен: 27.06.2006, 11:45

Отправить вопрос экспертам этой рассылки

Приложение (если необходимо):

* Код программы, выдержки из закона и т.п. дополнение к вопросу.
Эта информация будет отображена в аналогичном окне как есть.

Обратите внимание!
Вопрос будет отправлен всем экспертам данной рассылки!
Для того, чтобы отправить вопрос выбранным экспертам этой рассылки или
экспертам другой рассылки портала RusFAQ.ru, зайдите непосредственно на RusFAQ.ru.


Форма НЕ работает в почтовых программах The BAT! и MS Outlook (кроме версии 2003+)!
Чтобы отправить вопрос, откройте это письмо в браузере или зайдите на сайт RusFAQ.ru.

© 2001-2006, Портал RusFAQ.ru, Россия, Москва.
Идея, дизайн, программирование: Калашников О.А.
Email: adm@rusfaq.ru, Тел.: +7 (926) 535-23-31
Авторские права | Реклама на портале
Версия системы: 4.34 от 01.06.2006 		Яндекс Rambler's Top100
В избранное