🚀 go-pugleaf

On 2011-08-20, Szymon von Ulezalka <sz.gruszczynski@googlemail.com> wrote:

[...]

> Antywirus jest skuteczny tylko wtedy gdy "wie" o nowych zagrozeniach
> (czyt. info o nich jest w bazie danych)- w przypadku dziur typu "0
> day" (czyli takowych, na ktore jeszcze nie ma szczepionki) jest w
> wiekszosci przypadkow nieskuteczny.

Nieprawda. Mają jeszcze dobrą heurystykę.

> fiewall, najogolniej mowiac, okresla ktore aplikacje moga sie
> kontaktowac z siecia (w sensie: wysylac i odbierac) (mowie tutaj
> oczywiscie caly czas o zastosowaniach mniej-wiecej domowych, nie bede
> sie rozpisywal o innych zastosowaniach firewalla).
> teraz wyobraz sobie taka sytuacje:
> masz serwer gier- instalujesz sobie gre /legalna, w pelni updatowana
> etc/, konfigurujesz sobie firewalla tak by owa gra byla "widoczna w
> sieci" /po to wszak ja instalujesz/. ok, wszystko dziala dobrze, az tu
> sie nagle okazuje, ze w owej grze jest blad. jej tworcy nie wypuscili
> jeszcze latki nan. ow blad jest taki /bez wnikania w szczegoly
> oczywiscie/, ze napastnik przesylajac odpowiednio spreparowany kod,
> potrafi uruchomic aplikacje, ktora sie znajduje na serwerze /niech
> bedzie: takowa do kasowania plikow i katalogow, rm/. z racji tego, ze
> ow serwer gier nie dziala na prawach administratora, tylko na
> "zwyklego" uzera, to odpalony 'przezen' rm nie wykasuje calego dysku /
> w sensie: calego systemu/ tylko to, do czego ma prawa zapisu/odczytu /
> a wiec niech bedzie jakies super wazne dokumenty w Documents i fotki i
> muzyke/. firewall ci nie pomoze, bo w jaki sposob mialby wiedziec,
> ktory pakiet jest ok, a ktory nie (w sensie: nie zawsze da sie
> wszystko super-dokladnie ustawic). AV tez nie pomoze- bo nie ma
> informacji o owym zagrozeniu /ktore zreszta wirusem nie jest/.
> o ile nie odpalasz owej gry w np. zwirtualizowanym windowsie, badz w
> sandboksie /jak sadze da sie cos takeigo zrobic w sandboxie; ale nie
> wiem bo nie uzywalem tego jeszcze/, to zasadniczo jestes w kropce /o
> ile nie masz backupow/.

Po pierwsze: serwer gier chodzi na własnym użytkowniku, więc wytnie
tylko swoje dane. Po drugie niespecjalnie wiem jak np. takie coś mogłoby
powstrzymać przed skasowaniem wszystkich plików należących do takiego
użytkownika (skoro program i tak je modyfikuje/kasuje). 
Skąd policy miałby wiedzieć, że w danym kontekście akurat te pliki 
są nieusuwalne?

> teraz- niech bedzie ze cos podobnego jest w linuksie:
> gdy aplikacja zaczyna "żądać" dostępu do plikow/katalogow do ktorych
> nie powinna go, wg regulki selinuksa,

Ale skąd się te regułki wzięły?

> miec to /jesli oczywiscie selinux jest w domyslnym trybie, zwanym 
> enforcingiem/ ow dostep zostanie odmowiony owej aplikacji, 
> i administrator zostanie o tym powiadomiony.

No ale w Windows to też się nie da zrobić rm / tak po prostu,
więc IMHO atak musiałby być targetowany na konkretne podkatalogi.

> oczywiscie, w SELinuksie mozesz rowniez przypisac odpowiedni program /
> binarke/ do odpowiedniego portu- i gdy "ni z gruchy, ni z pietruchy"
> program ow zacznie sie laczyc po innych portach, to dostaniesz
> ostrzezenie /i oczywiscie ow program nie bedzie sie w stanie z nimi
> polaczyc, chyba ze zezwolisz/ tak z ciekawosci- jak cos takiego zrobic
> pod winda?

Tak jak mówiłem: antywirus/firewall raportuje że binarka jest zmodyfikowana
lub wykonuje jakieś (określone przez producenta antywirusa) podejrzane akcje,
lub że próbuje się połączyć na nowy port (jak się zgodzisz, to po pierwszym
razie już danego portu nie raportuje dla danej aplikacji).

-- 
Wojciech Bańcer
proteus@post.pl