Dynamic Security Agent : Une évaluation

[nicM]

Bonjour,

 

Voici une évaluation réalisée sur Dynamic Security Agent , un freeware de type HIPS, c'est-à-dire de prévention.

 

http://membres.lycos.fr/nicmtests/Dynamic-...s/DSA_index.htm

 

Ont été utilisés 80 tests au total, dont une dizaine de troyens, 5 AV killers, 5 backdoors, 4 vers, 27 rootkits, 22 keyloggers, et 6 "kernel-hooks unhookers", une sorte de brute épaisse apparemment très récente, peu connue. Ceux-ci sont visiblement destinés à bypasser, puis litérallement à tuer les HIPS ou firewalls qui seraient susceptibles de bloquer leur installation, en des circonstances "normales".

 

Le site est en anglais (désolé ), mais je vais traduire en français les 2 pages principales, l'introduction, et le bilan (dernière page), d'ici la fin de la semaine.

 

Sans tout dévoiler dans ce post, il est clair que les résultats sont très bons, DSA a été très efficace tout au long des tests réalisés. Les seuls points sur lequel il est un peu juste, sont les keyloggers, et ces "brutes épaisses" dont je parlais ci-dessus. Encore qu'étant donné leur récente apparition (postérieure à la sortie de la version courante de DSA), il ne pouvait pas faire grand chose de plus.

 

Les samples ont été choisis pour leur virulence, je veux dire par là que la note obtenue est vraiment bonne, tout particulièremment pour un programme gratuit (sans citer de noms, plusieurs HIPS plus connus, et payant, ne font pas aussi bien ).

 

Je précise que ces tests ont été menés de manière indépendante, le rôle de Privacyware n'ayant été que de donner son accord final pour la publication de cette review (en effet, les "benchmarks" sont soumis à autorisation écrite avant publication, aux termes du contrat de licence du programme).

 

Voilà, en espérant que ce travail se révèle utile à certains

 

nicM

[ipl_001]

Bonsoir nicM,

 

Tu as vraiment fait de l'excellent travail !

 

Il ne reste plus qu'à essayer l'outil !

[nicM]

Bonsoir ipl_001,

 

Et merci !

 

J'ai fait une page d'accueil simple, pour que le lien soit moins long : http://membres.lycos.fr/nicmtests/index.html

 

 

Les pages en français seront prêtes ce week-end

 

nicM

[michte]

Salut,

 

Oui super boulot.

 

Je suis justement en-train de chercher un autre contrôleur d'intégrité, et ces tests sur DSA me donne envie de l'éssayer, mais je ne sais pas si il peut cohabiter avec RegistryProt, si oui, y-a t-il des modules à désactiver dans DSA? Pour qu'il n'y est pas de problèmes de compatibilité entre eux.

 

Modules de DSA:

 

- Application Monitor/Manager

- Registry Monitor

- Process Monitor/Manager

- Email Anomaly Analyzer/Manager

- System Anomaly Analyzer

 

A+

[nicM]

Bonjour michte,

 

Tu parles bien de RegProt de Diamondcs?? Si c'est bien le cas, il ne devrait pas y avoir de problèmes, mais je vais installer RegProt par dessus DSA pour tester, pour pouvoir te dire s'il y a conflit ou incompatibilité quelconque.

 

Quoi qu'il en soit, cette protection ne sera pas désactivable dans DSA, puisque la protection du registre est intégrée au module "Application Security", qui tourne de manière permanente.

[nicM]

Voilà le résultat :

 

* Les 2 sont compatibles, DSA et RegProt

 

* Mais RegProt est inutile lorsque DSA est installé : Lorsqu'un changement est apporté à une clé que les 2 programmes surveillent conjointement, DSA intercepte le changement avant que RegProt ne puisse se manifester. DSA procède par crochetage direct en mode noyau, tandis que RegProt ne fait que "sonder" le registre à intervalle de temps régulier, c'est-à-dire qu'avec DSA, il faut l'autorisation pour créér/modifier une clé, alors qu'avec RegProt, le changement est détecté en scannant le registre, c'est à dire cycliquement. Il peut arriver qu'une clé soit déjà créée avec RegProt, lorsqu'il soument le changement à acceptation; avec DSA, en principe, non.

 

Surtout, DSA contrôle beaucoup plus de clés que ne le fait RegProt...

 

 

Cela étant, il est possible que RegProt puisse compléter DSA, dans certains tests effectués lors de la review mentionnée plus haut, il a été démontré que parfois, la protection registre de DSA est deffectueuse : Elle ne détecte pas certains changements qui sont pourtant compris dans des clés contrôlées. Un petit problème de fiabilité, qui devrait être corrigé dans les prochanes versions, dixit l'équipe de Privacyware.

 

De même, lorsque certains "kernel-hooks unhookers" ont eu l'occasion de sévir (cf tests supra), la protection registre de DSA a été complètement "désactivée", réduite à néant : Lorsque ces kernel-hooks sont restorés dans leur état d'origine, la protection du registre par "polling" (scan cyclique), elle, n'est pas affectée ...

 

 

Donc voilà, dans l'absolu, rien n'empêche d'utiliser les 2, étant donné qu'il ne produisent pas de conflits, fonctionnant de manière différente.

 

nicM

[michte]

...Surtout, DSA contrôle beaucoup plus de clés que ne le fait RegProt...

Cela étant, il est possible que RegProt puisse compléter DSA, dans certains tests effectués lors de la review mentionnée plus haut, il a été démontré que parfois, la protection registre de DSA est deffectueuse : Elle ne détecte pas certains changements qui sont pourtant compris dans des clés contrôlées. Un petit problème de fiabilité, qui devrait être corrigé dans les prochanes versions, dixit l'équipe de Privacyware.

 

De même, lorsque certains "kernel-hooks unhookers" ont eu l'occasion de sévir (cf tests supra), la protection registre de DSA a été complètement "désactivée", réduite à néant : Lorsque ces kernel-hooks sont restorés dans leur état d'origine, la protection du registre par "polling" (scan cyclique), elle, n'est pas affectée ...

Donc voilà, dans l'absolu, rien n'empêche d'utiliser les 2, étant donné qu'il ne produisent pas de conflits, fonctionnant de manière différente.

 

nicM

 

Salut nicM,

 

Je te remercie pour tes précisions et test.

Donc si je laisse les deux ils ne gênent pas et se complétent même pour l'instant (en attendant une prochaine version de DSA).

Je ne te cacherai pas que j'hésite aussi avec prevx, mais j'avoue que maintenant DSA me parait plus complet, peut-être moins accessible?

De toute façon je verrai ça demain en pesant le pour et le contre.

 

Merci encore à toi.

[horus agressor]

Merci nicM, excellent boulot ! Je garde DSA bien au chaud

 

Amicalement.

[michte]

Salut,

 

Je l'ai installé ce matin, ses débuts chez moi se passe normalement, en harmonie avec ma petite tribu déjà installée...

C'est le round d'observation

 

Merci encore,

A+

Modifié le 20 juillet 2007 par michte

[nicM]

Bonsoir michte, horrus agressor,

 

Michte, je vois que tu as maintenant installé DSA : Si tu as le moindre problème, n'hésite pas à nous en faire part.

 

Prevx 2, avec lequel tu as hésité, est certainement plus facile d'utilisation, en ce qu'il fait tout pour prendre les décisions "à la place de l'utilisateur". DSA reste cependant globalement moins "bruyant" que d'autres HIPS, comme Process Guard, ou SSM par ex, à ce niveau là.