ZoneAlarm version gratuite: bon plan ou à éviter ?

[Sacles]

Bonjour,

 

Les leaktests et les pare-feux. Bof!

 

Voir mon sujet: Réussite chez Matousec. Pare-feu ou HIPS? - Wilders Security Forums

 

Salut.

Modifié le 12 août 2010 par Sacles

[Tibonhomme]

Re,

 

Les leaktests et les pare-feux. Bof!

Je suis parfaitement d'accord avec toi sur ce point (j'avais déjà lu ton sujet) d'autant plus qu'il y a un mélange des outils et des genres : pare-feux / HIPS.

Il serait intéressant d'avoir les résultats d'un test aux résistances à l'intrusion pour les pare-feux, mais je n'en connais pas, et cela est-il seulement faisable, j'en doute...

Je complète par ce lien vers un autre de tes sujets (très instructif au vu des résultats) :

Il semble que les programmes HIPS soient plus directement concernés par les leaktests que les pare-feux, raison sans doute pour laquelle certains éditeurs de pare-feux intègrent de tels modules maintenant.

Quelques questions :

Lorsque tu as effectué le test, était-ce avec DefenseWall version HIPS simple ou avec pare-feu bidirectionnel intégré ?

As-tu effectué ce même test avec la nouvelle version DefenseWall avec pare-feu + Look 'n' Stop et DefenseWall seul ? Look 'n' Stop apporte-t-il toujours quelque chose lorsque DefenseWall dispose de son propre pare-feu?

Les responsables de Matousec refusent-ils toujours d'incorporer DefenseWall dans leurs tests?

 

Merci.

 

@DudleySmith,

 

Merci pour le rapport.

Il est anormal que les clés de registre relatives au paramétrage de tes outils de sécurité soient modifiées. Ou as-tu effectué des modifications de toi-même?

Tel que tu as utilisé MBAM, rien n'a été supprimé :

-> No action taken

.

 

Voici un guide d'utilisation pour Malwarebytes'Anti-Malware :

 

Télécharge Malwarebytes' Anti-Malware (MBAM) en version gratuite (Download free version) :

Si tu possèdes déjà le logiciel, passe à la mise à jour.

 

Si le téléchargement, l'installation ou l'analyse ne fonctionne pas, signale-le.

 

Cet anti-malwares généraliste très efficace est à conserver. La version gratuite, utilisable uniquement en tant qu'outil d'analyse à la demande, cohabite sans problème avec tous les autres outils de protection. La version payante apporte en plus un module résident avec protection contre des IP malveillantes, et les mises à jours automatiques.

 

En cas de problème de mise à jour au paragraphe suivant, télécharger directement les mises à jour ici :

 

Connecter tous les supports amovibles utilisés (clés usb, disques durs externes, MP3 etc...) avant de lancer l'analyse.

La mise à jour est à effectuer systématiquement avant chaque analyse avec la version gratuite.

 

• Double clique sur le fichier téléchargé pour lancer le processus d'installation (sous Vista -Windows 7, lancer MBAM par clic droit / Exécuter en tant qu'administrateur)
  
• Dans l'onglet Mise à jour, clique sur le bouton Recherche de mise à jour, si le pare-feu demande l'autorisation à MBAM de se connecter, accepte
  
• Une fois la mise à jour terminée, rends-toi dans l'onglet Recherche
  
• Sélectionne Exécuter un examen complet
  
• Clique sur Rechercher
  
• L'analyse démarre, elle peut demander du temps, cela est normal.
  
• A la fin de l'analyse, un message s'affiche :

  L'examen s'est terminé normalement. Clique sur 'Afficher les résultats' pour afficher tous les objets trouvés.

• Clique sur OK pour poursuivre. Si MBAM n'a rien trouvé, il te le dira aussi.
  
• Ferme tes navigateurs.
  
• Si des malwares ont été détectés, clique sur Afficher les résultats.
  
• Sélectionne tout (ou laisse coché) et clique sur Supprimer la sélection, MBAM va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine.
  
• MBAM va ouvrir le Bloc-notes et y copier le rapport d'analyse. Copie-colle ce rapport dans ta prochaine réponse. Au cas ou tu fermes MBAM trop rapidement, le rapport se trouve dans l'onglet Rapports/Logs, nommé par la date et l'heure.
  

Si MBAM demande à redémarrer le pc, fais-le.

 

Ne pas vider la quarantaine de MBAM sans avis (des faux-positifs peuvent y avoir été placés).

 

Un scan complet avec Antivir révèle-t-il quelque chose?

 

A vous lire

[DudleySmith]

Tibonhomme, je n'ai rien modifié (tripatouiller la base de registre dépasse de très loin mes compétences)

C'est un ami qui m'a assemblé cet ordinateur et je sais qu'il n'aime pas qu'un programme puisse aller sur le net tout seul, peut être est ce cela, je lui demanderai... Cela remet=il ma sécurité en cause ? En tout cas, Peerblock et Antivir se mettent à jour tous seuls et cela sans aucun souci

Antivir ne détecte rien du tout

Modifié le 12 août 2010 par DudleySmith

[Tibonhomme]

je sais qu'il n'aime pas qu'un programme puisse aller sur le net tout seul, peut être est ce cela

Non, ici il s'agit des messages d'avertissement en cas de désactivation d'outils de sécurité, ce que l'on appelle "Paramètres d'alertes" dans le Centre de sécurité. Ces alertes devraient être activées pour des raison évidentes de sécurité, ici elles ne le sont pas.

Il est souhaitable que tous les programmes de sécurité aient accès au Net. D'autres applications ont elles aussi besoin de cette connexion.

 

D'autre part :

Valeur(s) du Registre infectée(s):

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\forceclassiccontrolpanel (Hijack.ControlPanelStyle) -> No action taken.

Il s'agit ici d'un clé de registre servant de règle pour l'affichage du panneau de configuration : Style XP Classique ou style XP récent.

L'affichage est ici "forcé", tu ne peux le modifier. Supprimer cette clé te permet d'avoir la main sur le style d'affichage, ce qui est le paramétrage normal d'XP.

 

Etant donné qu'il n'y a pas de trace avéré de malware, nous ne somme pas en présence d'infections.

2 solutions : soit tu relances MBAM et tu supprimes les clés trouvées selon la procédure de mon précédent message, soit je peux t'indiquer comment rétablir ces paramètres manuellement.

A toi de me dire ce que tu préfères.

 

A te lire

[Pang]

Bonjour,

 

 

Ex. Online Armor filtre-t-il mieux les entrées que le pare-feu de Windows?

 

Il serait intéressant d'avoir les résultats d'un test aux résistances à l'intrusion pour les pare-feux, mais je n'en connais pas, et cela est-il seulement faisable, j'en doute...

En fait ce n'est pas tant la résistance à l'intrusion qui est importante; pour l'exemple, si une règle de pare-feu interdit les connexions sortantes TCP sur le port 666, alors, quelque soit le pare-feu, les connexions TCP sortantes sur le port 666 seront bloquées.

C'est pas comme un mur que l'on pourrait casser en tapant dessus comme un sourd pendant x temps

C'est qui est décisif c'est la discrétion ainsi que la résistance du pare-feu au contournement et en la matière, au plus le pare-feu est connu au plus le malveillant aura des chances de trouver, sur l'internet, un exploit pour ce pare-feu.

 

^^

 

jah rastafari

[Tibonhomme]

Bonjour Pang,

 

En fait ce n'est pas tant la résistance à l'intrusion qui est importante; pour l'exemple, si une règle de pare-feu interdit les connexions sortantes TCP sur le port 666, alors, quelque soit le pare-feu, les connexions TCP sortantes sur le port 666 seront bloquées.

Je ne parlais pas des règles de connexions sortantes, que ce soit par un paramétrage portant sur les ports, les IP ou les applications, mais bien de filtrage des données entrantes et de résistance aux intrusions par des tentatives de contournement ou de neutralisation du pare-feu.

Nous sommes d'accord sur ce point : c'est là le point sensible. Et c'est justement l'absence de test à ce propos que j'évoquais. A moins que tu connaisses un tel test?

Le filtrage des flux sortants est un indéniable plus pour la sécurité, d'où, à mon avis, la nécessité d'un pare-feu logiciel correctement paramétré et maîtrisé. Reste à conserver à l'esprit que cela part du principe que "le ver est déjà dans le fruit". Empêcher un quelconque malware d'établir une connexion Internet, c'est très bien, empêcher ledit malware de pénétrer le système malgré la présence d'un pare-feu me semble également intéressant, non?

C'est un avis personnel...

 

@+

[Sacles]

Bonsoir,

 

Reste à conserver à l'esprit que cela part du principe que "le ver est déjà dans le fruit". Empêcher un quelconque malware d'établir une connexion Internet, c'est très bien, empêcher ledit malware de pénétrer le système malgré la présence d'un pare-feu me semble également intéressant, non?

C'est un avis personnel...

Avis, que je partage entièrement.

 

Salut.

[Tibonhomme]

Bonsoir Sacles,

 

En fait, tout vient de ta remarque -très opportune et justifiée, dans ton message #8.

Je t'en remercie, cela amène, tout du moins c'est le cas pour moi, à se documenter beaucoup plus et se poser certaines questions sur les programmes de sécurité, leur utilisation et leur pertinence. Instructif!

Je n'ai malheureusement pas trouvé de réponse quant à la résistance des pare-feu (leur auto-protection) ou leur capacité à contrer les tentatives agressives de contournement.

 

Si tu as des réponses...

 

N.B. : je t'avais posé quelques questions dans mon message #12, mais tu ne les as probablement pas vues.

 

@+

[Pang]

On est tous d'accord

L'exemple était valable aussi pour les connexions entrantes, mais moins parce que sur l'internet, dans 99,x % des cas, ledit malware est téléchargé par l'utilisateur lui même et entre par la porte principale (sur un intranet c'est différent).

 

A moins que tu connaisses un tel test?

Non pas du tout, si ce n'est une fois une démonstration sur site, il y a longtemps, d'un gars qui arrivait à désactiver à distance un ZoneAlarm avec trois malheureuses lignes de codes dans une console.

A mon avis des tests de contournements demandent une réelle expertise donc soit tu dois pouvoir les trouver sur des sites d'audit payant, soit vers la sphère underground; c'est d'ailleurs par ici que l'on trouve des exploits "prêt à l'emploi"

[Sacles]

Bonjour,

 

Lorsque tu as effectué le test, était-ce avec DefenseWall version HIPS simple ou avec pare-feu bidirectionnel intégré ?

Je ne me souviens plus de la version. En fonction de la date du test, il me semble que c'était avec la version sans pare-feu.

 

As-tu effectué ce même test avec la nouvelle version DefenseWall avec pare-feu + Look 'n' Stop et DefenseWall seul ? Look 'n' Stop apporte-t-il toujours quelque chose lorsque DefenseWall dispose de son propre pare-feu?

Non, je n'ai pas refait de tests récemment.

Ce que je peux dire c'est que les pare-feux de DW sont compatibles avec tout autre pare-feu "classique".

Note: Look 'n' Stop peut lui cohabiter sans problème avec le pare-feu de Windows.

 

Les responsables de Matousec refusent-ils toujours d'incorporer DefenseWall dans leurs tests?

Matousec refused to test DefenseWall - Gladiator Security Forum

 

Je n'en sais pas plus.

Modifié le 13 août 2010 par Sacles