OutPost free et Avast! plus lourds que Norton ??!?

[Svr32]

Merci Sacles et megataupe.

 

L'ami Phantom a prévu jusqu'aux attaques futures ?!? J'en avais vaguement entendu parler (j'ai parcouru le post de megataupe au moment où il parlait du nouveau jeu de règles il y a un mois ou deux), mais sans trop y prêter attention n'ayant pas Look n' Stop. Je pensais que peut-être ça pouvait être améliorable en fonction de ports pas encore utilisés, que pourraient emprunter de futurs malwares ou menaces.. . Je ne pensais pas à des définitions de virus. D'un autre coté je ne m'y connais pas trop dans le détail de la mécanique internet (protocoles UDP, TCP) et sur les ports, dangereux ou non (utilisés par des trojans ou des vers), j'en connais de "nom" 4 ou 5 qui sont dangereux 80 135 137 445 - bien que j'ai mis dans mes favoris il y a longtemps une liste détaillée des ports et des applications (légitimes) qui les utilisent, ainsi qu'une liste similaire mais cette fois pour les trojans (quels sont leurs ports d'élection).

 

Quelqu'un sait comment je pourrais finir de nettoyer ma base de registre des derniers émoluments d'OutPost ? Ca me fait un drôle d'effet de voir teatimer accepter une modification de registre pour OutPost que j'ai désinstallé (et j'avais nettoyé derrière en plus !)

[megataupe]

Re Svr32. JV16 (dernière version gratuite) devrait pouvoir te

nettoyer les scories d'Outpost. Utilises les fonctions rechercher

et nettoyage du registre.

 

Fais aussi un petit tour dans msconfig (par démarrer/exécuter)

et dans les services : démarrer/outils d'administration/services

pour vérifier qu'il ne traîne plus rien.

 

JV16

[Svr32]

Merci amigo mais j'utilise régulièrement JV16 (dernière version gratuite) et j'ai déjà fait ce que tu me conseilles. J'ai aussi utilisé Regsearch. Apparemment OutPost laisse plus que des scories... A moins que ça vienne de Spybot mais j'en doute : il autorise une modif qui a lieu dans le registre au démarrage....

[megataupe]

Hum.......Il est peut être planqué dans les périphériques cachés.

Clic droit sur poste de travail/propriétés/onglet matériel/

Gestionnaire de périphériques, dans affichage tu demandes

afficher les périphériques cachés et tu vérifies si ton fantôme

n'est pas présent, si oui, tu le désinstalles.

[Svr32]

Hum.......Il est peut être planqué dans les périphériques cachés.

Clic droit sur poste de travail/propriétés/onglet matériel/

Gestionnaire de périphériques, dans affichage tu demandes

afficher les périphériques cachés et tu vérifies si ton fantôme

n'est pas présent, si oui, tu le désinstalles.

Même en allant cocher "montrer tous les fichiers " dans les options d'Affichage, et en retournant faire ta manip', je n'ai aucune manière de modifier l'affichage des périphériques système.

 

Je suis sous win 98 : clic droit sur poste de travail m'amène droit sur "sytème", avec onglets général, gestionnaire de périphériques, profils matériels, et performances..... Je n'ai pas accès aux fantômes dont tu me parles. Y a t-il un autre moyen ??

[Svr32]

Il ya plus embêtant (et même flippant) : je viens de faire le leaktest de PCflank qui me révèle 2 ports ouverts (et dangereux avec ça : 135 et 139 ) plus ue floppée d'autre simplement visibles (donc fermés).

 

Comment est-ce que je fais pour configurer look n' Stop pour les masque ?

[megataupe]

Désolé mais j'oublie que tu es sur Win98. Pour L'n'S as-tu essayé de faire

les tests avec le jeu de règles évoluées car, il se peut que ton règlage des

règles phantom's ne soit pas bon (à vérifier avec une capture d'écran).

 

Fais le test de Zébulon qui est plus rapide

[Svr32]

Bon, je viens de testerles règles Phantom V6 après les V5, et les règles évoluées :

 

Pv5 et r évoluées laissent deux ports ouverts et plein de fermés :

 

voir test de sécurité Zebulon :

 

http://www.zebulon.fr/outils/scanports/res...5&tmp_exec=1.65

 

Pfffffff !

 

Pv6 laisse le port 135 seul ouvert pour PCflank, zebulon test lui dit que c'est le 1027 (kezako cette différence ?), les autres détectés fermés y sont encore.

 

Comment édicter des règles qui masquent ces ports précis ? Ca sent le roussi. J'espère ne pas devoir encore désinstaller pour mettre un autre FW....

 

Pour ce qui est des règles à adapter à mon système j'ai bien pensé à reporter mon serveur DNS sur les onglets de règles DNS-Allowed-1 et DHCPs serveur où cela semblait à rajouter, y compris à gauche (IP adress pour certains onglets de règle DHCP), et j'ai reporté mon serveur DHCP (actif sur mon sytème) dans les onglets des règles le concernant). je crois n'avoir rien oublié....

 

Je me suis essayée à compléter la règle antiMACspoofing en mettant ma propre adresse ethernet dans la plage définie à cet effet. J'ai évidemment activé toutes ces règles qiui étaient à personnaliser. Rien à faire ports toujours ouvert (135/1027 ou masqués - une quinzaine !).

 

J'ai regardé les autres règles sans modifier : les ports TCP sont autorisés toutes catégories à partir de 1024 jusqu'à 5000 (c'est quel style de défense ça ???)

Modifié le 16 novembre 2005 par Svr32

[Sacles]

Bonjour,

 

J'ai regardé les autres règles sans modifier : les ports TCP sont autorisés toutes catégories à partir de 1024 jusqu'à 5000 (c'est quel style de défense ça ???)

Il ne faut pas oublier que les règles s'appliquent de haut en bas et que la règle dont tu parles vient après une série de blocages et de contrôles.

 

Il faut bien permettre à des flux d'entrer ou de sortir de ton ordinateur. Sinon, comment veux-tu recevoir des informations venant de l'extérieur ou en envoyer? C'est le pare-feu qui doit exercer un contrôle sur tous ces flux. Si des informations passent les différents filtres, les permissions doivent être données pour qu'elles entrent ou sortent de ta machine.

 

Si un pare-feu bloque systématiquement tout, tu ne sauras plus rien recevoir ni rien envoyer. Ce sont les flux "nocifs" et les choses non autorisées (dans un sens ou un autre) qui doivent être bloqués.

 

C'est en tout cas ma vision d'un pare-feu. Je me trompe peut-être et des personnes plus compétentes que moi pourront confirmer, infirmer ou préciser ce point de vue.

 

Voilà le résultat du test sur Zebulon de mon pare-feu (Look 'n' Stop avec les règles PhantOm):

 

 

Si le test de ta machine n'est pas bon, tu dois en rechercher les causes. Elles ne sont en tout cas pas du côté des règles PhantOm ou évoluées qui passent tous les tests de ce type haut la main (à condition de ne pas les modifier erronément évidemment).

 

Tu peux étudier d'un peu plus près l'état des ports de ta machine et des programmes qui les sollicitent grâce à ce logiciel : CurrPort

 

Dans Look 'n' Stop, fenêtre flitrage logiciel, tu peux voir ceux qui sont actifs :

 

 

Cordialement.

Modifié le 16 novembre 2005 par Sacles

[Svr32]

Merci Sacles.

 

 

Currports sert-il juste à voir les ports et les logiciels qui les utilisent (+ les logiciels actifs) ou permet-il de modifier l'état des ports ?

 

Pour les règles Phantom je n'ai modifié qu'en suivant pas à pas le tuto de Tepee pour les v5 et celui de Phantom pour les v6 (en prenant bien WIn98 encore que j'ai l'impression que le fichier v6 est le même pour les deux types d'OS expliqués). Il y a un flou pour les v6 : deux de ses règles marquées "à modifier avant activation" et inactives d'ailleurs, semblent utiles, mais il n'y a aucune instruction pour les modifier. A vrai dire je me suis constitué un fichier rls v6 avec seules les lignes que je savais traiter modifiées, et j'en ai créé un second plus expérimental où j'ai essayé de modifier la règle "Bloquer NetBIOS" et celle "anti MACspoofing" (concerne t-elle les OS MAC ou s'agit-il d'autre chose ?) et de les activer...... Pas de différence évidente constatée entre le jeu de règle V6 prudent et l'expérimental tant au niveau du comportement de mes applications, que du leaktest et du scanner de ports zebulon...

 

C'est vrai que si quelqu'un sait comment les modifier/adapter à son PC comme il faut, qu'il le dise ! Je suis tout de suite sa procédure !

 

Pour la création de règles nouvelles (par ex pour bloquer le seul port ouvert qui me reste) :

 

1) comment fait-on pour que la nouvelle règle se mette en fin de liste et pas au début ?

 

2) quel genre d'instruction donner pour que le FW masque et non bloque des infos en provenance de 135 ou 1027 (si aucune de mes applis n'utilise ces ports je n'hésiterais pas à interdire quitte à devoir y revenir plus tard si nouveau soft devant les utiliser).

 

3) pour les ports trojans au hasard tiens 12345 il me suffit d'interdire non ? (je vérifierai les appli quand même rassurez vous !)

 

Mais c'est uniquement le protocole TCP que j'interdis ? (tous mes ports vulénrables sont TCP)

 

Voilà, si un spécialiste (re)passe par là.....

Modifié le 16 novembre 2005 par Svr32