Посоветуйте, плиз, программу, блокирующую трояны по их поведению, а не по обновляемым базам.

ЗЫ:
В этой теме не надо пожалуйста про DrWeb, Касперского и т.п. из широко известных. На их счет у меня нет вопроса! Я в курсе, что в них включены и эти механизмы, так что не будем перетирать всем известное.
Меня интересуют проги, не нуждающиеся в сигнатурных базах совсем.



Это сообщение отредактировал(а) Guest45 - 16.6.2012, 17:08

Вам в сторону мониторов процессов и того что они делают, но тогда реакция будет на каждый чих.  Я юзаю уже несколько лет фаервол от Comodo с включенной проактивкой - вирей нету, всегда интересно наблюдать кто раньше успеет комод или антивирик блокануть непонятную хрень 
Для пользователя такая программа не годится, потому что он ничего не смыслит в том кому и куда можно обращаться в системе.

Программ не нуждающихся в обновлении не бывает, хотя разве что notepad или nano...

Добавлено через 2 минуты и 14 секунд
офтоп: цисковские фаерволы типа ASA постоянно обновляют базы чтобы быть в курсе новых атак и как с ними бороться, хотя казалось бы чего уж там понять что идёт атака, а нет - не всё так просто, ведь нет-нет а новое что-нить изобретают в плане как защиты так и нападения

Хотелось бы, чтобы прога в первую очередь блокировала отсылку данных и показывала - какой процесс пытается это сделать?
Вы правы, эта задача близка к фирволу. Аутпост делает нечто подобное, но плохо: он например сообщает вроде этого "процесс system запрашивает соединение..." или неопознанный процесс, или SVCHOST запущено штук 10 копий. А кто их запустил?  Процесс неизвестен, убрать не могу.
Хотелось бы четко видеть файл, пытающийся несанкционированно отсылать.

 Я пробовал его. Может он и хорош, но ооооочень тяжелый. Та машина у меня и так слабенькая, он ее тормознул насмерть. Потому и ищу стороннюю утилиту, а не универсальный комбайн.

 Пасиб, внес поправку в топик.


Это сообщение отредактировал(а) Guest45 - 16.6.2012, 17:16

У мну селерон на 1.7ГГц тянул без проблем пока винда была...



Можно запустить без указания того кто запустил... и это не исправить, вот наппример в функции ShellExecute можно передать хэндл окна, а можно не передавать



И всё - узнать кто запустил нельзя.


Не понял... вы хотите видеть запуск одних приложений другими, или то что они пытаются отослать в сеть?
Если отослать в сеть, то лочим всё и вся в файерволе кроме того что можно. Проактивная защита в большинстве случаев и показывает что что-то пытается изменить кого-то, при этом если что-то не известно, то блокируем и изучаем это что-то на предмет вшивости... тот же комод частенько не знает как отнестись к тем или иным изменениям или установки некоторых хуков программами, а иногда и пишет что то что пытаются менять обычное приложение, а вот тот кто пытается менять подозрителн и делает вещи свойственные троянам и ждёт моего вердикта.

 Попытаюсь уточнить:
я хочу увидеть то приложение, которое инициировало отправку данных.

А главное, чтобы эта отправка от трояна, была вовремя заблокирована.
Предотвращение утечки.
Полагаю, вполне понятное желание...

 Это сделано.
Но у меня впечатление, что троян может вызвать одну из системных утилит, которым выход в сеть разрешен, и передать им собранные данные. Например через ту же SVCHOST.

Троян может модифицировать системную библиотеку и отсылать данные - нон проблемо. Для троянов есть антивирь, и трояны меняются их способы маскировки и внедрения также, без антивиря который регулярно обновляет базы не выжить.

 Так кажется против этого и сделана HIPS?
Или я чо-то не так понимаю?

http://ru.wikipedia.org/wiki/HIPS Первый же абзац поясняет, что нужны мозги, т.к. заблокировать могут всё и вся, а действие будет требоваться от юзера, либо нужна база. 
Т.е. заблокировать не вопрос - как понять что заблокировано то что нужно? Самое правильное держать БД где будут указаны типы активности, но никто же не говорит что не создастся что-то новое и потом что с этим новым делать?

Я пытаюсь вас подвести к мысли, что не существует такого средства которое вы запустите один раз и забудете за проблемы на следующие 10 лет. Такого ну просто нет. Особенно некое автономное средство, завтра например новый протокол придумают для обмена данными а ваша программа не знает о нём - один раз она спросит, что это, вы ей ответите, что это всё нормально, но внутри могут быть аномальные конструкции, которые средство защиты уже не найдёт, потому что не знает что есть хорошо, а что плохо.

Цитата из вашей ссылки:

Следует отметить, что эффективность HIPS может доходить до 100%, однако большинство программ этого класса требуют от пользователя высокого уровня квалификации для грамотного управления антивирусным продуктом.

Поскольку грамотность - это вещь приобретаемая в процессе, то может быть поговорим наконец о самих продуктах? Как Вы смотрите, например, на ThreatFire?

Не юзал. Надо на завирусенной машине опробировать, но у меня такой нету под рукой.

Добавлено через 33 секунды
И я повторюсь, я не верю продуктам, которым якобы не надо обновляться.

Но может быть у кого-то есть более положительный опыт?

Надеюсь, не только мы, вдвоем, на этом форуме?

Не, но просто люди следят за развитием событий. У всех же нормальные антивири стоят, брандмауэры и прочее.
У меня даже для дома лицензия есть. Но всё равно мои в поисках приключений нашли их и теперь второй комп чем-то болеет...

Если у кого-нибудь есть отзывы по вопросу темы, отпишитесь, плиз!
Я время от времени здесь просматриваю.

Не читал всей ветки, но насколько я понял, вам нужен AVZ.