Самый злостный из багов

[Fasawe]

Раз уж стали описывать баги...

Только что специально протестил ещё раз...

 

Итак, суть бага в неработоспособности "Доверенной зоны".

Описываю действия:

1. Качаем стандартный eicar-testfile с сайта eicar.org

2. Отключаем защиту КАВ версии 6.0.3.837(корпоративный)

3. Заходим в Антивирус Касперского > Настройка > Защита > Доверенная зона > Правила исключений

Добавляем объект eicar-testfile.txt в качестве отдельного правила исключения(компонент выбираем как "любой")

4. Запускаем защиту КАВ

5. Клацаем и выбираем "Проверить на вирусы" на зараженном файле eicar-testfile.txt

Естественно КАВ находит заразу и удаляет файл, кидая его в резервное хранилище.

 

Вывод: "Доверенная зона" не работает

 

З.Ы. У кого-то возникнет вопрос из разряда: "А зачем это надо?"

Объясняю... представим, что программист написал прогу, часть которой распознается как вредоносный код.

Объект, на котором работает программист - повышенной секретности, т.е. отключать антивирус нельзя.

Прога ДОЛЖНА работать С вредоносным кодом. Как такому человеку быть?

 

Жду комментариев...(может я в чем-то не прав...)

[C. Tantin]

Комментарии - пожалуйста. Доверенная зона существует для подозрительных объектов, и "чистых" объектов, действия которых не нужно контролировать. В случае же с явным вредоносом работает сигнатурный детект, задача которого - не взирая на всякие там доверенные зоны, на то он и антивирус. Теперь разбор:

 

Объясняю... представим, что программист написал прогу, часть которой распознается как вредоносный код.

Тут два варианта: фалс антивируса (встречается очень редко) и ПО, содержащее вредоносный код. В первом случае вопрос решается через саппорт, во втором случае придётся выбирать: вирусописательство или антивирус, вместе они жить не будут, да и не должны.

 

Прога ДОЛЖНА работать С вредоносным кодом. Как такому человеку быть?

См. выше. вирусописательство и антивирус не совместимы. Это всё равно что ставить пожарную сигнализацию над мангалом

 

Надеюсь, ответил доступно. Если что-то не понятно - спрашивайте.

[Umnik]

Скриншот настройки, пожалуйста.

[Fasawe]

Скриншот настройки, пожалуйста.

Ловите:

1. Выполняемые действия в картинке

2. Результат выполненных действий

 

Доверенная зона существует для подозрительных объектов, и "чистых" объектов, действия которых не нужно контролировать.

Именно! Т.е. если я выберу зараженный объект, то тогда его не должно контролировать.

Я выбрал тестовый(!) вирус...

Изменено 29 декабря, 2008 пользователем Fasawe

[Umnik]

А этот? http://softsearch.ru/programs/170-147-paki...-download.shtml

Не опасен. Программа-шутка.

[C. Tantin]

Именно! Т.е. если я выберу зараженный объект, то тогда его не должно контролировать.

Как не должно? Если антивирус на 100% уверен что это зловред, самое большее, на что он пожет пойти - это показать алерт с кнопкой пропустить. Всё.

 

И сколько ещё раз повторить -

Вирусописательство и антивирус не совместимы. Это всё равно что ставить пожарную сигнализацию над мангалом

[Fasawe]

А этот? http://softsearch.ru/programs/170-147-paki...-download.shtml

Не опасен. Программа-шутка.

Ну так не на реальных же вирусах мне тестить...

Скачал тестовый и протестил...

[Kapral]

А эйкар не подойдет?

[Fasawe]

Как не должно? Если антивирус на 100% уверен что это зловред, самое большее, на что он пожет пойти - это показать алерт с кнопкой пропустить. Всё.

Да, именно алерт оно показать и должно было. Но не удалять, т.к. файл находился в исключениях.

В лучшем случае запросить действие пользователя и не спрашивать это действие в последующих проверках.

 

Просто если антивирус перейдет дорогу неправильно написанной проге, которую кровь из носа нужно презентовать сроком "на вчера"(как обычно),

то как Вы думаете, сколько времени будет жить такой антивирус? И как поменяется от этого его репутация в глазах клиента,

если после удаления антивирусного ПО контора потеряет ценную информацию?

 

Правила исключения созданы именно для исключения в проверке, иначе они бесполезны.

 

А эйкар не подойдет?

Так это он и был - см. скрины выше...

Изменено 30 декабря, 2008 пользователем Fasawe

[Kapral]

Просто если антивирус перейдет дорогу неправильно написанной проге, которую кровь из носа нужно презентовать сроком "на вчера"(как обычно)

Это случай когда пользователь считает себя богом а все остальное жалкой поделкой?

Боюсь другой антивирус проживет столько же...

 

И как поменяется от этого его репутация в глазах клиента,

если после удаления антивирусного ПО контора потеряет ценную информацию?

Не поянл - чья репутация

[Fasawe]

Это случай когда пользователь считает себя богом а все остальное жалкой поделкой?

Боюсь другой антивирус проживет столько же...

Скажу на это две вещи.

1. А разве клиент не бог? Или антивирусное ПО претендует на эту роль?

2. Поменять антивирус не проблема. На рынке всегда выигрывает тот, кто больше может устроить клиента.

Если какой-то другой антивирус устроит клиента больше - не сомневайтесь, клиент выберет более оснащенный антивирус.

Не поянл - чья репутация

Ну не конторы же, потерявшей ценную информацию... Конечно же пострадает репутация антивируса. А Вы как думали?

 

И всё же мне интересна целесообразность доверенной зоны. ЗАЧЕМ она нужна?

Если как говорил C. Tantin "Доверенная зона существует для подозрительных объектов, и "чистых" объектов, действия которых не нужно контролировать.",

то эта зона бесполезна и её смело можно вырезать из последующих версий...

 

З.Ы. Не стоит воспринимать сказанные мною слова в обиду. Я просто хочу разобраться... Ведь мне же с этим продуктом работать...

Изменено 30 декабря, 2008 пользователем Fasawe

[Kapral]

Конечно же пострадает репутация антивируса. А Вы как думали?

И как поменяется от этого его репутация в глазах клиента,

если после удаления антивирусного ПО контора потеряет ценную информацию?

Т.е. пока стоял антивирус - репутация вендора не страдала

А как снесли антивирус и после этого потерялась инфа - так виноват антивирус?

 

Поверьте большинство людей до такого не додумается

 

 

И всё же мне интересна целесообразность доверенной зоны. ЗАЧЕМ она нужна?

1. Фолсы

2. случаи несовместимости между АВ и софтом

3. Некоторые случаи когда софт действительно опасен, но необходим на данном компе

[Fasawe]

Т.е. пока стоял антивирус - репутация вендора не страдала

А как снесли антивирус и после этого потерялась инфа - так виноват антивирус?

 

Поверьте большинство людей до такого не додумается

Ну благо пока что информация не терялась, но в теории такая проблема вполне реальна.

Если одна из функций антивируса работает с точки клиента не правильно и из-за этого клиенту придется снести сам антивирус,

что в конце концов приведет к потере информации, то тогда всю вину свалят именно на антивирус. И будут правы.

3. Некоторые случаи когда софт действительно опасен, но необходим на данном компе

Именно об этом я и пишу уже весь топик.

Софт опасен(тестовый eicar), но нужен на компе. Вставил его в исключения, но в ходе проверки его всё равно нашло и удалило.

Работает ли эта функция 3 доверенной зоны?

[Kapral]

и из-за этого клиенту придется снести сам антивирус,

что в конце концов приведет к потере информации, то тогда всю вину свалят именно на антивирус. И будут правы.

Не правы. т.к. антивирус не был установлен.

 

Работает ли эта функция 3 доверенной зоны?

Много букв сверху.

Т.е. при принудительной проверке этого файла нахождение оного в ДЗ игнорируется?

[Fasawe]

Не правы. т.к. антивирус не был установлен.

Ну хорошо, сделаем проще...

Компания приостановит свой проект и начнет добиваться от антивирусной компании работы "Доверенной зоны".

Что это изменит? Проиграют обе стороны...

Много букв сверху.

Т.е. при принудительной проверке этого файла нахождение оного в ДЗ игнорируется?

Да, нахождение опасного файла в ДЗ игнорируется.