Hallo,
Post by Christian SchaasPost by Juergen IlseWenn das System bereits infiziert ist, sind alle Ergebnisse von
auf dem infizierten System ausgefuehrten Virenscnannern nicht mehr
wirklich zuverlaessig (voellig unabhaengig vom Hersteller).
Da hast du leider Recht, aber meistens finden die Scanner dennoch
den Schädling.
... aber nicht immer ... Ausserdem gibt es auch des oefteren "Felalarme".
Wenn man also einen Scanner laufen laesst, weiss man hinterher ganz
genau, dass das System *vielleicht* sauber ist oder auch nicht ...
... und das voellig unabhaengig davon, ob der Scanner etwas gefunden hat.
;-)
Post by Christian SchaasBei Kaspersky kannst du z.B. das Programm nicht abschalten oder
steuern bei default Einstellungen.
Um einen kompromittierten Rechner zu reinigen, gibt es nur eine
sinnvolle Moeglichkeit: platt machen und neu aufsetzen. Der Versuch
einer anderen *sicher* *erfolgreichen* Reinigung kostet ein viel-
faches an Zeit und Aufwand wie das "platt machen und neu aufsetzen"
und erfordert darueber hinaus mindestens ein identisch aufgesetztes
System als Referenz, um Modifikationen des infizierten Systems durch
Vergleich der Systeme festzustellen. Der Aufwand ist riesig, und
ein Laie wird es niemals hinbekommen. Die "Rinigungsprogramme" der
Scanner-Hersteller koennen das System nicht zuverlaessig "bereinigen".
Post by Christian SchaasPost by Juergen IlseBei jedem wirklich neuen Schaedling vergeht bei *jedem* Hersteller eine
mehr oder weniger lange Zeit, waenrend der der Scanner "blind" fuer den
neuen Schaedling ist. Die Scanner niken den aktuellsten Schaedlingen
prinzipbedingt *immer* hinterher ... Und wenn das System erst einmal
infiziert ist: siehe oben ...
Klar aber dafür gibt es ja auch heuristik und proaktive Verfahren um
eben auch Programmverhalten zu analysieren, wenn man das richtig
einstellt,
Heuristiken erhoehen vor allem das Risiko von Fehlalarmen.
Fuer wirklich zuveralessige "Verhaltensanalyse" aller auf dem System
ausgefuehrten Software reicht die Rechenleistung der Systeme bei
weitem nicht aus. Es ist nur ein billiger Abklatsch, und selbst bei
vollstaendiger Verhaltensanalyse ist nicht sichergestellt, dass ein
Schadling damit gefunden wird. Die beurtilung, ob ein Programm "un-
erwuenschte Aktionen" durchfuehrt, ist i.a. ein "unberechenbares
Problem", man kann so etwas nur jeweils in Einzlfaellen entscheiden.
Post by Christian Schaasbekommt man z.B. schon Meldungen wenn ein Prozess versucht über
einen anderen Prozess ins Netz zu kommen und das hilft schon immens.
Eine vollstaendige Analyse ist i.a. nicht moeglich.
Post by Christian SchaasNatürlich können Laien damit leider nix anfangen, geschweige denn
richtige Entscheidungen treffen, was jetzt raus darf und was nicht.
Im allgemeinen Fall ist es fuer jeden unmoeglich, sicher zu beurteilen,
ob bestimmte Kommunikation mit dm NEtz erlaubt ist oder nicht, Es kann
z.B. mittels "DNS-Anfragen" mit der Aussenwelt kommuniziert werdn, und
es gibt in modernen Systemen mit IP-Stack hunderte von Moeglichkeiten
DNS-Abfragen auszuloesen ... Es gibt aber auch noch viel subtilere
Arten, ein "phone home" zu implementieren ...
Post by Christian SchaasPost by Juergen Ilse"Echtzeitschutz" ist im Endeffekt (bei sicherheitsbewusstem Umgang
mit dem Rechner) nur eine verbreitete MEthode, um die CPU zu beschaef-
tigen, Waerem zu produzieren und den Rechner auszubremsen ...
Da muss ich jetzt wiedersprechen: Ich bin auch schon desöfteren über
einen Link (du kannst nunmal nicht wissen was sich wirklich hinter
einem Link verbirgt bis du nicht draufklickst) auf Seiten gekommen,
bei denen dann sofort mein Scanner anschlägt bevor das entsprechende
Objekt auf meiner Platte im Browser Cache landet und bei einem
Zero-Day-Exploit im Browser würde ohne "Echtzeitschutz" nix mehr helfen.
Bei einem "Zero-Day exploit" hilft auch kein Virenscanner.
Post by Christian SchaasPost by Juergen IlseBei vernuenftigem Umgang mit dem Rechner ist die Gefahr ohne instal-
lierten Virenscanner nicht wesentlich hoeher als mit einem solchen Ding.
Und wenn der Rechner erst infiziert ist, ist die fuer Laien einzig sinn-
volle MEthode einer "Rinigung" die NEuinstallation des Systems (die
Diskussion hatten wir doch vor kurzem erst).
Das die Gefahr ohne Virenscanner nicht wesentlich höher ist halte
ich für ziemlich naiv.
Trotzdem ist die Aussage korrekt.
Post by Christian SchaasIch sag mal so ein Virenscanner hilft auch nix bei unvernünftigen
Umgang,
Die Software kann bestenfalls die durch unvernueftigen Umgang mit dem
Rechner ausgeloeste Kompromittierung verzoegern (dann ist es eben nicht
di erste Gelegenheit, die den Rechner infiziert sondern erst die zweite
oder dritte ...).
Post by Christian Schaassprich: ich installiere Crack-XYZ -> oh man VS meckert ->
ausschalten, weil ich will jetzt den Crack haben......
Das ist ein Paradebeispiel fuer eben jenen "unvernueftigen Umgang
mit dem Rechner" ...
Post by Christian SchaasAber von vernünftigen Umgang ohne Virenscanner zu sprechen, ist ein
Widerspruch in sich,
Nein.
Post by Christian Schaasda wie z.B. siehe oberes Beispiel du kannst
einfach nicht alles kontrollieren.
Mit Vernuft aber mehr als es ein Virenscanner koennte, auf den sich
der User blind verlaesst. Das wichtigste ist uebrigens "zeitnahes
einspielen *aller* verfuegbaren Security-Updates" und "restriktive
Konfiguration des Rechners" sowie "von der vom System bereitgestellten
Rechtetrennung Gebrauch machen", sprich "nicht mit Admin-Rechten arbeiten".
Tschuess,
Juergen Ilse (***@usenet-verwaltung.de)
--
Ein Domainname (auch wenn er Teil einer Mailadresse ist) ist nur ein Name,
nicht mehr und nicht weniger ...