Anti-Virenprogramme überflüssig? [Archiv]

lumines

2015-06-27, 16:42:35

4. Websites werden auch nur bekannte angesurft.

Das liest man sehr oft in dem Zusammenhang, aber was sind bekannte Webseiten?

Wenn man z.B. Golem.de ansurft, dann surft man nicht nur Inhalte von dieser Domain an, sondern auch einen Haufen Inhalte von Dritten, welche meistens Werbung schalten. Man vertraut sicher Golem.de, aber traut man auch diesen dutzenden anderen Seiten, obwohl in der Vergangenheit schon viele Werbenetzwerke auch Malware verteilt haben?

Ich würde deshalb einfach einmal behaupten, dass es so im werbefinanzierten Web keine ausschließlich „bekannten“ Webseiten gibt.

Ich bin mir auch sicher, dass ein signaturbasierter Virenscanner nicht schaden kann. Aber welches Antivirenprogramm beschränkt sich schon ausschließlich darauf? Viele installieren eigene Root-Zertifikate, um einen Mail- und Web-„Schutz“ zu bieten, was aber nichts anderes als ein Man-in-the-Middle-Angriff ist und die Verschlüsselung zu anderen Webseiten (mit mehr oder weniger guten Motiven) schwächt. Die Frage ist doch, ob das ein Kompromiss ist, den man eingehen will.

Deshalb bevorzuge ich auch den Windows Defender. Er macht genau das, was er machen soll (nämlich nach Signaturen zu scannen) und greift nicht so extrem tief ins System ein. Irgendwelche fragwürdigen Experimente, die an anderer Stelle die Sicherheit schwächen, würde ich persönlich nicht auf meinem Rechner haben wollen.

Godmode

2015-06-27, 16:53:26

Ja es sind auch Inhalte von dritten auf diesen Websites, aber die meiste Malware bekommt man trotzdem eher durch irgendwelche dubiosen Downloads. Wenn der Windows Defender standardmäßig installiert ist, dann habe ich diesen wohl sogar, nur das er mir bisher nicht auffiel. Was ich ablehne sind aber diese aufgeblähten Security Suites von den bekannten Herstellern

lumines

2015-06-27, 16:56:51

Ja es sind auch Inhalte von dritten auf diesen Websites, aber die meiste Malware bekommt man trotzdem eher durch irgendwelche dubiosen Downloads.

Klar, aber was ist mit Zero-Day-Exploits? Gerade Flash ist da ja im Moment ein ziemliches Sorgenkind. Wer jetzt z.B. den Firefox benutzt und Adobes Flash, der fährt auch gerne einmal einige Tage und Wochen ohne die neuesten Sicherheitsupdates, weil der Updater so unzuverlässig ist. Das ist ein sehr lukrativer Markt.

Was ich ablehne sind aber diese aufgeblähten Security Suites von den bekannten Herstellern

Ja, genau die meine ich auch.

Godmode

2015-06-27, 16:58:12

Klar, aber was ist mit Zero-Day-Exploits? Gerade Flash ist da ja im Moment ein ziemliches Sorgenkind. Wer jetzt z.B. den Firefox benutzt und Adobes Flash, der fährt auch gerne einmal einige Tage und Wochen ohne die neuesten Sicherheitsupdates, weil der Updater so unzuverlässig ist. Das ist ein sehr lukrativer Markt.

Ja, genau die meine ich auch.

Verwende seit Jahren kein Flash mehr und Seiten die trotzdem Flash voraussetzen, können mich mal. Gegen Zero-Day-Exploits bin ich schutzlos, aber bisher hatte ich kein Problem damit.

lumines

2015-06-27, 18:52:47

Ich auch nicht (jedenfalls nicht Adobes Flash, sondern per Pepperflash), aber Millionen anderer Leute.

Morale

2015-06-27, 19:01:55

Bei uns in der Arbeit ist der Virenscanner Gold wert.
Privat habe ich auch nur den von Windows.

Argo Zero

2015-06-27, 19:08:06

Nutze den von Windows 10 installierten Scanner. Auf dem Mac habe ich gar keinen Scanner.
Letzter Trojaner war noch zu Win XP Zeiten auf dem Rechner und das trotz Avira.

qiller

2015-06-27, 19:56:39

Verwende seit Jahren kein Flash mehr und Seiten die trotzdem Flash voraussetzen, können mich mal. Gegen Zero-Day-Exploits bin ich schutzlos, aber bisher hatte ich kein Problem damit.

In meinem Firefox ist Click-to-play an und ich habe mit nem Adblocker + Noscript beste Erfahrungen gemacht - aber da sind wir wieder beim Thema Dau vs. Computer-Enthusiast ...

mfg Oli

Joe

2015-06-27, 20:14:23

Ich halte Virenscanner im Wesentlichen für Quacksalberei.
Das gleiche gilt für "Personal Firewalls".

Mit mehr Software am PC wirst du die mögliche Angriffsfläche nicht verkleinern sondern vergrößern. Und gegen einen personalisierten Angriff hilft eh kein Virenscanner.

Wenn mich nicht alles täuscht hatte ich letztens noch irgendwo gelesen, dass die NSA versucht bei Kaspersky und Co. Trittbrett zu fahren. :rolleyes:

/edit

Hier wars:

http://techcrunch.com/2015/06/22/nsa-has-reverse-engineered-popular-consumer-anti-virus-software-in-order-to-track-users/

Lokadamus

2015-06-27, 20:20:10

Wenn mich nicht alles täuscht hatte ich letztens noch irgendwo gelesen, dass die NSA versucht bei Kaspersky und Co. Trittbrett zu fahren. :rolleyes:
Gibt es auch auf Deutsch und so wie es aussieht, bei Eset, Avira und noch ein paar anderen.
http://www.heise.de/security/meldung/NSA-und-GCHQ-spionieren-Anti-Viren-Hersteller-aus-2719443.html

krypton

2015-06-27, 20:50:50

Ironischerweise können Virenscanner den Schadcode gleich selbst ausführen. Es war diese Woche zu lesen: http://www.heise.de/newsticker/meldung/Von-wegen-Schutz-NOD32-erlaubt-das-Kapern-von-Rechnern-2728967.html

Ein Virenscanner ist etwa wie den Teufel mit dem Beelzebub auszutreiben.

Dorn

2015-06-27, 21:45:11

Dazu ein aktueller Auszug vom Fefes Blog

Tue Jun 23 2015

[l] Na endlich kommt mal was zu NSA/GCHQ und Schlangenöl. Da warte ich ja seit Jahren drauf! Es ist ungefähr so, wie man sich das denken würde:

Cybersecurity companies, including the Moscow-headquartered Kaspersky Lab, were targeted by government agencies to gain intelligence of the latest exploits. Details of the security software’s inner workings were deciphered by agencies through a process called software reverse engineering (SRE), which allowed them to analyze and exploit the software suites.

Seit Jahrzehnten sage ich das, dass man sich mit "Personal Firewalls" und "Antiviren" die Angriffsoberfläche vervielfacht. Aber ich bin mir sicher, die "Fachpresse" wird weiterhin Antiviren empfehlen und Vergleichstests machen, welches Schlangenöl am schönsten schlängelt.

Documents also disclosed efforts by the NSA of intercepting “leaky” data being sent from users’ computers to the Kaspersky Lab servers. Such data, including sensitive user information, was embedded in “User-Agent” strings in the HTTP requests and could be used to assess and track users’ activity.

Ja na sowas! Also DAMIT konnte ja wohl NIEMAND rechnen!1!! Oh, warte.

http://blog.fefe.de/?ts=ab7788b3

Lowkey

2015-06-27, 21:57:40

Ich halte es wie Godmode. Antivirensoftware hat mich nie beschützt. Wenn man sich so ein Rootkit einfängt, dann muss man es manuell suchen und vernichten. Da hilft kein Windows Defender oder Mcafee oder Avira.

BlacKi

2015-06-27, 22:15:14

windows XP war schlimm,

mit windows 7 hatte ich noch ein antimaleware programm, hat aber praktisch nichts gebracht, denn man hatte oft irgendwelchen müll ausversehen installiert den man schlecht wieder wegbekam.

windows 7+8+10 haben für den normalen nutzer keine viren mehr die man wahrnimmt, nur noch maleware die man schlecht wieder loswird. was im hintergrund alles schlummert das weiß keiner.

ChaosTM

2015-06-28, 01:56:10

Scriptblocker und Hirn 1.0 reicht meistens.

Eidolon

2015-06-28, 08:53:13

Lokadamus

2015-06-28, 09:35:20

Unter Linux ist das was anderes.Unter Linux sollte man sich mit sowas wie Tripwire beschäftigen. Das ist zwar kein Echtzeitüberwachungssystem, aber es meldet bei seinem Scandurchgang veränderte Dateien, wodurch eine Infektion erkannt werden kann.

https://de.wikipedia.org/wiki/Open_Source_Tripwire

qiller

2015-06-28, 11:24:55

Im beruflichen Umfeld auf Windowssystemen ohne Virenscanner ist mehr als nur fahrlässig.
Privat kann das ja gerne jeder für sich entscheiden, aber unter Windows würde ich mich hüten keinen einzusetzen.

Unter Linux ist das was anderes.

Bei uns auf Arbeit ist kein AV-Scanner im Einsatz (nur On-Demand Scanner), weil wir die Rechner anders absichern (Stichwort Rollback, HDD-Sheriff, falls wem das was sagt). Und warum sollte auf Arbeit der AV-Scanner auf einmal besser funktionieren als zu Hause? Der funktioniert dort genauso gut/schlecht.

Die Frage, was IT-Security in einem Unternehmen angeht, ist eher eine Frage der Richtlinien, Fortbildungen und Anweisungen. Ich denke, damit kann man mehr erreichen, als mit AV-Scanner, Webblocker, Firewalls, IPS-Systemen usw. (was nicht heißen soll, dass man solche Maßnahmen nicht anwenden soll). Die meisten Infektionen haben immer noch die User zu verschulden.

mfg Oli

Lokadamus

2015-06-28, 11:53:19

Bei uns auf Arbeit ist kein AV-Scanner im Einsatz (nur On-Demand Scanner), weil wir die Rechner anders absichern (Stichwort Rollback, HDD-Sheriff, falls wem das was sagt). Und warum sollte auf Arbeit der AV-Scanner auf einmal besser funktionieren als zu Hause? Der funktioniert dort genauso gut/schlecht.

Die meisten Infektionen haben immer noch die User zu verschulden.Ich hoffe, ihr habt keine Windows Server oder rollt ihr die auch immer wieder zurück? ;)

Genau aus diesem Grund ist ein AV Pflicht in Unternehmen, wobei das nur ein Teil der Sicherheit darstellen sollte.

Joe

2015-06-28, 12:39:41

qiller

2015-06-28, 13:04:23

Ectoplasma

2015-06-28, 14:39:50

Bei Windows XP war es einfach so, dass Virenscanner etwas mit Quacksalberei zu tun hatten. 99% aller User waren damals mit Adminrechten unterwegs. Kein Virenscanner der Welt kann in dieser Konstelation einen gut gemachten Virus aufhalten. Statt dessen gab es eher Fehlalarme. Kaspersky z.B. möchte ich am liebsten erwürgen. Ich hatte echt zu tun, den Leuten zu erklären, dass in Software XYZ garantiert kein Virus enthalten ist.

In der Firma haben wir natürlich Virenscanner, auch auf meinem Firmen MAC-Book habe ich einen. Vom Prinzip sind Virenscanner natürlich vernünftig, aber ich halte wirklich nicht viel von den Produkten, die es am Markt gibt.

Viel, viel wichtiger sind Updates und dass man als User auf gar keinen Fall mit Admin-Rechten unterwegs ist. Da kann man sich viel Geld für diesen Plunder sparen.

qiller

2015-06-28, 15:16:48

Adminrechte beeinflussen heutzutage nur noch die Infektions-Tiefe, aber nicht die Infektion selber. Wenn du dir z.B. nen Verschlüsselungs-Trojaner einfängst, dann braucht der keine Adminrechte, der verschlüsselt einfach die Dateien, die er in die Finger kriegt. Ohne Adminrechte entsprechend die Dateien des infizierten Users, mit Adminrechte sind alle User des Rechners betroffen. Und Autostart-Routinen gibt es auch benutzerbasiert, dafür braucht man auch keine Adminrechte.

mfg Oli

Lokadamus

2015-06-28, 15:20:02

Gibt auch andere Konzepte.
Bei unseren Kunden gibt es meistens kein AV auf Severn oder Arbeitsplatzrechnern.
Wir haben AV / Anti Spam auf Exchange und Proxy Server fürs surfen.
USB Datenträger sind deaktiviert. User haben sehr eingeschränkte Rechte.

Warum sollte man, wenn man angenommen für 100.000€ IT Hardware hat 30.000€ umsonst ausgeben, die AV wieder als Leistung wegfrisst und dann noch ~15€ pro Jahr pro Node dafür bezahlen?!Auf was läuft der Exchange? Jetzt sag nicht auf einem Windows Server. Bitte, bitte, lass es Win7 Basic sein. :usad:

Was lässt du dir da andrehen? Entweder ist es eine große Firma und die IT Hardware wird wohl kostengünstig ausgesucht oder die Angebote, die ihr bekommt, sind kaum verhandelt.AV wird also "Pflicht", wenn man Windows-Server einsetzt? Ein paar Posts vorher haben wir noch gelesen, dass AV-alle möglichen Programme die Angriffsflächen sogar erhöhen. Ich bleib lieber bei meiner individuellen Prüfung, ob, wie und an welchen Stellen AV eingesetzt werden soll. Das ist nämlich von Unternehmen zu Unternehmen unterschiedlich sinnvoll.

mfg OliDrehst du jeden Montag in der Woche den AD Windowsserver per HDD Sheriff zurück? Halt ich aufgrund von Windows Updates schon für ein sehr dummes Vorgehen, aber du hast die Kosten für einen Virenscanner eingespart. ;)

Ist die Frage, wie teuer die Entfernung eines Virus ist, der mehrere Systeme befallen hat. Nervig ist es, wenn der Virenscanner versagt hat, aber das hängt mit den Firmen zusammen. Der DAU ist halt unberechenbar.

Morale

2015-06-28, 15:47:53

Klar kommen die meisten Probleme von den Usern. Aber DAUs bleiben nunmal DAUs...

Ein guter Einbrecher kommt auch an fast jedem Schloß vorbei. Sperrt ihr jetzt alle nicht mehr ab oder baut die Tür gleich aus?

Stanger

2015-06-28, 16:18:24

Mr.Magic

2015-06-28, 16:43:23

Da musst du ab schon eine besondere Seite aufgerufen haben, oder hast den Grundschutz für die Browser nicht aktiv (Spybot und SpywareBlaster). Ich habe mich, wegen diesem Thread, dieses Wochenende absichtlich ohne Echtzeitschutz wild durchs Internet geklickt.
MSE fand gar nichts.
Malwarebytes Anti-Malware fand gupd.exe, was vorher bereits durch die Firewall geblockt war.
Das einzig theoretisch bedrohliche war der Keylogger, den Spybot fand.

Ex3cut3r

2015-06-28, 16:56:11

Noscript (bei Chrome Scriptblock) sollte vorm versehentlich klicken schützen, nervig ist nur dann, dass man auch die sichereren Sachen immer erst einmal erlauben muss.

The_Invisible

2015-06-28, 17:27:52

AV wird also "Pflicht", wenn man Windows-Server einsetzt? Ein paar Posts vorher haben wir noch gelesen, dass AV-Programme die Angriffsflächen sogar erhöhen. Ich bleib lieber bei meiner individuellen Prüfung, ob, wie und an welchen Stellen AV eingesetzt werden soll. Das ist nämlich von Unternehmen zu Unternehmen unterschiedlich sinnvoll.

mfg Oli

joah, ist gar nicht so lange her wo panda ein signaturupdate releast hat das auch "gute" dateien löscht, gottseidank bin ich nur für die linux server zuständig,war das ein chaos ;D

leider kommt man noch immer nicht um windows server/software herum, was wir da schon alles für schei*e damit gehabt haben. unsere linux mailserver mit über 4000 benutzer laufen schon über 8 jahre, noch nie ein problem oder neuaufsetzen, wenn ich da an exchange denke schon mit wenigen usern...

naja, privat nutze ich windows primär zum spielen (dank steam wird linux gaming ja schon etwas besser), dort habe ich nur die windows standard defender aktiv. ansonsten wäre halt eine richtige hardwarefirewall mit UTM schön, eine softwarelösung würde ich mir nie kaufen.

Stanger

2015-06-28, 18:49:12

Da musst du ab schon eine besondere Seite aufgerufen haben, oder hast den Grundschutz für die Browser nicht aktiv (Spybot und SpywareBlaster).

Steht doch da - bitte lesen. .-)

Ich habe nichts an irgendwelchen Sicherheitseinstellungen verändert - das Tablet war werksseitig mit Win 8.1 vorinstalliert.

mfg
Stanger

qiller

2015-06-28, 19:33:36

...Drehst du jeden Montag in der Woche den AD Windowsserver per HDD Sheriff zurück?

Die Nutzung von Rollback/HDD-Sheriff bezog sich natürlich auf die Clients.

...ansonsten wäre halt eine richtige hardwarefirewall mit UTM schön...

Lustige Anekdote hierzu: Ich nutze selber eher keine fertigen UTM-Firewalls und wäge auch bei den Kunden ab, welche Lösung zum Einsatz kommt. Bei einem meiner Kunden haben wir jetzt IPFire im Einsatz, primär um per OpenVPN eine Netz-zu-Netz-Verbindung zu einem anderen Standort aufzubauen. Dieser andere Standort nutzt eine UTM-Firewall von Securepoint, die ebenfalls OpenVPN (heißt dort SSl-VPN) einsetzt. Der TLS-Server läuft auf der UTM-Firewall, ich habe also was DH-Parameter, Zertifikate und TLS-Version keinen Einfluss und muss das nehmen, was mir angeboten wird. Tja, und was muss ich da sehen? Default 1024bit RSA-Schlüssel (wurde nach meinem Intervenieren auf 4096bit gestuft), BF-CBC als Verschlüsselung (angeblich nicht änderbar), SHA1 als HMAC-Hash-Algorithmus (angeblich nicht änderbar), TLS1.0 (TLS 1.2 wohl nicht möglich), keinerlei Zertifikatsüberprüfung (weder hinsichtlich Nutzung noch hinsichtlich des Common Names->MITM-Attacken möglich), kein zusätzlicher TLS-Auth Mechanismus um internen DOS-Attacken entgegen zu treten und keine direkte Änderung der DH-Parameter möglich (dazu gleich mehr). Mit aktuellen Kryptostandards hat es Securepoint wohl nicht so sehr.

Letztes Wochenende habe ich den IPFire aktualisiert woraufhin sich der Tunnel nicht mehr aufbaute. Ich hatte die Aktualisierung schon auf anderen IPFire-Installationen hinter mir und dort gab es keinerlei Probleme (auch mit den VPN-Verbindungen nicht). In den Log-Dateien von OpenVPN stand dann auch der Grund: Der DH-Parameter ist zu klein! Nach kurzer Recherche stellte ich fest, dass OpenSSL auf dem IPFire auf Version 1.02c aktualisiert wurde, welches einen Fix für die Logjam-Attacke beinhaltete. Dieser Fix sieht im Prinzip so aus, dass DH-Parameter, die kleiner als 768bit sind, blockiert werden (die Blockade soll in Zukunft auf 1024bit heraufgestuft werden). Mit anderen Worten, die Securepoint-UTM-Firewall nutzt sehr wahrscheinlich gerade mal 512bit große DH-Parameter, wodurch die Verschlüsselung mit ein paar starken Grafikkarten in kurzer Zeit geknackt werden kann.

Da jetzt der Admin der UTM-Firewall z.Z. im Urlaub ist und meinte, dass das Ändern des DH-Parameters nicht so einfach geht (bei mir ist das ne simple Textdatei, die man per "openssl dhparam 4096 -out dh4096.pem" erstellen kann), wollte ich mich selber überzeugen und hatte mich bei Securepoint für ne Test-VM registriert. 2 Tage später bekam ich einen Anruf von einem Securepoint-Mitarbeiter, wann und wo man sich denn treffen könnte, damit wir dann als Vertriebler von Securepoint auftreten könnten. Nachdem ich ihm erklärt habe, dass ich mich für eine Testversion registriert habe, um oben genanntes Problem zu lösen, wurde das Gespräch ungemütlich. Securepoint vergibt keine Testversionen einfach so, sondern nur an registrierte Vertriebler.

Einem Hersteller von Firewall-Lösungen, dem "Security by Obscurity" wichtiger ist, als das Problem von zu kleinen DH-Parameter zu lösen, kann ich nicht wirklich vertrauen und weiterempfehlen. Vielleicht ist es auch die Schuld des Admins, der hier nicht so viel Ahnung hat. Aber er hatte mir gegenüber schon angedeutet, dass er ja gerade deswegen diese Fix-und-Fertig-Lösung inkl. Support nutzt. Also sehe ich hier Securepoint in der Pflicht, mit Patches und Hinweisen für die Admins die Firewall-Lösungen auf den aktuellen Stand der Technik zu bringen (DH-Parameter mit 512bit waren schon vor 5 Jahren zu schwach).

mfg Oli

PatkIllA

2015-06-28, 20:15:33

ansonsten wäre halt eine richtige hardwarefirewall mit UTM schön, eine softwarelösung würde ich mir nie kaufen.Die Firewall läuft doch auch mit Software und da hätte ich zu einer offenen Linux Lösung deutlich mehr Vertrauen als mit was propiäteres mit security by obscurity.

Die Firewall hat doch praktisch überhaupt keine Chance den Befall zu verhindern. Die kann doch höchstens verdächtige Aktivitäten nach dem Befall erkennen und wird dabei entweder einiges übersehen oder regelmäßig false positives liefern. In der Zwischenzeit hat sich die Schadsoftware im lokalen Netz schon längst ausgebreitet.

Lokadamus

2015-06-28, 21:17:37

Die Nutzung von Rollback/HDD-Sheriff bezog sich natürlich auf die Clients.

In den Log-Dateien von OpenVPN stand dann auch der Grund: Der DH-Parameter ist zu klein! Nach kurzer Recherche stellte ich fest, dass OpenSSL auf dem IPFire auf Version 1.02c aktualisiert wurde, welches einen Fix für die Logjam-Attacke beinhaltete. Dieser Fix sieht im Prinzip so aus, dass DH-Parameter, die kleiner als 768bit sind

Da jetzt der Admin der UTM-Firewall z.Z. im Urlaub ist und meinte, dass das Ändern des DH-Parameters nicht so einfach geht (bei mir ist das ne simple Textdatei, die man per "openssl dhparam 4096 -out dh4096.pem" erstellen kann), wollte ich mich selber überzeugen und hatte mich bei Securepoint für ne Test-VM registriert.Das ist meine Sorge, weil Gedankenspiel: Client infiziert sich mit im Netzwerk selber verteilendem Virus. Server wird infiziert und fängt dadurch selber an, den Schädling zu verteilen. Client wird morgens beim Einschalten durch HDD Sheriff zurückgesetzt und ist für einen Moment sauber. Server infiziert Client wieder ...

Jaja, AV Programme sind doof, weil sie Sicherheitslücken haben und OpenSSL hatte den Heartbleed und zur Zeit Logjam drinne. ;) Je mehr Software zum Einsatz kommt, um so höher ist die Gefahr. ;(

Kannst höchstens noch nach dem Handbuch gucken, manchmal geistern die auf onmiösen Seiten herum. Da sollte beschrieben sein, welche Parameter in der GUI zur Konfiguration benutzt werden.

Gast

2015-06-28, 21:38:14

Gab es eine Situation, wo einen der Virenscanner wirklich gerettet oder vor einer Dummheit bewahrt hat?
Ich glaube diesen Anspruch kann ein Virenkiller nicht erfüllen. Imo ist der einzige Anspruch den man heute noch an einen brauchbaren Virenkiller haben kann, die Funktion als Virendetektor.
Sobald der Virenkiller anschlägt, weiß heute jeder IT-Fachmann: Die Show ist gelaufen, weil so ein Zufallsfund oft nur die Spitze vom Eisberg ist und das System kompromitiert ist. Glück hat man nur dann, wenn es zufällig der Anhang einer E-Mail ist, der noch nicht geöffnet wurde. Ich schreibe auch deswegen 'Glück', weil die Wahrscheinlichkeit, daß so ein Virenkiller ein hochaktuelles Virus erkennt, glatt Null ist.

Echter Virenschutz ist heute nur durch entsprechendes Anwenderverhalten und andere Tools (Adblock,NoScript,etc.) möglich. Der Virenkiller ist heute imo nur noch ein Indikator dafür ob und wann ein System zwingend neu aufgesetzt werden muß. Da kann man jetzt auch mal nachdenken, ob man bei einem Fund wirklich bereit ist, seinen PC platt zu machen. Es könnte ja auch mal wieder einer von den unzähligen Fehlalarmen sein.

Ganz abgesehen davon sind die Grenzen zwischen Schadsoftware und so mancher offiziellen Softwarepublikation inzwischen fließend. Anfänger programmieren Trojaner. Amateure releasen Updates. Profis flashen die Firmware. ;)

Ein Virenkiller ist imo genauso sinnlos, wie eine falsch konfigurierte Firewall, wenn derjenige, der am PC sitzt überhaupt nicht Willens/ in der Lage ist auf einen Fund/Alarm richtig zu reagieren. Da kann man den Virenkiller dann allerdings auch weglassen.
Das ist wie die kleine rote Leuchte mit der Ölkanne im Auto. Wenn dort gerade jemand am Steuer ist, der keine Ahnung hat und im Prinzip auch gar nicht wissen will was da schon wieder los ist, dann nutzt das ganze System gar nichts.

qiller

2015-06-28, 23:08:12

Kann dem Gast nur zustimmen. Ich muss auch nicht immer einen Rechner platt machen, nur weil nen AV-Scanner Alarm schlägt. Oft genug werden irgendwelche Dateien im Browser-Cache beanstandet, der mit ein paar Klicks sowieso geleert werden kann. Das heißt noch lange nicht, dass der Rechner deswegen infiziert ist.

Das ist meine Sorge, weil Gedankenspiel: Client infiziert sich mit im Netzwerk selber verteilendem Virus. Server wird infiziert und fängt dadurch selber an, den Schädling zu verteilen. Client wird morgens beim Einschalten durch HDD Sheriff zurückgesetzt und ist für einen Moment sauber. Server infiziert Client wieder ...

Falls der Server derartige Lücken hinterlässt, dass normale Clients den Server infizieren können, wird auch kein AV-Scanner helfen. Solche "Würmer" hatten wir ja zu XP-Zeiten mit Sasser und Blaster schonmal.

Solange eine Malware nicht aktiv im Speicher eines Computers ausgeführt wird, ist die Malware nix weiter als ne Datei aus Nullen und Einsen auf einem Laufwerk. Gerade bei Dateiserver bin ich deswegen sehr entspannt. Selbst wenn ein kompromitierter Client Dateien auf einem zugreifbarem Netzlaufwerk infiziert, so ist noch lange nicht der ganze Server kompromitiert. Und solange auf dem Dateiserver nicht irgendeine Software läuft, die versucht, diese Dateien selbständig zu lesen oder auszuführen, passiert auf dem Server rein gar nichts. Und somit kommen wir wieder zu unserem Fall "AV-Scanner als zusätzliche Angriffsfläche" und dem Beispiel Eset Nod32 (http://www.heise.de/newsticker/meldung/Von-wegen-Schutz-NOD32-erlaubt-das-Kapern-von-Rechnern-2728967.html).

mfg Oli

seneca

2015-06-29, 06:38:16

[...] Wenn du dir z.B. nen Verschlüsselungs-Trojaner einfängst, dann braucht der keine Adminrechte, der verschlüsselt einfach die Dateien, die er in die Finger kriegt.[...]
mfg Oli

Den Fall hatte ich mal auf einem Client eines Kunden. Eine Mail mit "Rechnung" kam durch den Spamfilter und der MA hat die mal geöffnet. Die Virenscanner (Mailserver / Client) haben den Virus erst ein par Stunden später erkannt - da war der Client allerdings schon verschlüsselt.

Eidolon

2015-06-29, 09:00:29

Ich glaube diesen Anspruch kann ein Virenkiller nicht erfüllen. Imo ist der einzige Anspruch den man heute noch an einen brauchbaren Virenkiller haben kann, die Funktion als Virendetektor.
Sobald der Virenkiller anschlägt, weiß heute jeder IT-Fachmann: Die Show ist gelaufen, weil so ein Zufallsfund oft nur die Spitze vom Eisberg ist und das System kompromitiert ist. Glück hat man nur dann, wenn es zufällig der Anhang einer E-Mail ist, der noch nicht geöffnet wurde. Ich schreibe auch deswegen 'Glück', weil die Wahrscheinlichkeit, daß so ein Virenkiller ein hochaktuelles Virus erkennt, glatt Null ist.

Echter Virenschutz ist heute nur durch entsprechendes Anwenderverhalten und andere Tools (Adblock,NoScript,etc.) möglich. Der Virenkiller ist heute imo nur noch ein Indikator dafür ob und wann ein System zwingend neu aufgesetzt werden muß. Da kann man jetzt auch mal nachdenken, ob man bei einem Fund wirklich bereit ist, seinen PC platt zu machen. Es könnte ja auch mal wieder einer von den unzähligen Fehlalarmen sein.

Ganz abgesehen davon sind die Grenzen zwischen Schadsoftware und so mancher offiziellen Softwarepublikation inzwischen fließend. Anfänger programmieren Trojaner. Amateure releasen Updates. Profis flashen die Firmware. ;)

Ein Virenkiller ist imo genauso sinnlos, wie eine falsch konfigurierte Firewall, wenn derjenige, der am PC sitzt überhaupt nicht Willens/ in der Lage ist auf einen Fund/Alarm richtig zu reagieren. Da kann man den Virenkiller dann allerdings auch weglassen.
Das ist wie die kleine rote Leuchte mit der Ölkanne im Auto. Wenn dort gerade jemand am Steuer ist, der keine Ahnung hat und im Prinzip auch gar nicht wissen will was da schon wieder los ist, dann nutzt das ganze System gar nichts.

Das halte ich für totalen Blödsinn. Sehr wohl kommt es vor das man eine Virenwarnung im System bekommt, da irgendein Benutzer wieder einen Link angeklickt hat, den er lieber nicht angeklickt hätte.

Aber dann regelt oftmals der Virenscanner das Problem schon, indem er den Schädling entfernt.
Scannen würde ich danach sowieso immer noch, aber meistens war es das dann.

Ich frage mich, wieviele die hier posten auch wirklich Ahnung von Firmennetzwerken haben.

Pennywise

2015-06-29, 09:16:47

Also ich hab die letzten Tage mit einem Win-Tablet ohne Virenscanner gearbeitet.
Ich habe lediglich 3dcenter,google und die downloadseiten für Malwarebytes,Classic Shell,Firefox angsurft, mich dabei einmal verklickt - Ergebnis 3xVirus und mehr als 25 Malware auf dem Ding....
Kann mir nicht mehr vorstellen ohne Präservativ zu surfen.

Gruß
Stanger

Schwachsinn. Ich bin in gleicher Konstellation unterwegs und habe mir seit 4 Jahren Null Viren eingefangen. Du scheinst mir der neue Anti Windows Troll zu sein.

Stanger

2015-06-29, 09:33:52

Du scheinst mir der neue Anti Windows Troll zu sein.

oO Flamewar inc.

Ich bin kein Anti-Windows Troll - ich liebe mein Windows 7 aufm Destkop PC und habe bis auf Windows 2000/NT 4/Windows 95 noch alle Original-CDs hier rumliegen -> cool bleiben Pennywise...:D

mfg
Stanger

P.S.: Außerdem back 2 topic.

Morale

2015-06-29, 09:40:39

Das halte ich für totalen Blödsinn. Sehr wohl kommt es vor das man eine Virenwarnung im System bekommt, da irgendein Benutzer wieder einen Link angeklickt hat, den er lieber nicht angeklickt hätte.

Aber dann regelt oftmals der Virenscanner das Problem schon, indem er den Schädling entfernt.
Scannen würde ich danach sowieso immer noch, aber meistens war es das dann.

Ich frage mich, wieviele die hier posten auch wirklich Ahnung von Firmennetzwerken haben.
+1

Leider haben hier (öD) alle User Adminrechte :(
Ist so gewachsen und bislang wurde das null geändert.

Hier klickt auch min. 1x die Woche einer eine DHL Nachricht, Rechnung oder sonstiges an oder sucht im Netz nach irgendwelchen Treibern oder Anleitungen für alte VHS Geräte und lädt sich so was runter. In 80% der Fälle regelt der AV das dann schon, natürlich wird der PC zusätzlich nochmal mit anderen Tools gescannt.

Eidolon

2015-06-29, 10:22:47

Das ist bei uns zum Glück anders, so wie es auch sein sollte.

Die wenigsten arbeiten überhaupt noch mit normalen PCs, die Masse hat ThinClients wo ein elux (+Citrix) drauf läuft.

Exxtreme

2015-06-29, 10:29:29

Virenscanner sind so überflüssig wie Türen in der Wohnung/im Haus. Denn Einbrecher kommen daran vorbei wenn sie wollen ... oder so.

InsaneDruid

2015-06-29, 10:55:14

Schwachsinn. Ich bin in gleicher Konstellation unterwegs und habe mir seit 4 Jahren Null Viren eingefangen. Du scheinst mir der neue Anti Windows Troll zu sein.

Ich hab hier nur den MSE laufen, früher sogar keinen dauerinstallierten Scanner, aber aller Wochen mal einen on demand laufen lassen. In meinem ganzen Leben hatte ich zwei Viren auf dem Rechner. Einmal Lamer Exterminator auf dem Amiga, und einmal einen zu Win XP-Zeiten, als mir ein Studienkumpel eine Diskette gab. Irgendwelche Daten die ich brauchte, kamen von seinem Schwager. O-Ton: "die sind sicher, der kennt sich aus, hat zwei Virenscanner laufen".

Ich nur so zum Spaß die Disk gleich gescannt -> Virus. Seitem nichts. Nichts auf meinem Rechner, dem Zweitrechner, dem Laptop, Ellies Rechner, den ich betruen "darf" ist auch noch jungfräulich. Wie gesagt aus neugier aller Zeiten mal ein On-demand-Scan von einer CD/Stick...

Irgendwas mach ich "falsch". Halte nur die Soft auf dem neusten Stand, Win FW + MSE aktiv, Router ist openWRT, gesurft wird mit Adblock und Noscript.

Pennywise

2015-06-29, 11:18:39

Im übrigen kann man mit Windows 10 den Defender nicht mehr dauerhaft deaktivieren. Ich habe aktuell den Ordner C:/ vom Scannen ausgenommen um den Scanner auf einem uralten Netbook zu stoppen. Scheint zu klappen.

The Nemesis

2015-06-29, 11:20:00

gesurft wird mit Adblock und Noscript.
Da hast du doch bereits den Grund, warum du dir nichts einfängst.
Mit Gehirn im Internet unterwegs sein und Skripte direkt vor Ausführung im Browser blockieren.

Aber MSE würde dir rein gar nichts bringen, ist auch der schwächste Virenscanner.

PatkIllA

2015-06-29, 11:22:12

Da hast du doch bereits den Grund, warum du dir nichts einfängst.
Mit Gehirn im Internet unterwegs sein und Skripte direkt vor Ausführung im Browser blockieren.Mit aktuellen Sicherheitsupdates fängt man sich in der Regel auch ohne Blocker keinen Schadcode. Nennenswerte ZeroDay-Exploits sind zum Glück relativ selten. Und gegen unbekannte Schädlinge hilft ein Virenscanner halt auch nichts.

lumines

2015-06-29, 11:32:22

Aber MSE würde dir rein gar nichts bringen, ist auch der schwächste Virenscanner.

Gegen alte Samples hilft er, soweit ich weiß, nicht schlechter als andere. Und gegen neue ist das sowieso ein Glücksspiel.

Eidolon

2015-06-29, 11:39:49

Mit aktuellen Sicherheitsupdates fängt man sich in der Regel auch ohne Blocker keinen Schadcode. Nennenswerte ZeroDay-Exploits sind zum Glück relativ selten. Und gegen unbekannte Schädlinge hilft ein Virenscanner halt auch nichts.

Naja, wenn ich dann an so Meldungen denke wo Microsoft auch uralte Sicherheitslücken nicht schließen möchte.. da stellt sich dann schon die Frage ob man nicht lieber doch was in die Sicherheit investiert. Sei es nun einen Virenscanner oder ein anderes Betriebsystem.

Morale

2015-06-29, 11:44:33

Hier im Forum darüber zu diskutieren ist müßig.
90% der Leute hier sind "Profis", da bringt ein AV nicht viel.

Draußen sieht es anders aus, da ist die Mehrzahl der Computernutzer wie Angie Merkel aka Neulandmerkel.

anddill

2015-06-29, 12:16:39

Jup, ich hab da so ein paar Pappenheimer, die mir alle 2 Monate den PC zum entwanzen vorbeibringen. Und es lohnt sich immer. Trotz Virenscanner. Allerdings achten die auch nicht drauf wenn der rummeckert daß er nicht mehr aktuell ist o.ä, weil ein Virus ihn abgeklemmt hat. Die kommen erst wenn die Browser nicht mehr nutzbar sind.

PatkIllA

2015-06-29, 12:18:26

Jup, ich hab da so ein paar Pappenheimer, die mir alle 2 Monate den PC zum entwanzen vorbeibringen. Und es lohnt sich immer.
Die infizierten Rechner die mir so untergekommen sind hatten alle einen Scanner drauf.

Naja, wenn ich dann an so Meldungen denke wo Microsoft auch uralte Sicherheitslücken nicht schließen möchte.. da stellt sich dann schon die Frage ob man nicht lieber doch was in die Sicherheit investiert. Sei es nun einen Virenscanner oder ein anderes Betriebsystem.
Die sie wirklich gar nicht schließen wollen eignen sich praktisch nicht für eine Infizierung.

Morale

2015-06-29, 12:22:54

Ein AV kann natürlich nicht alle Idioten da draußen vollkommen schützen.

Aber er kann bei unerfahren Usern schon helfen, wenn die mal was verkehrt machen.

Wer natürlich täglich 10 Virenmails und auf dubiosen Seiten unterwegs ist, dem hilft keiner mehr.

Grestorn

2015-06-29, 12:36:50

Lokadamus

2015-06-29, 13:08:22

Und somit kommen wir wieder zu unserem Fall "AV-Scanner als zusätzliche Angriffsfläche" und dem Beispiel Eset Nod32 (http://www.heise.de/newsticker/meldung/Von-wegen-Schutz-NOD32-erlaubt-das-Kapern-von-Rechnern-2728967.html).Ich finde die Argumente so schön. Und hier kommen wir wieder zu OpenSSL, AV- Software und unser Klassiker Windows mit ihren Löchern. Aber nur AV- Software bietet eine zusätzliche Angriffsfläche. :ugly:
Schönstes Beispiel an deinem ESET- Link: Meldung 25.06.2015, Update/ Patch seit 22.06.2015 verfügbar. So wie es sich gehört.

Und bei MS braucht man nur den aktuellen Kram angucken und bei deinem Argument muss man sich fragen, warum das überhaupt benutzt wird. Eine Sicherheitslücke nach der anderen, jeden Monat.
https://technet.microsoft.com/de-de/library/security/ms15-junLeider haben hier (öD) alle User Adminrechte :(
Ist so gewachsen und bislang wurde das null geändert.

Hier klickt auch min. 1x die Woche einer eine DHL Nachricht, Rechnung oder sonstiges an oder sucht im Netz nach irgendwelchen Treibern oder Anleitungen für alte VHS Geräte und lädt sich so was runter. In 80% der Fälle regelt der AV das dann schon, natürlich wird der PC zusätzlich nochmal mit anderen Tools gescannt.Selbst wenn sie es nicht hätten, gibt es immer wieder Bugs bei MS, die Rechteausweitungen erlauben. Wie mehrere Lücken ausgenutzt werden und sich die Software stillschweigend im Hintergrund verbreitet, kann man an den Superviren Stuxnet (alt), duqu 2.0 sehen.Die wenigsten arbeiten überhaupt noch mit normalen PCs, die Masse hat ThinClients wo ein elux (+Citrix) drauf läuft.So viel ich weiß, ist das aber nicht gerade billig. Und Frage ist, wo wird gehostet?

Eidolon

2015-06-29, 13:38:56

Wir hosten selbst, Behörde bzw. Landesbetrieb.

lumines

2015-06-29, 14:49:41

Ich hoffe, Du verlangst Du Kohle für Deine Dienste!

http://shouldiworkforfree.com/

anddill

2015-06-29, 15:40:26

Hehe, ich komm bei dem Yes links oben raus. Aber nen 20er bleibt manchmal doch bei mir hängen für 2 Nächte Arbeit. Naja, ist halt mein Hobby, ich machs zum Teil ja auch für mich selbst, meine Kisten laufen alle dermaßen problemlos langweilig...

Mosher

2015-06-29, 16:18:44

xD nettes Diagramm. Aktuell komme ich bei dem großen NO unten in der Mitte raus.
Allerdings ist es ein spannendes Projekt und mich interessiert einfach auch selbst, wie es da weitergeht. Allerdings hatte ich wirklich schon mal daran gedacht, "mal eben" ein Gewerbe anzumelden und Rechnungen zu stellen.

@Topic: Firewall+MSE+Hirn 1.0
Ich bin beim Surfen eh immer sehr vorsichtig und sehe bei jedem Installer ganz genau hin, wo da jetzt der Haken sitzt. Allerdings vermeide ich diese kleinen Progrämmchen eh, wo es nur geht und komme deshalb viel seltener mit "versteckter" Malware in Berührung.

Habe mal spaßeshalber vor ein paar Wochen einen Testlauf mit einem AV-Programm (hatte irgendwo eine Testlizenz) machen lassen: negativ.

Mir reicht das an Sicherheit für meinen Privatrechner, in der Firma sieht's natürlich anders aus.
Da gibt es genug Spezialisten, die einfach jeden Scheiß anklicken.

Commander Keen

2015-06-29, 20:43:15

Ich teste neue Software meistens erstmal in der VirtualBox. Einen Virenscanner nutze ich allerdings trotzdem, sowohl im Host als auch Client. So wirklich gefunden hat der bislang allerdings auch noch nichts.

Bzgl. der "die NSA sitzt im Scanner"-Paranoia: Wenn die NSA auf den Rechner will, dann schafft sie es auch ohne den Scanner. Aber ich fühl mich ehrlich gesagt auch nicht wohl dabei ein Programm permament am laufen zu haben, dass mehr oder weniger alles mitschneiden kann und auch fleissig Daten sendet. Dabei hab ich schon alles an "Kundenservicediensten" abgeklickt, was man in den Optionen abklicken kann.

videre

2015-07-02, 01:23:27

4. Websites werden auch nur bekannte angesurft.

Völlig egal, es kann JEDE Webseite treffen:
http://www.computerbild.de/artikel/cb-Aktuell-Sicherheit-Kriminelle-infizierten-Werbung-auf-Yahoo-mit-Schadsoftware-9115389.html

http://www.tagesspiegel.de/wirtschaft/viren-durch-werbebanner/8027676.html

http://www.golem.de/news/bsi-warnung-werbebanner-verteilen-automatisch-schadsoftware-1304-98553.html

http://sto.buffed.de/board/content/1401-Hacker-Angriff-auf-unsere-Seiten-Malware-verteilt-Zugriff-auf-Daten

http://www.forum-3dcenter.org/vbulletin/archive/index.php/t-524627.html

Man ist selbst bei bekannten Seiten nicht sicher!

Ich nutze Avast seit Jahren, wurde mir von einem Mitarbeiter empfohlen, da wusste ich schon, das wird bekannt und tatsächlich, genauso bekannt wie avira.
Wobei ich das Gefühl habe, Avast spioniert die Gewohnheiten der Nutzer aus, da ich oft Internetaktivitäten habe, wo keine sein dürften und ich dann feststelle, avast sendet...dabei gibts keine Updates.
Zum doppelten Schutz surfe ich mit Firefox und no scripts, so sind wenigstens die Scripte auf allen Seiten deaktiviert, außer ich brauche sie, dann schalte ich sie temp. ein.

Aber ich fühl mich ehrlich gesagt auch nicht wohl dabei ein Programm permament am laufen zu haben, dass mehr oder weniger alles mitschneiden kann und auch fleissig Daten sendet. Dabei hab ich schon alles an "Kundenservicediensten" abgeklickt, was man in den Optionen abklicken kann.
Man müsste doch irgendwie selber mitschneiden können, was genau von einem anti-viren Programm gesendet und empfangen wird.

Dr.Doom

2015-07-02, 08:24:44

Ich teste neue Software meistens erstmal in der VirtualBox. Einen Virenscanner nutze ich allerdings trotzdem, sowohl im Host als auch Client. So wirklich gefunden hat der bislang allerdings auch noch nichts.Gute Schadsoftware kann aber erkennen, dass sie in einer VM läuft (z.B. an "VMWare"-Einträgen im Gerätemanager) und... stellt sich tot. Dann scheint für den gewieften Test0r alles OK zu sein und er beginnt die Software auf seinem Hostsystem zu nutzen... :freak:

Thanatos

2015-07-02, 10:51:12

Also ich halte Virenscanner nicht für überflüssig, allerdings auch nicht für alleinig der Weisheit letzter Schluss. Sie sind nur ein -- wenn auch sicherlich wichtiger -- Baustein in einem mehrstufigen Sicherheitskonzept.
Zuvor wurde im übrigen angemerkt, dass ein Virenschutz wirkungslos sei, sobald die Schadsoftware zu neu und daher unbekannt sei. Dies stimmt so nicht, da heutzutage die meiste AV zusätzlich verhaltensbasiert analysiert, wodurch auch Schadprogramme erkannt werden, für die es noch keine Signaturen gibt. Und wie Tests von Av comparatives (http://www.av-comparatives.org/retrospective-test/) hierzu zeigen, funktioniert das erstaunlich gut dafür dass es nur statistisches raten ist.

PatkIllA

2015-07-02, 11:15:56

Dies stimmt so nicht, da heutzutage die meiste AV zusätzlich verhaltensbasiert analysiert, wodurch auch Schadprogramme erkannt werden, für die es noch keine Signaturen gibt. Das Verhalten kann man aber nur analysieren wenn es schon läuft. Sprich der Schädling sich eingenistet hat. Damit hilft man eher denen die den noch nicht haben.

PHuV

2015-07-02, 12:08:36

PatkIllA

2015-07-02, 12:23:30

Ich war auch mal eine Zeitlang mit NoScript unterwegs, und das ist extrem anstrengend, so habe ich es wieder runtergemacht. Wer sehr oft sucht und einfach mal auf die Ergebnisse klickt, wird durch einen entsprechenden Virenscanner geschützt.
In fast allen Fällen ist der Fehler ja auch längst behoben und führt überhaupt nicht zu einer Infektion.
Problematisch ist höchstens, dass der Flash Autoupdater totaler Müll ist. Flash habe ich aber mittlerweile eh deaktiviert.

Commander Keen

2015-07-02, 12:32:48

Wobei ich das Gefühl habe, Avast spioniert die Gewohnheiten der Nutzer aus, da ich oft Internetaktivitäten habe, wo keine sein dürften und ich dann feststelle, avast sendet...dabei gibts keine Updates.

Tun sie imho definitiv.

btw.: Schon mal auf den einschlägigen Rotlichtseiten mit aktivem Avast gewesen? Dann kommt erstmal schön das Popup "jeder kann ihre Internetaktivitäten mitschneiden (oder so ähnlich)". Und zwar nur auf diesen Seiten.

Commander Keen

2015-07-02, 12:34:43

Gute Schadsoftware kann aber erkennen, dass sie in einer VM läuft (z.B. an "VMWare"-Einträgen im Gerätemanager) und... stellt sich tot. Dann scheint für den gewieften Test0r alles OK zu sein und er beginnt die Software auf seinem Hostsystem zu nutzen... :freak:

OK, war mir so gar nicht bewusst. Meistens geht es mir aber auch eher darum erstmal zu sehen, ob ich das Programm überhaupt brauche bzw ob es meinen Erwartungen entspricht. Hab halt keinen Bock erstmal den Host auf Verdacht vollzumüllen, wenn es sich auch vermeiden lässt ;)

Völlig dubiosen Scheiß installier ich auch in der VM nicht.

Matrix316

2015-07-02, 12:44:36

Sind Antivirenprogramme überflüssig? Wenn sie nicht funktionieren ja. Wir hatten in der Firma bei einem User einen Cryptolocker Dingens Virus und das trotz aktuellem Avira professional.

Hab dann ein paar Rescue Discs probiert:

Trend Micro hat nix gefunden.
Panda hat erst garnicht gesucht. :ugly:
Kaspersky nicht aktuell (hatte kein Netzwerkkabel dran) hat nichts gefunden).
Avira hat was gefunden (auch ohne Internet, aber da wird beim brennen die Software aktualisiert).
Kaspersky aktuell hat dann das Ding gefunden.

PHuV

2015-07-02, 13:57:00

In fast allen Fällen ist der Fehler ja auch längst behoben und führt überhaupt nicht zu einer Infektion.
Problematisch ist höchstens, dass der Flash Autoupdater totaler Müll ist. Flash habe ich aber mittlerweile eh deaktiviert.
Ganz ehrlich, Flash würde ich auch endlich mal komplett raushauen.

Update: Gerade bei Heise gelesen:

NoScript: Ausnahmeregeln als Einfallstor für Angreifer (http://www.heise.de/newsticker/meldung/NoScript-Ausnahmeregeln-als-Einfallstor-fuer-Angreifer-2733372.html)

Wie man sieht, nichts ist sicher.

Thowe

2015-07-02, 14:31:55

Ich würde Windows und Internet ohne Virenscanner nicht betreiben wollen. Sie sind und bleiben aber nur ein Teil des gesamten Paketes was es braucht, so wenig Angriffsfläche wie möglich zu bieten.

Virenscanner habe ich auch aus Haftungsgründen installiert wegen Online-Banking. Ohne diesen, wird im Falle eines Falles pauschal grob fahrlässig unterstellt, wenn es zu einem Schaden kommt. Ich könnte auch c't Bankix nutzen, aber das gibt es ja noch kein Gerichtsurteil was wäre, wenn was wäre. ^^

Ansonsten sehe ich in der Praxis zigfach verseuchte Rechner, nie war der Anwender schuld, so nebenbei und wenn ein Cryptowall mal wieder komplette Firmennetze verseucht - Mist eben.

Eidolon

2015-07-02, 14:35:42

Ganz ehrlich, Flash würde ich auch endlich mal komplett raushauen.

Update: Gerade bei Heise gelesen:

NoScript: Ausnahmeregeln als Einfallstor für Angreifer (http://www.heise.de/newsticker/meldung/NoScript-Ausnahmeregeln-als-Einfallstor-fuer-Angreifer-2733372.html)

Wie man sieht, nichts ist sicher.

Flash haben wir bei uns im Betrieb schon verbannt, anfangs etwas genörgel aber Sicherheit geht vor. Dazu ist das Internet, insbesonders an den ThinClients, nun auch flotter als vorher.

lumines

2015-07-02, 14:47:41

Mit Pepperflash habe ich eigentlich keine Probleme. Der Updater von Chrome ist hier extrem zuverlässig. Da wird Flash sogar zur Laufzeit von Chrome geupdatet soweit ich weiß.

PatkIllA

2015-07-02, 14:48:25

Update: Gerade bei Heise gelesen:

NoScript: Ausnahmeregeln als Einfallstor für Angreifer (http://www.heise.de/newsticker/meldung/NoScript-Ausnahmeregeln-als-Einfallstor-fuer-Angreifer-2733372.html)

Wie man sieht, nichts ist sicher.Das ist ja keine extra Lücke und nicht unsicherer als ohne NoScript.

Ansonsten sehe ich in der Praxis zigfach verseuchte Rechner, nie war der Anwender schuldUnd wieviele davon hatten einen Virenscanner? Bei den allermeisten Fällen die ich gesehen hab würde ich die User als "auf alles klicker" einstufen. Das wirklich jemand durch eine bislang ungepatchte ZeroDayLücke infiziert wurde habe ich noch nicht gesehen.

Mit Pepperflash habe ich eigentlich keine Probleme. Der Updater von Chrome ist hier extrem zuverlässig. Da wird Flash sogar zur Laufzeit von Chrome geupdatet soweit ich weiß.Das von Adobe für allgemeine Browser ist für die Tonne. Als ich das noch auf ClickToPlay hatte hab ich schon mehrfach nach einer Woche kein Update gehabt.

Eidolon

2015-07-02, 14:59:29

Mit Pepperflash habe ich eigentlich keine Probleme. Der Updater von Chrome ist hier extrem zuverlässig. Da wird Flash sogar zur Laufzeit von Chrome geupdatet soweit ich weiß.

Behörde / Landesbetrieb, .... Chrome.. *hust* ich sag jetzt mal nicht welchen Browser wir gezwungenermaßen einsetzen.. und welche Version.

Thowe

2015-07-02, 15:20:09

...

Und wieviele davon hatten einen Virenscanner? Bei den allermeisten Fällen die ich gesehen hab würde ich die User als "auf alles klicker" einstufen. Das wirklich jemand durch eine bislang ungepatchte ZeroDayLücke infiziert wurde habe ich noch nicht gesehen.

...

Die Bandbreite reicht von keinen über lange abgelaufene, Avira Free bis hin zu "hatten einen" und der war eben im Moment der Infizierung nicht effektiv genug.

Und natürlich war das Problem vorm Monitor, die meisten wissen es nur nicht, weil viele Viren nicht direkt sichtbar tätig werden. Da waren etliche Fälle dabei, wo es die Besitzer erst merkten als die Telekom ihnen ihr Internet abgeklemmt hatten.

Thowe

2015-07-02, 15:20:59

Behörde / Landesbetrieb, .... Chrome.. *hust* ich sag jetzt mal nicht welchen Browser wir gezwungenermaßen einsetzen.. und welche Version.

IE6 :biggrin:

Eidolon

2015-07-02, 15:22:53

Ok, so alt dann doch nicht. ;)

PHuV

2015-07-02, 15:39:16

Flash haben wir bei uns im Betrieb schon verbannt, anfangs etwas genörgel aber Sicherheit geht vor. Dazu ist das Internet, insbesonders an den ThinClients, nun auch flotter als vorher.
Würde ich ja auch gerne, wenn Kunden nicht VPN-Verbindungen nutzen würden, die dann per Web und Flash zur Authentifizierung genutzt werden. :rolleyes: Aber eines fliegt raus, und wird durch Dongles ersetzt.

Joe

2015-07-02, 18:06:13

Auf was läuft der Exchange? Jetzt sag nicht auf einem Windows Server. Bitte, bitte, lass es Win7 Basic sein. :usad:

Mir egal, wird extern gemietet.

Was lässt du dir da andrehen? Entweder ist es eine große Firma und die IT Hardware wird wohl kostengünstig ausgesucht oder die Angebote, die ihr bekommt, sind kaum verhandelt.Drehst du jeden Montag in der Woche den AD Windowsserver per HDD Sheriff zurück? Halt ich aufgrund von Windows Updates schon für ein sehr dummes Vorgehen, aber du hast die Kosten für einen Virenscanner eingespart. ;)

Ich lasse nicht andrehen, ich drehe an :rolleyes:
Letze Infektion auf einem Server die wir hatten war noch ein 2003er glaub um 2005.
Client Infektionen hab ich in einer Firmenumgebung die Letzte auf XP Rechnern gesehen.
Abgesehen davon raten wir fast jedem zwischen 5 und 500 Arbeitsplätzen
inzwischen dringendst zu Terminal Lösungen.

Ahja und bei uns gibts keinen IE, vielleicht auch ein Grund. Firefox or GTFO.

Drehst du jeden Montag in der Woche den AD Windowsserver per HDD Sheriff zurück? Halt ich aufgrund von Windows Updates schon für ein sehr dummes Vorgehen...

Wir bieten übrigens auch Schulungen an, wenn Du mal verstehen willst wie ein Verzeichnisdienst unter Windows genau funktioniert ;D

The_Invisible

2015-07-02, 19:12:46

Die Firewall läuft doch auch mit Software und da hätte ich zu einer offenen Linux Lösung deutlich mehr Vertrauen als mit was propiäteres mit security by obscurity.

Die Firewall hat doch praktisch überhaupt keine Chance den Befall zu verhindern. Die kann doch höchstens verdächtige Aktivitäten nach dem Befall erkennen und wird dabei entweder einiges übersehen oder regelmäßig false positives liefern. In der Zwischenzeit hat sich die Schadsoftware im lokalen Netz schon längst ausgebreitet.

Dann viel Spaß beim Sourcecode lesen wenn du wirklich so paranoid bist ;)

Wir setzen seit 6 Jahren ausschließlich Fortigates ein und hatten bei über 50 Installationen noch keine einzige Sicherheitslücke die einen Angriff auf die Firewall selbst ermöglichte. Selbst Sicherheitslücken wie heartbleed wurden schnell durch ein Firmwarupdate behoben. Habe früher auch gerne freie Alternativen wie ipfire/ipcop/openfire usw. eingesetzt, können aber für unseren Einsatz zu wenig (DualWAN mit VPN und Trafficmgmt zb) bzw. hat man auch keinen richtigen Support dabei.

Und UTM heißt halt auch das Netzwerkangriffe/böse Files/Urls in Echtzeit erkannt werden und so gar nicht ins Netz kommen. Ersetzt natürlich keinen lokalen Virenscanner, aber machts schon mal gemütlicher, wir konnten damit schon SOVIEL im Voraus abfangen.

Lustige Anekdote hierzu: Ich nutze selber eher keine fertigen UTM-Firewalls und wäge auch bei den Kunden ab, welche Lösung zum Einsatz kommt. Bei einem meiner Kunden haben wir jetzt IPFire im Einsatz, primär um per OpenVPN eine Netz-zu-Netz-Verbindung zu einem anderen Standort aufzubauen. Dieser andere Standort nutzt eine UTM-Firewall von Securepoint, die ebenfalls OpenVPN (heißt dort SSl-VPN) einsetzt. Der TLS-Server läuft auf der UTM-Firewall, ich habe also was DH-Parameter, Zertifikate und TLS-Version keinen Einfluss und muss das nehmen, was mir angeboten wird. Tja, und was muss ich da sehen? Default 1024bit RSA-Schlüssel (wurde nach meinem Intervenieren auf 4096bit gestuft), BF-CBC als Verschlüsselung (angeblich nicht änderbar), SHA1 als HMAC-Hash-Algorithmus (angeblich nicht änderbar), TLS1.0 (TLS 1.2 wohl nicht möglich), keinerlei Zertifikatsüberprüfung (weder hinsichtlich Nutzung noch hinsichtlich des Common Names->MITM-Attacken möglich), kein zusätzlicher TLS-Auth Mechanismus um internen DOS-Attacken entgegen zu treten und keine direkte Änderung der DH-Parameter möglich (dazu gleich mehr). Mit aktuellen Kryptostandards hat es Securepoint wohl nicht so sehr.

Letztes Wochenende habe ich den IPFire aktualisiert woraufhin sich der Tunnel nicht mehr aufbaute. Ich hatte die Aktualisierung schon auf anderen IPFire-Installationen hinter mir und dort gab es keinerlei Probleme (auch mit den VPN-Verbindungen nicht). In den Log-Dateien von OpenVPN stand dann auch der Grund: Der DH-Parameter ist zu klein! Nach kurzer Recherche stellte ich fest, dass OpenSSL auf dem IPFire auf Version 1.02c aktualisiert wurde, welches einen Fix für die Logjam-Attacke beinhaltete. Dieser Fix sieht im Prinzip so aus, dass DH-Parameter, die kleiner als 768bit sind, blockiert werden (die Blockade soll in Zukunft auf 1024bit heraufgestuft werden). Mit anderen Worten, die Securepoint-UTM-Firewall nutzt sehr wahrscheinlich gerade mal 512bit große DH-Parameter, wodurch die Verschlüsselung mit ein paar starken Grafikkarten in kurzer Zeit geknackt werden kann.

Da jetzt der Admin der UTM-Firewall z.Z. im Urlaub ist und meinte, dass das Ändern des DH-Parameters nicht so einfach geht (bei mir ist das ne simple Textdatei, die man per "openssl dhparam 4096 -out dh4096.pem" erstellen kann), wollte ich mich selber überzeugen und hatte mich bei Securepoint für ne Test-VM registriert. 2 Tage später bekam ich einen Anruf von einem Securepoint-Mitarbeiter, wann und wo man sich denn treffen könnte, damit wir dann als Vertriebler von Securepoint auftreten könnten. Nachdem ich ihm erklärt habe, dass ich mich für eine Testversion registriert habe, um oben genanntes Problem zu lösen, wurde das Gespräch ungemütlich. Securepoint vergibt keine Testversionen einfach so, sondern nur an registrierte Vertriebler.

Einem Hersteller von Firewall-Lösungen, dem "Security by Obscurity" wichtiger ist, als das Problem von zu kleinen DH-Parameter zu lösen, kann ich nicht wirklich vertrauen und weiterempfehlen. Vielleicht ist es auch die Schuld des Admins, der hier nicht so viel Ahnung hat. Aber er hatte mir gegenüber schon angedeutet, dass er ja gerade deswegen diese Fix-und-Fertig-Lösung inkl. Support nutzt. Also sehe ich hier Securepoint in der Pflicht, mit Patches und Hinweisen für die Admins die Firewall-Lösungen auf den aktuellen Stand der Technik zu bringen (DH-Parameter mit 512bit waren schon vor 5 Jahren zu schwach).

mfg Oli

Ja, ist natürlich schlimm, glaube aber eher das der Admin dorch schnarchig ist und schon lange keine Firmwareupdates mehr gezogen hat. :biggrin: Wie gesagt setzen wir durchgehend auf Fortigate und haben in den letzten Jahren noch nie schlechte Erfahrungen gemacht, der Support ist auch sehr profesionell, mit Securepoint habe ich keine Erfahrungen. Natürlich ist ein offenes System schöner, aber dann kann man schon mal viel Hard- und Software ausschließen die man nicht einsetzen dürfte.

Joe

2015-07-02, 19:18:45

Eine gut konfigurierte Firewall kann vielleicht die Infektion nicht verhindern, aber ein Trojaner der nicht nach Hause telefonieren kann ist trotzdem entschärft.

Ich musste letztens paar Sonic Walls verbauen, weil wir viele Ports und 10GB gebraucht haben und die NSA Serie da ziemlich unschlagbar ist in Preis/Leistung.

Bisschen mulmiges Gefühl bleibt aber immer wenn man US Sicherheitstechnik verbaut.
Andererseits ist es auch extrem unwahrscheinlich, dass die NSA so eine Karte bei einem deutschen Mittelständler spielen würde.

The_Invisible

2015-07-02, 19:19:24

Würde ich ja auch gerne, wenn Kunden nicht VPN-Verbindungen nutzen würden, die dann per Web und Flash zur Authentifizierung genutzt werden. :rolleyes: Aber eines fliegt raus, und wird durch Dongles ersetzt.

Ironie oder wie, Flash Login als Auth für ein VPN ;D

PatkIllA

2015-07-02, 21:03:42

Eine gut konfigurierte Firewall kann vielleicht die Infektion nicht verhindern, aber ein Trojaner der nicht nach Hause telefonieren kann ist trotzdem entschärft.Das geht doch sowieso über http weil man damit fast überall durchkommt.

Ich musste letztens paar Sonic Walls verbauen, weil wir viele Ports und 10GB gebraucht haben und die NSA Serie da ziemlich unschlagbar ist in Preis/Leistung.:biggrin:

Dann viel Spaß beim Sourcecode lesen wenn du wirklich so paranoid bist ;)immerhin kann man im Zweifel mal nachschauen. Und ja ich schaue regelmäßig in Implementierungen anderer Leute. Praktisch immer ist es aber nur für besseres Verständnis, wenn man dagegen programmieren will oder muss. Habe aber auch schon Fehler gefunden.

Wir setzen seit 6 Jahren ausschließlich Fortigates ein und hatten bei über 50 Installationen noch keine einzige Sicherheitslücke die einen Angriff auf die Firewall selbst ermöglichte. Selbst Sicherheitslücken wie heartbleed wurden schnell durch ein Firmwarupdate behoben. Habe früher auch gerne freie Alternativen wie ipfire/ipcop/openfire usw. eingesetzt, können aber für unseren Einsatz zu wenig (DualWAN mit VPN und Trafficmgmt zb) bzw. hat man auch keinen richtigen Support dabei.Das meiste sollte man schon hinbekommen aber das wird dann in der Tat aufwändig

Joe

2015-07-02, 21:07:06

Das geht doch sowieso über http weil man damit fast überall durchkommt.

:biggrin:

Proxy Server für HTTP/HTTPS
Ist schon nicht mehr so einfach wenn du in Windows in den Internetoptionen keinen Proxy eingetragen hast und nur im Firefox direkt.

Und ja wir haben alle gut gelacht, auch die Leute von Dell, als Sie den Partnern die neue Firewall Serie gezeigt haben :D

PatkIllA

2015-07-02, 21:11:15

Proxy Server für HTTP/HTTPSUnd wie unterscheidet der einen bösartigen Angriff von legitimen Krams?
Bei HTTPS-Proxies kriegt man gleich wieder neue Probleme und/oder macht Sicherheitslücken auf.

Joe

2015-07-02, 21:18:23

HTTPS ist nur Passthrough er kann zwar nicht in den Stream schauen aber halt Ursprung und Ziel und für HTTP haben wir seit 2015 Application Layer wo Du alle Apps einzeln frei gibst z.B. Firefox und Skype.

Ich sag nicht, dass es unmöglich ist das zu umgehen aber der 0815 Schädling sollte nicht schlau genug sein sich da rauszumogeln.

PHuV

2015-07-02, 22:59:40

Ahja und bei uns gibts keinen IE, vielleicht auch ein Grund. Firefox or GTFO.
Kein Witz, ich kann Dir auf Anhieb mehrere Firmen nennen, wo der IE (auch in den alten Versionen) nur als einziger Browser zugelassen ist. Und da sind überraschend auch einige Nicht-Behörden-Firmen dabei.

Joe

2015-07-02, 23:23:16

Kein Witz, ich kann Dir auf Anhieb mehrere Firmen nennen, wo der IE (auch in den alten Versionen) nur als einziger Browser zugelassen ist. Und da sind überraschend auch einige Nicht-Behörden-Firmen dabei.

Ist nicht ungewöhnlich, IE6 ist immer noch weit verbreitet.
Grad bei der 6er Version hatten viele Firmen in IE Software investiert.
War ja auch so von MS beworben worden. Da war ja das ActiveX Zeug so ne art .NET light.
Und wenn Du halt mal einen 6 oder 7 Stelligen Betrag da reingepumpt hast, kann man halt schwer zwei Jahre später sagen "war wohl ne schlechte Idee"

Rancor

2015-07-03, 09:10:33

Antiviren Programme sind nicht überflüssig, gerade für Otto-Normal User nicht. Natürlich gibt es immer wieder Leute die, meinen das sie seit 4 Jahren kein Antiviren Programm haben und brain.exe + adblock und no-script reicht und sich nie was eingefangen haben... Wer das glaubt.

Wenn ich dann auch noch lese das eine IT Firma Ihren Kunden empfiehlt keine Anti Virus Lösung einzusetzen, dann fällt mir nichts mehr ein.
Für mich ist das fahrlässig. In einer Terminal Umgebung könnte man vllt noch darüber diskutieren, aber nicht jede Umgebung ist für Terminal Server, Vmware View oder Xen Desktop oder sonst was geeignet. Aber selbst da würde ich es empfehlen, weil man einfach weiss wie unbedarf und unvorsichtig viele Angestellte in den Firmen mit Ihrem Arbeitsgerät umgehen.

PatkIllA

2015-07-03, 11:36:41

Natürlich gibt es immer wieder Leute die, meinen das sie seit 4 Jahren kein Antiviren Programm haben und brain.exe + adblock und no-script reicht und sich nie was eingefangen haben... Wer das glaubt.Was ist daran nicht zu glauben?
Zero Day Exploits, die großflächig ausgenutzt werden sind sehr selten und da helfen die Scanner in der Regel auch nichts. Wichtig ist da, dass alles was mit fremden Daten in Berührung kommt zeitnah aktualisiert wird.

Aber selbst da würde ich es empfehlen, weil man einfach weiss wie unbedarf und unvorsichtig viele Angestellte in den Firmen mit Ihrem Arbeitsgerät umgehen.Man kann auch Windows-Rechner so einstellen, dass sie praktisch nichts ausführen, was nicht genehmigt wurde.

robbitop

2015-07-03, 14:44:53

Ganz modern ist ein Schädling (habe ich mir bspw. durch die Installation von Daemon Tools geholt), der verhindert, dass man das Windows (8.1 in meinem Fall) wiederherstellen kann. Er (Windows) sagt nach fehlgeschlagener Wiederherstellung, dass ein Antivirenprogramm daran schuld sein könnte.

Wisst ihr zufällig, was man da machen kann (außer einer Neuinstallation natürlich)?

Rancor

2015-07-03, 14:54:41

Was ist daran nicht zu glauben?
Zero Day Exploits, die großflächig ausgenutzt werden sind sehr selten und da helfen die Scanner in der Regel auch nichts. Wichtig ist da, dass alles was mit fremden Daten in Berührung kommt zeitnah aktualisiert wird.chner so einstellen, dass sie praktisch nichts ausführen, was nicht genehmigt wurde.

Kann man, aber auch das bietet kein 100%ige Sicherheit. Anti-viren Programme sind auch nicht als alleinige Lösung zu sehen, sondern gehören einfach zu einem Gesamtsicherheitskonzept in einem Unternehmen dazu.

Matrix316

2015-07-03, 15:14:24

Lokadamus

2015-07-03, 15:29:51

Ok, so alt dann doch nicht. ;)Der gute IE 8. Welcher kann es sonst sein? :uup:Ahja und bei uns gibts keinen IE, vielleicht auch ein Grund. Firefox or GTFO.

Wir bieten übrigens auch Schulungen an, wenn Du mal verstehen willst wie ein Verzeichnisdienst unter Windows genau funktioniert ;DMit LDAP beschäftigen, um danach zu den FSMO zu kommen, um zu erklären, wie Freigabe berechtigt werden und als DFS eingerichtet werden. Die GPOs wollen wir nicht vergessen, um sicher zu gehen, dass alle je nach Gruppe gleich ticken. Je schlechter das AD angelegt wurde, gibt es Gruppen, die sich irgendwann überschneiden und ein Unterbrechen der Vererbung ist auch immer zu überlegen und möglichst zu vermeiden. Zum Schluß ein Desasterrecovery des DC, um die Probleme bei den Berechtigungen, die während des Ausfalls des DCs waren, darzustellen.

Wie teuer ist so ein Kurs? Ich bräuchte mal ein besseres Papier als die Erkenntnis, dass ich XP installieren kann. ;)Und UTM heißt halt auch das Netzwerkangriffe/böse Files/Urls in Echtzeit erkannt werden und so gar nicht ins Netz kommen. Ersetzt natürlich keinen lokalen Virenscanner, aber machts schon mal gemütlicher, wir konnten damit schon SOVIEL im Voraus abfangen. Squid und Snort sollten hier helfen können, aber einarbeiten dauert halt. Ein Reverseproxy für externe Zugriffe auf OWA oder so wäre auch nicht schlecht. ;)Ganz modern ist ein Schädling (habe ich mir bspw. durch die Installation von Daemon Tools geholt), der verhindert, dass man das Windows (8.1 in meinem Fall) wiederherstellen kann. Er (Windows) sagt nach fehlgeschlagener Wiederherstellung, dass ein Antivirenprogramm daran schuld sein könnte.

Wisst ihr zufällig, was man da machen kann (außer einer Neuinstallation natürlich)?Irgendwie gibt es mit Win8.1 wohl einige Probs zur Zeit wegen Software böse usw.

Daemon Tools hat hoffentlich nichts außer Add-Ware dabei. Die konnte bei der Installation abwählen. Alc 52% war schlimmer, da ist ein bischen Crap mit reingekommen. Ich hoffe, ich habs runterbekommen und es hat nicht noch was im Windows Ordner oder so abgelegt.