Prevx Edge erschienen Einstellungen

[blubber]

Hallo,

Da das noch keiner angesprochen hat, werde ich das mal machen....

Es gibt wieder mal was neues von Prevx, scheint wohl der Nachfolger von Prevx 2 zu sein. Nennt sich nun Prevx Edge.
Download gibt es hier inkl. Screenshot's.

http://www.prevx.com/prevxedge.asp

Realtime protection against zero-day and even zero-hour threats

Ultra-Strong rootkit prevention

Advanced behavior monitoring to detect complex and suspicious infections

Blocks known and unknown infections with advanced heuristics

Identifies and prevents targeted attacks and mutating infections

Almost-silent operation with the absolute minimal user interaction required

Light footprint and compatible with all other security products

Mal schauen, eventuell werde ich es testen...

[Gast_Nightwatch_*]

Die keine Emulation in dem Sinne verwendet. Daher ist die Bezeichnung Emulator völlig am Ziel vorbei.

Der Vergleich des Dateidatums hat ebenfalls nichts mit einem Emulator zu tun. Ich rieche Buzzwords.

Ebenfalls zweifelhafte Benennung denn der Abgleich einer Checksumme mit einer Cloud hat nichts mit Emulation zu tun.

Hi
Sei mir nicht böse, aber irgendwie scheint es mir, als hättest Du Dich mit den technischen Details und Funktionsweisen des Programms nicht auseinandergesetzt. Natürlich gibt es eine Heuristik-Emulation im eigentlichen Sinne. Und die Age-Erkennung ist keinesfalls nur ein Abgleich des Erstellungsdatums, die Community-Heuristik keinesfalls ein Abgleich einer bloßen Checksumme. Woher beziehst Du diese Thesen

Auch Deine Sätze bezüglich der langsamen (und nachträglichen) Cloud-Erkennung erschließen sich mir nicht. Wie soll das technisch funktionieren? Ein Sample wird durchgelassen und 2 Minuten später erkannt, weil das Sample ITC verschickt worden ist? Ohne dass die Heuristik es zuvor als verdächtig identifiziert hat? Es gibt wohl momentan nichts schnelleres, als dieses System.
Und warum sollten die letzten zwei Säulen kein Problem für Malware darstellen?

Es ist ja vollkommen in Ordnung, wenn Du dieses ganze System nicht gutheißt bzw. Du kein Vertrauen darin siehst. Prevx ist auch noch kein Massenprodukt, weil es z.B. eine permanente I-Verbindung erfordert. Aber Unwahrheiten bringen auch nicht weiter . Nur weil ein Rootkit von Dir durchgelassen wurde, heißt es nicht, dass Prevx generell nicht in der Lage ist, Malware-Samples zu blocken. Und auf das Cleaning wird sich wohl hier doch fast gar nicht verlassen. Werde aus Deinen Schlußfolgerungen nicht schlau.

@Paul Wilders
Klasse!!
Ein wirklich schönes Entgegenkommen und eine tolle Nachricht !

Gruß,
Nightwatch

[Anar]

Sei mir nicht böse, aber irgendwie scheint es mir, als hättest Du Dich mit den technischen Details und Funktionsweisen des Programms nicht auseinandergesetzt.

Gegenfrage ... hast Du ausser dem Marketing Geblubber auf der Webseite noch andere Informationen eingeholt? Z.B. den Client reversed?

Natürlich gibt es eine Heuristik-Emulation im eigentlichen Sinne.

Ich empfehle Dir auf Wikipedia das Wort "Emulation" nachzuschlagen. PrevX ist nicht in der Lage eine CPU oder überhaupt irgendetwas nachzubilden. Deshalb ist das Wort Emulator unangebracht. Es hat durchaus eine Heuristik. Die Heuristik basiert aber ausschließlich auf statischen Verfahren. Ausserdem war es in meinen Tests mit mittlerweile rund 30.000 Schädlingen zu keinem Zeitpunkt der Fall, daß die Heuristik allein genügt hätte um eine Alarm Meldung oder gar einen Block zu verursachen ohne das vorher die Cloud konsultiert worden wäre.

Und die Age-Erkennung ist keinesfalls nur ein Abgleich des Erstellungsdatums, die Community-Heuristik keinesfalls ein Abgleich einer bloßen Checksumme.

Mal davon abgesehen, daß selbst die Anwendung sagt, daß es sich bei der Age Heuristik um eine Erkennung auf Grund von Zeitstempeln handelt, ist ein Abgleich an Hand der Popularität innerhalb der Community anders als über Checksummen nicht möglich. Man kann schlecht die kompletten Dateien hinschicken und fragen "habt ihr die auch". In dem Kontext wird auch klar wieso der Begriff Emulator wieder völlig deplaziert ist. Was willst Du bei Zeitstempeln emulieren? Den Lauf der Zeit? In dem Fall sollte sich PrevX mit Physikern zusammen setzen. Die werden sehr interessiert an der Zeitemulation sein. Das Konzept der Zeit ist ja immer noch ein wenig undurchsichtig für sie.

Woher beziehst Du diese Thesen

Reverse Engineering. Und es sind keine Thesen. Das sind die Fähigkeiten die der Client tatsächlich besitzt.

Auch Deine Sätze bezüglich der langsamen (und nachträglichen) Cloud-Erkennung erschließen sich mir nicht. Wie soll das technisch funktionieren? Ein Sample wird durchgelassen und 2 Minuten später erkannt, weil das Sample ITC verschickt worden ist?

Exakt so läuft es. Der PrevX Client ist technisch nicht in der Lage Verhaltensweisen selbst zu erkennen (weshalb die komplette Behaviour Based Benamung auf der Webpage äußerst fragwürdig ist). PrevX installiert einen Filesystem Filter, ein Process Creation Notification Callback und eine Hand voll Hooks um Prozessmanipulation und -terminierung zu verhindern. Ansonsten ist der PrevX Client komplett blind. Die Heuristiken bestimmen welche Dateien an die Cloud geschickt werden. Die Cloud kann zudem von sich aus Dateien anfordern. Die Dateien werden dann von der Cloud auf dafür vorgesehenen Maschinen ausgeführt und ihr Verhalten beobachtet. Nach meinen Tests dauert der Vorgang 10 Sekunden bis 5 Minuten. Laut meiner Erfahrung genügen eine Sekunde Laufzeit ohne Einschränkungen um ein System zu ownen. Laut der Definition wären dann übrigens eine ganze Reihe von AV Herstellern "Behaviour Based Solutions". Ikarus z.B. erstellt keinerlei Analysen mehr von Hand und sogar die Signaturen sind vollautomatisiert. Genau wie bei PrevX.

Und warum sollten die letzten zwei Säulen kein Problem für Malware darstellen?

Zeitstempel lassen sich beliebig manipulieren. PrevX unterhält keine "eigene" Datenbank an Zeitstempeln um zu speichern, wann der Client die Datei das erste mal gesehen hat. Die Popularity Heuristik hat bei mir noch nicht ein einziges File kritisiert, obwohl ich 1000% sicher bin, daß niemand außer mir die Dateien hat.

Nur weil ein Rootkit von Dir durchgelassen wurde, heißt es nicht, dass Prevx generell nicht in der Lage ist, Malware-Samples zu blocken. Und auf das Cleaning wird sich wohl hier doch fast gar nicht verlassen.

Es ist durchaus in der Lage Malware zu blocken, sofern diese Malware in der Cloud bekannt ist. Falls dies nicht der Fall ist, ist bei den Standard Einstellungen zumindest, die Bahn frei für einige Sekunden oder Minuten "Mayhem". Dadurch, das PrevX schädliches Verhalten auf dem Client Computer selbst nicht erkennen oder verhindern kann, bist Du bei einer Targetted Attack "geowned". Das war mein initialer Kritikpunkt und bleibt es auch. Es ist laut allgemeiner Definition nicht in der Lage Dich vor Zero Day Malware zu schützen, wenn Du der erste bist, der auf diese Malware trifft.

Dein letzter Rootkit Test ist übrigens sinnbefreit. Einen nicht versteckten Prozess zu erkennen ist nämlich unglaublich schwer. Bist Du sicher, daß das Rootkit überhaupt aktiv war und weißt Du was es überhaupt versteckt hat?

Der Beitrag wurde von Anar bearbeitet: 13.06.2009, 11:32