HIPS - Anwendungskontrolle, was taugt das? Einstellungen

[Habakuck]

Halli hallo ihr Lieben.

Ich mache mir momentan viele Gedanken ob ein HIPS eigentlich sinnvoll ist oder nicht.
Eigentlich habe ich die letzte Zeit über immer die Meinung verfochten ein HIPS wäre der einzig sinnvolle Schutz vor Malware da die Signaturen bedingte Erkennung immer Meilen hinterher hinkt.
Allerdings zweifle ich mitlerweile am Sinn und Zweck des Ganzen.
Auf einem aktuellen System führt sich nichts von alleine aus. Und wenn ich selber ein Prog ausführe dann füge ich es logischer Weise zur vertrauenswürdigen Zone hinzu da es sonst nicht funktioniert oder ich andauernd mit nervigen PopUps zugespammt werde.
Wo also liegt der Schutz begründet den mir ein HIPS bietet?
Da meine KIS Lizenz noch ziemlich lange läuft lasse ich mich gerne überzeugen, dass ein HIPS durchaus sinnvoll ist.

Die Diskussion sei hiermit eröffnet.

[Habakuck]

Ich nicht, heutzutage kannst du dir fix via Exploit/Drive-by deinen Festplatteninhalt in Sekundenbruchteil zerstören.

http://www.computerschutz.net/testberichte...leichstest.html

Wie soll mich ein HIPS vor einem Exploit schützen?
Wenn zum Beispiel der Adobe Reader in der vertrauenswürdigen Zone ist (und das muss er sein damit man damit vernünftig arbeiten kann) so ist der Schutzfaktor des HIPS gegen pdf Exploits gleich Null Komma Null!

Das ist so nicht richtig. Auch wenn die vermeidliche Datei sauber zu scheinen mag, so kann sie Code enthalten das Dienste und Treiber installiert die sich danach erst als Schädlich erkennen lassen. Ein Eintrag in die Startdateien ist schon mit einem Doppelklick geschehen auch wenn du danach erst das Programm stoppst.

Wenn ich die Datei ausführe dann tue ich das weil ich ihr vertraue!
Oder würdest du eine keygen.exe ausführen?
Wenn ich der Datei jetzt also vertaue weil ich zum Beispiel in dem Glauben bin mir einen tollen MusikPlayer herunter geladen zu haben dann möchte ich diesen installieren. Die nachfolgenden Warnfenster werde ich erlauben da ich bei jeder Installation diese Fenster bekomme.
Weisst du ich dachte bisher, dass ich als relativ versierter Anwender auf Grund der HIPS Meldungen unterscheiden könnte wann ein Prozess schädliches Verhalten aufweist.
Allerdings habe ich mich da getäuscht. Vergleicht man die Meldungen während Deamon Tools, Nero, Adobe oder viele andere installiert werden mit denen die man bekommt während sich Navipromo installiert gibt es da nicht sonderlich viele Unterschiede... Da kann selbst ich nicht 100%tig sagen was da nun definitiv schädlich ist und was nicht. Teilweise gibt es bei legitimen Programmen sogar rote Fenster wobei es bei Schädlichen nur gelbe gibt.

Die grössten Schwächen einer Suite sind immernoch die Netzwerkfunktionen. Und genau da sind Schädlinge spezialisiert und meistens auch schwer zu finden. Siehe z.B. Conficker, der ist an sich harmlos aber seine Netzwerkfähigkeiten sind es, die deinen Rechner zumüllen können ohne das eine Antivirenlösung etwas dagegen tun kann.

Was hat das mit dem Thema HIPS zu tun?

Über die Funktion von HIPS brauche ich dir ja nicht erklären deslhalb verlinke ich mal auf einen Beitrag - der ist zwar schon etwas älter, erklärt aber seht gut warum HIPS einfach zurzeit nicht wegzudenken ist.

http://www.searchsecurity.de/index.cfm?pid=3572&pk=50599

aido

Öhm, der Beitrag versucht nur deutlich zu machen warum Host based IP Systeme besser sind als netzbasierten Intrusion Prevention Systeme...


Danke schonmal für die Anregungen!

Der Beitrag wurde von Habakuck bearbeitet: 14.06.2009, 00:59