Symantec Betatest, Norton Antivirus und Norton Internet Security 2009 Einstellungen

[Timo Schmidt]

Von Wilders zum Thema HTTP-Schutz:

Hello everybody,

I am an architect at Symantec and I work on the team that builds our HTTP or Web scanning engines. I just wanted to clear up some confusion about whether or not Norton products have Web scanning engines.

The short answer is "yes" we do. In fact there are 5 independent engines that scan HTTP content.

1) There is the Intrusion Prevention (IPS) engine that scans for all types of HTTP based exploits. The engine has many 100s of generic vulnerability signatures that dont need to change often if at all since they target the vulnerability condition which doesn't change rather than the shell-code which does. New ones are added almost weekly. The list of signatures can be found at http://www.symantec.com/avcenter/attack_sigs/. Look under "H". Every signature prefixed with "HTTP_" is being scanned on HTTP traffic. Its also important to note that the IPS engine scans ALL traffic coming into or going out of your machine, not just HTTP.

2) Browser Protection - This engine is specifically targeted at obfuscated JScript/VBScript HTTP content that exploits vulnerabilities in ActiveX, DOM or even specific data-types like VML. Highly obfuscated attacks are difficult if not impossible to reliably detect by scanning network traffic or by scanning the files in the IE cache. Hence this uses a totally different approach to the problem. But the bottom line is that it is still will block content coming over HTTP before it exploits the browser.

3) Anti-Phishing Engine - Also scans HTTP content looking for phishing page characteristics.

4) Privacy Scanning engine
5) Parental Controls.

Engines 1 and 2 are targeted at blocking malware from automatically infecting your machine when you visit an infected web page. aka drive-by downloads.

NIS/NAV doesn't scan incoming HTTP traffic for a malicious PE files (portable executable file i..e exe, com etc). We dont see the value in doing that because ultimately that file will hit the disk and when it does, our real-time scanner Auto-Protect will catch it. Hence, as some users have reported, if you try to download eicar.zip from a remote site, it wont be detected until you open the zip up and extract the eicar.com. AutoProtect will detect and block it before you can execute it.

Hope this helps.

Best,

Shane.

Also kein "klassischer" HTTP-Scanner

Der Beitrag wurde von Timo Schmidt bearbeitet: 11.09.2008, 15:01

[dataandi]

@ dataandi
Oder meinst du das irgendwie anders? Vll ne andere Überwachung der datenstreams oder so? denn was ich weiss ist das Norton doch kein HTTP Scanner hat...

bin leider erst heute dazu gekommen und die eigentliche Antwort steht auch schon oben ...

Browser Protection

Da das Internet immer mehr genutzt wird, ist Ihr Webbrowser anfällig für Angriffe bösartiger Websites. Diese Websites ermitteln und nutzen Sicherheitslücken in Ihrem Webbrowser, um ohne Ihr Wissen oder Ihre Zustimmung Malware auf Ihren Computer herunterzuladen. Diese Malware-Programme werden auch als Drive-by-Downloads bezeichnet. Norton Internet Security schützt Ihren Webbrowser gegen Drive-by-Downloads von bösartigen Websites,

Browser Protection steht für Internet Explorer 6 oder höher und Firefox zur Verfügung.

Wenn Sie Browser Protection aktivieren, blockiert Norton Internet Security proaktiv neue oder unbekannten Malware, bevor sie Ihren Computer angreifen kann. Durch den Schutz Ihres Webbrowsers sorgt Norton Internet Security für die Sicherung Ihrer sensitiven Daten und hindert die Angreifer daran, Ihren Computer remote zu steuern.

Browser Protection sollte ständig aktiviert bleiben, damit Ihr Webbrowser gegen Angriffe bösartiger Websites geschützt ist.

Intrusion Prevention


Intrusion Prevention scannt nahezu alle Netzwerkdaten, die Ihr Computer sendet und empfängt, und vergleicht diese Daten mit einer Reihe von Angriffssignaturen, d. h. speziellen Daten, die die Versuche eines Angreifers charakterisieren, eine bekannte Sicherheitslücke eines Betriebssystems oder eines Programms auszunutzen. Wenn die Daten einem bekannten Angriffsmuster entsprechen, wird das Paket automatisch von Intrusion Prevention gelöscht und die Verbindung mit dem Computer, der die Daten gesendet hat, getrennt. Auf diese Weise wird Ihr Computer vor möglichen Auswirkungen geschützt. Intrusion Prevention schützt Computer gegen die am weitesten verbreiteten Internetangriffe.

Intrusion Prevention ist auf eine umfangreiche Liste mit Angriffssignaturen angewiesen, um verdächtige Netzwerkaktivitäten zu erkennen und zu blockieren. In manchen Fällen können harmlose Netzwerkaktivitäten ähnlich aussehen wie eine Angriffssignatur. Wenn Sie wiederholt Warnungen bezüglich potenzieller Angriffe erhalten und wissen, dass diese Warnungen von harmlosen Aktivitäten ausgelöst werden, können Sie für die Angriffssignatur, die dieser harmlosen Aktivität entspricht, einen Ausschluss definieren.

Sie können Norton Internet Security auch so konfigurieren, dass Sie benachrichtigt werden, wenn eine bestimmte Signatur erkannt wird. Sie können darüber hinaus Benachrichtigungen für einzelne oder Signaturen oder für alle Intrusion Prevention-Aktivitäten deaktivieren.

Sie können Intrusion Prevention aktivieren und deaktivieren. Wenn Sie Intrusion Prevention aktivieren, können Sie mithilfe einer Reihe von Optionen für diese Funktion festlegen, wie die Firewall verdächtige eingehende Nachrichten überwachen und auf sie reagieren soll.

hier noch ein Screenshoot wie Eicar geblockt wird, funktioniert aber nur wenn das Testfile nicht gepackt ist und somit auch eine Bedrohnung darstellt...
[attachment=4127:Eicar_Norton2009.JPG]

Der Beitrag wurde von dataandi bearbeitet: 11.09.2008, 15:22

[subset]

Von Wilders zum Thema HTTP-Schutz:

Hello everybody,

I am an architect at Symantec and...

Quelle http://www.wilderssecurity.com/showpost.ph...p;postcount=161

MfG

[Voyager]

Das Thema dürfte jetzt durch sein , egal ob es der eine oder andere begreift oder auch nicht.

[Solution-Design]

Danke Timo,
ich lebte bisher selbst in dem Glauben, dass die Erkennung in Richtung IPS, http-Fake-Codecs, Vundos und wie sie alle heißen, ein Part der in NIS/NAV vorhandenen Desktop-Firewall sei. OK, es ist eine eigene Engine. Zu http-Scan: Es hat sich eingebürgert, dass damit auch normale Malware geblockt wird und nicht nur Angegebenes. Obwohl auch ich der Meinung bin, bevor ich mir eine http-Spaßbremse gönne, soll es doch im Cache erkannt werden. Und wenn nicht, was solls. Allerdings darf nicht unerwähnt bleiben, dass einige der genannten Features zum Beispiel Opera vorenthalten bleiben. Bis auf das meines Erachtens wichtigste Erstgenannte. Dennoch danke für deinen klärenden Beitrag.

hier noch ein Screenshoot wie Eicar geblockt wird, funktioniert aber nur wenn das Testfile nicht gepackt ist und somit auch eine Bedrohnung darstellt...
[attachment=4127:Eicar_Norton2009.JPG]

Wenn du auf Details klickst, wirst erkennen, dass die Malware im BrowserCache erkannt und geblockt wurde. Aber das steht ja auch in Timos Post zu lesen.

Das Thema dürfte jetzt durch sein , egal ob es der eine oder andere begreift oder auch nicht.

Ups... so aggressiv heute? Wie ich schon oben erwähnte, unter http-Scan verstehen die meisten Nutzer eines AVs nicht nur Exploit-Schutz, sondern auch Standard-Malware-Blocker. So nach dem Motte... warum nicht direkt im Datenstrom aufspüren. Nachteil eben, der Scan dauert. Siehe NOD32 <=> Opera, da blockiert am Ende fast jeder etwas größere Download den PC insofern es nicht eine HighEnd-Kiste ist. Das manche AVs sogar das Surfvergnügen stören ist eine andere Geschichte. Aber zumindest ist jetzt mal verdeutlicht, was Symantec unter http-Scan versteht.


Der Beitrag wurde von Solution-Design bearbeitet: 11.09.2008, 17:22

[Quimby79]

Ist eigentlich völlig offtopic, aber ich möchte doch mal darauf hinweisen wie höflich und gesittet es hier zugeht.

Bei wilders kann man ein Norton-release offenbar nicht ohne einen ordentlichen flame-war feiern...
http://www.wilderssecurity.com/showthread....9979&page=9

[chris30duew]

Du Bond,
weisst du wie ich NIS2009 antispam in windows mail von vista integriere? bei Outlook express von XP frägt antispam beim ersten öffnen ja nach ob es sich mit OE verknüpfen soll und dann ist ja auch ne Norton antispam symbol in OE wo man dann entprechend Antispam trainieren kann, adressen als spam deklarieren kann oder nicht. das vermisse ich bei vistas mailprogramm. wie sollte ich denn antispam sonst trainieren? jedesmal ins hauptprogramm? oder gibts da nen trick wie ich das mit windows mail (nicht windows live mail) verbinden kann? oder geht das gar net? würde mich wundern bei nem neuen programm, und vista is ja nun schon seit 2 jahren aufm markt. danke schon mal für die antwort
gruss chris

[Quimby79]

Bitte korrigier mich, aber Windows Mail verfügt so weit ich mich erinnern kann bereits out of the box über einen sehr guten spamfilter.

[chris30duew]

ja du hast recht, den junk filter. jedoch ob der gut ist lass ich mal dahingestellt sein bei mir landen viele spam mails im normalen ordner, ich versuchs mal auf der hohen einstellung.
jedoch hätte ich eben gern den norton antispam eingesetzt, da der wie ich finde besser ist und auch zu trainieren besser. aber vll hat auch symantec da schon n junkfilter in windows mail drin ist, daher drauf verzichtet...gut möglich

[Quimby79]

ja du hast recht, den junk filter. jedoch ob der gut ist lass ich mal dahingestellt sein bei mir landen viele spam mails im normalen ordner, ich versuchs mal auf der hohen einstellung.

Das ist ein bayesscher Filter, wie jeder andere Spamfilter auch. Du musst ihn halt trainieren.

[Quimby79]

So, ein paar news von der NIS 2009 & AntiBot Verwirrungsfront...
Ich denke mal, dass es viele interessieren dürfte:

hi guys, sorry for the delay in replying to this thread. we've been slammed with launch activities over here and many of us are on the road right now (greetings from Tokyo!) this one is a classic "good news, bad news" story.

i'll start with the good news. we've been tuning our behavioral protection with SONAR throughout our development cycle and truthfully did not think we would get as far as we did with the 2009 products. when we tested the 2009 protection capabilities versus NAB, we were pleasantly surprised when the 2 finished very close to one another in terms of effectiveness. so we tested them again to make sure. same results, with a slight advantage for the 09 products again in a subsequent test. note that this was with intrusion prevention turned off, which would have blocked all of the threats from penetrating the system (and thus would not have exercised SONAR vs. NAB, making the test pretty irrelevant). as i mentioned in a previous post, we did not simply roll NAB into the 09 products, so it was always a bit uncertain how the 2 would compare since they are using similar yet distinct techniques.

now for the bad news. late in the beta cycle we discovered an issue with Norton AntiBot and the 2009 products (NAV and NIS) whereby there were conflicts during uninstall when both coexisted on the same system. while both may run fine on your PC, we take these issues very seriously and considered our options. given this scenario and how late we were in the development cycle (almost at the end of beta), we elected to block install of NIS over NAB until a proper fix could be released.

further, given the progress we have made with the 2009 products we felt that the behavioral capabilities of the newly expanded SONAR were strong enough such that NAB was not necessary alongside NAV/NIS 09. we did, however, still want to release a fix for NAB and allow NAB users to continue to use the s/w if they wanted to. this is what we're working on now.

one caveat to this is 64 bit-- we should have been more clear about this previously but SONAR has not yet been ported to 64 bit yet as some of you have noted. we're working on this but until we complete the port to 64 bit using NAB in conjunction with the 09 products does continue to provide a strong, additional layer of behavioral protection. we're in the process of updating the KB article on this topic and I apologize for any confusion.

i'm about to hop on a plane back home so tony or matt may reply for me in my absence if you have any comments or questions. hope this helps, --dave
Ku

[Thorsten]

Hallo,
habe mal eine generelle Frage. Mein NIS2008 Abo läuft noch 126 Tage. Da kann ich doch auf die 2009er Version kostenlos umsteigen. Nur, wo kann ich diese downloaden auf der Symantec-Site?
Grüße Thorsten

[Voyager]

Ja kannst du, http://www.computerbase.de/downloads/softw...ernet_security/

[Solution-Design]

So, ein paar news von der NIS 2009 & AntiBot Verwirrungsfront...

Nachtrag: Quelle


Ich würde das jetzt nicht verwirrend nennen. Es beschreibt eher welcher Behavor-Blocker in NIS integriert ist, da es bis dato geheißen hat, dass NAB-Funktionen integriert seien. Egal wie das Kind heißt, NAB-Funktionen, NAB oder Sonar... Es ist ein HIPS-Ding, der Rest ist Programmierkunst. Diesbezüglich ist eher die Zukunft Norton-AntiBots in Frage zu stellen. Das AntiBot nach NIS09 installiert funktioniert, wissen wir ja schon.

Bitte korrigier mich, aber Windows Mail verfügt so weit ich mich erinnern kann bereits out of the box über einen sehr guten spamfilter.

Den hat Outlook 2007 auch, ist somit kein Argument. Abgesehen der tollen Lernfunktion und einer endlich auch optisch vollständigen Integration hat sich bei Norton AntiSpam seit 2005 sehr wenig getan. Die fehlende Integration in bekannte Email-Programme spricht für die schleppende Entwicklung. Ist in etwa genauso schade, wie ein installiertes Norton AntiSpam 2005 StandAllone-Produkt deinstalliert werden muss, damit Norton Antivirus in neuerer Version installiert werden kann. Es bleibt ein Nischenprodukt.

Der Beitrag wurde von Solution-Design bearbeitet: 12.09.2008, 13:42

[Thorsten]

@bond7

Danke

[Quimby79]

Die fehlende Integration in bekannte Email-Programme spricht für die schleppende Entwicklung.

Na ja, kommt drauf an was man unter "aktuell" versteht. Microsoft hat nur ein paar Monate nach der Veröffentlichung von Vista die Entwicklung offiziell eingestellt und bekanntgegeben, dass den Usern empfohlen werde auf Windows Live Mail umzusteigen.
http://de.wikipedia.org/wiki/Windows_Live_Mail

Ich denke es wäre etwas absurd, wenn Symantec sich jetzt noch auf diesen toten Gaul schwingen würde...



Edit: Sehe gerade, dass du garnichts von aktuell geschrieben hast, sondern nur von "bekannten" Mail-Programmen. So kannman sich täuschen...

Der Beitrag wurde von Quimby79 bearbeitet: 12.09.2008, 14:06

[Voyager]

Man braucht doch nurmal das NIS09 in einem virtuellen PC zu installieren und bekannte NAB-Funde auf dem System starten.
Einiges wird von Sonar erkannt aber auch nicht alles , fest steht das Sonar ist kein vollständiges NAB.

[Quimby79]

Hm. OK.
Ich will es jetzt nicht wieder zu "harsch" ausdrücken, aber was Symantec seinen Kunden da erzählt... Ich weiss nicht genau wie ich das nennen soll. Immerhin gehe ich davon aus, dass die für so einen Versuch auch nicht zu blöd sind.

[Voyager]

aber was Symantec seinen Kunden da erzählt

Die haben das soweit ich weiss nirgendwo so wortgenau betont das Sonar ein kompletter NAB Ersatz ist , die Jungs haben immer drumherum geredet.

Ja mein Gott das ist ja auch kein Beinbruch , da schiebt man das NAB ganz zum Schluss wieder drauf und gut ist. Nach einer frischen Neuinstall von NAB hat man sowieso wieder vollen Lizenzzeitraum .

[Quimby79]

Die haben das soweit ich weiss nirgendwo so wortgenau betont das Sonar ein kompletter NAB Ersatz ist , die Jungs haben immer drumherum geredet.

Ja mein Gott das ist ja auch kein Beinbruch , da schiebt man das NAB ganz zum Schluss wieder drauf und gut ist. Nach einer frischen Neuinstall von NAB hat man sowieso wieder vollen Lizenzzeitraum .

Letzteres stimmt leider nicht. Habe ich vorgestern ausprobiert. Nach wie vor wieder 235 Tage.

Wenn ich mir das oben von mir zitierte Posting durchlese, so komme ich doch ZUMINDEST zu dem Schluss, dass NIS 2009 als GESAMTLÖSUNG alle Threats neutralisiert, die auch Antibot gecatcht hätte.

we've been tuning our behavioral protection with SONAR throughout our development cycle and truthfully did not think we would get as far as we did with the 2009 products. when we tested the 2009 protection capabilities versus NAB, we were pleasantly surprised when the 2 finished very close to one another in terms of effectiveness. so we tested them again to make sure. same results, with a slight advantage for the 09 products again in a subsequent test. note that this was with intrusion prevention turned off, which would have blocked all of the threats from penetrating the system

Ich frage mich halt, welche Strategie dahintersteckt. Um ehrlich zu sein, ich sehe keine. Ich weise nochmal darauf hin, dass die 2008er NIS zuletzt inklusive Antibot verkauft wurde. Wenn jetzt die neue Version out of the box einen schlechteren Schutz bietet ist das [hier bitte nach Belieben ein harsches Wort einsetzen]...

Der Beitrag wurde von Quimby79 bearbeitet: 12.09.2008, 14:46