(64-Bit) Sandbox & Systemvirtualisierung, Vergleichstest Einstellungen

[subset]

Hi,

ich habe Returnil, Sandboxie und Shadow Defender unter Windows 7 64-Bit mit zehn Schadprogrammen getestet.

Den Test kann man hier ansehen oder als PDF herunterladen:
http://drop.io/subsetlines
(64-Bit) Sandbox & Systemvirtualisierung - Vergleichstest - 02/2010

MfG

[Habakuck]

Super Test, Dankeschön!

[Julian]

Die PDF sieht wirklich professionell aus, auch die intensiven Vorabinformationen sind nicht übel. Hut ab!
Allerdings ist das Ergebnis doch eher langweilig und war vorherzusehen.

IMO ist Sandboxie mit der Drop Rights Option auch nicht ganz vergleichbar mit den anderen Programmen, da man so kaum Programme in der Sandbox installieren kann, die Möglichkeiten also im Gegensatz zu den anderen Programmen was das angeht stark eingeschränkt sind.
Aber selbste ohne diese Option würde das Ergebnis mit Sicherheit nicht anders aussehen.

[Peter 123]

Interessanter Test, dazu sehr übersichtlich und anschaulich gestaltet und auch für Laien verständlich formuliert. Danke, subset.

Und was das Ergebnis betrifft:

Allerdings ist das Ergebnis doch eher langweilig und war vorherzusehen.

Mag ja sein. Aber für einen Benützer dieser Programme herrlich beruhigend. Alles im grünen Bereich, alle Tests bestanden. Was will man mehr (an Sicherheit)?

[dataandi]

Vielen Dank für den Test!

Sandboxie gehört einfach zur Ausstattung dazu... und nun endlich für 64 Bit

Der Beitrag wurde von dataandi bearbeitet: 25.02.2010, 22:18

[scu]

Sehr schöner Test. Gut zu lesen.
Nicht zu viel, nicht zu wenig Infos.

Bitte mehr davon!

PS: Für das "langweilige Ergebnis" kannst du ja nix!

[subset]

Danke für die Anerkennung.

IMO ist Sandboxie mit der Drop Rights Option auch nicht ganz vergleichbar mit den anderen Programmen, da man so kaum Programme in der Sandbox installieren kann, die Möglichkeiten also im Gegensatz zu den anderen Programmen was das angeht stark eingeschränkt sind.

Beim Test ging es nur um die Isolierung der Bedrohungen.
Die Kompatibilität von Sandboxie unter x64 ist eine andere Baustelle.
Natürlich werden da in den Standardeinstellungen aus Sicherheitsgründen Sachen abgewürgt, die auch legitime Programme betreffen und so unter x86 nicht passieren.
Ein Dilemma ist das aber eher, wenn man Programme komplett in die Sandbox installieren will und dafür die Rechteeinschränkung aufgeben müsste.

Wegen dem langweiligen Testergebnis.
DefenseWall hat bei dem letzten AV-C Test auch so ein Ergebnis erzielt.
Da stand dann...
"Auch wenn bei diesem Test eine Schutzrate von 100% erreicht wurde, sollte klargestellt werden, dass es trotzdem keinen 100 prozentigen Schutz gibt, egal mit welchem Produkt."
"Softsphere DefenseWall HIPS Review", Seite 11

MfG

[Julian]

Die Kompatibilität von Sandboxie unter x64 ist eine andere Baustelle.

Die meinte ich zwar gar nicht, aber stimmt.

Ein Dilemma ist das aber eher, wenn man Programme komplett in die Sandbox installieren will und dafür die Rechteeinschränkung aufgeben müsste.

IMO ist das derzeit noch kein Dilemma, da wohl kaum Malware gezielt die Hooks von Sandboxie unhookt, die nicht im Kernelmode sind. Mal schauen, wann ein Schädling entdeckt wird, der dies macht.

Wegen dem langweiligen Testergebnis.
"Auch wenn bei diesem Test eine Schutzrate von 100% erreicht wurde, sollte klargestellt werden, dass es trotzdem keinen 100 prozentigen Schutz gibt, egal mit welchem Produkt."

Wobei auf x64 HDD-Virtualisierer vermutlich eher noch sicherer sind als auf x32, da Malware nicht in den Kernel eindringen und dort Umleitungen zurückbiegen kann (meine laienhafte Vermutung).

[Firefox 1947]

Sehr interessant, danke Subset.

Gruss Firefox

[subset]

Wobei auf x64 HDD-Virtualisierer vermutlich eher noch sicherer sind als auf x32, da Malware nicht in den Kernel eindringen und dort Umleitungen zurückbiegen kann (meine laienhafte Vermutung).

Mit den Treibern ist es aktuell sowieso schwierig, die werden meist unter x64 erst gar nicht geladen.

Wenn DLLs verwendet werden, dann scheitern die meist an den x64 Prozessen.
Also eine 32-bit DLL kann zwar in 32-bit Prozesse geladen werden (IE x86...), aber nicht in 64-bit Prozesse, also z.B. den Explorer oder die wichtigen Prozesse der Sicherheitsprogramme.
Schadprogramme, die 32-bit und 64-bit DLLs im Gepäck haben, sind noch sehr selten.

Direkte Manipulationen der 32-bit Schadprogramme, also der exes, scheitern auch zumeist an der 64-bit Prozess Hürde.
Beim Worm.Win32.AutoIt.r, der versucht Prozesse zu beenden, sieht man z.B. von Avira nicht mehr viel, da hier viele 32-bit Prozesse dabei sind. CurrPorts x64 kann man hingegen ganz normal nach einer Infektion starten.

MfG