AntiMalware 發表HIPS阻止進入Ring 0測試

AntiMalware日前發表了一項有趣的測試
測試了六款HIPS對付病毒進入Ring 0的測試
這幾款HIPS均俱備強勁的AD保護
不像更早之前Virus.GR那不知所云的
HIPS與AntiVirs及ScanTools的大雜燴(須註冊)



AntiMalware測試所使用的樣本出自WildList
均為真正流行於這個世界的活體病毒樣
測試HIPS能否有效阻止樣本獲得Ring 0權限！



是這樣的，x86 CPU一般把執行等級分為四級
分別為ring 0、ring 1、ring 2、ring 3
其中ring 0的優先權最高，反之ring 3最低
一般OS kernel以及裝置設備的驅動均在ring 0
而我們一般使用的應用程式均在ring 3
一般我們如果要取得ring 0權限
可以透過撰寫品質不優良的驅動
或者是利用OS的漏洞取得ring 0

通常當病毒或者是有心人士
進入ring 0後，理論上可以做任何事情
包括任意把具有超強自我保護的安全軟體輕易終結的能力
所幸大部分的HIPS軟體普遍均能夠在第一時間檢測該行為


此測試在VMWare Wks 6.0平台下進行
測試的六款HIPS如下：

1. PC Tools Firewall Plus 5.0.0.38
2. Jetico Personal Firewall 2.0.2.8.2327
3. Online Armor Personal Firewall Premium 3.0.0.190
4. Kaspersky Internet Security 8.0.0.506
5. Agnitum Outpost Security Suite 6.5.3 (2518.381.0686)
6. Comodo Internet Security 3.8.65951.477


測試使用九種Ring 0樣本
測試結果如下：




最後AntiMalware評選出最佳kernel level保護的有：
OA 3.0、CIS 3.8、KIS 09

而提示最少的有：
KIS 09、PC Tools 5.0、OP 6.5


其中只有KIS 09取得了最佳的平衡
我不清楚AntiMalware的設定是如何
因為在技術上KIS 09的AD可以阻止目前這些已知的Ring 0樣本
不排除可能是自動與手動操作模式之間的差別

最後KIS 09確實是一套非常強悍的安全軟體
想瞭解KIS 09智能化如何實現可以參閱以前的文章
更早以前的評測文章也推薦參考一下 (繼續閱讀...)

從Matousec的測試來看Outpost與COMODO！

這幾天心血來潮，看到Outpost出新的測試版
我就下載並安裝起來，說來我也很長一段時間沒有在接觸Outpost了
想當初Outpost跟ZoneAlarm都是在傳統軟體防火牆市場上的頭牌！
不過以前的市場沒有今天競爭如此激烈，也沒有如此特別強調AntiLeak功能
時至今日，現在的軟體防火牆市場已經與以前有了大大的不相同
皆往一個大方向邁進，就是陸續整合了HIPS功能，有了HIPS模組後
這些傳統防火牆也不再只是單純的傳統網路防火牆，也可以防止病毒的侵犯
對於AntiLeak的能力也大幅的提升！現在與HIPS相關測試也越來越多了
Matousec的LeakTest與Firewall Challenge都算是這方面比較為人知的測試
今天我不評論Matousec的測試做的如何，我們來看一下測試結果鎖看不到的一些東西


我們先從網路防火牆的部分來看
這是Outpost的網路活動清單：




Outpost這裡會統計process的全部連線數目以及所有流量
相較COMODO來說，COMODO提供的網路活動清單不如Outpost詳細
但這部分的差距還可以接受就是了




接下來是規則的部分Outpost跟COMODO在這部分都還算是清晰明瞭






但是比較奇怪的地方是Outpost它沒有應用程式規則清單
下面這是COMODO的應用程式規則清單




Outpost雖然每個應用程式都可以建立獨立的規則
但是它必須經由網路活動清單點選才可進行規則編輯的動作，相當的不方便！




再來看它的HIPS設定的部分，這裡跟前面一樣，只能經由process活動清單裡進行編輯




跟COMODO不一樣的地方在於Outpost有所謂的廣域設定，這部分跟COMODO一樣
但Outpost用了另一種方法來呈現，這部分倒是Outpost要方便了許多




但是HIPS我們手動可以設定的部分卻是COMODO要多於Outpost




另外一個很重要的一點就是雖然Outpost同樣擁有RD防護
但是跟KIS一樣，當process近於屬於黑名單行為時候才會出現作用




換句話說就是Outpost缺乏RD的自定義功能！
除了RD外Outpost同樣也不具有FD規則編輯的功能
這個就不是Outpost可以跟COMODO相比的地方

再來就是防護的部分，我使用AKLT 3作為測試
Outpost對於AKLT的KeyLog行為幾乎都能阻止






換了另一個比AKLT高階的Zemana的Log測試工具
Outpost在這個測試下完全無反應，這系列的測試
COMODO跟KIS都可以防的了了，顯然Outpost在這部分還是弱了一點




雖然Matousec上的成績顯示Outpost比COMODO分數要來的高一點
但實際上是不是這麼一回事？所以一個產品的好壞絕對不能只看測試結果
結果論不適合用在Matousec所做出來的測試上，尤其是這些屬於TOP級的產品！
所以我覺得先瞭解它們的產品定位我想會比較重要，畢竟光從功能上來比較
Outpost光提供的功能就比COMODO要少了很多，就算從都有的功能上來看
COMODO也遠比Outpost所提供的要來的豐富許多，如果你是一個End user
那COMODO絕對是比Outpost符合你需求的一款安全軟體！ (繼續閱讀...)