Здесь мы выходим за пределы юмора уже.
Bredonosec> Только так?
Согласен, что хорошо, если стена хардварная и где-то по пути к тебе, но говорить, что на твоей не будет пользы - это что-то свежее. Подробнее не пояснишь мысль?
Тут дело такое — где и как может быть реализована стенка. Хардверная стенка отличается от софтверной только тем, что она работает на отдельном железе, но такая же софтверная. Итак, где может быть реализована стенка. Она может быть реализована на:
1. пользовательском уровне — типа всё принимает и работает как прокси. Все минусы понятны, плюс только один — пользователь может сам всё установить без перехода в администраторы.
2. на уровне стэка, как дополнительный слой-фильтр. Она не будет много чего пропускать, но имплементация стека всё равно будет где-то доступаться раньше. Если там есть ошибки, то всё — приплыли.
3. На уровне ядра ОС раньше всех стеков. В этом случае разработчику придётся разбираться со всеми имплементациями протоколов и т.д. и при этом не наделать ошибок в этой самой имплементации. Плюс ещё и скорость будет аффектаться. Но это самый надёжный.
НИ одна из этих имплементация не сможет проанализировать VPN. Впрочем, хардверный тоже не сможет. Но, всё же, когда ты делаешь стенку на отдельной машине, на которой убрано всё лишнее, то даже при проскакивании стены ты не можешь особо атаковать машину, на которой стена крутится — там мало чего есть. Тут у хардверного преимущество — часто изменить софт нельзя — он только на чтение. А, если на машине есть много программок, то верояность того, что можно взять рута через эти программки велика. Тут даже сложение вероятностей будет — по модулю 1.

Т.е., если у тебя дырка в шелах, дырка в SMTP сервере, то тебя атакуют через обе и убрав одну, ты не сделаешь систему безопасней.
Bredonosec> Вот именно для такого пользователя (кторый к тому же не имеет никого, кто б ему настроил заранее или дал слить готовый набор рулсетов) - да. А в остальных случаях - точно нет.
Сколько их остальных случаев? А просто пользователи покрывают 80% точно. Ещё 5-10% думают, что они знают, что они делают.
Bredonosec> Не в том вопрос, что нет идеального. А в том, что есть лучше и есть хуже. Гражданин считает, что раз нет ничего идеального - знач надо юзать встроенное убожество, или на крайняк пост. Я считаю, что есть более другие выходы. Под названиями look`n`stop, comodo, для нижних уровней - wipfw, visnetic. Позволяющие более точно знать, что не окажется неких глюков, из-за которых не разрешенное прямо приложение/не разрешенный прямо порт/адрес/протокол вдруг окажутся открытыми.
А чем с точки зрения простого пользователя хуже и лучше. Я тебе могу киску дать, допустим. Ты её настроишь? Возьми линь и поиграйся с фильтрацие пакетов (ipchains или iptables —
netfilter/iptables project homepage - The netfilter.org project — всё сделано на уровне ядра). Попробуй понять, что там сделано, как настроить. А потом оцени, как это просто юзверю сделать. Другие стенки отнюдь не легче. И это ещё не говорим от тех, которые засекают текущее состояние бесед — statefull firewalls, большинство — stateless. Надо понимать, что наиболее мощные statefull frirewalls требуют огромных рессурсов. Они делают практически ту же работу, что и раутеры. А stateless часто надуваются кусочками бесед. Ну и насчёт неразрешённого соединения — тут зависит от того, а хочешь ли ты после каждой перезагрузки заново обучать стенку или же ты сохраняешь правила, так что стенка сама их перечитывает. В обоих случаях, у тебя есть опасность сделать плохое правило. И тут возникает вопрос — как часто ты просматриваешь рули и полиси на предмет адекватности? 80% народа никогда этого не делают и поэтому форточная стена ничем не хуже других — если ты только разрешаешь, то рано или поздно всё будет разрешено. Далее, разрешая соединение — ты смотришь на название программы — насколько ты внимательно смотришь? Сможешь отличить 1 от l и тому подобное? Ты помнишь названия всех исполняемых файлов из system, system32 program files? Уверен, что нет. Вот и получается, что ты купил замок — мощный и красивый, установил его на дверцу, но, поскольку не знаешь как им пользоваться, то никогда не активировал его, а используешь как обычный замок — комбинация из трёх цифр. Так он и будет защищать как обычный замок с комбинацией из трёх цифр.
Ты говоришь, что тот же comodo мониторит выходные соединения. Вот пришёл у тебя windows player, и ты хочешь всякие TVoIP смотреть. А он возьми и начни требовать соединения к IP адресам и портам, про которые ты в жизни не слышал. Что будешь делать? Изучать IGMP по
http://www.ietf.org/rfc/rfc3376.txt?number=3376 и
http://www.ietf.org/rfc/rfc4604.txt?number=4604 ? Тут тебе уже просто форумы не помогут — надо топать к провайдерам, чтобы знать, что и как они сделали. Либо не пользоваться этим делом. Тут можно заржать, т.к. человек хочет смотреть телек по инету, а каканная стенка не даёт. Догадайся, в чью пользу будет решён вопрос?
Bredonosec> По поводу руткитов - а почему средствами винды? именно что сторонними прогами - хипсами.
А они должны знать и уметь распозновать их на винде тогда. Я надеюсь, что ты знаешь про такие вещи, как
Hidden Threat: Alternate Data Streams,
Использование NTFS альтернативные потоки данных,
http://www.osronline.com/article.cfm?article=457 ? Ну и как comodo отработает нормально в такой ситуации — я не знаю, т.к. не пробовал — попробуй. И какой запрос он пришлёт — от имени какой проги?
Bredonosec> По поводу политик - как-бы и тама есть более другие темы и более квалифицированные люди, которых можно почитать. по анализу траффика - тож есть темы, но поскольку не снифлю никого - не интересуюсь особо.
Дык, в этом и проблема. Что 98% не смыслет, а значит применять не будет. Вот iptables c ipchaines и есть удел глубоко продвинутых. А ведь они могут многое. Можно на достаточно убогой машине сделать преотличнейшую стенку. И загружаться с СД перезаписываемого, а лог отсылать на другой комп.
Bredonosec> Ну дык в чем правота-то? Окромя той самой воды "никогда не говори никогда"? В этом?
В оценки полезности просто форточной стенки. Для обычного народа её ценность не только сравнима с comodo, а, практически, равна ему.
Bredonosec> дык вспоминаем всякие активХ обьекты, да и просто скрипты, что могут быть внедрены в странице (хоть ифреймом, хоть как) и инициируют исходящее соединение, дабы загрузить зверя. Ну и? А виндовый файер принципиально не отслеживает исходящих, бо считает "всё, что уже тут - всё чистое".
Ну, а чем тут поможет обычная стена? Если этот активХ выполняется в пространстве проводника, ты ему разрешил ходить на инет, и идёт он на порт 80? Не будешь же ты блокировать любые сайты, кроме известных с портом 80. Да даже и будешь, то вероятность и их хаканья далеко не нулевая. Кроме того, тот же активХ может полезть на тот же сайт по 80 порту, только URL другой — а там его сидят и ждут. Вот такой HTTP тунель. Как стена его отловит без анализа трафика? Да и анализ трафика не всегда поможет — ты не скачиваешь запаролированные зипы?
Bredonosec> Про отжирание ресурсов? випфв - 1,8мбайта. виснетик - 5мбайт. лук-н-стоп - 15метров. Это в памяти, при активной работе. Виндовый дырявый шмаровоз сколько кушает? Меньше?
Пардон, это указывает на то, что это stateless firewalls. Т.е. не самый лучший. Виндовый дырявый уже есть — он на уровне windows TCP/IP стека реализован.
Bredonosec> данное тупизмо вообще весело. Человеку на примерах было показано, что с равной степенью частоты встречаются звери, не определяющиеся и его любимцем, а иногда бывают и такие, что не определяются никем из известных, но детектятся малоизвестными (всё подтверждая скринами с вирустотала). С выводом, что для большей надежности следует иметь сканеры разных антивирей и периодически ими проверять. Гражданин же, решил использовать метод дискуссий нумер 6 от чапека
10 антивирусов точно ничего не найдут — они передеруться, как сволочи.
Bredonosec> насчет "одновременно сканящих". что есть действительно бред.
Наша поддержка (у нас тут сидит энтерпрайз поддержка) получает кучу заявок на помощь — в том числе и потому пользователи решили, что 2 антивиря лучше, чем 1, а 3 лучше, чем 2.
Bredonosec> и выдача как новости про мбр.. по такой логике древний Чернобыль, что с биосе гадил, так вообще дело далекого будущего...
А вот тут, если не сидет в администраторе, запустить антивирь со стенкой не супер-дупер, то эффект будет намного больший, чем ты установишь супер-дупер стенку с антивирем, но будешь работать под администратором.