По поводу антивирусов (Linux/Windows)?

Question

[DVoropaev]

Нужен антивирус на linux с такими требованиями:
Проверяет виндосовские файлы на вирусы.
Бесплатный
Простой в управлении
Работает не в фоновом режиме (Открыл консоль, написал команду, передал в нее путь, он проверил все файлы)

Answer 1

[Макс]

clamav

Comments

[Дмитрий]

Пока люди юзают его у малварщиков будет кусочек хлеба ;)

[Макс]

Дмитрий: пока люди используют компьютеры - у хакеров будет пара евро. Вы можете предложить другое решение, подходящее под указанные автором критерии?

[Дмитрий]

Макс: Написал же, см. ниже! Минимум KVM, а внутри уже создавать решение. Но только лишь clamav это лишь 25% от даже известных миру вирусов, а уж неизвестных вы им не поймаете. Ну разве малварщик с будуна на бажит.

[Макс]

Дмитрий: простите, но я не понимаю, как KVM спасет от вируса. Почему не HyperV/ESXi? Чем страшен тот факт, что малварь будет знать о том, что работает в VM?
О антивирусах - Вы знаете хоть 1 антивирус, который ловит все неизвестные вирусы? Я согласен, что сигнатурный метод уже не эффективен. Однако Вы уверены, что "нормальный" антивирус решит проблему автора вопроса? Если при этом система просто не сможет работать....

приведу пример-аналогию. Банкоматы. Как Вы думаете, устанавливают ли на них современное АВПО?
А если учесть, что масса этих чудо-машин имеет 256Мб памяти на борту?

[Дмитрий]

Макс: Стратегия малварщика работать не на всем парке машин. А оставаться как можно дольше в стадии "не задетектили". Если прямо сейчас он обнаруживает, что он работает под виртуалкой, то ему проще отказаться от работы и закрыть процесс. Зато пользователь не заподозрил, что-то неладное и не отправил файл в Лабораторю Касперского и у него есть еще один день минимум.

Про банкоматы: там поток информации идет не через одну систему! А через множество Linux машина -> windows машина -> еще 100500 решений по безопасности . Через такие вот гетерогенные сети у малварщика нет ни одной возможности зацепиться хоть за что-то и ему приходится решать проблему сбития детекта в общем плане, а это увеличивает стоимость разработки малвари.
Есть банкоматы банка Москвы работающие и на DOS!!! А есть на Linux, а есть на Windows.

Но, если честно банкоматы ломают отнюдь не вирьем, а другими методами, которые дешевле, эффективнее и проще.

[Макс]

Дмитрий: ну так отлично! чем дольше малварь "таится" - тем больше вероятность, что сигнатурник его поймает. Получается, что "детектируемость" виртуалки - плюс, есть шанс, что малварь решит не стартовать.
"Но, если честно банкоматы ломают отнюдь не вирьем, а другими методами, которые дешевле, эффективнее и проще." поверьте мне, векторов атак на банкоматы масса, и вирусы в том числе. Если Вы имеете в виду попытку похитить непосдерственно наличку из банкомата - то да, тут вирусы излишни. Но цель не всегда налик из конкретного банкомата.

[Дмитрий]

Макс: Для того чтобы сигнатуры появились нужно чтобы их кто-то их добавил! А чтобы их добавили нужно человеку файл в руках подержать и пореверсить. Убедиться что это вирус. Вот и вывод: нет файла, нет реверса, значит нет сигнатуры! Это как: нет запроса на фичу, значит нет реализации

[Макс]

Дмитрий: Вы не поверите, но за всю историю использования антивирусом я отправил в лабораторию дай Бог 5-7 вирусов. А вот в базе их сотни тысяч. Так что даже если я ничего не отправлю на анализ - с хорошей долей вероятности сигнатура появится в базе через некоторое время и без меня. Конечно, если мы не говорим о таргетированной атаке.

[Дмитрий]

Макс: ОК. Без вас. Возможно кто-то столкнется. Но когда? Через сколько времени? Я вот работая несколько лет назад в антивирусной конторе отлично помню, что мы сталкивались со случаями, когда файл начинал обнаруживаться только спустя месяцы! В силу разных причин. Поэтому и утверждаю, что одним лишь clamav-ом сытым не будешь! Нужно поднимать более серьезное решение или согласиться на ситуацию "возможно пропустим малварь"

[Макс]

Дмитрий: так а кто говорит, что одним clam-ом можно что-то сделать? "серебрянной пули" не существует.

Answer 2

[Дмитрий]

Современный антивирус это не просто "копатель в файле". Другими словами одним лишь набором статических сигнатур не обойтись! Нужны проактивка, эвристика и ряд других мер. При этом надо учитывать, что технологии эмуляции убирают часть проблем, но не все и остается еще ооочень много угроз.

Я к тому, что простых решений, как вы хотите нет. Нужно отдавать себе отчет. Что сканирование на вирусы на Linux машине на предмет малвари под Windows будет в разы хуже чем на Windows машине.

Comments

[DVoropaev]

на борту стоит linuxи несколько виртуалок на винде. Есть общие папки. Мощности ноутбука не хватит, чтобы на виртуалках запускать антивирусы

[Adamos]

dableproger: тогда просто делайте бэкап того, что ценно на этих виртуалках, и отберите у пользователя Винды админские права.
А на антивирусы просто забейте. Ну, можно virustotal воспользоваться, если правда понадобилось...

[Дмитрий]

dableproger: Любой! Любой программер пишущий малварь, если у него руки из правильного места напишет код обнаруживающий работу под виртуалкой если не за 10 минут, ну уж за 1 день наверняка!!! Да и под Linux, горе умельцы как правило юзают самый остойнейший продукт: VirtualBox, как будто бы KVM еще не существует. А его, KVM детектить на порядок тяжелее чем VirtualBox, VMWare, Virtual PC и др.

[bnytiki]

Какая-такая проактивика, когда речь идет о проверки Windows-файлов под Linux?????????/

[bnytiki]

Дмитрий: Да понятно почему KVM не используют, а VirtualBox. Он же "дружественнее".
И все эти "крутые" перцы круты только на словах.
"Я поставил Linux", "я работаю под Linux" - ровно на том же уровне познаний, что и под Windows работает подавляющее большинство....

[CityCat4]

bnytiki: Есть вполне себе дружественный virt-manager :) Правда, его дружественности не хватает, чтобы пробросить в винду некоторые устройства, подключаемые по USB - привод, переходник для подключения SATA HDD, приходится по-босяцки через virsh

[Дмитрий]

bnytiki: Windows-файлы это не Rar-архив! Это исполняемый файл в котором содержится код. Clamav содержит только статические сигнатуры и минимальный поведенческий анализа, когда небольшие куски кода анализируются путем небольшой эмуляции, к примеру посмотрите исходный код в детекта yoda-криптора. Но больше вы ничего не сделаете! НИЧЕГО! А есть еще 100500 способов уйти от детекта, которые можно обнаружить только на реальной и физической Windows-системе. Вы конечно можете запустить в VirtualBox, но вы не сможете постоянно менять устройства, а я достаточно легко обнаружу то или иное устройство или ту или иную закономерность в системе работающей на VirtualBox и просто откажусь работать. Да, не наврежу юзеру, но мне главное избежать детекта и точка. Отработаю в другой раз.

Горе-умельцы поствят clamav, а потом е--ут мозг себе и другим с вопросом "Я же все хорошо настроил, что еще то надо?". Да ничего, руки из ж...ы надо вырывать и в плечи в кручивать!

[bnytiki]

Дмитрий: Виртуальная машина - не гарантия.
Вы правда считаете, что вирус СРАЗУ же начинает зловредничать?

[Дмитрий]

bnytiki: Давайте вернемся к вашему утверждению. Вы начали утвеждать о том, что проактивка при анализе на Linux машинах не нужна. Это не так! Если ваш сотрудник вам это будет утверждать, можете смело лишать премии ;)

[Макс]

Дмитрий: "Вы начали утвеждать о том, что проактивка при анализе на Linux машинах не нужна. " так не утверждал камрад такого.

[Дмитрий]

Макс: ```Какая-такая проактивика, когда речь идет о проверки Windows-файлов под Linux?????????/```. Неужели не умеете проактиву на Linux машинах? ;)

[Макс]

Дмитрий: я не уверен, что линуксовое авпо будет пытаться запускать виндовые исполняемые файлы, простая логика "я работаю на Lin, виндовые вирусы у меня просто не запустятся - проверять их смысла нет". Вот Вы в антивирусной конторе работали - виндовый антивирус будет пытаться запускать линуксовые бинарники? Серверный вероятнее всего да (хочется в это верить). А вот пользовательский антивирус? А AIX-овые ? А для ARM?

[bnytiki]

Дмитрий:

Вы начали утвеждать о том, что проактивка при анализе на Linux машинах не нужна. Это не так!

Не выкручивайся.
Я написал, что проактивка невозможна, а не "не нужна".