发现一点儿SONAR的问题

显示全部楼层 · 发表于 2009-11-28 08:36:01

今天在电脑上抓了几个毒
在system32下
Norton信任状态为好

把这个病毒样本Copy到桌面下运行（此时信任状态在高度信任上）
SONAR警告可疑
把它放回原来的位置
没反应

然后调到标准信任
放到两个地方，都报威胁

这就很奇怪
难道说在不同的信任状态下，SONAR的监控标准就不同？

还有一点，看起来SONAR不像TF
TF应该是放到system32下和其他地方都报，而且放到system32下的时候，威胁指数增加
而似乎SONAR反过来了

说实话，现在的SONAR的确有点儿奇怪，现在谁也不知道他的监控标准……

最后再说一句，我痛恨SSR

显示全部楼层 · 发表于 2009-11-28 09:04:07

额……
应该System 32 更要严格啊……

PS: MSE中……

显示全部楼层 · 发表于 2009-11-28 09:55:48

所以说很奇怪……

显示全部楼层 · 发表于 2009-11-28 09:57:05

这是为了减少误报吧，猜想norton关键在于防入口，sonar作为整体中的一部分肯定也是这个原则，没有谁平时会把文件下到system32下运行吧（除了故意试毒），只要防止写入system32的高危动作就行。很多手动hips的智能规则都是这个原理的（比如eq的大将军规则）

ps：lz的这个发现也给我们提了个醒，估计program files的权限也很大，所以

显示全部楼层 · 发表于 2009-11-28 10:41:09

我待会儿上那边试试

显示全部楼层 · 发表于 2009-11-28 18:04:14

不敢去试了

沙箱突然启动不了了……

显示全部楼层 · 发表于 2009-11-28 18:25:23

很怪

显示全部楼层 · 发表于 2009-11-28 18:36:23

第一次听说哎！

显示全部楼层 · 发表于 2009-11-28 19:27:39

SONAR肯定跟NI信任有关，问题是为什么换位置就报了

显示全部楼层 · 发表于 2009-11-28 19:27:58

灰常怪

这里再吐SSR一口唾沫，上报了一个样本后，Response照旧，三分钟后监控直接把这个病毒揪出来……

[讨论] 发现一点儿SONAR的问题

回复 2楼快得像飞一样的帖子

回复 4楼 hover421 的帖子

回复 7楼冲冲的帖子

[讨论] 发现一点儿SONAR的问题

回复 2楼 快得像飞一样 的帖子

回复 4楼 hover421 的帖子

回复 7楼 冲冲 的帖子

回复 2楼快得像飞一样的帖子

回复 7楼冲冲的帖子