[Antivirus] Waarom gebruiken?

[bolke]

Waarom anti-virus software gebruiken die toch niet werkt?

Elke keer komen er weer nieuwe virussen bij die dan een dag later pas worden herkend door de scanner.

Zie ook: http://www.security.nl/artikel.php3?id=5516

[Verwijderd]

bolke schreef op 27 August 2003 @ 12:58:
Waarom anti-virus software gebruiken die toch niet werkt?

Elke keer komen er weer nieuwe virussen bij die dan een dag later pas worden herkend door de scanner.

Zie ook: http://www.security.nl/artikel.php3?id=5516

Pfffff, zo ken ik er nog een paar
Waarom vandaag eten als je morgen weer honger hebt.
Waarom in bad gaan als je toch weer vies wordt.

[CAP-Team]

dweilen is in ieder geval nog beter dan niets doen

[BeZaX]

Waarom...

1. Soms krijg je en virus een dag later dan de nieuwe virusdefinities... Dan hall je hem er toch uit
2. Virusscanners kunnen ook nieuwe virussen vinden die nog niet geindentificeerd zijn. Dit doen ze aan de hand van het bekijken van de opbouw. (verbeter als ik het fout heb....)

[k-oz]

Een Engels bedrijf zou een technologie ontwikkeld hebben die alle virus aanvallen zou moeten kunnen stoppen. Hoewel men de techniek heeft aangeboden aan Symantec en McAfee waren deze bedrijven niet geinteresseerd

goh, das raar!

[Gomez12]

3. Omdat Je niet altijd de allernieuwste virussen binnenkrijgt maar soms ook nog virussen van een jaar geleden van iemand die geen virusscanner geinstalleerd heeft.

[Exar]

Sorry hoor, maar dat (starttopic) is echt de grootste onzin die ik in tijden heb gehoord....
De meeste anti-virus software werkt echt wel, dat er af en toe een nieuw virus is dat nog niet wordt herkend betekent NIET dat het niet werkt lijkt me!

[ Voor 3% gewijzigd door Exar op 27-08-2003 13:06 ]

[BeZaX]

Genoeg reden om een virusscanner te hebben duz...

[BtM909]

k-oz schreef op 27 augustus 2003 @ 13:03:
[...]


goh, das raar!

Volgens mij is het wachten op de post over de conspiracy van Anti-virus bedrijven. Dat zij stiekem zelf de virussen maken en verspreiden om business te creëren.

[Verwijderd]

Een Engels bedrijf zou een technologie ontwikkeld hebben die alle virus aanvallen zou moeten kunnen stoppen

False postives anyone?

Nu is zo'n techniek zoals Norman gebruikt, waar BeZaX waarschijnlijk naar verwijst, leuk en aardig, maar het is zo gruwelijk traag dat het alleen op mailservers gebruikt kan worden..

Daarnaast gaat het niet om de grote virussen, maar om de kleine(re)..
Ik heb toch graag bescherming tegen exploits waarbij als je een .txt linkje aanklikt, een file gedownload en ge-execute kan worden, om maar eens wat te noemen.

Daarnaast heb je nog binders en meer van die geintjes..

En dan nog, als je zo stom bent om van onbekenden rare attachments te gaan openen..
Je mag toch wel íéts van de user verwachten? Er zijn genoeg mensen hier die hun ouders hebben aangeleerd (vage) attachments niet te openen, iig niet van onbekenden, of om de desbetreffende GoT-er erbij te halen..

Edit:
Over de ietswat late reactie van NAV/NAI op Sobig.f:
Het ligt er maar net aan op welk punt van de dag een virus zich (snel) begint te verspreiden, nu was Kaspersky 6 uur eerder dan de rest, dat was met Lovesan wel anders..

[ Voor 13% gewijzigd door Verwijderd op 27-08-2003 13:11 ]

[Padvinder]

Ik moet zeggen dat ik toch wel erg blij ben met m'n NAV2k3... En over die updates... de tijd die een virus meestal nodig heeft om mijn computer te vinden is voldoende om de nieuwe updates te downen. Ik kreeg dat Sobig.F ook pas een paar dagen NADAT ik de updates ervoor had gekregen.

Kortom: gewoon scannen dus

[BeZaX]

Padvinder schreef op 27 August 2003 @ 13:10:
Ik moet zeggen dat ik toch wel erg blij ben met m'n NAV2k3... En over die updates... de tijd die een virus meestal nodig heeft om mijn computer te vinden is voldoende om de nieuwe updates te downen. Ik kreeg dat Sobig.F ook pas een paar dagen NADAT ik de updates ervoor had gekregen.

Kortom: gewoon scannen dus

Voledig mee eens... Dit heb ik nouw ook altijd (Tot nu toe iz allez goed gegaan)!

[k-oz]

Nu is zo'n techniek zoals Norman gebruikt, waar BeZaX waarschijnlijk naar verwijst, leuk en aardig, maar het is zo gruwelijk traag dat het alleen op mailservers gebruikt kan worden..

dan lijkt het mij zeker de moeite waaard, 80% wordt op deze manier verspreid!

[Sluuut]

Mja , waarom een virusscanner draaien, als je een hardware matige en softwarematige firewall hebt, en tevens geen outlook gebruikt , en als laatste , weet wat je opent ! (?)

Als ik een dubieuze mail krijg met een .pif als attachment dan weet ik het al wel.
Wat ik doe, is 1 maal per half jaar online scannen, op housecall.antivirus.com.
Gratis, en voor de rest van de 6 maanden geen trager systeem door een virusscanner

[Sluuut]

BeZaX schreef op 27 August 2003 @ 13:03:
Waarom...

1. Soms krijg je en virus een dag later dan de nieuwe virusdefinities... Dan hall je hem er toch uit
2. Virusscanners kunnen ook nieuwe virussen vinden die nog niet geindentificeerd zijn. Dit doen ze aan de hand van het bekijken van de opbouw. (verbeter als ik het fout heb....)

Juist, maar dat is ook een punt om juist NIET een virusscanner te draaien.
Als je programmeerd op een bepaalde manier dan kan je programma ook worden gezien als virus. Of andere bepaalde programma's die ik gebruik worden gezien als virus terwijl dat gewoon grote onzin is.

Nog een reden waarom ik het juist niet draai

[Verwijderd]

Sluuut schreef op 27 August 2003 @ 13:15:
Mja , waarom een virusscanner draaien, als je een hardware matige en softwarematige firewall hebt, en tevens geen outlook gebruikt , en als laatste , weet wat je opent ! (?)

Vertel mij maar eens hoe jij aan een .jpg link ziet dat het stiekem geen echte .jpg is? Of een gewone link aanklikt(.htm l), en er stiekem iets wordt gedownload en geïnstalleerd?
Eerste exploit is IE only afaik, de andere niet.

NB: Zijn maar twee AVs die hier tegen beschermen afaik.

Edit:

Als je programmeerd op een bepaalde manier dan kan je programma ook worden gezien als virus. Of andere bepaalde programma's die ik gebruik worden gezien als virus terwijl dat gewoon grote onzin is.

Dat ligt heel verschillend per AV, zou ze dus niet zomaar over één kam scheren..

[ Voor 22% gewijzigd door Verwijderd op 27-08-2003 13:20 ]

[k-oz]

... als we nu eens gaan begrijpen dat je standaard executables moet blokken, dan schiet het tenminste op... maar dat krijgen we de horde 'beheerders' niet aan het verstand.

[Archie_T]

k-oz schreef op 27 August 2003 @ 13:20:
... als we nu eens gaan begrijpen dat je standaard executables moet blokken, dan schiet het tenminste op... maar dat krijgen we de horde 'beheerders' niet aan het verstand.

Juist, exe vbs scr src com bat pif blocken en je hebt bijna nergens meer last van!

[Gomez12]

Standaard executables moeten blokken, is handig als je wat updates naar een klant in amerika moet krijgen. Updates zijn vaak ook executables en als ik executables ga blokkeren omdat ze virussen kunnen hebben, kan ik dus niets per mail sturen, want openen ze niet als er een executable in zit. WWW/FTP zelfde verhaal. Doe ik eindelijk eens een keer de moeite om het voor de klant op cd te zetten krijg ik 2 weken later te horen dat een of andere beheerder genaamd k-oz het verboden heeft om cd's en diskettes ergens in het netwerk te gebruiken omdat dit virussen zou kunnen bevatten en k-oz wil geen virusscanner draaien.

Nee handig, ik stuur de source wel en vraag of ze die willen compilen en of ze dan eerst even de hele source willen controleren of ik er niet stiekem een virus ingebouwd heb.

Nee, lekker idee.

Virussen zijn een probleem, maar realiteit als je iets met iemand wil communiceren. Dus gewoon een virusscanner installeren

[RèLF]

Je kunt virussen niet alleen krijgen... maar ook verspreiden.

[Archie_T]

Gomez12 schreef op 27 August 2003 @ 13:29:
Standaard executables moeten blokken, is handig als je wat updates naar een klant in amerika moet krijgen. Updates zijn vaak ook executables en als ik executables ga blokkeren omdat ze virussen kunnen hebben, kan ik dus niets per mail sturen, want openen ze niet als er een executable in zit. ~

Jij stuurt updates naar mensen die misschien wel ietsje verstand van windows oid hebben, dus je renamed de .exe naar .renametoexe en hij gaat vrolijk door je attachment blocking, ook zippen wil wel lukken, dan scant hij wel de exe in de ZIP file (uitgaande van Antigen) maar hij gaat voorbij de attachment block.

[Verwijderd]

BtM909 schreef op 27 August 2003 @ 13:05:
[...]

Volgens mij is het wachten op de post over de conspiracy van Anti-virus bedrijven. Dat zij stiekem zelf de virussen maken en verspreiden om business te creëren.

Volgens mij doen ze dat ook nog(...) Want als er geen virussen zijn, koopt niemand meer een AV programma...

[Sluuut]

Verwijderd schreef op 27 August 2003 @ 13:19:
[...]

Vertel mij maar eens hoe jij aan een .jpg link ziet dat het stiekem geen echte .jpg is? Of een gewone link aanklikt(.htm l), en er stiekem iets wordt gedownload en geïnstalleerd?
Eerste exploit is IE only afaik, de andere niet.

JPG, dit kon toch alleen in Windows 9x ? Dat je 255 spaties erachteraan deed en dan de extentie veranderde ofzo, iig Windows 9x zag het als een JPG terwijl het een EXE kon zijn. Nou draai ik toevallig Windows 2000 en ik open plaatjes met ACDSee.
Tevens ga ik standaard geen dingen openen die van onbekende mensen afkomen, deze bekijk ik altijd eerst (bijvoorbeeld met een hex editor) voordat ik ze daarwerkelijk ga openen. Of ik disassembleer ze

HTML is helemaal simpel, gewoon save as > rechtermuisknop, edit in notepad, bekijken of het te vertrouwen is of niet.

NB: Zijn maar twee AVs die hier tegen beschermen afaik.

Edit:

[...]

Dat ligt heel verschillend per AV, zou ze dus niet zomaar over één kam scheren..

Daar geef ik je helemaal gelijk in, maar dat haalt nog niet weg dat je systeem er bijvoorbeeld langzaam van word

[Verwijderd]

Verwijderd schreef op 27 August 2003 @ 13:33:
[...]


Volgens mij doen ze dat ook nog(...) Want als er geen virussen zijn, koopt niemand meer een AV programma...

Mja, tijd geleden lag McAfee voornamelijk daarvoor zwaar onder vuur..
Je ziet nu vaak coders die hun zut online gooien eerst een sample naar AV bedrijven sturen, zodat mocht iemand anders besluiten het virus itw te releasen, de AVs al detectie hebben..

Het kan natuurlijk zijn dat bepaalde coders voorkeuren hebben qua AVbedrijven en zo bepaalde bedrijven matsen/kloten

Edit:

JPG, dit kon toch alleen in Windows 9x ? Dat je 255 spaties erachteraan deed en dan de extentie veranderde ofzo, iig Windows 9x zag het als een JPG terwijl het een EXE kon zijn. Nou draai ik toevallig Windows 2000 en ik open plaatjes met ACDSee.

Neenee, gewoon .jpg extensie, IE exploit he .

Heb me laten vertellen dat IE niet naar de extensie kijkt en gewoonweg alle code gebruikt wat het tegenkomt, heerlijk he?

[ Voor 27% gewijzigd door Verwijderd op 27-08-2003 13:40 ]

[Gomez12]

Archie_T schreef op 27 August 2003 @ 13:32:
[...]

Jij stuurt updates naar mensen die misschien wel ietsje verstand van windows oid hebben, dus je renamed de .exe naar .renametoexe en hij gaat vrolijk door je attachment blocking, ook zippen wil wel lukken, dan scant hij wel de exe in de ZIP file (uitgaande van Antigen) maar hij gaat voorbij de attachment block.

En dat schiet lekker op, wachten tot de eerste persoon dit in een virus dumpt en je bent weer de klos.

Virusscanner is gewoon als je met andere computers communiceert. ( Ja zelfs met sneakernet )

Tevens ga ik standaard geen dingen openen die van onbekende mensen afkomen, deze bekijk ik altijd eerst (bijvoorbeeld met een hex editor) voordat ik ze daarwerkelijk ga openen. Of ik disassembleer ze

HTML is helemaal simpel, gewoon save as > rechtermuisknop, edit in notepad, bekijken of het te vertrouwen is of niet.

Lekker als je als bedrijf al je personeel moet gaan zeggen dat ze geen e-mails mogen openen van mensen die (nog) geen klant zijn. En gaat inderdaad veel sneller als je je hele bedrijf even uitlegt hoe een hexeditor werkt en waar ze op moeten letten. Disassembleren mag jij proberen aan een telefoniste uit te leggen. Veel succes.

Al de oplossingen die hier tot nu toe genoemd worden zijn allemaal leuk en aardig als prive-persoon, maar als bedrijf kan je je e-mails niet zo simpel nakijken. En daar is iets op gevonden, EEN VIRUSSCANNER

@ Sluuut Niet lullig bedoeld, kwam alleen een beetje rot mijn vingers uit geloof ik.

[ Voor 45% gewijzigd door Gomez12 op 27-08-2003 14:06 ]

[Sluuut]

Gomez12 schreef op 27 August 2003 @ 13:40:
Lekker als je als bedrijf al je personeel moet gaan zeggen dat ze geen e-mails mogen openen van mensen die (nog) geen klant zijn. En gaat inderdaad veel sneller als je je hele bedrijf even uitlegt hoe een hexeditor werkt en waar ze op moeten letten. Disassembleren mag jij proberen aan een telefoniste uit te leggen. Veel succes.

Al de oplossingen die hier tot nu toe genoemd worden zijn allemaal leuk en aardig als prive-persoon, maar als bedrijf kan je je e-mails niet zo simpel nakijken. En daar is iets op gevonden, EEN VIRUSSCANNER

Nee lekker, als jij er vanuit gaat dat ik een bedrijf draai, dan wil ik graag de source hiervan weten! Ik dacht dat ik toch duidelijk was dat ik het over mezelf had, als particulier zijnde.

Topic: "[Antivirus] Waarom gebruiken?"

Dit geld dus voor particulieren en voor bedrijven.
Ik had het dus over mezelf, de redenen waarom ik het wel of niet zou draaien.
Anyway NOFI, maar je komt een beetje flamend over

[k-oz]

Gomez12 schreef op 27 August 2003 @ 13:29:
Standaard executables moeten blokken, is handig als je wat updates naar een klant in amerika moet krijgen. Updates zijn vaak ook executables en als ik executables ga blokkeren omdat ze virussen kunnen hebben, kan ik dus niets per mail sturen, want openen ze niet als er een executable in zit. WWW/FTP zelfde verhaal. Doe ik eindelijk eens een keer de moeite om het voor de klant op cd te zetten krijg ik 2 weken later te horen dat een of andere beheerder genaamd k-oz het verboden heeft om cd's en diskettes ergens in het netwerk te gebruiken omdat dit virussen zou kunnen bevatten en k-oz wil geen virusscanner draaien.

Nee handig, ik stuur de source wel en vraag of ze die willen compilen en of ze dan eerst even de hele source willen controleren of ik er niet stiekem een virus ingebouwd heb.

Nee, lekker idee.

Virussen zijn een probleem, maar realiteit als je iets met iemand wil communiceren. Dus gewoon een virusscanner installeren

wat een bull! een update versturen kan ook doormiddels het wijzigen van de extensie! ooit wel eens aan ged8? goh wat lastig, wat een moeite!! vreselijk!
begrijp me niet verkeerd, ik ben voor virusscanners; hierin blokkeer ik executables. overigens is dit niet ongewoon gezien het feit dat Outlook 2000 vanaf SR1 dit ook al doet.

[bolke]

Dit is een leuke discussie aan het worden.

Maar voor de duikelijkheid. Ik draai zelf wel anti software.
Symantec anti virus corporate edition 8.0 met alles er op en er aan. Server, Eigen liveupdate FTP server enz. enz.

[k-oz]

agreed.
zijn er ook beheerders in de zaal? ben benieuwd wat voor maatregelen er worden genomen om (nieuwe) virussen zo min mogelijk de kans van slagen te geven.

[Graham]

en voor de rest van de 6 maanden geen trager systeem door een virusscanner

Daar geef ik je helemaal gelijk in, maar dat haalt nog niet weg dat je systeem er bijvoorbeeld langzaam van word

Jees, wat voor pc heb jij dan wel niet? Ik heb nooit last van een AV die op de achtergrond draait...die paar kb mem daar ga je echt niet aan dood of zo.

Of heb jij nog zo'n pc die je moet aan slingeren?

Dit is een leuke discussie aan het worden.

Maar voor de duikelijkheid. Ik draai zelf wel anti software.
Symantec anti virus corporate edition 8.0 met alles er op en er aan. Server, Eigen liveupdate FTP server enz. enz.

Jah ik draai tegenwoordig ook NAV CE 8.0 en update hem zelf...geen server of zo. Kan je dan eigenlijk via een linux server doen? en scant hij voor scripts?

[k-oz]

ook met nav ce 8 moet je het 1 en ander even instellen. default scant hij nl teveel, oa de symantec directories waar hij de virusdat heeft staan. open maar eens je realtime filescan dan kun je zien wat hij allemaal aan het doen is.

het is ozo makkelijk om een virusscanner te installeren, maar daarmee ben je er niet.

[Graham]

k-oz schreef op 27 augustus 2003 @ 14:46:
ook met nav ce 8 moet je het 1 en ander even instellen. default scant hij nl teveel, oa de symantec directories waar hij de virusdat heeft staan. open maar eens je realtime filescan dan kun je zien wat hij allemaal aan het doen is.

het is ozo makkelijk om een virusscanner te installeren, maar daarmee ben je er niet.

idd....CE is wat complexer dan de huis tuin en keuken versie 2003 Daarom ben ik ook overgestapt.

Hij scant ook mail zag ik...maar ik heb outlook express en hij staat op exchange Ik heb het wel goed aangegeven maar ben niet helemaal zeker....???

[bolke]

k-oz schreef op 27 August 2003 @ 14:46:
ook met nav ce 8 moet je het 1 en ander even instellen. default scant hij nl teveel, oa de symantec directories waar hij de virusdat heeft staan. open maar eens je realtime filescan dan kun je zien wat hij allemaal aan het doen is.

het is ozo makkelijk om een virusscanner te installeren, maar daarmee ben je er niet.

teveel scannen is niet erg. Wel onnodig scannen.

[Archie_T]

k-oz schreef op 27 August 2003 @ 14:29:
agreed.
zijn er ook beheerders in de zaal? ben benieuwd wat voor maatregelen er worden genomen om (nieuwe) virussen zo min mogelijk de kans van slagen te geven.

Exchange:
Allereerst Webshield SMTP die virussen afvangt.
Vervolgens op de bridgehead mailscan (blokkeert op attachments die ik hierboven heb genoemd) en vervolgens nog virusscan op deze server.
Daarna op de exchangeservers zelf ook virusscan met dezelfde config.
Ook meerdere bridgeheads, vawege verschillende sites met dezelfde config.

Ook gebruiken wij virusscanners lokaal, worden om de 4 uur ge-update.

Dus zo min mogelijke kans komt door de attachment blocking en het "snelle" updaten van virusscanners.
Voorderest veel controle of alles nog goed gaat, er niet vanuit gaan dat alles blijft werken.

[ Voor 13% gewijzigd door Archie_T op 27-08-2003 15:15 ]

[k-oz]

Archie_T: waarom block je attachments niet met Webshield?

[Archie_T]

k-oz schreef op 27 August 2003 @ 15:25:
Archie_T: waarom block je attachments niet met Webshield?

Sorry, ja de attachments worden ook geblocked op webshield.

[Backspace-NL]

Tsja, als we kijken naar Norman, zij doen het sinds kort op twee manieren, waarvan er een 'volgens hun' uniek is. Ze scannen zowel op signatures als op heuristics, en de nieuwe techniek die ze gebruik heet sandboxing. Dit wordt out-of-the-box alleen gaan bij on-demand scans, want het vreet inderdaad nogal weet aan resources. In principe komt het erop neer dat er een 'mini executie omgeving' gebouwd wordt, die volledig los staat van het echte operating system. Binnen deze omgeving wordt er het e.e.a. losgelaten om zo te kijken hoe de file zich gedraagt. Op deze manier kan je dus verdachte activiteiten kenmerken, zoals bij heuristic scanning, en op basis daarvan bepalen of een bestand een 'mogelijk virus' bevat.

[Jordi]

Inderdaad. Standaard staat het alleen aan voor Internet Protection. Ik heb het voor on-demand scans ook aangezet (niet dat ik veel in Windows zit, maar goed). Zoooo traag was die on-demand scan met sandboxing nou ook weer niet. Duurde merkbaar langer dan een scan zonder, maar Norman was toch al vrij vlotjes dus ach.

[Klaus_1250]

Om maar eens een andere wending aan het topic te geven. Ik gebruik zelf al twee jaar geen virusscanner meer, zonder ook maar een virus te krijgen. (paar keer online viruschecker gedraaid voor de zekerheid).

Persoonlijk denk ik dat een recent up-to-date systeem (bv. 2000 of XP) met een goede firewall en de juiste instellingen (voor bv MSIE en IE) vrij veilig is. Niet 100%, maar afhankelijk van je systeem kan een virusscanner soms gewoon niet wenselijk zijn.

[G33rt]

Ik zie niet in waarom je niet enigzins zou lappen. En er is altijd een dikke kans dat je hem erna nog krijgt. Het beetje helpen is altijd beter dan je pc open te stellen - wat je in feite doet - voor dit soort dingen.