Ring 0 firewall?
 

Zanima me koliko firewallova u sadašnjem vremenu radi u ring 0 načinu, tj. na bazi kernela i drivera? Prije sam imao Sygate Personal Firewall koji je radio u ring 0 i zbog toga mi je bio odličan, a sad imam Eset Smart Security i nigdje ne mogu naći kako radi njegov firewall, ali sve mi nekako "smrdi" da je i on ring 0, nisam još siguran. Jako malo informacija se može naći na netu, a za isprobavanje baš i nemam vremena... :( Vidim da velika većina radi u ring 3 načinu odnosno samo na aplikacijskoj bazi, a to mi se ne sviđa. Zone Alarm recimo tako radi...

Zahvaljujem na svim odgovorima. :)

IMHO i prema nekim komentarima na forumima mislim da ZoneAlarm ne radi isključivo na bazi aplikacija već da radi i na kernelskoj razini (OS Firewall i neki dodaci). Ni na kraj pameti nemam proturječiti tebi domy i soliti pamet jer je tu previše respecta s moje strane, ali imam feeling da sam to pročitao na nekom mjestu pred cca 1,5 godinu kada sam tražio novi firewall. To je bio i jedan od razloga zašto sam odabrao ZoneAlarm Pro. Ako su te priče netočne onda je i ovo moje netočno ali mislim da sam tako nešto pročitao. Jedva čekam ostale komentare.

http://www.matousec.com/projects/win...ewalls-ratings

tu imas test, pa potrazi koji od ovih top5 radi u ringu0.

Bero, ne znam, možda se nešto u međuvremenu promijenilo...

DiTech, hvala, skinuo sam Outpost, već mi je bio neki favorit pa mu ovo samo ide u prilog. :) Šteta što nisu testirali i pro verziju Sygatea koja je dosta bolja od free verzije...

@domy Da, možda je, nisam siguran. Moram priznat i da su me malo razočarali test scorovi od zonealarma na linku kojeg je postao DiTech.

Stavio Outpost i maknuo ga nakon sat vremena jer s njime nikako nisam uspio otvoriti forum kako treba - razbije layout ili mi na mjestu gdje se trebam logirati prikaže samo trećinu stranice. Probao sam ama baš sve mijenjati, isključivati, ali ništa ne pomaže. Čak sam i sve moguće komponente u njemu isključio, međutim, ništa ne pali sve dok ga baš ne "ubijem" u procesima. Tek onda se forum otvara normalno. Što je u pitanju, ako netko zna?

Eh, ja josh uvijek koristim Sygate Personal Firewall v5.5 Pro ;)
Mislim da cu ga koristit dok god budem na XP-u.

@ domy. Nesto ti se kolje s firewallom, ili tocnije on s necim. Probaj pogasit sve one zastite poput Host Protection, Entertainment mod, Self protection, a mozda i Web Control i Spyware pa jednog po jednog palit i podesavat da vidis sto ti ubija ispravno prikazivanje stranica.

Ja moram reci da meni outpost firewall pro radi odlicno na visti x64 pa cak i vise nego odlicno. Jos mi ni jedan firewall bilo na xp ili visti i na oba (x86, x64) sistema nije u startu bio tako dobro iskonfiguriran da nist ne koci kao sto je to slucaj kod outposta. No moram priznat da je uz sve zastite koje nudi iznimno iritantan u startu posebice za korisnika koji ima mnogo programa koji rade medusobne interakcije ili traze vezu na internet. I to u slucaju ako odaberete manualno podesavanje dozvola pristupa internetu, kao sto to ja uvijek odaberem. Dade se to sve automatizirat ili pogasit, al nije onda to to! Nakon ZoneAlarma i njegove nekompatibilnosti s x64 sistemima, outpost firewall pro je pomak na bolje.

Ja sam recimo s ESS imao velikih problema (vjerojatno njegovim firewallom) no Nod32 i Outpost kombinacija rade ok. Nista od internet prometa nije blokirano, mrezna mjesta se vide.

Jesam, sve sam isključio, ali i dalje se forum ne prikazuje kako treba sve dok Outpost u potpunosti ne isključim. Od ostalih sigurnosnih programa sam imao samo NOD32 2.7 koji je normalno radio.

Vidis, meni bas Nod32 v2.7 u kombinaciji s outpostom na visti ne radi nikakvih problema. I to je cudo. Inace mislim da bi stari sistemi trebali biti imuni na djecje bolesti koje se javljaju kod x64 ili viste u globalu.

Ja sam imao neobjasnjivih problema s ESS i to je islo do te mjere da mi je samo trazenje rjesenja oduzimalo previse vremena i jednostavnije je bilo se rijesiti ESS. No vjerujem da kod tebe moraju biti neki zaostaci od prijasnjih zastita, kakvi registry kljucevi, postavke, tko ce ga znati. Mozda dublje kopanje po registry, reinstall FF, njegovih ekstenzija ili sto vec koristis pomogne.

Krivo si me shvatio, htio sam reći da su u isto vrijeme bili aktivni samo Outpost i NOD32 v2.7, drugo za zaštitu ništa.

Meni ESS radi skoro bez greške, jedino me smeta što malo uspori rad s quick launch folderima, explorerom i sličnim stvarima. A mreža odnosno file/printer/interner sharing mi radi bez problema s njim.

Dobro sam te shvatio, no kazem mozda mu smetaju neke prijasnje postavke, zaostali driveri i slicno. Ja imam cistu instalaciju, outpost i nod i tu nikakvih problema. No vise puta me znalo nesto zezati sto je zaostalo iz prijasnjih instalacija.

Outpost sam tada prvi puta instalirao, prije njega je bio samo ESS. Ako se kolje s nekim drugim softverom, neka ide kvragu, neću samo zbog njega ponovo instalirati Win i opet 5 dana sve namještavati.

ja koristim Nod32 2.7 i zadovoljan sam, sad sam skinuo Outpost, zanima me dal će se klat na 32bitnom Xp-u, i koja je razlika između antivirusnog programa(Nod32) i firewalla(Outpost) ??

Nod je antivirusni program dok je outpost program za sprecavanje neovlastenih upada na tvoje racunalo. Ne bi trebalo biti problema kombinirajuci ta dva programa. No danas svi guraju nekakve anti spyware zastite, host protection (os firewall), filtriranje sveg i svaceg pa vjerujem da se danas lakse nesto zakaci s necim iako programi bi trebali biti drugacije namjene.

domy_os možeš mi objasnit kako na koji princip rade ti ring0 zažtita i koja još druga vrsta postoji t kako ona radi? fala

Ring 0 obuhvaća kernel odnosno samu jezgru Windowsa zajedno s driverima i trojanac ili bilo kakva druga štetočina koja za upad u sustav iskorištava neki driver/kernel file, može ti nanijeti štetu, ako nemaš ring 0 firewall.

Postoji još ring 1, 2 i 3. Za ring 1 i 2 nisam u potpunosti siguran što obuhvaćaju, znam samo da su, između ostalog, servisi i pitanju. Ring 3 se odnosi samo na aplikacijsku razinu i zbog toga je najslabija karika u lancu kad je u pitanju zaštita. Ako imaš ring 3 firewall, a pokupiš ring 0/1/2 štetočinu, bit će veselja jer ring 3 firewall štiti samo izvršne aplikacije.

Malo si se zapetljao u silnim ringovima, no ono sto ti mogu reci je da s Windowsima na takvo nesto mozes slobodno zaboraviti. Zasto?

Problem lezi u tome sto tzv. "personal firewall" koji koriste end useri u Windowsima ima zadacu sprijeciti promet "zlocestih" programa. Osnovni problem je blesavoca instaliranja aplikacija u Windowsima, u koji mozes zapakirati atomsku bombu velicine Nevade i da je nitko ne primjeti.

No drugi, puno veci problem, je nacin na koji Windowsi rade, tj. zasto je prakticki nemoguce to sto ti hoces. Naime, pojednostavljeno, sav mrezni promet na Windowsima se odvija otprilike ovako:

Virtual sex with Lola (ili neka druga tebi draga aplikacija koja ima potrebu za slanjem podataka preko mreze) -> Winsock -> API shim -> driveri -> NIC.

Gdje je problem? Pa u tome sto bi, u slucaju da zelis pozicionirati firewall prije drivera, morao napisati vlastite Winsock libraryje i slicne perverzije, sto, priznat ces, nitko nema motiva ni zelje ako se radi o "personal firewallu" (duboko sumnjam da ce se takvo sto ikada i promijeniti, no...). No sve i da napravis to, problem lezi i u cinjenici da u Windowsima, za razliku od (donekle) normalnih operativnih sustava koji dozvoljavaju samo privilegiranim procesima (root, SUID...) da dodaju shimove ili prtljaju po hardveru/driverima, bilo koji kod moze napraviti sranja po zelji bez da se ikoga ista pita. Stoga bi tvoj dovitljivi trojanac ili neki drugi maliciozni kod opet mogao, uz vlastiti TCP state machine, "preskociti" firewall i zadati ti eventualne glavobolje.

Ali opet, koliko god ovo izgledalo "kriticno", zaista treba biti specijalac da na obicnom kucnom racunalu poberes nekakav trojan ili slicnu kenju, sigurnosnim rupama unatoc. Naravno, ovo vrijedi za korisnika koji ne klikce na pop up na kojem pise "You have just won 100000$!", jel...