Prevenire è meglio che curare :) Software HIPS

[nV 25]

A partire dalla versione 12.6, AMD ha "ridisegnato" i propri driver per essere compatibili con la mitigazione ASLR ALWAYS ON a livello di sistema.

Fondamentalmente, quindi, anche coloro che hanno sul PC una VGA AMD possono cominciare ad usufruire della piena potenzialità di EMET...






Ma proviamo a fornire un pò di spiegazioni in linguaggio molto spicciolo sperando che servano ad evitare fraintendimenti.

EMET (strumento che annovera una serie di tecnologie volte a mitigare il rischio di exploit che possono coinvolgere in particolare software di terze parti) opera su 2 livelli, uno rappresentato dal sistema nel suo complesso, l'altro dai singoli processi (ad es., Firefox ma non IE, Acrobat Reader ma non pincopallino,...).

A seconda dunque del livello considerato (stiamo parlando di sistema o delle singole applicazioni?) variano le protezioni che il tool mette a disposizione:
un buon n° di queste, infatti, sono esclusive dei singoli processi (ad es., EAF) mentre altre (DEP, ASLR, SEHOP) sono comuni ad entrambi i livelli.

Focalizziamoci quindi solo su queste ultime, le "protezioni a livello di sistema" che sono quelle da trattare con più delicatezza visto che i suoi effetti si propagano sull'intero sistema.

E' infatti l'opzione DEP sempre attivo a livello di sistema che può interferire con un installer impedendone l'avvio, ecc...

E quindi, arriviamo a noi:

se fino a ieri coloro che possedevano una VGA ATI non potevano sfruttare la mitigazione di sistema "ASLR ALWAYS ON" pena l'impossibilità di effettuare il login,


a partire dai driver 12.6 AMD ha cambiato le cose rimuovendo gli ostacoli che precludevano la possibilità di operare la forzatura in oggetto.

Questo, dunque, è il nocciolo.

Ma attenzione!:
come si vede anche dall'immagine sopra & sebbene sia stato rimosso l'ostacolo, EMET non mostra di default quest'opzione a meno di non modificare manualmente un apposito settaggio nel registro (questo, peraltro, è vero anche nel caso in cui la VGA sia NVIDIA).

Settaggio che evito di proposito di indicare data la potenziale "delicatezza" ma che è facilmente accessibile a chi leggesse il manuale, ecc...

Vi posto la fonte da cui ho appreso la notizia visto che di solito non vado mai a verificare il changelog dei driver della VGA: fonte che trova peraltro conferma da AMD stessa




Prima che me lo chiediate:
no, non mi sono preso la briga di forzare nulla e non so neppure se lo farò in futuro senza avere prima il conforto di qualche testimonianza...

[nV 25]

per la cronaca:

Sandboxie, dai dai, dalla prossima versione sarà ASLR-compatibile...
[certo quante volte cambia atteggiamento tzuk, eh?
vedi pure il supporto per i riferimenti, ma dopo il discorso sul 64bit questa è la 2° volta che ritorna sui suoi passi]...

[marcos86]

Originariamente inviato da nV 25

[certo quante volte cambia atteggiamento tzuk, eh?
vedi pure il supporto per i riferimenti, ma dopo il discorso sul 64bit questa è la 2° volta che ritorna sui suoi passi]...

Qualcuno diceva che solo gli stupidi non cambiano mai idea

[nV 25]

la procedura descritta nell'articolo fa pari pari il lavoro di EMET per la parte relativa a SEHOP.

Non capisco cmq perchè ostinarsi a NON installare EMET quando questo tool:
a) è di facilissima gestione
b) offre un ventaglio di mitigazioni decisamente più vasto, oltretutto per-system & per-process


Visto che ci sono, una spiegazione dei termini opt-in/opt-out che possono rimanere ermetici.

Si parla anzitutto delle mitigazioni di sistema, quindi DEP, ASLR, SEHOP.

ALWAYS ON = va beh, dai, la traduzione è semplice.
In sostanza, si forza il sistema ad utilizzare una tecnologia indipendentemente dal fatto che il processo sia compilato in modo tale da sfruttarla.
Rischio (se non supporta la tecnologia di cui sopra)-> CRASH del processo.

OPT-IN = il sistema non abilita di default una data mitigazione a meno che il processo "non chieda" espressamente il contrario (= di avvalersene).

OPT-OUT= l'opposto del caso sopra, quindi
il sistema abilita di default una data funzionalità a livello di sistema (dunque, per tutti i processi)...a meno che il singolo processo non chieda espressamente di "lasciar perdere"...

[marcos86]

Originariamente inviato da [Claudio]

Non avrebbe alcun senso installare EMET senza averne compreso, prima, non solo la utilità ma come si comporta

Io sinceramente non capisco una mazza di quello che fa, ma è così semplice che credo il capire venga in secondo piano rispetto alla sicurezza aggiuntiva che dà.

So che è un discorso un pò insulso, ma imho l'eccellenza di questo programma sta appunto nella semplicità, si imposta e lo si dimentica.
L'unica cosa è il dep che su always on potrebbe creare impedire l'installazione o l'uso di alcune applicazioni e l'eaf che non mi faceva funzionare un paio di programmi sotto sandboxie.
Messi al riparo da questi possibili imprevisti è veramente alla portata di tutti

[nV 25]

Secondo me EMET non richiede di essere capito...ma solo di essere settato, operazione alla portata di chiunque...

Se dovesse essere "capito" (da intendersi come: che significa la protezione X, Y,[...] e perchè è utile che X&Y siano attive contemporaneamente, [...]), è chiaro che nel mondo EMET lo utilizzerebbero in 100 persone.

Ma non è cosi':
settarlo è alla portata di chiunque (altresi' detto "del maiale"), e da capire c'è solo il fatto che è utile emetizzare i soliti 10/15 processi, quelli che si interfacciano con il Web e che sono solitamente oggetto di exploit:
dunque, i soliti browser, lettori PDF/Divx,...

Veramente poco da capire...

[nV 25]

Originariamente inviato da marcos86

Io sinceramente non capisco una mazza di quello che fa, ma è così semplice che credo il capire venga in secondo piano rispetto alla sicurezza aggiuntiva che dà.

esatto:
la tecnologia che offre è PER TUTTI...e non solo per eraser e chi come lui è dentro la materia...

[nV 25]

Originariamente inviato da [Claudio]

Preso nota del cazziatone ....

prendi la parte costruttiva del pensiero (= usa EMET) invece che dar peso eccessivo al modo in cui è espresso che, di proposito, è brusco/diretto/ironico ("accessibile anche al maiale",[...]).

certo che voi di Lucca siete tremendi

non so in verità se è una cosa comune (non credo) ma di sicuro io un pò lo sono (mi piace parlare il più possibile chiaro & non amo molto i compromessi).

E' raro cmq che manchi di rispetto agli altri, e questo secondo me in una valutazione complessiva ha un peso maggiore che non l'uso di qualche espressione + o - colorita...

Di nuovo,
saluti!

[nV 25]

@ [Claudio]:

parlando seriamente, e per chiudere definitivamente il capitolo EMET, io credo fermamente al fatto che di questo tool non si debba avere paura.

Certo, nasconde complessità tali che ne relegano la precisa-comprensione a pochi eletti ma non è questo il punto:
il tool, infatti, si rivolge alla massa che è chiamata a cliccare giusto 2/3 bottoncini...

Questa, secondo me, è la parte essenziale.

In sostanza, e come diceva giustamente anche marcos86, si può anche "non capire una mazza di quello che fa" (= come funziona dietro le quinte).

Le uniche domande da porsi, infatti, sono queste:
mi può effettivamente servire per combattere gli exploit? [SI]
impatta sulle prestazioni? [Zero]
crea instabilità? [NO]
è incompatibile con alcuni programmi? [TALVOLTA, in particolare con determinati software (pochissimi)]



Il resto, francamente, può tenerselo pure eraser...

[Snake156]

e se si volesse capirne il funzionamento?

[marcos86]

Originariamente inviato da Snake156

e se si volesse capirne il funzionamento?

Si apre il manuale e si studia

[nV 25]

Originariamente inviato da Snake156

e se si volesse capirne il funzionamento?

Originariamente inviato da marcos86

Si apre il manuale e si studia

Right!
E' un buon punto di partenza anche se secondo me il manuale è sufficiente giusto per farsi un'idea di quello che è il ruolo del tool:
occorrono infatti ben altri strumenti per poter dire di padroneggiare tutto ciò che vi è sotteso...


Quindi:
a meno di non avere realmente una laurea in informatica,...

[nV 25]

per esempio, qui c'è un ottimo tentativo di spiegare l'EAF a dei profani (il tipo, peraltro, ne sottolinea proprio la difficoltà osservando giustamente che senza opportune basi il processo di spiegazione risulta ugualmente parecchio difficile):
1,2.

Dunque, di cosa volgiamo parlare se non giusto a grandi linee??


E' curioso cmq che ad oggi eraser non si sia mai fatto sentire nè a proposito della diatriba "meglio muoversi sotto utente standard con UAC al massimo o se quest'impostazione è equivalente al muoversi come utente-admin-ridotto sempre con UAC al massimo" nè sul tool EMET come strumento indirizzato alla massa, indipendentemente quindi da come funzionino le tecnologie di mitigazione...

Ora si riprivatizza e si spera che trovi 5 minuti anche per noi...

[Chill-Out]

EMET 3.5 Tech Preview leverages security mitigations from the BlueHat Prize

http://blogs.technet.com/b/srd/archi...hat-prize.aspx

[eraser]

Originariamente inviato da nV 25

E' curioso cmq che ad oggi eraser non si sia mai fatto sentire nè a proposito della diatriba "meglio muoversi sotto utente standard con UAC al massimo o se quest'impostazione è equivalente al muoversi come utente-admin-ridotto sempre con UAC al massimo" nè sul tool EMET come strumento indirizzato alla massa, indipendentemente quindi da come funzionino le tecnologie di mitigazione...

Ora si riprivatizza e si spera che trovi 5 minuti anche per noi...

Giusto per scongiurare eventuali pensieri funebri, sono vivo e vegeto

Perdonate la lunga assenza, ma con la partenza della mia nuova ditta sono stato veramente molto impegnato negli ultimi mesi

In giornata torno qui e rispondo alle domande

[nV 25]

Originariamente inviato da Chill-Out

EMET 3.5 Tech Preview leverages security mitigations from the BlueHat Prize

http://blogs.technet.com/b/srd/archi...hat-prize.aspx

la strada intrapresa da Microsoft, IMO, è molto buona visto che si comincia a giocare in maniera decisamente più marcata sul ruolo della prevenzione (o ex-ante)...

La strada ex-post*, infatti, ha dimostrato tutte le sue debolezze in questi anni...

*per ex-post intendo "prima ti infetti, poi ti riaggiusto"...

[nV 25]

Originariamente inviato da eraser

...In giornata torno qui e rispondo alle domande

YA-HUUU!!!

[nV 25]

Originariamente inviato da Chill-Out

EMET 3.5 Tech Preview leverages security mitigations from the BlueHat Prize

http://blogs.technet.com/b/srd/archi...hat-prize.aspx

la critica che ti muovo, cmq, è il NON aver accompagnato la notizia da neppure una nota veloce di commento a favore di chi dovesse avvicinarsi molto timidamente alla lingua inglese...

Per il resto, Grazie della news che reputo determinante ...

Non me ne volere e NON sospendermi per l'atto di pubblica accusa anche perchè ogni volta che finisce cosi' "finisco per dar fondo ai risparmi staccandomi qualche nuovo componente"...

[arnyreny]

Originariamente inviato da eraser

Giusto per scongiurare eventuali pensieri funebri, sono vivo e vegeto

Perdonate la lunga assenza, ma con la partenza della mia nuova ditta sono stato veramente molto impegnato negli ultimi mesi

In giornata torno qui e rispondo alle domande

per quanto riguarda la protezione con utente admin e uac al massimo livello,credo che la tua posizione non sia cambiata rispetto a qui


http://www.hwupgrade.it/forum/showpo...postcount=3150

e del fatto che c'e' bisogno della complicità dell'utente per essere bypassata

Originariamente inviato da eraser

Te lo confermo: con l'UAC al massimo, se l'utente non si lascia ingannare, il malware non può ottenere i privilegi necessari per funzionare.

(Comunque, giusto per dovere di cronaca, esistono anche quei malware che ti chiedono ripetutamente i privilegi di amministratore, in un ciclo infinito fino a quando l'utente non da il consenso )

ps nella tua spiegazione fai riferimento al fatto che esistono anche quei malware che ti chiedono ripetutamente i privilegi di amministratore, in un ciclo infinito fino a quando l'utente non da il consenso

non vedo riferimenti ad una eventualità diversa nel concetto,che un malware possa far ciò senza la complicità dell'utente

[Chill-Out]

Originariamente inviato da nV 25

la critica che ti muovo, cmq, è il NON aver accompagnato la notizia da neppure una nota veloce di commento a favore di chi dovesse avvicinarsi molto timidamente alla lingua inglese...

Per il resto, Grazie della news che reputo determinante ...

Non me ne volere e NON sospendermi per l'atto di pubblica accusa anche perchè ogni volta che finisce cosi' "finisco per dar fondo ai risparmi staccandomi qualche nuovo componente"...

Iimmagino succeda anche a te di avere i secondi contati