[Firewall] Paranoïa ?

[Cold Hand]

Bonjour

soucieux de ma petite sécurité et conscient que le monde entier s'est ligué pour faire de moi un paranoïaque, j'ai téléchargé Kerio, un Firewall gratuit, largement plus compatible avec bon nombre d'applications selon ce que j'ai pu entendre. Seulement, voilà, après même pas 3 heures de connexion, j'ai l'impression que le monde s'est ligué contre moi pour m'attaquer... Le journal des tentatives d'intrusion est pléthorique et je comprends pas la moitié des noms d'attaque.

Du coup, un peu tendu, je lance A2, Ad-Aware et Avast! histoire de vérifier si je suis à ce point une passoire : rien ! Du coup, je me demande... Utilisez-vous Kerio ? Est-il aussi verbeux chez vous ?

Autre question, il semblerait que la majorité des accès utilisent le protocole de partage de fichier/imprimante de Windows... C'est normal/connu ?

Merci bien.

[Le Mog]

Kerio est encore pire que ZoneAlarm... il surveille en plus les ouvertures de fichiers interne à l'ordi (genre ouvrir c:\truc.jpg, il te demande de confirmer, et ça pour chaque fichier)


Donc je te conseille de changer de firewall si tu en peut vraiment plus ^^


perso j'utilise celui de Windows bien parametré + Antivir, et j'ai aucun problème



Pour ce qui est du protocole partage des fichiers/imprimantes, c'est pour le reseau local normalement. Si tu as pas de reseau, alors c'est en rapport avec les ouvertures internes au PC (ou alors un gros hack, mais A2, AdAware ou autres l'auraient trouvé )

[gameslover]

Personnellement j'ai eu le malheur d'installer ce firewall il y a quelques temps sur une de mes machines et je peux t'assurer qu'il n'a pas fait long feu !!! Premièrement il me bouffait une tonne de ressources système, et ensuite, comme pour toi, j'avais l'impression d'être au coeur de la Russie tellement on m'envoyait d'espions, trojans, etc...

Je te conseille donc d'en changer, ça t'épargnera des soucis futiles... pour ma part je n'utilise pas celui de XP que je trouve trop limité sur certaines machines sensibles mais je prends celui de Norton, stable et efficace...

Par contre je ne savais pas que Kerio était devenu gratuit... je l'avais payé en plus moi à l'époque cette horreur

[J-C]

"Autre question, il semblerait que la majorité des accès utilisent le protocole de partage de fichier/imprimante de Windows... C'est normal/connu ?"

Wi, j'ai vu qu'un hacker pouvait passer par là afin de prendre le contrôle d'un ordi ou pour pirater un site chais plus.

[Bet]

J'ai utilisé ZoneAlarm, le firewall de windows, celui de Norton et là Shino m'a mis Sygate

Que dire ?

Il vaut mieux ne pas regarder le nombre de tentatives d'intrusions

Par contre, le plus surprenant vient de Windows et des programmes qui sont sur l'ordi
C'est dingue de voir que Excel a besoin d'accéder à internet dès qu'on ouvre un document



Et eeeuh, c'est veut dire quoi "verbeux" ??

[Shinobi]

Kerio est le meilleur de 3 (suivi de près par Sygate et avec Zone Alarm comme bon dernier lointain)

Pour la protection des programmes en fait, c'est une protection importante car ça n'affiche une alerte que si le programme qu'on lance a été modifié par rapport au dernier cliché. (quand c'est bien réglé évidement)
Mais bon, si ça vous saoule vous pouvez toujours la désactiver, Kerio est modulaire avec 4 protections indépendantes activables ou non

Sinon perso, j'ai pas plus d'alertes qu'avec Sygate mais par contre beaucoup plus qu'avec l'autre ***** de Zone Alarm... Alors à partir de là, c'est sygate et Kerio qu'en rajoute, ou c'est ZA qui log pas tout ... ?

Par contre le fait que netbios soit dans la plupart des attaques est inquiétant c'est pas une attaque courante. En fait, JC a raison, avec un IP spoofing un cracker peut faire croire à votre PC qu'il est sur votre réseau et accéder à vos dossiers partagés par le netbios. Tu devrais scanner avec un autre antivirus, ça sent le trojan (secuser.com par exemple, rubrique 'antivirus en ligne')

[lysergic]

Bah moi pour mon firewall j'utilise Kerio Winroute.... Il permet la gestion du routage, et donc d'etablir des regles tres précises pour ce qui entre et sort sur chacune de mes interfaces... J'ai pas a m'en plaindre, il fait son boulot... Et il est pas trop gourmand.

Je déconseille par contre tout ce qui est Norton... Je le vois tourner chez les clients, mon dieu que c'est une usine a gaz ! o_o

[Cold Hand]

et hop... 5 replies : Kerio c'est nul, Kerio c'est le meilleur et Sygate est excellent... Vous voyez ce que je veux dire J'ai l'impression que tout le monde a son petit avis du coup

Sinon, je lance un scan online, mais c'est étrange qu'avec 3 programmes je n'arrive pas à trouver un éventuel Trojan. Affaire à suivre...

Edit : tiens, "marrant", il m'a effectivement trouvé un trojan, svhost.exe, mais ce qui est sympa, c'est que j'avais déjà viré toutes les clés de la base de registre... Donc, en fait, le fichier infecté était toujours là, mais il ne semblait pas se lancer (d'ailleurs, je ne le vois pas dans la liste des process)

[abelthorne]

1. svchost.exe est un composant système de Windows à ne pas virer (je ne sais plus ce qu'il gère, mais je peux retrouver ça). À moins qu'il ait été infecté par un virus, ça me parait bizarre que tu aies un soft qui le qualifie de trojan ou autre.

2. Des tentatives d'intrusion, c'est maintenant très courant ; pas d'étonnement à avoir si tu vois d'innombrables attaques, il y a un nombre étonnamment élevé de couillons qui scannent des ports automatiquement sur des plages d'adresses assez étendues.

3. Kerio est un bon firewall, mais il consomme pas mal de ressources (c'est son gros problème) ; celui de Sygate marche bien aussi et est bien plus léger. Je n'ai jamais testé ZoneAlarm, mais j'ai ouï-dire qu'il était largement dépassé par les autres après avoir été le top il y a quelques années.

4. Pour ce qui est des trojans/spywares, j'utilise Ad-aware et HijackThis!, éventuellement accompagnés d'a² quand je veut faire un scan vraiment complet.

5. Je vérifie régulièrement avec un soft bien foutu qui s'appelle StartupCPL tout ce qui se lance au démarrage de Windows (que ce soit par le dossier de démarrage, la base de registre, etc.). C'est bien pratique pour repérer des processus suspects.

EDIT : pour svchost : http://www.commentcamarche.net/proce...chost-exe.php3.

[Cold Hand]

eh eh, comme quoi ils sont malins ces pirates... relis mon post abel : le process n'est pas svChost, mais svhost, sans C... Sans doute pour ça que je l'ai négligé pendant un moment. On le voit dans les process parmi les autres svchost et tout passe.

Pour Kerio, je l'ai effectivement viré vite, il faisait ramer ma machine à mort... Donc, inutilisable. J'essaierai Sygate un autre jour, mais attention, ZA est passé en version 5.1, peut-être ont-ils bien renforcé le tout.

On m'a dit que HijackThis! était du genre TRES violent, voire même risqué...

[J-C]

Ai jamais utilisé Hijackthis mais je sais qu'il affiche tout tout tout...le bon comme le mauvais. A toi de discerner le bon du mauvais et de surpprimer ce dernier.

Mais supprimer une seule ligne qu'il fallait pas supprimer peut amener de graves probs sur le pc il me semble.

Ayant vu cela, je me suis vite décidé à ne jamais essayer ce prog chez moi de peur de faire une connerie.

[gameslover]

Pour Hijackthis il y a un moyen simple d'éliminer que les choses dangereuses : soumettre les logs du logiciels directement sur le forum dédié du logiciel... il est fait pour ça d'ailleurs en grande partie... on te dira là-bas ce que tu peux laisser ou doit enlever, etc...

[abelthorne]

Oui, pour HijackThis!, il affiche effectivement tout et virer des trucs au hasard n'est pas une bonne idée (c'est un peu comme si tu virais des clés au hasard dans la base de registre).

Mais bon, dans la plupart des cas, c'est assez simple d'identifier à quoi correspond chaque élément affiché quand tu sais exactement ce que tu as installé sur ton PC.
Et si tu l'utilises après avoir fait un scan avec tout le reste (antivirus, ad-aware, vérification des processus lancés au démarrage...), tu as déjà moins d'éléments problématiques à trier.

Pour finir, il est surtout fait pour certains types de spywares précis et récalcitrants (que ne savent pas virer d'autres softs), comme les pages d'accueil du navigateur détournées, les barres d'outils ajoutées dans les softs, etc.

Quoi qu'il en soit, le fait de le lancer ne risque rien : il n'a pas de mode de nettoyage automatique. Il affiche tout ce qu'il trouve et c'est à l'utilisateur de virer ce qu'il veut.

[Vimaire]

Beaucoup mieux que Kerio ou que n'importe quel firewall, il existe aussi Look n Stop. Il ne consomme quasiment aucune ressource, mais par contre peut causer quelques migraines (les règles sont à configurer soit même, même si les principales sont placées par défaut).
Un peu compliqué mais si vous voulez controler tout les paquets qui passent sur votre réseau (journal super précis : protocoles, ports, source, destination), c'est idéal.
En plus, il permet de n'appliquer des règles qu'à l'ouverture de certains logiciels (par exemple, ouvrir le port 21 en entrée uniquement à l'exécution du serveur ftp).

[Shinobi]

Svhost est une star en matière de virus
c'est un ver de type blaster qui s'invite tout seul sur un PC non protégé. C'est à ça que servent les firewall bien plus qu'à éviter les attaques : sans firewall et sans patch windows, ces virus peuvent s'installer automatiquement sans qu'on est besoin de télécharger de fichier ni même de visiter une page web... Le firewall est devenu indispensable depuis l'arrivée de blaster qui a ouvert la voie à ces virus
On peut également installer les patch de windows mais sachant qu'il en faut un différent par virus et qu'évidemment ils sortent après le virus.. Bah on est infecté avant de l'installer. Alors que chaque virus de ce genre utilise la même méthode d'infection, ce qui fait qu'un firewall les arrêtera tous, présents comme futurs


Bon d'un autre coté, il n'y a pas non plus de quoi s'affoler, la majeure partie des firewall bloque tous les ports dès leur installation que ça soit ZA, sygate ou kerio.. Suffit de les installer pour que ces virus ne puissent plus infecter le système. (sans réglage supplémentaire quoi)
De plus ces virus sont des merdes techniquement, on est bien loin des virus polymorphes d'il y a quelques années et en plus, ils ne peuvent pas executer n'importe quelle commande. Par exemple, ça m'étonnerait vraiment lourdement qu'un jour un blaster soit capable de détruire des fichiers..

En plus, ils ne peuvent pas se répliquer dans le PC : y a un processus, des entrées registres et c'est tout... Aucun virus de ce genre ne vous forcera à formater donc pour l'éliminer


Enfin voila, tu dis pas si il te l'a éradiqué Cold, alors si il est toujours là suffit de couper le lancement du processus dans msconfig et ensuite de rechercher dans la base de registre toutes les entrées contenant svhost.exe pour les supprimer (bon fais gaffe quand même en faisant ça hein, efface pas les yeux fermés )


Edit : Vimaire, look n stop est payant et surtout il n'apporte rien de plus pour le prix comme les firewalls de norton ou de kaspersky. Sygate et Kerio également gère des règles de sécurité personnalisées (et très avancées). Et puis le fait d'ouvrir les ports uniquement à l'utilisation ça n'est pas grand chose de plus qu'un gadget qui a l'air intéressant