» Jetico Personal Firewall

TeeHa1F
По данным диспетчера задач
jpf.exe 11804 Кб
jpfsrv.exe 5632 Кб

Подскажите пожайлуйста.

Полтора года пользовался первой версией джетики. Но сейчас вот снова пришло время переставлять винду и мысль закралась, а не посмотреть ли вторую версию. Итак, вопрос: имеет ли смысл переходить с первой версии на вторую и, если да, то какой именно билд лучше всего ставить? А-то я смотрю там какие-то проблемы, то длинные пути, то еще чего...

Arberes

У меня стоит 2.0.1.5.2216. Проблем не наблюдаю. Единственной "проблемой" стали хотфиксы от Микрософт - KB896358, KB928843 - они заменяют hhctrl.ocx, в итоге не работают некоторые программы. Заменяющий OCX перекрывает адреса user32.dll. Это ошибка Microsoft. Вернул обратно старую версию, всё заработало.

TeeHa1F

Данные AnVir Task Manager 5.0.2 от 29.02.2008, версия 2.0.1.5.2216

jpf.exe

Память 6 672 K
Файл подкачки 9 708 K
Виртуальная память 65 864 K
Макс. размер памяти 13 860 K
Макс. файл подкачки 9 784 K
Макс. виртуальная память 74 312 K

jpfsrv. exe

Память 6 208 K
Файл подкачки 3 856 K
Виртуальная память 37 924 K
Макс. размер памяти 7 056 K
Макс. файл подкачки 5 216 K
Макс. виртуальная память 56 844 K

Arberes, http://www.matousec.com/projects/windows-personal-firewall-analysis/leak-tests-results.php
Решай сам.
Первая версия и поныне очень неплоха

Кому интересно - список изменений в версии 2.0.1.5 вместе с максимально точным переводом:

Цитата:

18-February-2008 | v.2.0.1.5.
Short filenames problem fixed.
"Clone table" problem fixed.
Dutch translation updated.
Seamonkey detection added.

18 Февраля 2008 | v.2.0.1.5.

Проблема коротких имён файлов исправлена.
Проблема "клонирования таблицы" исправлена.
Добавлен немецкий голландский язык перевода.
Добавлено детектирование SeaMonkey.

Список дан относительно версии 2.0.1.4

Уточнение перевода дал Dimitr1s. Ошибка в переводе исправлена. Приношу всем свои извинения.

Victor_VG

Цитата:

Добавлен немецкий язык перевода.

Голландский тогда уж, если максимально точно.

Redisych
Victor_VG
Благодарю, поставил пытаюсь юзать =) Обалденно, осталось только разобраться что к чему... по мере появления вопросов буду отписывать, а пока попробую перечитать топик.

Добавлено:
Victor_VG
Эм... файл конфигурации не выложишь свой... Для большего понимания (изучу хоть).
Или ещё кто, может скинет (из знатаков желательно).

TeeHa1F

Поставь Лог в режим Отладка. И по мере необходимости создавай правила используя правую кнопку мышки в логе - "Создать правило". Самый удобный способ.

Не пойму, что за адреса такие svhost.exe ломится на 8.12.xxx.x или 4.23.xx.xxx - удалённый порт 80... это чё за адреса такие =) впервые вижу таковые.

Хотел ещё узнать как запрешать выход IE в инет (я им не пользуюсь вообще) - чтобы понять схему блокировки ненужного мне приложения.
Там где: "Оптимальная защита" - приложение - спрос. пользователя - Веб браузер - это я так понимаю для всех браузеров правило или нет?

+ вылез запрос от Opera-ы я сделал правило по шаблову "Веб браузер" правило, я так понял создалось уже в другом месте: "Оптимальная защита" - приложение - спрос. пользователя - Доступ в сеть - Веб брауз.

Ох запутался чёт... что к чему =) с кем бы по ICQ пообщаться бы =), чувствую без помощи, со стороны, не обойтись...

Кстати если топик читаю с самого начала, там рекомендации идут, они так же применимы и к самой новой версии или что то уже устарело и всё по иному работает? Просто времени практически нет... учёбой надо заниматься, а не фаервол осваивать =), я с удовольствием конечно, но ... сами понимаете...

Arberes

Лично я до сих пор использую ПЕРВУЮ версию и на работе все PC закрыл ею. Хотя даже на некоторых PC были ОФИЦИАЛЬНЫЕ Outpost. Сейчас после эксплуатации на рабочих PC несколько месяцев буду загружать как сервис чтобы небыло соблазна у этих Юзеров отключать её в ручную. (типа что это за значек болтается в трее).

TeeHa1F

Это могут быть адреса корневых DNS. Очень похоже. Но меня смущает порт 80. Выглядит так, как будто кто-то за обновлениями лезет.

TeeHa1F

Просто линейно приложение IE запрети без всяких подключений к готовым группам правил ВЕБ браузер и т.п. Лично я делаю так у меня есть созданная группа правил NetWorkOnly там прописано разрешение для "доступа к сети" и далее запрет, а не продолжение. если мне надо приложение запретить я его отношу к этой группе и все - РАБОТАТЬ не мешает, но в ИНЕТ нет выхода и все.

TeeHa1F

Цитата:

Просто времени практически нет...

Быстро всё равно не получится, ночь посидеть придётся .
Цитата:

svhost.exe ломится на...

Если sVHost.exe, то троян, а так, если "машина" одна и ничего не раздаёшь и не собираешься, и хочешь "запереть" его попробуй для svchost.exe так:
[more]
Действие Описание Уровень лога Протокол Событие Приложение Локальный адрес Удалённый адрес Локальный порт Удалённый порт

Victor_VG

Цитата:

Это могут быть адреса корневых DNS. Очень похоже. Но меня смущает порт 80. Выглядит так, как будто кто-то за обновлениями лезет.

Ну за обновлениями лазил Windows upd (обновления от майкрософта) - просто щас думаю, если он, то стоит ли удалять те правила или оставить на будущее =).

Dimitr1s

Цитата:

Быстро всё равно не получится, ночь посидеть придётся

Ну это я уже понял =), ради такой стенки придётся найти время, пока впитываю информацию...

Цитата:

Если sVHost.exe, то троян...

Засиделся за компом, букву пропустил, конечно же от машины svchost.exe.
Эм... моя машина будет раздавать, через хаб, инет паре ноутбукам.... Кстати и что то пока не выходит, я так на скорую руку попробывал, сеня вечерком побольше времени уделю, потом отпишу результаты (получилось или нет).

Эм и хотел уточнить - Косвенный доступ в сеть это как? (понятно, что непрямой). Если я к примеру поставлю запрет Nero этот доступ, то по идее с ним и зависящими от него приложениями произойти ничего срашного недолжно, так? Или какому нить аудио/видео плееру (если я не желаю что бы он в инет лазил).

AndreyPA,
Благодарю... пожже посмотрю как IE & Messenger блокать, опять же дела =(

Сорря если криво пишу, никак не могу сосредоточиться, каша в голове... надо везде успеть =)


Добавлено:
Отпишу щас, повторяюсь - мой комп раздаёт инет через хаб паре ноутбукам (вернее раздавал когда стоял KIS) щас чёто никак не получается, он не может даже раздать им адреса и Джетик молчит, что делать? Какие правила и где?

Добавлено:
Да и похоже лимит страниц, надо бы сделать хорошую шапку для части второй, что бы всё было красиво... есть ли у кого желание...?

TeeHa1F
Косвенный доступ, как раз лучше не запрещать (если приложение легитимное конечно же), Доступ в сеть то же самое, если на 100% не уверен, и в первой и во второй таблице, легко можно закрыть доступ и всем зависящим. Поступи проще, как я выше написал, собери все запреты/разрешения в таблице Сетевая активность, ни каких дополнительных групп можно не создавать. Хочешь запретить IE, к примеру, по порядку: запускаешь, считаешь Контрольные суммы, разрешаешь Косвенный доступ, разрешаешь Доступ в сеть, далее в таблице Сетевая активность создаёшь Таблицу приложений, называешь как угодно и в ней задаёшь запрещающие правила для не угодных прог и ставишь её на верх таблицы. Для IE будет выглядеть так:
Действие Приложение

Dimitr1s
А вот на счет косвенного доступа я не совсем понял. "доступ в сеть" как я понимаю это еще не есть РАЗРЕШЕНИЕ доступа в инет. Это необходимо для того чтобы зависимые программы которые запускаются из под этого приложения ДОСТУП в ИНЕТ. Т.е. если запретить ДОСТУП В СЕТЬ Explorery то большинство программ запускаемых из под него не получат доступ в ИНЕТ. Так ведь.
А вод что такое КОСВЕННЫЙ ДОСТУП я не совсем понимаю. в Первой версии этого не было.

TeeHa1F
По крайней мере в первой версии этот FW "не очень" работал на машинах которые раздавали инет т.е. использовали транзитные пакеты т.к. он ориентирован на персональное использование. Хотя я не говорю что это не возможно просто после экспериментов с созданиями правил у меня создавалось впечатление что появлялись дырки в защите. т.к. приходилось выкручиваться правилами из таблицы Internet ZONE StateFul Inspection. Это они в основном не пропускают пакеты которые никто не ждет на данной машине. А при раздаче инета эта ситуация актуальна. Или я что не понял тогда

AndreyPA
Доступ в сеть как раз и есть разрешение доступа в инет, то есть имея Доступ в сеть приложение, если Jetico находит для него разрешающее правило, выходит в сеть. На примере ping.exe - если дать ему Доступ в сеть и есть правило DNS и в Таблице IP разрешены ICMP 8/0, ping.exe спрашивать ни чего не будет, а отработает.
Косвенный доступ в сеть позволяет использовать сетевые функции других приложений, на примере того же explorer.exe - если включён DNS клиент и созданы разрешаюшие DNS для svchost.exe, explorer.exe имея Косвенный доступ в сеть и не имея прямого доступа (Доступ в сеть), будет ресольвить через Svchost, опять же если ненароком разрешить какому нибудь пинчу Косвенный доступ в сеть, соответственно он сможет использовать любые функции сетевых программ (но тут сработает Контроль процессов, если "включён" конечно ). Вообщем так где то.

AndreyPA
Понятно, ну будем разбираться...

Dimitr1s

Вот пример если Explorer не разрешить доступ в сеть и из под него запустить IE то даже если правила разрешены все для IE он не сможет коннектиться.
Вот еще пример я для пробы в быстрой настройке разрешил всем прогам (т.е. не указал приложение) "Доступ в сеть" но все остальные программы IE, FF , DM и пр. запросили доступ по своим протоколам. На счет PING так правильно ты ж ICMP разрешаешь следовательно ping использует этот протокол и пошел в сеть. Запрети ICMP для ping но разреши "Доступ к сети" ничего ты не сможешь пингануть.
К сожалению это просто флуд т.к. я пока базируюсь на 1 версии и просто знакомился со 2-й и обнаружил для себя непонятные таблицы правил и хотел найти ассоциации мне известные. Просто при работе с Jetico надо понимать сетевое взаимодействие и что такое протоколы и порты более глубоко чем в других FW. (ну может кроме *nix)

AndreyPA

Цитата:

Вот пример если Explorer не разрешить доступ в сеть и из под него запустить IE то даже если правила разрешены все для IE он не сможет коннектиться.

Я выше написал:
Цитата:

Косвенный доступ, как раз лучше не запрещать (если приложение легитимное конечно же), Доступ в сеть то же самое, если на 100% не уверен, и в первой и во второй таблице, легко можно закрыть доступ и всем зависящим.

Цитата:

На счет PING так правильно ты ж ICMP разрешаешь следовательно ping использует этот протокол и пошел в сеть. Запрети ICMP для ping но разреши "Доступ к сети" ничего ты не сможешь пингануть.

Ну правильно, я так и написал:
Цитата:

Доступ в сеть как раз и есть разрешение доступа в инет, то есть имея Доступ в сеть приложение, если Jetico находит для него разрешающее правило, выходит в сеть.

Если разрешаюших правил нет, Jetico идёт по таблицам сверху вниз или до общего запрещающего (под которое попадёт запрос приложения), или до созданного Спросить/Запретить в конце таблицы, ели Спросить - соответственно выдаст балун с вопросом, если в конце таблицы Запретить на этом и всё. Конкретно по пинг: правила для ICMP можно создать только в Таблице IP, в которой создать Спросить нельзя, так что если тут что то запретить, вопросов не будет, смотрим только лог запрещённых.
Цитата:

Вот еще пример я для пробы в быстрой настройке разрешил всем прогам (т.е. не указал приложение) "Доступ в сеть" но все остальные программы IE, FF , DM и пр. запросили доступ по своим протоколам.

Наверно я не правильно выразился, конечно Доступ в сеть даёт возможность приложению проходить через таблицы с создаными правилами, а не сразу выход в сеть.

Цитата:

К сожалению это просто флуд т.к. я пока базируюсь на 1 версии и просто знакомился со 2-й

Почему флуд? С учётом что по 2'ой версии найти на руском языке практически ни чего не возможно (в том числе и с помощью великого Гугля), очень не плохо было бы здесь её подробно "разжевать". Я сам меньше месяца пользую, ИМХО лучший персональный фаер на данный момент, с учётом что у последних версий Комодо и Аутпоста начисто отшибло работу с локальным прокси (покажите хоть один вменяемый антивирь, который бы не брал на себя эту функцию). Если что надо подробней, напишу в чём разобрался, на работе гоняю на двух машинах, хотя несколько вопросов у самого есть.

Dimitr1s


Цитата:

Наверно я не правильно выразился, конечно Доступ в сеть даёт возможность приложению проходить через таблицы с создаными правилами, а не сразу выход в сеть.

Вот и я о том же что разрешить "доступ в сеть" это не 100% выход в ИНЕТ просто есть проги которые без этого вообще не смогут работать хотя при этом вообще не смогут вылезть в ИНЕТ
К слову вопрос может и не по теме
Если ты разбирался с КОМОДО скажи мне можно его заткнуть или заставить его замолчать не возможно. Просто я искал попроще FW чем Jetico для простых людей и пробовал КОМОДО но я так и не смог найти кнопку чтобы прописать правила и заткнуть его чтобы делал то что разрешено а остальное блокировал и не спрашивал. А то простые пользователи падают в ступор от его куч сообщений. В Jetico запретил спрашивать и смотришь время от времени в LOG если что не тои ОК. ИЛИ я просто не докопал.

AndreyPA

Попробуй Online Armor Freeware. Он вроде и надёжен и достаточно прост в управлении. Дистрибутив последней версии 2.0.95 весит примерно 10 Мб. Я его ставил родственникам друга. Первое впечатление хорошее.

AndreyPA

Комодо сам не пользовал, настраивал пару раз вторую версию, совсем заставить замолчать его вряд ли получится, посмотри (точно не помню, что то вроде этого) Прочее - Предупреждения файервола, Анализ поведения приложений - если отключить только.

Цитата:

Просто я искал попроще FW чем Jetico для простых людей

Обычный фаер, абсолютно прозрачный, как ты заметил: если не понятно чего, в логах всё видно.

Victor_VG

Ок поробую хотя я смотрел его раньше но что то не приглянулся.

Dimitr1s

Так я о том же что в Jetico мне оказалось проще чем в КОМОДО во блин как бывает

как сделатбь чтоб одним разом одну прогу заблокировать?
уже заморился каждый раз нажимать

UKPR
Во 2'ой версии если надо полностью всю активность проги заблокировать, то в Контрольные суммы (Application checksum) создать правило: Действие - Запретить, Приложение - Путь к exe'шнику проги, черевато тем, что так можно зарубить и проги которые совместно используют библиотеки/ресурсы. Если зарубить только сетевую активность проги, что б больше вопросов не было, тогда нужно создать Правило для пиложений в самом верху таблицы Сетевая активность (Network Activity), такого вида: Действие - Запретить, Приложение - Путь к exe'шнику проги. Только что б это правило находилось выше всех общих разрешающих (типа DNS, слушать порт и т.д.).

UKPR

Цитата:

уже заморился каждый раз нажимать

Возможно, просто изменения конфига сохранить забывается...

UKPR

Когда выскакивает сообщение перед нажатием ОК надо поставить галочку запомнить мой выбор. А так же не помешает сахрать все правила через окно Jetico.

Странно, что никто пока не озаботился проблемой windows update или Автоматическое обновление. В общем, я хочу получать эти обновления и тут встал вопрос - а какие адеса разрешать для svchost-а? Вот набрал статистику, мож кому понадобится. Небольшие пояснения. Первой строкой идут адреса, по которым стучится свчост, за исключением последнего сегмента, там я поставил 0. Можно создать группу WindowsUpdate и вписать туда эти адреса с маской 24. Например 84.53.255.0/24. Это означает диапазон 84.53.255.0-84.53.255.255
Потом идут данные, взятые из сервиса whois - кому принадлежит этот диапазон.



            84.53.255.0
            84.53.138.0
            NetRange: 84.0.0.0 - 84.255.255.255
CIDR: 84.0.0.0/8---RIPE Network Coordination Centre

            205.128.69.0
            NetRange: 205.128.0.0 - 205.131.255.255
CIDR: 205.128.0.0/14---OrgName: Level 3 Communications, Inc.
            
            4.23.54.0
            NetRange: 4.0.0.0 - 4.255.255.255
CIDR: 4.0.0.0/8---OrgName: Level 3 Communications, Inc.
            
            65.55.13.0
            65.55.192.0
            NetRange: 65.52.0.0 - 65.55.255.255
CIDR: 65.52.0.0/14---OrgName: Microsoft Corp


            209.84.1.0
            209.84.12.0
            NetRange: 209.84.0.0 - 209.84.255.255
CIDR: 209.84.0.0/16---OrgName: Level 3 Communications, Inc.

            207.46.20.0/16
            NetRange: 207.46.0.0 - 207.46.255.255
CIDR: 207.46.0.0/16---OrgName: Microsoft Corp

            
87.248.201.0
87.248.216.0
            NetRange: 87.0.0.0 - 87.255.255.255
CIDR: 87.0.0.0/8---OrgName: RIPE Network Coordination Centre


8.255.65.0
            8.255.66.0
            8.12.212.0
            NetRange: 8.0.0.0 - 8.255.255.255
CIDR: 8.0.0.0/8---OrgName: Level 3 Communications, Inc.
            

        
            
192.221.106.0
            NetRange: 192.221.0.0 - 192.221.255.255
CIDR: 192.221.0.0/16---OrgName: Level 3 Communications, Inc.
            
            
            
193.108.95.0
            NetRange: 193.0.0.0 - 193.255.255.255
CIDR: 193.0.0.0/8---OrgName: RIPE Network Coordination Centre



64.4.21.0
            NetRange: 64.4.0.0 - 64.4.63.255
CIDR: 64.4.0.0/18---OrgName: MS Hotmail


213.155.151.0
NetRange: 213.0.0.0 - 213.255.255.255
CIDR: 213.0.0.0/8---OrgName: RIPE Network Coordination Centre

Gob

Цитата:

Вот набрал статистику

у меня такие адреса:

Код: accept    Allow Windows Update    info    TCP/IP    outbound connection    any    8.12.212.126    any    80    
accept    Allow Windows Update    info    TCP/IP    outbound connection    any    64.4.23.190    any    443    
accept    Allow Windows Update    info    TCP/IP    outbound connection    any    65.52.0.0/14    any    443    
accept    Allow Windows Update    disabled    TCP/IP    outbound connection    any    65.55.192.61    any    443    
accept    Allow Windows Update    info    TCP/IP    outbound connection    any    84.53.138.0/22    any    80    
accept    Allow Windows Update    info    TCP/IP    outbound connection    any    84.53.175.192    any    80    
accept    Allow Windows Update    disabled    TCP/IP    outbound connection    any    88.221.26.64    any    80    
accept    Allow Windows Update    info    TCP/IP    outbound connection    any    199.93.33.126    any    80    
accept    Allow Windows Update    info    TCP/IP    outbound connection    any    199.93.57.126    any    80    
accept    Allow Windows Update    info    TCP/IP    outbound connection    any    207.46.0.0/16    any    80    
accept    Allow Windows Update    info    TCP/IP    outbound connection    any    207.46.0.0/16    any    443    
accept    Allow Windows Update    info    TCP/IP    outbound connection    any    207.123.33.126    any    80    
accept    Allow Windows Update    info    TCP/IP    outbound connection    any    213.160.98.0/24    any    80