» Jetico Personal Firewall

Решил вот присмотреться к сабжу, возник вопрос. При утановленном на машине какого-либо из продуктов Лаборатории Касперского (KAV/KIS), куда Джетико "втыкает" свой сетевой драйвер: между локальным прокси KAV/KIS и внешкой или ,в случае исходящего соединения, порядок следующий: Джетико > KAV/KIS, а уже затем трафик выпускается во внешку? Как вообще данные продукты работают в одной связке, есть ли "подводные камни"?

BasiL
Цитата:

я предлагаю как раз наоборот. Запреты ставить _ДО_ stateful в таблице IP.

То-то и оно, в таблице IP нельзя создать правило для приложений, как и к правилам для приложений нельзя применить Stateful, можно конечно создать в IP Table запрещающие правила, перекрывающие все подозрительные моменты правил приложений, но тогда - во-первых, теряется контроль (в логах, по общим правилам, тяжело будет отследить кому конкретно, что шло), во-вторых, к чему тогда вообще такой Stateful, согласитесь?
VN8
Цитата:

куда Джетико "втыкает" свой сетевой драйвер

Если вопрос, про порядок обработки запросов - то с этим полный порядок: запрос приложения -> драйвер Jetico -> драйвер KAV -> сеть, при этом Jetico выдаёт запрос приложения на реальный хост/порт, а не на порт прокси KAV'а (1110).
Цитата:

Как вообще данные продукты работают в одной связке, есть ли "подводные камни"?

KAV 7.0.0.125 работает без проблем, ни одного глюка замечено не было. Из "подводных камней", в KAV отключён "Контроль целостности", созданы взаимоисключения, есть некоторые моменты при создании правил. С билдами Касперского выше 7.0.0.125, глюки стандартные, как у всех сторонних фаеров, в связи с портом 19780, "костыль" в виде правки параметра UseKavsend с 0 на 1 помогает, если не трогать настройки KAV, но всё равно связка работает не стабильно. С KAV 2009 (357 TR) погонял, было несколько падений Джетики, снёс его.
Цитата:

При утановленном на машине какого-либо из продуктов Лаборатории Касперского (KAV/KIS)

ИМХО - использовать Джетику с KIS, бред полный.

Dimitr1s, спасибо за ответы.

Цитата:

ИМХО - использовать Джетику с KIS, бред полный.

Ну, зачем же так категорично. Если уже есть оплаченная лицензия KIS, что мне теперь ещё и за KAV деньгу отстёгивать? Упоминая KIS, я естественно подразумевал, что его сетевой экран при установленном Джетико будет отключен .

VN8
Цитата:

Ну, зачем же так категорично.

Я конечно же имел ввиду, именно функционал KIS'а, а не название.
Цитата:

Упоминая KIS, я естественно подразумевал, что его сетевой экран при установленном Джетико будет отключен .

Тогда уж лучше не отключать, а заново переустановить Кису и при выборочной установке исключить все сетевые модули (Анти-банер, Родительский контроль и т.п.). Опять же ИМХО, разница существенная между отключённым и неустановленном драйвером.

Dimitr1s

Цитата:

Тогда уж лучше не отключать, а заново переустановить Кису и при выборочной установке исключить все сетевые модули (Анти-банер, Родительский контроль и т.п.). Опять же ИМХО, разница существенная между отключённым и неустановленном драйвером.

Тут будем посмотреть, как оно лучше, после отпуска займусь экспериментами.

VN8

Идея как мне кажется не плохая. Я лично вообще сторонник каскадной защиты с несколкими шлюзами и разными межшлюзовыми протоколами. Такой приём мы использовали в DEC. Идея такова: ставим входной узел "шлюз+брандмауэр" его соединяем с вторичным подобным узлом но, протокол между ними используем иной. Например на входе TCP/IP, а между узлами IPX/SPX. Маршрутизации тут нет, соединение "точка-точка", а вот взломать каскадную защиту с произвольным набором протоколов связи и шифрованием данных (при необходимости) и каскадной аутентификацией очень сложно. Особенно в случае шифрованной аутентификации каждого пакета и многоуровневого каскада. Посмотрю как это у кого получится.

P.S.

Правда эффективная скорость соединения зависит от каналов связи внутри каскада, а время задержки от производительности его узлов. Но, в ответственных случаях это применяется. DEC ставила такую защиту в банках и тех госучреждениях где этого требовали по соображениям безопасности внутренней сети. Пока я не слышал о случаях её взлома. Но, остаётся "человеческий фактор" - он слабое звено такой системы защиты. А экономически она естественно намного дороже обычной. Но, я хорошо представляю себе архитектурно/протокольную и криптографическую реализацию подобной каскадной системы защиты ориентированной на "полную не взламываемость".

Здравствуйте! Вот немного присмотрелся к этому фаеру, даже не поленился прочитать почти весь!! топик, чтобы узнать все проблемы с ним. Сейчас стоит Комодо и планировал скачать попробовать, но наткнулся на тестирование фаерволов на сайте matousec.com, так что-то испугало, что Джетико совсем слабовато выступил в отличие от Комодо. Почему так?


Цитата:

The products are configured to their highest usable security settings and tested with this configuration only.

Не ужели они просто не смогли его настроить нормально?

Jarikk
1. Текущая версия 2.0.2.4, читаем Список изменений по сравнению с версией 2.0.1.5, которая тестировалась.
2. Некоторые "опередившие" конкуренты, вообще не являются пакетными (сетевыми) фаерволами.
3. То, что первое место занял Online Armor Personal Firewall, вообще вызывает улыбку и ставит под сомнение смысл, обращать хоть какое то внимание на подобные тесты.
4. Да же те тесты, которые не прошла Джетика v 2.0.1.5, для персонального фаервола не являются особо значимыми.

Dimitr1s
http://www.matousec.com/projects/firewall-challenge/results.php

Цитата:

Jetico Personal Firewall 2.0.2.4.2264

P.S. Результат довольно интересный... Рекомендации тоже...

[more=Подробности...]Указаны только непройденные тесты
Level 1: 99% - PASSED
PerfTCP (93)
Test type: Performance test
Scoring: The performance reduction is crucial for the score of this test. The product scores 100% if the network performance was not reduced below 90% of the original performance. This means that the test "tolerates" 10% performance consumption. If the performance is less than 90% of the original performance then the score is computed proportionally (e.g. 50% test score means that the performance was reduced to 45%).
Description: This test measures the network throughput. The TCP protocol is used. The products are tested on a 100 Mbit/s network. The test is launched three times on the testing machine before the installation of the tested product and three times after its installation and configuration. The final result times are averages of all three measurements. The final result time measured after the installation of the tested product is then compared with the final result time measured on the clean machine.

PerfUDP (92)
Test type: Performance test
Scoring: The performance reduction is crucial for the score of this test. The product scores 100% if the network performance was not reduced below 90% of the original performance. This means that the test "tolerates" 10% performance consumption. If the performance is less than 90% of the original performance then the score is computed proportionally (e.g. 50% test score means that the performance was reduced to 45%).
Description: This test measures the network throughput. The UDP protocol is used. The products are tested on a 100 Mbit/s network. The test is launched three times on the testing machine before the installation of the tested product and three times after its installation and configuration. The final result times are averages of all three measurements. The final result time measured after the installation of the tested product is then compared with the final result time measured on the clean machine.

---

Level 2: 89% - PASSED
Jumper
Test type: Leak-test
Scoring: Failure – 0%; Success – 100%.
Description: Jumper checks whether your firewall protects Internet Explorer's settings.

---

Level 3: 100% - PASSED

---

Level 4: 89% - PASSED
Keylog1
Test type: Spying test
Scoring: Failure – 0%; Success – 100%.
Description: Keylog1 repeatedly tries to get the current status of key codes and thus obtain the information about keys pressed by the user.

---

Level 5: 89% - PASSED
Keylog2
Test type: Spying test
Scoring: Failure – 0%; Success – 100%.
Description: Keylog2 repeatedly tries to get the previous status of key codes and thus obtain the information about keys pressed by the user.

---

Level 6: 100% - PASSED

---

Level 7: 43% - FAILED
Keylog5
Test type: Spying test
Scoring: Failure – 0%; Success – 100%.
Description: Keylog5 repeatedly attaches the keyboard input of the foreground windows' process to be able to sniff the user's input of that process.

Keylog6
Test type: Spying test
Scoring: Failure – 0%; Success – 100%.
Description: Keylog6 registers a raw input device to be able to monitor user's keystrokes.

Runner2
Test type: Leak-test
Scoring: Failure – 0%; Success – 100%.
Description: Runner2 tests whether your firewall protects a binary image of the default browser.

Schedtest
Test type: Leak-test
Scoring: Failure – 0%; Success – 100%.
Description: Schedtest checks whether your firewall allows a malicious application to schedule a task through Task Scheduler COM interface.[/more]

Возник вопрос: а насколько эти тесты относятся к функциям собственно фаервола?

XenoZ
Ага, действительно, новый тест сварганили, Online Armor по прежнему в первых рядах и ProSecurity с System Safety, не являющиеся сетевыми фаерволами, опять зачем то воткнули в тест. Похоже прежний тест сетевых фаерволов, плавно перетёк в тест средств локальной защиты. А это уже другая история, пусть тестят.

Dimitr1s
Не клюнули бы финны на эту удочку и не начали бы варганить какой-нибудь жуткий комбайн..

XenoZ
Вряд ли, в принципе всем понятно, что эти тесты практически ни чего не значат, похоже сами создатели уже не понимают (судя по подбору софта), чего они хотят (или понимают? $). По любому даже на этой версии (2.0.2.4), можно сидеть сколько угодно долго. А на комбайны, рано или поздно, всё равно придётся пересесть, "гайки" с совместимостью закручивают всё сильнее, другой вопрос - что пока удобоваримого нет ни одного, комбайна.

Dimitr1s

Да и вряд ли скоро появится. Это же бизнес - для получения денег используют метод "кнута и пряника" - кнут - совместимость, пряник - "новые возможности". А в итоге страдает качество. Ну не верю я в то, что "комбайн" можно сделать столь же качественным как отдельные инструменты. По любому приходиться идти на компромиссы. А это снижает качество. Как ни рекламируй монстра.

Victor_VG
XenoZ
Ну будем надеяться, что финны, судя по тому как они кропотливо и разумно подходят к разработке продукта, так дальше и будут идти "правильным" путём.
Сейчас выйдет релиз KAV 2009, посмотрим, что будет в итоге, в принципе и 357'ая сборка (я гонял ещё без последних патчей "а" "в" "с") работает вменяемо, если падений Джетики не будет, то как вариант, не плохая связка ещё на долго.

Dimitr1s

Ну, у меня связка несколько иная - ClamAV + McAfee + SAV CE + AVZ. Пока использую такую схему. Дальше - посмотрим.

Привет.Поставил версию 2.0.2.4,установилось все нормально,но в свойствах сети драйвера jetico не наблюдается,работает только Контроль процессов,все остальное молчит,пробывал разные версии jetico,windows xp sp3 со всеми обновами поставил вчера,до этого стояла другая сборка windows все было нормально,где копать,что делать?

fen77796

Но он работает? Не сбоит? Если работает ничего делать не надо. Jetico использует драйвера ядра, их в списках драйвера устройства и не должно быть видно. Они иначе подключаются. Не трать зря нервы. Лучше иди позагорай на пляже - летом самое время.

В том то и дело,что не работает,зеленые стрелки не горят,vpn спокойно подключил,любая программа выходит в интернет,хотя никаких правил не создавал во как драйвера jetico нет в свойствах подключения,сегодня поставил KAV 7 все работает,драйвер NIS от kav в свойствах наблюдается даже не знаю что делать старую сборку windows из за этого ставить не хочется.

fen77796

Цитата:

в свойствах сети драйвера jetico не наблюдается

Ты про это? Тогда глюк. Попробуй переустановить.

fen77796
Цитата:

xp sp3 со всеми обновами поставил вчера,до этого стояла другая сборка windows все было нормально,где копать,что делать?

Проверить для начала, не включен ли встроенный Брандмауэр Windows и Центр обеспечения безопасности, симптомы похожие, если да - обе службы перевести в состояние: Тип запуска: Отключено, перегрузиться. Если не то, то копать опять же:
Цитата:

...до этого стояла другая сборка windows все было нормально.

Victor_VG Он пишет:
Цитата:

но в свойствах сети драйвера jetico не наблюдается

как раз там, драйвер Jetico должен наблюдаться всегда, иначе интерфейс не будет фаерволиться.

Цитата:

windows xp sp3 со всеми обновами

На оффоруме Nail утверждает, что пофиксено. Хотя не факт... На 2.0.2.4 тоже утверждали:
Цитата:

Kernel exception on fast user switch fixed.

а у меня как был BSOD, так и остался. В пятницу Nail выслал отладочную версию - с ней пока проблем нет.

Так и не заработал,чистил реестр,\system32\drivers,Брандмауэр Windows и Центр обеспечения безопасности все было отключено,даже не знаю в чем дело,образ windows
лицензия,не обрезанный,подождем версию 2.0.2.5 может заработает

fen77796
Цитата:

подождем версию 2.0.2.5 может заработает

Да дело то явно не в Джетике, и у меня. и на всех машинах на которых ставил, ХР SP3 со всеми обновлениями, причём давно уже. Работает как часы. А служба Jetico Personal Firewall server стартует? В журнале "Просмотр событий" пишет ошибки какие нибудь? Если служба Jetico Personal Firewall server появляется но не работает, попробовать вручную остановить/запустить.
Цитата:

сегодня поставил KAV 7

В KAV в Доверенную зону занесены jpf.exe и jpfsrv.exe? Может блокировать.
Цитата:

...чистил реестр...

Если попробовать почистить по этому [more=списку]
bcftdi
bcfilter
bc_ngn
bc_ip_f
bc_pat_f
bc_prt_f
bc_tdi_f
bc_hash_f
[/more] и снова поставить. Чудес то не бывает .

P.S. Ещё проверь на счёт такого варианта: к примеру на встроенные сетевухи nVIDIA ставятся драйвера с собственным фаерволом. Просто похоже на то, что уже работает какое то стороннее "средство защиты".

Да Jetico Personal Firewall server стартует,в логах ошибок нет,драйвер не устанавливается.

вот этого нет,переставлял разы,3 версии пробывал
Спасибо XenoZ за фотографию
сетевой драйвер не ставится,а Контроль процессов работает,только успевай allow нажимать

fen77796
Возможно у тебя проблема из разряда "уникальных", т.е. появляющихся только на определенных конфигурациях. IMHO, самым логичным будет написать в саппорт: , если хотя бы немного владеешь английским. Если же с языками туго, можно воспользоваться онлайн-переводчиками, только там писать лучше коротко, по делу и без лишних междометий, иначе при переводе будет каша.

Добавлено:
Да, и еще: проверь в Винде параметры установки драйверов. Если стоит режим "Блокировать", то и не встанет, т.к. у Джетики драйвера неподписаны.

Заметил: после вчерашнего обновления от M$, теперь при работе DNS-клиент'а, через Svchost, система не держит постоянно открытыми до 8'ми UDP-портов на "прослушке". Теперь открывает один порт на сессию и после сразу бережно за собой закрывает. Наконец то, прощай левые UDP-пакеты, на "слушающие" порты. Спасибо Билл.

Ответ саппорта по поводу порта 113

Цитата:

Ident (port 113) service is often used to identify remote peer.
Stateful inspection considers packets coming from host X to local port 113 as valid if there are open valid connection(s) to the host X.

XenoZ
Расплывчатый ответ какой то. На счёт:
Цитата:

often used

они сильно преувеличили конечно, не припомню, где вообще сейчас это используется. Интересно ещё, что они подразумевают под:
Цитата:

if there are open valid connection(s) to the host X.

любое соединение и установленное со стороны хоста Х то же? Думаю не правильно это.
Спасибо, что задал им вопрос.

Здравствуйте,интересует несколько вопросов:
1.как в Jetico 1 создать диапазон IP?пробовал прописывать типа 10.0.0.1/10.10.0.1,либо 10.0.0.1-10.10.0.1 - не работает...
2.в шапке раньше была ссылка на перевод документации к Jetico,сейчас куда то пропала...может есть у кого русский FAQ по программе?

victor630

Цитата:

1.как в Jetico 1 создать диапазон IP?

К примеру вот так: 10.0.0.0/8