» KAV / AVP / Антивирус Касперского (Часть 3)

Итак, самый первый результат тестирования: после того, как в трее появится серый значёк АВП, проходит примерно 15 секунд, чтобы он стал активным. Для сравнения - АВП Про 5.0.20 грузился полторы (!) минуты...

SELECONICS
01:06 09-03-2005
Цитата:

ну и есть смысл в ее скачивании, я имею ввиду можно ставить ее вмстоа обычного каспера.

Пока, кроме указанных проблем и неприятностей с антиспаммером, проблем не замечено (впрочем, см. подозрения ниже). Понравилась возможность отложенного наблюдения за системой: можно отключить проверку на время и выбрать, когда она должна включиться автоматически в следующий раз: через определенный интервар времени (к сожалению, список интервалов жестко запрограммирован, хотелось бы иметь возможность задания произвольного интервала).
Из всплывающей подсказки значка в области уведомлений исчезла информация о дате установленных баз и опять вернулась информация о числе проверенных объектов. На мой взгляд, информация о проверенных объектах гораздо менее важна, нежели информация об актуальности установленных баз --- какая мне разница, сколько он чего проверил, а вот возможность узнать, что у меня там с базами, не открывая для этого главное окно, весьма полезна.
Видимо, в каком-то из последний обновлений появилась сигнатура, которая заставляет реагировать каспера на сценарий Ru-Board'а как на вирус:
Опасные объекты


Цитата:

ИмяСтатус
http://forum.ru-board.com/[3]обнаружено: троянская программа Trojan-Downloader.JS.IstBar.j
Файл: board.jsобнаружено: троянская программа Trojan-Downloader.JS.IstBar.j
http://forum.ru-board.com/misc.cgi?action=login

Как исключить реагирование на этот сценарий только на Ru.Board, я не понял (есть вариант просто продолжить и выбрать подобную реакцию для всех последующих разов, но ведь эдак он, наверное, не сработает, когда будет нужно на каком-нибудь другом сайте?)

Время остановки проверки при выключении защиты несколько увеличилось --- значок уже неактивен, а проверка все еще ведется. Впрочем, эта инерционность не столь велика, хоть и несколько раздражает.

В целом, (для прототипа то!) программа ведет себя стабильно --- самопроизвольного падения (за исключением описанной ситуации с антиспам модулем за день не наблюдалось).

Проблемы:
После установки KAV2k6 ужасно стал себя вести и Maxthon (даже при выключенном, но не выгруженном, KAV). Сейчас например выделение VM Maxthon, внимание (!), 1 668 532 Мбайта!
Так как ничего после KAV2k6 не устанавливал, а проблема с Maxthon возникла хронологически после его установки, склонен подозревать в ней модуль KAV. Возможно, так как такое выделение возникает только при открытии нескольких вкладок в Maxhon, KAV загружает в Maxthon несколько модулей.
Не хочу особенно клеветать, но хронология событий и невозможность объяснить сие явление как-то иначе заставляет думать именно так.

TCPIP
По поводу сценария Ru-Board'а и вируса: я чуть выше описывал точно такую же ситацию, но на Personal 5.0.227. Сейчас проблема разрешилась. Либо снова сценарий изменили, либо касперский поправил сигнатуры.

Цитата:

Из всплывающей подсказки значка в области уведомлений исчезла информация о дате установленных баз и опять вернулась информация о числе проверенных объектов. На мой взгляд, информация о проверенных объектах гораздо менее важна, нежели информация об актуальности установленных баз --- какая мне разница, сколько он чего проверил, а вот возможность узнать, что у меня там с базами, не открывая для этого главное окно, весьма полезна.

Согласен,гораздо нужнее видеть точную дату последнего обновления.Кстати,меня очень раздражает тот факт,что этот красный значок не прячется в трэе.Мелочь вроде бы,однако...

rayoflight
03:38 09-03-2005
Цитата:

что этот красный значок не прячется в трэе.Мелочь вроде бы,однако

Вы про настройку области уведомлений? В том смысле, что даже будучи неактивным, не значок приложения не скрывается?

TCPIP

Цитата:

В том смысле, что даже будучи неактивным, значок приложения не скрывается?

Да.

rayoflight
04:46 09-03-2005
Цитата:

Да.

Не помню правда, скрвался ли он у меня на 5... Жаль, что нельзя параллельно их поставить. Или можно?

TCPIP
rayoflight
из трея он не скрывается ни в активном, ни в выключенном состоянии. можно вручную задать в настройках панели задач "всегда скрывать" значки в трее, но после перезагрузки иконка kav опять появляется на свое месте.


Цитата:

Согласен,гораздо нужнее видеть точную дату последнего обновления.

имхо, но важно и время посленего обновления и кол-во проверенных объектов.

TCPIP


Цитата:

вышла новая прога от каспера: Kasperky Internet Security 2006. Скачать можно здесь: http://downloads1.kaspersky-labs.com/beta/kav2006/AVP.6.0.9.96.exe

А обновление с какой папки на ftp-ах он тянет?

Я не могу установить ключик к 5 касперу, как обновить "чёрный списокключей"????????

TCPIP

Странно, у меня такого нет...


Добавлено:
TCPIP

Цитата:

ИмяСтатус
http://forum.ru-board.com/[3]обнаружено: троянская программа Trojan-Downloader.JS.IstBar.j
Файл: board.jsобнаружено: троянская программа Trojan-Downloader.JS.IstBar.j
http://forum.ru-board.com/misc.cgi?action=login

Я имею ввиду этого нет.

Maxim_G

Тебе в варезник...

Maxim_G

Цитата:

ключик к 5 касперу,

http://forum.ru-board.com/topic.cgi?forum=35&topic=22993&start=0

TCPIP
kav2006@kaspersky.com (vse v nasih rukah esho est vrema 4tob eto izmenili... pisim pisim pisim)

Добавлено:
TCPIP
kav2006@kaspersky.com (vse v nasih rukah esho est vrema 4tob eto izmenili... pisim pisim pisim)

Добавлено:
To TCPIP ja tut za teba v kl napisal.. vot otvet otvet otsilay im


Добрый день!

Я бы хотел разобраться с зафиксированной Вами проблемой задачи "Анти-Спам".

1. "При включенном антиспамере весь смысл работы с IMAP теряется --- письма принимаются целиком, а не только заголовки".
>> Да, это так. На принадлежность к спаму оценивается именно тело сообщения. Для реализации персонального антиспама мы выбрали статистические методы Байеса и Фишера-Робинсона, которые не позволяют оценивать принадлежность письма к спаму по одним лишь заголовкам. Более того, содержащаяся в заголовках информация не несет столько информации, сколько ее содержится в теле письма, и является в большинстве случаев источников ошибок (false-alarm). Более того, информация, содержащаяся в заголовках письма, может быть легко подделана (и подделывается) отправителями спама.

2. "Небольшой ящик с 4,5 тысячами писем KAV2006 проверял 1 час, раскатавшись в памяти на 1 гигабайт, после чего сбойнул 2 раза, сообщив, что программа выполнила бла-бла и отправить ли сообщение".
>> Не вполне понятно, какая именно задача занималась проверкой данного почтового ящика. Антиспам-плагин в MS Outlook занимается проверкой только непрочитанных пользователем сообщений, находящихся в папке "Входящие". У Вас оказалось 4,5 тысячи непрочитанных писем? Или Вы говорите о запущенной по Вашему требованию проверке почты на вирусы? Пожалуйста, опишите более подробно метод воспрооизведения данной ошибки.
>> Вы не ошибаетесь? Именно процесс avp.exe занял в памяти 1 Гб? Может быть, эту память занял процесс какой-то другой процесс, например outlook.exe? Размер памяти, занимаемой процессом, можно увидеть в стандартном приложении Windows "Task Manager" (taskmgr.exe).
>> Сбой необходимо проанализировать. Нам очень важно увидеть созданный во время сбоя дамп - прошу Вас выслать его на наш адрес kav2006@kaspersky.com.
>> Надеюсь, в ближайшее время у нас появится возможность открыть upload-директорию на одном из FTP-серверов, и дампы можно будет отсылать не по почте, а по FTP.

3. "На лету анти-спаммер не отключить, возникает ошибка при снятии соответствующего флажка в настройках"
>> Приведите, пожалуйста, скриншот этой ошибки.

По возможности, включите вывод трассировки в файл. Описание того, как это сделать, находится тут: ftp://ftp.kaspersky.com/beta/kav2006/release_notes_ru.txt . Приведу этот алгоритм:
4. Как включить трассировку в продукте.
В ключе HKLM\Software\KasperskyLab\avp6 необходимо создать раздел Trace и перезапустить продукт.
После этого будет автоматически создан следующий набор ключей в подключе HKLM\Software\KasperskyLab\avp6\Trace\Default:
TraceFileEnable = 0 // cFALSE
TraceConsoleEnable = 0 // cFALSE
TraceDebugEnable = 0 // cFALSE
TraceUseDbgInfo = 0 // cFALSE
TraceFileMaxLevel = 500 // prtNOTIFY
TraceConsoleMaxLevel = 300 // prtERROR
TraceDebugMaxLevel = 400 // prtIMPORTANT
TraceFileMinLevel = 0 // prtMIN_TRACE_LEVEL
TraceConsoleMinLevel = 0 // prtMIN_TRACE_LEVEL
TraceDebugMinLevel = 0 // prtMIN_TRACE_LEVEL
Измените значение параметра TraceFileEnable на 1. После этого перезапустите продукт ещё раз.
При этом будут создавать файлы с именами AVP.exe_6.0.9.95_час.минута.секунды_processid_тип хоста.log

При возникновении ошибок отошлите этот файл вместе с описанием ошибки на адрес kav2006@kaspersky.com.

4. "Куча писем с руборда были признаны спамом"
>> В нашем антиспаме реализованы статистические алгоритмы Байеса и Фишера-Робинсона (второй также известен как "хи-квадрат распределение"). Это означает, что для корректной работы антиспама необходимо его "обучить", указав, какие письма Вы считаете спамом, а какие - нет. Для этого предусмотрено два пути:
Запуск "Мастера обучения" из настроек задачи "Анти-Спам". "Мастер обучения" также умееет запускаться самостоятельно при приеме первого письма, пришедшего на проверку в антиспам. Следуйте указаниям мастера, и он настроит антиспам для более корректной работы.
Использование кнопок "Спам" и "Не спам" в программе MS Outlook. Обратите внимание, что кнопка "Не спам" становится доступной только в папках, назначенных в настройках антиспам-плагина для сбора спама. Таким образом, Вам достаточно лишь выделить все письма, некорректно распознанные как спам и перемещенные в соответствующую папку, и нажать кнопку "Не спам" - при этом данные антиспама будут скорректированы, и вероятность ошибки распознавания в будущем окажется минимальной.

С уважением, Виталий DVi Денисов,
программист

ЗАО "Лаборатория Касперского",
Департамент Инновационных Технологий
123363, Москва, ул.Героев Панфиловцев, 10
тел.: +7(095)797-8700
E-mail: denisov_vit@kaspersky.com
http://www.kaspersky.com
Сообщение не содержит вирусов

xxxuser

Цитата:

Для сравнения - АВП Про 5.0.20 грузился полторы (!) минуты...

не знаю, у меня гораздо быстрее.
SELECONICS

Цитата:

ну и есть смысл в ее скачивании, я имею ввиду можно ставить ее вместо обычного каспера.

имеет, я лично даже на этой бетке все остальные программы каспера снёс, гораздо лучше так как, даже проверка компа почти в 2 раза быстрее, базы загружаются также быстрее. Хотя анти-спам мне не понравился (в смысле принципа работы, я пользуюсь Spamihilator).
Так что Kasperky Internet Security 2006 мне по кайфу, я даже создал тему по адресу: http://forum.ru-board.com/topic.cgi?forum=5&topic=15081#1 , правда Widok не обдорил это.

Maz
10:35 09-03-2005
Цитата:

имхо, но важно и время посленего обновления и кол-во проверенных объектов.

Да, но лучше вообще иметь возможность ручной настройки всплывающих подсказок --- пусть каждый сам под себя настраивает, не думаю, что это так сложно будет реализовать.
yrsyl
12:13 09-03-2005
Цитата:

А обновление с какой папки на ftp-ах он тянет?

Из той же, что и все пятерки обновляются, i386, только xml-файл в папке индекса у него другой, ну и ids-другие.

Добавлено:
xxxuser
15:15 09-03-2005
Цитата:

Я имею ввиду этого нет.

Больше нет. С сегодняшнего дня.
SXP
16:41 09-03-2005
Цитата:

To TCPIP ja tut za teba v kl napisal.. vot otvet otvet otsilay im

Продублировал, значит. Сегодня-завтра постараюсь им ответить. Все никак не найду времени нормально составить отчет.

Цитата:

Сбой необходимо проанализировать. Нам очень важно увидеть созданный во время сбоя дамп - прошу Вас выслать его на наш адрес

Скажу точно, что вот это у меня врядли получится... Даже ppm-сжатие с моделью 5 порядка дает результат в 30 мегов, а на модеме загрузка файлов такого размера у меня никогда не получалась... Да и чем они его будут расжимать? Или сообразят смастерить декодер?

Цитата:

Да, это так. На принадлежность к спаму оценивается именно тело сообщения.

Вот им напишу и здесь замечу: программа-клиент не должна менять основного функционала программы-сервера без желания пользователя!
Я понимаю, что для обучения ему нужно проанализировать сообщения. Но! Нужно сделать 2 варианта:
Пользователь разрешает программе сидеть между ним и удаленной машиной и пропускать весь mail-трафик через себя. При этом антивирус работает в качестве шлюза и автоматически принимает и анализирует поступающие сообщения. Хороший вариант для тех, кто работает в корпоративной сети и не заботится о трафике.
Для пользователей с медленным соединением (как и вообще для всех тех, кто просто хочет принимать только заголовки) надо оставить возможность принятия только заголовков и отложенной проверки писем на спам! А именно: если мне прислали письмо с рекламным проспектом на 500 килобайт, а то и на несколько мегабайт, то зачем же мне его принимать? Вы представляете, что будет, если я на модеме начну все эти спамы принимать? Меж тем такой спам мне легко отсеивать вручную или же отсеивать с помощью касперского автоматом, но по схеме доверенных лиц: я сам составляю базу отправителей, которым я доверяю и хочу, чтобы такие письма не фильтровались касперским, зато отправители в черном списке пусть фильтруются. Как быть с тем, что отправитель может быть один, а IP разные (не отсеивать же support@microsoft.com только потому, что его часто подделывают?). Здесь надо создать возможность тонкой настройки для пользователя: скажем просто выдавать предупреждение, когда получено письмо от сомнительного отправителя.
Хочется иметь возможность отложенной проверки. Я принимаю заголовки, обучаю машинку. Уже просто тупое занесение того что написано в поле От в черный список ох как поможет. Мне постоянно приходит один и тот же спам. Там никакого анализа не надо, все настолько тупо. Какой-нибудь Joe Pecsi - Enlarge your 32423498, а назавтра Joe Pecsi - Enlarge your 89702398. Так тут и никакого анализа не нужно сложного.

Цитата:

У Вас оказалось 4,5 тысячи непрочитанных писем?

Да. Бывает и больше и 10000...

Цитата:

Именно процесс avp.exe занял в памяти 1 Гб? Может быть, эту память занял процесс какой-то другой процесс, например outlook.exe?

Уже поправился, что похоже несколько ошибся, не 1 Гб, а 256. Но! С момента установки AVP2006 у меня Maxthon ведет себя так, что каждый раз съедает по 1,5 - 2 Гб памяти. Вот еще и он тогда добавил в общую чашу. До установки касперского этого не было, ну максимум-максиморум, это 100-200 мегов он съедал.

Цитата:

Запуск "Мастера обучения" из настроек задачи "Анти-Спам

С этим мастером чего-то я не понял. Мне предлагается выбрать сперва ящики, в которых у меня нет спама. А у меня таких нет. У меня во всех ящиках он есть. Так что делать?

В общем, постораюсь отписать в службу подробнее несколько позднее...

Есть 2000 ссервер и 2003 сервер, раньше стоял каспер 4 ветки серверной, сейчас вот хочу ставить 5.
так вот какая последовательность? придется ли сносить 4?

TCPIP

Цитата:

С этим мастером чего-то я не понял. Мне предлагается выбрать сперва ящики, в которых у меня нет спама. А у меня таких нет. У меня во всех ящиках он есть. Так что делать?

любой Байес мастер обучения попросит тебя это сделать....
весть спам сложи в отдельную папку а в остальных оставь только то что Не спам и укажи мастеру что там то спам а там то Не спам и он обучиться..... т.е. алгоритм учиться на конкретных реальных письмах что у тя уже есть в наличии а потом будет учиться дальше на том что будешь получать

Hrist
13:01 10-03-2005
Цитата:

любой Байес мастер обучения попросит тебя это сделать....

Это я понимаю, но: я просто говорю о том, что предложенный вариант решения задачи не эффективен или, по крайней мере, нужно внедрить альтернативный.

Цитата:

весть спам сложи в отдельную папку

Ну сложу я все в папку, так он же мне предлагает ящик выбрать! Это что, мне отдельный PST-файл заводить? Понимаете? Он не дает выбрать конкретную папку из конктретного ящика (aka PST-файла), а дает лишь выбрать PST-файл.

Да, совершенно железно: касперский как-то неправильно работает с Maxthon'ом. Если выгрузить касперского (а не просто отключить защиту), то можно открывать хоть мильон вкладок, а так откроешь пару-тройку и все... глядишь, побежал VM 300...500...700...1,5...2 на машине с 512 мегами очень трудно выдержать выделение памяти от одной программы в 2 гигабайта... Общее вылезает к 3...

Особенно плохо стало, когда я открыл страницу швейцарского моторшоу. Видать он там захлебнулся на проверке миниатюр.

Народ!!!
Модераторы сказали, что Kaspersky Internet Security 2006 обсуждаем в новой етеме:
http://forum.ru-board.com/topic.cgi?forum=5&topic=15081#1

KAV 4.5 build 104 перестал работать плагин TheBat.
Просьба ко всем, кто пользуется этим плагином проверьте у себя.

ничего плохого к каспяре не имею, но у себя его снёс, т.к. памяти много жрёт........

murzik
ага тоже самое после какого то обновления наверное...
кстати для этого есть отдельная ветка -
http://forum.ru-board.com/topic.cgi?forum=5&bm=1&topic=1144&start=180

blagoy
ну тута выбирать нужно..безопасность или много памяти. память копейки щас стоит кстати. А вота винт восстановить убитый вирусом 80-100$...так чтодумай чов тебе дороже.

Serg0FFan

Цитата:

blagoy
ну тута выбирать нужно..безопасность или много памяти. память копейки щас стоит кстати. А вота винт восстановить убитый вирусом 80-100$...так чтодумай чов тебе дороже.

я же не говорил что я без антивира сижу, хотя таких людей я знаю. Говорят, легче вирус самому найти чем с антивиром возица

как в назначеных задания настроить автообновление каспера 4.5? какие параметры передать в комм строке что бы он не ждал моих действий?

TCPIP
1.

Добавлено:
TCPIP
1. На какой версии Windows, IE воспроизводится эта ошибка?
skazi OS ver to4no lang.. a takze kakoy IE (ver) + hotfixes

2.
dumpi kava zalivay suda

ftp://data.kaspersky.ru
login: kav2006dump
password: zpJRMUmvpJUdKnYq

Здравствуйте.
Я использую Kaspersky Antivirus Pro 5.0.20 с установленным параметром
обнаружения потенциально опасных программ (обнаруживать опасные, рекламные,
порнографические и др программы; обнаруживать хакерские утилиты) в
связи с чем у меня возник следующий вопрос:
После того как в файле обнаружены первые признаки вируса, Kaspersky Antivirus
продолжает проверять файл на вирусы дальше или блокирует его сразу же?
Я установил параметр "разрешать потенциально опасные программы"
(заданые в списке исключений) в постоянной защите и проверки по требованию.
При запуске mirc v.6.16, занесенном в этот список, в отчете записывается следующее:
C:\Program Files\mIRC\mirc.exe Является потенциально опасной программой not-a-virus:RiskWare.mIRC.6.16
C:\Program Files\mIRC\mirc.exe Не вылечен. Причина: объект исключен по маске.
Kaspersky сразу после обнаружения вируса not-a-virus пытается
блокировать файл, но после проверки его в списке исключений разрешает на выполнение.
Если после этого не производится дальнейшая проверка файла, и программа
действительно заражена настоящим вирусом или трояном это означает, что
Kaspersky его не определит! Конечно возможно он делает сначала
проверку на вирусы, а затем на riskware, но алгоритм проверки не известен,
и вполне возможно что проверка происходит в обратном порядке или в зависимости
от ситуации. Тогда это означает, что сейчас использование расширенных баз
подвергает систему дополнительной опасности заражения.
Может быть я в чём-то ошибаюсь?
Если нет тогда может кто-нибудь проверить правильность моего предположения
(под виртуальной машиной заразить программу из списка потенциально опасных
чем-нибудь и проверить реацию антивируса (у меня к сожаление нет какого-либо
подходящего вируса или трояна)).
Расширенные базы отключать, если это предположение не опровергнется, нет желания, так
как блогадаря им обнаруживаются не только не представляющие никакой угрозы,
повседневно используемые программы , но иногда даже и что-либо более нежелательное
(некоторые программы могут быть установленны в "скрытом режиме" или просто
копированием без появления дополнительных сообщений, записях в группу программ
и других обычных событий, я по невнимательности могу и незаметить их сразу,
а Kaspersky часто запускается на полную проверку компьютера и может обнаружить
их быстрее меня). Вобщем создаётся какая-то, может и не очень весомая, дополнительная
степень защиты.
P.S. Писать на официальный форум, в поддержку или эху AVP.SUPPORT в надежде узнать
хотя бы примерный алгоритм проверки желания нет, после прочтения этого, некоторых
других форумов и вышеупомянутой эхи, да и сами производители не будут заинтересованны
в разглашении дополнительных дыр в их продуктах, так что
жду ваших ответов.
Заранее спасибо.

Люди! Помогите! Пропал значок из трея,хотя в автозагрузке стоит. Не могу ни проверить ни один файл, ни обновиться! Из програмной папки не запускается1 При попытке проверить через контекстное меню говорит,что программа не запущена! Подтверждаю запуск, из контекста инфа о Каспере пропадает. Версия 5.0.227 Personal. Переустановка ничего не дает. Что за фигня? Кто сталкивался?

garikan2002
полностью переустанови, есть у Каспера спец. прога для этого - в шапке ссылка...

MrKeyholder

Цитата:

Переустановка ничего не дает.