Patriot NG

[ichito]

Jakoś w lutym wyszła kolejna wersja programu pod nazwą Patriot NG , który jest programem typu HIDS (Host Based Intrusion Detection System) rozwijanym przez hiszpańską firmę Security Projects . Program jest mało znany...szczerze powiedziawszy pierwszy raz o nim słyszę...niemniej dzięki swoim możliwościom wskazywanym przez producenta zaintrygował mnie dość mocno
Oto monitorowane przez Patriota obszary systemu:
* zmiany w kluczach rejestru: szczególnie we wrażliwych kluczach np.autorun, internet explorer settings
* nowe pliki w autostarcie
* nowy użytkownik w systemie
* instalowanie nowych usług
* zmiany w plikach host
* nowe zadania w harmonogramie
* zmiany w konfiguracji Internet Explorera: (nowe BHO, zmiana strony głównej, nowe toolbary)
* zmainy w tablicy ARP
* instalacja nowych sterowników
* nowe połączenia Netbios
* ochrona TCP/IP (nowe otwierane porty, nowe połączenia procesów, wykrywanie skanowania portów)
* pliki w krytycznych/wrażliwych lokalizacjach (pliki wykonywalne, dll)
* ukryte okna (cmd.exe, okna IE korzystak=jące z OLE)
* nowe hosty w sieci
* wykrywanie nienormalnego ruchu sieciowego

[Aby zobaczyć linki, zarejestruj się tutaj]

Do działania programu wskazane jest (właściwie wymagane do pełnej funkcjonalności) zainstalowanie narzędzia sieciowego WinPcap .
Obsługiwane systemy Win XP, Vista, Win 7.
Licencja - darmowy
Strona programu, linki do przykładowych zrzutów, plików pomocy, FAQ

[Aby zobaczyć linki, zarejestruj się tutaj]

Kilka własnych spostrzeżeń...
- instalowanie WinPcap poszło bez problemów i bez konieczności restartu, podobnie jak i instalacja samego programu...tym samym program jest gotowy do pracy od razu po zainstalowaniu - wygląda, że dobrze...
- interfejsem przypomina mi HIPS All Seeing-Eyedzięki prostocie wyboru opcji (wszystko na jednym ekranie), ale w przeciwieństwie do niego i innych tego typu programów nie wykonuje żadnego skanowania systemu
- w tym momencie przypomina mi nieco bloker behawioralny np. System Safety Monitor , który podobnie bez skanowania i "goły" się uruchamia, i dopiero potem włączamy w nim ochronę wybranych obszarów
- program tego typu powinien być raczej lekki dla systemu, ale nie jest - w systemie stale pracują 4 procesy, których zużycie RAM oscyluje w granicach 45-50 MB...to dużo, żeby nie powiedzieć "zbyt dużo"

[Aby zobaczyć linki, zarejestruj się tutaj]

- z menu w trayu możemy aktualizować reguły NIDS...po czymś takim proces "stoper-nids.exe" przestaje być procesem głównym i staje się podrzędnym wobec "petriot.exe"...to było dla mnie dość dziwne
- zaraz po uruchomieniu Patriot bardzo ładnie wykrywa sam siebie

[Aby zobaczyć linki, zarejestruj się tutaj]

- próby zmiany strony głównej IE

[Aby zobaczyć linki, zarejestruj się tutaj]

- otwieranie przeglądarek (IE i Firefox) oraz otwieranie nowego portu

[Aby zobaczyć linki, zarejestruj się tutaj]

I tu się kończy lista zaobserwowanych "sukcesów"...teraz "porażki":
- program nie wykrywa uruchamiania normalnie pracujących i dość powszechnych aplikacji...uruchamiałem FreeCommandera i robiłem operacje na plikach...CCleanera, którym czyściłem ze śmieci zarówno system, jak i rejestr ...uruchomiłem Regseeker - o tym poniżej...i wiele innych aplikacji typu odtwarzacze multimediów czy przeglądarki plików... Patriot nie poinformował o niczym
- jak pisałemodpaliłem Regseeker - zrobiłem więc eksperyment i w polu szukania po nazwie wpisałem "patriot"...wyszło około 20 wpisów, które zwyczajnie usunąłem...a Patriot ani jęknął
- po otwarciu Pariota wszystkie pola do zaznaczania ochron były pustea tym samym wszystkie ochrony zostały wyłączone
- przypuszczam, że właśnie pozbawieni zostaliśmy ochrony i dalej...
- wnioskuję więc tak - czyżby program nie miał opcji ochrony samego siebie(?!)
To tyle uwag po ok. półgodzinnym używaniu programu...proszę o ewentualne potwierdzenie tych uwag, sprostowanie, własne spostrzeżenia i wszystko, co Wam do głowy wpadnie w trakcie używania Patriota

[polak900]

ciekawy program, pierwszy raz słyszę o tym projekcie
zużycie ramu za duże jak na taki soft

[Meir]

Widzę @ichito,że śledzisz pilnie Wilderssówi zbierasz cukierki od Lukasa

[Konto usunięte]

i zbierasz cukierki od Lukasa

Daruj sobie, bo takie teksty są naprawdę nudne...
Jak ktoś pokazuje, że stać go na więcej niż posty w pogawędkach, jak kopie po innych forach i informuje nas tutaj to moim zdaniem należy mu się za to pochwała. No więc jej udzielam.
Gdybyś sam był bardziej pomocny i mniej wyrywny to pewnie też mógłbyś innym przyznawać punkty (albo jak wolisz cukierki), no ale robisz co robisz i masz co masz.

[ichito]

Widzę @ichito,że śledzisz pilnie Wilderssówi zbierasz cukierki od Lukasa

Meir...wiesz, że Cię lubię, ale teraz nieco "przegrzałeś koniunkturę". Nie mam zamiaru się tłumaczyć, dlaczego bywam na takich czy innych portalach lub forach...każdy bywa gdzie chce i robi to, co go interesuje lub bawi...odnośnie "cukierków" - za stary już jestem, żeby łakomić się na "forumowe słodycze".