Patriot NG

[ichito]

Jakoś w lutym wyszła kolejna wersja programu pod nazwą Patriot NG , który jest programem typu HIDS (Host Based Intrusion Detection System) rozwijanym przez hiszpańską firmę Security Projects . Program jest mało znany...szczerze powiedziawszy pierwszy raz o nim słyszę...niemniej dzięki swoim możliwościom wskazywanym przez producenta zaintrygował mnie dość mocno
Oto monitorowane przez Patriota obszary systemu:
* zmiany w kluczach rejestru: szczególnie we wrażliwych kluczach np.autorun, internet explorer settings
* nowe pliki w autostarcie
* nowy użytkownik w systemie
* instalowanie nowych usług
* zmiany w plikach host
* nowe zadania w harmonogramie
* zmiany w konfiguracji Internet Explorera: (nowe BHO, zmiana strony głównej, nowe toolbary)
* zmainy w tablicy ARP
* instalacja nowych sterowników
* nowe połączenia Netbios
* ochrona TCP/IP (nowe otwierane porty, nowe połączenia procesów, wykrywanie skanowania portów)
* pliki w krytycznych/wrażliwych lokalizacjach (pliki wykonywalne, dll)
* ukryte okna (cmd.exe, okna IE korzystak=jące z OLE)
* nowe hosty w sieci
* wykrywanie nienormalnego ruchu sieciowego

[Aby zobaczyć linki, zarejestruj się tutaj]

Do działania programu wskazane jest (właściwie wymagane do pełnej funkcjonalności) zainstalowanie narzędzia sieciowego WinPcap .
Obsługiwane systemy Win XP, Vista, Win 7.
Licencja - darmowy
Strona programu, linki do przykładowych zrzutów, plików pomocy, FAQ

[Aby zobaczyć linki, zarejestruj się tutaj]

Kilka własnych spostrzeżeń...
- instalowanie WinPcap poszło bez problemów i bez konieczności restartu, podobnie jak i instalacja samego programu...tym samym program jest gotowy do pracy od razu po zainstalowaniu - wygląda, że dobrze...
- interfejsem przypomina mi HIPS All Seeing-Eyedzięki prostocie wyboru opcji (wszystko na jednym ekranie), ale w przeciwieństwie do niego i innych tego typu programów nie wykonuje żadnego skanowania systemu
- w tym momencie przypomina mi nieco bloker behawioralny np. System Safety Monitor , który podobnie bez skanowania i "goły" się uruchamia, i dopiero potem włączamy w nim ochronę wybranych obszarów
- program tego typu powinien być raczej lekki dla systemu, ale nie jest - w systemie stale pracują 4 procesy, których zużycie RAM oscyluje w granicach 45-50 MB...to dużo, żeby nie powiedzieć "zbyt dużo"

[Aby zobaczyć linki, zarejestruj się tutaj]

- z menu w trayu możemy aktualizować reguły NIDS...po czymś takim proces "stoper-nids.exe" przestaje być procesem głównym i staje się podrzędnym wobec "petriot.exe"...to było dla mnie dość dziwne
- zaraz po uruchomieniu Patriot bardzo ładnie wykrywa sam siebie

[Aby zobaczyć linki, zarejestruj się tutaj]

- próby zmiany strony głównej IE

[Aby zobaczyć linki, zarejestruj się tutaj]

- otwieranie przeglądarek (IE i Firefox) oraz otwieranie nowego portu

[Aby zobaczyć linki, zarejestruj się tutaj]

I tu się kończy lista zaobserwowanych "sukcesów"...teraz "porażki":
- program nie wykrywa uruchamiania normalnie pracujących i dość powszechnych aplikacji...uruchamiałem FreeCommandera i robiłem operacje na plikach...CCleanera, którym czyściłem ze śmieci zarówno system, jak i rejestr ...uruchomiłem Regseeker - o tym poniżej...i wiele innych aplikacji typu odtwarzacze multimediów czy przeglądarki plików... Patriot nie poinformował o niczym
- jak pisałemodpaliłem Regseeker - zrobiłem więc eksperyment i w polu szukania po nazwie wpisałem "patriot"...wyszło około 20 wpisów, które zwyczajnie usunąłem...a Patriot ani jęknął
- po otwarciu Pariota wszystkie pola do zaznaczania ochron były pustea tym samym wszystkie ochrony zostały wyłączone
- przypuszczam, że właśnie pozbawieni zostaliśmy ochrony i dalej...
- wnioskuję więc tak - czyżby program nie miał opcji ochrony samego siebie(?!)
To tyle uwag po ok. półgodzinnym używaniu programu...proszę o ewentualne potwierdzenie tych uwag, sprostowanie, własne spostrzeżenia i wszystko, co Wam do głowy wpadnie w trakcie używania Patriota