Trend Micro: Microsoft-advies lokt malware

U4iA op Dinsdag 22 December 2009 11:36

Misschien had meneer David Sancho van Trend Micro dan eens bij een klant van ons moeten komen waarbij Trend Micro de complete Exchange omgeving om zeep hielp door oa. Transaction Logs in quarantine te plaatsen. De beheerder ter plaatse van deze firma had de benodigde exclusions niet gemaakt in de virusscanner. Daarnaast was er in het verleden nog wel eens een probleem met het proces store.exe. Het zou ook niet de eerste keer zijn dat een virusscanner een complete exchange store door een email met besmette attm verwijdert. Deze exclusions waar Microsoft in bepaalde KB's over praat, staan er vaak al jaren (zeker voor oudere OS-en) en zin tot op heden nog niet misbruikt. Het is hier een beetje teveel "what if".

Volgens mij was het zelfs zo dat TrendMicro adviseerde om mappen waar hun product staat geïnstalleerd om die niet te scannen (weet niet of het nog zo is, vroeger was het een vinkje). Ook hebben ze in het verleden wel eens problemen gehad met fals positives. Daarnaast praat met vaak over het RealTime scannen ipv een volledige scan. Toch zou ik niemand aanraden om SQL databases, Exchange Stores, Log Files, Sysvol, scripts of andere essentiele bestanden en mappen voor je netwerk realtime te gaan scannen. Ik heb nog NOOIT gezien dat een virus of malware zich in bepaalde geexclude mappen nestelt.

Was TrendMicro niet die club die niet meer wil meewerken aan tests van diverse onafhankelijke organisaties als AV-Comparatives en AV-Test? Ze zouden de test niet goed uitvoeren, waardoor ze zelfs slechter zouden zijn dan het gratis Microsoft Security Essentials (nu als 3e getest). Ik vraag me af of TrendMicro dan nu in hun SLA/EULA gaat opnemen dat zij de schade vergoeden als een false positive dan toch Exchange om zeep helpt, Log files wist, Databases verminkt of Updates ziet als trojans, maar dat zal wel niet...

@Redactie: wat heeft een Apple reclame hier mee te maken?

5 / 7

anonymous_118315 op Dinsdag 22 December 2009 12:08

Ik heb nog NOOIT gezien dat een virus of malware zich in bepaalde geexclude mappen nestelt.Ik ook niet, maar als Microsoft de wereld adviseert om een bepaalde map niet te scannen gaat dat natuurlijk wel veranderen. Dat is de perfecte plek voor je malware, want iedereen heeft de map uitgesloten.

En dat je slechte ervaringen hebt met Trend Micro betekent natuurlijk niet automatisch dat ze geen goede argumenten hebben.

Volledig gekwalificeerde bestanden uitsluiten doe ik ook wel, maar een map zou ik niet snel wagen. Tenminste niet op voorspraak van een bedrijf met zoveel invloed.

@Redactie: wat heeft een Apple reclame hier mee te maken?Wjo cares! Het is maar een plaatje.

2 / 10

U4iA op Dinsdag 22 December 2009 12:47

En dat je slechte ervaringen hebt met Trend Micro betekent natuurlijk niet automatisch dat ze geen goede argumenten hebben.
Ik heb slechte ervaringen met alle virusscanners, dus het gaat mij niet om TrendMicro, maar zij zeggen nu wel dat het excluden van EDB en LOG files niet wenselijk is. Laat dat nu net twee belangrijke onderdelen zijn van Exchange. Ik ben dus wel benieuwd naar de goede argumenten, zoals malware dat zich onder die extenties netstelt in exchangemappen. Voorlopig zie ik alleen maar bangmakerij met what ifs. Daarnaast zou het niet de eerste keer zijn dat een virusscanner alarm slaat (false positives) over files in de Sysvol. Ik ben dan wel er benieuwd hoe jij dit oplost zonder exclusions.

Wjo cares! Het is maar een plaatje
Ik dacht dat er misschien iets was wat ik niet snapte, maar kennelijk is het dom om te vragen. Excuses!

4 / 6

anonymous_118315 op Dinsdag 22 December 2009 13:21

Sorry, maar een .log extensie is maar een woordje. Het kan gewoon een dll zijn. Door die extensies uit te sluiten in een scan, kan je een systeem vol plempen met de wereld aan malware en heb je alleen een kleine loader nodig die de .log dll's gaat starten.

Ik heb gelukkig bijna nooit false positives dus ik sluit in die gevallen puur op de gekwalificeerde naam uit.

Ik dacht dat er misschien iets was wat ik niet snapte, maar kennelijk is het dom om te vragen. Excuses!Ik dacht dat het een vraag was. Sorry dat ik reageer.

-2 / 6

U4iA op Dinsdag 22 December 2009 17:04

Succes dan met Exchange 2007, gezien daar erg veel random gegenereerd wordt. Daarnaast sluit je niet een complete extensie voor alles uit maar wel met wildcards in voor gedefinieerde map.

Ik dacht dat het een vraag was. Sorry dat ik reageer.
Was ook een vraag, maar dan was je reactie een beetje raar met wie geeft, want ik geef anders had ik de vraag niet gesteld. ;)

4 / 4

anonymous_118315 op Dinsdag 22 December 2009 18:47

Die draai ik niet, dus dat scheelt een slok op een borrel. Puur op een server vind ik het uitsluiten ook minder kwalijk omdat je daar minder last hebt van de zwakste schakel. Uit het artikel begrijp ik alleen dat ook wordt aangeraden om mappen uit te sluiten op werkstations. Juist dat vind ik een slecht idee.

-1 / 3

U4iA op Dinsdag 22 December 2009 22:52

Dat lees ik nergens in het KB artikel van Microsoft.

4 / 4

anonymous_118315 op Dinsdag 22 December 2009 23:11

Edit: Ik dacht eerst dat je het uitsluiten op werkstations bedoelde, maar het gaat om het uitsluiten van mappen op werkstations. My bad!

-2 / 4

anonymous_118315 op Donderdag 24 December 2009 15:12

-3 / 3Damn, toegeven dat je het mis hebt wordt duidelijk niet gewaardeerd. Bedankt fans! :D

0 / 0

linus4ever op Dinsdag 22 December 2009 14:38

Deze exclusions waar Microsoft in bepaalde KB's over praat, staan er vaak al jaren (zeker voor oudere OS-en) en zin tot op heden nog niet misbruikt.

Ik vrij altijd veilig, maar voor oudere dames uit oudere kroegen maak ik een uitzondering. Sorry, maar dit is weer eens een van die klassieke onzinnige discussies over Microsoft en veiligheid. Het gaat gewoon helemaal nergens over, virussen kunnen bij Microsoft overal zitten, dus je zult wel moeten. De discussie over de performance trade off staat los van de de discussie over veiligheid. Ik ken die lugubere discussies uit de Microsoft omgevingen waar ik deels verantwoordelijk voor was, het is de voorbode van de ware catastrofes.
Dat komt doordat het besturingssysteem die bestanden heeft vergrendeld (file locking), waardoor Windows en antivirus er om 'vechten'.
Dit is een bewijs van de slechte architectuur. Het Microsoft OS is en blijft een onveilig OS, omdat de security flaws in het design van heet OS zijn ingebakken. Daar ligt de wortel van het kwaad en nergens anders.

Als het om ingebouwde veiligheid van het OS gaat, dan heeft Microsoft een achterstand van vijftien tot twintig jaar op Unix / Linux.

-9 / 13

U4iA op Dinsdag 22 December 2009 17:29

Ik ken die lugubere discussies uit de Microsoft omgevingen waar ik deels verantwoordelijk voor was, het is de voorbode van de ware catastrofes.
Ik geloof graag dat Microsoft omgevingen waar jij deels voor verantwoordelijk bent/was een voorbode zijn voor ware catastrofes. ;)

3 / 7

globetrotter op Dinsdag 22 December 2009 17:46

Ach, je gelooft toch niet dat die kwiebus Windows omgevingen beheerd heeft? Ja, bij zijn moeder zeker...

Verder @ Peter...
EDB en Log files horen samen bij Exchange.
Normaal gesproken hoor je de MDB folder niet te scannen, want dat vertraagt je Exchange server en kan zelfs leiden tot corruptie.

Trendmicro is een hele goede anti-virus (vind ik), maar ze voelen de hete adem in de nek van Microsoft Forefront en het nieuwe gratis product van Microsoft (MSSE). Daarom moet je hun advies met een korreltje zout nemen.

1 / 7

linus4ever op Dinsdag 22 December 2009 18:13

Normaal gesproken hoor je de MDB folder niet te scannen, want dat vertraagt je Exchange server en kan zelfs leiden tot corruptie.

Microsoft Exchange folders zijn nu juist de folders die je zou willen scannen!

Hoezo architectuur? Het slaat gewoon helemaal nergens op:
1. Of je bouwt een OS dat niet lijkt op een varend vergiet;
2. Of je zorgt ervoor dat de speciale beveiligingssoftware kan scannen.

Het is de kwiebus die het dan toch gebruikt. ;-))

-5 / 9

U4iA op Dinsdag 22 December 2009 22:42

Microsoft Exchange folders zijn nu juist de folders die je zou willen scannen!
De meeste bedrijven scannen die ook gewoon met uitzondering van bepaalde specifieke exclusions voor bepaalde bestanden. Toch zou ik me op een server minder zorgen maken. Ik heb het maar heel zelden mee gemaakt dat een virus een server om zeep hielp en al helemaal nooit een virus/malware dat zich nestelde in de exchange mappen. De hoofdrede is natuurlijk dat het een server is en geen werkstation waarop gesurft wordt. Bij SBS zou dat anders kunnen liggen, maar dan moet je gewoon specifieker zijn met je exclusions. Daarnaast zou TrendMicro toch ook gewoon standaard deze exclusions via een template beschikbaar kunnen maken? Zoals SED verder op al aan geeft spreken ze zichzelf wel tegen op dit gebied.

3 / 3

anonymous_118315 op Dinsdag 22 December 2009 18:50

Ik snap dat het allemaal wat genuanceerder ligt. Ik val hoofdzakelijk over het advies voor XP en Vista om mappen uit te sluiten. Op een werkstation moet je dat naar mijn mening niet doen.

-1 / 3

U4iA op Dinsdag 22 December 2009 22:35

Dat raadt Microsoft ook niet aan zover ik in het KB artikel waar TrendMicro aan refereert. Het gaat over zeer specifieke files op specifieke lokaties. Een beetje virusscanner kan overweg met wildcards en kan je dus heel makkelijk veilig maken zonder hele mappen of extenties te excluden (dat laatst raadt Microsoft dan ook ten zeerste af).

4 / 4

anonymous_118315 op Dinsdag 22 December 2009 23:04

Hmm, ik haat het wanneer je gelijk hebt. ;) Ik had niet goed genoeg onthouden welk deel over werkstations ging en welk deel over servers. Mijn excuses.

Op de werkstations blijft eigenlijk alleen de wildcard uitsluiting over van de 'Edb*.log' bestanden. Daar ben ik niet echt voor, maar dat begint wel een mager argument te worden.

Dus ik ga je toch gelijk geven. Trend Micro heeft het wel wat meer opgeblazen dan nodig is.

0 / 4

U4iA op Dinsdag 22 December 2009 23:46

Lief dagboek... ;)

4 / 4

anonymous_118315 op Woensdag 23 December 2009 10:47

Grin. Op jouw leeftijd nog? ;)

0 / 4

Anonymous Coward op Dinsdag 22 December 2009 20:12

Ach, je gelooft toch niet dat die kwiebus Windows omgevingen beheerd heeft

Ik weet zeker van wel, anders wordt je niet zo cynisch, want cynisme is een uitlaatklep.

-2 / 8

anonymous_118315 op Dinsdag 22 December 2009 23:05

EDB en Log files horen samen bij Exchange.Ik denk dat het kwartje is gevallen. Bedankt voor de educatieve avond. ;)

0 / 0

eb0108 op Dinsdag 22 December 2009 21:26

Zet je repeat-knopje eens uit!

2 / 4

anonymous_118315 op Dinsdag 22 December 2009 23:25

Gaat niet denk ik. L4E heeft nu eenmaal die emotionele kras op de plaat. Gelukkig is het altijd voorspelbaar, dus die reacties kan ik bijna altijd probleemloos negeren. :)

0 / 0

Primus op Dinsdag 22 December 2009 12:20

En dat klein beetje geloofwaardigheid dat Microsoft als beveiliger had opgebouwd is zojuist weer verdwenen...

-4 / 10

U4iA op Dinsdag 22 December 2009 12:51

Leg eens uit? Ze hebben al jaren KB's met exclusions op mappen, processen en bestanden. Niets nieuws onder de zon dus.

1 / 7

Primus op Dinsdag 22 December 2009 13:29

Als je virusscanners gaat adviseren om bepaalde mappen uit te sluiten van scannen en deze lijst vervolgens vrijgeeft, dan snap je er niets van.

Malwaremakers hebben ook internet...

-1 / 9

U4iA op Dinsdag 22 December 2009 17:07

Moet je realtime scanner die rommel dan niet afvangen? Daarnaast is het vrij lastig om in bepaalde mappen dingen we te schrijven, zeker bij servers om dat die mappen vaak niet op een zelfde lokatie staan of heten (ik neem aan dat niemand zijn Exchange installatie standaard laat).

5 / 5

globetrotter op Dinsdag 22 December 2009 17:58

ik neem aan dat niemand zijn Exchange installatie standaard laat.

Waarom niet? OK, niet op hetzelfde volume installeren als Windows.
Maar is verder niet zo spannend.

Het pad naar de Exchange files is trouwens te vinden in de registry, dus je zou een virus kunnen maken dat daar eerst naar kijkt.

1 / 1

anonymous_118315 op Dinsdag 22 December 2009 18:52

Inderdaad. De tijd dat een afwijkende installatie veiligheid bood op Windows is wel geweest. Ik kan me van heel lang geleden de adviezen herinneren om Windows op D te zetten en dan in de map WIN98. :)

-1 / 1

U4iA op Dinsdag 22 December 2009 22:26

Dan zou een virus (als hij de realtime scanner wil ontlopen) dus via net netwerk de registry van de exchange server moeten benaderen...met welke credentials?

Daarnaast staat in de KB van Microsoft NERGENS dat je complete mappen moet uitsluiten. Microsoft zegt dat je bepaalde extenties moet uitsluiten in bepaalde mappen. Daarnaast zegt het ook nog dat je NOOIT een complete extentie moet uitsluiten. Je sluit dus volgens Microsoft als volgt uit voor bijvoorbeeld Windows 7:

%windir%\SoftwareDistribution\Datastore\Datastore.edb
%windir%\SoftwareDistribution\Datastore\Logs\Edbres00001.jrs
%windir%\SoftwareDistribution\Datastore\Logs\Edbres00002.jrs
[...]
%windir%\security\database\Security.sdb
%allusersprofile%\NTUser.pol
%Systemroot%\system32\GroupPolicy\registry.pol

2 / 2

anonymous_118315 op Dinsdag 22 December 2009 23:20

Ik denk dat jullie het wel eens zijn hoor. Hij had het meer over redenen waarom je Exchange niet gewoon in de default mappen zou installeren.

Naar ik begrepen heb is de setup van een Exchange-server nog best een hele klus is, die een aardig boekwerk van instructies beslaat. Waarom dat nog extra compliceren door af te gaan wijken van de door Microsoft voorgestelde standaard?

(ik neem aan dat niemand zijn Exchange installatie standaard laat).De vraag is dus: Waarom zou niemand dat volgens jou doen?

0 / 2

U4iA op Dinsdag 22 December 2009 23:50

Waarom dat nog extra compliceren door af te gaan wijken van de door Microsoft voorgestelde standaard?
Zo snel eventjes: SAN, Cluster, scheiden storage groepen, transactionlogs op aparte disk voor performance, ontlasten Systeemschijf, eventuele ruimte, etc. Misschien is iedereen niet het juiste woord, maar moet het zoiets als gevorderde beheerder zijn. :)

2 / 2

anonymous_118315 op Woensdag 23 December 2009 09:26

begrijp ik daaruit dat Microsoft daar zelf helemaal geen rekening mee houdt? Die zet gewoon alles onder C:\Program Files? Dan kan ik het me voorstellen.

-1 / 1

globetrotter op Dinsdag 22 December 2009 17:49

Hier de kb:

http://support.microsoft.com/kb/245822

Niks nieuws, wordt al jaren geadviseerd.

2 / 2

ardje op Dinsdag 22 December 2009 12:46

Microsoft heeft wel er wel gelijk in dat antivirus software een systeem (of zelfs een compleet netwerk) zo goed als onbruikbaar kunnen maken. Helaas hebben ze zelf de noodzaak van die software gecreeerd.
Een paar kleine wijzigingen in wat wel en wat niet uitvoerbaar is, en het potentieel aantal ingangen voor een virus is een stuk kleiner.

0 / 4

U4iA op Dinsdag 22 December 2009 12:54

Mee eens, maar als Microsoft dan iets wil doen aan de veiligheid, dan worden ze door de rechter terug gefloten omdat de grote AV-fabrikanten een rechtzaak zijn gestart (en winnen). Het belang van deze grote corporations (Symantec/McAfee/etc) is belangrijker dan de veiligheid van het individu. It's all about the money...

2 / 8

anonymous_118315 op Dinsdag 22 December 2009 13:26

Wat een onzin!

Microsoft wilde niet iets doen aan veiligheid. Microsoft deponeerde als donderslag bij heldere hemel de stelling dat de kernel veilig was en dat niemand dat meer hoefde te controleren.

Nou ja, bijna niemand anders dan Microsoft zelf dan. Gezien het feit dat microsoft zich ook op de AV markt begaf protesteerde de concurrentie daar tegen.

-3 / 9

Primus op Dinsdag 22 December 2009 13:30

In 2005 misschien. Toverwoord vandaag de dag is prestaties en de meeste scanners gebruiken slimmere technieken dan het domweg uitsluiten van mappen, zoals het overslaan van reeds gescande en niet gewijzigde bestanden.

0 / 2

jmvdkolk op Dinsdag 22 December 2009 21:17

Het gaat hier juist om mappen met bestanden die continue veranderen.

0 / 0

Anonymous Coward op Dinsdag 22 December 2009 16:52

Dan gaan ze er bij Trend natuurlijk ook van uit dat niemand hun eigen documenten leest ;)

deze bijv. (google pfd reader)

5 / 5

anonymous_118315 op Dinsdag 22 December 2009 17:00

Voortschrijdend inzicht misschien?

-3 / 5

Kaiser Söze op Dinsdag 22 December 2009 17:24

Het is altijd beter om eerst even je eigen straatje te inspecteren voordat je de pers uitnodigt omdat je iets belangrijks te vertellen hebt...

4 / 4

anonymous_118315 op Dinsdag 22 December 2009 19:09

Dat is inderdaad waar. Beetje dom van Trend Micro om oud nieuws op te rakelen en dat van henzelf niet te censureren.

0 / 0

Anonymous Coward op Dinsdag 22 December 2009 20:15

Ik snap wel waarom sommige gasten beweren dat beheer 68% van het budget opsnoept.

-4 / 6

Anonymous Coward op Dinsdag 22 December 2009 23:10

nu, alleen al het reageren op alle domme anti-ms opmerkingen kost aardig wat tijd.
Die had je natuurlijk wel over omdat het onderhouden zo gemakkelijk gaat, maar dan nog ;)

1 / 7

anonymous_118315 op Dinsdag 22 December 2009 23:30

W: Well, there were parts of it I liked!
S: Oh, yeah?
W: Well it wasn't that bad.
S: Horrendous!
W: It was terrible!
S: That was the worst thing I've ever heard!
W: Boo!
S: Boooo!Je avatar is in elk geval nu leuker dan je reactie.

-2 / 6

Kaiser Söze op Woensdag 23 December 2009 12:18

Ik snap wel waarom sommige gasten beweren dat beheer 68% van het budget opsnoept.

Wat is daar vreemd aan dan? In de total cost of ownership van een IT-omgeving overheerst de beheercomponent, dat weet toch iedereen?

1 / 1

Anonymous Coward op Vrijdag 25 December 2009 00:40

Dat klopt, alleen in een MS omgeving is het wel erg veel vergeleken met een UNIX omgeving.
Alleen al het bijhouden van licenties (incl corrupte licentie databases) en antivirus gedoe (incl collateral damage). Oja vergeet ook niet de restarts na al die patches (mensen informeren, tenzij je genoeg geld heb voor failover systemen) en de reboots elke nacht van MS terminal severs omdat het geheugenmanagement zo fantastisch is.

1 / 1

eingring op Dinsdag 29 Juni 2010 05:54

sand will replica watches be delivered

0 / 0