offline
- bobby
- Administrator
- Pridružio: 04 Sep 2003
- Poruke: 24135
- Gde živiš: Wien
|
Neko ce kada naidje na ovaj izraz da se zapita kakve veze ima igranje u pesku sa zastitom, pa sam odlucio da podelim moje znanje sa vama.
Sandbox literalno znaci ogradjeno polje puno peska (igraliste za klince i klinceze). Kao pojam u zastiti oznacava virtuelno okruzenje u kojem program sme da radi sta god pozeli, a da to ne utice stvarno na sistem.
Za razliku od virtuelnih masina tipa VMWare i VirtualPC, sandbox-evi ne simuliraju nikakac hardver, vec program u sandbox-u vidi celokupan sistem onakav kakav je u stvarnosti. Jedina razlika u odnosu na realno okruzenje je da sve sto taj program pokusa da upise na medije ustvari bude upisano u memoriji, i odatle ce biti obrisano nakon zavrsetka rada programa.
Ovo se koristi u vise svrha:
- u razvoju aplikacija, gde zelite da ispitate ponasanje aplikacije bez da vam ista u slucaju neispravnosti unakazi sistem
- kao zastita od malicioznih programa
Kako tacno funkcionise jedan sandbox?
+----------+ +----------+
| program | >> | sandbox | << hardware
+----------+ << +----------+
- sve sto program zatrazi od sistema, on to kroz sandbox i dobije od sistema
- sve sto program zeli da upise ili promeni na sistemu, to se zapravo upise u memoriju koju regulise sandbox
- kada program potrazi podatak koji je on snimio na sistem, taj podatak mu bude vracen iz sandbox-a, dok program ima 'iluziju' da mu se podatak vraca sa mesta odakle bi bio da nije sandboxa
Ovo je bilo samo uprosceno objasnjenje sandboxa. Oni koji se bave programiranjem otprilike vec stvaraju sliku kako sandbox moze da se realizuje, naprave se hooks na sve one funkcije OS API-ja koje mogu da naprave promene na sistemu, kao i na one koje citaju podatke sa sistema .
Neko ce reci 'Uh, koliko samo hook-ova', dok ce neko reci 'Pa dobro, jedanput se pravi sandbox, nije ovo toliko tesko'.
Da moze biti tesko, dacu vam samo jednu ideju: zamislite da ste namerno pustili virus u sandboxu da bi ste ispitali njegovo ponasanje. Sve API funkcije za upis na HDD su emulirane kroz sandbox, tako da tu nema opsanosti. Ja cu samo da postavim jedno pitanje: 'Sta je sa drugim programima koji su trenutno ucitani u RAM, a da nisu sandbox-ovani?'
Sta je sa direktnim pristupom hardveru? Naravno, dobar sandbox mora o svemu tome da vodi brigu.
Jedan od poznatijih sandbox-ova je program DeepFreeze, koji u sandboxu drzi celu Windows sesiju, i pri svakom restartu prazni sandbox.
Drugi poznati sandbox je AV program Norman Virus Controll. Razlika izmedju heuristike i sandbox-a je u tome sto heuristika proucava program citajuci njegove instrukcije i pokusavajuci da predvidi do cega te instrukcije mogu da dovedu. Normanov sandbox ima drugaciji pristup - startuj virus u sandbox-u i vidi da li ce da proba da se razmnozava.
Sjajna ideja, zar ne?
Pa i nije. Neki virusi se mnoze samo odredjenog datuma, ili samo pod odredjenim okolnostima, tako da ni sandbox sam po sebi nije dovoljan za uspesnu detekciju virusa.
Naravno da se Norman ne oslanja samo na sandbox, ali to nije tema ovog clanka.
Gore-spomenuti DeepFreeza je idealan sandbox za igraonice i internet klubove, ali nemate nikakvu mogucnost vadjenja fajlova iz sandbox-a ukoliko su vam potrebni. Recimo, surfujete koriscenjem browsera u sandboxu i zelite da snimite sliku na koju ste naisli, sa DeepFreeze vam to nije omoguceno.
Juce sam se bas zainatio, i resio da potrazim neki sandbox koji mogu da kontrolisem, i da ga koristim onako kako ja hocu, i kada ja hocu.
Naisao sam na dva zanimljiva programa:
Sandboxie - freeware - http://www.sandboxie.com/
ShadowUser - komercijalan - http://www.shadowstor.com/products/ShadowUser/
Oba vam omogucavaju da, kada zavrsite sa koriscenjem programa u sandboxu, sve one fajlove koji su snimljeni u sandbox mozete i da stvarno snimite van sandboxa.
Sandboxie koristi per-file sandboxing, dok neki drugi prave virtuelnu kopiju celog sistema. Razlika je u tome sto kod drugih mozete simulirati i instalaciju drajvera, ali takvi sistemi traze restart da bi usli u sandbox mode. Sandboxie pravi virtuelne kopije samo onih fajlova koje program iz sandboxa zatrazi, i samo kada ih zatrazi. Iz ovog razloga Sandboxie ne moze da emulira stvari kao instalaciju drajvera, posto OS nije u sandboxu, pa ni ne moze da prepozna da je drajver instaliran.
Oba pristupa sandbox-ovanju imaju svoje prednosti i mane.
Vise informacija o Sandboxie-u na http://www.sandboxie.com/faq.php
Drugi spomenuti program, ShadowUser, pravi virtuelnu kopiju celog sistema, i potreban je restart za prelazak u ShadowMode (sandbox).
Ovakav sandbox je sigurniji od prethodnog, ali i daleko glomazniji i neudobniji za rad zbog restarta koji su potrebni za prelazak iz jednog u drugi mo rada.
Da izvedem i kratak zakljucak:
Svi oni koji cesto budu zrtve raznih napasti tokom surfovanja, probajte Sandboxie. Startujte program kroz Sandboxie, i surfujte bez straha od zaraza. Sve fajlove koje zelite da skinete tokom surfovanja skidajte na Desktop ili u MyDocuments (sandboxovani), jer ce vam Snadboxie odatle lakse omoguciti da ih prebacite na realan sistem.
Da samo napomenem, da sandbox-ovanje ne zamenjuje AV programe, posto sandbox nezna kakav ste vi to program skinuli sa neta. Sandbox ce vas zastititi samo od adwarea i spywarea, da se ne instaliraju sami dok surfujete.
Dopuna: 03 Jan 2006 11:56
Ovu poruku sada pisem iz FF-a koji je startovan u sandboxu (Sandboxie).
Odavde idem pravacem jednog sajta sa koga cu pokusati da se zarazim.
Ukoliko moj AV reaguje, znaci da je malware stigao na disk, ukoliko ne reaguje, onda je sandbox uspesan.
====================================
Probao sam, fajl malwarea nije dospeo na HD, ni moj AV nije nista prijavio.
Jeste da je malo potrajalo dok sam startovao FF, i malo je potrajalo dok je zapoceo prenos virusa na virtuelni HD, ali bar znamo da koncept funkcionise.
Evo idealnog poklona za sve vase prijatelje koji cesto zaglave surfujuci, ili imaju klince koji cesto nesto cacnu na kompu, pa isti ostane invalid 
|
