Software-Firewall noch nötig ?

[Boogeyman]

Was diese Schlangenöl-Theorie-Verfechter allerdings vergessen (oder schlicht nicht wissen), ist die Tatsache, dass einige DFW´s HIPS-Funktionen bereitstellen, die einem erfahrenen Anwender praktisch die Kontrolle über das System gibt.

Diese Argumentation ist doch etwas abenteuerlich, nur weil es als Beigabe eine Verhaltenskontrolle dazu gibt. Wenn das die einzigen "Pro" Argumente für eine "Firewall" sind, dann ist der Nutzen dieser Software dadurch doch etwas am Thema vorbei.
Wer eine Verhaltenskontrolle möchte, der nutzt einen Antiviren Scanner mit guter Verhaltenskontrolle, oder nutzt halt Threatfire. Da habe ich dann genau das, was ich möchte, nämlich eine Verhaltenskontrolle und nicht noch unnötiges Gedöns dazu.
Um es mal einfach auszudrücken, wenn ich einen Motorroller möchte, schließe ich auch keine 24 Monate Handyvertrag für die Familie ab, weil es da einen günstigen Motorroller dazu gibt.

 

[Maharbal]

Da liegt aber ein großes Verständnisproblem vor, Boogeyman. Ein HIPS ist keine Verhaltenskontrolle/Behaviour Blocker (auch wenn viele Zeitschriften diesen Irrglauben verbreiten).
Beide arbeiten mit einen völlig unterschiedlichen technischen Ansatz. Eine Verhaltenskontrolle arbeitet ohne erweitertes Regelwerk und meldet sich ausschließlich, wenn (nach Meinung des Programms) etwas Verdächtiges passiert. Gegebenenfalls erfolgt die Rückfrage beim Nutzer was zu tun ist.
Ein HIPS blockiert erst einmal grundsätzlich alles. Existiert für ein Programm noch keine Regel, darf es praktisch gar nichts. Wer mit einem HIPS arbeiten möchte, muss also nach und nach Regeln für die verwendeten Programme anlegen.

 

[Boogeyman]

Mir wird der gravierende Unterschied immer noch nicht klar.

Eine Verhaltenskontrolle arbeitet ohne erweitertes Regelwerk und meldet sich ausschließlich, wenn (nach Meinung des Programms) etwas Verdächtiges passiert. Gegebenenfalls erfolgt die Rückfrage beim Nutzer was zu tun ist.

Das ist doch Einstellungssache denke ich. Bei z.B. Threatfire kann man auch erst mal alles verbieten, soweit ich mich erinnern kann. Bei manchen Antiviren Scannern kann man ev. nicht so an den Details schrauben, weil man die Nutzer nicht mit ständigen Nachfragen belästigen möchte.

wodurch wiederum die Anzahl der Anfragen des Produkts Kaspersky Internet Security 2009 an den Anwender wesentlich verringert wird, da vertrauenswürdige Programme uneingeschränkt aktiv sein können und nicht vertrauenswürdige Programme dagegen in ihren Rechten komplett eingeschränkt werden.

Auch spricht Kaspersky selber von "vertrauenswürdigen Programmen", was wohl bedeutet, es existiert in der Standard Einstellung eine Whitelist.

http://support.kaspersky.com/de/kis2009/sysfirewall?print=true&qid=207619256

 

[Maharbal]

Das ist doch Einstellungssache denke ich. Bei z.B. Threatfire kann man auch erst mal alles verbieten, soweit ich mich erinnern kann.

Nein, kann man nicht. Selbst auf Stufe 5 gestellt, lässt es noch jede Menge durchgehen. Ist eben (nur) ein Behaviour Blocker. Für die meisten aber sicher die bessere Alternative.

Bei manchen Antiviren Scannern kann man ev. nicht so an den Details schrauben, weil man die Nutzer nicht mit ständigen Nachfragen belästigen möchte.

Auch spricht Kaspersky selber von "vertrauenswürdigen Programmen", was wohl bedeutet, es existiert in der Standard Einstellung eine Whitelist.

Völlig richtig. Kasperksy hat in seinem HIPS-Regelwerk jede Menge Standardregeln eingepflegt, weil es sonst für den normalen Benutzer nicht mehr bedienbar wäre. Daher schrieb ich ja auch, dass Kaspersky versucht hat, ein HIPS massentauglich zu machen.
Bei Comodo existieren diese Regeln jedoch noch nicht und müssen (im besten Fall) vom erfahrenen Anwender erst erstellt werden.

 

[Boogeyman]

Gut, mag sein das es ein anderes Funktionsprinzip ist. Nur stellt sich mir die Frage, warum man dieses mit einer Software Firewall verknüpfen muss. Diverse andere Hersteller lösen das nämlich anders, ohne Software Firewall.

 

[Maharbal]

Technisch gesehen muss man dass gar nicht. Es gibt ja auch HIPS-only Systeme (siehe MalwareDefender, ESET und auch in der reinen Antivirus-Version von Comodo besteht die Möglichkeit deren Defense+ zu nutzen).
Kaspersky hat sein HIPS exklusiv mit der eigenen Firewall verknüpft, d.h. die Regeln für die Firewall sind Bestandteil der HIPS-Regelsätze. Deshalb schnitt ja auch im Test der c´t KIS besser ab als KAV (Bereich "Verhaltenserkennung").
Das HIPS von Kaspersky funktioniert nur mit deren Security Suite. Deshalb ist Kaspersky der einzige Hersteller, bei dem ich nicht das reine AV sondern die Suite empfehlen würde.
Warum das Kaspersky so macht? Nun sicherheitstechnische Notwendigkeit ist es nicht...

 

[Boogeyman]

Eben und deswegen finde ich das etwas unglücklich, das mit einer Software Firewall zu verknüpfen. Das Kaspersky da ein Sonderfall ist, hatte ich auch schon bemerkt. Die wollen halt mehr Kohle sehen und diese Funktion als Mehrwert verkaufen.
Zugeben wird das bei Kaspersky wahrscheinlich keiner, da wird wahrscheinlich als Antwort kommen, es hätte technische Gründe.