[arnyreny]

Behaviorblocker

il Behaviorblocker come abbiamo detto precedentemente è un componente fondamentale del defence+,esso ha la priorità sull'hips e a volte perfino sull'antivirus,mi è capitato di settare il Behaviorblocker con livello blocca i file sconosciuti,ed ha bloccato un virus,prima che venisse analizzato dalle firme infatti invece di trovarmelo in quarantena l'ho trovato tra i file bloccati.Non solo ha la precedenza sull'hips ma a secondo del livello di sicurezza con cui è stato configurato si serve dell'hips per dare delle restrizioni automatizzate ai file che vengono virtualizzati.
Le regole e il livello di protezione del behaviorbloker dipende da come e' stato impostato l'auto-sandbox

e da come rispondiamo agli avvisi pop-up.

le regole del behviarblocker sono contenute nella sezione valutazione file,infatti prima che venga posto un avviso all'utente tramite pop-up,il behviarblocker fa vari controlli a secondo di come abbiamo impostato la scheda impostazioni valutazione file,di quali produttori sono inseriti nella scheda produttori attendibili.Tramite l'analisi in cloud i file vengono divisi in file sicuri e file non riconosciuti,i file sicuri hanno pieno accesso al pc,i file non riconosciuti che sono in attesa di classificazione vengono autosendiboxati,alla loro esecuzione apparirà un avviso che ci permetterà di scegliere cosa fare di un determinato file.

di solito il behavior blocker ci restituisce un avviso quando un applicazione non è riconosciuta da comodo oppure è senza firma digitale
la struttura dell'avviso è simile a quella degli altri avvisi,ho evidenziato le solite 6 righe:
la prima riga ci indica con il colore dello scudo la pericolosità di tale avviso,
infatti lo scudo in alto a sinistra in ogni avviso può essere di colore giallo,arancione o rosso,quello di colore giallo indica una bassa gravità,Nella maggior parte dei casi, è possibile approvare in sicurezza queste richiesta. Il 'Ricorda la mia risposta' opzione viene automaticamente preselezionato per le richieste di sicurezza.
se lo scudo è di colore arancione,indica una Gravità media , leggiamo attentamente le informazioni nella segnalazione prima di prendere una decisione. Questi avvisi potrebbero essere il risultato di un processo innocuo o attività da parte di un programma di fiducia o l'indicazione di un attacco da parte di malware.
lo scudo rosso indica una Gravità elevata :Questi avvisi indicano un comportamento molto sospetto simile all'attività di un cavallo di Troia, virus o altro malware.Oltre allo scudo colorato questa riga contiene un breve informazione sull'applicazione che ha causato l'avviso e l'azione che vuole intrapendere.
nella seconda riga possiamo osservare che il programma che ha causato l'avviso viene rappresentato tramite icona cliccabile,in modo che prima di decidere cosa fare possiamo raggiungere l'applicazione e leggere le sue proprietà.
clicchiamo sulla terza riga se non conosciamo il programma che ci ha restituito il messaggio,in questo modo sarà virtualizzato e limitato,tecnicamente isolato, secondo le restrizioni che abbiamo stabilito nella scheda behavior blocker.
clicchiamo sulla quarta riga se conosciamo il programma la sua provenienza e lo riteniamo attendibile,mettendo un spunta sulla sesta riga,fidati di questa applicazione,verra aggiunto alla lista dei programmi dei file fidati.
clicchiamo sulla quinta riga se riteniamo che il programma sia un malware o un software indesiderato,quindi sarà bloccato.

la scheda behavior blocker
il behavior blocker può essere disabilitato sia da tasto destro suill'icona nella tray,oppure nella scheda behavior blocker,inoltre in questa scheda è possibile stabilire il livello di sicurezza con cui verranno autosandboxate le applicazioni non riconosciute da comodo

i livelli di sicurezza del behavior blocker sono:
i livelli disponibili sono:
parzialmente limitato,il behavior blocker non applica la maggior parte delle restrizioni supportate dal sistema operativo,
limitatoil behavior blocker applica alcune restrizioni supportate dal sistema operativo,il programma viene avviato con i privilegi simili ad un account limitato,e non può eseguire più di 10 processi.
circoscritto il behavior blocker applica la maggior parte delle restrizioni di sicurezza supportate dal sistema operativo,il processo nella sandbox non può accedere a molte risorse del pc.
non sicuro il behavior blocker applica tutte le restrizioni supportate dal sistema operativo,il processo nella sandbox non può avviare altri processi.
bloccato i file sconosciuti non verranno eseguiti.




HARDENING
ai paranoici della sicurezzai è inutile dirlo consiglio di disattivare il behaviorblobker,in modo che l'hips abbia la precedenza e l'autorità che si merita sul nostro pc,per i meno esperti un altra soluzione di sicurezza con pochi pop-up è il behaviorblocker sul massimo livello,blocca i file sconosciuti.