Windows Defender eerste virusscanner die in sandbox draait
Beveiligingslekken in anti-virussoftware kunnen zeer grote gevolgen voor de veiligheid van systemen hebben. Aanleiding voor Microsoft om een sandbox voor Windows Defender te ontwikkelen, de in Windows ingebouwde virusscanner. Volgens de softwaregigant is Windows Defender daarmee de eerste volledige anti-virusoplossing die in een sandbox draait.
De afgelopen jaren hebben onderzoekers in Windows Defender en andere anti-virussoftware tal van ernstige kwetsbaarheden aangetoond. Anti-virussoftware zit vaak diep genesteld in het besturingssysteem en draait daarbij ook nog eens permanent in de achtergrond. Kwetsbaarheden kunnen een aanvaller op deze manier vergaande toegang geven en zijn vaak zonder interactie van de gebruiker te misbruiken. Zo kan het bijvoorbeeld volstaan om alleen een e-mail met een kwaadaardige bijlage te versturen. De bijlage wordt automatisch gescand, waardoor een eventuele exploit automatisch wordt uitgevoerd.
Beveiligingsexperts en onderzoekers roepen dan ook al jaren dat anti-virusbedrijven een sandbox voor hun anti-virussoftware moeten ontwikkelen. De sandbox fungeert als een extra beveiligingsmaatregel. Een aanvaller moet niet alleen een kwetsbaarheid in de anti-virussoftware zien te vinden, maar ook in de sandbox voordat hij het onderliggende systeem kan aanvallen. Microsoft heeft een dergelijke beveiligingsmaatregel nu voor de nieuwste testversie van Windows Defender op Windows 10 ontwikkeld.
"Het laten draaien van Windows Defender Antivirus in een sandbox zorgt ervoor dat in het onwaarschijnlijke geval van een hack, kwaadaardige acties zijn beperkt tot de geïsoleerde omgeving, waardoor de rest van het systeem wordt beschermd", zegt Microsofts Mady Marinescu. Ze merkt op dat prestaties vaak de voornaamste zorg zijn bij sandboxes, met name in het geval van anti-virussoftware die vaak bij allerlei gebeurtenissen op het systeem is betrokken.
Om ervoor te zorgen dat de systeemprestaties niet onder de sandbox te lijden hebben is het aantal interacties tussen de sandbox en het geprivilegieerde proces beperkt. Zo vindt er alleen interactie tussen de sandbox plaats op belangrijke momenten waarbij de impact verwaarloosbaar is. De sandbox wordt nu onder testers van Windows Defender op Windows 10 ingeschakeld, maar gebruikers kunnen dit ook zelf doen op Windows 10, versie 1703 of nieuwer. Windows Defender is een standaardonderdeel van Windows 8.1 en Windows 10 en presteert tijdens tests vaak net zo goed als betaalde anti-virusoplossingen.
Reboot en Defender draait in sandbox mode.
Hooguit de eerste kant- en klare oplossing.
Er bestaan al langer mogelijkheden voor malware analyzing in een sandbox.
Voorbeeld: https://cuckoosandbox.org/
Daarbij kan het zelfs een risico zijn om een virusscanner in een sandbox te hebben.
Malware schrijvers doen namelijk hun best om te zorgen dat virus/malware niet wordt gestart in een situatie waabij wordt gedetecteerd dat de malware aanwezig is in een sandbox.
Zie https://blog.malwarebytes.com/101/2013/02/sandbox-sensitivity/.
Of Microsoft hier nu ook meteen een 100% werkende oplossing voor heeft gevonden, lijkt mij nog maar zeer de vraag.
Je kan ook zeggen dat Microsoft onder Windows 10 het niet toestaat dat andere beveilings-software hetzelfde doet. Ze creeren een vacuum waar alleen Microsoft software nog alle rechten heeft. Daar bepaalde functionaliteit alleen kan draaien indien de code door Microsoft is gesigneerd en Microsoft - alleen voor derden - steeds strictere regels oplegt, geeft het alleen maar een vals gevoel van bescherming...
Je kan ook zeggen dat Microsoft onder Windows 10 het niet toestaat dat andere beveilings-software hetzelfde doet. Ze creeren een vacuum waar alleen Microsoft software nog alle rechten heeft. Daar bepaalde functionaliteit alleen kan draaien indien de code door Microsoft is gesigneerd en Microsoft - alleen voor derden - steeds strictere regels oplegt, geeft het alleen maar een vals gevoel van bescherming...
Zucht… het is gewoon werk hoor: elke andere leverancier kan AppContainers gebruiken om hetzelfde te bereiken.
Laat marketeers beweringen eens onderbouwen, voor deze als ''nieuws'' te presenteren.
LMFAO.
Je kan ook zeggen dat Microsoft onder Windows 10 het niet toestaat dat andere beveilings-software hetzelfde doet. Ze creeren een vacuum waar alleen Microsoft software nog alle rechten heeft. Daar bepaalde functionaliteit alleen kan draaien indien de code door Microsoft is gesigneerd en Microsoft - alleen voor derden - steeds strictere regels oplegt, geeft het alleen maar een vals gevoel van bescherming...
Zucht… het is gewoon werk hoor: elke andere leverancier kan AppContainers gebruiken om hetzelfde te bereiken.
Zucht... Geeft aan dat je niet zoveel er vanaf weet. AppContainers zijn leuk/handig/veilig, maar als beveilings-software in een AppContainer draait, kan deze nooit alle processen e.d. beschermen/scannen want die zijn afgeschermd. Om vele dreigingen tegen te houden (denk aan o.a. EternalBlue, Rootkits, OS Exploits, e.d.) heb je toch echt hogere systeemrechten nodig en moet je op kernel-niveau draaien.
Ik denk dat malware en rootkits die in je hardware componenten zitten erg lastig voor een OS te detecteren is en het verwijderen ervan ook nog eens voor de stabiliteit van je systeem grote gevolgen heeft.
Omdraaien!
Windows draait voortaan in de sandbox van het av product!
Er worden immers veel meer gaten gevonden in windows dan in av producten.
Daarmee is dit nieuwtje dus van een matige aard, omdat het beter kan!
Omdraaien!
Windows draait voortaan in de sandbox van het av product!
Er worden immers veel meer gaten gevonden in windows dan in av producten.
Daarmee is dit nieuwtje dus van een matige aard, omdat het beter kan!
Jij hebt duidelijk geen verstand van hoe een besturingssysteem in elkaar zit.
Laat marketeers beweringen eens onderbouwen, voor deze als ''nieuws'' te presenteren.
Je hebt niet goed gelezen. Dit is geen sandbox waar anti-virus verdachte bestanden in opent. De anti-virus draait nu volledig in een sandbox. Dat heeft Avast niet en zijn twee geheel verschillende dingen.
Omdraaien!
Windows draait voortaan in de sandbox van het av product!
Er worden immers veel meer gaten gevonden in windows dan in av producten.
Daarmee is dit nieuwtje dus van een matige aard, omdat het beter kan!
Jij hebt duidelijk geen verstand van hoe een besturingssysteem in elkaar zit.
En jij niet genoeg kennis van de markt om de grap te begrijpen?
Hint : "Bootable Antivirus"
En dan nog een beetje verder virtualiserend fantaseren.
;p
vooral als je hem een beetje moderniseren wilt.
Bobby's Malzilla http://malzilla.sourceforge.net/
Draait alles binnen een zandbak.
luntrus
Met commando Setx/m mp_force_use_sandbox 1
Ik wil er heel graag weer vanaf.
1 Ik kan mijn notebook 6 maanden oud niet meer normaal afsluiten alleen door de knop ingedrukt te houden.
2 Mijn internet is vreselijk traag geworden.
3 iets hogere CPU belasting 1 tot 2%
Als iemand mij kan helpen dan hoor ik het graag.
Ik heb deze succesvol geactiveerd in dos met de commando Setx/m mp_force_use_sandbox 1
Ik heb sindsdien alleen maar problemen.
1 Mijn nieuwe Acer notebook wil sinds die avond niet meer normaal afsluiten alleen nog door de aan/uit knop ingedrukt te houden voor enkele seconde.
2 Mijn internet is niet meer vooruit te branden.
3 Mijn CPU belasting is iets hoger geworden dit vind wel het minst erg.
Ik begrijp niet waarom Microsoft deze sandbox niet gewoon in Defender heeft toegevoegd inclusief instellingen waaronder het aan en uit zetten.
Ik heb niet stil gezeten en gezocht op het internet.
https://support.office.com/en-us/article/turn-sandbox-mode-on-or-off-to-disable-macros-8cc7bad8-38c2-4a7a-a604-43e9a7bbc4fb
Ik heb iets gevonden van Microsoft zelf.
Zie de link maar dit is geen oplossing het opgegeven pad
\Software\Microsoft\Office\15.0\Access Connectivity Engine\Engines klopt niet.
tot 15.0 komt het overeen daarna kom ik in een lege map terecht.
Hopelijk kunt u mij van deze ellende afhelpen anders moet ik moet ik mijn computer gaan herstellen. Teruggaan naar een herstelpunt of geheel opnieuw installeren.
Alvast hartelijke dank voor het mee denken.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
