評測：Norton Internet Security 2009

[ㄚ一]

這個月由PCDIY雜誌在7-11所銷售的12月號PCDIY有附贈Norton Internet Security 2009(以下簡稱為NIS 09)一年份
所以趁這個機會也入手了一本PCDIY，還記得一年前我曾經寫過NIS 08的評測
那個時候使用的感覺還算不錯，如果新版能夠把一些問題給改善，我想應該會更理想一些
時間過的真快，轉眼間一年又過去了，現在NIS 09也推出一段時間了，我趁這次機會也著手寫了這篇NIS 09的評測

比起舊版，賽門鐵克在新版的NIS 09上做了不少的加強
包括增加的特徵碼更新頻率，加強的啟發式引擎，更少的系統資源佔用等
新版的NIS 09也變的更加美觀，其它的就看我文中的介紹吧！


主畫面非常簡潔，使用單一頁面呈現，用戶容易一目瞭然



直接進入設定的部分，這裡"進階啟發式防護"這個選項還瞞有意思的
三個等級分別用主動、自動化、關閉來表示，而不是普遍常見的"高中低"、"強中弱"的表示法



防火牆設定跟NIS 08一樣可以更改設定手動切換為互動模式
預設為一般模式，手動切換成互動模式後可以大大提高反洩漏的能力，但一般不建議開啟！



同樣在防火牆設定，程式控管的地方按"架構"修改規則
不管你防火牆用預設或者是互動模式，windows下的svchost請由原本的"自動"修改為"攔截"



如果你將防火牆更改為互動模式，那之後有陌生的程式要存取網路
就會出現類似於這樣的提示，然後請根據提示決定是否阻止或放行



使用互動模式後，process之間的調用也會提示



Process訊息，共兩個process


NIS 09安裝前，系統開機後的記憶體使用量


NIS 09安裝後的系統記憶體使用量




測試：

鍵盤側錄測試：

AKLT 3.0：7/2












KeylogTest：Pass


Zemana keylog test：Fail




Zemana LogScreen Test：Fail




滲透測試：

反滲透測試我使用Matousec新推出的測試程式
這些程式Matousec都未在NIS 09上測試過
至於什麼是滲透測試請參考這篇我先前的文章

成績：

Level 3：Kernel1
Level 4：Kernel1b
Level 5：Kernel2, Kernel3, Crash4
Level 6：Kernel4, Crash5, Crash6
Level 7：FireHole2, Kill12
Level 8：Kernel4b, Kernel5
Level 9：Crash7


CLT：110/340

Score：110




實際樣本掃瞄測試：

樣本使用與PC Security Lab本月測試所用的測試樣本相同
樣本總數為2057，全部均為活體

靜態掃瞄結果為：98.35%




結論：

這次的NIS 2009比起上一代又帶來了長足的進步
賽門鐵克這回大幅強化了HIPS Module在反洩漏能力上的保護
而且易用性上好過NIS 08不少，NIS 08的反洩漏其實不好用
提示的訊息不完整，用戶無法靠少量的資訊來判斷是否放行或阻止
雖然NIS 09加強的這個部分，但是依然還是不夠，提示了太多dll注入訊息
因為dll注入一般都是clean的，使用HIPS很少能夠從dll注入察覺異樣
大部分都是經由AD、RD、FD、ND來察覺
有些以前監控dll注入的防毒軟體現在都不再監控它了，因為實用性真的不高
我認為攔截dll注入可以取消，改用應用程式行為檢測，就像檢測鍵盤側錄時的提示

NIS 09作為一款網路安全套裝，算是一套相當優秀的軟體
誤報率極低，對系統的負擔很小，使用時也不會有無謂的提示
適合各各年齡層的用戶使用它，作為自己系統上的主要防禦軟體

操作上，當然這是針對End User的部分，普通用戶應該不會有這方面的問題
在防火牆規則的設定的部分，嚴重缺乏人性化！設定上要按的"下一步"太多了
比較好的做法應該是單一視窗多標籤的方式，這樣子規則編輯上會更為容易

程式中功能的中文說明有些我必須多看個兩次才可以清楚它所要表達的意思
從文字中來看，少部分有違台灣人一般慣用的辭語
而且還有一點用"解釋"來讓用戶猜側設定類型的傾向
對End User用戶相當不友好，容易造成一些不必要的誤導！




NIS 09除了對End User比較不適合外，對一般用戶來說NIS 09已經足夠了
面對日益嚴重的威脅成長情況，賽門鐵克還是應該在HIPS多下一些功夫
競爭對手都已經有了智能化完全不需用戶干預的HIPS，效果還很多不錯
為了廣大的用戶，我期望在下一代程式中看到保護更趨近於完善的產品



優點：

1.HIPS較上一代有明顯的進步
2.系統資源需求持續降低
3.外觀華麗

缺點：

1.HIPS還有很大的加強空間
2.操作介面依然不夠靈活
3.中文版翻譯詞不達意，容易混淆用戶


以上文章轉貼自Lawliet's blog

[millets]

最近有裝來用用，的確許多地方都有改善，但是比較後我還是灌回NOD32

[N6K7pNtiY]

看完了丫一大大的評測，想問一下，其中您說

同樣在防火牆設定，程式控管的地方按"架構"修改規則
不管你防火牆用預設或者是互動模式，windows下的svchost請由原本的"自動"修改為"攔截"

這一句話中的把windows下的svchost請由原本的自動改成攔截，為什麼要改成攔截呢？原本的自動設定是不好嗎？謝謝！小弟不解！

[ㄚ一]

因為我不知道他的自動是如何自動
自動同樣是根據規則，攔截svchost可以降低它被利用的機率
這篇文章我其實還少了區網的規則，要加上區網規則才可以正常連結區網

[N6K7pNtiY]

原來是這樣呀！
那這樣子，除了丫一大大您說的攔截svchost這個程式，還有其他內部程式需要做攔截選擇嗎？謝謝！
對了，那這個攔截的動作是建議一般使用者這樣設定嗎？謝謝！
還有，您說少了區網的規則，要加上區網規則才可以正常連結區網，是說您還會在補文章嗎？區網規則是什麼呢？是內訂的嗎？謝謝！

[tenniskao]

在下也想請問...
如果攔截了svchost這個程式，會不會影響到其它程式的正常運作？

[ㄚ一]

不能上網是因為你用router的關係
由於我現在用的電腦不是自己的，我只能告訴你應該添加什麼規則
無法截圖做step by step，每個人的router所用的IP都不一樣
根據自己的需求修改

放行TCP出站從port 1024-5000 到目標port 80,443
放行IP 192.168.96.1到192.168.96.255出站　到任何IP
放行IP 192.168.96.1到192.168.1.255進站　到任何IP
放行IP 192.168.1.1到192.168.1.255進站　到任何IP
放行從任何IP出站到192.168.1.1-192.168.1.255
放行UDP出站從IP 0.0.0.0到255.255.255.255　來源port:68 目標port:67
阻擋任何IP進或出到任何IP位置

[N6K7pNtiY]

謝謝丫一大大的解說！
想問，這修改設定是指svchost這個程式嗎？謝謝！
如您所言，
每人ip皆不同，您言中的port埠數值是否是看使用者來輸入呢？謝謝！
ip值也是依使用者的ip位址來輸入嗎？謝謝！
udp值ip是照您的數值打嗎？謝謝！
那如果是浮動ip的話呢？謝謝！
因小弟對這方面不了解，如有打擾，真對不起！

[ㄚ一]

改IP網段就可以了，port的話不需要改