Securityforum

Wie sieht der Resourcenverbrauch von Zonealarm aus:

Screenshot 1 = ohne Zonealarm:

Bei Zonealarm (übrigens wurde hier die Version 7.0.362.000 getestet) zeigen sich nach wie vor interessante Dinge:


So gehören klassische Fehlalarme weiterhin zum Repertoire dieses Produktes


Die bekannte Fernwartungssoftware UltraVNC wird am liebsten geradewegs ins Quarantäneverzeichnis verbannt und nützliche Tools wie cmdow.exe oder pskill.exe, die sehr hilfreich bei Unattended Installations sind, als reparaturbedürftig eingestuft, was immer das zu bedeuten hat



Nebenbei kann es ja nicht schaden, den DNS Server zu blockieren, jedenfalls nach Ansicht von Zonealarm



...und jetzt wird's richtig peinlich: Möchte man nun wissen, was die Meldung zu bedeuten hat, bemüht man einfach den Smart DefenseAdvisor, der ja eigens für diese Aufgabe da sein soll. Die Aussage allerdings ist eher ernüchternd. Man muss im Prinzip die vorher beanstandete Internetverbindung, über welche man eigentlich informiert werden möchte, entsperren, damit Zonealarm die gewünschte Information bereitstellen kann. Das ist einfach nur paradox !

Ein weiteres bedenkliches PopUp flatterte mir während der Installation entgegen. DefenseNet soll angeblich helfen, das Produkt zu verbessern und deshalb soll der User erlauben, dass Daten von seinem PC ins Internet übertragen werden. Es wird in keiner Weise deutlich, um welche Daten es sich dabei wirklich handelt und nüchtern betrachtet, versucht Zonelabs damit ihre PhoneHome Funktion, welche bereits früher schon für Negativ- Schlagzeilen gesorgt hat, zu legitimieren. Es gibt User, die hauptsächlich eine PersonalFirewall einsetzen, um Programme an dieser lästigen Charaktereigenschaft zu hindern.

Kleiner Tipp: Wie wäre es denn, bei der Auswahl der installierten Software, auf dieses Merkmal zu achten, anstatt sich dabei auf eine Security Software zu verlassen, die selbiges ebenfalls macht...

Greetz!
TB

Mir ist wieder eine interessante Zonealarm- Meldung in die Hände gefallen:



Ich hoffe der User hat nichts dagegen!,

es ist schon mal sehr informativ, daß jemand eine Firewall- Meldung gepostet hat. Es ist bekannt, daß gerade diese Personalfirewall oft dummes Zeug meldet. Das scheint auch hier der Fall zu sein. Ich versuche das mal zu analysieren, ohne Gewähr, weil ich weder das betroffene System kenne, noch woher Zonealarm diese Meldungen hervorzaubert. Ich kann also nur bei Fakten bleiben, die zur Verfügung stehen:
Serverprogramm

Eigentlich handelt es sich um einen Dienst. Dieser Dienst kann natürlich Serverapplikationen steuern.

LSA- Shell (Export Version) möchte Verbindungen aus dem Internet zulassen

Welch verwirrende Aussage !!! Was meinen die mit "Export Version" ? Jedenfalls will uns die Firewall weiß machen, daß der besagte Dienst Verbindungen aus dem Internet zulassen möchte. Warum sollte er das wollen ? Dafür müßte dieser Dienst aber ein Ziel im Internet kennen, welches er kontaktieren sollte und dieses Ziel müßte wiederum eine Anfrage gezielt an diesen Rechner stellen können. Da aber die inizierende Gegenstelle, IP- Adresse 58.25.103.192 ...
...ein Client aus dem asiatischen Raum darstellt, ist es schwer zu glauben, daß hierbei eine Zusammenkunft gewollt ist. Es wäre also eher eine Anfrage von außen, die auch ohne Firewall verworfen würde, wenn der entsprechende Port (hier 500)...
...nicht expliziert dafür über eine Anwendung geöffnet worden wäre. Also wenn auf dem System nicht bewußt eine Anwendung installiert worden ist, die einen Kommunikationspartner im Internet besitzt, wäre ein reiner Kommunikationsversuch aus dem Internet auf die Datei Lsass.exe mehr als fragwürdig, denn woher sollte denn sonst jemand wissen, daß gerade dieser Computer über Port 500 etwas für den LSA- Shell Dienst erwartet...

Irgendwie beißt sich die Katze in den Schwanz !

Gruß,
Thomas

Auch hier wieder ein Paradebeispiel wie die beliebte Personalfirewall so richtig schön, die Situation verschärft, obwohl das gar nicht notwendig wäre:

http://www.pcwelt.de/forum/netzwerke/28 ... -mehr.html

Bemerkenswert ist immer wieder die Feststellung, daß die entsprechenden Anwender, unstrukturiert Fehler suchen, aber die Firewall einfach nicht einbeziehen wollen. Deutliche Defizite in Netzwerktechnik sind erkennbar und eine vernunftorientierte Einstellung gegenüber Zonealarm fehlt offenbar gänzlich.

Gruß,
Thomas

Die Meldungen von Zonealarm verblüffen immer wieder:



Immer wieder stellt sich die entscheidende Frage: "Zulassen" oder "Verweigern"



FrameworkService.exe ist ein Dienst des McAfee Virenscanners und macht keineswegs einen Versuch auf das Internet zuzugreifen. Die IP- Adresse stammt aus dem eigenen LAN und stellt die IP des eigenen Clients dar. Noch eindeutiger und sinnfreier ist der Zugriff der Datei CcmExec.exe auf die Localhost- Adresse 127.0.0.1 ! Das Blocken zu wollen ist so unsinnig, als würde man grundsätzlich mit gezogener Handbremse Auto fahren, dabei spielt es nicht einmal eine Rolle, wozu diese Datei überhaupt da ist (Dienst des Microsoft SMS- Client).



Während jetzt der böse GoogleUpdater auch noch DNS- Abfragen startet, will der RealPlayer lokal was machen, möglicherweise eine Mediendatei abspielen...

Klar dass man für solche Zwecke Zonealarm benötigt, denn wenn man die Google- Tools bzw. den RealPlayer installiert, ist das brandgefährlich, die könnten ja "nach Hause telefonieren". Jedoch sollte sich derjenige, der sich solche interaktive Tools installiert auch schon vorher wissen, dass diese Tools ständig nach Updates suchen bzw. interne Bibliotheken aktualisieren wollen. Wenn man dieses Treiben sowieso unterbinden möchte, dann sollte man solche Software erst gar nicht installieren, denn verhindert man dies nachhaltig, wird das entsprechende Programm womöglich gerade durch fehlende Updates anfälliger gegen Exploit- ausnutzende Malware...

Gruß,
Thomas

Ist es denn die Möglichkeit

Seit kurzem werden die meisten Benutzer von Zonealarm bemerkt haben, dass eine Internetverbindung nur noch möglich ist, wenn sie die "Schieberegler" auf Position "mittel" stellen. Ursache dafür ist ein Microsoft- Patch, der offensichtlich der Zonelabs- Software Probleme bereitet, weil sie diese Datei für eigene Zwecke mißbraucht.
Solange die Entwickler keine Lösung anbieten können, stehen folgende Workarounds zur Verfügung:

1. Man deinstalliert den Patch KB951748 einfach wieder - Nachteil: Man erhöht die Scheinsicherheit durch ein fragwürdiges Sicherheitsprogramm namens Zonealarm, indem man die wirkliche Sicherheit bewußt untergräbt.

2. Man stellt wie bereits erwähnt, die Sicherheitsstufe auf "mittel" - Nachteil: Ein Abspecken eines Sicherheitstools zugunsten der Funktionalität kann eigentlich nicht der Sinn des Einsatzes sein. Der Aspekt "Sicherheit" wird auch hiermit unterwandert.

3. Man deinstalliert die Problemsoftware Zonealarm komplett und erfreut sich einer besseren Performance und nimmt dies zum Anlass, gleich ein ordentliches Sicherheitskonzept umzusetzen, worin Personalfirewalls und/oder Security Suites keine Daseinsberechtigung finden und folglich auch keine Probleme bereiten können - Nachteil: keinen

Anmerkung:
Anwender von Zonealarm, denen dieses Problem nicht aufgefallen ist, machen offensichtlich keine Updates. Das könnte man sinngemäß damit vergleichen: Jemand ist zu faul seinen Haustürschlüssel aus der Tasche zu nehmen, um die Tür aufzuschließen und findet es besser, durch den Schornstein in die Wohnung zu gelangen...

Gruß,
thbrueck

Immer und immer wieder ZA.

Ich frag mich nur, warum das wie die Seuche verbreitet ist.

Vermutlich weil sie viel Werbung machen und es kostenlos verfügbar ist.

Hier noch die Begründung:

http://www.heise.de/security/Massives-D ... ung/110641

An Zonelabs ist diese Sache offensichtlich vorbeigegangen

Gruß,
Thomas