come configurare EMET

[Giali]

Un saluto a tutta la comunità da un nuovo utente.
Sperando di postare nella sezione giusta, volevo iniziare una nuova avventura sul forum di MegaLab con una bella domandina.
Grazie a MegaLab sono venuto a conoscenza di EMET, questo piccolo grande programma che mi sto sforzando di comprendere.
Quando si tratta di sicurezza cerco di non lasciare nulla al caso, e così ho deciso di affiancare all'AV anche il programma della microsoft.
Purtroppo sto incontrando dei problemi con alcune applicazioni che si rifiutano di funzionare quando emet è configurato al massimo della protezione, e così, capito che il problema rigurda l'opzione "always on" di DEP, ho impostato DEP su "appplication opt out".
E passo alle domande:
1) Dopo una miriade di ricerche credo di aver compreso che opt out dovrebbe significare che il DEP è attivo oltre che sui servizi anche sui programmi (diversamente da opt in che invece dovrebbe attivare DEp solo sui servizi e solo a richiesta dell'utente anche sulle app). Se così è, allora l'opzione "always on" cosa intende?
2)Nella colonna "running EMET" non appare mai nulla tranne se non vado ad aggiungere manualmente l'apps. Ma allora emet sta proteggendo o no? (nel senso, devo comunque aggiungere tutte le app manualmente?)...

insomma non vi nascondo che ho un po di confusione e spero che qualche anima pia mi illumini.

Come inizio niente male, vero?

Ancora un saluto a tutti e grazie

[sampei.nihira]

Intanto una considerazione quella sotto:

sei fortunato

perché solitamente io non guardo questa parte di forum.

Allora l'impostazione AlwaysOn indica che il DEP è attivo per l'intero sistema senza alcuna possibilità di eccezioni.
Lo scopo di EMET è quello di mitigare i bugs eventualmente presenti nei sw non ancora evidenziati che possono essere sfruttati perché no da remoto.
Quindi non è e non sarà mai un sw che in abbinamento (specie all'antivirus) risolverà ogni problema di eventuali malwares......
Lo scopo di EMET quindi è solo quello di hardenizzare il OS nel miglior modo possibile.
Per rispondere alla successiva domanda che non ho copreso avrei bisogno di un immagine.

[Giali]

ciao Sampei.
Come prima cosa volevo ringraziarti per la risposta chiedendo ancora una volta scusa per aver sbagliato sezione.
La mia affermazione è stata sicuramente infelice quando ho paragonato emet all'AV.
Ho capito perfettamente la funzione di emet che reputo in termini di sicurezza altrettanto importante quanto l'AV se è in grado di bloccare falle che possono essere sfruttate da software malevolo (è questo quello che intendevo scrivere, la fretta purtroppo...).
Ma passiamo ai miei dubbi.
Volevo dapprima approfondire la prima domanda. Finalmente ho compreso cosa intende emet con l'opzione "always on".
Però un dubbio purtroppo mi è rimasto circa le altre due "opt in" e "opt out".
Non hai smentito la mia affermazione (tranne che non lo faccia adesso), circa il significato di opt in e opt out fatta nel mio precedente messaggio, quindi presumo di aver compreso correttamente.
Se così è, attribuendo a DEP l'opzione "opt out" anziché "always on", vado comunque ad attivare il DEP per qualunque apps o servizio che viene caricato in memoria dal SO.
La domanda sorge spontanea; perché tutte le apps in questo caso funzionano?
Come potrai vedere dall'immagine che ti ho allegato, mettendo "application opt out", la colonna DEP è attivata per tutti i programmi caricati in memoria (esattamente come appare quando attivo "always on"). In questo caso le applicazioni funzionano tutte perfettamente, ma qualcosa non mi torna perché non riesco a spiegarmi il perché visto che DEP è attivo...
Sempre guardando l'immagine e passando alla seconda mia domanda, noterai la colonna "running emet" completamente vuota.
Questa si riempe solo se vado a configurare le apps manualmente attraverso il pulsante posto in basso.
Il fatto è che questa colonna resta vuota anche se dep è su alway on, quindi quando il sistema dovrebbe essere sul massimo grado di protezione.
Cosa significa, che devo comunque andare a configurare tutte le apps che voglio proteggere a manina?

[sampei.nihira]

Come al solito mi accade quando un testo è troppo lungo non presto la dovuta attenzione a quello che leggo,quindi scrivimi quello che non ti torna nella mia risposta OK ?
Ci conto.
Allora l'impostazione OptOut è sempre la protezione estesa a tutti i processi ma con possibilità di eccezioni cosa non contemplata nell' AlwaysOn.
Quindi le 2 impostazioni differiscono solamente per tale possibilità.
Mentre l'impostazione OptIn è ristretta a soli file di sistema.

Ah ho quasi intuito cosa chiedi nella seconda domanda.
Facciamo un esempio se tu desideri proteggere Opera devi per forza metterlo nel configure application.
Il perché è ovvio se lo lanci vedi il suo processo altrimenti no.
Per questo genere di applicazioni ed anzi io ti consiglierei di non settarle tutte indiscriminatamente ma solo quelle che si connettono ad internet e presentano nel tempo dei bugs critici,escludendo ovvio i sw di protezione,dicevo occorre inserirle nel configure application.
Ma c'è qualche controindicazione a settare tutti i valori,perché qualche sw mal li tollera.
Se non ricordo male una piccola lista è nel 3D dedicato ad EMET nei commenti.

[Giali]

Ok, le cose forse cominciano a tornare.
Dunque dimmi se ho capito bene: finchè non inserisco le apps che voglio completamente proteggere, nella lista "running EMET" (attraverso il tasto configure Apps"), queste saranno protette solo per il Data Execution Prevention (DEP).
In pratica devono comparire così


By gialigiali at 2011-06-13


1) Potresti però spiegare meglio questa tua affermazione?:
"...l'impostazione OptOut è sempre la protezione estesa a tutti i processi ma con possibilità di eccezioni cosa non contemplata nell' AlwaysOn."
Come usufruisco della possibilità di eccezione? Sempre attraverso il tasto configure Apps?
Ovvero, deselezionando la protezione che non voglio applicare da questa finestra?


By gialigiali at 2011-06-13

2) Ti ripongo una domanda già in parte fatta nel precedente messaggio: se le impostazioni "always on" e "opt out" differiscono per la possibilità di eccezione, perché secondo te impostando la prima opzione alcune apps si rifiutano di funzione mentre con la seconda non danno problemi?

3) Se anche l'opzione opt out un'applicazione non dovesse funzionare, come fare a capire quale protezione bisogna deselezionare (procedendo per tentativi?).

Sampei, me lo hai detto tu scriverti se qualcosa non mi tornava
Spero non ti stia pentendo...

[sampei.nihira]

Sempre con il solito "problema" domande troppo lunghe ed io che lavoro........quindi....

Ed inoltre non ho mica scritto io il sw quindi a domande troppo profonde non posso dare risposte certe anche perché ogni macchina e sistema sono a se stanti come sà benissimo chiunque.......
Anche perché sospetto che nemmeno gli sviluppatori hanno avuto la possibilità di verificare ogni possibile interazione di settaggi con i possibili sw installati....
Comunque c'è sempre il forum dedicato,per coloro che come te vogliono risposte a domande ben specifiche.
Ad esempio con un impostazione di ASLR troppo restrittiva in presenza di driver ATI ci sono problemi che non si hanno con l'impostazione che hai settato tu.
Mentre nel configure application ho reperito che ci potrebbero essere problemi con qualche sw l'impostazione EAF (questo prima della nascita del forum.... ).
Io stesso ho disabilitato la spunta per qualche sw che ho in lista.

Secondo me l'uso di EMET non deve essere portato al limite dei settaggi.
E dovrebbe essere verificato con i sw installati per un tempo sufficiente....una settimana non basta.