Kaspersky Internet Security 2010 --> kleiner Erfahrungsbericht und "raw sockets"

[Scheinweltname]

Ich hab mir gestern mal KIS 2010 installiert (runtergeladen bei Kaspersky), weil ich ja davon ausgegangen bin, dass es genauso gut ist wie KIS 2009 (bin sehr zufrieden damit). (auf nem midrange Vista SP 2-Laptop).

Prozedur: Deinstallation KIS 09, Neustart, Installation KIS 2010, Neustart

Vorteil: Die Aktivierungseinstellungen 2009 -->2010 werden ohne Murren übernommen; keine Eingabe von Usernummer, Key usf. notwendig (hab ne 1-Jahres-Lizenz).

Die Programmoberfläche kommt mir persönlich extrem vollgestopft vor und vor allem die Ansicht bei den Firewall-Regeln ist unbrauchbar: Keine Hierarchie-Ansicht, sondern eine endlose Liste ziemlich großer Symbole (ich habe keine Möglichkeit gefunden, das zu ändern). Bei KIS 09 war das alles so schön nach Herstellern sortiert (besonders weil bigM ja zig Einträge hat).

Erstes Problem: Die gespeicherte Config-Datei von KIS 09 wird nur sehr fehlerhaft übernommen; die meisten Firewall-Regeln enden unter den Einträgen "unbekanntes Programm" und müssen entsprechend nochmal eingegeben werden (kann man also genauso gut gleich alles von Hand machen). Und da meine Firewall extrem strikt eingerichtet ist, bedeutet das einiges an Arbeit.

Zweites Problem: Bei gleichen (alles auf paranoid ) Vollständige-Suche-Einstellungen braucht KIS 2010 ca. 50min, wo KIS 09 gerade 30 braucht (beides OHNE iswift und Co). Kann aber auch daran liegen, dass die Heuristiken besser geworden sind ... oder weniger effizient.

Drittes Problem: Das entsetzliche "der Schutz funktioniert nicht mehr" wird immer noch beim normalen Herunterfahren im Bericht protokolliert (ist schon bei KIS 09 so).

Viertes Problem: KIS 2010 hat bei mir bei JEDEM Neustart eine Rootkit-Suche gemacht und ich habe keine Einstellung gefunden, mit der das hätte abgeschaltet werden können.

Aber der Hauptgrund, warum ich gerade per Image-Backup einen Zustand mit KIS 09 hergestellt habe: Bei der Herstellung einer Verbindung über DHCP benutzt der SvcHost die Ports 67 und 68 zur IP-Adressen-Vergabe. Funktioniert an sich auch anstandslos; nur leider scheint meine Verbindung (Uni-Netzwerk) mit "raw sockets" zu arbeiten, und für den Fall kann ich leider keine Regel erstellen (siehe Bild im Anhang). Ich kann zwar den port für die Anwendung und auch die Ip freigeben, aber KIS 2010 registriert das offenbar jedes Mal als "Malware"-Aktivität (siehe Screenshot) und lässt jenes Fenster aufploppen; jedes Mal!

Mit KIS09 gibt es keine Meldung über raw sockets. Kann aber auch daran liegen, dass KIS 09 das noch nicht erkennt. Und selbst, wenn es sich dabei nicht um Malware-bezogene Aktivität handelt: Wenn ich jedesmal von Hand bestätigen muss, dass es zugelassen werden darf, dann hab ich da keine Lust drauf (ohne die Bestätigung kriege ich keine Verbindung)! Werde das auch mal an Kaspersky schreiben und hoffen, dass die das mit der nächsten Version/ per Update beheben.

Oder hat jemand ne Lösung (kein workaround, sondern eine Lösung!) für mein raw-sockets-Problem? (Ich könnte das ändern, indem ich allen vertrauenswürdigen Programmen "any network activity" erlaube, wie Kaspersky das ja auch standardmäßig einstellt ... aber das ist mir zu unsicher. Z.B. würden dann ja solche angeblich i.d.R. nur von Malware aufgebauten Verbindungen über raw sockets auch einfach zugelassen ...)

Andererseits scheint mir der einzig große Vorteil von KIS 2010 sowieso nur die "Sandbox"-Funktion zu sein. Aber die brauche ich nicht, weil ich Acronis True Image "try&decide" habe ...

 

[BrollyLSSJ]

Was passiert, wenn du bei dem Raw-Sockets-Problem unten den Haken bei "Speichern fuer Immer" setzt und es dann auf erlauben laesst? Normalerweise sollte er dann nicht wieder nachfragen. Hast du einen Punkt in den Optionen wo du Anwendungen als Trusted Applications, Low Restricted, etc. angeben kannst? Dort koenntest du ja dann diese Anwendung, die die RAW-Sockets nutzt, als Trusted eintragen. Sollte der Eintrag nicht vorhanden sein, wirst du den Echtheitsschutz beenden duerfe, Kaspersky beenden duerfen und dann im Programmorder\Skin\ die HIPS.ini oeffnen und dort mal nach ;Rules suchen (sollte der erste Eintrag in der ini sein). Dieses ;Rules sollte in einem Punkt [HIPS] stehen, wenn ich mich nicht irre. Das Semikolon mal entfernen, abspeichern und dann KIS wieder starten. Dann hat man sein gewohntes HIPS wieder. Bei mir war es naemlich bis Build 9.0.0.459 Englisch (als es noch pre TR war, bzw. im Betaforum erhaeltlich war) deaktiv. Ich musste dieses Panel bisher immer aktivieren.

 

[JohnnyParks]

Ich für meinen Teil hab da sowieso schwere Bedenken, dass - gerade bei Kaspersky - wirklich großartige Veränderungen zu den Vorgängerversionen da sind. Manchmal scheinen Softwarehersteller auch zu schludern, nur um die ersten zu sein, die eine neue Version auf den Markt werfen - und müssen dann nachpatchen bis der Arzt kommt (oder lassen Probleme, die ja quasi schon in allen Versionen enthalten waren, drin, weil sie in der Kürze der Zeit keine adäquate Lösung finden). Finde ich jetzt ...
Darum wollte ich mir auch noch nix mit Windows 7 zulegen - da war es ja bisher bei jeder neuen Version so, dass die erst einmal sämtiche "Kinderkrankheiten" bekommen, bis sie dann einigermaßen auf Zack sind ...

greetz
Joe

 

[GokuSS4]

Hab mir jetzt auch KIS2010 installiert, hatte bei der beta mitgemacht und hab jetzt ne 1Jahrlizens. Mir gefällts gut, ich brauche keine Firewall, nutze nur den Dateischutz.

Alternative zu Kaspersky??!

 

[Trackballfan]

Ich habe auch nur die Anti-Virus Version von KIS 2010 und bin eigentlich sehr zufrieden, vorallem kann die neue Version besser mit dem IE8 umgehen, das war mit der 2009er eine Katastrophe, das dauerte ewig bis bestimmte Seiten geöffnet wurde, eBay zB.

 

[GokuSS4]

Ne ich hab schon die Internetsecurity Version, hab aber die Firewall deaktiviert. Meine Lizens funktioniert bei KAV nicht =)

 

[MorLipf]

Dass Kaspersky Internet Security 2010 für einen kompletten Virenscan mehr Zeit benötigt, als die Version 2009 könnte unter anderem daran liegen, dass bei Kaspersky 2009 die heuristische Suchmethode standardmäßig deaktiviert war und bei 2010 eingeschaltet ist.

 

[Scheinweltname]

Was passiert, wenn du bei dem Raw-Sockets-Problem unten den Haken bei "Speichern fuer Immer" setzt und es dann auf erlauben laesst?22

ich weiß gar nicht genau, was er dann zulässt! Wenn ich "immer verbiete", dann kriegt die gesamte Anwendung keine Verbindung; egal, ob es explizite Regeln gibt. Und da es sich gerade um den svchost handelt, will ich da nix "allgemein" zulassen. Leider sind die erstellten Regeln auch nicht hilfreich, weil er sie offenbar nur auf Fälle OHNE raw sockets bezieht. Sobald ein raw-socket im Spiel ist, taucht das Fenster auf; Regel hin oder her. Ich müsste also den Svchost allgemein jede Netzwerkverbindung erlauben, aber so doof bin ich nicht (z.B. Conficker nutzt das aus!). Denn zu mehr als Windows update und Verbindungsherstellung mit nem Router braucht der ja eh keine Verbindung!

Dass Kaspersky Internet Security 2010 für einen kompletten Virenscan mehr Zeit benötigt, als die Version 2009 könnte unter anderem daran liegen, dass bei Kaspersky 2009 die heuristische Suchmethode standardmäßig deaktiviert war und bei 2010 eingeschaltet ist.

wie oben geschrieben: Bei exakt gleichen Such-Einstellungen (die sich ja zwischen KIS 09 und 2010 nicht unterscheiden); d.h. auch maximale Heuristik-Tiefe und erweiterte Rootkit-Suche.

 

[Soultaker]

Ich habs auch mal drauf, aber seitdem ichs drauf habe, andauernd nur blue screens und ich bin nicht der einzige. Im kaspersky forum sieht man auch bluescreen threads -.-

 

[BrollyLSSJ]

Ich müsste also den Svchost allgemein jede Netzwerkverbindung erlauben, aber so doof bin ich nicht (z.B. Conficker nutzt das aus!). Denn zu mehr als Windows update und Verbindungsherstellung mit nem Router braucht der ja eh keine Verbindung!

Da haste Recht, aber ich dachte, dass waere eine spezielle Anwendung (nicht svchost), die das RAW-Socket ueber svchost sendet. Deswegen sagte ich das mit HIPS, damit du eben diese Anwendung erlaubst, RAW-Sockets zu verschicken. Ansonsten muesstest du mal im Kaspersky-Forum nachfragen.

Ich habs auch mal drauf, aber seitdem ichs drauf habe, andauernd nur blue screens und ich bin nicht der einzige. Im kaspersky forum sieht man auch bluescreen threads -.-

Fuer solche Faelle hat Kaspersky neue Loggingmethoden hinzugefuegt. Vllt koenntest du mal bei denen im Forum ein paar Speicherabbilder posten (auf deren FTP hochladen und im Forum den Link dahin, wie es heiszt) und die neuen Traces. Es sollte in der FAQ stehen, wie man die anmacht (KIS oeffnen, Support, Support Tools, Enable Traces) und vor allem, wo du die findest. Damit koennen die dann sicherlich dein Problem loesen. Aber die Traces verschlingen mit der Zeit sehr viel Platz, also wuerde ich, nach der Aufnahme und dem Versenden, die Traces entweder auf eine andere Partition verschieben oder, wenn erfolgreich von Kaspersky in Empfang genommen wurden, loeschen. Mir hat das Zeug in der Beta naemlich die Systempartition sehr schnell gefuellt. Ich glaube, innerhalb von 2 Stunden waren 5 GB belegt.