Au
début de l'utilisation de System Monitor System, vous allez recevoir
beaucoup d'alertes, tout comme vous en receviez avec votre pare-feu.
Cela
peut être pénible, mais il faut garder à l'esprit que vous devez
éduquer System Monitor System pour qu'il reconnaisse par la suite vos
applications.
Au fur et à mesure du temps, les
alertes se feront plus rares.
Soyez donc patient.
Les
alertes d'activités que vous allez recevoir sont de ce type.
Vous
avez plusieurs options au niveau de l'autorisation :
- Autoriser
l'action une fois
- Autoriser l'exécution de cette
application (System Safety Monitor crééra alors une règle autoriser).
- Autoriser
l'exécution de l'appication et de l'application parent (celle qui a
lancé l'application).
A l'inverse vous
pouvez bloquer :
- l'exécution
de l'application pour cettefois
- l'exécution
de l'application définitivement (System Safety Monitor crééra
alors une règle refuser).
- l'exécution de
l'appication et de l'application parent (celle qui a lancé
l'application).
Présentation de System
Safety Monitor
La configuration de System Safety Monitor est
accessible depuis le menu
Préférecences
du menu déroulant.
Monitorer le processus
L'onglet
Monitorer le processus est l'équivalent du gestionnaître de tâches de
Windows (pour plus d'informations sur les processus :
Dossier
sur les processus et les services Windows).
Les
processus en cours d'exécution apparaissent sous forme d'arborescence.
Vous
pouvez visualiser l'utilisation mémoire ainsi que l'utilisation
processus. Notez qu'un petit graphique illustre l'utilisation CPU de
chacun des processus, en passant la souris sur le graphique, vous
pouvez l'aggrandir pour une meilleur lisibilité.
En
effectutant un clic droit sur un processus, vous pouvez :
- editer
la règle à savoir modifier le comportant de System Safety Monitor en
autorisant ou non l'exécution du processus.
- Arreter
l'exécution du processus (Terminer Processus).
- Recalculer
le MD5
(emprunte du fichier pour le reconnaître).
- Démarrer
un nouveau processus
- Ouvrir les propriétés du
fichier afin d'obtenir des informations
- Liste les
modules du processus - Ce sont en général les DLL utilisées par le
processus
Le bouton Mode apprentissage permet
d'activer le Learning Mode, System Safety Monitor va prendre alors les
décisions à votre place lorsqu'il sera confronté à une nouvelle
application.
Je vous conseille
fortemment de ne pas activer
cette option.. car il laisse passer certaines infections!!!
Règles
Application
L'onglet Règles Application permet de modifier
les règles utilisées par System Safety Monitor pour savoir quelles sont
les actions à effectuer lorsqu'une application est executée
et aussi ce que l'application a ou non le droit de faire.
Les
règles possibles à appliquer sont :
- Autoriser
: l'application a le droit de d'executer (en vert).
- Refuser
: l'applicatio nn'a pas le droit de s'executer (en rouge).
- Autorisations
Avancées (en jaune) [Voir plus bas dans aller plus loin dans les règles]
Pour
modifier une règle, faites un clic droit sur le fichier puis Règles
-> Autoriser ou Refuser.
Pour supprimer une règle,
sélectionnez la règle dans la liste puis appuyer sur le bouton Suppr du
clavier ou clic droit / Supprimer
Notez que les
fichiers sont reconnus par leurs empreintes MD5 (d'où la colonne MD5)
et non par leurs noms.. ce qui signifie que si le fichier est modifié
(cela peut arriver suite à une mise à jour du logicielle/Windows ou
suite à une infection).. System Safety Monitor le détectera et
le fichier sera considéré comme "nouveau".
Vous pouvez aussi logguer
l'activité d'une application, c'est à dire que toutes les opérations
effectuées par l'application pourront être consignés dans un rapport.
Pour
cela, il suffit de sélectionner le fichier, en bas dans l'onglet
Loggin, cochez les évènements que vous souhaitez logguer.
Le
bouton en bas à gauche
Afficher les logs
permet de visualiser le rapport, vous pouvez aussi voir les rapports à
partir du menu déroulant de l'icône System Safety Monitor puis
Afficher
les logs Applications
Pour
aller plus loin dans les règles d'applications
System
Safety Monitor permet d'affinité de façon très précision les
autorisations accordées à chaque processus.
Cette partie
demande des connaissances systèmes.. je vous recommande de n'utiliser
que les règles autoriser/refuser.
Cela se fait en
effectuant un clic droit sur le fichier puis
Permissions spéciales,
celles-ci sont aussi accessibles en bas de la fenêtre des règles
applications.
Les autorisations sont regroupées par
thèmes :
- Contrôle Système
où l'application pourra arrêter d'autres processus, fermer le système,
installer un pilote, avoir accès à la mémoire du système.
- Code/Dll
injection l'application pourra effectuer des
hook globaux, effectuer des contrôle à distance etc..
- Contrôle
de création de processus : permet ou non de
garder le processus en mémoire, l'application pourra executer d'autres
programmes non connu de System Safety Monitor, Ne pas vérifier
l'emprunte MD5 et enfin n'autoriser que l'exécution de l'application
par l'administrateur.
Enfin en effectuant un clic
droit puis Propriétés avancées sur une application, vous pouvez définir
- Si l'application peut démarrer certaines
processus ou non (processus enfant) ou être démarré par tels ou tels
processus (processus parant).
- Injecter des
DLL
- Charger un pilotes.
Ces
options sont très interressantes pour vérrouiller le système et
améliorer grandement la sécurité de votre ordinateur.
En
effet, prenons le cas des infections qui se propagent par mail. Ces
dernières envoient des mails contenant des pièces jointes piégées.. si
vous executez la pièce jointe, c'est l'infection.
Vous pouvez
alors régler votre client de messagerie (par exemple Outlook Express)
pour n'avoir le droit que de démarrer Internet Explorer (processus
enfant) et aucune autre application.. ainsi l'exécution de nouvelle
application à partir d'Oulook Express (et donc les pièces jointes
piégées) sera impossible.
De même pour Internet
Explorer, afin de ne pas se faire infecter via des failles de
sécurités, vous pouvez autoriser internet explorer à ne démarrer que
des logiciels comme Flash, Java, Google Toolbar et interdir le reste,
ainsi aucune infection ne sera possible.
Onglet Module
L'onglet
Module permet d'activer/désactiver et confirmer les modules
supplémentaires de System Safety Monitor.
Les modules
permettent de surveiller les modifications de certaines parties
sensibles du système comme :
- Certaines
clefs sensibles du registre Windows, comme les clefs
permettant de démarrer des programmes et qui sont utilisées par les
malwares pour se charger au démarrage de l'ordinateur
- Les
fichiers INI Windows (Fichiers de configurations Windows) qui
permettent aussi de charger des programmes (et donc des malwares) au
démarrage de Windows
- Le Menu Démarrer, certains
spywares/adwares ajoutent des icônes
- Les Services Windows utilisées par les
malwares/rootkits
- Internet Explorer le navigateur
WEB inclus dans Windows, cela permet de le protéger contre les
modifications (Hijack) comme la modification de la page de démarrage,
de recherche, l'ajout de sites dans les zones de confiances etc..
- La
protection des fenêtres contre les fermetures,
l'activation/désactivation et surtout la possibilité de cacher des
fenêtres. Certaines applications ont pour but de cacher des fenêtres..
des infections se servent de ces programmes pour cacher des
applications sur le système et permettant de les faire fonctionner à
l'insu de l'utilisateur, c'est par exemple, le cas des clients IRC
(notamment mIRC).. le client IRC tourne en fond, le pirate peut alors
contrôler le système à partir de commandes spéciales transformant le PC
en PC zombie.
Chacun
des modules est paramétrable par exemple pour les clefs du registre,
vous pouvez choisir les clefs à surveiller, en ajouter ou en supprimer.
De même pour Internet Explorer.
Vous pouvez
activer/désactiver tous les modules en effectuant un clic droit sur les
le menu de gauche puis désactiver/activer tous les modules.
Ceci
est possible aussi à partir du menu déroulant System Safety Monitor
puis
Modules
/ Activer/Désactiver tous les modules.
Vous
pouvez aussi cocher certains modules ou non pour en activer que
quelques uns.
Dans la partie module le bouton, l'option en
haut à droite
Activer ce Module
permet ou non de l'activer.
Concernant l'activation
des modules, cela dépend de l'utilisation que vous faites de
l'ordinateur.
Je vous conseille, par contre, très vivant
d'activer le module Services car les malwares ajoutent beaucoup de
services.
Enfin noter que le bouton en bas à gauche
Montrer
les alertes des modules permet de visualiser
le journal des alertes.
Générer un rapport
d'évènements
System Safety Monitor permet de générer un
rapport d'évènements au format HTML.
Le rapport est accessible
en effectuant un clic droit sur l'icone System Safety Monitor puis
Voir
le rapport complet (actuellement Voir le le
complet)
