Admin zu Antivirus Auschluss anregen

[QuickAndDirty]

Hallo Ich möchte, dass die Firebird Datenbankdatei Mein_Programm.FDB durch den Admin vom Zugriffsscann des Virenscanners ausgeschlossen wird.

By symantec kann ich prüfen ob die Datei ausgeschlossen ist in dem ich als Admin in der Registry nachschaue
HKEY_LOCAL_MACHINE\Software\Wow6432Node\Symantec\S ymantec Endpoint Protection\AV\Exclusions.

Dann kann ich dem User bei jedem Start eine Meldung geben. "Bitte kontaktieren sie ihren Admin...bla" das der Auschluss vorgenommen wird.

Gibt es eine API um die Auschlussliste aus zu lesen?
Die Antivirus Api ist wohl nur zum einbinden eines Antiviren Programms und nicht zum auslesen seiner Einstellungen.
Muss ich alle Potentiell aggressiven Virenscanner kennen und einzel die Ausschlussliste aus der Registry versuchen auszulesen?

Gibt es andere Lösungen?
Was ist mit dieser. Ich sichere die Datenbank und schreibe den Testviruscode in das original.
Dann löscht der Virenscanner die Datei und der Admin musss einen Ausschluss definieren damit das nicht passiert.
Leider ist die FDB auch mal größer...also nicht mal eben kopiert

[Neutral General]

Du kannst die Werte ja einfach selbst aus der Registry auslesen.

Aber wofür überhaupt?
Wir und unsere Kunden benutzen auch Firebird Datenbanken und ich kenne keinen Fall wo Virenscanner irgendwelche Probleme gemacht hätten.

[Dalai]

Zitat von QuickAndDirty:

Gibt es eine API um die Auschlussliste aus zu lesen?

Sicher nicht nur eine. Da wird jeder Scanner seine eigene haben, wenn überhaupt. Der Sinn eines Scanners ist ja aber, dass er eben nicht irgendwelche Interfaces hat, die Schadsoftware Angriffsfläche bieten kann.

Zitat:

Muss ich alle Potentiell aggressiven Virenscanner kennen und einzel die Ausschlussliste aus der Registry versuchen auszulesen?

Wer sagt, dass Scanner X seine Einstellungen in die Registry schreibt? Avast z.B. schreibt seine Einstellungen (unter anderem) in eine avast5.ini, wobei ich nicht genau weiß, ob die Ausschlussliste dort ebenfalls zu finden ist.

Zitat:

Gibt es andere Lösungen?

Warum willst du überhaupt darüber bestimmen, ob (d)eine Datenbank von dem jeweils im Einsatz befindlichen Scanner gescannt wird oder nicht? Das muss ja einen Grund haben. Wenn ja, dann schreib diesen in die Doku oder die Systemanforderungen deiner Software. Ich würde noch nicht einmal so weit gehen und darin empfehlen, die DB vom Scan ausnehmen zu lassen, denn der Admin ist für die Sicherheit des LANs verantwortlich und wird i.d.R. wissen, was er tut!

MfG Dalai

[Bernhard Geyer]

Also wir haben auch (Embedded) DB die wir beim Kunden haben (auch im GB-Bereich) und haben eigentlich nie (bzw. nur sehr selten und da ist es nicht klar ob hier Virenscanner, DB-Engine oder was anderes Schult ist).

Nur im Fall wenn der Kunde sich beschwert da die Geschwindigkeit der Anwendung zu langsam wäre geben wir ihm den Hinweis die DB-Dateien vom Scan auszunehmen.
Da hier oft auch eine Zentrale Installation/Konfiguration wirk hätten wir auf Clientseit eh wenige Chancen das zu prüfen.

Und eine Test mit einem Pattern halte ich für eine sehr schlechte Idee. Hier würdest du u.U. zu viel staub Aufwirbeln und einen ganz schlechten Eindruck bei der IT hinterlassen.

[QuickAndDirty]

Zitat von Neutral General:

Du kannst die Werte ja einfach selbst aus der Registry auslesen.

Aber wofür überhaupt?
Wir und unsere Kunden benutzen auch Firebird Datenbanken und ich kenne keinen Fall wo Virenscanner irgendwelche Probleme gemacht hätten.

Wir haben kunden bei denen gehen die FDBs durchaus mal regelmäßig kaputt. Das hört oft auf, wenn diese vom Virenscanner ausgeschlossen werden.

[QuickAndDirty]

Zitat von Dalai:

Zitat von QuickAndDirty:

Gibt es eine API um die Auschlussliste aus zu lesen?

Sicher nicht nur eine. Da wird jeder Scanner seine eigene haben, wenn überhaupt. Der Sinn eines Scanners ist ja aber, dass er eben nicht irgendwelche Interfaces hat, die Schadsoftware Angriffsfläche bieten kann.

Na ja, es gibt ja auch eine Firewall API in Windows...Die verwendet das Setup auch um Ports zu öffnen.


[QUOTE=Dalai;1261402]

Zitat von QuickAndDirty:

Zitat:

Muss ich alle Potentiell aggressiven Virenscanner kennen und einzel die Ausschlussliste aus der Registry versuchen auszulesen?

Wer sagt, dass Scanner X seine Einstellungen in die Registry schreibt? Avast z.B. schreibt seine Einstellungen (unter anderem) in eine avast5.ini, wobei ich nicht genau weiß, ob die Ausschlussliste dort ebenfalls zu finden ist.

Also müsste ich mich eine kleine Bibliothek mit angepassten Lösungen für den jeweiligen Scanner entwickeln.

[QUOTE=Dalai;1261402]

Zitat von QuickAndDirty:

Warum willst du überhaupt darüber bestimmen, ob (d)eine Datenbank von dem jeweils im Einsatz befindlichen Scanner gescannt wird oder nicht? Das muss ja einen Grund haben. Wenn ja, dann schreib diesen in die Doku oder die Systemanforderungen deiner Software. Ich würde noch nicht einmal so weit gehen und darin empfehlen, die DB vom Scan ausnehmen zu lassen, denn der Admin ist für die Sicherheit des LANs verantwortlich und wird i.d.R. wissen, was er tut!

Was wenn es viele Kunden nutzen die keinen Hausinternen Admin haben. Die Qualität von externen Admins weißt ja durchaus eine große Bandbreit auf.

[nuclearping]

Wir nutzen auch Firebird Embedded für unsere Anwendung, die Datenbanken sind zwischen 7-10GB groß, je nachdem was die Anwender da an Datensätzen und Zusatzinformationen reinpacken.

Hatten bei ~1.000 Kunden bisher auch noch nie Probleme mit der Datenbank, weder mit Antivirus oder dass die DB "kaputt" geht. Höchstens mit einem externen Maintenance-Tool, wofür manche AV abgeschaltet werden mussten, da sie sonst "verdächtige Aktivitäten" gemeldet hatten und den Zugriff auf die DB blockierten.

Und was heisst "kaputt" im Detail? Einzelne Tabellen? Datensätze? Oder lässt sich die ganze DB nicht mehr als gültige FB DB ansprechen? Und wann tritt das auf? Während der Arbeit? Beim Start des Programms? ...?

Bist du sicher, dass es nicht bei dir irgendwo im Programm hakt? Transactions? Integritäten? Trigger? ...?

[QuickAndDirty]

Zitat von Bernhard Geyer:

Also wir haben auch (Embedded) DB die wir beim Kunden haben (auch im GB-Bereich) und haben eigentlich nie (bzw. nur sehr selten und da ist es nicht klar ob hier Virenscanner, DB-Engine oder was anderes Schult ist).

Wir haben einige Fälle wo der Virenscanner dran schuld war (zumindest empirisch nachvollziehbar).

Zitat von Bernhard Geyer:

Nur im Fall wenn der Kunde sich beschwert da die Geschwindigkeit der Anwendung zu langsam wäre geben wir ihm den Hinweis die DB-Dateien vom Scan auszunehmen.

Wenn es langsam wird prüfen wir ob die FDB oder das Log auf einer Platte mit abgeschaltetem Schreib/lese cache liegt.(z.b. bei allen Domaincontrolern der Fall)

Zitat von Bernhard Geyer:

Da hier oft auch eine Zentrale Installation/Konfiguration wirk hätten wir auf Clientseit eh wenige Chancen das zu prüfen.

Wir betreiben eine Bezeichnete eigene Instanz und eigene Installation von FB. Also wird unser setup auf dem Server ausgeführt. Hier könnte man prüfen ob der Virenscanner so eingestellt ist wie wir das gut finden.

Zitat von Bernhard Geyer:

Und eine Test mit einem Pattern halte ich für eine sehr schlechte Idee. Hier würdest du u.U. zu viel staub Aufwirbeln und einen ganz schlechten Eindruck bei der IT hinterlassen.

Natürlich wäre das die Holzhammer Methode. Würde vermutlich auch noch mehr Betreuungs-Aufwand erzeugen als vermeiden.

Vielleicht ist es doch am besten den Zustand einer zerstörten DB zu erkennen und diese automatisiert zu reparieren...

[QuickAndDirty]

Zitat von nuclearping:

Wir nutzen auch Firebird Embedded für unsere Anwendung,

Wir nicht. Wir nutzen einen Bezeichnete selbst installierte Instanz des FB2.5 standardmäßig im Superclassic mode (-C -M -N MYFB)

Zitat von nuclearping:

Und was heisst "kaputt" im Detail?[...]Oder lässt sich die ganze DB nicht mehr als gültige FB DB ansprechen?

Das!

Zitat von nuclearping:

Und wann tritt das auf? Während der Arbeit? Beim Start des Programms? ...?

Wissen wir nicht. Bei uns im Haus passiert das nie. Man kann dann nicht mehr Starten weil FB meint irgendwelche kaputten Einträge gefunden zu haben.
Es funktioniert nur noch eine Datensicherung zurrück zuholen.

Zitat von nuclearping:

Bist du sicher, dass es nicht bei dir irgendwo im Programm hakt? Transactions? Integritäten? Trigger? ...?

Da hakt es manchmal, diese Fehler erkennen wir und zum teil reparieren wir die auch selbst (Selbstheilungsfähigkeiten).

[nuclearping]

Hm ok. Wenn's die ganze Datei zerschiesst, dann scheint es wohl nicht vom Programm zu kommen.

Warum nutzt ihr den SuperClassic Mode, statt die Embedded Variante, wenn ich fragen darf? Mehrere Connections?

Wäre auch interessant zu wissen, welche AV das machen. Was wir bisher bei den Kunden gesehen hatten war so der gängige Standard. Avira, Avast, Norton, Kaspersky, ... Ich persönlich nutze Vipre, vorher Kaspersky. Wie schon gesagt, hatten bisher keine Kundenmeldungen, wo die DB kaputt war. Aber wir nutzen halt die Embedded Version. Möglicherweise hats was damit zu tun?

Aber ja, ich denke auch, dass es für euch wohl einfacher wäre, eine Bibliothek zu entwickeln, die die ganzen Ausnahmen der AVs handled, als eure Anwendung jetzt auf Embedded umzustellen, oder?