Tests du firewall Neowatch

Les critères de choix pour un firewall personnel sont :

• Efficacité des protections : pénétration, troyens, surveillance des points faibles, dénis de service.

• Efficacité de la détection d'intrusion : minimum d'identification positives erronées, alertes sur les attaques dangereuses.

• Interface utilisateur : facilité d'utilisation, simplicité, qualité de l'aide en ligne, complémentarité de l'interface avec votre façon d'utiliser votre PC.

• Prix.

Comment les tests ont-ils été réalisés ?

1. Simple ping et tentative d'utilisation des partages réseau de et à partir de l'ordinateur de test.

2. Installation d'un outil utilisé comme troyen, bien connu et performant (Netbus Pro v2.1 [2]) sur un port non standard de l'ordinateur de test et tentatives d'accès à partir d'un système distant.

3. Un scan nmap [1] a été réalisé et comparé au scan nmap fait sans firewall (nmap ST -P0 -O IP_ADDR).

4. Un test utilisant Leaktest [4] a été réalisé.

5. Un test avec Leaktest [4] a été réalisé.

6. On vérifie les ressources système utilisées par le firewall pendant les tests (au cas où).

7. On essaie de lancer une version modifiée de IEXPLORE.EXE (C:\Program Files\Internet Explorer\IEXPLORE.EXE ) pour vérifier si le firewall détecte le problème.

8. Tests (avec nmap [1]) pour savoir si le firewall gère les contextes (statefull) ou est filtrant uniquement (filtering).

NB : Ces tests n'ont pas vocation à être exhaustifs bien au contraire. Cependant l'objectif reste de vérifier que le logiciel testé offre un minimum (ou non) de sécurité pour un usage personnel (à ne pas confondre avec l'usage professionnel).

Voir les résultats des tests.

• Possibilité de voir tous les paquets bloqués,

• Taille du fichier à télécharger : 1,3 Mo

Gratuit pour un usage personnel (à domicile).

1. Ping : Impossible (sécurité au niveau "Tight"). C'est un bon résultat.

2. Test Netbus : Neowatch ne détecte pas le démarrage du serveur Netbus mais empèche de s'y connecter et log la tentative. C'est un bon résultat.

3. Un scan nmap sans Neowatch (sur un OS Win 2000 avec une configuration "standard", c'est à dire NetBios actif etc.) :
   
   $ nmap -v -sT -P0 -O IP_ADDR
   
   Starting nmap V. 2.53 by fyodor@insecure.org ( www.insecure.org/nmap/ )
   Initiating TCP connect() scan against (IP_ADDR)
   Adding TCP port 445 (state open).
   Adding TCP port 135 (state open).
   Adding TCP port 1025 (state open).
   Adding TCP port 913 (state open).
   Adding TCP port 139 (state open).
   
   The TCP connect scan took 0 seconds to scan 1523 ports.
   
   For OSScan assuming that port 135 is open and port 1 is closed and neither are firewalled
   
   Interesting ports on (IP_ADDR):
   (The 1518 ports scanned but not shown below are in state: closed)
   Port State Service
   135/tcp open loc-srv
   139/tcp open netbios-ssn
   445/tcp open microsoft-ds
   913/tcp open unknown
   1025/tcp open listen
   
   TCP Sequence Prediction: Class=random positive increments
   Difficulty=6634 (Worthy challenge)
   
   Sequence numbers: 747E9CE8 747F63FC 74800BF5 7480E3FE 7481BC4F 7482B3B2
   
   Remote operating system guess: Windows 2000 RC1 through final release
   
   Nmap run completed -- 1 IP address (1 host up) scanned in 15 seconds
   
   Oups, il vaudrait mieux avoir un bon firewall pour se protéger !
   
   Un scan nmap TCP avec Neowatch (sur un OS Win 2000 avec une configuration "standard", c'est à dire NetBios actif etc.) avec le niveau de sécurité à "Minimal" :
   
   $ nmap -v -sT -P0 -O IP_ADDR
   
   Starting nmap V. 2.53 by fyodor@insecure.org ( www.insecure.org/nmap/ )
   Initiating TCP connect() scan against (IP_ADDR)
   Adding TCP port 445 (state open).
   Adding TCP port 135 (state open).
   Adding TCP port 1025 (state open).
   Adding TCP port 139 (state open).
   
   The TCP connect scan took 0 seconds to scan 1523 ports.
   
   For OSScan assuming that port 135 is open and port 1 is closed and neither are firewalled
   
   Interesting ports on (IP_ADDR):
   (The 1519 ports scanned but not shown below are in state: closed)
   Port State Service
   135/tcp open loc-srv
   139/tcp open netbios-ssn
   445/tcp open microsoft-ds
   1025/tcp open listen
   
   TCP Sequence Prediction: Class=random positive increments
   Difficulty=6634 (Worthy challenge)
   
   Sequence numbers: 747E9CE8 747F63FC 74800BF5 7480E3FE 7481BC4F 7482B3B2
   
   Remote operating system guess: Windows 2000 RC1 through final release
   
   Nmap run completed -- 1 IP address (1 host up) scanned in 10 seconds
   
   Ce qui montre qu'avec Neowatch les ports restent accessibles et les tentatives d'accès ne sont pas tracées. C'est un mauvais résultat .
   

4. Un scan nmap UDP avec Neowatch (sur un OS Win 2000 avec une configuration "standard", c'est à dire NetBios actif etc.) et le niveau de sécurité au niveau maximum "Total" :
   
   $ nmap -v -sU -P0 IP_ADDR
   
   Starting nmap V. 2.54BETA22 ( www.insecure.org/nmap/ )
   Host (IP_ADDR) appears to be up ... good.
   Initiating UDP Scan against (IP_ADDR)
   The UDP Scan took 4 seconds to scan 1453 ports.
   Interesting ports on (IP_ADDR):
   (The 1453 ports scanned but not shown below are in state: closed)
   
   Nmap run completed -- 1 IP address (1 host up) scanned in 4 seconds
   
   Ce qui montre qu'avec Neowatch , la sécurité semble bonne en UDP mais aucune trace dans la log ! C'est un résultat moyen.

5. Le test Leaktest : Neowatch ne détecte pas le démarrage de Leaktest (idem Netbus) et il lui est possible de se connecter. C'est un mauvais résultat.

6. Neowatch consomme jusqu'à plus de 50% de CPU pendant les scans et 3% en fonctionnement normal. Il consomme 3,2 Mo de mémoire et jusqu'à plus de 256 Mo de mémoire pendant les scans (en fait il génère des instances multiples de "Autotrace", j'en ai compté plus de 250 heureusement que j'ai 512 Mo de RAM ce qui m'a évité le crash système... le mieux est de désactiver la fenêtre d'avertissement car c'est elle qui consomme, de même ne pas ouvrir la log pendant les portscan... ce qui n'est pas évident à savoir car rien ne vous en prévient).

7. Le test de substitution : (vous pouvez le réaliser vous même par exemple : vous remplacez Iexplorer.exe avec leaktest.exe - celui-là même - en renommant ce dernier et en l'exécutant). Neowatch ne détecte pas le changement ni la connexion. Le troyen est capable de se connecter. C'est un mauvais résultat.

8. Le test statefull : Neoworks semble statefull (c'est un gain en sécurité mais risque d'être consommateur en mémoire/CPU) :
   
   $ nmap -sA -P0 IP_ADDR
   
   Starting nmap V. 2.54BETA22 ( www.insecure.org/nmap/ )
   All 1542 scanned ports on (IP_ADDR) are: filtered
   
   Nmap run completed -- 1 IP address (1 host up) scanned in 2299 seconds

1. Il est posible de spécifier des adresses IP de confiance (trusted) par exemple pour son réseau local.

2. Il est possible d'ignorer tous les paquets d'une source (adresse IP) spécifiée.

3. Un outil de recherche (backtrace) est fourni (peu utile mais sympathique).

4. Son prix !

1. L'option de fenêtre d'avertissement peut conduire à un ralentissement du système (voir à un crash), si un scan important est réalisé.

2. Ne détecte pas l'utilisation du réseau par les logiciels.

3. La fenêtre de log ralenti le système et se plante pendant les scans intensifs...

4. Vous ne pouvez pas spécifier un port/protocole à filtrer/autoriser.

• Ajouter la détection des logiciels réseau.

• Corriger le problème de consommation CPU et mémoire (avec la log et les fenêtres d'avertissement) !

• Internationalisation du logiciel.

Un bon logiciel avec de bonnes capacités de base qui surpassent celles de Blackice. Il reste encore du travail pour être aussi bon que ses concurrents.

Evaluation :

• Installation (2) : 12/20

• Configuration, Interface graphique (3) : 8/20

• Sécurité filtrage (5) : 12/20

• Sécurité complémentaire (3) : 5/20

• Utilisation mémoire et CPU du logiciel (2) : 3/20

• Import/Export de la configuration (2) : 0/20

• Aide, FAQ (2) : 10/20

• Internationalisation du produit (1) : 0/20

Total : 7,45 / 20

Note : Ce résultat peu être modifié selon la version logicielle, lors de l'ajout de nouveaux critère, la modification de leur importance ou de leur contenu et mode d'évaluation.

1. Nmap - Network mapper, un outil très efficace pour scanner et tester l'activité réseau -
   http://www.insecure.org/nmap

2. Netbus Pro - Programme de contrôle à distance souvent utilisé comme outil d'attaque pour contrôler un PC distant.
   http://www.netbus.org/
   download

3. Neowatch 2
   http://www.neoworx.com/
   download

4. Leaktest - Petit logiciel de test réalisé par Steve Gibson afin d'éprouver les firewalls les plus répandus (et les autres). Il fait une simple connection ftp standard censée simuler l'envoi d'informations personnelles à votre insu, voire un mécanisme simple de prise de contrôle à distance en mode opposé (oups).
   http://grc.com/
   download