Vlákno názorů k článku CrowdStrike: budíček proti bezmyšlenkovitému nasazování bezpečnostních nástrojů od RedMaX - Spousta komentářů tady, tak odpovím takto zvlášť zcela...

Spousta komentářů tady, tak odpovím takto zvlášť zcela jasnou tezí:

Bezpečnost počítačů v lokální síti může být maximálně taková, aby důsledek zabezpečení pomocí bezpečnostního softwaru nepoznali uživatelé těch počítačů tím, že jejich výkon klesnul pod bod, kdy jim "bezpečnost" narušuje práci!

Protože ad absurdum si můžeme říct, že bezpečnostní software, který sebere 100% výkonu počítače, je nejdokonalejší, protože s titulu sebrání veškerého výpočetního času nedovolil, aby na PC vykonal zákeřnou činnost jakýkoli malware nebo i dotčený uživatel. Jenže k čemu pak je ten počítač, když se na něm nedá nic mimo "bezpečnost" spočítat?

Tohle vidim jako zásadní, ale bohužel je opak pravdou. Nám v práci ten FortiClient žere klidně 50% času, který potřebujeme k vykonání pracovní činnosti. To je přeci zrůdné, že nikomu nevadí, když produktivita práce klesne na polovinu za cenu údajné bezpečnosti!

Ale o tom pojednava samotny clanek... cetl jste ho vubec? Clanek rika jednu zakladni tezi - ten software je potreba nasazovat z rozmyslem. Ten clanek fakt nerika, ze bezpecnostni software nemate pouzivat. Samozrejme, ze tam nejaky overhead je... ale chcete-li jit ad-absurdum, tak vetsina vykonu se realne beztak ztrati v neoptimalizovanych userspace aplikacich. A pro priklady nemusime behat k nejakym specialitam... staci se podivat, jak funguji webove frontendy ruznych socialnich siti.

V momentě, kdy se výkon PC začne v důsledku bezpečnostních aktivit snižovat (obsazení paměti, uživateli dostupný výkon procesoru atd.), tak to už může začít vadit. Záleží, pochopitelně, na tom, co se na konkrétním počítači dělá. Nicméně na většině poběží nějaké Office, případně "vylepšené" nějakými specifickými makry, což je samo o sobě šíleně rozežraná záležitost. A O365 je podle mých zkušeností ještě daleko rozežranější.
A tyhle aplikace se mohou docela brzy začít zasekávat. Minimálně se budou se sekundovými odstupy vykreslovat na monitor již vložená písmenka a bude pomalá reakce např. přesun kurzoru v textu apod. Vkládání obrázků či tabulek se stane dost nepříjemnou činností. A pracovat s Excelem za situace, kdy pár sekund po kliknutí myší nevíte, jestli jste klikl na správnou buňku, taky není nic radostného.
Může dojít i ke zpomalení přepínání mezi okny otevřených programů.
A jakmile se tyhle jevy objeví, jde produktivita práce dolů a ještě navíc je to potencováno nepohodou a nespokojeností pracovníků.

Pochopitelně, minoritní uživatelé budou pracovat s nějakým kvalitním textovým procesorem (třeba vim) a finalizovat své dílo prostřednictvím systému TeX (a odvozených) a bude jim stačit na tu samou práci, a s rezervou, výkon PC s procesorem 486. Ovšem i ti budou nakonec naštvaní, že většinu výkonu jejich drahého stroje "žere" nějaká bezpečnost.

Vetsinu vykonu to vetsinou nezere, tak tu neblouznete o okrajovych situacich.

Stačí, aby to začalo žrát tolik výkonu, že se to o něj bude prát s některými náročnějšími aplikacemi.
Ostatně - z jiného soudku - někteří lidé si nedávají do počítače adblock proto, aby se jim nezobrazovaly reklamy, ale proto, aby jim do nich zaintegrované aplikace nebrzdily počítač.
Protože mám na liště ukazatel Sledování využití procesoru, tak vím, že některé webovky blokují i přes 75 % jeho výkonu a některé aplikace se po připojení k těmto stránkám skoro nedají používat.
Takže si dokážu představit, že špatně koncipovaný bezpečnostní SW lidem potíže dělat bude.

Problémem je, že útočníci jdou právě po endpointech, protože ví, že slabým článkem je právě lidský faktor a koncové zařízení. Proto razí phishing po mailech, sociálních sítích, sms, na webových vyhledávačích atd., útočí na zranitelnosti nultého dne, provádí main-in-the-middle útoky, zkouší krást identity atd. atd.

Chránit na centrálním místě je základ, ale to už dávno nestačí, zvlášť když bude mít zaměstnanec své zařízení (BYOD) a bude ho při přístupu do firemní sítě používat na domácí internetové přípojce s levným routerem (kde překvapivě firma nebude mít svou úroveň zabezpečení a chránit tento perimetr), nebo nedejbože na veřejných free wifi, kde lze snadno podvrhnout svůj hotspot a monitorovat veškerou činnost.

Jenze v modernim pojeti se nebavime o jednom procesoru, ale o vice jadrech. U novejsich platforem mate dokonce procesorova jadra z ruznou vykonnosti (a spotrebou). A tam muze byt zakopany pes - spatne napsana uzivatelska aplikace tam nemusi fungovat optimalne a i prostredky operacniho systemu nepocitajici s tim, ze ruzna jadra muzou mit ruznou vykonnost se na celkovem vysledku muzou take podepsat. Ostatne i "historicky" hyperthreading muze v nekterych pripadech napachat vice skody nez uzitku, bavime-li se o vykonu. Ale to jsme opet u tech low-level detailu... ktere z te ikonky v liste fakt nepoznate ;-)

Pochopil jsem správně, že je u vás produktivita práce přímoúměrná výpočetnímu výkonu PC, ma kterém zaměstnanec pracuje, tedy při 50% využití výkonu klesá na polovinu produktivita zaměstnance? To máte doložené empiricky nebo reálnými čísly?

Určitě není normální, aby jakákoli podpůrná bezpečnostní aplikace monitorující činnost procesů trvale využívala 50%+ výkonu systému, který monitoruje, to už spíš vypadá na těžku krypta ;-)

Nemusí trvale využívat 50%, to by nevadilo, kdyby těch druhých 50% stačilo, ale on bude v okamžiku otevření souboru využívat 100%, teda akci zpomalí a v okamžiku, kdy se na PC nic neděje, bude jeho aktivita někde okolo 0,1%. Dohromady 50%. A klidně mohou být intervaly obojího různé.
Příklad: potřebuješ otevřít za 1s jeden soubor, 3s se nic neděje a potom znovu. Stačí aby z 1s při otevření byly 2s a zpomalení je na polovinu. Takovou činností může být třeba prohlížení fotek.

Ano, prováděl a opakovaně. Vždycky to nakonec způsoboval bezpečnostní software, vystřídalo se jich několik.

Sorry, budete se muset spokojit s tím, co píšu.

Nejsme ve sporu. Jen upozorňuji, že se pořád používají, protože jsou kvalitní a v praxi nenahraditelné, aplikace z doby před objevením se vícejádrových procesorů a nejsem si jist, zda by je vůbec bylo možné (jednoduše a za rozumný peníz) přepsat a přeložit do nějaké vícejádrové varianty. A zda by nebylo lepší, kdyby OS dokázal těmto aplikacím předstírat, že jádro XYZ je procesor, na který jsou psané.

Jasně, ale přeci a nemá cenu to opakovat, protože už to zaznělo, ale otázkou je, jestli ten bezpečnostní software má smysl používat na té produkční stanici, protože on bude nakonec vždycky nějaký procesorový čas žrát. Jestli by náhodou neměl být předřazen jinde.
Článek je dobrej, ale realita je bláznivá. :-)

Ale vami popisovany stav se muze dit z ruznych pricin a ono "nic se nedeje" fakt nemusi byt jen vina software hlidajiciho bezpecnost. Ty problemy muze klidne zpusobovat neco jineho...

Ale ono holt provadet hlubsi analyzy pricin je moc prace, lidi chtej byt se vsim rychle hotovi a tak si v ramci hledani zkratek chteji rychle ukazat na vinika. Nebo jste snad provadel nejaky low level debugging, ze mate ve vsem az tak jasno? ;-)

Dodate ke svym zjistenim nejake technicke protokoly? ;-) Staci nalinkovat...

Takze to klidne muzeme uzavrit s tim, ze si proste jen vymyslite a objektivni data nemate ;-) Subjektivni pocity nejsou metrika.