SafeGroup

Interesujący i chyba nieco kontrowersyjny artykuł po raz kolejny zaprezentowało FireEye ...oryginalny tytuł brzmi "Ghost-Hunting With Anti-Virus" , a jego przesłaniem jest właściwie jedno stwierdzenie - programy AV w swojej klasycznej postaci stają się...właściwie już są...przestarzałe, a ich skuteczność nie dorównuje inwencji twórców malware.
Artykuł nawiązuje do

[Aby zobaczyć linki, zarejestruj się tutaj]

, w których wykazano, że skuteczność programów AV w wykrywaniu nowych zagrożeń jest na poziomie 5%, niektórym producentom wykrycie próbek zajmuje nawet kilka tygodni, a najlepiej w teście spisały się darmowe wersje Avasta I Emsisoft. Nie potwierdza ich bezpośrednio, wskazuje jednak, że "coś jest na rzeczy", bo pokazuje, że wykrywanie malware to jak "polowanie na duchy"...coś jest i zaraz tego już nie ma.
Artykuł oparty jest na prezentacji Zheng Bu- vice szefa do spraw badań w FireEye - wygłoszonej na ostatniej konferencji RSA. Na podstawie niemal pół miliona próbek przeanalizowanych przez 2 ostatnie lata ustalono ciekawy trend w życiu infekcji - wynika z niego, że
- większość malware nie "żyje" dłużej niż 2 godziny
- 82% zanika przed upływem jednej godziny
- 70% malware pojawia się tylko raz.
Poniższy diagram ukazuje właśnie zależność pomiędzy ilością próbek malware (oś pionowa), a czasem ich życia (oś pozioma)

[Aby zobaczyć linki, zarejestruj się tutaj]

Tak krótki cykl życia niezwykle mocno wpływa na jakość przygotowywanych przez producentów sygnatur i właściwie w pewnych przypadkach nie jest to możliwe - życie poszczególnych odmian trwa na tyle krótko, że nie da się skutecznie próbek zanalizować, opisać i stworzyć sygnatury. Konkluzją jest następująca: należy przedefiniować własne podejście do budowania skutecznych rozwiązań przeciwko malwaretylko na bazie AV i skupić się na nowoczesnych metodach przeciwdziałania i proaktywnej ochrony.
Problem nie jest wydumany, a na dowód powołują się ostatnie wystąpienie Briana Dye ("senior vice president" w firmie Symantec) - kilka cytatów o tym poniżej

Cytat: Antivirus "is dead,"says Brian Dye, Symantec''s senior vice president for information security."We don''t think of antivirus as a moneymaker in any way."
(...)
Mr. Dye, who has spent more than a decade with Symantec, says it was galling to watch other security companies surge ahead. "It''s one thing to sit there and get frustrated,"he says. "It''s another thing to act on it, go get your act together and go play the game you should have been playing in the first place."

Źródło cytatu

[Aby zobaczyć linki, zarejestruj się tutaj]

Artykuł źródłowy FireEye

[Aby zobaczyć linki, zarejestruj się tutaj]

AV powien być tylko dodatkem do innych zabezpieczeń (piaskownica, firewall, HIPS...itp)!
AV które w przyszłości będą ściągać sygnatury (jeżeli będą na dysk ściągać), to zamulą dysk. Będzie coraz więcej sygnatur, a ich rozmiar łącznie gigantyczny i coraz więcej. To by byłatragedia!

zbc napisał(a):AV które w przyszłości będą ściągać sygnatury (jeżeli będą na dysk ściągać), to zamulą dysk. Będzie coraz więcej sygnatur, a ich rozmiar łącznie gigantyczny i coraz więcej. To by była tragedia!

Niezupełnie dobrze to ująłeś. Myślisz, że teraz (po przykładowo 20 latach tworzenia sygnatur przez niemałą ilość laboratoriów) nie jest ich na tyle dużo, żeby "zamulić dysk"? Oczywiście, że sygnatur jest ogrom, ale liczy się ich konstrukcja.

Cytat:
Jedna sygnatura może rozpoznawać nawet kilka-kilkadziesiąt odmian malware, ale musi być odpowiednio skonstruowana dla jak najlepszej wydajności. Wzorzec identyfikujący wirusa nie może być zbyt, krótki ponieważ spowodowałoby to w najlepszym wypadku wyświetlanie zbyt wielu fałszywych alarmów (false positive), ale nie może być też zbyt obszerny, ponieważ wpłynęłoby to negatywnie na szybkość skanowania. We wzorcu muszą znajdować się jedynie fragmenty charakterystyczne dla malware, co ułatwia detekcję wielu zagrożeń jedną sygnaturą, gdy kilku różnych programistów wykorzystało tę samą metodę np. infekcji plików. Do rozwiązania problemu konstrukcji sygnatury stosuje się parę krótkich wzorców, które muszą znajdować się w skanowanym obiekcie, by można było stwierdzić, że jest on wirusem. Sygnatura służąca wykrywaniu wielu niezależnych zagrożeń nazywana jest sygnaturą generyczną – nie służy identyfikowaniu poszczególnego, unikalnego zagrożenia, a identyfikuje fragment kodu odpowiadający za złośliwe zachowanie wielu różnych obiektów.

Przecież na bieżąco pobierane sygnatury nadpisują starszą bazę, a nie dopisują się do niej (niepotrzebnie zajmując miejsce na dysku twardym)... W takim wypadku wzrasta ilość wykrywanych zagrożeń dla danej sygnatury generycznej. Po określonym czasie sygnatura wykrywająca 50 odmian złośliwego kodu, może wykrywać 150 bez względnego przyrostu wagi samej bazy, która sygnaturę zawiera. Ponadto odsyłam do teorii modułów heurystycznych, które mimo działania w dużej mierze z sygnaturami, analizują kod pod względem jego wykonywania, a nie ciągu znaków

Czyli zmierzcha Bitdefendera i powrót Nortona, czyli Whitelisty? Póki co bitek/kasper dają radę....

Sądzę, że jest w tym sugestia żeby porzucić klasyczne antywirusy i masowo przechodzić na rozmaite "chmury", gdzie polityka prywatności jest mocno rozmyta lub ściemniona. Nie twierdzę, że ów raport powstał na zamówienie ale dziwne to wszystko...

Infekcje potrafią być coraz bardziej wyrafinowane, jak np Stuxnet, którego poszczególne komponenty nie były ze sobą kojarzone przez chyba 3-4 lata i potrafią ważyć nawet 50 MB...mogą być również prościutkie, żyć krótko i ważyć ledwie 50 KB. Różnorodność mechanizmów jest tak ogromna, że mechanizmy profilaktyczne (ograniczenia uprawnień, izolacja, wirtualizacja) w aplikacjach będą musiały się komplikować i stawać się równie wyrafinowane...staną się wtedy dla większości również mniej zrozumiałe, co narzuci z kolei konieczność ułatwienia ich obsługi dla użytkownika niezaawansowanego...a czy to przełoży się na skuteczność?...trudno prorokować
Chmury to też wyjście, ale to metoda oparta na zbiorczych...kolektywnych...sygnaturach bazujących też na informacjach użytkowników. To szybsza metoda sporządzania czarnych list-sygnatur, ale obarczona błędem...żytkownicy ich nie analizują samodzielnie tylko w większości bazują na jakiś niepokojących objawach czy komunikatach i jest to ocena subiektywna.
Na pewno już trwają prace nad bardzo wyrafinowanymi mechanizmami detekcji czy heurystyki, ale one będą dotyczyć głównie rozwiązań korporacyjnych/komercyjnych, a zanim to dojdzie do rzeszy prywatnych użytkowników pewnie miną lata całe jeszcze.

U kasperskiego dało się zauważyć, że konsolidują co jakiś czas bazę sygnatur (pewne odmiany są grupowane), np. jak pisało w pewnym okresie (ponad pół roku temu) ok. 9mln sygnatur, stopniowo w okresie 2-3 miesięcy liczba ta spadła do ok. 6mln. Na dzień dzisiejszy jest ok. 7,8mln sygnatur.

dobrze pisze