Ang industriya ng antivirus ay dapat tumuon sa pagtuklas batay sa pag-uugali

Ang mga computer virus ay umiral nang maraming, maraming taon. Sa mga unang araw, ang pagtuklas ay isang simpleng bagay sa pagtutugma ng mga file laban sa isang kilalang hanay ng mga lagda. Ang ilang mga programang antivirus ay nagsasama pa ng isang listahan ng lahat ng mga banta na maaari nilang makita. Iba-iba ang mga bagay sa mga araw na ito, kasama ng mga manunulat ng malware na nagsusumikap upang lumikha ng malware na ang mga morph at umuusbong upang hindi ito mahuli sa pamamagitan ng pagtukoy na nakabase sa lagda. Nakipag-usap ako kay Roger Thompson, Chief emerging Threat Researcher para sa ICSA Labs, tungkol sa kung paano kailangang baguhin ang mga programa ng anti-malware, at kung paano kailangang baguhin ang pagsubok ng mga produktong ito.

Ang Mga Way Way

Rubenking : Maaari mo bang sabihin ang ilang mga salita tungkol sa eksaktong kung ano ang ICSA Labs, at ano ang ginagawa nito?

Thompson : Pinatunayan namin ang mga produktong antivirus laban sa napagkasunduang pamantayan sa kasaysayan. Balik sa 90's nagkaroon ng pangangailangan upang makilala sa pagitan ng antivirus hype at aktwal, mga tunay na resulta ng mundo. Kung naaalala mo, pagkatapos ay masasabi ng mga tao ang anumang nagustuhan nila tungkol sa kanilang mga produkto, at walang sinuman ang maaaring patunayan o ipagtanggi ito. May pangangailangan para sa isang tao na may utak na sabihin, "Gumagana ito, hindi ito gumagana, hindi ito ginagawa kung ano ang sinasabi nito."

Sumang-ayon ang mga nagtinda na kailangan nila ng isang neutral na third party upang gawin ito. Siyempre, palaging mas mahalaga ang pagsubok laban sa mga virus na talagang naroroon sa ligaw kaysa laban sa isang kilalang "zoo." Kaya, ang wildlist ay lumaki ng pangangailangan na iyon - isang nagbebenta-neutral na komposisyon ng kilalang malware.

Bumalik din noong 90's, kinumbinse ni Alan Solomon ang lahat na ang mga generic-type na paraan ng pag-alis ng malware ay isang masamang ideya. Ang naisin sa halip ay ang ilang scanner na maaaring matukoy nang eksakto kung ano ang virus na naroroon at kung paano matanggal ito. Sumang-ayon ang mundo, at bumoto kasama ang kanilang mga pocketbook upang suportahan ang uri ng scanner.

Ang problema sa pangkaraniwang pagtuklas, ayon sa kasaysayan, ay sanhi ito ng mga tawag sa suporta. Ang sabi ng antivirus, nakita namin ang ilang proseso sa iyong system ay nagbabago ng mga ehekutibo, o nabago ang ilang maipapatupad na file; binago mo ba ito? Iyon ay nagreresulta sa isang tawag na suporta, at ang Fortune 500 ay hindi aprubahan. Sinasabi rin ng isang antivirus na nakabase sa lagda na "ito ay isang virus!" o wala namang sinasabi.

Paano Ito Magiging

Thompson : Mayroon pa ring isang pangunahing pangangailangan upang subukan ang mga scanner na nakabase sa lagda, upang matiyak na patuloy sila. Maaari ba nilang makita ito? Iyon ang nagawa, at mayroon pa ring pangangailangan. Gayunpaman, ang mga numero ay nagbago nang labis, mayroong isang malaking bilang ng mga bagay na fluff na nilikha araw-araw. Ang kinakailangan ngayon ay subukan din ang kakayahan ng anti-malware upang makita ang mga bagay na hindi pa nila nakita dati.

Rubenking : Fluff things? Ano ang ibig mong sabihin sa pamamagitan ng na?

Thompson : Alam mo, walang nakakaalam ng mga tunay na numero. Sinabi sa akin ng mga kalalakihan ng ESET ang higit sa isang beer na nakikita nila ang 600, 000 bago, natatanging mga sample sampung araw-araw. Naaalala ko ang isang ulat mula sa Symantec na nag-aangkin ng isang milyong bago at natatanging mga item araw-araw. Ngunit ang katotohanan ay, ang karamihan ay nilikha algorithmically. Ang mga masasamang tao ay nagbabago lamang ng ilang hindi mahalagang importansya, muling pagbabayad, muling pag-repack, at muling pag-encrypt. Pagkatapos ay suriin nila kung ang kasalukuyang mga scanner ay nakakita ng bagong bersyon. Kung hindi, pinakawalan nila ito.

Napakadaling makita kung ano ang alam mo na. Ito ay tulad ng stock market; "lang" bumili ng mababa at magbenta ng mataas. Ang bagay ay, sa mga natatanging virus na ito ay hindi nagbabago ang kalakip na pag-uugali, lamang ang mahimulmol na mga piraso. Ang aktibidad, Pagbabago ng Registry, pagbabago ng mga file … na ang pag-uugali ay hindi nagbabago. Kaya ang pagsubok ay dapat ilipat upang isama ang pag-block ng pag-uugali bilang bahagi ng pakikitungo.

Rubenking : Magdaragdag ka ba sa pagsubok sa susunod na henerasyon?

Thompson : Sinusubukan naming makakuha ng mga vendor upang sumang-ayon ito ay isang magandang bagay. Karaniwan silang sumasang-ayon, ngunit ang tunay na paggawa ng pagsubok ay hindi napakadali.

Rubenking : Ano ang kagaya ng iyong bagong proseso?

Thompson : Mahirap; na ang mga tao ay hindi nais na gawin ito. Magsisimula ka sa isang malinis na sistema, patakbuhin ang malware, at tingnan kung mai-install ito. Dapat mong suriin ang system nang napakahalagang pagkaraan. Naawa ba ng malware ang system? Binago ba nito ang mga registry key? Naging matatag ba ito, upang mabuhay muli ang isang pag-restart? Pagkatapos ay dapat mong ibalik sa isang malinis na basehan upang gawin itong muli.

Rubenking : Iyon ay tunog tulad ng pabago-bagong pagsubok na isinagawa ng AV-Comparatives.

Thompson : Oo, halos kapareho nito.

Rubenking : Handa ka nang pumunta, ngunit ang mga nagtitinda ay hindi, kung gayon? Kaya hindi mo alam kung kailan magiging bago ang bagong pagsubok?

Thompson : Handa kaming pumunta. Hindi ko alam kung ano ang katayuan sa mga nagbebenta; babalik tayo sa iyo. ] Gayundin, ang bahagi ng isyu ay ang paghahanap ng aming sariling mga mapagkukunan ng malware, pag-aani ng mga feed ng spam at tulad nito. Kailangan nating malaman kung ano talaga ang nasa labas.

Gawing Masigla ang Buhay para sa Masamang Guys

Thompson : Ito ang tamang paraan pasulong. Hindi namin mapigilan ang paggawa ng dati nating ginagawa, ngunit kapag ang mga tagabenta ng anti-malware ay nagdaragdag ng pag-block na batay sa pag-uugali ay nagiging mas mahirap para sa mga masasamang tao na matalo. Maaari nilang matalo ang mga lagda sa pamamagitan ng pag-tweet ng mga hindi mahalagang bagay, ngunit upang talunin ang pag-block sa pag-uugali na mayroon silang talagang baguhin ang mga pag-uugali, at makitungo sa iba't ibang mga kahulugan ng pag-uugali.

Rubenking : Kaya, ang isang magkakaibang hanay ng mga vendor ng anti-malware na may iba't ibang uri ng pag-block sa pag-uugali ay magpapahirap sa buhay sa mga masasamang tao?

Thompson : Eksakto. Ito ay katulad ng Swiss cheese analogy. Ang isang piraso ng keso ay may mga butas, ngunit kung mag-layer ka sa isa pang bit ay sumasakop ito sa mga butas. Ilagay sa sapat na mga piraso at walang mga butas na naiwan.

Rubenking : Salamat, Roger!