1. Колко лесно е да бъдете хакнати, заразени или удавени в спам!
Категория: Сигурност
PC MAGAZINE
четвъртък, 15 Декември 2005 0:00ч
ЕДНА БИТКА, НА КОЯТО КРАЯТ НЕ СЕ ВИЖДА
За съжаление, колкото и добри да сме в разпознаването на зловредния код, никога няма да постигнем прецизността, която бихме желали. „Може би е невъзможно да стартираме една програма, която да следи всички случайни програми и да ни казва коя от тях е зловредна“, казва Чарлз Палмър, началник на отдела по сигурност и защита на личната информация на IBM Research. Иначе казано, ситуацията по отношение на сигурността ще се промени през идните години. Най-големият проблем е в това, че днешният антивирусен и антишпионски софтуер използва методи за откриване на зловреден софтуер на базата на сигнатури. Вирусът се „улавя“ в лабораторията, разпознава се, неговата сигнатура се извлича (тя представлява уникалният код, по който той се разпознава). След това тази сигнатура се изпраща на антивирусната система на вашия настолен компютър. След това системата сравнява сигнатурата с всички входящи програми и ако открие съответствие, разбира, че е открила вирус. Но тъй като от момента, когато даден вирус се разпространи по Internet, докато компютрите по света започнат да получават сигнатури за него, изтича известно време, вирусите имат възможност да се разпространяват подобно на епидемия; и това при предположението, че хората постоянно обновяват своите сигнатури – а не винаги е така.
Макар и бавно, ние разработваме процеси за разпознаване на зловредния код, преди той да бъде прихванат и разпознат в лаборатория. Някои компании доставчици на антивирусен софтуер, като Kaspersky, вече използват тъй наречените фамилии от сигнатури. С тях могат да бъдат открити нови червеи, работещи като по-стари. „Вместо да се използва точна сигнатура, която открива само един вирус, съществуват начини за „освобождаване“ на сигнатурата, за да е сигурно, че тя ще открие не само специфичния вирус, но и други вируси от същата фамилия“, казва Шейн Коурсън, главен консултант по технологии на Kaspersky Lab. Нещо повече – много разработчици използват прости евристични методи, благодарение на които могат да се откриват напълно нови вируси. При тях се използва статистически анализ на поведението на непознати приложения.
Защитна стена в паметта
Изследователите от MIT работят върху друг начин за улавяне на червеи: вместо да търси и разпознава сигнатури, програмата търси несъответстващ код.
Изследователите от института MIT са разработили евристичен метод, при който се използва тъй нареченият интерфейс за граници между приложенията (Application Boundary Interface ABI) на Windows. ABI се използва от приложения, за да могат да „общуват“ с различни части на операционната система. Microsoft е създала правила за ползването на ABI. Затруднението е в това, че тези правила никога не се прилагат на практика. Просто се приема, че програмистите, които пишат приложения, винаги спазват правилата на ABI, защото ако не го правят, техните програми няма да работят както трябва и ще създадат много проблеми. Но от гледна точка на един писач на вируси нарушаването на тези правила представлява просто още един начин за подронване на операционната система. Антивирусният софтуер може да разпознава вирусите, като проверява дали софтуерът нарушава правилата на ABI. „По този начин ние можем да спрем цял клас червеи, и то по много решителен начин, без фалшиви положителни сигнали казва Саман Амарасинге, главен технолог на компанията за защитен софтуер Determina и асоцииран професор по електроинженерство и компютърни науки в MIT. Сега търсим начини да разширим тези възможности и да разпознаваме още повече образци на базата на най-основните неща, които правят вирусите, и на някои фундаментални следи, които оставят те.“ Антиспамовият софтуер отдавна използва евристика, за да разпознава ненужната електронна поща. Макар че съществуват много инструменти, които могат да блокират доста голям процент спам, все още огромните му количества са признак, че доста ненужни електронни съобщения остават неуловени.
В IBM изследователите продължават да усъвършенстват филтрирането тип Bayesian. Те са създали собствена вътрешна антиспамова система, която постига 99 процента точност. Учените се надяват да спират още по-големи количества спам, като преработят системата за електронна поща, която използваме днес. Марк Уегман, главен софтуерен технолог на IBM Research, вярва, че най-добрият вариант е внедряването на нова система за електронна поща, която притежава тъй наречения печат за благотворителност (charity stamp). Когато изпратите електронно съобщение, системата ще изисква по електронен път да дадете малко пари за благотворителност – става дума за нищожна сума, например, по-малко от един цент. Повечето потребители не биха усетили тези суми, но един разпространител на спам, който изпраща хиляди електронни съобщения, ще бъде сериозно ужилен. „Има няколко възможни начина изпращачът на електронно съобщение да прави нещо, което би затруднило разпространителя на спам, но най-привлекателно е дарителството с благотворителна цел казва Уегман. Така нещо лошо се превръща в добро“. Методът на „печат за благотворителност“ не е идеален. Но това важи за всяка система, която се стреми да се бори със спама, вирусите и шпионския софтуер. Зловредните компютърни атаки ще продължават, но можете да сте уверени, че ще се справяме в борбата с тях.
