Инженер Google вывел Sophos на чистую воду

...

Выступая на конференции Black Hat, сотрудник Google Тейвис Орманди предложил новый подход к оценке надежности антивирусной защиты. По его мнению, вместо участия в традиционных проверках на количество задетектированных образцов или качество устранения резидентных инфекций производителям следует попросту открыто говорить об используемых ими алгоритмах и технологиях, обеспечивая максимальную прозрачность для своих клиентов, а не прятаться за маркетинговой мишурой и жутко звучащими техническими терминами.


Чтобы проиллюстрировать свою мысль, специалист взял антивирусное решение компании Sophos и занялся информационно-технологической хирургией, намереваясь определить, что же в действительности стоит за словотворчеством маркетологов компании, которые составляли список особенностей и возможностей продукта. Посмотрим, что ему удалось узнать.

Для начала г-н Орманди занялся изучением антивирусных сигнатур. Его внимание привлекло заявление, что все детектирующие образцы перед выпуском обновлений обрабатываются экспертами-вирусологами. Анализ, проведенный им, показал, что на самом деле основная часть сигнатур руки человека не ощущала: по преимуществу они сгенерированы автоматически и часто ссылаются на нерелевантные фрагменты кода. Проблема в данном случае, естественно, состоит не в использовании технологий автоматизации (это плюс), а в отсутствии заявленного надзора за качеством записей в антивирусных базах - что может приводить к ложным срабатываниям.

Далее: в описании продукта заявлено активное противодействие попыткам эксплуатации уязвимостей. Г-н Орманди изучил этот аспект деятельности антивируса и обнаружил, что в операционных системах Windows Vista и выше модуль борьбы с эксплойтами загружается, подключается ко всем работающим процессам и... бездействует. Программный элемент просто присутствует в памяти, но не выполняет вообще никаких операций. Исследователь заметил вскользь, что автор этого функционала, видимо, имел слабое представление о некоторых аспектах защиты Windows.

Также, по заявлениям маркетологов, решение Sophos снабжено собственной надежной криптосистемой. Специалист проверил и ее тоже; защита оказалась не особенно прочной. Дело даже не в 64-битном шифровании (хотя современный негласный стандарт - 256 бит), а в том, что дешифровочный ключ хранится непосредственно в криптованном файле и может быть без особого труда извлечен оттуда. По этому поводу г-н Орманди сказал, что в данном случае перед нами и не шифрование даже, а обычная обфускация, которая не особенно напугает потенциального злоумышленника.

Нашел аналитик и другие изъяны: например, слабый эмулятор или неумение продукта работать с современными упаковщиками (хотя описание уверяет, что он на это способен). Кстати, черновик своей конференционной презентации исследователь отправил и в саму Sophos; там его изыскания восприняли доброжелательно и пообещали заняться исправлением указанных им проблем.

Аудитория г-на Орманди, однако, была обеспокоена подобными несоответствиями между декларациями и реальностью (хотя, казалось бы, специфика работы маркетологов должна была быть знакома большинству присутствовавших). Похоже, что специалист из Google по-своему прав: если бы компания-производитель прямо и открыто рассказала реальным и потенциальным клиентам о своем защитном решении (и в том числе о всех недостатках, выявленных г-ном Орманди), то пользователи, пожалуй, действительно успешно составили бы мнение о продукте безо всяких антивирусных тестов.

PC Magazine

Письмо автору

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Kaspersky Safe Kids дополнили мониторингом истории просмотров на YouTube

«Лаборатория Касперского» усовершенствовала решение Kaspersky Safe Kids. Теперь в дополнение к функции «Безопасный поиск на YouTube», которая позволяет родителям видеть историю поисковых запросов на этом популярном видеохостинге, взрослые смогут мониторить и то, какие именно ролики смотрели их дети.

В версии Kaspersky Safe Kids для iOS расширены функции веб-контроля и контроля экранного времени. Первая позволяет просматривать историю поисковых запросов, ограничивать доступ к сайтам по категориям, создавать списки разрешённых/запрещённых сайтов и выборочно блокировать доступ, в том числе оставлять его только к разрешённым родителем сайтам.

Фильтрация доступна для большинства популярных браузеров. Что касается ограничения экранного времени, то раньше ребёнок просто получал уведомление, что разрешённое время использования устройства закончилось. Теперь, когда это происходит, устройство может быть заблокировано (в том случае, если родитель выбрал такую опцию), но так, чтобы оставалась возможность позвонить родителям.

«Большинство детей не представляют свою жизнь без смартфонов и цифрового контента. В первом квартале 2022 года в России самым популярным приложением у них, по нашим данным, по-прежнему оставался YouTube. На его долю пришлась почти четверть всего объёма времени, которое ребята проводили в десяти самых востребованных приложениях в первые три месяца года, — комментирует Анна Ларкина, эксперт «Лаборатории Касперского» по контентному анализу.

Взрослым хочется быть уверенными, что их ребёнку ничто не угрожает в сети, поэтому мы постоянно совершенствуем наше решение для детской онлайн-безопасности. С помощью функции истории просмотров можно попробовать лучше понять интересы ребёнка и использовать эту информацию во благо, для построения доверительных отношений. При этом важно помнить про личные границы, на которые ребёнок тоже имеет право».

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru