Инженер Google вывел Sophos на чистую воду

Инженер Google вывел Sophos на чистую воду

...

Выступая на конференции Black Hat, сотрудник Google Тейвис Орманди предложил новый подход к оценке надежности антивирусной защиты. По его мнению, вместо участия в традиционных проверках на количество задетектированных образцов или качество устранения резидентных инфекций производителям следует попросту открыто говорить об используемых ими алгоритмах и технологиях, обеспечивая максимальную прозрачность для своих клиентов, а не прятаться за маркетинговой мишурой и жутко звучащими техническими терминами.


Чтобы проиллюстрировать свою мысль, специалист взял антивирусное решение компании Sophos и занялся информационно-технологической хирургией, намереваясь определить, что же в действительности стоит за словотворчеством маркетологов компании, которые составляли список особенностей и возможностей продукта. Посмотрим, что ему удалось узнать.

Для начала г-н Орманди занялся изучением антивирусных сигнатур. Его внимание привлекло заявление, что все детектирующие образцы перед выпуском обновлений обрабатываются экспертами-вирусологами. Анализ, проведенный им, показал, что на самом деле основная часть сигнатур руки человека не ощущала: по преимуществу они сгенерированы автоматически и часто ссылаются на нерелевантные фрагменты кода. Проблема в данном случае, естественно, состоит не в использовании технологий автоматизации (это плюс), а в отсутствии заявленного надзора за качеством записей в антивирусных базах - что может приводить к ложным срабатываниям.

Далее: в описании продукта заявлено активное противодействие попыткам эксплуатации уязвимостей. Г-н Орманди изучил этот аспект деятельности антивируса и обнаружил, что в операционных системах Windows Vista и выше модуль борьбы с эксплойтами загружается, подключается ко всем работающим процессам и... бездействует. Программный элемент просто присутствует в памяти, но не выполняет вообще никаких операций. Исследователь заметил вскользь, что автор этого функционала, видимо, имел слабое представление о некоторых аспектах защиты Windows.

Также, по заявлениям маркетологов, решение Sophos снабжено собственной надежной криптосистемой. Специалист проверил и ее тоже; защита оказалась не особенно прочной. Дело даже не в 64-битном шифровании (хотя современный негласный стандарт - 256 бит), а в том, что дешифровочный ключ хранится непосредственно в криптованном файле и может быть без особого труда извлечен оттуда. По этому поводу г-н Орманди сказал, что в данном случае перед нами и не шифрование даже, а обычная обфускация, которая не особенно напугает потенциального злоумышленника.

Нашел аналитик и другие изъяны: например, слабый эмулятор или неумение продукта работать с современными упаковщиками (хотя описание уверяет, что он на это способен). Кстати, черновик своей конференционной презентации исследователь отправил и в саму Sophos; там его изыскания восприняли доброжелательно и пообещали заняться исправлением указанных им проблем.

Аудитория г-на Орманди, однако, была обеспокоена подобными несоответствиями между декларациями и реальностью (хотя, казалось бы, специфика работы маркетологов должна была быть знакома большинству присутствовавших). Похоже, что специалист из Google по-своему прав: если бы компания-производитель прямо и открыто рассказала реальным и потенциальным клиентам о своем защитном решении (и в том числе о всех недостатках, выявленных г-ном Орманди), то пользователи, пожалуй, действительно успешно составили бы мнение о продукте безо всяких антивирусных тестов.

PC Magazine

Письмо автору

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

49% россиян уверены, что умеют распознавать фишинг и скам

«Лаборатория Касперского» вместе с Почтой Mail и Hi-Tech Mail выяснили, насколько россияне чувствуют себя уверенно, когда дело доходит до фишинга и скама. Почти половина участников опроса (49 %) заявили, что умеют отличать мошеннические сообщения, хотя многие признались: ошибки всё же случаются.

Четверть респондентов (24 %) сказали, что способны заметить обман только в самых очевидных случаях, а ещё 23 % честно признались, что разбираются слабо, но стараются быть осторожными.

Эксперты напоминают: схемы атак становятся всё сложнее, и иногда без специальных технологий выявить их невозможно.

Как пользователи защищаются

Каждый четвёртый (27 %) старается не открывать вложения и не переходить по ссылкам из сомнительных писем. 15 % критически оценивают каждое входящее сообщение, а 10 % проверяют адрес отправителя. Ещё один из десяти установил защитное ПО на компьютер или смартфон, 9 % настроили двухфакторную аутентификацию.

Некоторые идут дальше: проверяют ссылки перед переходом, наводя на них курсор, чтобы увидеть реальный адрес, или смотрят на домен в строке браузера. Часть опрошенных даже связывается с отправителем по другим каналам, чтобы убедиться, что письмо действительно от него.

Почему одних навыков мало

Эксперт «Лаборатории Касперского» Роман Деденок напоминает: базовые правила кибергигиены важны, но сегодня этого может быть недостаточно. Злоумышленники всё чаще шлют персонализированные письма от имени «отдела кадров», снабжая их поддельными вложениями. Такие атаки сложно заметить без технической защиты.

Со своей стороны почтовые сервисы используют антиспам-фильтры, машинное обучение и предупреждения о подозрительных письмах. Но, как отмечает Дмитрий Моряков из Почты Mail, решающим фактором всё равно остаётся внимательность самих пользователей: именно человек в итоге либо отражает атаку, либо становится её жертвой.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru