Компания Vigilant применила теорию информации для борьбы с угрозами

Компания Vigilant применила теорию информации для борьбы с угрозами

Специалисты фирмы намерены применять для противодействия вредоносному программному обеспечению математические методы измерения энтропии. Вычисляя степень неопределенности фрагментов в потоке данных, можно обнаруживать аномалии, которые, в свою очередь, способны указать на присутствие опасных приложений или активности злоумышленников.

Так, если последующий фрагмент полностью предсказуем на основании сведений о предыдущих, то можно говорить, что энтропия в рассматриваемом случае имеет нулевое значение. При равновесном выборе из двух вариантов (как в общеизвестном примере с подбрасыванием монеты) степень случайности соответствует одному биту энтропии, и так далее. В защите информации энтропию можно привлекать, скажем, для оценки надежности паролей: если абсолютно случайное кодовое слово, состоящее из восьми произвольных и ни разу не повторяющихся символов, может характеризоваться 52 битами энтропии, то при использовании определенных слов степень неопределенности пароля снижается в среднем до 18 битов - а, следовательно, взломщик может испробовать не все 252 комбинаций, а лишь наиболее вероятные 218 (существенно снизив тем самым время подбора).

Vigilant, однако, использует энтропию для других целей, а именно - для выявления атипичных образцов данных, которые могут быть соотнесены с вредоносным кодом. Похожая тактика успешно применяется в службах защиты от спама: если одна учетная запись отправляет письма на тысячи адресов, не имеющих никакой явной связи ни с ней, ни друг с другом, то можно с высокой степенью уверенности заключить, что рассылка является нежелательной. Эксперты компании уверены, что расчет показателя энтропии может быть столь же эффективно использован для отсеивания вредоносных объектов (поскольку многие инфекции генерируют случайные имена файлов), а также доменов. В частности, по данным Vigilant, степень неопределенности обычного доменного имени изменяется в пределах от 2,5 до 3,9 битов; следовательно, если энтропия превышает уровень в 4 бита, то перед нами, скорее всего, продукт работы вредоносного генератора случайных имен.

Еще один вариант применения соответствующих расчетов - борьба с программными шпионами, которые используются в долговременных атаках повышенной сложности (APT). Чтобы скрыть факт утечки сведений, шпионы часто шифруют информацию перед ее отправкой хозяину, но при передаче используют стандартный протокол HTTP, а не защищенное соединение. Обычный текст на естественном языке имеет невысокие показатели энтропии (например, для английского языка - от 0,6 до 1,5 бит); напротив, шифртекст по самой своей сущности должен характеризоваться как можно более высокой степенью непредсказуемости. Соответственно, если по обычному исходящему соединению вдруг начинают идти потоки данных с высоким показателем энтропии, то это явственно сигнализирует о попытке передать криптованные сведения - что, в свою очередь, вызывает обоснованные подозрения.

PC World

Письмо автору

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

В Кибер Бэкап 18.0 расширили поддержку Linux, увеличили производительность

Компания «Киберпротект» представила новую версию своей системы резервного копирования и восстановления данных — Кибер Бэкап 18.0. В обновлении разработчики сосредоточились на масштабируемости, поддержке новых источников данных и защите импортонезависимых инфраструктур.

Главное изменение — рост производительности и масштабируемости. Теперь один сервер управления Кибер Бэкапа способен защищать до 60 тысяч почтовых ящиков и 20 тысяч виртуальных машин.

Это позволяет централизованно управлять резервным копированием даже в крупнейших корпоративных инфраструктурах.

Новые источники данных и защита Linux

Кибер Бэкап 18.0 расширил поддержку операционных систем Linux — теперь система работает с ядрами вплоть до версии 6.14. Кроме того, в агент для Linux добавлен модуль активной защиты от вирусов-шифровальщиков, который с помощью ИИ распознаёт подозрительные действия, блокирует вредоносные процессы и восстанавливает повреждённые данные.

Поддержка новых платформ виртуализации

К числу поддерживаемых гипервизоров добавлены Proxmox VE и основанная на ней платформа «Альт Виртуализация». Это ускорило резервное копирование и снизило нагрузку на ресурсы виртуальных машин. Сейчас Кибер Бэкап поддерживает около 20 систем виртуализации и предлагает сценарии миграции с зарубежных решений на российские аналоги.

Интеграция с отечественными СХД

В версии 18.0 появилась поддержка аппаратных моментальных снимков виртуальных машин на базе YADRO TATLIN.UNIFIED, что заметно ускоряет процесс копирования в корпоративных ЦОДах.

Новые возможности для СУБД и коммуникаций

Обновление включает многопоточное резервное копирование PostgreSQL, что сокращает время создания копий больших баз данных. Также улучшена защита корпоративных сервисов: теперь поддерживаются кластерные конфигурации CommuniGate Pro и реализована интеграция с почтовым решением Mailion от «МойОфис».

API и новый медиасервер

Появился программный интерфейс (API) для управления планами резервного копирования, что расширяет возможности автоматизации. Кроме того, в комплект включена ознакомительная версия нового медиасервера — Кибер Медиасервер, который со временем заменит действующий узел хранения. Он уже поддерживает подключение к различным хранилищам — SMB/CIFS, NFS, iSCSI, FC, S3, Кибер Хранилище и YADRO TATLIN.UNIFIED.

Улучшения совместимости

В Кибер Бэкап 18.0 доработаны интерфейсы для работы с ленточными накопителями, расширена совместимость со сторонними решениями дедупликации, а также повышена эффективность защиты данных при передаче и аудите событий.

«Кибер Бэкап 18.0 позволяет быстрее и надёжнее защищать корпоративные инфраструктуры, предлагая проверенные функции и более гибкое управление», — отметил Дмитрий Антонов, директор направления систем резервного копирования «Киберпротекта».

Обновление делает систему более удобной для масштабных организаций и усиливает защиту в полностью импортонезависимых средах — от серверов до виртуальных машин и почтовых сервисов.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru