211service.com
Era antywirusów dobiegła końca
Dwa tygodnie temu laboratoria bezpieczeństwa komputerowego w Iran , Rosja , oraz Węgry ogłosił odkrycie Flame'a, najbardziej złożonego szkodliwego oprogramowania, jakie kiedykolwiek znaleziono, według węgierskiego CrySyS Lab.
Od co najmniej dwóch lat Flame kopiuje dokumenty i nagrywa dźwięk, naciśnięcia klawiszy, ruch sieciowy i rozmowy Skype oraz robi zrzuty ekranu z zainfekowanych komputerów. Informacje te zostały przekazane do jednego z kilku serwerów dowodzenia i kontroli obsługiwanych przez jego twórców. Przez cały ten czas żadne oprogramowanie zabezpieczające nie podniosło alarmu.
Flame to tylko ostatni z serii incydentów, które sugerują, że konwencjonalne oprogramowanie antywirusowe jest przestarzałym sposobem ochrony komputerów przed złośliwym oprogramowaniem. Flame był porażką branży antywirusowej, Mikko Hypponen, założyciel i dyrektor ds. badań firmy antywirusowej F-Secure, napisał zeszły tydzień. Naprawdę powinniśmy być w stanie zrobić to lepiej. Ale nie zrobiliśmy tego. Byliśmy poza naszą ligą, we własnej grze.
Programy, które są podstawą bezpieczeństwa komputerowego dla firm, rządów i konsumentów, działają jak oprogramowanie antywirusowe na komputerach osobistych. Zagrożenia są wykrywane przez porównanie kodu programów i ich aktywności z bazą danych sygnatur znanych złośliwych programów. Firmy zajmujące się bezpieczeństwem, takie jak F-Secure i McAfee, stale badają raporty o nowym złośliwym oprogramowaniu i odpowiednio aktualizują swoje listy sygnatur. Rezultatem ma być nieprzenikniona ściana, która powstrzymuje złoczyńców.
Jednak w ostatnich latach głośne ataki na nie tylko rząd irański, ale także rząd Stanów Zjednoczonych miały miejsce przy użyciu oprogramowania, które, podobnie jak Flame, było w stanie przejść przez oprogramowanie oparte na sygnaturach. Wiele zaawansowanych technicznie firm amerykańskich — w tym Google i firma zajmująca się bezpieczeństwem komputerowym RSA — było atakowanych w podobny sposób, aczkolwiek za pomocą tańszego złośliwego oprogramowania, w poszukiwaniu tajemnic korporacyjnych. Eksperci twierdzą, że również mniejsze firmy są rutynowo zagrożone.
Niektórzy eksperci i firmy twierdzą, że nadszedł czas, aby obniżyć poziom ochrony antywirusowej. To wciąż integralna część [ochrony przed złośliwym oprogramowaniem], ale to nie będzie jedyna rzecz, mówi Mikołaj Christin , naukowiec z Carnegie Mellon University. Musimy odejść od budowania linii Maginota, które wyglądają na kuloodporne, ale w rzeczywistości są łatwe do obejścia.
Zarówno Christin, jak i kilka wiodących startupów zajmujących się bezpieczeństwem, pracują nad nowymi strategiami obronnymi, aby utrudnić ataki, a nawet umożliwić tym, którzy są celem ataku, walkę.
Branża myliła się skupiając się na narzędziach atakujących, exploitach, które są bardzo zmienne, mówi Dmitri Alperovitch, dyrektor ds. technologii i współzałożyciel firmy CrowdStrike , kalifornijski startup założony przez weteranów branży antywirusowej, który otrzymał 26 milionów dolarów na inwestycje. Musimy skupić się na strzelcu, a nie na broni — taktyka, ludzkie elementy operacji, są najmniej skalowalne.
CrowdStrike nie jest gotowy do upublicznienia szczegółów swojej technologii, ale Alperovitch mówi, że firma planuje zaoferować rodzaj inteligentnego systemu ostrzegania, który może wykryć nawet zupełnie nowe ataki i śledzić ich pochodzenie.
Tego typu podejście jest możliwe, mówi Alperovitch, ponieważ chociaż napastnik mógłby z łatwością zmodyfikować kod wirusa takiego jak Flame, aby ponownie obejść skanery antywirusowe, nadal miałby ten sam cel: uzyskać dostęp i wyodrębnić cenne dane. Firma twierdzi, że jej technologia będzie opierać się na big data, co prawdopodobnie oznacza, że będzie analizować duże ilości danych związanych z wieloma śladami aktywności w systemie klienta, aby dowiedzieć się, które mogą pochodzić od infiltratora.
Christin z Carnegie Mellon, która ostatnio bada motywacje ekonomiczne i modele biznesowe cyberprzestępców, mówi, że ma to sens. Mówi, że koszty ludzkie tych wyrafinowanych ataków są jednymi z największych. Uszkodzenie ataku nie polega już na neutralizacji kawałka kodu od samotnego geniusza, ale na pokonaniu wykwalifikowanych grup ludzi. Potrzebujesz ekspertów w swojej dziedzinie, którzy mogą również współpracować z innymi, a są to rzadkości, mówi Christin. Mówi, że oprogramowanie obronne, które może zablokować najczęstsze taktyki, jeszcze bardziej utrudnia ataki atakującym.
Inne firmy zaczęły mówić w podobnych kategoriach. Wraca do hasła organów ścigania z lat 80.: „Przestępczość nie popłaca”, mówi Sumit Agarwal, współzałożyciel Bezpieczeństwo kształtu , kolejny startup w Kalifornii, który niedawno wyszedł z trybu ukrycia. Firma ma 6 milionów dolarów finansowania m.in. od byłego dyrektora generalnego Google, Erica Schmidta. Firma Agarwal również milczy na temat swojej technologii, ale jej celem jest podniesienie kosztu cyberataku w stosunku do opłacalności ekonomicznej, dzięki czemu nie warto go przeprowadzać.
Firmą o podobnym podejściu jest Mykonos Software, która opracowała technologię, która pomaga chronić strony internetowe, marnując czas hakerów na wypaczenie ekonomii ataku . Mykonos został kupiony przez firmę sieciową Juniper wcześniej w tym roku .
Firmy antywirusowe szybko zwróciły uwagę, że Flame nie był zwykłym wirusem komputerowym. Pochodził z bogatego świata międzynarodowego szpiegostwa. Jednak taka cyberbroń powoduje szkody uboczne (robak Stuxnet wymierzony w irański program nuklearny w rzeczywistości zainfekował około 100 000 komputerów), a cechy ich konstrukcji są adoptowane przez przestępców i grupy o mniejszych zasobach.
Jak mówi Agarwal z Shape Security, nigdy dotąd tak wiele miliardów dolarów technologii obronnej nie trafiło do domeny publicznej. Podczas gdy wojsko amerykańskie dokłada wszelkich starań, aby samoloty lub okręty podwodne nie dostały się w ręce innych, wojskowe złośliwe oprogramowanie, takie jak Flame lub Stuxnet, jest dostępne dla każdego, kto może je sprawdzić.
Agarwal i Alperovitch z CrowdStrike twierdzą, że rezultatem jest nowa klasa złośliwego oprogramowania wykorzystywanego przeciwko amerykańskim firmom dowolnej wielkości. Alperovitch twierdzi, że wie o stosunkowo małych firmach prawniczych, które są atakowane przez większych konkurentów, oraz o firmach zajmujących się zielonymi technologiami, które zatrudniają mniej niż 100 pracowników, i które mają na celowniku sekrety.
Alperovitch twierdzi, że jego firma umożliwi ofiarom walkę w granicach prawa, również poprzez identyfikację źródła ataków. Hakowanie byłoby nielegalne, ale istnieją środki, które możesz podjąć przeciwko osobom czerpiącym korzyści z twoich danych, które podnoszą koszty biznesowe atakujących, mówi. Mówi, że obejmuje to zwrócenie się do rządu o wniesienie sprawy do Światowej Organizacji Handlu lub ujawnienie tego, co stało się zawstydzające sprawców szpiegostwa przemysłowego.
Badania przeprowadzone przez Christin i innych naukowców wykazały, że istnieją przesmyki, które mogą pozwolić na stosunkowo proste działania prawne w celu zneutralizowania operacji cyberprzestępczych. Christin i współpracownicy przyjrzeli się oszustwom, które manipulują wynikami wyszukiwania w celu promowania nielegalnych aptek, i doszli do wniosku, że większość z nich można powstrzymać, ograniczając tylko kilka usług, które przekierowują odwiedzających z jednej strony internetowej na drugą. A naukowcy z Uniwersytetu Kalifornijskiego w San Diego wykazali w zeszłym roku, że dochód z większości światowego spamu przechodzi przez zaledwie trzy banki. Najskuteczniejszą interwencją przeciwko spamowi byłoby zamknięcie tych banków lub wprowadzenie nowych regulacji, mówi Christin. Te złożone systemy często mają skoncentrowane punkty, na których możesz się skoncentrować, i sprawiają, że przeprowadzanie tych ataków jest bardzo kosztowne.
Ale Agarwal ostrzega, że nawet kara w ramach prawa może być źle osądzona: wyobraź sobie, że jesteś dużą firmą i przypadkowo wpadasz na ścieżkę rosyjskiej mafii. Możesz wywołać większy problem, niż zamierzałeś.