211service.com
Obrona laptopów przed atakami zombie
Badacze z firmy Intel opracowali oprogramowanie zabezpieczające dla laptopów, które dostosowuje się do sposobu, w jaki dana osoba korzysta z Internetu, zapewniając bardziej dynamiczne i spersonalizowane podejście do wykrywania złośliwej aktywności. Oprogramowanie jest skierowane do korporacji, które rozdają laptopy i urządzenia mobilne pracownikom, ponieważ działy IT zwykle instalują to samo uniwersalne oprogramowanie zabezpieczające na całym swoim sprzęcie. Jednorodne podejście do bezpieczeństwa jest szybkie i łatwe, mówi Nina Taft , naukowiec w Intel Research Berkeley , ale ponieważ standardowe oprogramowanie nie uwzględnia wzorców korzystania z komputera przez różne osoby, może generować fałszywe alarmy i całkowicie pomijać niektóre ataki.
Jednym z powodów, dla których naruszenia bezpieczeństwa są tak powszechne, jest to, że większość naszych maszyn wygląda tak samo, mówi Taft. Mówi, że mają te same systemy operacyjne, te same aplikacje, te same protokoły i te same progi ruchu internetowego w ustawieniach bezpieczeństwa. Kiedy haker włamuje się do jednej maszyny, może włamać się do wszystkich… Próbujemy wprowadzić różnorodność do komputerów.
Typ oprogramowania zabezpieczającego wdrożonego przez większość działów IT zawiera komponent, który analizuje ruch internetowy przychodzący i wychodzący z komputera. Gdy ruch przekroczy ustalony próg, oprogramowanie sugeruje, że komputer jest zainfekowany. Mógł na przykład zostać zrekrutowany jako część botnetu, w którym jest zdalnie kontrolowany przez złośliwy komputer, który instruuje go, aby komunikował się z innymi zainfekowanymi maszynami. (Wiele spamu jest wysyłane z botnetów). Niektórzy ludzie jednak zwyczajowo wysyłają duże ilości informacji, które mogą wywołać alarm bezpieczeństwa, podczas gdy inni, którzy pozostają znacznie poniżej progu, mogą nieświadomie przenosić złośliwą aktywność.
W ramach projektu o nazwie Proteus badacze Intela opracowali kilka algorytmów, które mogą dokonywać bardziej zniuansowanych ocen. Jeden algorytm wykorzystuje standardowe techniki statystyczne i uczenia maszynowego do monitorowania korzystania z Internetu przez daną osobę i tworzenia zindywidualizowanych progów ruchu. Drugi algorytm mierzy, w jaki sposób użytkownicy Internetu zmieniają się w ciągu dnia. Taft odkrył, że nawyki ludzi znacznie się różnią, gdy używają firmowych laptopów do logowania się do sieci innych niż firmowe. Dziewięćdziesiąt procent ludzi zachowuje się zupełnie inaczej, gdy są w pracy niż w domu, mówi. Powiązanie różnych progów ruchu z różnymi profilami lokalizacji może poprawić zdolność oprogramowania zabezpieczającego do wykrywania zainfekowanych komputerów.
Myślę, że podstawowym wnioskiem jest to, że jeśli potrafisz być naprawdę precyzyjny w przechwytywaniu zachowań użytkowników, możesz znacznie utrudnić pracę atakującym, mówi Taft. Aby skutecznie zainfekować maszynę, która utrzymywała wiele różnych profili użytkowania, złośliwy haker musiałby wiedzieć, kiedy każdy z nich zastosował i jaki był próg ruchu. Ograniczasz zakres możliwości, jakie mają, by odnieść sukces, mówi Taft.
Trzeci zestaw algorytmów Proteus wykorzystuje te same zasady behawioralne do badania komunikacji między laptopami i innymi maszynami w Internecie. Botnety są koordynowane przez centralny host, z którym komunikuje się każda zainfekowana maszyna. Jednym ze sposobów wykrywania botnetów jest podsłuchiwanie tej komunikacji. Opracowaliśmy algorytmy, które sprawdzają aktywność dzwonienia do domu z pewną regularnością, mówi Taft. Zainfekowane maszyny zwykle dzwonią do domu co 6, 12 lub 24 godziny. Zespół Tafta wykazał, że nasłuchując okresowych połączeń z tą samą lokalizacją, oprogramowanie może określić, czy maszyna została zrekrutowana przez którykolwiek z trzech różnych botnetów, w tym Storm, wszechobecną sieć kontrolującą setki tysięcy, a być może miliony maszyn na całym świecie.
Taft twierdzi, że pomysł wykorzystania danych behawioralnych w celu zwiększenia dokładności oprogramowania zabezpieczającego nie jest nowy, ale w większości jego zastosowanie ogranicza się do routerów monitorujących aktywność sieciową. Proteus to pierwszy taki system przeznaczony do laptopów.
Taft nie jest jeszcze pewien, w jaki sposób ostateczna wersja Proteusa wpłynie na wydajność urządzenia, na którym działa. Mówi, że początkowo, gdy oprogramowanie tylko monitoruje zachowanie, będzie stale działać w tle. Po tym ma znacznie niższy poziom aktywności. Jedną z możliwości może być podłączenie Proteusa do obwodów komputera. Intel jest zainteresowany wprowadzeniem jak największej ilości [bezpieczeństwa] do sprzętu, mówi Taft. Jest to dobre wykorzystanie rdzeni [przetwarzania], a gdy rzeczy są w sprzęcie, trudniej jest nimi manipulować.
Nick Feamster , profesor informatyki w Georgia Institute of Technology, mówi, że behawioralne podejście do bezpieczeństwa nie było w przeszłości stosowane do laptopów, ponieważ nie istniał zautomatyzowany sposób tworzenia spersonalizowanych reguł. Ale behawioralna ochrona przed botnetami bardzo dobrze nadaje się do uczenia maszynowego, mówi.
Do tej pory naukowcy przetestowali system z 350 osobami i są w trakcie dyskusji z działem IT Intela na temat szerszego wdrożenia. W końcu jednak Proteus nie wystarczy, aby zapewnić bezpieczeństwo wszystkich komputerów przez cały czas, według Tafta. Jest tak wiele różnych sposobów na włamanie, mówi. Potrzebne będzie wiele kontroli bezpieczeństwa na komputerze.