211service.com
Wielosilnikowy bałagan antywirusowy
Kiedy na początku tego tygodnia Immunet ogłosił swój nowy produkt o nazwie Immunet Protect, jego podstawową zaletą będzie to, że jeśli grupa użytkowników uruchomi kolekcję różnych programów antywirusowych, metasilnik Protect będzie mógł wykorzystać ostrzeżenia o zagrożeniach tych produktów do informowania własnej populacji.
Immunet Protect zapewnia ochronę, wykorzystując zbiorową wiedzę o produktach zabezpieczających, które już używasz, a także wiedzę na temat aplikacji zainstalowanych w całej populacji użytkowników Immunet, firmie stwierdza w swoim komunikacie prasowym na technologii. Immunet Protect zbiera oceny bezpieczeństwa na temat tego, co jest, a co nie jest bezpieczne od swojej społeczności. Te zagregowane osądy są połączone w chmurę i, jeśli są słuszne, natychmiast udostępniane reszcie społeczności Immunet.
Jednak do środy firma zdecydowała się nie uwzględniać tego atrybutu w programie.
Jednym z bardziej kontrowersyjnych [atrybutów] było to, czy plik [może zostać] wykryty przez inny produkt [antywirus], napisał w czwartek w e-mailu Oliver Friedrichs, dyrektor generalny Immunet. Po rozważeniu implikacji postanowiliśmy nie robić tego posuwając się naprzód.
Pomysł ten stanowił problem, ponieważ firmy, które chcą wykorzystać wyniki działania wielu silników antywirusowych do ochrony swoich użytkowników, zazwyczaj muszą licencjonować silniki. Wykorzystanie wyników skanowania innego silnika antywirusowego na komputerze użytkownika mogło zostać uznane za naruszenie praw autorskich do antywirusowych baz danych.
Jednak w niektórych przypadkach branża wygląda inaczej. Firmy antywirusowe często wymieniają zagrożenia, które zidentyfikowały jako sposób ochrony ogólnej populacji przed masowymi epidemiami, mówi Pedro Bustamante, starszy doradca ds. badań w Panda Security. Co więcej, wiele firm antywirusowych używa komputerów, na których działa oprogramowanie antywirusowe konkurencji, aby działać jak kanarki i wykrywać zagrożenia, które mogły przeoczyć firmy. Następnie analitycy firmy biorą część pliku, aby sprawdzić, czy rzeczywiście jest złośliwy.
To mały, brudny sekret branży, mówi Bustamante. Wszyscy robimy to samo, jeśli chodzi o używanie produktów konkurencji do dodawania detekcji do naszych produktów. Gdy jedna grupa zobaczy zagrożenie, inne osoby szybko doda wykrycie.
Robienie tego ma tylko sens.
W artykule naukowym opublikowane przez trzech badaczy z University of Michigan , 10 głównych programów antywirusowych zostało przetestowanych pod kątem zbioru szkodliwego kodu. Nawet najlepszy silnik antywirusowy był w stanie wykryć tylko trzy czwarte nowo spakowanego szkodliwego kodu. Najlepszy silnik antywirusowy wykrył 90 procent niebezpiecznego oprogramowania zajęło trzy miesiące.
Jon Oberheide, doktorant na Uniwersytecie Michigan i główny autor artykułu, mówi, że tam, gdzie jeden silnik ulegnie awarii, wiele silników może odnieść sukces.
Skanowanie potencjalnie złośliwego oprogramowania za pomocą co najmniej dwóch silników znacznie poprawia dokładność. (Źródło: Oberheide i in.)
Mówi, że połączenie inteligencji wielu silników antywirusowych może przynieść znaczne korzyści w zakresie wykrywania złośliwego oprogramowania o zasięgu globalnym.
W artykule Oberheide i jego koledzy stwierdzili, że każdy pojedynczy silnik wykrywa od 40 do 80 procent wirusów w pierwszym tygodniu – użycie więcej niż jednego silnika antywirusowego do skanowania tego samego programu zwiększa wskaźnik wykrywalności do 75–95 procent w pierwszym tygodniu . Naukowcy z University of Michigan nazywają tę technikę ochroną wersji n.
Chociaż technika ta może pomóc firmom szybciej rozpoznawać zagrożenia, licencjonowanie trzech lub czterech silników na użytkownika byłoby zbyt drogie. Tak więc na razie automatyczne wykrywanie oparte na wielu skanerach antywirusowych wydaje się być ślepym zaułkiem.