24 июня 2008
В. Бычек. Впустить нельзя блокировать. Antispyware: что нового?
В. Бычек
Information Security № 3, 2008
Описание проблемы
То, что на сегодня spyware является основной угрозой для компьютеров корпоративных сетей и частных пользователей не вызывает никаких сомнений. Это аксиома. Также не вызывает сомнений утверждение, что основным источником заражения является web-браузинг.
Благодаря новым возможностям, предоставляемых Всемирной Паутиной, и в особенности повсеместному распространению социальных сетей, все большее количество несведущих в вопросах информационной безопасности людей регулярно обращаются к Интернет-ресурсам и становятся жертвами все более изощренных атак. Целью подобных атак является как похищение конфиденциальных и персональных данных, так и “зомбирование” компьютеров с целью последующего использования их ресурсов злоумышленниками.
Эффективная работа бот-сети определяется тремя составляющими, из которых она, условно, состоит:
- программа загрузчик, задачей которой является распространение собственного кода и кода программы бота, собственно выполняющей полезную нагрузку;
- программа бот, выполняющая полезную нагрузку (сбор и передача конфиденциальной информации, рассылка спама, участие в DDos-атаке и т. д.);
- управляющий ботнет, собирающий информацию от ботов и рассылающий обновления и, при необходимости, новые конфигурационные файлы “перенацеливающие” боты.
Все перечисленные составляющие написаны, как правило, на достаточно высоком уровне, имеют в арсенале средства подавления антивирусных продуктов, персональных межсетевых экранов и бороться с ними в большинстве случаев совсем непросто.
Рассмотрим основные методы борьбы со spyware и попробуем оценить насколько они эффективны.
Методы борьбы со spyware
Сигнатурный анализ
Классическим методом борьбы со spyware является сигнатурный анализ. Как и любой другой вид вредоносного кода, spyware можно определить по сигнатуре. Большинство вендоров имеет в арсенале подобные средства борьбы со spyware. Существуют также и бесплатные продукты, качественно реализующие сигнатурный метод. Данный метод неплох, но его эффективность при современном развитии угроз, связанных с распространением spyware недостаточно высока по следующим причинам:
- Для определения spyware по сигнатуре на стадии загрузки необходимо контролировать 100% Web-трафика (HTTP, FTP, желательно HTTPS) либо на шлюзе в Интернет, либо на рабочей станции. Это достаточно ресурсоемкая задача и решить ее без внесения серьезных задержек в работу пользователей могут немногие.
- База сигнатур должна быть актуальной, в противном случае новые штаммы spyware обнаружены не будут. Важно также понимать, что большинство ботов в первую очередь пытаются блокировать возможность обновления как персональных средств защиты от вредоносного кода, так и межсетевых экранов.
- Эффективнее всего spyware определяются по сигнатурам при тотальном сканировании файловой системы на актуальной базе сигнатур. Однако, такое сканирование занимает недопустимо много времени.
Проактивный анализ
Проактивные механизмы определения spyware существенно меньше зависят от актуальности баз, однако предъявляют еще более высокие требования к производительности как шлюзовых, так и персональных средств защиты. Для выявления на стадии загрузки spyware проактивные модули также требуют 100% проверки поступающего Web-трафика (HTTP, FTP, желательно HTTPS). На сегодняшний день, не смотря на все усилия антивирусных вендоров, проактивные системы анализа все же уступают по распространению сигнатурным методам анализа поскольку более сложны в реализации. Особенно сложен для детектирования тип программ-шпионов, использующих руткит технологии.
Анализ исходящего трафика
Очень эффективный метод, основанный на анализе исходящего трафика, генерируемого персональным компьютером. Существует ряд подходов к реализации подобного решения, эффективность которых существенно отличается:
- Применение персональных межсетевых экранов. Заключается в том, что персональный межсетевой экран контролирует все коммуникации персонального компьютера с внешним миром. Будучи корректно настроенным (что под силу не каждому) персональный межсетевой экран сигнализирует пользователю о трафике, который показался ему подозрительным и просит пользователя принять решение о легитимности трафика. В итоге пользователь, раздраженный вопросами, признает трафик легитимным и работе spyware больше ничто не мешает.
- Использование репутационных баз. Метод, реализуемый рядом поставщиков шлюзовых решений. Заключается в определении адреса, с которым устанавливается связь и по репутации адреса делается вывод о легитимности коммуникации. Недостаточная эффективность этого метода очевидна, поскольку за время обновления репутационных баз, ботнет может быть размещен на ресурсе с самой хорошей репутацией. Не стоит забывать и о ложных срабатываниях.
- Анализ сигнатур коммуникационных протоколов, когда трафик spyware обнаруживается на шлюзе и блокируется с одновременным уведомлением администратора безопасности о факте определения spyware на определенном компьютере в сети.
Выявление попыток переадресации (“drive-by”)
Распространенным методом инфицирования персональных компьютеров является метод переадресации, называемый также “drive-by”. В процессе реализации метода пользователь, оказавшись на “заряженном” вредоносным кодом сайте, незаметно для себя переадресовывается либо сразу, либо через несколько итераций на сайт, с которого происходит загрузка spyware. К сожалению, это чрезвычайно эффективный и трудно детектируемый метод, наиболее разумной технологией борьбы с которым опять же является доскональный анализ 100% кода Web-трафика, поступающего из Интернет.
Нейтрализация spyware
Как уже было отмечено ранее, эффективным способом детектирования и обезвреживания spyware является полное сканирование персональных компьютеров сети. Недостатком подобного метода является его продолжительность, измеряемая утомительными часами. Но если проверяются только определенные элементы системного реестра и файловой системы процесс сканирования и нейтрализации обнаруженного spyware занимает 2-3 минуты на компьютер.
В заключении хотелось бы заметить, что только комбинация перечисленных методов позволит достичь высокой степени защиты от угроз со стороны spyware.
Об авторе: Владимир Николаевич Бычек, руководитель направления eSafe, Aladdin
