好消息!你已经拥有下一代杀软了
作者:星期五, 四月 22, 20160

科技厂商通常会将自己的解决方案归类为“下一代”,寄希望于习惯购买“上一代”产品的顾客会心痒升级。他们会促使Gartner之类的分析公司推荐“下一代”产品,这样就能把当前市场领导者挤进历史的垃圾桶里。毕竟,谁敢在Gartner说你需要“下一代”防火墙的时候还固守原来的那套呢?

640.webp (12)

然而,在杀毒软件上,“下一代”这种冠名方式,毫无意义。杀毒软件就是,也一直都是杀毒软件。今天的终端防护平台,通常都会定期更新病毒特征码和检测引擎。换言之,如果你已经有了一套终端防护解决方案,你就已经拥有了下一代杀毒软件(NG-AV)——就在每天早晨静静集成进来的“.dat”文件中。

然而,不幸的是,这还不够。在威瑞森《2015数据泄露调查报告》中,70%的数据泄露都是由受害公司无法检测出的恶意软件造成的。攻击者进化的速度,超出了终端防护平台(EPP)厂商跟进的能力。

检测,其实是个有缺陷的防护策略,它注定会失败。图灵在1936年的停机问题就给出了明证。尽管NG-AV厂商宣称有了新的算法,你信吗?如果真有,那他们的产品必须比现有的表现好得多啊。但他们没有,所以,他们开始编故事,说即使是新算法,也是有局限性的嘛。

NG-AV 就是“虚假AV”,我们都知道那些所谓的局限性:

漏报:攻击者都在你系统里畅游了你还一无所知。

误报:更惨,让安全团队急于修复根本没受攻击的系统,既浪费时间金钱,又将他们的视线从真正的攻击上拉偏了。塔吉特数据泄露事件就是个极好的例子。

如今的网络态势,日均有30万个恶意软件新变种被发现,其中大多都用多态和加密来规避最新的检测方法。超过97%的恶意软件具多态性,专门针对特定终端开发。

根本没办法训练检测器,也做不到足够快地分发新病毒的特征码或检测引擎。检测技术面临着一个无法解决的数学难题:

“n字节的恶意软件,需要2的8n次方字节的空间才可以建模找出隐藏在多态性中的攻击。想搞定30字节的恶意软件,解码器需要分析匹配2的240次方个可能组合。我们可以做个形象的对比:宇宙中大约存在2的80次方个原子。”

顶着NG-AV王冠的伪装者们通常都披着机器学习、人工智能或深度学习的华丽外衣。但实际上,现有主要玩家都已经在用这些技术了——一个新人大约是不太可能在算法上领先一步的。而且,成名玩家同时还具有笼罩全球的优势和大把的研发预算。事实真相仅仅是:在检测界,根本就没有什么所谓的“下一代产品”——问题的根源在于:恶意软件执行之前就能被完美检测出的断言根本就是错的。

事后侦测才是关键。因为终端可能只是被所谓的“NG-AV”保护着,所以公司企业没准儿已经被人攻破而不自知。采用工具快速发现受攻击迹象才是真正重要的事。与“用检测来保护”的思路不同,事后侦测依赖于对每台终端的持续性低级监视,将应用执行、网络活动和文件系统/存储活动事件关联起来,查找数据泄露或者攻击者在内网巡游的迹象。

企业内集中监视数据,将数据发送至云端(如果规则允许的话),或者终端上及终端间事件的自主关联……有很多方法都可以让你自动建立起异常活动的精确视图,让你能够找出被攻击的迹象。

数据泄露避无可避。应用隔离能减小你的攻击界面。基于安全的虚拟化也是一种强有力的结构化组织方式,能够通过网络细分和数据中心工作负载虚拟化来减小攻击界面。甚至简单的网络分段,都可能拦住类似塔吉特遭到的那种攻击。在用户终端上,微虚拟化采用任务间CPU隔离,严格履行最小权限原则。硬件虚拟化则能切实实现隔离和安全转换。虚拟服务器和微虚拟化的终端可以防护它们自身、其上运行的应用程序、以及整个企业网络——通过减小攻击界面和丢弃应用程序每次执行时产生的临时性副产品,也就达到了无论是否遭到攻击,都能自动修复系统的目的。

隔离则彻底改革了事前检测:通过虚拟化形成的硬件隔离开辟了攻击检测新篇章——因为执行环境是如此安全,以致可以放心大胆地放任恶意软件运行。虚拟化允许对内存、文件系统、注册表改动和网络流量进行详尽的记录。这样的系统只报告已验证了的攻击,不用担心误报,还能提供有关攻击的完整详尽的鉴定报告,可用于在其他终端上针对同类攻击进行自动的实时的搜寻。

“下一代杀毒软件”比传统杀软强不了多少,但通过虚拟化安全实现的最小化权限原则,却能在数据泄露之前就封死出入口,还能告诉你未知的0-day攻击,让你能在内网中快速搜寻其他攻击迹象。

相关阅读

安全产品不安全 杀毒软件为网络攻击打开方便之门

 

关键词:

申明:本文系厂商投稿收录,所涉观点不代表安全牛立场!


相关文章