Сигнатурам пора на свалку?

Растущее количество вредоносных программ вызывает у экспертов по компьютерной безопасности сомнения в эффективности сигнатурной технологии. Этот метод сводится к поддержанию некоторой базы данных по известным вирусным угрозам, с помощью которой антивирус может узнать вредоносную программу «в лицо». Ставка делается на быстроту реагирования: как только появилась новая угроза, ее сигнатура должна быть добавлена в базу данных. Поэтому продукты, построенные исключительно на этой технологии, пропустят свежие вирусы, если не обнаружат их сигнатуры в своей базе.

«На сегодняшний день статические продукты, ориентированные на обеспечение безопасности компьютера, - это всего лишь начальный уровень, - прокомментировал Арт Ковьелло (Art Coviello), президент компании RSA, в интервью “Computerworld”. – Завтра их можно считать уже пустой тратой денег. Статических решений недостаточно для адекватного ответа на динамические угрозы». В будущем, по его мнению, все большее значение в антивирусной индустрии будут приобретать поведенческие анализаторы и «коллективный разум». Первые способны анализировать активность программы, квалифицировать некоторые действия как «подозрительные» и таким образом вычислять вредоносное ПО. Под «коллективным разумом» имеются в виду онлайновые базы данных, которые позволяют оперативно аккумулировать информацию о различных угрозах. Этими источниками, например, пользуются браузеры при оценке уровня безопасности того или иного сайта.

Вирусы прошлого - это массовые рассылки однотипного вредоносного кода, в расчете на промедление со стороны антивирусных вендоров. Вирусы будущего отличает полиморфизм. Охотники за вирусами обнаруживают тысячи вариантов одного и того же червя, в котором способность «умирать» и «рождаться заново» заложена на генетическом уровне. Так, существуют программы, мутирующие при каждой загрузке на компьютер жертвы: таким образом, все пользователи получают оригинальный образец кода. Вирусописатели создают программы, вставляющие в тело каждой новой компьютерной «заразы» случайный набор символов, чтобы создавать проблемы с ее обнаружением. Наконец, вирусы могут погибать и возрождаться каждые несколько минут, создавая свои собственные копии, не похожие друг на друга.

В «Лаборатории Касперского» признают, что в принципе вирусописатели впереди антивирусных компаний, поскольку невозможно заранее знать, какая новая вредоносная программа с использованием каких новейших технологий появится в конкретный момент. Однако отреагировать достаточно быстро – это вендорам по силам. «Только гибридная защита может обеспечить нужный уровень защиты, - считает Николай Гребенников, заместитель директора департамента инновационных технологий «Лаборатории Касперского». – То есть на текущий момент наилучшим решение мы видим такое, которое условно можно назвать «тройной щит»: модуль анализа поведения программ, модуль стандартного сигнатурного детектирования, модуль эвристического анализа». По его словам, от сигнатурного детектирования ни в коем случае нельзя отказываться, так как любые эвристические алгоритмы потенциально можно обойти, да и анализ поведения вредоносного ПО занимает больше времени.

«В нашу вирусную лабораторию приходят в месяц лишь 1-2 новые вредоносные программы, использующие общие полиморфные технологии, однако server-side полиморфов мы фиксируем действительно очень много. При этом стоит отметить, что проактивные технологии являются так же эффективными против полиморфных вирусов, как и против любых других, так как они основываются на анализе поведения программ, которое нельзя скрыть с помощью полиморфных технологий», - добавил Николай Гребенников.