Михаил Савельев
Сегодня вряд ли кто будет спорить о том, что защищаться от вирусов надо. Это демонстрируют данные ежегодного отчета Ernst & Young. В зависимости от внешних условий изменяются и антивирусные технологии. Понимание грядущих изменений необходимо для того, чтобы сегодня сделать правильные инвестиции в обеспечение безопасности. Теме дальнейшего развития антивирусных средств и посвящен настоящий обзор.
Не так давно основным требованием к антивирусному программному обеспечению было количество улавливаемых вирусов. Затем внимание стало уделяться скорости обновления базы вирусных сигнатур, что, несомненно, и сейчас является одним из самых важных критериев оценки эффективности того или иного антивирусного продукта. Однако условия меняются, и те антивирусные компании, которые по старинке придерживаются данного подхода и строят стратегию развития исходя из принципа «быстрее всех поймаем любой вирус», все чаще терпят фиаско. Анализ причин сложившейся ситуации, вероятно, следует начать с того, что сейчас вредоносный код - это не только традиционные вирусы и черви, но и такие «незваные гости», как всякого рода вредоносное программное обеспечение: шпионское и рекламное, «троянские программы», фишинговые атаки и т. д. Не стоит забывать и о «набившем оскомину» спаме. Кроме того, сегодня все чаще приходится сталкиваться с комбинированными угрозами, как по способам распространения (через файлы или по сети, эксплуатируя уязвимости ПО), так и по воздействию на атакуемую систему (от задействования вычислительных ресурсов до кражи или уничтожения информации).
Сегодня вирусные угрозы отличают впечатляющие скорости распространения, особенно современных компьютерных червей. Например, эпидемия червя Sasser в 2004 г. в течение недели с момента возникновения охватила 80 млн компьютеров. По теоретическим прогнозам, распространение «заразы» по всей сети Интернет сегодня может произойти минимум за 15 минут, максимум - за несколько часов.
Сокращается и время, затрачиваемое злоумышленниками на разработку подобных вредоносных программ. Интервал между анонсированием уязвимости и запуском нового вируса составляет в среднем 5 дней. Именно столько времени понадобилось хакерам для создания червя Zotob в августе 2005 г. Для сравнения, на создание того же Sasser'a год назад ушло 18 дней. Так что «прогресс» налицо. Что касается атак DayZero, то здесь вообще не приходится говорить о каком-либо интервале, ибо для таких атак используются обнаруженные хакерами, но пока не анонсированные уязвимости. Стало быть, и сигнатурные методы обнаружения вредоносной активности уже не спасают. То, что было эффективно еще пару лет назад, при современных скоростях распространения «эпидемий» становится абсолютно неэффективным. Поэтому сейчас основные разработчики активно внедряют технологии поведенческого анализа, направленные на обнаружение аномалий в поведении программ и процессов, атак, использующих еще неизвестные уязвимости, а также вредоносного кода, для которого пока не разработано никаких сигнатур (или они не доставлены до всех пользователей антивируса).
Следует также отметить, что защита, реализованная только на серверах и рабочих станциях, уже не является гарантированно эффективной. При таком подходе бороться с «инфекцией» приходится уже внутри сети, что увеличивает размер ущерба от заражения и затрудняет восстановление системы. Выход в данном случае один - организация антивирусной обороны по периметру сети - на шлюзах и сетевых устройствах.
Антивирусные продукты для защиты рабочих станций и серверов до сих пор занимают львиную долю в общем объеме продаж антивирусных компаний, и до недавнего времени продукты ведущих мировых вендоров отличались главным образом функциональностью в области управления и создания отчетов. Но ситуация начинает меняться - расширяются функциональные возможности антивирусных программ для рабочих станций, мировые вендоры взялись за дополнения своих решений персональными межсетевыми экранами и антишпионскими модулями. Многим антивирусным компаниям уже удалось реализовать (хотя бы частично) эти принципы защиты в своих продуктах. Так, например, средства обнаружения шпионского ПО применяют такие производители, как Trend Micro, McAfee и Symantec.
Каким представляется антивирусное решение в будущем? Логично предположить, что первыми на рынке появятся решения того поставщика, кто сумеет грамотно и полностью реализовать требования, предъявляемые к антивирусному ПО владельцами крупных сетей.