Antivirus-æraen er forbi

For to uger siden i dag kom computersikkerhedslaboratorier ind Iran , Rusland , og Ungarn annoncerede opdagelsen af ​​Flame, den mest komplekse malware, der nogensinde er fundet, ifølge Ungarns CrySyS Lab.

I mindst to år har Flame kopieret dokumenter og optaget lyd, tastetryk, netværkstrafik og Skype-opkald og taget skærmbilleder fra inficerede computere. Disse oplysninger blev videregivet til en af ​​flere kommando-og-kontrol-servere, der blev drevet af dens skabere. I al den tid slog ingen sikkerhedssoftware alarm.

Flame er blot den seneste i en række af hændelser, der tyder på, at konventionel antivirussoftware er en forældet måde at beskytte computere mod malware. Flame var en fiasko for antivirusindustrien, Mikko Hypponen, grundlæggeren og forskningschefen for antivirusfirmaet F-Secure, skrev sidste uge. Vi burde virkelig have kunnet gøre det bedre. Men det gjorde vi ikke. Vi var ude af vores liga i vores eget spil.

De programmer, der er omdrejningspunktet for computersikkerhed for både virksomheder, regeringer og forbrugere, fungerer som antivirussoftwaren på forbruger-pc'er. Trusler opdages ved at sammenligne softwareprogrammernes kode og deres aktivitet med en database med signaturer for kendt malware. Sikkerhedsfirmaer som F-Secure og McAfee undersøger konstant rapporter om ny malware og opdaterer deres signaturlister i overensstemmelse hermed. Resultatet formodes at være en uigennemtrængelig mur, der holder de onde ude.

Men i de senere år har højprofilerede angreb på ikke kun den iranske regering, men også amerikanske regering har fundet sted ved hjælp af software, der ligesom Flame var i stand til at valse lige forbi signaturbaseret software. Mange teknisk sofistikerede amerikanske virksomheder - inklusive Google og computersikkerhedsfirmaet RSA - er blevet målrettet på lignende måder, omend med billigere malware, for deres virksomhedshemmeligheder. Mindre virksomheder bliver også rutinemæssigt kompromitteret, siger eksperter.

Nogle eksperter og virksomheder siger nu, at det er på tide at degradere antivirus-lignende beskyttelse. Det er stadig en integreret del [af malware-forsvar], men det vil ikke være det eneste, siger Nicolas Christin , en forsker ved Carnegie Mellon University. Vi skal væk fra at forsøge at bygge Maginot-linjer, der ser skudsikre ud, men som faktisk er nemme at komme rundt.

Både Christin og flere førende sikkerhedsstartups arbejder på nye forsvarsstrategier for at gøre angreb sværere og endda gøre det muligt for dem, der er målrettet, at kæmpe tilbage.

Industrien har været forkert i at fokusere på angribernes værktøjer, udnyttelserne, som er meget foranderlige, siger Dmitri Alperovitch, teknologichef og medstifter af CrowdStrike , en startup i Californien grundlagt af veteraner fra antivirusindustrien, der har modtaget 26 millioner dollars i investeringsfinansiering. Vi skal fokusere på skytten, ikke pistolen – taktikken, de menneskelige dele af operationen, er de mindst skalerbare.

CrowdStrike er ikke klar til at offentliggøre detaljer om sin teknologi, men Alperovitch siger, at virksomheden planlægger at tilbyde en slags intelligent advarselssystem, der kan spotte selv helt nye angreb og spore deres oprindelse.

Denne type tilgang er mulig, siger Alperovitch, fordi selvom en angriber nemt kunne tilpasse koden til en virus som Flame for at unddrage sig antivirusscannere igen, ville han eller hun stadig have det samme mål: at få adgang til og udtrække værdifulde data. Virksomheden siger, at dens teknologi vil hvile på big data, hvilket muligvis betyder, at den vil analysere store mængder data relateret til mange spor af aktivitet på en kundes system for at finde ud af, hvad der kunne være fra en infiltrator.

Christin fra Carnegie Mellon, som for nylig har undersøgt de økonomiske motiver og forretningsmodeller for cyberangribere, siger, at det giver mening. De menneskelige omkostninger ved disse sofistikerede angreb er en af ​​de største, siger han. At forhindre et angreb er ikke længere et spørgsmål om at neutralisere en del kode fra et ensomt geni, men om at besejre dygtige grupper af mennesker. Man har brug for eksperter inden for deres felt, som også kan samarbejde med andre, og de er sjældne, siger Christin. Forsvarssoftware, der kan lukke for de mest almindelige taktikker, gør det endnu sværere for angribere, siger han.

Andre virksomheder er begyndt at tale i lignende vendinger. Det går tilbage til 80'ernes lovhåndhævelsesslogan: 'Forbrydelse betaler sig ikke,' siger Sumit Agarwal, en medstifter af Formsikkerhed , en anden startup i Californien, der for nylig kom ud af stealth mode. Virksomheden har 6 millioner dollars i finansiering fra blandt andet den tidligere Google-chef Eric Schmidt. Agarwals virksomhed tier også stille om sin teknologi, men det sigter mod at hæve omkostningerne ved et cyberangreb i forhold til den økonomiske gevinst, hvilket gør det ikke besværet værd at udføre.

En virksomhed med en lignende tilgang er Mykonos Software, som udviklede teknologi, der hjælper med at beskytte websteder ved at spilde hackernes tid på at skævvride økonomien i et angreb. Mykonos blev købt af netværksfirmaet Juniper tidligere i år .

Antivirusfirmaer har været hurtige til at påpege, at Flame ikke var nogen almindelig computervirus. Den kom fra international spionageverden med gode ressourcer. Men sådanne cybervåben forårsager sideløbende skade (Stuxnet-ormen, der var rettet mod det iranske atomprogram, inficerede faktisk anslået 100.000 computere), og funktionerne i deres design bliver adopteret af kriminelle og mindre ressourcestærke grupper.

Aldrig er så mange milliarder af dollars af forsvarsteknologi strømmet ind i det offentlige domæne, siger Agarwal fra Shape Security. Mens det amerikanske militær går til ekstreme længder for at forhindre fly eller ubåde i at falde i hænderne på andre, er militær malware såsom Flame eller Stuxnet derude, som alle kan inspicere, siger han.

Agarwal og Alperovitch fra CrowdStrike siger begge, at resultatet er en ny klasse af malware, der bliver brugt mod amerikanske virksomheder af alle størrelser. Alperovitch hævder at kende til relativt små advokatfirmaer, der bliver angrebet af større konkurrenter, og grønne teknologivirksomheder med mindre end 100 ansatte, der har hemmeligheder som mål.

Alperovitch siger, at hans firma vil gøre det muligt for ofre at kæmpe tilbage inden for lovens rammer ved også at identificere kilden til angrebene. Hacking tilbage ville være ulovligt, men der er foranstaltninger, du kan tage imod folk, der drager fordel af dine data, og som øger angribernes forretningsomkostninger, siger han. Disse omfatter at bede regeringen om at rejse en sag med Verdenshandelsorganisationen eller at offentliggøre, hvad der skete med at skamme gerningsmændene til industrispionage, siger han.

Forskning foretaget af Christin og andre akademikere har vist, at der eksisterer chokepoints, som kunne tillade relativt enkle retslige handlinger for at neutralisere cyberkriminalitet. Christin og kolleger undersøgte svindel, der manipulerer søgeresultater for at promovere ulovlige apoteker, og konkluderede, at de fleste kunne stoppes ved at slå ned på blot en håndfuld tjenester, der omdirigerer besøgende fra en webside til en anden. Og forskere ved University of California, San Diego, viste sidste år, at indtægter fra det meste af verdens spam passerer gennem kun tre banker. Den mest effektive indgriben mod spam ville være at lukke disse banker ned eller indføre ny regulering, siger Christin. Disse komplekse systemer har ofte koncentrerede punkter, som du kan fokusere på og gør det meget dyrt at udføre disse angreb.

Men Agarwal advarer om, at selv gengældelse inden for loven kan være dårligt dømt: Forestil dig, at du er en stor virksomhed og ved et uheld svømmer ind på den russiske mafias vej. Du kan skabe et større problem, end du havde tænkt dig.

skjule