反歹意軟件早已不再是簡(jiǎn)單的簽名匹配，此刻的反歹意軟件手藝添加了良多新的檢測(cè)手藝。企業(yè)應(yīng)當(dāng)從頭考慮若何選擇反歹意軟件……
為了選出最好反歹意軟件，你必需體味威脅、若何檢測(cè)威脅和相干產(chǎn)品若何修復(fù)傳染。反歹意軟件早已不再是簡(jiǎn)單的簽名匹配，此刻的反歹意軟件添加了良多新的檢測(cè)手藝來肯定軟件法度是不是為歹意和是不是可以在設(shè)備上履行。在我們會(huì)商選擇最好反歹意軟件的首要考慮身分之前，讓我們先來看看歹意軟件編寫者利用的戰(zhàn)術(shù)，他們的戰(zhàn)術(shù)讓檢測(cè)工作很是具有挑戰(zhàn)性。
防病毒(AV)手藝源自一個(gè)很是簡(jiǎn)單的設(shè)法：假定代碼是不好的，就禁止它。是以，防病毒廠商懷揣著一個(gè)“壞東西”的大年夜名單，并將每個(gè)進(jìn)進(jìn)設(shè)備的文件與這個(gè)清單進(jìn)行比較。另外一方面，報(bào)復(fù)打擊者們的對(duì)策是略微改變每個(gè)歹意文件，讓每個(gè)文件都很接近，但其實(shí)不完全近似于已知的壞文件。這是簡(jiǎn)單的回避檢測(cè)的編制。對(duì)此，供給商們分發(fā)數(shù)百萬的新簽名到每個(gè)設(shè)備，很明顯，這類計(jì)謀和營(yíng)業(yè)模式其實(shí)不克不及擴(kuò)大。
然后，業(yè)界開端測(cè)驗(yàn)測(cè)驗(yàn)一種積極的安然模式，即對(duì)授權(quán)軟件法度成立白名單。假定軟件沒有被授權(quán)，將沒法運(yùn)行。這類編制可以或許很好地禁止歹意軟件(它不成能呈此刻白名單中)，但這嚴(yán)重影響了可用性。用戶將需要很是頻繁地加載軟件，假定他們想要利用的軟件不在白名單中，他們會(huì)感應(yīng)很懊末路。
黑名單模式不克不及進(jìn)行擴(kuò)大，而白名單模式?jīng)]法讓用戶接管。是以，該行業(yè)不克不及不從頭來過，從頭考慮歹意軟件的運(yùn)作編制以肯定最好檢測(cè)編制。
歹意軟件的根基要素
所有歹意軟件的根基元素是一個(gè)文件，這個(gè)文件起首會(huì)履行，隨后做壞事。反歹意軟件的感化是在它們做壞事之前檢測(cè)出這些文件。鑒于歹意軟件編寫者能混合壞文件，檢測(cè)不克不及再相信文件看起來像甚么;而應(yīng)當(dāng)評(píng)估“每個(gè)文件做甚么”。
要明白，查找已知歹意文件仍然是有效的，但這其實(shí)不克不及擴(kuò)大到每個(gè)設(shè)備上，所以反歹意軟件供給商操縱云計(jì)較來記實(shí)保留數(shù)十億文件(軟件哈希)。每個(gè)設(shè)備上的反歹意軟件代辦署理查抄文件的“諾言”來肯定1)之前他們是不是看過它2)是不是是歹意文件。
禁止已知歹意文件，罷了知合法文件則承諾履行。那么，當(dāng)你碰著從未見過的文件呢？這恰是下一代反歹意軟件闡揚(yáng)感化的處所。代辦署剪發(fā)送未知文件到辦事來闡發(fā)該文件，經(jīng)由過程在隔離環(huán)境來履行該文件來查找是不是存在歹意身分。然后，該辦事會(huì)發(fā)還一份“判決”到設(shè)備以承諾或禁止該文件。
很明顯，在這個(gè)過程中存在必然的延遲性，在獲得明白鑒定之前，你可以肯定是不是讓未知文件經(jīng)由過程(如許做存在風(fēng)險(xiǎn))或隔離該文件。任何沒有操縱這類基于云的反歹意軟件手藝都沒法禁止今天的報(bào)復(fù)打擊。
在哪里檢測(cè)歹意軟件
大年夜大都業(yè)渾家士已習(xí)慣覺得反歹意軟件需要直接在終端設(shè)備上運(yùn)行?；诤弦?guī)要求，良多企業(yè)***采取這類擺設(shè)模式，即在每個(gè)Windows設(shè)備上運(yùn)行反歹意軟件。跟著Mac和Linux加快進(jìn)進(jìn)企業(yè)桌面和數(shù)據(jù)中間，反歹意軟件也需要考慮這些平臺(tái)的歹意軟件檢測(cè)?？墒且涀。琈acOSX和Linux的底層架構(gòu)可以或許比WindowsXP更好地禁止歹意軟件。
虛擬化的呈現(xiàn)讓選擇最好反歹意軟件手藝加倍復(fù)雜化。考慮一下，假定虛擬設(shè)備上運(yùn)行的每個(gè)客戶機(jī)運(yùn)行一個(gè)反歹意軟件代辦署理，你將需要在不異硬件上反幾次復(fù)運(yùn)行不異的代碼，這背反了虛擬化的目標(biāo)。所以，反歹意軟件供給商此刻優(yōu)化其引擎來運(yùn)行在單個(gè)客戶機(jī)(或在治理法度內(nèi))，并與虛擬化環(huán)境通信以確保虛擬機(jī)資本獲得優(yōu)化。
回到盡可能禁止歹意文件接近外圍的設(shè)法，反歹意軟件應(yīng)當(dāng)被擺設(shè)在更接近進(jìn)口點(diǎn)的位置--在企業(yè)外圍或云辦事內(nèi)。查抄歹意軟件最便利的處所是在web或電子郵件安然網(wǎng)關(guān)或云辦事。因?yàn)殡娮余]件和Web仍然是首要報(bào)復(fù)打擊對(duì)象，凡是這都是第一個(gè)擺設(shè)的位置。
還有一些新的設(shè)備，我們一向稱其為基于收集的歹意軟件檢測(cè)，這類檢測(cè)編制查看所有進(jìn)進(jìn)的收集流量，并對(duì)進(jìn)進(jìn)收集的文件進(jìn)行闡發(fā)，這與我們上面描述端點(diǎn)擺設(shè)近似—確保具有報(bào)復(fù)打擊特點(diǎn)的文件沒法進(jìn)進(jìn)。
措置編制
當(dāng)你發(fā)現(xiàn)歹意文件時(shí)應(yīng)當(dāng)如何做？這時(shí)候辰，你需要連絡(luò)其他已擺設(shè)的系統(tǒng)/節(jié)制。所以你尋覓的最好反歹意軟件手藝需要可以或許與這些系統(tǒng)或設(shè)備互把持，因?yàn)槟愕氖占O(shè)備需要禁止/隔離可能被傳染的設(shè)備。你還需要確保警報(bào)發(fā)送到陳述節(jié)制界面，反歹意軟件治理系統(tǒng)、SIEM/日記治理產(chǎn)品、或幫忙臺(tái)系統(tǒng)來啟動(dòng)修復(fù)過程。
雖然你支出了最大年夜盡力來進(jìn)行檢測(cè)，但假定你蒙受歹意軟件傳染，凡是最好反歹意軟件手藝都有清理設(shè)備的功能。在節(jié)制界面中，你只需要點(diǎn)擊一個(gè)按鈕，設(shè)備就會(huì)被修復(fù)。跟著歹意軟件變得加倍復(fù)雜和“暴虐”，清理成了一場(chǎng)必?cái)≈?。歹意?bào)復(fù)打擊者城市設(shè)法留下一些歹意軟件的殘存來確保再次傳染。所以，企業(yè)應(yīng)當(dāng)幾次進(jìn)行清理。你明明可以進(jìn)行多次清理，為甚么只清理一次呢？
是以，我們此刻建議從頭鏡像被傳染的設(shè)備。當(dāng)然這類編制凡是會(huì)導(dǎo)致數(shù)據(jù)丟掉，并且給用戶帶來不便，但鑒于再次傳染的高風(fēng)險(xiǎn)，我們覺得確保歹意軟件已被肅除加倍首要。