高級(jí)歹意軟件是收集世界里最新、最具暗藏粉碎性的威脅。它們隱蔽，具有針對(duì)性且極具“耐煩”。一些馳名的歹意軟件雖然凡是帶有易于辨認(rèn)的簽名，但經(jīng)由過(guò)程不竭改變總能逃過(guò)一般辨認(rèn)模式的防御。別的，它們凡是專注于特定方針，并在達(dá)到目標(biāo)之前“謹(jǐn)慎翼翼”，盡可能削減在收集上的“蹤跡”?？梢哉f(shuō)，高級(jí)歹意軟件在被發(fā)現(xiàn)和被消弭之前其實(shí)已活躍好久了。與此同時(shí)，在未被發(fā)現(xiàn)期間，這些軟件對(duì)系統(tǒng)和組織已造成重大年夜粉碎。
針對(duì)高級(jí)歹意軟件如上特別性，傳統(tǒng)收集安然解決方案的開(kāi)辟編制不再百分之百的有效。基于“簽名”編制的整體解決方案對(duì)捕獲那些已知歹意軟件高效準(zhǔn)確，但僅靠這些編制明顯不足以使機(jī)構(gòu)或組織獲得充分呵護(hù)。
那么，我們應(yīng)當(dāng)若何應(yīng)對(duì)這類高級(jí)歹意軟件？我想先談?wù)劷癯榧按嬖诘膶?duì)高級(jí)歹意軟件解決方案的兩大年夜曲解，繼而闡發(fā)如何才是最有效的編制。
曲解一：高級(jí)歹意軟件的首要標(biāo)題問(wèn)題在于若何辨認(rèn)
正如前面所闡發(fā)的高級(jí)歹意軟件的特點(diǎn)，傳統(tǒng)的解決方案已沒(méi)法知足我們的需求，是以需要另辟道路。今朝，應(yīng)對(duì)這類威脅的一個(gè)常見(jiàn)編制是一種基于“行動(dòng)”的手藝，稱為沙盒手藝。
沙盒是一種強(qiáng)大年夜的離線查找東西，可將未知或可疑文件隔離在一個(gè)虛擬環(huán)境里，承諾它們?cè)诖酥谐浞帧氨硌荨?，就仿佛它們已達(dá)到方針;而沙盒內(nèi)置的設(shè)備會(huì)監(jiān)控文件的“一舉一動(dòng)”。假定疑似病毒確認(rèn)具有威脅性，那么它則沒(méi)法在隔離的虛擬環(huán)境里產(chǎn)生真正威脅。沙盒手藝創(chuàng)作發(fā)現(xiàn)出了一個(gè)相對(duì)安然的環(huán)境，可以用來(lái)測(cè)試可疑文件。別的，因?yàn)樯澈袩o(wú)需在闡發(fā)前體味文件環(huán)境，即無(wú)需“簽名”，是以它成了一項(xiàng)辨認(rèn)高級(jí)歹意軟件的強(qiáng)大年夜手藝。
可是，“沙盒”也有其局限性。例如，良多沙盒手藝只能在既定把持系統(tǒng)的通用版本上運(yùn)行，并不是是客戶實(shí)際把持環(huán)境的真正影象。這便可能導(dǎo)致對(duì)可疑文件行動(dòng)的弊端假定。這類局限性在某種程度上限制了它們捕獲高級(jí)威脅的能力。
但這類基于行動(dòng)的編制在辨認(rèn)大年夜量高級(jí)威脅方面仍表示得相當(dāng)有效，是以市場(chǎng)對(duì)該項(xiàng)手藝反應(yīng)強(qiáng)烈熱烈。但是，恰是這類強(qiáng)烈熱烈反應(yīng)產(chǎn)生了一個(gè)共同的傳言——高級(jí)歹意軟件的首要標(biāo)題問(wèn)題在于若何辨認(rèn)。
事實(shí)上，辨認(rèn)高級(jí)歹意軟件很是首要，可是真實(shí)的挑戰(zhàn)是若何措置高級(jí)歹意軟件，禁止并修復(fù)其釀成的危險(xiǎn)。
沙盒手藝是一項(xiàng)功能，而非產(chǎn)品，辨認(rèn)高級(jí)歹意軟件只是此中的一個(gè)步調(diào)，而非解決方案。當(dāng)然傳統(tǒng)的解決方案凡是沒(méi)法辨認(rèn)高級(jí)歹意軟件，但它們卻具有杰出的防護(hù)能力。沙盒的局限是只能辨認(rèn)威脅，而不克不及進(jìn)行禁止和修復(fù)，是以，為了真正地抵抗高級(jí)歹意軟件，沙盒必需配有禁止威脅并修復(fù)其所釀成的侵害的東西。假定沒(méi)有這些附加功能，安然行業(yè)只是解決了標(biāo)題問(wèn)題標(biāo)一部門，而將大年夜大都工作留給了客戶。
曲解二：沙盒可以隔離歹意軟件
對(duì)歹意軟件的闡發(fā)常常是復(fù)雜且耗時(shí)的，是以沙盒其實(shí)不是一項(xiàng)及時(shí)手藝。事實(shí)上，大年夜大都沙盒只能對(duì)文件復(fù)本進(jìn)行闡發(fā)，而原始文件則被發(fā)送到方針終點(diǎn)。所以即便發(fā)現(xiàn)一個(gè)可疑文件是歹意的，實(shí)際文件早已達(dá)到終點(diǎn)并造成侵害。
就這一點(diǎn)而言，沙盒只能發(fā)現(xiàn)可疑文件是歹意的，但不克不及真正地禁止它。
別的，沙盒凡是是遲緩從一個(gè)進(jìn)口點(diǎn)進(jìn)進(jìn)環(huán)境，它乃至不會(huì)寄望到可能還有其它的高級(jí)歹意軟件溜進(jìn)了其它進(jìn)口點(diǎn)。但真正安然的手藝必需可以或許辨認(rèn)和禁止溜進(jìn)任何進(jìn)口點(diǎn)的歹意軟件，而無(wú)需其它額外軟件幫忙。
那么，我們?nèi)艉螘x升安然級(jí)別呢？我們需要在每個(gè)進(jìn)口點(diǎn)設(shè)置監(jiān)控，并采取一些手藝禁止被列進(jìn)黑名單的文件。假定沙盒解決方案有一些附加的文件樊籬功能，并假定這些功能是成熟的，那么將面對(duì)兩個(gè)選擇：可以在每個(gè)進(jìn)口點(diǎn)擺設(shè)這類手藝——這需要我們付出高額的費(fèi)用;或可以經(jīng)由過(guò)程利用一個(gè)解決方案，對(duì)這些進(jìn)口點(diǎn)現(xiàn)有的安然產(chǎn)品發(fā)現(xiàn)的可疑文件進(jìn)行集中闡發(fā)。
明顯第二種編制能更有效地降落成本并使收集節(jié)制加倍嚴(yán)格。
總而言之，與傳統(tǒng)防御系統(tǒng)及時(shí)闡發(fā)和禁止歹意軟件的編制不合，沙盒不克不及及時(shí)把持。為了真正有效地應(yīng)對(duì)高級(jí)威脅，必需將沙盒擺設(shè)為高度集成或綜合安然環(huán)境的一部門：可措置多個(gè)進(jìn)口點(diǎn)，且能將信息傳回把持環(huán)境，警告密現(xiàn)新歹意軟件，并盡可能地在發(fā)現(xiàn)前禁止和修復(fù)響應(yīng)侵害。
(作者為邁克菲全球首席手藝官)