高級歹意軟件是收集世界里最新、最具暗藏粉碎性的威脅。它們隱蔽，具有針對性且極具“耐煩”。一些馳名的歹意軟件雖然凡是帶有易于辨認的簽名，但經(jīng)由過程不竭改變總能逃過一般辨認模式的防御。別的，它們凡是專注于特定方針，并在達到目標(biāo)之前“謹慎翼翼”，盡可能削減在收集上的“蹤跡”?？梢哉f，高級歹意軟件在被發(fā) 現(xiàn)和被消弭之前其實已活躍好久了。與此同時，在未被發(fā)現(xiàn)期間，這些軟件對系統(tǒng)和組織已造成重大年夜粉碎。
針對高級歹意軟件如上特別性，傳統(tǒng)收集安然解決方案的開辟編制不再百分之百的有效?；凇昂灻本幹频恼w解決方案對捕獲那些已知歹意軟件高效準(zhǔn)確，但僅靠這些編制明顯不足以使機構(gòu)或組織獲得充分呵護。
那么，我們應(yīng)當(dāng)若何應(yīng)對這類高級歹意軟件？我想先談?wù)劷癯榧按嬖诘膶Ω呒壌跻廛浖鉀Q方案的兩大年夜曲解，繼而闡發(fā)如何才是最有效的編制。
曲解一：高級歹意軟件的首要標(biāo)題問題在于若何辨認
正如前面所闡發(fā)的高級歹意軟件的特點，傳統(tǒng)的解決方案已沒法知足我們的需求，是以需要另辟道路。今朝，應(yīng)對這類威脅的一個常見編制是一種基于“行動”的手藝，稱為沙盒手藝。
沙盒是一種強大年夜的離線查找東西，可將未知或可疑文件隔離在一個虛擬環(huán)境里，承諾它們在此中充分“表演”，就仿佛它們已達到方針;而沙盒內(nèi)置的設(shè)備會監(jiān)控文件 的“一舉一動”。假定疑似病毒確認具有威脅性，那么它則沒法在隔離的虛擬環(huán)境里產(chǎn)生真正威脅。沙盒手藝創(chuàng)作發(fā)現(xiàn)出了一個相對安然的環(huán)境，可以用來測試可疑文件。別的，因為沙盒無需在闡發(fā)前體味文件環(huán)境，即無需“簽名”，是以它成了一項辨認高級歹意軟件的強大年夜手藝。
可是，“沙盒”也有其局限性。例如，良多沙盒手藝只能在既定把持系統(tǒng)的通用版本上運行，并不是是客戶實際把持環(huán)境的真正影象。這便可能導(dǎo)致對可疑文件行動的弊端假定。這類局限性在某種程度上限制了它們捕獲高級威脅的能力。
但這類基于行動的編制在辨認大年夜量高級威脅方面仍表示得相當(dāng)有效，是以市場對該項手藝反應(yīng)強烈熱烈。但是，恰是這類強烈熱烈反應(yīng)產(chǎn)生了一個共同的傳言——高級歹意軟件的首要標(biāo)題問題在于若何辨認。
事實上，辨認高級歹意軟件很是首要，可是真實的挑戰(zhàn)是若何措置高級歹意軟件，禁止并修復(fù)其釀成的危險。
沙盒手藝是一項功能，而非產(chǎn)品，辨認高級歹意軟件只是此中的一個步調(diào)，而非解決方案。當(dāng)然傳統(tǒng)的解決方案凡是沒法辨認高級歹意軟件，但它們卻具有杰出的防護能力。沙盒的局限是只能辨認威脅，而不克不及進行禁止和修復(fù)，是以，為了真正地抵抗高級歹意軟件，沙盒必需配有禁止威脅并修復(fù)其所釀成的侵害的東西。假定沒有這些附加功能，安然行業(yè)只是解決了標(biāo)題問題標(biāo)一部門，而將大年夜大都工作留給了客戶。
曲解二：沙盒可以隔離歹意軟件
對歹意軟件的闡發(fā)常常是復(fù)雜且耗時的，是以沙盒其實不是一項及時手藝。事實上，大年夜大都沙盒只能對文件復(fù)本進行闡發(fā)，而原始文件則被發(fā)送到方針終點。所以即便發(fā)現(xiàn)一個可疑文件是歹意的，實際文件早已達到終點并造成侵害。
就這一點而言，沙盒只能發(fā)現(xiàn)可疑文件是歹意的，但不克不及真正地禁止它。
別的，沙盒凡是是遲緩從一個進口點進進環(huán)境，它乃至不會寄望到可能還有其它的高級歹意軟件溜進了其它進口點。但真正安然的手藝必需可以或許辨認和禁止溜進任何進口點的歹意軟件，而無需其它額外軟件幫忙。
那么，我們?nèi)艉螘x升安然級別呢？我們需要在每個進口點設(shè)置監(jiān)控，并采取一些手藝禁止被列進黑名單的文件。假定沙盒解決方案有一些附加的文件樊籬功能，并假定 這些功能是成熟的，那么將面對兩個選擇：可以在每個進口點擺設(shè)這類手藝——這需要我們付出高額的費用;或可以經(jīng)由過程利用一個解決方案，對這些進口點現(xiàn)有的 安然產(chǎn)品發(fā)現(xiàn)的可疑文件進行集中闡發(fā)。
明顯第二種編制能更有效地降落成本并使收集節(jié)制加倍嚴(yán)格。
總而言之，與傳統(tǒng)防御系統(tǒng)及時闡發(fā)和禁止歹意軟件的編制不合，沙盒不克不及及時把持。為了真正有效地應(yīng)對高級威脅，必需將沙盒擺設(shè)為高度集成或綜合安然環(huán)境的一部門：可措置多個進口點，且能將信息傳回把持環(huán)境，警告密現(xiàn)新歹意軟件，并盡可能地在發(fā)現(xiàn)前禁止和修復(fù)響應(yīng)侵害。