此刻的歹意軟件會(huì)利用一些奇妙的手藝來遁藏傳統(tǒng)基于簽名的反歹意軟件的檢測。進(jìn)侵防御系統(tǒng)、網(wǎng)頁過濾和防病毒產(chǎn)品已不克不及夠抵當(dāng)新類別的報(bào)復(fù)打擊者，這類新類別會(huì)把復(fù)雜的歹意軟件與延續(xù)性的長途拜候特點(diǎn)連絡(luò)，目標(biāo)是在一段較長的時(shí)候內(nèi)，盜取公司敏感數(shù)據(jù)。
新的威脅檢測東西試圖經(jīng)由過程沙盒(sandboxing)手藝供給進(jìn)步前輩的歹意軟件檢測系統(tǒng)來解決這個(gè)標(biāo)題問題。良多公司都供給如許的產(chǎn)品，包含F(xiàn)ireEye Inc、Damballa Inc、Palo Alto Networks、NetWitness等，所有這些系統(tǒng)都承諾可以近乎完全抵抗歹意軟件威脅。本文中，我們將會(huì)商當(dāng)今進(jìn)步前輩的歹意軟件和威脅檢測產(chǎn)品所用到的手藝，專注于他們今朝所供給的優(yōu)勢和還未解決的挑戰(zhàn)。
威脅檢測：沙盒手藝
今朝各類進(jìn)步前輩的歹意軟件檢測產(chǎn)品所用到的首要手藝就是沙盒。沙盒是用多種手藝來辨認(rèn)暗藏的歹意軟件威脅。其起首利用收集流量闡發(fā)來發(fā)現(xiàn)收集上的暗藏威脅，并闡發(fā)其行動(dòng)類型和可疑的文件。然后這些文件會(huì)在一個(gè)虛擬機(jī)環(huán)境中被審查和闡發(fā)，這個(gè)虛擬機(jī)是利用一套不合的把持系統(tǒng)和軟件版本。最后這些文件對(duì)虛擬機(jī)環(huán)境所作的更改會(huì)被記實(shí)下來，生成一個(gè)陳述，揭示虛擬把持系統(tǒng)和軟件各個(gè)部門的更改?；谠撽愂?，這些文件可以被確覺得歹意軟件。
這類編制好處在于，不管歹意軟件利用哪些手藝來隱躲其載體，它總會(huì)需要以某種編制來影響把持系統(tǒng)，如許沙盒軟件就會(huì)檢測到它。沙盒手藝包含兩個(gè)階段：起首檢測到威脅，然后將其送進(jìn)沙盒。如許可以很大年夜程度地降落誤報(bào)和漏報(bào)。
文件在其進(jìn)進(jìn)收集那一剎時(shí)也會(huì)被沙盒軟件闡發(fā)，好比在文件從網(wǎng)站上被下載時(shí)?；谏澈惺炙嚨耐{檢測產(chǎn)品會(huì)從頭調(diào)集網(wǎng)頁流量，檢測編碼中的可疑數(shù)據(jù)并為其分派優(yōu)先權(quán)。在一個(gè)特定的閾值內(nèi)，可疑的數(shù)據(jù)流量會(huì)被送到沙盒中?；谑占髁筷U發(fā)的避免數(shù)據(jù)外泄行動(dòng)會(huì)將已在收集上的威脅最小化。當(dāng)歹意軟件最初的傳染用于下載更多的歹意軟件時(shí)，會(huì)被“回調(diào)”行動(dòng)禁止。并且因?yàn)樯澈惺炙嚻鋵?shí)不是基于簽名的，所以它可以發(fā)現(xiàn)新品種的歹意軟件。一旦歹意軟件的信息被發(fā)現(xiàn)，那么就會(huì)共享給所有的設(shè)備，如許可以在最快的時(shí)候內(nèi)檢測到威脅。
威脅檢測產(chǎn)品選擇過程
這些威脅檢測東西其實(shí)不便宜，所以你需要慎重考慮，以確保你所選擇的威脅檢測系統(tǒng)合適你的組織?；〞r(shí)候往試用廠商所供給的免費(fèi)檢測產(chǎn)品是有需要的，如許才能體味系統(tǒng)對(duì)你的組織是不是有價(jià)值。首要的是要寄望，一旦你選中一個(gè)產(chǎn)品，你需要將其奉行到所有的處事處。長途分支機(jī)構(gòu)常常是報(bào)復(fù)打擊的肇端方針，你也需要將威脅檢測軟件擺設(shè)到這些處所。
別的要知道，沒有一款產(chǎn)品是全能的。這些系統(tǒng)不克不及闡發(fā)SSL加密流量，并且在大年夜大都環(huán)境下，他們只能闡發(fā)對(duì)Windows環(huán)境的威脅。他們也不克不及檢測到已安裝在員工小我設(shè)備上的歹意軟件。可是，用于避免數(shù)據(jù)泄漏的收集流量闡發(fā)是一個(gè)很棒的特點(diǎn)，它可以幫忙對(duì)一些弱點(diǎn)。
縱深防御是禁止歹意軟件和進(jìn)步前輩延續(xù)性威脅滲入你的收集、盜取奧秘和奧秘?cái)?shù)據(jù)的關(guān)頭。這些新的手藝應(yīng)當(dāng)被視為一層防御，企業(yè)應(yīng)當(dāng)成立一支優(yōu)良的事務(wù)響應(yīng)專家團(tuán)隊(duì)來研究它們，團(tuán)隊(duì)要采納頻繁的滲入測試來摹擬真實(shí)報(bào)復(fù)打擊。高度復(fù)雜的敵手會(huì)疏忽威脅檢測產(chǎn)品所供給的防御，不斷地報(bào)復(fù)打擊你。跟著這些產(chǎn)品類型變得愈來愈受歡迎，果斷的報(bào)復(fù)打擊者會(huì)試圖開辟手藝來騙過沙盒軟件。這就像軍事比賽中的一個(gè)步調(diào)，企業(yè)需要投資成立多層防御來包管其資產(chǎn)和敏感數(shù)據(jù)的安然。