Why AV companies failed

KLIK

Hočeš reči, da je tisto "detecting known and unknown malware" zgolj zavajanje potrošnikov?

Tear_DR0P je 3. jun 2012 ob 11:24 izjavil:

BlueRunner je 3. jun 2012 ob 11:00 izjavil:

To je recimo razlog zakaj je AV zascita v splosnem uporabna nekako toliko kot kondom.

morda je moj komentar offtopic, ampak kondom je precej učinkovita zaščita pred okužbami. Oziroma kondom je bolj enak izklopu računalnika iz komunikacijskih omrežij.

Problem metafor je ta, da v njih vsak vidi svoje argumente in ima pri tem neodvisno od katerih koli drugih argumentov vedno prav. Poskusam se drzati stran od njih, kadar pa jih uporabim pa mi je praviloma zal. Zato, ker osnovno sporocilo ni prislo skozi.

Tvoja interpretacija moje metafore tako nima cisto nic z mojo interpretacijo. Zato raje se enkrat brez metafor:


Danasnja AV zascita, ki primarno deluje s pomocjo razpoznave vzorcev, zazna vecino siroko znanih nevarnosti - siroko znanih zato, ker je moralo podjetje dobiti primerek zlonamerne kode, ga prouciti in implementirati vzorec za njegovo razpoznavo.

Nekatere zascite nudijo in imajo tudi vkljuceno t.i. hevrsiticno zaznavanje potencialno zlonamerne kode, ki pa ima tezave tako iz vidika signal-sum (prevec suma in uporabnik bo to komponento preprosto izkljucil ali zacel ignorirati), kot tudi iz vidika precejsnje razsirjenosti sicer legalnih aplikacij, ki pa ima objektivno gledano vse lastnosti zlonamerne kode (modifikacija kode v pomnilniku, namestitve prikritih gonilnikov, povezovanje na "master server", ipd.). Kar je znova faktor, ki povecuje sum.

Koncen efekt je tako, da te namescen AV solidno sciti pred obcasnimi napakami, ki jih ljudje vsake toliko storimo in najpogostejsimi vektorji sirjenja (drive-by sirjenje - lahko tudi preko zlorabljenih spletnih strani).

Nikakor pa to ne pomaga pri ciljani zlonamerni kodi (prvi test za to kodo je tako ali tako "pognati skozi vse znane AV produke") oziroma kodi, ki je se dovolj sveza, da se ni bila izolirana, proucena in zpakirana v vzorce za prepoznavanje.

Zato je bistveno, da se ne zanasa na delujoc AV produkt - katerikoli AV produkt, temvec se ga jemlje kot minimalno varnostno mrezo, ki pomaga takrat, kadar pozornost pri odpiranju neznane e-poste, ali klikanju po zavajajocih slikah pogovornih oken nekoliko popusti. Tveganje zmanjsuje, nikakor ga pa ne odpravlja.

Tear_DR0P je 3. jun 2012 ob 11:24 izjavil:

And while we try to improve on this all the time, there will never be a solution that is 100 percent perfect. The best available protection against serious targeted attacks requires a layered defense, with network intrusion detection systems, whitelisting against known malware and active monitoring of inbound and outbound traffic of an organization’s network

And none of this helps one iota with Joe User sitting at home and thinking about who the heck is this Adaobi Nwaubani and why does she need to get her riches out of the country so fast.

Kondomi imajo 98% učinkovitost.
Enako cifro dosegajo najboljši AV programi.
Če želiš boljšo zaščito, moraš zadevo kombinirati z uporabo dodatne zaščite.
In tudi to velja v obeh primerih.

To je tko kot bi rekel, da je edini interes policije pobiranje prometnih kazni in popolnoma nobenega interesa za varnost javnosti. Pa vsi vemo da temu ni tako, da pač ne morejo preprečiti vseh kriminalov niti nimajo neomejeno sredstev za tako početje. Pa gre za državne organe, ki imajo načeloma dost bolj proste roke kot pa privatna firma, katere preživetje je izključno odvisno od financ. Zato ne flancaj nekaj v tri dni no...

Antivirusna industrija se že kar lep čas zaveda, da čedalje bolj izgublja bitko z malware-om. Zgodba s Flame je zgolj dokaz, da se pri tem ne motijo.

Fail pri vsem tem je v bistvu zgolj to, da je Flame ostal toliko časa neodkrit.

Kdor kaj spremlja AV industrijo, je morda opazil, da so se proizvajalci pospešeno lotili v svoje proizvode integrirati tzv. Application Whitelisting tehnologijo.
Bit9 ki je zaenkrat edini, ki si upa trditi, da je dokazano uspešno blokiral večkratni poskus okužbe s Flame, je zagotovo dokaz za to, da je Whitelisting prava pot.

Žal so AV proizvajalci s svojo Whitelisting tehnologijo šele v povojih in bodo potrebovali še kar nekaj časa, da bodo v svojih paketih ponudili nekaj, kar bi bilo primerljivo z Bit9.
Žal zato, ker je Bit9 fokusiran izključno na velika podjetja z najmanj 100 računalniki (v ZDA najmanj 500!), tako da si z njihovo rešitvijo domači uporabniki in mala podjetja ne morejo pomagati.

Vprašanje pa je tudi, če se bodo domači uporabniki navdušili nad Application Whitelisting-om. Bistvo te tehnike je v tem, da ne dovoliš računalniku zagnati ničesar, kar nisi eksplicitno dovolil.
Če se še spomnite prvih firewall programčkov za windows-e, ki so neprestano tečnarili, ali bos temu pa temu programu dovolil komunicirati in kako ste se bili naveličani tega tečnarjenja, potem najbrž razumete zakaj sem skeptičen nad akceptanco Whitelistinga.

Zaostanek AV podjetij na tem področju je posledica tega, da so se leta in leta zbirala izključno informacije o škodljivi kodi. Za najboljšega je od nekdaj veljal tisti proizvajalec, ki si je zbral najbolj učinkovito zbirko signatur škodljive kode.

Bit9 pa se nikoli ni ukvarjal s škodljivo kodo. Njihov pristop je vedno bil 'kar ne poznamo, to bomo blokirali'. Od samega začetka so zbirali informacije o preverjeno 'dobri' kodi in tako zgradili največjo bazo hash kod 'dobrih' programov, ki adminu bistveno olajša definiranje, katere programe smejo in katere ne smejo računalniki izvajati.

Vem da Sophos in McAffee zagreto delata na Whitelisting-u, zagotovo pa tudi drugi proizvajalci ne mislijo zaspati na tem področju. Bi pa po mojem mnenju lahko že Microsoft sam vgradil v Windowse ustrezno osnovo (tako kot imamo Windows Firewall), ki bi že po default prepoznala vse Microsoftove proizvode in nam tako prihranil klikanje na 'dovolim zagon programa'.

Kdaj boste dojeli, da targeted napadov skoraj nič ne ustavi?

Dej najprej poglej kakšen targeted napad od blizu preden pokaš bučke. Največkrat gre za spear-phishing s kakšnim 0-day exploitom (Flash/PDF/Word). Čeprav gre za 0-day so uporabljene metode izkoriščanja znane (heap/JIT spraying, ROP). Če je nekaj znano, potem lahko tudi preprečiš. EMET to odlično počne, AV pač ne.

Tvoj sistem ni vreden pol K zato ga nihče ne bo šel napadat niti nihče ne pričakuje, da bojo AV-ji ščitili pred tem.

Aja? Potem postav RDP + objavi svoj IP in geslo, pa da vidimo če je tvoja kišta res tko neuporabna.

So pa preklemano dobri proti globalnim generičnim napadom.

A bi mal razložil tole "genericen napad"? Kolikor sem seznanjen AV-ji niso zanesljivi pri 0-day exploitih in obfuscated kodi (packers, crypters), pa me zanima kje sploh so zanesljivi? Prosim navedi kakšen primer.

Aja, BO2K menda odkrijejo brez težav. Flame bojda tudi, ampak to itak nima veze za home userje, ker je Flame spooky-targeted-napad-koda-for-suppa-duppa-boxes-only.

Ne se kregat fanta

Če govorimo o tem, kateri OS je najbolj ranljiv, so razni UX sistemi verjetno celo bolj ranljivi, kot redno posodabljan Windows sistem. Pa ne zato, ker bi UX sistemi bili 'slabi', temveč zato, ker hudo malo Linux, freeBSD, itd. lastnikov zares OBVLADA sistem, ki si ga je namestil. Dvomim, da kaj dosti več kot 1/4 linux uporabnikov ve, kaj imajo v /etc ali v /dev, kaj šele, da bi kdaj sami kakšen kernel prevajali. To pa pomeni, da je 3/4 linux sistemov potencialno ogroženih.

Nasploh moramo ločiti med različnimi tipi vdorov, napadov in okužb, vsega se preprosto ne more metati v isti koš.
Če je uporabnik delal neumnosti v konfiguraciji in s tem stvar odprl na stežaj, pravzaprav še o vdoru v pravem smislu ne moremo govoriti, prej o 'povabilu'. V takem primeru 'povabljenec' ne potrebuje niti posebna orodja, ne kakšne posebne tehnike, da bi se razgledal po naših diskih.

Veliko ljudi je prepričanih, da njihov računalnik takointako nima nič takega nameščenega, da bi lahko bilo zanimivo za kogarkoli in si zato ne delajo nobenih skrbi glede posodabljanja in zaščite. Ko bi vedeli, kako zanimiv je tudi njihov računalnik za barabe, ki na medmrežju nastavljajo pasti. En napačen klik, pa se tvoj računalnik pridruži njihovi čredi botov. Res te 'napadalce' ne zanima dosti, kaj imaš na diskih, zato pa lepo zasužnijo tvoj računalnik, da v svet razpošilja spam in sodeluje v DDOS napadih. Če imaš pa smolo, ga lahko še celo zlorabijo za distribucijo 'materialov', zaradi katerih ti lahko nekega dne na vrata potrka policija.
V teh primerih gre v ponavadi za okužbo, najpogosteje 'drive by download', ki ga lahko nehote staknemo tudi na kakšni 'resni' spletni strani in ne le na straneh s sumljivo vsebino.

Naslednja nespodobnost je kakšen spear phishing. Pri tem baraba vsaj na približno sluti, kateri finti boš nasedel, da boš odprl priponko, ki jo zagotovo nebi odprl, če bi vedel, kaj se v njej skriva. Če baraba recimo ve, da ste imeli prejšnji teden sindikalno zabavo, pošlje mail z lažnim naslovom nekoga iz podjetja, v subject napiše 'slike z zabave', pa stvar pošlje na vse znane naslove v podjetju. Kdo se bo uprl in ne bo odprl priponke?

Klasične 'brut force' napade ne vem, če danes še kdo uporablja, saj so bistveno premalo učinkoviti. Ko govorimo o 'vdiranju' se pogosto srečamo s kakšnim buffer overflow, pa tudi z raznimi SQL injiciranimi kodami. Če preko teh metod uspeš dobiti command line napadenega sistema, je ta že tako dobro kot tvoj. Ko potem še ukradeš datoteko z gesli in jo na kakšnem sistemu s parimi grafičnimi karticami 'obdelaš' (sem se igral s tistimi hashi od linkedin, pa nisem mogel verjet, kako to leti - I7 je polž proti grafični), imaš pogosto ne samo dostop do vseh računalnikov na napadenem omrežju, ampak tudi do marsikaterega zasebnega accounta zaposlenih na gmail itd.
Tisti, ki ve kaj dela, se lahko v 3 minutah dokoplje do datoteke z gesli. Kakšen mulc, ki zraven gleda na youtube, kaj mora vtipkati, pa rabi malo dlje...

Kar sem v bistvu hotel povedati, je to, da je VSAK računalnik lahko potencialna tarča internetnih barab. Kdor misli, da se barabe res matrajo, da bi vdrli v računalnik, ta se precej moti. Ponavadi jih kar lepo sami povabimo s klikanjem po spletnih straneh. Če imamo računalnik posodobljen (pa ne samo Windowse, ampak VSE programe na njemu), nameščen in posodobljen AV in vključen firewall, smo nekoliko manj izpostavljeni, ampak 100% zaščiteni pa tudi s tem nismo.
Največji problem pa je v tem, da zaščite pred človeško neumnostjo ni. Sem že videl takšne reči, da bi se zjokal - pa so jih naredili takšni 'profesionalci', od katerih tega nikdar nebi pričakoval.

Če bi obstajal 'en globalni sistem', potem bi šele bili v riti. Če je več sistemov, je konkurenca, kar pomeni več kakovosti in nižje cene. Če govorimo o virusih, pa na nek način, navkljub tekmovalnosti, na koncu vendarle imajo vsi proizvajalci informacije o najbolj sveže odkritih nadlogah. Ni mi pa jasno, zakaj kljub temu taka razlika v učinkovitosti med posameznimi proizvajalci.

Lahko bi že vedel da programa, ki je striktno antivirus kot tak ne obstaja že like 15 let... Antivirusi do nekje polovice devetdesetih, ko so se začel pojavljat črvi in ostala golazen. Od takrat naprej so dejansko anti-malware ampak se je prvotni naziv obdržal še do danes.
Whitelisting pa tud že leta in leta ni več bavbav niti ni omejen na security suites ampak se ga uporablja vsepovsod. Predvsem za izogib false positivom.

Whitelisting pa tud že leta in leta ni več bavbav niti ni omejen na security suites ampak se ga uporablja vsepovsod. Predvsem za izogib false positivom.

No, v klasičnih AV-jih ga vendarle ni, vsaj ne tistega "pravega", bi ti zablokiral vsak neznan program.

RejZoR je 30. jul 2012 ob 06:09 izjavil:

Mogoče zato ker to sploh ni fora whitelistinga? To pol ni ne antivirus in ne antimalware ampak zgolj white/blacklist program.

Pa sej ravno za to se je šlo - antivirus/antimalware se je prevečkrat izkazal za neučinkovitega za 0day grožnje, medtem ko je dobro postavljen whitelisting ravno pri teh najbolj učinkovit (v primerjavi z AV). Zato bomo po vsej verjetnosti v bodoče whitelisting našli v vsakem malo bolj spodobnem AV/malware proizvodu - vprašanje pa je, če bodo proizvajalci znali zadevo implementirati na način, da bomo uporabniki to opcijo tudi uporabljali in se nam ne bo zdela zgolj nadležna, ko nam bo blokirala programe, ki jih še nismo konfigurirali kot 'dovoljene'.

Tu sem tudi omenil Microsoft, ki bi lahko za svoje lastne proizvode vgradil osnovno whitelisto že v sam operacijski sistem, tako kot danes vgrajuje Windows Firewall.

RejZoR> Hja tud whitelisting ni tko fajn kot misliš. Veš koliko softwara je na svetu? Koliko se ga vsak dan posodobi in posledično whitelist ne velja več? Whitelist kot samostojna zadeva enostavno ne more funkcionirat, ker nihče nima resourcov, da bi imel pod nadzorom vse kar obstaja. Je pa fajn zadeva za asistenco drugim tehnologijam.

To ni mišljeno za otroke, ki namestijo vse kar jim pride pod roke.

In kaj sem jaz zgoraj pisal? Nisi prebral, da bo znal biti 'nadležen'?

Ravno tako sem v enem prejšnjih postov omenjal Bit9, ki ima ogromno bazo 'dobrega' programja, kar bistveno olajša konfiguracijo whiteliste. Prej ali slej bodo tudi drugi proizvajalci morali zgraditi podobne baze.
Obstajata pa še dve bazi, ki ju bodo zagotovo uporabili tudi drugi proizvajalci: National Institute of Standards and Technology's (NIST) in Department of Justice Hashkeeper database.

fosil je 30. jul 2012 ob 12:57 izjavil:

Napisal si, da je zadeva v povojih in da zadevo uporablja samo ena firma.
Zadeva ni v povojih, uporablja jo veliko firm in vse imajo svoje baze dobrih programov.
Je pa seveda precej odvisno kako imaš zadevo nastavljeno.

Ne obračaj mojih besed. Če govorimo o neki industriji na splošno, potem je neka stvar definitivno v povojih, če jo v neki obliki implementirajo le trije ali štirje od več sto proizvajalcev AV rešitev. Ko bo zadevo implementiral vsak drugi AV proizvajalec, bomo pa lahko govorili o zrelem mehanizmu, ki se je dokazal in postal industrijski standard za AV rešitve.

Tudi firewall rešitve so nekoč bile sprva samostojno orodje (zagotovo nisi nikoli slišal za @Guard, ki je bil prvi tak komercialni proizvod?). Ko ga je Symantek kupil in vključil v svoj paket, je bilo tudi to nekaj, kar je bilo v povojih, kasneje pa je postalo standard. Nazadnje je tudi Microsoft ugotovil, da je stvar koristna, tako da imamo danes vsi neko varianto firewall-a na svojih računalnikih.

Nekaj podobnega je z whitelistingom, ki se danes šele nahaja na prvi stopnici, tam kjer ga pričnejo AV proizvajalci smatrati za nekaj, kar morajo v neki obliki vključiti v svoje rešitve, vendar je to trenutno uspelo šele peščici, pa še ti ne morejo konkurirati samostojnim whitelisting rešitvami z desetletno tradicijo. Je pa nek začetek, zato več kot upravičeno lahko rečemo, da je zadeva še v povojih, hkrati pa lahko pričakujemo, da se bo na tem področju v bodoče še veliko dogajalo.

@fosil ali nočeš, ali pa nisi sposoben prebrati, kar ti nekdo lepo napiše in razloži?

Če ti je namen spodjebavanje, potem to povej, da bo vsem jasno. Če pa želiš kaj konstruktivnega k temi doprinesti, pa ne obračaj besed in ne glumi funkcionalno (ne?)pismeno osebo.

@fosil na Wikipediji boš našel seznam 70ih AV proizvodov, ki je daleč od tega da bi bil popoln, saj manjkajo mnoge rešitve, ki se ponujajo le na nekem ožjem lokalnem področju.

Če po tvoje ima whitelisting implementirana VEČINA rešitev, ti torej ne bo teško našteti 35 (komaj polovico - kar je precej manj kot večina) AV rešitev, ki imajo implementiran whitelisting.

Dal sem ti link na 70 proizvodov, ti pa ves čas navajaš samo enega konkretnega proizvajalca (ob tem, da sem jaz prej navedel še McAffee in Sophos), pa še kar vztrajaš na trditvi, da VEČINA to ponuja.

In ne izmotavaj se, na seznam - če se vsaj malo potrudiš, boš našel še kup proizvajalcev in proizvodov, ki v navedenem seznamu niso navedeni.

Torej izziv še vedno velja - da ti olajšam stvar, recimo da sledimo tvoji predpostavki, da je na svetu največ 50 AV proizvajalcev. Torej bi pomenilo, da 'večina' predstavlja cca. 40 proizvajalcev, ki so že implementirali to tehnologijo. Torej ti ne bo teško našteti vsaj 20 proizvajalcev (komaj polovica), ki to imajo? Vsaj 15? 10? Čeprav bomo pri desetih že bližje moji trditvi, da je stvar še v povojih, kot pa tvoji, da je to implementirala večina AV proizvajalcev....

Če na vso silo skušaš izpodbijati trditev, ki jo je nekdo postavil, potem to tudi argumentiraj in prosim ne govori kar na pamet. Sploh pa mi ni všeč, če nekdo steguje jezik, samo zato, da nebi nekdo drug izpadel 'preveč pameten'. Tu naj bi svoje znanje in izkušnje delili za to, da se lahko od nas poduči nekdo, ki se na določeno področje ne spozna, ne pa da bi se šli, kdo je zdej bolj pameten in kdo manj. Če se zmotiš, je popravek vsekakor zaželjen, ne zdi se mi pa pošteno do tistih, ki bi se radi o nečem podučili, da se nekdo za vsako ceno vsaja, nima pa niti argumentov, ne dokazov za svoje trditve.
Tudi jaz se kdaj zmotim, pa pri kakšni reči mimo užgem - vendar nimam nobenih problemov svojo zmoto priznati, če mi nekdo pride z argumenti. Kar na pamet pa lahko vsak nekaj govori, pa če se mu kaj sanja o določeni tematiki, ali pa nič.

Če nisi prebral, sem ti znižal kriterij, da izhajajva iz števila 50 proizvajalcev (menda ne pričakuješ resno, da bom dve uri brskal po spletu in sestavljal seznam vseh, tudi najmanjših lokalnih proizvajalcev, ki prodajajo zgolj na trgu Peruja, itd.?)

Nekateri izmed teh sploh niso več aktivni, nekateri so tako marginalni da jih je brez veze sploh omenjat.
Nekateri pa sploh niso realtime AV programi, ampak so samo malware čistilci.
Tako da smo še daleč od več sto.
Dejansko je realna številka okrog 50, morda še manj, česar se očitno zavedaš tudi sam, ampak nočeš priznat, čeprav po tvoje vedno priznaš svoje napake.
Če nato apliciramo še paretovo pravilo 80/20, nam ostane 10 resnih AV programov, ki jih uporablja 80% uporabnikov.
Od teh vem da whitelisting uporabljajo Kaspersky, Norton, Comodo. Seveda security suite paketi, ne samo goli AV programi.
Ostalih v zadnjem času nisem testiral, tako da ne morem reči ali uporabljajo ali ne.
Vsekakor gre za zrelo tehnologijo, ki je preverjena in se uporablja že leta.
Gola statistika pa nikakor ni merilo.
Če damo eno drugo primerjavo, tržni delež win7 je manjši od winxp, in pod 40%, torej so po tvoje win7 še v povojih?

Še druga interpretacija 'v povojih' - ki jo boš morda bolje razumel (očitno si edini, ki mu še vedno ni jasno)

Koliko ljudi ima danes doma firewall na računalniku? 90%? 99%? Temu se reče ZRELA tehnologija
Koliko ljudi pa poznaš, ki bi imeli na svojem računalniku whitelisting? 0%? 1%?

Če po vsem pisanju še zmeraj nisi sposoben dojeti, da ni govora o tehnologiji kot taki, temveč o tem v kolikšni meri je implementirana, nameščena in v uporabi, potem ti tudi bog ne more pomagat.

Verjetno polovica od napisanih zgolj uporablja OEM pogon enega izmed večjih razvijalcev. Večina na spisku uporablja BitDefender in Kaspersky.

Edini, ki sami praktično v celoti razvijajo svoje engine so avast!, AVIRA, AVG, Microsoft, Kaspersky, BitDefender, Symantec, McAfee, Trend Micro, Sunbelt, Rising in Kingsoft. Pol pa se že počasi zaključi zadeva.
So še ostali samostojni ampak imajo tako majhen delež da skor niso vredni omembe. Oz niso dosegli nekih opaznih rezultatov...

Whitelisting je IZJEMNO neprijazen casual uporabnikom. V firmi je pravi drek če je whitelistano samo kar določi admin, vse ostalo pa je lahko na blacklisti. Comodo je dejansko prvi masovni white/blacklist consumer izdelek, ki pa je še vedno dost neprijazen uporabnikom. CIS 6 naj bi imel to krepko izboljšano ampak bomo videli enkrat ta mesec (avgust), ko naj bi izšla prva javna verzija...