У наш час захист комп’ютерних систем від вірусів та інших шкідливих програм є ключовим завданням для будь-якої організації або приватного користувача. Однак, з розвитком технологій, хакери постійно вдосконалюють свої методи нападу, зокрема й методи обходу антивірусних програм.
Ми розглянемо що з себе представляють антивіруси і яка між ними різниця.
Навіщо потрібні антивіруси?
Перш ніж почнемо обговорювати антивіруси, потрібно зрозуміти, від чого саме вони захищають. Антивіруси захищають комп’ютерні системи від шкідливих програм, у народі – малвар (Malware).
Раніше малвар’ю вважалося будь-яке ПЗ (програмне забезпечення), яке створювали для виклику збою, нанесення шкоди вашому пристрою або всій мережі, простіше кажучи – віруси. Зараз ці “віруси” перетворилися на програми для отримання несанкціонованого доступу до інформації або комп’ютерних систем загалом, аля шпигунське ПЗ і програми-вимагачі.
Оскільки шахрайство поступово розвивається, антивіруси теж потребують більше захисту і функцій, таких як IDS/IPS (Системи виявлення/запобігання вторгнень), фаєрволи, сканери веб-сайтів, розширення браузерів і т. д.
Як антивіруси виявляють малвар?
- Сигнатурний аналіз.
Першим методом виявлення шкідливих програм є сигнатурний аналіз.
Сигнатура – це унікальна послідовність байтів, яка дає змогу антивірусним програмам ідентифікувати шкідливі програми. Сигнатура може містити в собі інформацію про функції, що використовуються шкідливою програмою, рядки коду, символи, хеш-суми та інші характеристики, які можуть вказувати на наявність шкідливої програми.
Антивіруси використовують базу даних сигнатур для порівняння сигнатур шкідливих програм з тими, які вже відомі, щоб визначити, чи є програма шкідливою. Якщо сигнатура шкідливої програми відповідає сигнатурі в базі даних, то антивірус сповістить користувача про наявність шкідливої програми та запропонує її видалити.
- Евристичний аналіз.
Евристичний аналіз є методом, який використовують антивірусні програми для виявлення шкідливих програм, що не збігаються з уже відомими сигнатурами в базі даних антивіруса. Замість того, щоб спиратися на відомі сигнатури, антивіруси використовують евристику, тобто методи штучного інтелекту і машинного навчання, для визначення потенційно шкідливої поведінки програм.
Антивіруси часто поєднують евристичний разом із сигнатурним аналізом.
Існують два основних типи евристичного аналізу: статичний і динамічний.
- Статичний аналіз здійснюється на основі структури досліджуваної програми. Антивірусна програма аналізує вихідний код програми або її виконуваний файл, щоб визначити, чи містить програма потенційно шкідливий код. Наприклад, антивірус може шукати в коді програми певні функції або виклики, які можуть використовуватися для здійснення атаки на систему.
- Динамічний аналіз, з іншого боку, здійснюється під час виконання програми. Антивірус запускає програму в ізольованому середовищі, званому “пісочницею”, і аналізує її поведінку, щоб визначити, чи є вона шкідливою. Наприклад, антивірус може аналізувати, які файли програма намагається відкрити або змінити, які мережеві підключення вона намагається встановити, або ж які системні виклики вона виконує.
Обидва методи мають свої переваги та недоліки. Статичний аналіз може бути більш ефективним у виявленні шкідливих програм, які використовують певні шаблони або функції, але не зможуть виявити програми, які можуть змінювати свою поведінку залежно від умов. Динамічний аналіз, з іншого боку, може бути більш ефективним у виявленні програм, які використовують нові та непередбачувані способи атаки, але може бути менш точним у визначенні, чи є поведінка програми шкідливою чи ні.
- Поведінковий аналіз.
Поведінковий аналіз – це метод, що ґрунтується на аналізі дій програми в системі та виявленні незвичайної поведінки, яка може вказувати на наявність шкідливої активності.
Для поведінкового аналізу антивіруси використовують механізми моніторингу системних викликів, мережевих підключень та інших дій, що виконуються програмою в операційній системі. Це дає змогу антивірусу визначити, які дії виконує програма, які ресурси вона використовує, і які зміни вона вносить у систему.
Наприклад, антивірус може виявити програму, яка намагається встановити з’єднання з невідомим сервером, передавати велику кількість даних або виконувати системні виклики, які ніяк не пов’язані з її функціональністю.
Типи антивірусів
Сучасні антивіруси поділяються на локальні (клієнтські) і хмарні. Наприклад Windows Defender складається з цих двох компонентів і вони обидва використовують машинне навчання.
Клієнтські антивіруси знаходяться у вас на пристроях і моніторять стан комп’ютера. Саме локальні антивіруси використовують базу даних сигнатур для виявлення типових шкідливих програм (наприклад, стандартний mimikatz, meterpreter тощо) і закидають їх до карантину, але вони не виявляють новоспечену шкідливу штуку, бо потрібен час для аналізу програми.
Тим часом хмарні антивіруси призначені для збільшення ймовірності виявлення невідомих загроз. Щойно ви надішлете новий зразок малварі на хмарний антивірус, він проаналізує його і створить моделі на основі машинного навчання.
Саме тому, якщо ви створюєте раніше невідому малвар вкрай не рекомендується перевіряти її на хмарних сервісах, інакше тим самим ви ставите собі палиці в колеса.
AMSI (Antimalware Scan Interfase)
AMSI (Antimalware Scan Interface) – це інтерфейс сканування, призначений для виявлення і блокування шкідливого коду під час виконання програми. Він з’явився з часів ранніх релізів Windows 10 і Windows Server 2016.
По суті, це інтерфейс, який дає змогу застосункам і службам взаємодіяти зі сторонніми встановленими антивірусами. Він надає файлову пам’ять і сканування потоків, які надсилаються в антивірус. Також він надає вихідну URL-адресу контенту і перевіряє репутацію IP-адрес.
Наприклад, коли ви запускаєте PowerShell, AMSI завантажується у вигляді AMSI.dll і дві функції, які називаються AmsiScanString() і AmsiScanBuffer() завантажуються в пам’ять. Вони відповідають за надсилання даних із PowerShell у Windows Defender, і якщо дані позначаються як шкідливі, PowerShell не виконуватиме нічого, пов’язаного з цими даними. Якщо простою мовою – це такий собі “міст” до Windows Defender або іншого антивірусу, і він так само перевіряє сигнатури.
EDR (Endpoint Detection and Response)
EDR (Endpoint Detection and Response) – це технологія, призначена для виявлення і реагування на загрози інформаційної безпеки в режимі реального часу на кінцевих пристроях (наприклад, комп’ютерах, ноутбуках, серверах). Вона з’явилася для подолання обмежень антивірусів в останні роки.
EDR-рішення зазвичай засновані на агентах, які встановлюються на кінцевих пристроях і контролюють їхню активність, збираючи інформацію про події, що відбуваються на пристроях. Ці агенти можуть контролювати й аналізувати безліч параметрів, таких як мережева активність, запущені процеси, зміни файлів, використання облікових записів та інші.
Дані, зібрані агентами, передаються на центральний сервер для аналізу та подальшого використання. Аналіз відбувається за допомогою алгоритмів машинного навчання, які використовуються для визначення аномальної активності на пристрої та виявлення загроз інформаційній безпеці.
У чому різниця між антивірусами та EDR?
Основна відмінність між антивірусами та EDR-технологіями полягає в підході до захисту інформації. Антивірусні програми більш орієнтовані на захист від відомих загроз і призначені для проактивного захисту від вірусів, троянів та інших шкідливих програм.
EDR-технології, з іншого боку, спрямовані на виявлення невідомих загроз, а також на швидке реагування на атаки і швидке відновлення після них.
Але загалом, антивіруси та EDR-технології можуть використовуватися в поєднанні для створення комплексної системи захисту, забезпечуючи високий рівень безпеки для кінцевих користувачів і організацій.
