Разработчики ежегодно тратят миллиарды долларов на создание средств защиты от вредоносных программ и атак. Но “плохие парни” все равно на шаг впереди. Как им удается? Почему антивирусы не в состоянии обеспечить надежную защиту?
Современные антивирусы не в состоянии защитить компьютер, предотвратив все заражения.
Есть несколько причин:
Вредоносных программ очень много.
Злоумышленники работают “на опережение”.
Злоумышленники всегда могут “обойти” работающий на компьютере антивирус.
Злоумышленники могут проверить, удалось ли им “обойти” антивирус, может ли он выявить вредоносную программу.
Антивирусы не учитывают контекст событий.
Ежедневно выявляется около 300,000 новых вредоносных программ.
Общее число известных вредоносных программ превышает 200,000,000.
Они не сообщают антивирусным компаниям о том, что придумали новый способ атаки или разработали вредоносную программу. Вместо того, чтобы рассказать всем о новой уязвимости, они ее используют.
Разработчики антивирусов узнают об уязвимостях, вредоносных программах и способах атаки от пострадавших пользователей. Причем злоумышленники предпринимают целый ряд шагов для того, чтобы обнаруженные ими уязвимости и созданные вредоносные программы как можно дольше оставались тайной для антивирусных компаний.
Узнайте больше о том, как злоумышленникам удается опередить антивирус
Современные антивирусы наряду с сигнатурами (или определениями) вирусов используют целый ряд других методов обнаружения. Таких, как эвристики, HIPS, оценка поведения приложений, “белые списки” и т. д. С помощью таких методов антивирусная программа иногда может выявить опасность, вызванную неизвестным вирусом, которого нет в сигнатурной базе. Но злоумышленники могут установить антивирусную программу на компьютер и попробовать разобраться, как происходит обнаружение, какие методы используются. Это позволяет им разрабатывать такие вредоносные программы, которые умеют обманывать антивирусы.
Перед тем, как начать атаку, злоумышленники устанавливают антивирусы и проверяют могут ли они выявить вредоносную программу. Если могут, то вредоносную программу приходится доработать — иначе атака не имеет смысла.
Узнайте больше о том, как облачные технологии не дают злоумышленникам проверить способы атаки
Антивирус, который установлен на компьютере и препятствует заражению, анализирует события отдельно и не может учитывать контекст, в котором они происходят. Но какое-то событие само по себе никакой опасности зачастую не несет, хотя если сопоставить его с другими событиями, то пора бить тревогу.
К тому же, вредоносные программы используют такие паттерны поведения, которые ничем не отличаются от поведения обычных программ. Антивирус не может понять — это пользователь так делает или вредоносная программа.
Работающая локально антивирусная программа не может менять алгоритм проверки в зависимости от промежуточных результатов. Облачные технологии дают возможность выдвигать гипотезы, проверять их и менять алгоритм работы в зависимости от промежуточных результатов. Такой подход позволяет достичь принципиально иного уровня в точности обнаружения атак.
Узнайте больше о том, как облачные технологии позволяют учитывать контекст, в котором происходит каждое из событий