Czas porzucić klasyczne antywirusy? Wykrywanie sygnatur dziś już nie wystarczy

Kilka dni temu o bardzo poważnej decyzji związanej z bezpieczeństwem swoich systemów poinformował Netflix. Firma słynąca raczej z multimediów i udostępniania treści na żądanie zaszokowała czymś tym razem zupełnie innym. Jej pracownicy przyznali, że w tym roku nie będą już przedłużać umowy z dotychczasowym dostawcą rozwiązania antywirusowego i stopniowo rezygnują z ochrony opartej na sygnaturach. Dlaczego? Ta jest po prostu nieskuteczna, a pieniądze na nią przeznaczane to najczęściej środki wyrzucane w błoto, które można wykorzystać w znacznie lepszy sposób. Wystarczy sięgnąć po rozwiązania niestandardowe, które stopniowo zyskują sympatię kolejnych administratorów.

Skąd taka decyzja? Jeżeli spojrzymy na wyniki niezależnych testów takich jak AV-Test czy AV-Comparatives moglibyśmy dojść do wniosku, że czołówka producentów oferuje nam niemalże stuprocentową skuteczność i szanse na jakąkolwiek infekcję są minimalne. Tak to rzeczywiście wygląda, ale tylko w środowiskach testowych, które nie tylko znacznie odbiegają do warunków naturalnych, ale na dodatek nie uwzględniają niektórych czynników. Producenci sami przyznają, że nie radzą sobie z rosnącą liczbą zagrożeń i mogą reagować tylko na najpopularniejsze i najszybciej rozprzestrzeniające się szkodniki. Te mniej znane, ale często jeszcze bardziej szkodliwe są poza zasięgiem baz antywirusów, mogą działać do woli i świetnie nadają się do ataków na indywidualne ofiary – zainstalowany pakiet ochronny nie zareaguje, napastnik zrobi, co będzie chciał.

Kolejnym problemem jest to, jak firmy podchodzą do wspomnianych testów i marketingu. W tym roku wyszło na jaw, że chińskie Qihoo 360 oszukiwało w testach, przygotowało program specjalnie z myślą o nich, co zaburzało jego wyniki. Producenci oczywiście karmią nas sloganami mówiącymi o kompletnej ochronie, o zbawiennym działaniu chmury, ale te deklaracje da się bardzo łatwo obalić: testy przeprowadzone przez twórców oprogramowania SpyShelter, a później przez jednego z użytkowników Reddita pokazały, że w starciu z nowymi i nietypowymi zagrożeniami znane i cenione oprogramowanie okazuje się nieskuteczne i bezsilne. Pamiętajmy natomiast, że płacimy na rzekomą „kompleksową ochronę”. Gdzie jest więc ona ukryta? Tego już niestety nie wiadomo.

O kiepskim stanie rynku zabezpieczeń świadczą także liczne przypadki potwierdzające, że odpowiednio zmotywowani cyberprzestępcy mogą ochronę łatwo ominąć. Przykładem niech będą działania grupy Hacking Team, która wyspecjalizowała się w wykradaniu informacji, także na zlecenie rządów. Lista jaka wyciekła do Internetu pokazała, że z większością antywirusów jej pracownicy nie mieli żadnych problemów. Ich działanie dało się ominąć albo za sprawą odpowiedniego oprogramowania, albo zabiegów socjologicznych – nawet bardzo dobre sygnatury będą zupełnie bezwartościowe w sytuacji, gdy poważny błąd popełni użytkownik.

Obraz jaki wyłania się po podsumowaniu tego wszystkiego, jest nad wyraz przygnębiający: najczęściej płacimy jedynie za podstawową ochronę, a także efekt placebo. Netflix postanowił dać sobie spokój z tego typu wydatkami, po dokładnym zbadaniu sprawy uznano, że lepiej wybrać rozwiązanie mniej znanej firmy bazujące na aktywnym monitoringu działających na komputerze procesów. Zamiast skanowania plików, generowania sum kontrolnych i obciążania niemalże każdej czynności dodatkowymi operacjami dyskowymi, w tle działa monitor, który analizuje zachowanie programów. To właśnie na tego typu rozwiązaniach bazują aplikacje, które, choć nie są popularne, pozytywnie wyróżniają się w walce z zagrożeniami: dopuszczanie aplikacji jedynie z białej listy, informowanie o niebezpiecznych akcjach i stawianie na profilaktykę daje o wiele lepsze rezultaty.

Rynek antywirusów zdaje się podchodzić do tego inaczej – co prawda taki ESET dodał do swojego pakietu już jakiś czas temu moduł HIPS, ale ten jest domyślnie skonfigurowany tak, iż w zasadzie nie chroni przed działaniem wyszukanego malware. W tym roku pożegnaliśmy także zaawansowaną zaporę Online Armor. Jej producent zdecydował, że użytkownicy preferują łatwą w obsłudze ochronę automatyczną. Ponownie, nie jest to odpowiednia droga. O wiele lepszą wydaje się inwestowanie w systemy izolacji (piaskownice, maszyny wirtualne), naukę pracy z ograniczonymi uprawnieniami użytkownika, a także ochronę przed exploitami. Tę możemy natomiast uzyskać za darmo stosując oprogramowanie EMET udostępniane przez firmę Microsoft lub konkurencyjne Malwarebytes Anti-Exploit. Oczywiście nie stanowią one pełnej ochrony, są jednak dodatkowym zabezpieczeniem, a nie powodują spadku wydajności.

Oczywiście, jeżeli zechcemy, nadal pozostaniemy przy idiotoodpornych pakietach zabezpieczających, które w ramach cyklicznej subskrypcji oferują nam „pełną ochronę przed szkodnikami”. Postąpić mogą tak także firmy, ryzykując nie tylko utratę danych, ale również niepotrzebne wydatki. Zamiast tego warto jednak dobrze zastanowić się nad tym, czy antywirusy faktycznie oferują nam jeszcze to, czego się po nich spodziewamy. Możliwe, że nie tylko taniej, ale znacznie lepiej ze względu na bezpieczeństwo będzie sięgnąć po coś zupełnie innego. Może to wymagać zmiany przyzwyczajeń, ale równie dobrze może się także bardzo opłacić.