Već je sasvim jasno da tradicionalni, pattern based pristup nije više adekvatna zaštita od sve naprednijih računarskih napada. Rešenje je layered based security, uz poželjnu mogućnost komunikacije između svih sigurnosnih nivoa i razmenu informacija u realnom vremenu.
Evolucija malware‑a ubrzana je na svim poljima, od masovnih do ciljanih napada, što je posebno vidljivo u slučaju ransomware‑a. Naime, interes za razvoj naglo raste gde god je napad lako monetizovati (što je bitkoin značajno olakšao). Većina promena s tehničke strane nije ni bila zahtevna, samo se trebalo toga setiti. Takva je, na primer, promena sa nagware‑a, kakvi su bili lažni antivirusi koji bi tražili kupovinu umesto otkupnine da bi prestali da stalno „iskaču“ pred korisnika, prema ransomware‑u, koji bi zaključao određene sistemske datoteke i u ime nekog policijskog ili državnog tela tražio otkupninu zbog navodnog računarskog kriminala (najčešće torrent sa autorskim pravima), i to lokalizovan na mesto napada. Uporedo sa takvim napadima napredovala su i sredstva njihove monetizacije, od klasičnih uplata na račun preko premijum SMS brojeva, preko poklon‑kartica (najčešće Apple store, Amazon i slične prodavnice sa tehničkom robom), do bitkoina. Sve to dovelo nas je do novog crypto ransomware‑a, koji kriptuje datoteke na korisničkom računaru, prethodno briše backup (ako ga može naći), a zaključava i mauntovane mrežne diskove. I sve to sa ključevima posebno generisanim samo za određenu žrtvu, od koje se za povrat datoteka traži otkupnina, najčešće u bitkoinu.
Vidimo da je osnovna ideja ostala ista, ali napredovale su tehnike osiguranja od povrata datoteka bez otkupnine. Sa tehničke strane, zanimljive su i promene u distribuciji takvih napada. Napad i dalje najčešće počinje e‑mail‑om, ali sve ređe je kompletan exploit u samom e‑mail‑u, već se preuzima sa nekog web sedišta na koje taj e‑mail upućuje, direktno ili posredno. Novost u distribuciji je korišćenje web sedišta koja komuniciraju https protokolom, kako bi se izbegla inspekcija payload‑a na perimetarskim sigurnosnim rešenjima, kao i (možda i najznačajnije od svega) repakiranje (rehash) malicioznih datoteka. Promena hash vrednosti jednostavna je i brza, pa napadači lako kreiraju „jedinstvene“ datoteke po kampanji (iako se radi o možda i godinama starim i proverenim datotekama) kako bi izbegli pattern based detekciju.
Smart Protection Network
Iz svega vidimo kako je neophodno da savremeni alati za zaštitu računara poseduju niz tehnologija kako bi povećali mogućnost otkrivanja u nekoj od faza, odnosno layered based security. Dodatni plus je ako bi svi ti sigurnosni nivoi mogli međusobno da komuniciraju i koreliraju događaje koji, možda, sami po sebi ne bi bili maliciozni, ali u kombinaciji ispadaju takvi. Sve češće se spominje machine learning, koje se iz marketinškog ugla probilo kao ključna razlika između „next gen“ i „klasičnih“ rešenja. Međutim, sa aspekta sigurnosti, to je samo još jedan sloj u nizu slojeva zaštite kojima pokušavamo da što celovitije zaštitimo svoje računarske sisteme. A kao i ostali slojevi u toj zaštiti, on ima svoje prednosti i nedostatke, te sam po sebi nije dovoljan.
Ono što izdvaja sigurnosna rešenja bazirana na machine learning algoritmima i neuralnim mrežama nisu, u stvari, sami algoritmi koji ih pokreću, već veličina data‑seta na kojem mogu da uče. A upravo to je nešto u čemu je Trend Micro ubedljiv predvodnik na tržištu, kao pionir cloud security komponente po imenu Smart Protection Network, koja postoji već duže od deset godina i ima akumulirane ogromne količine podataka i senzora širom sveta. Sve to prepoznao je i Gartner, pa već nekoliko godina zaredom smatra Trend Micro predvodnikom u endpoint security portfoliju. To, svakako, nije jedina kategorija u kojoj je Trend Micro predvodnik, pogotovo u svetlu layered based zaštite, mail/web gateway, APT zaštite i sličnih rešenja koja međusobno komuniciraju i razmenjuju informacije u realnom vremenu.
Matija Mandarić Presales Engineer, Veracomp Adriatics
Trend Micro tim je tu za sva dodatna pitanja: trendmicro@veracompadria.com
