#antywirus

Antywirus to program, którego zadaniem jest rozpoznać szkodliwe oprogramowanie i nie dopuścić do jego uruchomienia. Najbliższym odpowiednikiem jest portier z segregatorem zdjęć osób, które mają zakaz wstępu. Sprawdza każdego wchodzącego, porównuje twarz ze zdjęciami i przy trafieniu nie wpuszcza. Ta metafora niesie zarówno siłę takiego rozwiązania, jak i jego oczywistą słabość: portier rozpozna tylko kogoś, kogo zdjęcie ma w segregatorze.

Sygnatury, czyli album ze zdjęciami

Sygnatura to wzorzec rozpoznawczy znanego szkodnika: fragment kodu, suma kontrolna pliku, charakterystyczny ciąg bajtów. Producent zbiera próbki z całego świata, wytwarza z nich wzorce i rozsyła je do zainstalowanych programów, zwykle kilka razy dziennie. Skuteczność takiej ochrony zależy więc od dwóch rzeczy: od tego, jak szybko próbka trafi do producenta, i od tego, jak szybko wzorzec wróci na komputer.

Stąd bierze się zjawisko, które wygląda na paradoks. Ten sam plik bywa nierozpoznany w poniedziałek i rozpoznany w środę, choć nikt go nie zmienił. Zmienił się album ze zdjęciami, nie plik.

Zachowanie zamiast wyglądu

Ponieważ szkodniki da się drobnymi zmianami przerabiać w nieskończoność, sam album przestał wystarczać. Dzisiejsze programy tej klasy dokładają obserwację zachowania: zamiast pytać, jak plik wygląda, patrzą, co robi po uruchomieniu. Proces, który w kilka sekund otwiera setki dokumentów i zapisuje je zaszyfrowane, jest podejrzany niezależnie od tego, czy ktokolwiek widział go wcześniej.

Do tego dochodzi reputacja, czyli pytanie do usługi producenta, ilu użytkowników na świecie widziało już ten plik i od kiedy. Program spotykany po raz pierwszy na świecie, godzinę temu, traktowany jest ostrożniej niż biblioteka obecna na milionach komputerów od lat.

Antywirus, ochrona firmowa i EDR

Program kupiony w sklepie broni jednego komputera i tam kończy swoją historię. Wersja firmowa robi to samo, ale melduje wynik do wspólnej konsoli, przez którą ustawia się reguły dla grup urządzeń i widać, na której maszynie agent milczy od tygodnia. Ta różnica dotyczy zarządzania, nie samego wykrywania.

Osobną klasą jest EDR, czyli oprogramowanie nastawione na obserwację i zapis przebiegu zdarzeń, z możliwością odcięcia maszyny od sieci. Antywirus rozstrzyga, czy dany plik wolno uruchomić. EDR odpowiada na pytanie, którędy ktoś przeszedł przez maszynę i co po sobie zostawił. W praktyce oba mechanizmy siedzą dziś często w jednym agencie, sprzedawane jako różne poziomy tego samego produktu.

Gdzie to widać w firmie

Na komputerach pracowników, na serwerach plików i terminalowych, na serwerze pocztowym, jeśli poczta stoi lokalnie, oraz na urządzeniach mobilnych z dostępem do danych firmowych. Systemy operacyjne od lat mają wbudowaną ochronę tej klasy i dla małego biura bywa ona wystarczająca, dopóki nikt nie potrzebuje wspólnego widoku na wszystkie maszyny naraz.

Moment, w którym wbudowana ochrona przestaje wystarczać, poznaje się nie po jakości wykrywania, tylko po pytaniu, na które nikt nie umie odpowiedzieć: czy na wszystkich dwudziestu komputerach ochrona jest włączona i aktualna. Bez konsoli odpowiedź wymaga obejścia dwudziestu biurek.

Dwa programy naraz i wykluczenia sprzed lat

Dwa antywirusy uruchomione jednocześnie widzą nawzajem swoje działania jako podejrzane i zaczynają się skanować. Komputer zwalnia bez wyraźnej przyczyny, użytkownik zgłasza awarię sprzętu, a przyczyną jest dobra intencja kogoś, kto dołożył drugą ochronę „na wszelki wypadek".

Druga pułapka jest cichsza. Program księgowy albo magazynowy potrafi działać wolno przy włączonym skanowaniu, więc ktoś dodaje wykluczenie, często na cały dysk, żeby zamknąć sprawę w piątek po południu. Wykluczenie zostaje na lata i tworzy obszar, w którym ochrona nie zagląda nigdzie, a raport pokazuje ją jako w pełni włączoną. Coroczne przejrzenie listy wykluczeń kosztuje mniej niż skutki jednego takiego wpisu.

Czego antywirus nie zrobi

Nie zatrzyma osoby, która zaloguje się prawidłowym hasłem wykradzionym z czyjejś skrzynki, bo z punktu widzenia komputera nic złego się nie dzieje. Nie cofnie skutków ataku szyfrującego, od tego są kopie zapasowe. Nie zastąpi aktualizacji, bo wiele włamań korzysta z dziur w programach, a nie z plików do uruchomienia. I nie chroni przed przelewem wysłanym na konto podane w fałszywej wiadomości, bo tam nie ma żadnego pliku do sprawdzenia, jest tylko człowiek pod presją czasu.