ฉันจะอธิบายได้อย่างไรว่าการป้องกันไวรัสทำงานอย่างไรกับผู้ใช้ที่ไม่ใช่ผู้ใช้ Super


12

ฉันพบคำถามนี้ซึ่ง expalins รายละเอียดเล็กน้อยว่าโปรแกรม Anti-Virus ทำงานอย่างไร แต่ฉันเพิ่งมีลูกค้าถามฉันนี้และฉันไม่สามารถให้คำตอบที่ดีเรียบง่ายเข้าใจง่าย สิ่งที่ดีที่สุดที่ฉันสามารถทำได้คือไวรัสแต่ละตัวมี "ลายนิ้วมือ" ที่เฉพาะเจาะจงและซอฟต์แวร์จะสแกนในบริเวณที่ติดไวรัสซึ่งเป็นที่รู้จักสำหรับพวกเขา

ฉันจะอธิบายสิ่งนี้ในรูปแบบที่เข้าใจง่ายได้อย่างไร


1
คำถามที่ดี. ฉันรวบรวมคำตอบที่ซุ่มซ่ามด้วยความหวังว่าเราจะสามารถสร้างมันขึ้นมาได้

กำลังอ่าน ... Encrypt.google.com/…
Moab

เตือนฉันถึงการอภิปรายเกี่ยวกับ "virtualization ... สำหรับแฟนของคุณ": P
nhinkle

“ คุณไม่สมบูรณ์แบบระบบปฏิบัติการไม่สมบูรณ์แบบการขาดความสมบูรณ์แบบนำไปสู่ปัญหามากมาย”
tobylane

1
@ muntoo, อ๋อ, isp ของฉันไม่เห็นสิ่งที่ฉันค้นหาอีกต่อไป
Moab

คำตอบ:


10

กลไกการตรวจจับหรือวิธีที่พวกเขาอยู่ในระดับลึก?

เมื่อมีคนพูดกับฉันเกี่ยวกับวิธีที่มัลแวร์เข้ามาในเครื่องของพวกเขาและทำไมมันเป็นไปไม่ได้ที่จะลบออกเมื่อมันอยู่ในระบบและมีอะไรที่เกี่ยวข้องกับมัลแวร์มาก

(และเมื่อฉันเขียนมันลงไปฉันจะต้องฟังดูเหมือนคนงี่เง่า แต่ฉันหวังว่าคุณจะชอบมัน!)

ลองนึกภาพบ้านของคุณคือคอมพิวเตอร์โปรแกรมป้องกันไวรัสเป็นกลไกความปลอดภัยที่แตกต่างกันหลายอย่าง

ดาวน์โหลด / สร้างไฟล์ใหม่:

ลองนึกภาพคนโกหกที่ประตูหน้าของคุณ - ใครก็ตามที่เข้ามาในบ้าน (ไฟล์ที่เข้ามาในเครื่องของคุณ) ต้องผ่านเขาและเขาตรวจสอบว่าพวกเขาสะอาด * หากเขาพบสิ่งที่ไม่ดีเขามักจะให้คุณเลือกว่าจะทำอย่างไร

สแกนเนอร์ที่ใช้งานอยู่

ลองนึกภาพทีมรักษาความปลอดภัยภายในเฝ้าดูทุกคน (กระบวนการที่ใช้งาน) ในบ้านของคุณวัตถุใด ๆ (ไฟล์) ที่พวกเขาสัมผัสจะถูกมองเพื่อให้แน่ใจว่าพวกเขาสะอาด *

การสแกนแบบพาสซีฟ / แบบแมนนวล

เมื่อไม่มีอะไรให้ทำหรือคุณเลือกคุณสามารถให้ทีมรักษาความปลอดภัยตรวจสอบวัตถุทุกชิ้นในบ้านเพียงเพื่อให้แน่ใจว่าพวกเขาสะอาดจากภัยคุกคามล่าสุด

รูทคิท / ครั้งหนึ่งติดเชื้อ

ในขณะที่การรักษาความปลอดภัยภายในบ้านของคุณจะทำดีที่สุดเสมอไม่มีอะไรที่มีประสิทธิภาพ 100% เมื่อมีคนอยู่ในบ้านหากพวกเขาไม่หยุดพวกเขาสามารถทำสิ่งที่พวกเขาต้องการ ในขณะที่เป็นไปได้ในการทำความสะอาดหลังจากพวกเขาและในกรณีส่วนใหญ่ยกเลิกความเสียหายทั้งหมด ... พวกเขาสามารถออกจากทีมรักษาความปลอดภัยของตัวเองที่อยู่เบื้องหลังที่รบกวนด้วยตัวคุณเอง

`* ดังที่ Randolph กล่าวในคำตอบของเขาโดยทั่วไปแล้วมันเป็นส่วนผสมของลายนิ้วมือและการวิเคราะห์พฤติกรรม )

ฉันดูเหมือนจะไม่พบมัน แต่ Microsoft เคยมีเอกสาร API เกี่ยวกับการสร้างซอฟต์แวร์ AV ฉันสามารถค้นหาลิงก์ไปยังคำแนะนำ MS Office / IE APIเท่านั้น ฉันเดาว่าเนื่องจากชุดคิต AV / รูทปลอมพวกเขาได้ลบข้อมูลนี้แล้ว

(ไซแมนเทคมีบทความที่น่าสนใจสำหรับการอ่านเพิ่มเติม)

แก้ไข - เพิ่งพบคำถาม Stack Overflow ที่ขัดจังหวะ ... Antivirus ของ Windows เกี่ยวข้องกับกระบวนการเข้าถึงไฟล์ได้อย่างไร


5

พวกเขาทำงานในหลายระดับ ได้แก่ :

  • คำจำกัดความลายนิ้วมือตามที่คุณระบุซึ่งจะตรวจสอบกิจกรรมหรือลายเซ็นของไฟล์ที่ตรงกับฐานข้อมูล

  • เช่นพฤติกรรมที่น่าสงสัยเช่นบูตเซกเตอร์ถูกดัดแปลงโดยสิ่งที่ไม่รู้จักหรือหน่วยความจำถูกเขียนทับโดยกระบวนการที่ไม่ควรเข้าถึง

  • การตรวจจับ Rootkit ซึ่งต้องการให้ AV ทำงานเกือบเหมือนไวรัสตัวเอง (* นี่คือเหตุผลที่ AVG ไม่ชอบ ComboFix เช่น - ทำสิ่งที่แยกไม่ออกจากพฤติกรรมของไวรัส) ซึ่งจะต้องซ่อนตัวเองจากรูทคิท

นี่ไม่ใช่รายการที่สมบูรณ์และฉันยินดีต้อนรับการแก้ไขคำตอบ


3
"ฉันยินดีต้อนรับการแก้ไขคำตอบ" ทำไมไม่ทำให้มัน CW แล้ว?
Hello71

1

ฉันเคยอยู่ในฐานะที่จะบอกผู้คนว่าพวกเขาต้องการซอฟต์แวร์ AV ในขณะที่กำจัดคำวิจารณ์ "ผู้เชี่ยวชาญ" ที่อาสาสมัครว่าซอฟต์แวร์ AV นั้น "ไร้ค่า" เพราะไวรัสตัวใหม่ที่ไม่พิมพ์ลายนิ้วมือจะไม่หยุดและอย่างที่ Wil พูด ที่ทำให้การล้างข้อมูลเป็นจริงเป็นไปไม่ได้

ฉันคิดว่ามันเป็นสิ่งสำคัญที่ผู้ใช้ที่ไม่ใช่คนซุปเปอร์เข้าใจจุดสองจุดสุดท้าย แต่ไม่คิดว่าซอฟต์แวร์ AV ไม่มีประโยชน์ พวกเขายังต้องเข้าใจจุดที่สามด้วยว่าต้องมีแผนสำรองอย่างระมัดระวังโดยจับตามอง "Nuke จากวงโคจรวิธีเดียวที่จะทำให้แน่ใจได้ว่า" การล้างข้อมูลที่ระบบถูกเช็ดและระบบปฏิบัติการถูกติดตั้งจากการสำรองข้อมูลที่ดีที่รู้จัก


1

ระบบปฏิบัติการของคุณเป็นสิ่งปลูกสร้างและไวรัสเป็นขโมย


Windows เป็นอาคารสำนักงาน

ในขณะที่ทุกคนได้รับอนุญาตให้เข้าและออกพวกเขาต้องผ่านการรักษาความปลอดภัยที่กระเป๋าของพวกเขามีการตรวจสอบและพวกเขาเดินผ่านเอ็กซ์เรย์ นี้จะเทียบเท่าของสแกนเนอร์ที่ใช้งาน มีการตรวจสอบทุกอย่างดังนั้นจึงมีโอกาสเล็กน้อยที่ทุกอย่างจะผ่านประตูหน้า

ทั่วทั้งอาคารมีกล้องและเจ้าหน้าที่รักษาความปลอดภัยคอยดูแลพวกเขาเพื่อค้นหากิจกรรมที่น่าสงสัย นี้เป็นแบบ Passive สแกน เจ้าหน้าที่รักษาความปลอดภัยค่อนข้างดีในการระบุพฤติกรรมซุกซนทั่วไปเพราะพวกเขาใช้เวลาทั้งวันทุกวันในการเฝ้าดูผู้คน

นักเตะคือถ้าคุณเต้นไก่ขี้ขลาดผ่านสแกนเนอร์เอ็กซเรย์คุณก็จะผ่านพ้นไปไม่ต้องถามคำถามเลย

การติดเชื้อจะเป็นเช่นนี้ โจรขโมยไก่ที่ขี้ขลาดเดินผ่านหน้าผู้พิทักษ์ เมื่อพวกเขาอยู่ในสิ่งที่พวกเขาต้องการและพวกเขาก็ต้องค้นหา (หรือสร้าง) ประตูหลังออกไปกับสินค้า

หากขโมยมีความซับซ้อนสแกนเนอร์แบบพาสซีฟจะส่งสัญญาณเตือนและส่งการรักษาความปลอดภัยหลังจากนั้นหากคุณดู Oceans Eleven เมื่อเร็ว ๆ นี้คุณจะรู้ว่าสิ่งที่ฉันหมายถึงเมื่อฉันพูดว่า "ไม่ใช่โจรทุกคน ถ้าเขาเป็นคนดีเขาจะรู้วิธีหลบเลี่ยงและล้มล้างระบบเฝ้าระวังของคุณดังนั้นคุณไม่รู้ด้วยซ้ำว่าเขาอยู่ที่นั่น จากนั้นเป็นเกมฟรีพร้อมข้อมูลของคุณ

ยิ่งแย่ไปกว่านั้นคือพวกมันมีอิทธิพล พวกเขาทำให้เพื่อน ๆ ในระบบของคุณ (ติดแอพพลิเคชั่นอื่น ๆ ) ดังนั้นแม้ว่าคุณจะประสบความสำเร็จในการบู๊ตพวกเขาพวกเขาสามารถเรียกเพื่อนเพื่อให้พวกเขากลับมาสแกนแบบพาสซีฟไม่เพียงแค่ดูคนเลว ดูพฤติกรรมของทุกคน แต่มันไม่สมบูรณ์แบบ

โทรจันเป็นเหมือนขโมยที่ซ่อนตัวอยู่โดยหนึ่งในทางออกฉุกเฉินหากเขาได้ยินเสียงเคาะลับจากเพื่อนคนหนึ่งของเขาข้างนอกเขาเปิดประตูจากด้านใน คุณไม่ต้องการสิ่งเหล่านี้ในอาคารของคุณเพราะพวกเขามีความสามารถอย่างยิ่ง


Mac เป็นอาคารสำนักงาน แต่มีระบบคีย์การ์ด

เมื่อคุณเข้าไปในอาคารคุณจะต้องลงชื่อเข้าใช้กับเจ้าหน้าที่รักษาความปลอดภัยเพื่อรับบัตรของคุณ แต่เมื่อคุณอยู่ในคุณจะมีอิสระที่จะย้ายเกี่ยวกับพื้นที่ที่คุณได้รับอนุญาตให้ท่องไป หากคุณต้องการเข้าถึงคลังโฆษณาของ บริษัท คุณต้องลงชื่อเข้าใช้อีกครั้งเพื่อส่งระดับที่สูงขึ้นเพื่อดำเนินการต่อ ทุกครั้งที่คุณออกจากระดับการรักษาความปลอดภัยคุณจะสูญเสียบัตรของคุณดังนั้นคุณต้องลงชื่อเข้าใช้ทุกครั้งที่คุณต้องกลับเข้ามา

ช่องโหว่ที่นี่คือให้แน่ใจว่าคุณรู้ว่าบุคคลที่คุณให้สิทธิ์เข้าถึงควรได้รับอนุญาต


Linux เป็นเหมือนฐานทัพทหาร

คุณต้องผ่านการรักษาความปลอดภัยเพื่อเข้าไปในเกต แต่คุณต้องมีอันดับ / ชื่อเพื่อเข้าถึงส่วนต่างๆของฐาน ตัวอย่างเช่นคุณไม่สามารถเข้าไปในสนามบินหากคุณไม่ใช่นักบิน (และไม่ใช่เจ้าหน้าที่ระดับสูง) คุณจะไม่สามารถเข้าไปในเรือดำน้ำได้หากคุณไม่ใช่ผู้เยาว์

คิดว่าบัญชีรูทเป็น General เขาไม่ต้องการการอนุญาตให้ไปไหนเพราะเขาเป็นเจ้าหน้าที่ที่ดีที่สุดบนฐาน ดังนั้นคุณไม่ต้องการปล่อยให้นายพลของคุณปล่อยให้ใครเข้าฐาน (เพราะเขาจะถูกเชื่อฟังโดยไม่มีคำถาม)

เคล็ดลับกับ Linux คืออย่าทำให้ตัวเองเป็นนายพล ทำให้ตัวเองเป็นผู้ช่วยผู้บังคับการที่ทำหน้าที่ของตนอย่างถูกต้อง จากนั้นเมื่อเจ้าหน้าที่ย่อยพบว่าเขาต้องการทรัพยากรเพิ่มเติมเพื่อให้งานของเขาสำเร็จให้อัพเกรดเขาชั่วคราว (คำสั่งสำหรับสิทธิ์ในลินุกซ์ที่ยกระดับในนั้นคือ sudo ซึ่งให้สิทธิ์การเข้าถึงรูทชั่วคราว) แก่ General เพื่อให้สิ่งต่างๆเคลื่อนไหวและสั่นไหว


ในความเป็นจริง Linux และ Unix ใช้รูปแบบความปลอดภัยเดียวกันสำหรับสิทธิ์ Macs ไม่แบ่งระบบเช่น Linux ทำเพื่อให้ผู้ใช้เป็นมิตรมากขึ้น

ปัญหาสำคัญของระบบเหล่านี้คือเมื่อโจรหาทางพวกเขาสามารถสร้างประตูหลังเพื่อกลับเข้ามาใหม่โดยไม่ต้องผ่านระบบรักษาความปลอดภัย

เท่านั้นจริงๆความปลอดภัยของระบบความปลอดภัยที่ชาญฉลาดจะมีระบบที่มีความซับซ้อนมากขึ้น เช่นย้อนเวลากลับไปสู่จุดเริ่มต้นของวันในตอนท้ายของแต่ละวัน นี่คือเทียบเท่ากับการทำงานแบบเสมือน Sandbox ทุกครั้งที่คุณโหลดระบบปฏิบัติการจะโหลดสำเนาที่ไม่มีการเปลี่ยนแปลงใหม่ ไม่มีแบ็คดอร์จะมีอยู่เพราะระบบปฏิบัติการจะถูกตั้งค่ากลับไปเป็นสถานะก่อนที่พวกโจรจะเข้าไปมีข้อ จำกัด สำหรับวิธีนี้ แต่พวกเขามีรายละเอียด / ซับซ้อนเกินกว่าที่จะครอบคลุมที่นี่


เคล็ดลับที่คนส่วนใหญ่ (บางคนสะดวก) มองข้ามคือ เมื่อคุณปล่อยให้ใครบางคนเข้าไปในอาคารและให้สิทธิ์การเข้าถึงแก่พวกเขาพวกเขาสามารถให้คนอื่นเข้ามาได้ดังนั้นอย่าปล่อยให้ผู้ชายสวมเสื้อเชิ้ตลายทางสีดำและสีขาว (และในบางกรณีเด็กผู้หญิงตัวเล็ก ๆ ที่มีหนังสือกลศาสตร์ควอนตัม) ประตูหน้าแรก ยกเว้นการเต้นไก่ที่ขี้ขลาดพวกเขาไม่สามารถเข้าไปได้เว้นแต่คุณจะปล่อยให้พวกเขาทำ

ปัญหาของสแกนเนอร์ไวรัสคือคนพึ่งพาพวกเขามากเกินไป พิจารณาว่าเครื่องสแกนที่ใช้งานหรือไม่ได้รู้เกี่ยวกับเล่ห์เหลี่ยมไก่ขี้ขลาด คุณปล่อยให้คนเลวเข้าระบบของคุณได้อย่างอิสระ หากคุณโชคดีเขาจะทำสิ่งที่ทำให้เครื่องสแกนแฝงสนใจ หากคุณไม่โชคดีเขาจะย้ายจากเงาหนึ่งไปยังอีกเงาในระบบของคุณสร้างความหายนะและคุณจะไม่รู้ด้วยซ้ำว่าเขาอยู่ที่นั่น

ช่องโหว่ของซอฟต์แวร์ 0 วัน (ข้อบกพร่องของซอฟต์แวร์ที่ทราบว่ามีช่องโหว่ด้านความปลอดภัยที่ยังไม่ได้รับการติดตั้ง) จะเทียบเท่ากับการเต้นรำไก่ที่ขี้ขลาด Microsoft ไม่ใช่ฝ่ายเดียวที่ตำหนิเหล่านี้ ฉันเคยเห็น Adobe Flash Hack และผ่านระบบของฉันไปได้ดีกว่าการซ่อมแซมใน <15 วินาที

Windows / Linux มักจะไม่พบปัญหาไก่ขี้ขลาดเพราะคุณมีสิทธิ์การเข้าถึง (คีย์การ์ด, อันดับ) ทุกที่ที่คุณไปตลอดทั้งระบบ

รูทคิทเปรียบเสมือนการมีหนึ่งในคนเหล่านี้ลักพาตัวเจ้าหน้าที่รักษาความปลอดภัยของคุณล็อคเขาไว้ในตู้เสื้อผ้าแล้วปลอมตัวเป็นเขา ด้วยอันดับในฐานะหัวหน้าหน่วยรักษาความปลอดภัยเขามีอำนาจที่จะจ้าง / ยิงใครก็ได้และเปลี่ยนนโยบายด้วยความตั้งใจ หากพวกเขามาหาเขาคุณกำลังเมาเพราะเขาสามารถปลดพนักงานรักษาความปลอดภัยทั้งหมดหรือใช้นโยบายที่บังคับให้เจ้าหน้าที่รักษาความปลอดภัยจ้องที่เท้าของพวกเขา กล่าวคือ คุณจริงๆไม่ต้องการผู้ชายคนนี้ที่จะทำลาย

ฉันหวังว่าจะช่วย

โดยการใช้ไซต์ของเรา หมายความว่าคุณได้อ่านและทำความเข้าใจนโยบายคุกกี้และนโยบายความเป็นส่วนตัวของเราแล้ว
Licensed under cc by-sa 3.0 with attribution required.