211service.com
Desorden multimotor de antivirus
Cuando Immunet anunció su nuevo producto, llamado Immunet Protect, a principios de esta semana, una ventaja principal sería que si un grupo de usuarios ejecutaba una colección de software antivirus diferente, el metamotor Protect podría usar las alertas de amenazas de esos productos para informar su propia población.
Immunet Protect brinda protección aprovechando la sabiduría colectiva de los productos de seguridad que ya ejecuta, así como el conocimiento sobre las aplicaciones instaladas en toda la población de usuarios de Immunet, la empresa afirma en su nota de prensa sobre la tecnología. Immunet Protect recopila juicios de seguridad sobre lo que está y lo que no está a salvo de su comunidad. Estos juicios agregados se fusionan en la nube y, si son sólidos, se ponen a disposición del resto de la comunidad Immunet de inmediato.
Sin embargo, para el miércoles, la empresa había decidido no incluir ese atributo en el programa.
Uno de los [atributos] más controvertidos fue si un archivo [podría ser] detectado por otro producto [antivirus], escribió Oliver Friedrichs, director ejecutivo de Immunet, en un correo electrónico el jueves. Después de considerar las implicaciones, hemos decidido no seguir adelante.
La idea planteaba un problema porque las empresas que desean utilizar los resultados de varios motores antivirus para proteger a sus usuarios suelen tener que licenciar los motores. El uso de los resultados del análisis de otro motor antivirus en la computadora de un usuario podría haberse visto como una infracción de los derechos de autor de las bases de datos antivirus.
En algunos casos, sin embargo, la industria aparentemente mira hacia otro lado. Las firmas de antivirus intercambian con frecuencia las amenazas que han identificado como una forma de proteger a la población en general contra brotes masivos, dice Pedro Bustamante, asesor senior de investigación de Panda Security. Además, muchas firmas de antivirus utilizan computadoras que ejecutan software antivirus de rivales para actuar como canarios y detectar amenazas que las firmas podrían haber pasado por alto. Luego, los analistas de la empresa toman parte en el archivo para ver si es realmente malicioso.
Es el pequeño secreto sucio de la industria, dice Bustamante. Todos estamos haciendo lo mismo en cuanto al uso de productos de la competencia para agregar detecciones a nuestros productos. Cuando un grupo ve una amenaza, otras personas agregarán rápidamente la detección.
Hacerlo solo tiene sentido.
En un trabajo de investigación publicado por tres investigadores de la Universidad de Michigan , Se probaron diez de los principales programas antivirus frente a una colección de códigos maliciosos. Incluso el mejor motor antivirus solo podía detectar inicialmente tres cuartas partes del código malicioso recién empaquetado. El mejor motor antivirus tardó tres meses en detectar el 90 por ciento del software peligroso.
Donde falla un motor, varios motores pueden tener éxito, dice Jon Oberheide, estudiante de doctorado en la Universidad de Michigan y autor principal del artículo.
El análisis de software malintencionado potencial con dos o más motores mejora la precisión de forma espectacular. (Fuente: Oberheide et al.)
La combinación de la inteligencia de múltiples motores antivirus puede resultar en ganancias significativas en la cobertura de detección de malware de alcance global, dice.
En el artículo, Oberheide y sus colegas encontraron que cualquier motor detecta entre el 40 y el 80 por ciento de los virus en la primera semana; usar más de un motor antivirus para escanear el mismo programa aumenta la tasa de detección entre el 75 y el 95 por ciento en la primera semana. . Los investigadores de la Universidad de Michigan llaman a la técnica protección de versión n.
Si bien la técnica podría ayudar a las empresas a reconocer las amenazas más rápidamente, la licencia de tres o cuatro motores por usuario sería prohibitivamente costosa. Entonces, por ahora, la detección automatizada basada en múltiples escáneres antivirus parece ser un callejón sin salida.