211service.com
Il pasticcio multimotore degli antivirus
Quando Immunet ha annunciato il suo nuovo prodotto, chiamato Immunet Protect, all'inizio di questa settimana, un vantaggio fondamentale sarebbe stato che se un gruppo di utenti avesse eseguito una raccolta di software antivirus diversi, il metamotore Protect avrebbe potuto utilizzare gli avvisi di minaccia di quei prodotti per informare la propria popolazione.
Immunet Protect fornisce protezione sfruttando la saggezza collettiva dei prodotti di sicurezza già in esecuzione, nonché la conoscenza delle applicazioni installate nell'intera popolazione di utenti di Immunet, l'azienda afferma nel suo comunicato stampa sulla tecnologia. Immunet Protect raccoglie giudizi di sicurezza su ciò che è e ciò che non è sicuro dalla sua comunità. Questi giudizi aggregati vengono raggruppati nel cloud e, se sono validi, resi immediatamente disponibili al resto della Comunità Immunet.
Eppure, entro mercoledì, la società aveva deciso di non includere quell'attributo nel programma.
Uno degli [attributi] più controversi era se un file [potrebbe essere] rilevato o meno da un altro prodotto [antivirus], ha scritto Oliver Friedrichs, CEO di Immunet, in una e-mail giovedì. Dopo aver considerato le implicazioni, abbiamo deciso di non farlo andando avanti.
L'idea poneva un problema perché le aziende che desiderano utilizzare i risultati di più motori antivirus per proteggere i propri utenti in genere sono tenuti a concedere in licenza i motori. L'utilizzo dei risultati della scansione di un altro motore antivirus sul computer di un utente potrebbe essere considerato una violazione del copyright dei database antivirus.
In alcuni casi, tuttavia, l'industria sembra guardare dall'altra parte. Le aziende antivirus si scambiano spesso le minacce che hanno identificato come un modo per proteggere la popolazione generale da epidemie di massa, afferma Pedro Bustamante, consulente di ricerca senior di Panda Security. Inoltre, molte aziende di antivirus utilizzano computer che eseguono software antivirus dei rivali per agire come canarini e rilevare le minacce che le aziende potrebbero aver perso. Quindi gli analisti dell'azienda prendono una parte del file per vedere se è effettivamente dannoso.
È il piccolo sporco segreto del settore, dice Bustamante. Stiamo tutti facendo la stessa cosa in termini di utilizzo dei prodotti della concorrenza per aggiungere rilevamenti ai nostri prodotti. Quando un gruppo vede una minaccia, altre persone aggiungono rapidamente il rilevamento.
Fare così ha solo senso.
In un documento di ricerca pubblicato da tre ricercatori dell'Università del Michigan , 10 importanti programmi antivirus sono stati testati contro una raccolta di codice dannoso. Anche il miglior motore antivirus è stato in grado di rilevare inizialmente solo tre quarti del codice dannoso appena confezionato. Ci sono voluti tre mesi perché il miglior motore antivirus rilevasse il 90% del software pericoloso.
Dove un motore si guasta, più motori possono avere successo, afferma Jon Oberheide, studente di dottorato presso l'Università del Michigan e autore principale dell'articolo.
La scansione di potenziali software dannosi con due o più motori migliora notevolmente la precisione. (Fonte: Oberheide et al.)
La combinazione dell'intelligenza di più motori antivirus può portare a guadagni significativi nella copertura di rilevamento del malware di portata globale, afferma.
Nel documento, Oberheide e i suoi colleghi hanno scoperto che ogni singolo motore rileva dal 40 all'80 percento dei virus nella prima settimana: l'utilizzo di più di un motore antivirus per scansionare lo stesso programma aumenta il tasso di rilevamento tra il 75 e il 95 percento nella prima settimana. . I ricercatori dell'Università del Michigan chiamano la tecnica n-version protection.
Sebbene la tecnica possa aiutare le aziende a riconoscere le minacce più velocemente, concedere in licenza tre o quattro motori per utente sarebbe proibitivo. Quindi, per ora, il rilevamento automatico basato su più scanner antivirus sembra essere un vicolo cieco.