Behaviour blockers
Af e-tech, www.malwarecheck.dk
Når vi snakker om it-sikkerhed, kan vi næsten ikke undgå at høre begrebet ”behaviour blockers”. Alle de store it-sikkerhedsproducenter, med respekt for sig selv, har behaviour blockers som en del af deres sikkerhedspakke. Behaviour blockers er noget af det nyeste indenfor it-sikkerheden, set i forhold til andre mere traditionelle metoder at beskytte computeren på.
Den traditionelle antivirusbeskyttelse vil typisk bruge to metoder. Antivirusprogrammer vil kigge efter ”fingeraftryk og sortlister” (fingerprinting/blacklisting) eller bruge heuristisk teknologi. Fingerprinting metoden går ud på følgende: Et antivirusprogram opdager en ondsindet kode ved at kigge efter digitale fingeraftryk. Disse aftryk vil programmet kunne finde i en kæmpestor signaturdatabase eller andre kilder, som producenten allerede har opbygget gennem tiden. Den vil også søge efter tegn i koden på den allerede sortlistede malware fra for eksempel Zlob-familien.
Hvad gør vi?
Den heuristiske teknologi er anderledes end fingerprinting/blacklisting. Den stiller skarpt på blandt andet filens eller programmets struktur og indhold. Ud fra disse oplysninger tager den heuristiske beskyttelse stilling til i hvor høj grad er det sandsynligt at det scannede objekt har reelle hensigter. Den vil eksempelvis kigge efter en bestemt komprimeringsmetode, som bruges kun af malware og sjældent af legitime programmer. Hvis det dumper, så falder dommen. Død eller livstid i viruskisten.
Men, der manglede noget. Et problem kunne ikke rigtigt løses. Hvad nu, hvis der var muligt at lave et virusprogram, der er helt nyt og stadig ukendt for antivirusproducenterne men samtidig lignede noget, som vi alle kender i forvejen? Både med hensyn til strukturen og indholdet. Hvis en virusskaber var, og heldigvis er der kun få der er så ”dygtige”, så smart at konstruere sådan et program, ville han i teorien kunne omgå enhver virusbeskyttelse og slippe ugeneret forbi. Her havde man et problem, for en ondsindet kode opdages bedst, når skaden allerede er sket. Så er vi ikke længere i tvivl om den er skadeligt eller ej. Man behøver nok ikke være et geni for at komme frem til denne konklusion.
Det var et behov, der ikke var opfyldt. Det var et hul, der skulle lukkes. Hvad skulle man gøre? Og her fik vi, til vores store glæde, behaviour blockers. Behaviours blockers kan beskrives som software, der bliver en integreret del af styresystemet, der hele tiden holder øje med computerens opførsel og mistænkelige handlinger. De er designet til at opfange ondsindede hændelser, mens de sker.
Er det mon Onkel Bjarne?
Behaviour blockers bliver tit i den daglige tale kaldt for HIPS (Hosts Intrusion Prevention System), men der er forskelle. Det er ikke ”enten eller”. Behaviour blockers er kun en del af HIPS og ikke det samme som HIPS. For HIPS bruger også andre metoder. Ud over behaviour blocking kan HIPS for eksempel indeholde features som blacklistning, virtualization og sandboxing.
Ligeså snart behaviour blockers ser noget, de ikke kan lide, for eksempel at en fil ”går med kniv, kigger efter tomme sommerhuse, går med en benzindunk og tændstikker”, ville de straks gå i gang med at ”spørge vedkommende”, hvad har den gang i og hvad er dens ærinde. Behaviour blockers vil blokere for potentielle farlige, ondsindede koder, før de når at ødelægge vores pc’er.
Men de ovennævnte tre kan godt være en gartner der er på vej til arbejde, en ung sommerhuskøber og onkel Bjarne på vej til grillfesten. Det er måske en af ulemperne ved behaviour blockers – false positives. En anden negativ ting kan være, at de godt kan være ressourcekrævende, da de bliver en integreret del af systemet og skal opfange mange af systemets handlinger. Men alt det negative kan godt betragtes som småting i forhold til det man får.
Softwaren med behaviour blockers kan helt klart anbefales. Online Armor, Comodo, Threat Fire er nogle af de freeware produkter, der bruger denne teknologi. Et ”must have” efter nutidens standarder.
Online armor: www.tallemu.com
Comodo: www.personalfirewall.comodo.com
Threatfire: www.threatfire.com
