Positive Technologies назвала главные технологические тренды развития систем Sandbox
В числе ближайших целей, стоящих перед вендорами песочниц, специалисты Positive Technologies отметили кастомизацию виртуальных сред — приближение их состава к реальным рабочим станциям. Раньше на виртуальных машинах использовали программы по умолчанию. Заменив их на приложения, процессы и файлы, свойственные конкретным компаниям, можно спровоцировать атакующих проявить себя в песочнице и не дать им добраться до реальной инфраструктуры. Такой подход позволит нивелировать угрозы, направленные на критически важные для бизнеса системы.
«По нашим данным, большинство кибератак – целевые, они составляют 80% от общего числа инцидентов. Злоумышленники стремятся узнать о жертве как можно больше и на основе этих знаний выбирают готовые инструменты для атаки или разрабатывают их с нуля. Очевидно, что в подобных условиях не может быть универсальных песочниц. Бизнесу необходимо отталкиваться от собственной уникальной карты рисков», — поясняет Денис Кораблев, директор по продуктам Positive Technologies.
Еще один тренд — добавление анализа заголовков писем для покрытия большей доли угроз. Текущий подход к анализу происходящего в электронной почте, как правило, подразумевает проверку файлов и ссылок, а также поиск в теле сообщений паролей для работы с архивами. Однако в этом случае может не учитываться часть информации, потенциально выдающей угрозу, — заголовки писем.
При этом одним из наиболее распространенных методов атак, наряду с применением вредоносных программ, остается социальная инженерия (50% атак на организации, 86% — на частных лиц). В большинстве случаев злоумышленники сочетают эти методы и используют как ключевой вектор проникновения электронную почту — в 65% атак с использованием ВПО злоумышленники опираются на человеческий фактор, чтобы инициировать заражение.
«Возник некий негласный потолок возможной производительности песочниц — и с точки зрения времени, и с точки зрения стоимости. Мы предполагаем, что этот параметр все еще можно развивать в сторону ускорения и удешевления без потери качества детектирования. Один из возможных путей: массовая единовременная проверка больших наборов файлов по косвенным признакам: попыткам закрепиться в системе, подключиться к интернету и т. д. Если такие признаки обнаружатся, песочница может проводить дополнительную проверку — и, напротив, пропускать файлы, не совершающие подозрительных действий. Как выделить оптимальные косвенные признаки, которые позволят не пропустить угрозу, — вопрос, который только предстоит решить», — добавляет Денис Кораблев, директор по продуктам Positive Technologies.