Новый подход к защите от угроз ИБ
Корпорация Symantec объявила о внедрении в продукты семейства Norton 2010 — Norton Internet Security 2010 и Norton AntiVirus 2010 — новой технологии Quorum. Она обеспечивает защиту данных на основе оценки репутации.
Существенные изменения в принципах и структуре угроз, произошедшие за последние несколько лет, полностью преобразили стратегии распространения вредоносных программ. Сегодня вместо одного штамма вирусов (или другого вредоносного ПО), заражающего миллионы компьютеров, чаще можно видеть миллионы штаммов, каждый из которых старается поразить лишь небольшое число машин. В 2008 году Symantec обнаружила более 120 млн различных вариаций программ, угрожающих безопасности компьютерных систем. В такой ситуации, чтобы успешно защищаться, необходимо выйти за рамки привычных подходов к решению проблем безопасности. В основе традиционных антивирусных программ лежат сигнатуры вирусов и практика внесения в «черный список» тех элементов вредоносного ПО, которые должны быть заблокированы на компьютере пользователя. Десять лет назад Symantec ежедневно публиковала около пяти новых сигнатур. Сегодня же поставщики средств обеспечения безопасности публикуют тысячи новых сигнатур в день, и это при том, что выявление одной сигнатуры позволяет определить множество различных штаммов. Подход, реализованный в технологии Quorum, дополняет традиционные методы защиты от вредоносного ПО. При классификации файлов как «опасные» или «безопасные» он обращается к опыту пользователей. Около трех лет назад исследовательская лаборатория компании (Symantec Research Labs), приступая к созданию этой технологии, внимательно изучила, как небольшие (с точки зрения частоты применения файлов в системе пользователя) объемы данных, полученные от очень крупного, рассредоточенного по всему миру сообщества, могут помочь определить вероятность вредоносности того или иного файла. После успешного тестирования прототипа проект был передан в подразделение технологий безопасности и защиты (Security Technology and Response) для разработки полной коммерческой версии и вывода новой технологии на рынок.
Каковы принципы работы новой технологии? В модуле Quorum используются данные, полученные из множества различных источников, включая: анонимную информацию, предоставленную членами сообщества Norton Community Watch, данные издателей ПО, а также анонимные данные от клиентов крупных предприятий, поступающие с помощью специальной программы сбора данных. Информация постоянно импортируется и передается в специальный модуль, определяющий репутационный рейтинг каждого файла, причем сам файл при этом никогда не сканируется. Для точной оценки репутации файла Quorum использует такую информацию о нем, как распространенность, время существования и другие атрибуты. Затем эти рейтинги с помощью серверов Symantec предоставляются всем пользователям продуктов компании.
Более подробно о технологии Quorum можно узнать в блоге Norton Protection Blog.