एंटीवायरस सैंडबॉक्स। परिचय

लेखों की श्रृंखला के अंतिम भाग "झूठ, बड़े झूठ और एंटीवायरस" को प्रकाशित करने की प्रक्रिया में, एंटी-वायरस सैंडबॉक्स के क्षेत्र में हबरा दर्शकों के विनाशकारी अज्ञानता का पता चला था, वे क्या हैं और कैसे काम करते हैं। इस स्थिति में सबसे मजेदार बात यह है कि वेब पर इस मुद्दे पर जानकारी के लगभग पूरी तरह से विश्वसनीय स्रोत नहीं हैं। केवल बाज़ारू भूसी और ग्रंथों का एक गुच्छा किसी को "एक दादी ने कहा, तालमेल के लिए सुनो" की शैली में किसी को भी समझ में नहीं आता है। मुझे अंतराल में भरना है।







परिभाषाएं।



तो, सैंडबॉक्स। यह शब्द स्वयं बच्चों के सैंडबॉक्स से नहीं आया, जैसा कि कुछ लोग सोच सकते हैं, लेकिन अग्निशामकों द्वारा उपयोग किए जाने वाले से। यह एक रेत का टैंक है जहां आप ज्वलनशील वस्तुओं के साथ सुरक्षित रूप से काम कर सकते हैं या कुछ और झुलसने के डर के बिना पहले से ही जल रहे कुछ को फेंक सकते हैं। सॉफ्टवेयर घटक में इस तकनीकी संरचना की समानता को दर्शाते हुए, हम सॉफ्टवेयर सैंडबॉक्स को "अलग-थलग निष्पादन पर्यावरण अधिकार के साथ" के रूप में परिभाषित कर सकते हैं। इस तरह, उदाहरण के लिए, जावा मशीन का सैंडबॉक्स काम करता है। और कोई भी अन्य सैंडबॉक्स भी, गंतव्य की परवाह किए बिना।



एंटी-वायरस सैंडबॉक्स की ओर मुड़ते हुए, जिसका सार मुख्य कार्य प्रणाली को संभावित खतरनाक सामग्री से बचाने के लिए है, हम सैंडबॉक्स स्थान को बाकी सिस्टम से अलग करने के लिए तीन बुनियादी मॉडल को अलग कर सकते हैं।



1. पूर्ण वर्चुअलाइजेशन पर आधारित अलगाव। किसी भी वर्चुअल मशीन को अतिथि ऑपरेटिंग सिस्टम पर एक सुरक्षात्मक परत के रूप में उपयोग करना, जहां ब्राउज़र और अन्य संभावित खतरनाक प्रोग्राम इंस्टॉल किए जाते हैं जिसके माध्यम से उपयोगकर्ता संक्रमित हो सकता है, मुख्य कार्य प्रणाली के लिए काफी उच्च स्तर की सुरक्षा देता है।



इस दृष्टिकोण का नुकसान, वितरण के राक्षसी आकार और संसाधनों की मजबूत खपत के अलावा, मुख्य प्रणाली और सैंडबॉक्स के बीच डेटा विनिमय की असुविधा में है। इसके अलावा, आपको सैंडबॉक्स से संक्रमण को हटाने के लिए मूल रूप से फ़ाइल सिस्टम और रजिस्ट्री की स्थिति को वापस करने की आवश्यकता है। यदि ऐसा नहीं किया जाता है, तो, उदाहरण के लिए, स्पैम-बॉट एजेंट सैंडबॉक्स के अंदर अपना काम जारी रखेंगे जैसे कि कुछ भी नहीं हुआ था। उनके सैंडबॉक्स को ब्लॉक करने के लिए कुछ भी नहीं है। इसके अलावा, यह स्पष्ट नहीं है कि पोर्टेबल स्टोरेज मीडिया (उदाहरण के लिए फ्लैश ड्राइव) के साथ क्या करना है या इंटरनेट से डाउनलोड किए गए गेम जिसमें दुर्भावनापूर्ण बुकमार्क संभव हैं।



एक उदाहरण दृष्टिकोण Invincea है।



2. फाइल सिस्टम और रजिस्ट्री के आंशिक वर्चुअलाइजेशन पर आधारित अलगाव। आपके साथ एक वर्चुअल मशीन इंजन ले जाना आवश्यक नहीं है; आप डुप्लिकेट फ़ाइल सिस्टम और रजिस्ट्री ऑब्जेक्ट को सैंडबॉक्स में संसाधित करने के लिए उपयोगकर्ता के काम करने वाले मशीन पर सैंडबॉक्स में डाल सकते हैं। इन वस्तुओं को संशोधित करने का प्रयास केवल सैंडबॉक्स के अंदर उनकी प्रतियां बदल देगा, वास्तविक डेटा प्रभावित नहीं होगा। अधिकार नियंत्रण ऑपरेटिंग सिस्टम इंटरफेस के माध्यम से सैंडबॉक्स के भीतर से मुख्य सिस्टम पर हमला करने की अनुमति नहीं देता है।



इस दृष्टिकोण के नुकसान भी स्पष्ट हैं - आभासी और वास्तविक वातावरण के बीच डेटा का आदान-प्रदान मुश्किल है, अपने मूल, गैर-संक्रमित राज्य में सैंडबॉक्स को वापस करने के लिए वर्चुअलाइजेशन कंटेनरों को लगातार साफ़ करना आवश्यक है। साथ ही, इस प्रकार के सैंडबॉक्स को तोड़ना या दरकिनार करना और मुख्य, असुरक्षित प्रणाली के लिए दुर्भावनापूर्ण प्रोग्राम कोड से बाहर निकलना संभव है।



इस दृष्टिकोण का एक उदाहरण सैंडबॉक्सी, बफ़रज़ोन, ज़ोन अलार्म फोर्सफिल्ड, पृथक कास्परस्की इंटरनेट सुरक्षा, कोमोडो इंटरनेट सुरक्षा सैंडबॉक्स, अवास्ट इंटरनेट सुरक्षा सैंडबॉक्स है।



3. नियम आधारित अलगाव। फ़ाइल सिस्टम और रजिस्ट्री ऑब्जेक्ट को संशोधित करने के सभी प्रयास वर्चुअलाइज्ड नहीं हैं, लेकिन सुरक्षा उपकरण के आंतरिक नियमों के एक सेट के दृष्टिकोण से माना जाता है। इस तरह के एक सेट को जितना अधिक पूर्ण और सटीक किया जाता है, मुख्य प्रणाली के संक्रमण के खिलाफ सुरक्षा उतनी ही अधिक होती है। यही है, यह दृष्टिकोण सैंडबॉक्स के भीतर प्रक्रियाओं के बीच डेटा के आदान-प्रदान की सुविधा और वास्तविक प्रणाली और दुर्भावनापूर्ण संशोधनों के खिलाफ सुरक्षा के स्तर के बीच एक तरह का समझौता है। अधिकार नियंत्रण ऑपरेटिंग सिस्टम इंटरफेस के माध्यम से सैंडबॉक्स के भीतर से मुख्य सिस्टम पर हमला करने की अनुमति नहीं देता है।



इस दृष्टिकोण के प्लस में फ़ाइल सिस्टम और रजिस्ट्री को अपनी मूल स्थिति में लगातार रोल करने की आवश्यकता की कमी भी शामिल है।



इस दृष्टिकोण के नुकसान नियमों के सबसे सटीक और पूर्ण सेट को लागू करने की सॉफ्टवेयर जटिलता है, सैंडबॉक्स के भीतर केवल आंशिक रूप से वापस परिवर्तन करने की क्षमता है। किसी कार्य प्रणाली के आधार पर चलने वाले किसी भी सैंडबॉक्स की तरह, एक संरक्षित वातावरण को तोड़ना या बायपास करना और मुख्य, असुरक्षित निष्पादन वातावरण में दुर्भावनापूर्ण कोड से बाहर निकलना संभव है।



एक उदाहरण दृष्टिकोण डिफेंसवैल, विंडोज सॉफ्टवेयर प्रतिबंध नीति, सीमित उपयोगकर्ता खाता + एसीएल है।



दोनों नियमों और वर्चुअलाइजेशन के आधार पर, बाकी सिस्टम से सैंडबॉक्स प्रक्रियाओं को अलग करने के लिए मिश्रित दृष्टिकोण भी हैं। वे दोनों तरीकों और नुकसान दोनों के गुणों को विरासत में लेते हैं। इसके अलावा, नुकसान उपयोगकर्ताओं की मनोवैज्ञानिक धारणा की ख़ासियत के कारण प्रबल होते हैं।



दृष्टिकोण के उदाहरण GeSWall, Windows उपयोगकर्ता खाता नियंत्रण (UAC) हैं।



संरक्षण के तहत प्लेसमेंट पर निर्णय लेने के तरीके।



चलो सैंडबॉक्स के संरक्षण के तहत प्रक्रियाओं को रखने पर निर्णय लेने के तरीकों पर आगे बढ़ते हैं। तीन मूल हैं:



1. नियमों के आधार पर। यही है, निर्णय लेने वाला मॉड्यूल कुछ अनुप्रयोगों या संभावित खतरनाक फ़ाइलों को लॉन्च करने के लिए नियमों के आंतरिक डेटाबेस को देखता है और इसके आधार पर, मुख्य प्रणाली पर सैंडबॉक्स या इसके बाहर की प्रक्रिया शुरू करता है।



इस दृष्टिकोण के फायदे सुरक्षा के सबसे अधिकतम स्तर हैं। दोनों दुर्भावनापूर्ण प्रोग्राम फाइलें जो सैंडबॉक्स के माध्यम से संभावित खतरनाक स्थानों से आती हैं और दुर्भावनापूर्ण स्क्रिप्ट वाली गैर-निष्पादन योग्य फाइलें बंद हो जाती हैं।



नुकसान - सैंडबॉक्स के माध्यम से आए कार्यक्रमों को स्थापित करते समय समस्याएं हो सकती हैं (हालांकि श्वेतसूची इस कार्य को बहुत सुविधाजनक बनाती है), प्रोग्राम को अपडेट करने के लिए मुख्य, विश्वसनीय क्षेत्र में मैन्युअल रूप से प्रक्रिया शुरू करने की आवश्यकता है जो केवल अपने भीतर अपडेट किए जाते हैं (उदाहरण के लिए, मोज़िला एक्सफ़ॉक्स, यूटोरेंट या ओपेरा )।



इस दृष्टिकोण वाले कार्यक्रमों के उदाहरण हैं डिफेंसवैल, सैंडबॉक्सी, बफ़रज़ोन, जीईएसवैल।



2. उपयोगकर्ता अधिकारों के आधार पर। यह विंडोज लिमिटेड उपयोगकर्ता खाता और एसआरपी और एसीएल सुरक्षा कार्य है। एक नया उपयोगकर्ता बनाते समय, उसे कुछ संसाधनों तक पहुँच के अधिकार दिए जाते हैं, साथ ही दूसरों के लिए उपयोग पर प्रतिबंध भी। यदि आवश्यक हो, किसी दिए गए उपयोगकर्ता के लिए निषिद्ध संसाधनों के साथ काम करने के लिए एक प्रोग्राम को या तो सिस्टम में लॉग इन करना होगा, जिसमें उपयोगकर्ता के पास उचित अधिकार सेट होंगे और प्रोग्राम को चलाएंगे, या इसे ऐसे उपयोगकर्ता के तहत मुख्य कार्यकारी उपयोगकर्ता (फास्ट यूजर स्विच) में लॉग इन किए बिना अकेले चला सकते हैं।



इस दृष्टिकोण के फायदे समग्र प्रणाली सुरक्षा का एक अपेक्षाकृत अच्छा स्तर है।



नुकसान - संरक्षण प्रबंधन की गैर-तुच्छता, संशोधन के लिए अनुमति संसाधनों के माध्यम से संक्रमण की संभावना, क्योंकि निर्णय लेने वाला मॉड्यूल ऐसे परिवर्तनों की निगरानी नहीं करता है।



3. अनुमानी दृष्टिकोण के आधार पर। इस मामले में, निर्णय मॉड्यूल निष्पादन योग्य फ़ाइल पर "दिखता है" और अप्रत्यक्ष डेटा से अनुमान लगाने की कोशिश करता है कि इसे मुख्य प्रणाली पर या सैंडबॉक्स में चलाना है या नहीं। उदाहरण - कैसपर्सकी इंटरनेट सुरक्षा कूल्हों, कोमोडो इंटरनेट सुरक्षा सैंडबॉक्स।



इस दृष्टिकोण के फायदे यह हैं कि यह नियमों के आधार पर उपयोगकर्ता के लिए अधिक पारदर्शी है। एक निर्माण कंपनी के लिए बनाए रखने और लागू करने में आसान।



नुकसान - इस तरह की सुरक्षा की हीनता। इस तथ्य के अतिरिक्त कि निर्णय लेने वाले मॉड्यूल का अनुमानी निष्पादन योग्य मॉड्यूल को "मिस" कर सकता है, इस तरह के निर्णय दुर्भावनापूर्ण स्क्रिप्ट वाले गैर-निष्पादन योग्य फ़ाइलों के लिए लगभग शून्य प्रतिरोध प्रदर्शित करते हैं। ठीक है, प्लस एक और समस्याएँ (उदाहरण के लिए, ब्राउज़र के अंदर से दुर्भावनापूर्ण एक्सटेंशन को स्थापित करना, शोषण शरीर से)।



मैं सैंडबॉक्स को हेयर्सिस्टिक्स के साधन के रूप में उपयोग करने की विधि पर भी ध्यान आकर्षित करना चाहूंगा, अर्थात्। क्रियाओं के बाद के विश्लेषण और मैलवेयर के बारे में एक सामान्य निर्णय लेने के साथ एक निश्चित अवधि के लिए इसमें एक कार्यक्रम शुरू करना - इस दृष्टिकोण को पूर्ण-विरोधी एंटी-सैंडबॉक्स नहीं कहा जा सकता है। खैर, यह एंटी-वायरस सैंडबॉक्स क्या है, जो इसकी पूरी तरह से हटाने की संभावना के साथ ही थोड़े समय के लिए स्थापित किया गया है?



एंटी-वायरस सैंडबॉक्स का उपयोग करने के मोड।



उनमें से केवल दो हैं।



1. वास्तविक समय संरक्षण मोड। जब प्रक्रिया शुरू होती है, जो मुख्य प्रणाली के लिए खतरा हो सकता है, तो यह स्वचालित रूप से सैंडबॉक्स में रखा जाता है।



2. मैनुअल सुरक्षा मोड। उपयोगकर्ता स्वतंत्र रूप से सैंडबॉक्स के अंदर एक एप्लिकेशन लॉन्च करने का निर्णय लेता है।



सैंडबॉक्स जिनके पास "वास्तविक समय सुरक्षा" के रूप में ऑपरेशन का एक प्राथमिक मोड है, में मैन्युअल लॉन्च मोड भी हो सकता है। साथ ही इसके विपरीत।



नियम-आधारित अलगाव वाले सैंडबॉक्स के लिए, रीयल-टाइम सुरक्षा मोड का उपयोग विशेषता है, क्योंकि सैंडबॉक्स के अंदर मुख्य प्रणाली और प्रक्रियाओं के बीच डेटा का आदान-प्रदान बिल्कुल पारदर्शी है।



ह्यूरिस्टिक सैंडबॉक्स को वास्तविक समय की सुरक्षा मोड के उपयोग की विशेषता भी है, क्योंकि मुख्य प्रणाली और सैंडबॉक्स के अंदर डेटा का आदान-प्रदान बिल्कुल नगण्य है या इसके लिए कम है।



आंशिक वर्चुअलाइजेशन के आधार पर अलगाव के साथ गैर-हेयुरिस्टिक सैंडबॉक्स के लिए, एक मैनुअल सुरक्षा मोड विशेषता है। यह सैंडबॉक्स के अंदर प्रक्रियाओं और मुख्य कार्य प्रणाली के बीच डेटा के कठिन आदान-प्रदान के कारण है।



उदाहरण:



1. डिफेंसवैल (नियमों पर आधारित अलगाव के साथ एक सैंडबॉक्स) ऑपरेशन का मुख्य मोड "नियमों पर स्थायी" है। हालांकि, सैंडबॉक्स के अंदर और इसके बाहर के अनुप्रयोगों का मैनुअल लॉन्च मौजूद है।



2. सैंडबॉक्स (सैंडबॉक्स और आंशिक वर्चुअलाइजेशन पर आधारित अलगाव) ऑपरेशन "मैनुअल" का मुख्य मोड है। लेकिन लाइसेंस खरीदते समय, आप "नियमों पर स्थायी" मोड को सक्रिय कर सकते हैं।



3. कोमोडो इंटरनेट सिक्योरिटी सैंडबॉक्स (आंशिक वर्चुअलाइजेशन पर आधारित आइसोलेशन वाला सैंडबॉक्स) ऑपरेशन का मुख्य मोड "स्थायी हेयुरिस्टिक" है। हालांकि, सैंडबॉक्स के अंदर मैन्युअल रूप से, साथ ही साथ इसके बाहर के अनुप्रयोगों की लॉन्चिंग मौजूद है।



यहां, मूल रूप से, बुनियादी चीजों, किसी भी स्वाभिमानी पेशेवर को एंटी-वायरस सैंडबॉक्स के बारे में जानना चाहिए। प्रत्येक व्यक्तिगत कार्यक्रम की अपनी कार्यान्वयन विशेषताएं होती हैं जिन्हें आपको स्वयं उन पेशेवरों और विपक्षों को खोजने, समझने और मूल्यांकन करने की आवश्यकता होती है जो इसे वहन करते हैं।