ないものをキャッチする方法。 パート1 用語と定義

この記事を書いた理由は、 「Tales of the Antivirus Forest」という記事でした。 正直なところ、最初は内容についてコメントしたかったのですが、コメントを読んだ後、基本から始めて信念の説明をおやつに残す方が良いと判断しました。



まず、何を呼ぶべきか、何を守るべきかを決定しようとします。 なぜそれがそんなに重要なのか-以下に例を示します。



さまざまなソースから、いくつかの定義を選択しました。



•悪意のあるプログラム-コンピュータリソースの不正使用または情報所有者および/またはコンピュータ所有者への危害（損傷）を目的として、コンピュータ自体のコンピューティングリソースまたはコンピュータに保存された情報への不正アクセスを取得するように設計されたソフトウェア情報をコピー、変形、削除、または置換することによるコンピューターネットワークの所有者（Wikipedia）。

•悪意のあるコンピュータープログラム-明らかに不正な破壊、ブロック、変更、コンピューター情報のコピー、またはコンピューター情報保護ツールの無効化を目的とするコンピュータープログラムまたはその他のコンピューター情報（刑法273条）。

•悪意のあるコード-自動化されたシステム、ソフトウェア、コンピューター機器、信用機関およびその顧客の通信機器に実装されるように設計されたコンピュータープログラム-破壊、作成、コピー、ブロック、修正、および（または）転送につながるリモートバンキングサービスのユーザー情報（規則N 382-Pの条項2.1に従って保護された情報を含む）、およびそのような破壊、作成、コピー、ブロック、modの条件の作成 識別および（または）振替（2014年3月24日付けロシア銀行の手紙49-T「銀行業務の遂行におけるマルウェア対策手段の使用に関する推奨事項について」）。

•ウイルス、スパイウェアなどに関係なく、個々のコンピューター、サーバー、またはコンピューターネットワークに害を及ぼすように特別に設計されたソフトウェア。 （Microsoftの定義）。

•情報への不正アクセスおよび（または）情報システムの情報またはリソースへの影響を提供するように設計されたプログラム（GOST R 50922-2006）。

•サブスクライバーおよび（または）ユーザーの同意なしにサブスクライバー端末からの情報の収集、処理または送信、またはサブスクライバー端末または通信ネットワークの機能低下を含む、サブスクライバーおよび（または）ユーザーの正当な権利の侵害に意図的につながるソフトウェアサポート（ PP No. 575）。

•マルウェア（悪意のあるコードおよび悪意のあるソフトウェアとも呼ばれます）は、被害者のデータ、アプリケーション、またはオペレーティングシステムの機密性、整合性、または可用性を損なう目的で、通常は密かにシステムに挿入されるプログラムを指します。 （OS）またはその他の方法で被害者を迷惑または混乱させる。 （NIST SP 800-83）。



これらはすべての定義からはほど遠いですが、おそらくサンプルは非常に特徴的です。 実際、アンチウイルスが何を保護するのか-理論家の間ではコンセンサスがないことを示しています。 さらに、「悪意のある」という言葉には統一さえありません。翻訳された文書の多くは、「悪意のあるコードに対する保護」の概念を使用しています（たとえば、GOST R ISO / IEC TO 13335-4-2007情報技術。メソッドとセキュリティツール、ISO / IEC 27002情報技術-情報セキュリティ管理の実践規範）。



上記の中で正しいものはありますか？



上記のすべての定義（NISTの定義を除くが、以下について）は、特定の機能の明確なリスト（適切な対策を除く）または概念のあいまいさのいずれかによって区別されており、それらの定義に基づいてアンチウイルス保護要件を策定できません。 ここで、たとえば、 刑法の定義の興味深い分析 ：



•「知っている」特定の主題について、プログラムを使用した結果は「悪名高い」ものであるべきです。このプログラムの作成者にとって。 このプログラムのユーザー、つまり、それを起動する人。 このプログラムが実行されているコンピューターまたはデバイスの所有者。 コピー、変更、破壊された情報の所有者。 それぞれの著作物の著作権者に対して。

•「情報」情報の定義は、「情報について...」という法律で規定されています。「情報-プレゼンテーションの形式に関係なく情報（メッセージ、データ）」。 ここでこの定義を適用する必要がありますか？ 問題のプログラムの情報を意味するのか、それとも「外部」の情報のみですか？ 処理された情報の一時的な技術的コピーがカバーされていますか、それとも人間だけが利用できる情報ですか？

•「無許可」情報に対するこれらのアクションを、無許可と見なされないように正確に承認する必要があるのは誰ですか？：プログラムのユーザー。 コンピューター、デバイス、または記憶媒体の所有者。 処理された情報の所有者。 処理された情報によって表される知的財産の独占権の所有者。



文学？ まったくありません。 たとえば、システム管理者や攻撃者がリモートコントロールプログラムを密かにインストールすることができます（Sberbankの代表者によると、やがて着信トラフィックが閉鎖され、リモートバンキングに関連するインシデントの数が大幅に減少しました）。 ウイルス対策プログラムは、プログラムをインストールするユーザーをどのように判断できますか？ 理論的には、プログラムのインストール試行に応答し、ユーザーが確認する必要がある要求を発行する動作アナライザーがあります。 しかし：



•ネットワークコンピューターでの管理者の作業は通常、ユーザーに対して密かに行われます-通知はユーザーに表示されません（顧客の頻繁な要件は、トレイのウイルス対策アイコンを非表示にすることです）

•ほとんどの場合、ユーザーは情報セキュリティの専門家ではなく、自分のコンピューターで何がなぜ機能するのかを認識していません。 ユーザーはポップアップリクエストをクリックすると思いますか？ そして、新しいマルウェアは、アンチウイルスによって認識されるまで、行動分析の要求に似たウィンドウを形成することができますか？



ただし、ビヘイビアアナライザーの欠点については後で説明しますが、ここでは用語に戻りましょう。



定義に悪意のあるプログラムが実行するすべてのアクションが記述されている場合も同様に危険です。 そのような定義に基づいて、これらのアクションからのみ自分を保護する必要があることがわかります。 しかし、攻撃者は絶えずお金を引き離す、侵入するなどの新しい方法を考え出します。 現在を修正するということは、過去にとどまることを意味します。 さらに、有名な4冊の本は、リスクを計算する際の特定の種類のマルウェアとそのアクションの説明にも依存していました。 しかし、最終的には、すべての新しい脅威の出現を追跡し、それらに対するリアルタイムの保護手段を実装できることを個人的に確信していますか？



脅威を計算する方法論から切り離された過度の詳細化につながるものの例は、私たちの目の前で、個人データの保護です。 私たちは、法の保護とギャップの不可能性については話しません。 しかし、保護の対策の膨大なリスト（それぞれが一般的に正当化されている）により、経済的な理由でその作成が不可能になっています。



誰もがNISTの定義に満足していますが、マルウェアの概念に加えて、NISTはスパイウェアの概念を並行して導入しています。 スパイウェア対策、ルートキット対策などのソフトウェアの合法化につながります。



知らないうちに個人または組織に関する情報を収集するために、情報システムに密かにまたは秘密裏にインストールされるソフトウェア。 悪意のあるコードの一種（NIST Special Publication 800-53 rev。4）



正式には、spuvarはマルウェアの一種として説明されていますが、なぜ他のすべてのマルウェアを説明しないのですか？ この強調の結果として、評判の良い雑誌でさえ、アンチウイルスに加えてアンチルートキットをアンチスプーバルとともにインストールすることを非常に真剣に推奨しています。



公務、個人的な関心、またはその他の理由により、コンピューターのユーザーまたは管理者はソフトウェアを常にインストールまたは更新します。 自動モードでは、既にインストールされているプログラムの更新をインストールできます。 しかし、これらはすべて、インストールが許可され、ユーザーまたは管理者が使用されていない場合でも、少なくともユーザーまたは管理者がコンピューター上に存在するためのプログラムです。 さらに、ユーザーに通知せずに（より正確には、対応する設定が行われていない場合はユーザーに通知せずに）いくつかのプログラムが起動されます。 このようなプログラムには、ブラウザで実行されるスクリプト、オフィススイートに含まれるプログラムのマクロなどが含まれます。 他のプログラムのインストール中にいくつかのプログラムがインストールされます（メインプログラムのインストールの対応する段階で警告されるか、警告されない）



当然のことながら、上記のアクションのいずれかは、悪意のあるプログラムの導入につながる可能性があります-プログラムソースの置換や中間者攻撃に関連するものを含む-しかし、今のところこれについては話していない。



合法的に（またはほぼ合法的に）インストールされたプログラムには、ドキュメントまたは少なくとも機能をリストしたライセンスがあります。ユーザーまたは管理者が期待するのはこれらの機能です。



また、ユーザーまたは管理者のアクションの結果として（残念ながらこれも起こります）、脆弱性の存在、許可されたコンピューターにインストールされたプログラム（およびそのようなプログラムもプリインストールされていることがあります）がコンピューターまたはデバイスに到達する可能性があります。 その結果、システム（またはプログラム-ウイルスの導入の場合）は、システムから期待されるアクションではなく、アクションの実行を開始します。



したがって、ユーザーまたは管理者の観点から、望ましくないプログラムとは、許可なくインストールされるプログラム、または関連するドキュメントまたはライセンスに示されていないアクションを実行するプログラムです（イースターエッグ/ボーナス機能の場合は考慮しませんが、セキュリティの観点からは、未知の機能-良くない）。 上記の定義はすべて、この段落で与えられたものの特殊なケースであることは容易にわかります。 したがって、すべての不要なプログラムは何らかの形で有害であるため（情報の操作、リソースの消費など）、それらの正確な用語は「マルウェア」の定義になります。



「マルウェア」という用語の正しい定義に最も近い（NISTの定義に加えて）2012年6月9日付けのロシア銀行規則No. 2014年8月14日）「送金を行う際の情報の保護を確保するための要件と、ロシア銀行が送金を行う際の情報の保護を確保するための要件の遵守を監視する手順について」：



-コンピューター機能の通常の機能の中断につながるソフトウェアコード（以下-悪意のあるコード）。



382-Pの定義は、原則として私たちから与えられた定義よりもさらに正確ですが、プログラムコードの分析（その中の悪意のあるコードの検出）を伴うため、実装の観点からは実行できません。



2.7.4技術的に可能な場合、送金オペレーター、銀行支払いエージェント（サブエージェント）、および支払いインフラストラクチャサービスオペレーターは、次のことを確認します。

•ATMや支払い端末などのコンピューター機器にインストールまたは変更された悪意のあるソフトウェアコードがないかどうかの予備チェック。

•ソフトウェアのインストールまたは変更後に実行される、ATMや支払い端末などのコンピューター機器の悪意のあるコードがないかどうかを確認します。



最終組織では、膨大なコード、その近さ、必要な数の専門家の不足により、このようなチェック（実際には技術仕様とNDVの認証）を実行することはできません。 そして実際、（示されているように）382-Pによって提案された対策は、コードに対するものではなく、プログラム全般に対する保護を目的としています。 事実上、パラグラフ2.7.4の実装は、たとえ実装されても、保護ツールによってまだ決定されていない悪意のあるプログラムの場合には完全に無関心な、純粋に正式なアンチウイルススキャンになります（この必要性についても説明します）。



悪意のあるコードに重点を置くことは、ウイルスなどのマルウェア（そのコードを他のプログラムに注入するタイプ）への注意と関連している可能性があります。 しかし、この観点から見ると、現時点ではほとんどのマルウェアがトロイの木馬であるため、382-Pの定義は正しくありません。



最も興味深いのは、ダゲスタン共和国の前世紀の90年代後半のことです。 ウイルス対策保護の手段。 ウイルスに対する保護のセキュリティインジケータと要件には、ウイルス対策システムを作成する際にそれらに依存するのに最も適した定義が与えられました（当然、当時ウイルスが主要な種類のマルウェアであったという事実には割引があります）。



•アクティブウイルス-プログラムコードまたはプログラムコードの一部がRAMまたは仮想メモリに配置され、定期的に実行されるウイルス。

•既知のウイルス-ABCに含まれるウイルスに関する情報。

•不明なウイルス-ABCに含まれていないウイルスに関する情報。

•ウイルス暴露（BB）-システムへのウイルスプログラムコード要素の侵入とその実行結果（ウイルスのアクティブ化）の両方によって引き起こされるASの状態の変化。

•ウイルス感染（VZ）-ウイルスの拡散によって引き起こされるASまたはその個々の要素の状態の変化。

•ウイルスのような効果（破壊的プログラム効果、RPV）-特別に作成されたソフトウェアエンティティまたは複製のプロパティを持たないエンティティの組み合わせのコードの実行によって引き起こされるASの状態の変化。



次の記事のシードとして、Habrazhiteliは（自分の経験に基づいて、または標準、手紙、注文などに基づいて）コメントの3つの簡単な子供の質問に答えることをお勧めします。

•サイバー犯罪者が1日に平均でいくつの悪意のあるプログラムを作成していますか？

•ウイルス対策をスキップして、適切な保護手段と見なされるマルウェアの割合と、ウイルス対策をスキップできる理由

•ウイルス対策とは何ですか？保護システムで実行されるタスクは何ですか？ 「ウイルスをキャッチする必要があります」という答えはカウントされません。



ヒント-最初の質問は、他の質問とはあまり関係ありません。



私は約束します、さらに多くの予期しないことがあります。



PSソースへのリンクを示す記事への追加は大歓迎です。 記事の条項に反論する意見はさらに歓迎しますが、知識の源泉も示します（個人的な経験、研究、比較、命令など。これについて書く計画があります）。