Разработчики вредоносных программ часто меняют конфигурацию своих вирусов, чтобы пройти сигнатурный анализ антивируса.
В таких случаях на помощь приходит поведенческий анализ, за который отвечает отдельный класс решений – Sandbox.
В этой статье разбираемся, что такое «Песочница», как вредоносы пытаются обойти этот класс решений и какие ошибки в настройке могут снизить эффективность Sandbox.
«Песочница» эффективна при обеспечении защиты от угроз нулевого дня. Стоит отметить, что Sandbox — это не первичный инструмент безопасности, а часть уже более зрелой, эшелонированированной защиты, она дополняет другие программы безопасности, в том числе мониторинг поведения и антивирусы. Несмотря на то, что обычные email-фильтры могут сканировать электронную почту для обнаружения вредоносных отправителей, типов файлов и URL-адресов, угрозы нулевого дня возникают постоянно, и традиционная фильтрация может их пропустить. С помощью поведенческого анализа «песочница» обнаружит более современные вредоносные ПО, которые могут обойти антивирусные системы, так как не содержат характерных последовательностей-сигнатур.
Sandbox эмулирует реальное физическое устройство, в том числе включая ЦП, память и хранилище. Однако, киберпреступники находят способы обмануть и этот инструмент защиты, разрабатывая все более сложные ПО. Попадая в «песочницу», такие программы способны самостоятельно анализировать среду и отличить ее от настоящего устройства.
«Песочница» может быть по-разному изолирована от общей системы: на основе полной виртуализации, частичной виртуализации файловой системы и реестра, на основе политик.
Для полной виртуализации необходима любая виртуальная машина с установленной ОС. Это самый безопасный вариант «песочницы», но такой подход требует большого количества ресурсов и затрудняет обмен между Sandbox и основной системой. Кроме этого, необходимо регулярно удалять заражения из песочницы, что занимает дополнительное время. Из-за необходимости процессорных мощностей и дискового пространства «песочницы» на основе полной виртуализации ощутимо замедляют работу основной системы.
Для частичной виртуализации достаточно использовать дубликаты объектов файловой системы и реестра. Вредоносные файлы смогут изменять только дубликаты внутри «песочницы», никак не влияя на оригиналы в основной системе. Эта модель требует меньше ресурсов, но может быть обманута более продвинутыми зловредами. Как и при полной виртуализации при таком подходе затруднен обмен между основной системой и Sandbox, и требуется постоянная чистка для возвращения к первоначальному виду.
«Песочницы» на основе политик устроены так, что обмен данными с реальной системой максимально упрощен. Все попытки изменения файловой системы рассматриваются защитным механизмом с точки зрения правил, установленных заранее. Чем точнее прописаны правила, тем выше безопасность «песочницы». Возвращение к начальному состоянию в такой модели не требуется, но и лишь частичная очистка невозможна.
Вирусам удается пройти проверку и сбежать из песочницы по разным причинам. Например, если инструмент давно не обновлялся, установлен из коробки и не настроен или настроен с ошибками.
Sandbox может работать в режиме постоянной защиты, и автоматически запускать все подозрительные процессы, которые несут потенциальную угрозу. Или в режиме ручной защиты. В этом случае пользователь сам запускает файл в изолированной среде для проверки. ИБ-специалисты, которые работают с «песочницей» могут запускать не только вредоносное ПО, но и непроверенный код из разных источников, и оценивать его на основе деятельности.
Компания может самостоятельно закупить и установить решение локально. В таком случае трафик не выйдет за пределы организации, а аппаратные средства будут полностью под контролем ИБ-отдела. Однако масштабирование такого решения ограничено ресурсами сервера.
Если в компании нет необходимых для обслуживания «песочницы» ресурсов: ИБ-специалистов, процессорных мощностей, то можно выбрать сервисную модель «по подписке». Надежный поставщик сможет гарантировать точную настройку и своевременное обновление «песочницы» для более эффективной защиты от киберугроз.
«Песочницы» — это не только эффективный способ защиты веб-трафика от различных атак или метод тестирования, но и ценный инструмент для решения ряда других важных задач. Например, таких как, интеграция проектов. Интеграция более чем одной сборки или аспектов проекта может оказаться непростой задачей. Однако с помощью песочницы можно проверить совместимость, чтобы убедиться, что решение разрабатывается должным образом.
Технологию Sandbox встраивают в свои продукты многие разработчики антивирусов. Например, Comodo Internet Security, компания Avast, «Лаборатория Касперского» и другие. «Песочницы» используют и другие компании, например Google в своем браузере.
Но «песочница» – это только один из элементов обороны компании, который наиболее эффективно работает в комплексе с другими решениями. Например, в связке с антивирусом, межсетевыми экранами и решениями для защиты почты.
В таких случаях на помощь приходит поведенческий анализ, за который отвечает отдельный класс решений – Sandbox.
В этой статье разбираемся, что такое «Песочница», как вредоносы пытаются обойти этот класс решений и какие ошибки в настройке могут снизить эффективность Sandbox.
Что такое песочница и от чего защищает
Sandbox или «Песочница» — виртуальная специально изолированная среда для безопасного запуска программ. Если защитные решения проверили файл по базе сигнатур и не обнаружили совпадений, то они запускают его в выделенной среде — «песочнице», чтобы посмотреть, как он будет себя вести. При обнаружении подозрительных действий файл блокируется, а его действия запрещаются. Если своеобразный «карантин» пройден успешно и защита не нашла опасности, то файл попадает в основную систему.«Песочница» эффективна при обеспечении защиты от угроз нулевого дня. Стоит отметить, что Sandbox — это не первичный инструмент безопасности, а часть уже более зрелой, эшелонированированной защиты, она дополняет другие программы безопасности, в том числе мониторинг поведения и антивирусы. Несмотря на то, что обычные email-фильтры могут сканировать электронную почту для обнаружения вредоносных отправителей, типов файлов и URL-адресов, угрозы нулевого дня возникают постоянно, и традиционная фильтрация может их пропустить. С помощью поведенческого анализа «песочница» обнаружит более современные вредоносные ПО, которые могут обойти антивирусные системы, так как не содержат характерных последовательностей-сигнатур.
Sandbox эмулирует реальное физическое устройство, в том числе включая ЦП, память и хранилище. Однако, киберпреступники находят способы обмануть и этот инструмент защиты, разрабатывая все более сложные ПО. Попадая в «песочницу», такие программы способны самостоятельно анализировать среду и отличить ее от настоящего устройства.
«Песочница» может быть по-разному изолирована от общей системы: на основе полной виртуализации, частичной виртуализации файловой системы и реестра, на основе политик.
Для полной виртуализации необходима любая виртуальная машина с установленной ОС. Это самый безопасный вариант «песочницы», но такой подход требует большого количества ресурсов и затрудняет обмен между Sandbox и основной системой. Кроме этого, необходимо регулярно удалять заражения из песочницы, что занимает дополнительное время. Из-за необходимости процессорных мощностей и дискового пространства «песочницы» на основе полной виртуализации ощутимо замедляют работу основной системы.
Для частичной виртуализации достаточно использовать дубликаты объектов файловой системы и реестра. Вредоносные файлы смогут изменять только дубликаты внутри «песочницы», никак не влияя на оригиналы в основной системе. Эта модель требует меньше ресурсов, но может быть обманута более продвинутыми зловредами. Как и при полной виртуализации при таком подходе затруднен обмен между основной системой и Sandbox, и требуется постоянная чистка для возвращения к первоначальному виду.
«Песочницы» на основе политик устроены так, что обмен данными с реальной системой максимально упрощен. Все попытки изменения файловой системы рассматриваются защитным механизмом с точки зрения правил, установленных заранее. Чем точнее прописаны правила, тем выше безопасность «песочницы». Возвращение к начальному состоянию в такой модели не требуется, но и лишь частичная очистка невозможна.
Вирусам удается пройти проверку и сбежать из песочницы по разным причинам. Например, если инструмент давно не обновлялся, установлен из коробки и не настроен или настроен с ошибками.
Sandbox может работать в режиме постоянной защиты, и автоматически запускать все подозрительные процессы, которые несут потенциальную угрозу. Или в режиме ручной защиты. В этом случае пользователь сам запускает файл в изолированной среде для проверки. ИБ-специалисты, которые работают с «песочницей» могут запускать не только вредоносное ПО, но и непроверенный код из разных источников, и оценивать его на основе деятельности.
Внедрение песочницы в корпоративной среде
При выборе Sandbox в первую очередь необходимо определить цель ее использования, потребности и возможности компании.Компания может самостоятельно закупить и установить решение локально. В таком случае трафик не выйдет за пределы организации, а аппаратные средства будут полностью под контролем ИБ-отдела. Однако масштабирование такого решения ограничено ресурсами сервера.
Если в компании нет необходимых для обслуживания «песочницы» ресурсов: ИБ-специалистов, процессорных мощностей, то можно выбрать сервисную модель «по подписке». Надежный поставщик сможет гарантировать точную настройку и своевременное обновление «песочницы» для более эффективной защиты от киберугроз.
«Песочницы» — это не только эффективный способ защиты веб-трафика от различных атак или метод тестирования, но и ценный инструмент для решения ряда других важных задач. Например, таких как, интеграция проектов. Интеграция более чем одной сборки или аспектов проекта может оказаться непростой задачей. Однако с помощью песочницы можно проверить совместимость, чтобы убедиться, что решение разрабатывается должным образом.
Технологию Sandbox встраивают в свои продукты многие разработчики антивирусов. Например, Comodo Internet Security, компания Avast, «Лаборатория Касперского» и другие. «Песочницы» используют и другие компании, например Google в своем браузере.
Заключение
Sandbox — эффективный инструмент для защиты почты и веб-трафика от угроз. Он позволяет безопасно исполнять программы на компьютере, развертывать неизвестный код для обнаружения закладок и вирусов. Технология «песочницы» стала мощным решением в мире технологий и разработки, удовлетворяющим критически важные потребности в безопасности, тестировании и инновациях.Но «песочница» – это только один из элементов обороны компании, который наиболее эффективно работает в комплексе с другими решениями. Например, в связке с антивирусом, межсетевыми экранами и решениями для защиты почты.
