Analyse: Sikkerhedsbranchen kan ikke stoppe trusler

Computerworld News Service: I sidste uge fik sikkerhedsleverandørerne mulighed for at reklamere for nye produkter under den RSA-konference, der fandt sted i San Francisco.

Her lovede de at beskytte kunderne fra sikkerhedstrusler i skyen og mobile enheder, men hvad der ikke blev fortalt var, at det ikke er lykkes sikkerhedsindustrien at beskytte de betalende kunder fra nogle af tidens farligste trusler.

Showets største nyhed havde at gøre med bekæmpelsen af Mariposa-botnettet - et massivt botnet af hackede computere, der har inficeret halvdelen alle virksomhederne på Fortune 100. De såkaldte 'advanced persistent threat' (APT)-angreb, som det der ramte Googles systemer i starten af december, var et andet varmt emne.

Mariposa og Google-angrebene er udtryk for samme problem. Trods det at der bliver brugt milliarder på sikkerhed, så er det stadigt forbavsende svært at sikre virksomhedens netværk.

For at disse avancerede angreb skal virke, så behøver forbryderne kun finde en enkelt sårbarhed, hvorefter de kan snige deres ondsindede software ind i netværket.

Når først de har fået en fod indenfor, så kan de knække andre computere, stjæle data og tage dem med til udlandet. Sikkerhedsfolk skal gøre deres arbejde perfekt - eller i hvert fald være meget hurtige til at spotte ubudne gæster - hvis APT-truslerne skal stoppes.

Traditionelle sikkerhedsprodukter er ikke meget bevendt imod APT-angreb, fortæller Alex Stamos, der er partner i Isec Partners, der er en af de virksomheder, der undersøger APT-angreb.

"Alle de ofre, vi har arbejdet sammen med, har haft et fuldt ud fungerende antivirus-system," siger han.

"De har haft systemer, der skulle kunne spore indtrængere og flere af dem havde også web proxier til at scanne indhold."

Problemet er, at forbryderne også har adgang til de teknologier, og derfor kan de teste og genteste deres angreb, indtil de finder en måde, så det kan slippe igennem.

"Alle og enhver kan downloade og prøve alt tænkeligt sikkerhedsudstyr på angrebet, inden det bliver sluppet løs," siger Alex Stamos.

For at understrege denne pointe, skabte antivirus-testvirksomheden NSS Labs en variation over det velkendte Internet Explorer 6-angreb, der blev brugt ved Google-hændelsen, og testede det mod syv populære antivirus-produkter.

Forsøgene, der blev gennemført to uger efter offentligheden fik kendskab til fejlen, viste, at kun McAfees antivirus-produkt var i stand til at stoppe den nye variant af angrebet.

For meget fokus på malware-payload
En af virksomhederne, AVG, kunne ikke engang stoppe det originale angreb, fortæller NSS. Eset, Kaspersky, Symantec, Sophos, AVG og Trend Micro fejlede alle i forsøget på at blokere den nye variant af Aurora-angrebet.
AVG siger til gengæld, at virksomhedens produkt godt kunne spore angrebet.

En talsmand fortæller, at resultaterne fremkom på baggrund af fejl i NSS's test-metode. Men virksomheden benægter ikke, at produktet ikke kunne spore varianter af Aurora.

Antivirus-virksomhederne burde gøre deres arbejde bedre, siger president for NSS Rick Moy:

"De burde implementere sårbarheds-baseret sporing. Der er lidt for meget fokus på malware-payload."

Paul Roberts, der er analytiker ved analysefirmaet 451 Group, siger det endnu hårdere:

"Virksomhederne er meget utilfredse med det sikkerhedsniveau, de får via deres endpoint anti-malware-pakker."

Mens antivirus-virksomhederne eksperimenterer med forskellige måder at blokere programmer baseret på analyser af forskellige faktorer, såsom filernes opførsel, alder, oprindelse og hvor udbredt det er, så ender den slags funktioner ofte med at blive slået fra, fordi de også blokerer legitime programmer, fortæller Paul Roberts.

Fortsættes ...