Célkeresztben a kiterjesztések

2009. 03. 03. | Frissítve: 2009. 06. 13.

Állítólag egyes vírusvédelmek a vizsgálandó állományok körét szűkítik, és így gyorsabb működésre képesek. Az egyik ilyen egyszerű módszer, ha a védelem csak bizonyos kiterjesztésű állományokat vizsgál. De jelent-e ez biztonsági kockázatot?

Az, hogy egy védelmi rendszer mely állományokat vizsgálja és melyeket nem működése során igazából másodlagos probléma. Addig, amíg egy védelem maximális biztonságot képes nyújtani, teljesen mindegy, hogy hogyan befolyásolja a működését a kiterjesztések kezelése. A mostani tesztelés kiváltó oka az volt, hogy azt tapasztaltuk, hogy egyes vírusvédelmek csak bizonyos kiterjesztésű állományokat vizsgálnak működésük során. Ezzel természetesen sokkal gyorsabb működésre képesek, amit aztán a vírusvédelmi rendszerek marketingjében fel is használnak. Jónéhány vírusvédelmi rendszer esetén találkozhatunk olyan szlogennel, mely annak sebességére utal. Kérdés az, hogy ez mennyiben jelent megalkuvást a biztonsággal, mennyiben csökken ezáltal a felderíthető kártevők köre.

Sebességmérés

Tesztelésünk során a vírusvédelmi rendszerek on-access védelmét vizsgáltuk Windows XP Home + SP3 operációs rendszer alatt. Vírusmentes állományok esetén mértük a rendszer sebességét, melyhez fájlok három csoportját használtuk, melyek összmérete kb. 20 Gbyte, az állományok száma pedig közel százezer volt. Az első csomag nem tömörített, futtatható állományokat, a második csomag tömörített, futtatható állományokat tartalmazott, míg a harmadik csomagban nem futtatható állományokat (dokumentumok, html fájlok, multimédia állományok, …) helyeztünk. Az "on-access" vírusvédelmet oly módon ellenőriztük, hogy az állományokat (valamennyi bájtját az elejétől a végéig) a védelem installálása/bekapcsolása mellett egy kis keretprogrammal elolvastuk. Tekintettel arra, hogy maga az operációs rendszer is végez tevékenységeket a háttérben, ezért a tesztet 30-szor végeztük el. Az on-access teszt esetén a táblázat a minimális, a maximális és az átlagos értékeket is tartalmazza.

Fontos megjegyzés: A tesztelés során használt állománycsomagokkal igyekeztünk az átlagos Windows alapú számítógépen előforduló állománykészletet mintázni. Előfordulhat azonban, hogy bizonyos esetekben eltérő sebességarányok alakulnak ki. A teszteredmények viszont jól mutatják az egyes víruskereső motorok sebességét. Az eredmények táblázatában valamennyi, a sebességre jellemző értéket perc:másodperc alakban adtuk meg. Fontos megjegyeznünk továbbá, hogy a vírusvédelmek lassításának meghatározásához az egyes vírusvédelmeknél megadott időértékekből a vírusvédelem nélküli értékeket ki kell vonni.

Kiterjesztések vizsgálata

A vírusvédelmek folyamatosan figyelő on-access védelmét vizsgáltuk abból a szempontból, hogy egyáltalán milyen kiterjesztésű állományokat vizsgálnak. Elkészítettük egy ismert kártevő azon másolatait, amelyekben az állományok maximum 3 karakter hosszú kiterjesztését az összes lehetséges értékre állítottuk (közel 57.198 példány), valamint 1000 db 4 karakter hosszúságú kiterjesztésű példány is készült véletlenszerű kiterjesztést választva. A vizsgálatot oly módon végeztük, hogy a frissen telepített operációs rendszert frissítettük, majd telepítettük és frissítettük a megfelelő védelmi rendszert is. Ezt követően a fertőzött mintákat egy batch programmal megpróbáltuk elolvasni (az úgynevezett nul egységre másolással). Az eljárás végén a védelmi rendszerek üzeneteit, naplóállományait, illetve a fertőzött minták változását elemeztük. A mellékelt táblázat mutatja, hogy mely védelem mennyi kiterjesztést vizsgált és mennyit nem. Külön érdekesség, hogy a Sunbelt VIPRE védelmi rendszere csupán 49 (!) kiterjesztésű állományban ismerte fel a kártevőt, a 4 karakteres kiterjesztésű fájlokban pedig egyetlen egyben sem. A többi védelem esetén is akadt néhány olyan állomány, amiben nem kerestek. Ezek olyan kiterjesztéseket jelentettek, melyek speciális karaktereket tartalmaztak (pl. #, $).

Kiterjesztések kockázata

A on-access védelmek esetén a kiterjesztések “ismerete”, illetve “nem ismerete” önmagában még nem jelent gondot. Ha a védelmi rendszer minden kártékony kódot képes azonosítani, akkor teljesen mindegy, hogy milyen kiterjesztésű állományokat vizsgál. A nem ismert kiterjesztéseket vizsgálva azonban a Sunbelt VIPRE esetén találtunk olyan kiterjesztéseket, amelyeket konkrét kártevők használnak. A kiterjesztések kockázatának a vizsgálatánál az MP3, SWF és a WMA kiterjesztéseket teszteltük, de nem saját magunk által történő másolással, hanem konkrét kártevőkkel, melyek valóban ezekben a kiterjesztésekben terjednek.

A tesztelési elárásunkban ezen vizsgálat eredetileg nem szerepelt. A Sunbelt VIPRE esetén felmerült probléma miatt azonban szükségesnek tartottuk megvizsgáni azt is, hogy a kiterjesztések nem ismerete jelent-e egyáltalán biztonsági kockázatot. Ezen vizsgálat célja tehát nem az, hogy a termékek tudását összehasonlítsuk. Tesztünk ezen kiegészítése egyértelműen rámutatott arra, hogy a Sunbelt VIPRE esetén a feltárt problémák valós kockázatot jelentenek.

A korrekt tájékoztatás érdekében a különböző sérülékenységeket kihasználó kártevőkre (beleértve az MP3, SWF, illetve WMA fájlokban terjedő kártevőket) vonatkozóan részletesebb vizsgálatot végeztünk. Tovább