Вирус, посиди в «песочнице»!

Как вредоносные программы отличают песочницу от реального устройства, как и почему вирусам порой удается из нее сбежать, на что стоит обращать внимание при выборе песочницы – на все эти вопросы ответил отраслевому порталу Cyber Media руководитель направления pre-sale по информационной безопасности ARinteg Александр Учителев:

— Класс решений, таких как Sandbox, известны уже достаточно долгое время. Киберпреступники также не стоят на месте, совершенствуя свои техники обхода, которые направлены на сокрытия вредоносной активности, когда файл находится в песочнице на обработке. Поэтому бесплатные решения вряд ли будут способны надежно защитить инфраструктуру. Такое решение должно регулярно обновляться и дорабатываться, чтобы наиболее эффективно выявлять зловредные файлы.

Что помогает вредоносному программному обеспечению (ВПО) понять: эмулированная среда или же это реальный ПК жертвы? Самый простой вариант — это когда ВПО имеет возможность понять окружение ОС или произвести проверку аппаратной окружения. Мир уже видел такие примеры в одном из шифровальщиков.

Действительно, вирусам порой удается сбежать из песочницы, но только в случае, если они там никак себя не проявили. Допустим, такой файл пришел в выходные, а запускаться настроен в рабочие дни или, к примеру, реагирует на длительный запуск софта, если, допустим, у пользователя программа 1С открыта продолжительное время. Поэтому к обеспечению информационной безопасности подходят комплексно, с учетом того, что использование в совокупности различных средств защиты будет наиболее эффективно, а именно: применяют антивирусы на рабочих станциях и на шлюзах, продвинутые EDR-технологии, SIEM и т.д. При этом используется лицензионное ПО отечественных производителей, все СЗИ вовремя обновляются.

Теперь о том, на что обратить внимание при выборе песочницы. Для начала, конечно, надо понимать, какой Sandbox вам нужен: хостовый или сетевой.

И первое, на что стоит обратить внимание — это качество имитации среды. Чем качественнее имитация, тем Sandbox эффективней.

Второй момент — это возможность преднастроить анализ конкретно под ваши нужды.

Третье — это понятные и подробные отчёты, которые устроят специалиста по информационной безопасности компании и не потребуют привлечения аналитика.