Как вредоносные программы отличают песочницу от реального устройства, как и почему вирусам порой удается из нее сбежать, на что стоит обращать внимание при выборе песочницы – на все эти вопросы ответил отраслевому порталу Cyber Media руководитель направления pre-sale по информационной безопасности ARinteg Александр Учителев.
— Класс решений, таких как Sandbox, известны уже достаточно долгое время. Киберпреступники также не стоят на месте, совершенствуя свои техники обхода, которые направлены на сокрытия вредоносной активности, когда файл находится в песочнице на обработке. Поэтому бесплатные решения вряд ли будут способны надежно защитить инфраструктуру. Такое решение должно регулярно обновляться и дорабатываться, чтобы наиболее эффективно выявлять зловредные файлы.
Что помогает вредоносному программному обеспечению (ВПО) понять: эмулированная среда или же это реальный ПК жертвы? Самый простой вариант — это когда ВПО имеет возможность понять окружение ОС или произвести проверку аппаратной окружения. Мир уже видел такие примеры в одном из шифровальщиков.
Действительно, вирусам порой удается сбежать из песочницы, но только в случае, если они там никак себя не проявили. Допустим, такой файл пришел в выходные, а запускаться настроен в рабочие дни или, к примеру, реагирует на длительный запуск софта, если, допустим, у пользователя программа 1С открыта продолжительное время. Поэтому к обеспечению информационной безопасности подходят комплексно, с учетом того, что использование в совокупности различных средств защиты будет наиболее эффективно, а именно: применяют антивирусы на рабочих станциях и на шлюзах, продвинутые EDR-технологии, SIEM и т.д. При этом используется лицензионное ПО отечественных производителей, все СЗИ вовремя обновляются.
Теперь о том, на что обратить внимание при выборе песочницы. Для начала, конечно, надо понимать, какой Sandbox вам нужен: хостовый или сетевой.
И первое, на что стоит обратить внимание — это качество имитации среды. Чем качественнее имитация, тем Sandbox эффективней.
Второй момент — это возможность преднастроить анализ конкретно под ваши нужды.
Третье — это понятные и подробные отчёты, которые устроят специалиста по информационной безопасности компании и не потребуют привлечения аналитика.
Дополнительная вкладка, для размещения информации о статьях, доставке или любого другого важного контента. Поможет вам ответить на интересующие покупателя вопросы и развеять его сомнения в покупке. Используйте её по своему усмотрению.
Вы можете убрать её или вернуть обратно, изменив одну галочку в настройках компонента. Очень удобно.
