전문가 슬램 임 페르 바 바이러스 백신 연구

보안 회사 인 Imperva는 지난달 고가의 보안 제품군이 가격표를 따를 가치가 없으며 모든 안티 바이러스 프로그램이 사각 지대에 시달리고 있다는 암묵적인 연구를 발표했습니다. 이와 같은 둠 앤 그룸 연구에는 항상 많은 양의 소금이 필요하지만 수많은 업계 전문가와 상담 한 후에는 전체 쉐이커가 필요할 수 있습니다.

Imperva는 Kaspersky, Avast, AVG, Microsoft 및 McAfee와 같은 공급 업체의 다양한 보안 솔루션을 살펴 보았습니다. 그들은 무작위로 수집 된 82 개의 악성 코드 샘플에 대해이 센티넬을 움켜 쥐어 보안 소프트웨어가 악성 소프트웨어를 얼마나 성공적으로 탐지했는지 조사했습니다.

그들의 작업에서 Imperva는 맬웨어 방지 소프트웨어가 최신 위협에 맞서 싸울만큼 빠르거나 반응이 없다고 주장합니다. Imperva는“보안 소프트웨어는 대량의 동일한 샘플에 빠르게 확산되는 멀웨어를 탐지하는 데 훨씬 더 나은 반면, 정부가 후원하는 공격과 같이 배포가 제한적인 변종은 대개 큰 기회를 남기게됩니다.”라고 말합니다.

또한 사용자가 바이러스 보호에 소비하는 비용과 소프트웨어가 제공하는 보안 간에는 상관 관계가 없으며 개인 및 엔터프라이즈 고객 모두 프리웨어 대안을 검토 할 것을 제안합니다.

독립적 인 실험실

이 연구는 많은 주목을 받았지만, 보안 전문가 및 연구에 언급 된 일부 회사와 대화 할 때 Security Watch는 연구에 깊이 결함이 있다고 믿는 많은 사람들을 발견했습니다.

거의 모든 실험실이나 보안 회사는 Imperva의 샘플 크기가 너무 작아서이 연구의 결론을 뒷받침 할 수 없다고 생각했습니다. AV-Test의 Andreas Marx는 그의 회사가 매주 약 백만 개의 새로운 고유 악성 코드 샘플을 수신한다고 말했습니다. 마찬가지로 AV-Comparatives의 Peter Stelzhammer는 매일 142, 000 개의 새로운 악성 파일을 수신한다고 말했습니다.

Imperva는이 연구에서 의도적으로 작은 표본 추출을 사용했지만 기존 위협을 설명한다고 주장했다. Imperva는“우리의 맬웨어 선택은 편향된 것이 아니라 공격을 구성 할 수있는 잠재적 인 방법을 반영하여 웹에서 임의로 취해졌습니다.

그러나 NSS Labs의 연구 책임자 인 Randy Abrams는 Imperva의 방법론에 대해 크게 다르게 해석했습니다. Abrams는 "파일 이름 검색은 정교한 공격 및 대부분의 다른 맬웨어도 놓치지 않도록 보장합니다"라고 Imperva가 조사를 위해 맬웨어를 찾는 데 사용한 수단에 대해 논평하면서 Security Watch에 말했습니다. "러시아 포럼에 초점을 맞추면 샘플 수집이 크게 편향됩니다. 실제 대표 샘플 세트를 얻는 데 아무런 생각도 없었습니다."

방법론의 문제

연구를 수행하기 위해 Imperva는 온라인 도구 VirusTotal을 사용하여 테스트의 중요한 약점으로 언급 된 테스트를 수행했습니다. Dennis Labs의 Simon Edwards는“이 테스트의 문제점은 실행 파일 형태로 위협을 제거하고 VirusTotal을 사용하여 위협을 스캔한다는 것입니다. VT에 사용되는 스캐너는 웹 평판 시스템과 같은 추가 기술을 지원하지 않기 때문에 VT는 맬웨어 방지 제품을 평가할 때 사용하기에 적합한 시스템이 아닙니다."

연구에 사용 된 카스퍼 스키 랩 (Kaspersky Labs)도 실험에서 Imperva가 사용한 테스트 방법론에 의문을 제기했습니다. Kaspersky Labs는 "위험한 파일을 검색 할 때 Imperva의 전문가가 사용하는 VirusTotal 서비스는 전체 버전의 바이러스 백신 제품을 사용하지 않고 독립형 스캐너에만 의존합니다."라고 Security Watch에 발표했습니다.

"이 접근 방식은 최신 안티 바이러스 소프트웨어에서 사용할 수있는 대부분의 보호 기술이 무시되는 것입니다. 이는 알려지지 않은 새로운 위협을 탐지하도록 설계된 사전 기술에도 영향을줍니다."

특히 VirusTotal 웹 사이트의 일부는 바이러스 백신 분석에 자신의 서비스를 사용하지 못하게합니다. 이 회사의 '정보'섹션은 "우리는이 서비스가 안티 바이러스 비교 분석을 수행하기위한 도구로 설계되지 않았다는 점을 반복하는 것에 지쳤다"고 말했다."

Abrams는 또한 VirusTotal을 사용하여 연구를 수행하는 것에 대해 어둡게 보았습니다.이 도구는 테스터가 원하는 결과를 왜곡하는 데 사용될 수 있다고 말했습니다. "경쟁력 있고 경험이 풍부한 테스터는 VirusTotal을 사용하여 순수한 명령 줄 스캐너 이외의 다른 보호 기능을 평가하는 것보다 더 잘 알고 있습니다."

Imperva는 그들의 연구에서 VirusTotal의 사용을 방어했습니다. "보고서의 본질은 안티 바이러스 제품의 비교가 아닙니다"라고 Imperva는 말합니다. 오히려, 목적은 임의의 악성 코드 샘플 세트가 제공되는 단일 안티 바이러스 솔루션의 효과와 결합 된 안티 바이러스 솔루션의 효과를 측정하는 것입니다.”

우리가 논의한 전문가들은 제로 데이 취약점과 새로 생성 된 멀웨어가 문제라는 데 동의했지만, 타이밍 또는 낮은 탐지 속도에 대한 Imperva의 주장은 지원하지 않았습니다. 마르크스는 "실제 '제로 데이 테스트에서 가장 낮은 보호 율은 64 ~ 69 %라고 보안청은 말했다. "평균적으로, 우리는 모든 테스트 된 제품에 대해 88-90 %의 보호 율을 보았습니다. 즉, 10 건 중 9 건의 공격이 성공적으로 차단되며 실제로는 1 건만 감염 될 것입니다."

Imperva 보고서의 또 다른 주요 결론은 안티 멀웨어 소프트웨어는 자신의 창작물을 수정하여 보호 시스템을 파괴하는 맬웨어 제작자에 의해 잘 이해되고 있다는 것입니다. "공격자들은 안티 바이러스 제품을 깊이 이해하고, 취약점에 친숙해지고, 안티 바이러스 제품의 장점을 식별하며, 인터넷에서 새로운 바이러스 전파의 높은 발생률을 처리하는 방법을 이해합니다"라고 Imperva는 말합니다.

연구는 "정부가 후원하는 공격과 같이 배포가 제한적인 변종은 대개 큰 기회를 남깁니다."

Stuxnet은 당신을 따르지 않습니다

Stelzhammer는“악성 사용자는 매우 강하고 강력하고 지능적입니다. "표적 공격은 항상 위험합니다." 그러나 그와 다른 사람들은 맬웨어가 안티 멀웨어에 맞게 조정 된 표적 공격은 위험 할 정도로 드물다고 강조했습니다.

모든 보호 계층을 물리 치기 위해 맬웨어를 만드는 데 필요한 노력과 정보는 훌륭합니다. 마르크스는“이러한 테스트에는 많은 시간과 기술이 필요하기 때문에 저렴하지는 않다. "그러나 이것이 '타겟팅'이라고 불리는 이유입니다."

이 시점에서 Abrams는 "Frankly, 나는 Stuxnet이 내 컴퓨터에 들어가서 집이나 고용주의 사무실에서 우라늄 농축 원심 분리기를 공격하는 것에 대해 전혀 걱정하지 않는다"고 말했다.

우리가 말한 거의 모든 사람은 최소한 원칙적으로 무료 맬웨어 방지 솔루션이 사용자에게 가치있는 보호 기능을 제공 할 수 있다는 데 동의했습니다. 그러나 대부분 기업 고객에게는이 옵션이 실행 가능한 옵션이라는 데 동의하지 않았습니다. Stelzhammer는 회사 사용자가 무료 소프트웨어를 사용하려고하더라도 라이센스 계약에 따라 사용하지 못하게 될 수 있다고 지적합니다.

Stelzhammer는 Security Watch와의 인터뷰에서 "감지가 전부가 아니다"라고 말했다. "관리에 관한 것입니다. 고객에게 배포하는 것, 개요에 관한 것입니다. 무료 제품으로는 얻을 수 없습니다."

Stelzhammer는 계속해서 집에있는 정보를 보유한 사용자는 무료 소프트웨어 계층을 사용하여 유료 소프트웨어와 비슷한 보호 기능을 제공 할 수 있지만 단순성을 희생 할 수있었습니다. "무료 소프트웨어로 잘 보호 된 시스템을 마련 할 수 있지만 유료 소프트웨어의 가장 큰 장점은 편의성입니다."

그러나 Dennis Labs의 Edwards는 자유 소프트웨어와의 유리한 비교에 동의하지 않았습니다. 에드워즈는“이것은 수년간의 테스트를 통해 우리가 발견 한 모든 결과와 반대되는 것입니다. "거의 예외없이 최고의 제품은 유료입니다." 이러한 결과는 PC Magazine의 맬웨어 방지 소프트웨어 테스트와 유사합니다.

지난달이 연구가 발표 된 이후로 Imperva는 자신의 입장을 옹호하는 블로그 게시물을 작성했습니다. 보안 전략과 관련하여 Rob Rachwald의 보안 전략 책임자 인 Imperva 이사는 "우리의 방법론에 중점을 둔 비판에는 오늘날 현실이 빠져 있습니다."라고 말했습니다. 그는 대부분의 데이터 유출이 맬웨어 침입의 결과라고 말하면서 회사는 현재 맬웨어 방지 모델이 단순히 작동하지 않는다는 증거로보고 있습니다.

Imperva의 결론에는 내재 된 진실이있을 수 있지만, 우리와 논의한 전문가 중 누구도이 연구를 긍정적으로 보지 못했습니다. NSS Labs의 Abrams는 "일반적으로 벤더가 후원하는 테스트에 대해서는 경고하지만, 이 테스트가 독립적 인 조직에 의해 수행 된 경우 조직 자체에 대해 경고 할 것"이라고 경고했습니다. "매우 놀랍도록 정교하지 않은 방법론, 부적절한 샘플 수집 기준 및 단일 PDF로 싸인 지원되지 않는 결론에 직면하는 경우는 거의 없습니다."

Max에서 더 많은 정보를 얻으려면 Twitter @wmaxeddy에서 팔로우하십시오.