Filscanning er ikke længere nok: Sådan definerer NordVPN sit “banebrydende antivirusprogram"

Problemet med den nuværende definition

Cybersikkerhedsbranchen har altid defineret generationer af antivirus ud fra, hvordan de opdager skadelige filer. De tidlige værktøjer sammenlignede filer med signaturer fra kendte angreb. Senere generationer tilføjede heuristik, adfærdsanalyse, sandboxing og klassificering baseret på maskinlæring.

Hver generation forsøgte at besvare det samme spørgsmål: Er denne fil skadelig? Men trusselslandskabet har ændret sig. De fleste angreb i dag – phishing, svindel, identitetstyveri og social engineering – er ikke afhængige af en skadelig fil. Den nuværende definition af "antivirus" har ikke fulgt med udviklingen.

Virus er ikke længere den største trussel

De fleste cybersikkerhedstrusler i dag involverer ikke virus. Tænk på, hvad der rent faktisk truer brugere online:

• Svindel har udviklet sig til sofistikerede social engineering-angreb. Falske webshops bruger overbevisende produktsider, opdigtede anmeldelser og velfungerende betalingsprocesser til at stjæle betalingsoplysninger. Svindel-sms'er udgiver sig for at komme fra leveringstjenester, skattemyndigheder og banker. Telefonsvindel benytter spoofing af opkalds-id og AI-genererede stemmer til at franarre folk penge og personlige oplysninger. Ingen af disse angreb kræver en skadelig fil for at lykkes.
• Phishing har udviklet sig langt ud over de fejlstavede e-mails, man så for ti år siden. Phishing-sider er i dag næsten perfekte kopier af legitime hjemmesider og hostes ofte på kompromitterede domæner med gyldige SSL-certifikater. De er designet til at stjæle loginoplysninger, sessionstokens, koder til multifaktorgodkendelse og personlige oplysninger, der bruges til gendannelse af konti.
• Identitetstyveri er den største sikkerhedsbekymring blandt NordVPNs brugere.¹ Angribere kan få uautoriseret adgang til konti gennem credential stuffing, kapring af sessioner, SIM-swapping og social engineering. Når de først har fået adgang, kan de overtage kontoen ved at låse den oprindelige ejer ude. Angribere kan også bruge stjålne personlige oplysninger til at optage kredit eller begå svindel i kontoejerens navn.
• Malware og skadelige filer udgør fortsat en stor trussel. Det, brugerne downloader, og det, der kører på deres enheder, kræver stadig kontrol og overvågning. Men filer er i dag blot én blandt mange angrebsvektorer.

Et digitalt sikkerhedsværktøj, der kun beskytter mod skadelige filer, overser størstedelen af de angreb, som brugere udsættes for.

En ny definition af “antivirus”

Begrebet antivirus stammer fra en tid, hvor skadelige filer udgjorde den primære digitale trussel. Årtiers markedsføring fra etablerede sikkerhedsvirksomheder har gjort "antivirus" til en generel betegnelse for sikkerhedssoftware – på samme måde som "Kleenex" er blevet synonymt med papirlommetørklæder og "Band-Aid" med plastre. Den association forsvinder næppe.

Virksomhedsmarkedet for cybersikkerhed var det første til at erkende begrænsningerne ved traditionel antivirussoftware. Førende cybersikkerhedsvirksomheder introducerede næste generations antivirus (NGAV) som et supplement eller alternativ til signaturbaseret filscanning. NGAV-løsninger kombinerer adfærdsbaseret registrering med maskinlæringsalgoritmer for at identificere trusler. Det gør det lettere at opdage skadelige processer, filløs malware og udnyttelse af sårbarheder, som traditionelle antivirusprogrammer ofte overser.

I virksomhedsmiljøer er NGAV fortsat et vigtigt skridt i udviklingen. Men disse løsninger er i vid udstrækning udviklet til centralt administrerede virksomhedsenheder, dedikerede sikkerhedsteams og en trusselsmodel med fokus på kompromittering af endpoints. De er afhængige af omfattende telemetri om brugeradfærd, som et privatlivsfokuseret produkt til almindelige forbrugere ikke bør indsamle.

Ordet antivirus har derfor i dag to forskellige definitioner – den traditionelle model, der blev udviklet til almindelige brugere på et tidspunkt, hvor skadelige filer var den primære trussel, og NGAV-modellen til virksomheder, der er udviklet til administrerede virksomhedsmiljøer. Den traditionelle definition er forældet, mens virksomhedsmodellen aldrig var tiltænkt individuelle brugere. Ingen af dem dækker fuldt ud de trusler, som brugere møder på deres personlige enheder i dag.

Folk søger stadig efter "antivirus", selvom det, de i virkeligheden har brug for, er beskyttelse mod malware, phishing, identitetstyveri, svindel og kontoovertagelse. Definitionen bør følge med de trusler, som antivirus forventes at beskytte imod.

NordVPN definerer sit “banebrydende antivirusprogram" som et omfattende værktøj til beskyttelse mod digitale trusler. Ifølge denne definition dækker antivirusprogrammet beskyttelse inden for fem områder:

• Beskyttelse mod svindel – registrerer falske hjemmesider og webshops, advarer brugere om svindel-sms'er, identificerer mistænkelige opkald og beskytter netbanksessioner.
• Beskyttelse mod phishing – analyserer URL'er, links i e-mails og webindhold i realtid for at opdage forsøg på at stjæle loginoplysninger, før de når frem til brugeren.
• Beskyttelse mod identitetstyveri og kontoovertagelse – overvåger forsøg på identitetstyveri, registrerer svindelmønstre, scanner lækager på dark web for eksponerede personlige oplysninger og advarer om kompromitterede loginoplysninger. På kontoniveau omfatter det registrering af og advarsler om uautoriserede adgangsforsøg via credential stuffing, sessionskapring, SIM-swapping og social engineering samt identificering af svage loginoplysninger, før angribere kan udnytte dem.
• Blokering af trackere og annoncer – fjerner trackere på tværs af websites, fingerprinting-scripts og påtrængende annoncer, der forringer privatlivets fred, reducerer ydeevnen og skaber yderligere indgangspunkter for målrettet social engineering.
• Beskyttelse af filer og enheder – scanner downloads og sætter skadelige filer i karantæne eller fjerner dem, før de kan blive kørt.

NordVPN genopfinder ikke antiviruskategorien – de udvider den blot, så den dækker de trusler, som brugerne allerede forventer, at et antivirusprogram beskytter imod.

Sådan har vi skabt vores banebrydende antivirusprogram

Effektiv digital beskyttelse kræver en balance mellem tre hensyn, der kan være i konflikt med hinanden – vi profilerer ikke brugerne, vi indsamler data, der hjælper os med at forbedre produktet, og vi udvikler produktet, så det fungerer uden at kræve brugerens opmærksomhed.

Hvis man prioriterer ét af disse hensyn på bekostning af de andre, ender man med et produkt, der enten er for indgribende, upålideligt eller for kompliceret at bruge. Et produkt, der er udviklet med udgangspunkt i alle tre principper, er vanskeligere at skabe, men også lettere at have tillid til.

Vi profilerer ikke brugerne

NordVPN er en virksomhed med fokus på privatliv. Vores brugere har tillid til os, fordi vi ikke overvåger dem. Den forpligtelse sætter klare grænser – registrering af trusler skal fungere med færre data, end det ellers ville kræve.

Vores regel er enkel – kun de data, der er nødvendige for at identificere en trussel, forlader enheden. Når analysen skal foregå på vores servere i stedet for på selve enheden, fjerner vi enhver forbindelse til brugeren, inden dataene overføres.

I praksis betyder det:

• Filer kontrolleres så vidt muligt ved hjælp af deres hashværdi og ikke ud fra deres indhold.
• URL'er renses for forespørgselsparametre og personlige dele af stien, før der foretages opslag i skyen – ingen URL knyttes til en bestemt bruger.
• Autentificeringscookies hashes, og kun de første otte tegn forlader enheden.

Vores dataskema indeholder ikke noget felt til brugeridentifikatorer. Det betyder, at beskyttelsen af privatlivets fred ikke afhænger af, at nogen husker at følge reglerne – systemet håndhæver det gennem selve designet.

Vi måler uden at overvåge

Trusselsregistrering uden målinger er gætværk. Vi har brug for at vide, om vores phishing-klassificering bliver bedre, om vores registrering af svindel opfanger nye mønstre, og hvor vores modeller overser trusler. For at kunne besvare disse spørgsmål har vi brug for feedbackdata.

Men hvis feedbackdata indsamles uden klare begrænsninger, risikerer sikkerhedssoftware at blive til overvågningssoftware. Den risiko undgår vi ved at måle på registreringssystemernes effektivitet frem for at indsamle personlige oplysninger. Hvert lag i vores system genererer aggregerede data om ydeevnen:

• Klassificeringsmodeller baseret på maskinlæring rapporterer registreringsraten og andelen af falske positiver.
• Fuzzy hashing rapporterer klassificeringshastigheden.
• Feeds med trusselsdata rapporterer, hvor opdaterede de er.

Produktet beregner disse målinger på tværs af stikprøver på populationsniveau. Modellerne genoplæres på anonymiserede trusselseksempler og statistiske opsummeringer. Ingen individuelle brugeres browserhistorik indgår i feedbackprocessen. Vi kan se, om vores phishingmodel bliver bedre, men vi kan ikke se, hvad en bestemt bruger foretog sig, da modellen registrerede en trussel.

Vi designer vores produkt til at være usynligt

Den bedste sikkerhed er den, man aldrig behøver at tænke over – ingen konfiguration, ingen træthed som følge af for mange advarsler og ingen krav om teknisk ekspertise. At udvikle et produkt, der er usynligt for brugerne, kræver, at vi kan observere, hvordan de interagerer med det. Vi definerer den minimale mængde data, vi har brug for til at forbedre brugeroplevelsen, og går ikke længere end det.

Med brugerens samtykke registrerer vi:

• Oplysninger om, hvorvidt de enkelte funktioner er slået til eller fra, og hvor ofte de bruges.
• Mængdemålinger – hvor mange trusler der er blevet blokeret inden for en bestemt periode.
• Brugertilfredshed målt gennem direkte spørgeskemaundersøgelser.

Ingen af disse datapunkter fortæller os, hvad en bestemt bruger foretog sig. De fortæller os, om produktet fungerer godt nok til, at brugerne aldrig behøver at tænke over det.

Data på dette niveau er designet til ikke at være følsomme. De kan ikke kombineres for at rekonstruere brugeradfærd, udlede hensigter eller opbygge en brugerprofil.

NordVPNs tilgang til AI: Små modeller til specifikke opgaver

NordVPN anvender små, specialiserede maskinlæringsmodeller, som hver især er trænet til en klart defineret registreringsopgave. I stedet for at udvikle én enkelt model, der forsøger at klassificere alle typer trusler, udvikler vi specialbyggede modeller til forskellige trusselskategorier:

• En model, der er trænet til at vurdere URL'er for tegn på phishing.
• En model med fokus på at identificere mønstre, der kendetegner falske webshops.
• En model, der analyserer filers adfærd for tegn på malware.
• En model, der er optimeret til at opdage mønstre forbundet med social engineering i beskeder.

Nogle modeller er så lette, at de kan køre direkte på brugerens enhed. Andre kører i browserudvidelsen. Modeller, der kræver mere processorkraft, kører i backend-systemet. Når behandlingen foregår lokalt, forbliver de relevante data på enheden og sendes ikke til eksterne servere med henblik på analyse.

Hver model kan valideres og opdateres uafhængigt af de andre. Hvis effektiviteten falder, kan vi derfor spore årsagen. Og fordi modellerne kører separat, kræver ingen af dem brugerens opmærksomhed eller afbryder brugeroplevelsen.

Denne adskillelse gør det også muligt at foretage præcise målinger. Hvis en dedikeret phishingmodel klarer sig dårligere end forventet, ved vi præcis, hvad der skal genoplæres, og hvilke data der skal bruges. Hvis en model til registrering af svindel genererer falske positiver, kan vi justere den uden at påvirke registreringen af malware. Fordi hver model kun har én opgave, kan vi præcist identificere, hvad der gik galt og hvorfor.

Maskinlæringsmodeller fungerer godt inden for et klart defineret område, men kommer til kort, hvis de betragtes som en komplet løsning. Vores modeller arbejder derfor sammen med regelbaserede systemer, feeds med trusselsdata og menneskelig gennemgang, som hver især dækker områder, de andre ikke kan håndtere.

Når trusler skal klassificeres i realtid på tværs af millioner af forskellige enheder og brugssituationer, er små, specialiserede modeller den mest effektive tilgang, vi har fundet, uden at gå på kompromis med brugernes privatliv.

Vejen frem

Begrebet antivirus er kommet for at blive. Det er sådan, brugerne tænker på digital beskyttelse, søger efter den og køber den. Branchen kan enten fortsætte med at begrænse definitionen til filscanning og betragte resten af trusselslandskabet som en andens problem eller udvikle produkter, der matcher det, som begrebet allerede betyder for de mennesker, der bruger dem.

Vi har valgt den anden løsning. Vi har udviklet ét produkt, der omfatter beskyttelse mod svindel, registrering af phishing, overvågning af identitet og filsikkerhed – med privatliv som fundament, grundige målinger af effektiviteten og et design, der fungerer uden at kræve, at brugerne bliver sikkerhedseksperter.

Et værktøj til beskyttelse mod digitale trusler, der dækker phishing, svindel, identitetstyveri og malware – det er, hvad vi mener, at antiviruskategorien bør levere i dag.

Referencer

¹ Šlekytė, I. (2025, 25. juni). NordVPN research reveals: One in three people fall victim to online scams. NordVPN. https://www.nordvpn.com/blog/scam-experience-research/