Tiedostojen skannaus ei enää riitä – näin NordVPN määrittelee ”uuden sukupolven virustorjunnan”

Nykyisen määritelmän ongelma

Kyberturvallisuusalalla on aina määritelty virustorjuntaohjelmien sukupolvet sen mukaan, miten ne havaitsevat haitalliset tiedostot. Varhaiset välineet vertasivat tiedostoja tunnettujen haitallisten tiedostojen tunnisteisiin. Myöhemmissä sukupolvissa käyttöön otettiin heuristiikka, käytösanalyysi, hiekkalaatikointi ja koneoppimiseen perustuva luokittelu.

Jokaisessa sukupolvessa pyrittiin selvittämään, miten haitalliset tiedostot voidaan havaita. Uhkamaisema on kuitenkin muuttunut. Nykyisin useimmat hyökkäykset, kuten tietojenkalastelu, huijaukset, identiteettivarkaudet ja sosiaalinen manipulointi, eivät ole riippuvaisia haitallisista tiedostoista. Nykyinen ”virustorjunnan” määritelmä ei ole pysynyt ajan tasalla.

Virukset eivät ole enää suurin uhka

Valtaosa kyberuhkista ei nykyisin liity viruksiin. Katso alta, mitkä asiat todella uhkaavat ihmisiä verkossa:

• Huijauksissa käytetään nykyään hienostunutta sosiaalista manipulointia. Huijausverkkokaupoissa on vakuuttavia tuotesivuja, väärennettyjä arvioita sekä toimiva maksujärjestelmä, jonka avulla varastetaan uhrien maksutietoja. Huijaustekstiviesteissä jäljitellään kuljetuspalveluita, veroviranomaisia ja pankkeja. Puheluhuijauksissa käytetään spoofing-menetelmää, jonka avulla soittajan numero väärennetään, sekä tekoälyllä luotuja ääniä uhrien rahojen ja tietojen hankkimiseen. Mikään näistä hyökkäysmuodoista ei vaadi haitallisten tiedostojen käyttämistä.
• Tietojenkalastelu on kehittynyt huimasti – siinä ei ole enää kyse kirjoitusvirheitä sisältävistä sähköposteista, kuten vuosikymmen sitten. Tietojenkalastelusivustot ovat nykyään täydellisiä kopioita aidoista sivustoista. Niitä ylläpidetään kaapatuilla verkkotunnuksilla, ja niillä on aidot SSL-sertifikaatit. Ne on kehitetty tietojen, istuntotunnusten, monivaiheisen tunnistautumisen koodien ja tilien palauttamiseen tarvittavien tietojen varastamiseen.
• Identiteettivarkaus on NordVPN:n käyttäjien suurin huolenaihe.¹ Hyökkääjät voivat saada luvattoman pääsyn käyttäjän tilille kokeilemalla automatisoidusti suuria määriä vuodettuja kirjautumistietoja, istuntokaappauksilla, SIM-kortin kaappauksilla ja hyödyntämällä sosiaalista manipulointia. Kun tilille on päästy, se voidaan ottaa haltuun lukitsemalla sen omistaja ulos. Hyökkääjät voivat myös varastaa yksityisiä tietoja hankkiakseen luottoa tai suorittaakseen petoksia uhrin nimissä.
• Haittaohjelmat ja vaaralliset tiedostot ovat edelleen merkittävä uhka. Tarve sen valvomiselle ja hallitsemiselle, mitä ihmiset lataavat ja käyttävät laitteillaan, on edelleen olemassa. Tiedostot ovat tällä hetkellä kuitenkin vain yksi uhkavektori monien muiden joukossa.

Digitaalisilta uhkilta suojaava väline, joka puuttuu vain haitallisiin tiedostoihin, ei tepsi suurimpaan osaan hyökkäyksiä, joita verkossa tapahtuu.

”Virustorjunnan” määrittely uudelleen

Virustorjunta terminä on peräisin ajoilta, jolloin haitalliset tiedostot olivat suurin digitaalinen uhka. Vuosikymmeniä kestänyt vanhempien turvallisuusbrändien markkinointi tekivät ”virustorjunnasta” ja ”antiviruksesta” yleisiä termejä turvallisuusohjelmistoille. Tämä termistö on tullut jäädäkseen.

Yrityksille kohdistettu turvallisuusala tunnisti perinteisten virustorjuntaohjelmistojen heikkoudet ensimmäisenä. Johtavat kyberturvallisuusyritykset esittelivät seuraavan sukupolven virustorjunnan (next-generation antivirus eli NGAV) tukeakseen tai korvatakseen tunnisteperustaisen tiedostojen skannauksen. NGAV:ssä käytetään käyttäytymisen havainnointia ja koneoppimisalgoritmeja uhkien tunnistamiseen, minkä avulla voidaan havaita haitalliset prosessit, tiedostottomat haittaohjelmat ja haavoittuvuuksien hyödyntäminen, joita perinteiset virustorjuntaohjelmat eivät yleensä huomaa.

Yritysympäristöissä NGVA:t edustavat merkittävää kehitystä. Ne on kuitenkin luotu suuria, hallittuja yrityslaitteita, turvallisuustiimejä ja päätepisteisiin kohdistuvaa uhkamallia ajatellen. Niissä hyödynnetään laajaa käyttäytymistelemetriaa, jollaista tietosuojan etusijalle asettavan kuluttajatuotteen ei tule kerätä.

Virustorjunta sanana viittaakin nykyään kahteen eri määritelmään: perinteiseen malliin, joka kehitettiin jokapäiväistä käyttöä ajatellen aikakaudella, jolloin vaaralliset tiedostot olivat ensisijainen uhka, sekä yritysten NGAV-malliin, joka kehitettiin hallittuja yritysympäristöjä ajatellen. Kumpikaan näistä ei suojaa käyttäjiä uhkilta, joita henkilökohtaisten laitteiden käyttöön liittyy.

Ihmiset hakevat edelleen ”virustorjuntaa” tai ”antivirusta”, vaikka he todellisuudessa tarvitsevat suojausta haittaohjelmilta, tietojenkalastelulta, huijauksilta ja tilien kaappaamiselta. Määritelmää tulisikin päivittää niin, että se vastaa uhkia, joilta sen on määrä suojata käyttäjiä.

NordVPN määrittelee ”uuden sukupolven virustorjunnan” kattavaksi digitaalisilta uhkilta suojaavaksi työkaluksi. Tämä määritelmän näkökulmasta uuden sukupolven virustorjunta kattaa suojauksen viidellä eri alueella:

• Suojaus huijauksilta – huijaussivustojen ja feikkinettikauppojen tunnistaminen, käyttäjille ilmoittaminen huijaustekstiviesteistä, epäilyttävien puheluiden tunnistaminen ja verkkopankki-istuntojen suojaaminen.
• Suojaus tietojenkalastelulta – linkkien, sähköpostin linkkien ja verkkosivustojen arviointi reaaliajassa, jotta kirjautumistietojen kerääminen havaitaan ennen kuin käyttäjä joutuu sen kohteeksi.
• Suojaus identiteettivarkauksilta ja tilien kaappaamiselta – identiteettivarkausyritysten valvonta, petosmallien havaitseminen, pimeään verkkoon vuodettujen tietojen skannaaminen paljastuneiden henkilökohtaisen tietojen varalta sekä ilmoitukset vaarantuneista kirjautumistiedoista. Tilien puolella: ilmoitukset luvattomista käyttöyrityksistä vuotaneilla kirjautumistiedoilla, istuntokaappauksista, SIM-korttien kaappauksista ja sosiaalisesta manipuloinnista, sekä ilmoitukset heikoista salasanoista ennen kuin verkkorikolliset ehtivät hyödyntää niitä.
• Seurannan ja mainosten esto – sivustojen välisen seurannan, tietoja keräävän koodin ja haitallisten mainosten torjuminen, sillä ne heikentävät tietosuojaa, hidastavat suorituskykyä ja tarjoavat lähtökohdan sosiaalisen manipulointiin.
• Suojaus tiedostoilta ja laitteen suojaus – latausten skannaus ja vaarallisten tiedostojen eristäminen tai poistaminen ennen niiden suorittamista.

NordVPN ei keksi uudelleen virustorjuntakategoriaa – se vain laajentaa sitä kattamaan uhat, joihin käyttäjät jo odottavat virustorjunnan tepsivän.

Näin rakensimme uuden sukupolven virustorjunnan

Tehokas digitaalinen suojaus vaatii tasapainoa kolmen kilpailevan sitoumuksen välillä: emme profiloi käyttäjiä, mittaamme dataa, joka parantaa tuotetta, ja rakennamme tuotteen toimimaan niin, että se ei vaadi huomiota käyttäjältä.

Jos olisimme keskittyneet yhteen näistä sitoumuksista muiden kustannuksella, tuloksena olisi ollut tuote, joka keräisi liikaa tietoa, olisi epävakaa tai liian vaikea käyttää. Sellaisen tuotteen luominen, joka huomioi nämä kolme periaatetta, on vaikeaa, mutta siihen on myös helpompi luottaa.

Emme profiloi

NordVPN on yksityisyyteen keskittyvä yritys. Käyttäjämme luottavat meihin, koska emme seuraa heidän toimiaan. Tämä sitoumus luo haasteen: uhkien valvonnan täytyy toimia vähemmällä tiedolla, mitä siihen tavallisesti tarvittaisiin.

Sääntömme on yksinkertainen – ainoastaan uhkan tunnistamiseen tarvittavat tiedot siirtyvät laitteelta eteenpäin. Jos analyysin on tapahduttava palvelimillamme laitteen sijaan, poistamme kaikki käyttäjään viittaavat tiedot ennen tietojen siirtämistä laitteelta palvelimille.

Käytännössä tämä tarkoittaa seuraavaa:

• Tiedostot tarkistetaan tiivisteen, ei sisällön, perusteella aina kun se on mahdollista.
• Linkeistä poistetaan kaikki kyselyparametrit ja henkilökohtaiset polkufragmentit ennen pilvihakua – linkkiä ei yhdistetä tiettyyn käyttäjään.
• Todennusevästeet tiivistetään, ja ainoastaan niiden kahdeksan ensimmäistä merkkiä siirtyy eteenpäin laitteelta.

Datamallissamme ei ole kenttää käyttäjätunnisteille. Tämä tarkoittaa, että tietosuoja ei riipu siitä, noudatetaanko sääntöjä – se on osa järjestelmän rakennetta.

Mittaamme valvomatta

Uhkavalvonta ilman mittaamista on arvailua. Meidän täytyy tietää, kehittyykö tietojenkalasteluluokittelijamme, huomaako huijausten tunnistajamme uusia malleja, ja jääkö malliltamme uhkia huomaamatta. Näihin kysymyksiin vastaaminen vaatii palautedataa.

Mutta jos palautedataa kerätään rajoituksitta, turvallisuusohjelmistosta voi tulla valvontaohjelmisto. Vältämme tämän riskin mittaamalla havainnointijärjestelmiä yksityisten tietojen keräämisen sijaan. Jokainen kerros tuottaa aggregoitua suorituskykydataa:

• Koneoppimisen luokittelijat raportoivat havaitsemistasosta ja väärien hälytysten osuudesta.
• Epätarkka tiivistäminen raportoi luokittelunopeudesta.
• Uhkatietosyötteet raportoivat syötteen ajankohtaisuudesta.

Tuote laskee nämä mittarit populaatiotason otteista. Malleja koulutetaan anonymisoiduilla uhkanäytteillä ja tilastollisilla yhteenvedoilla. Käyttäjien selaustietoja ei koskaan sisällytetä palauteketjuun. Voimme kertoa, että tietojenkalastelumallimme paranee, mutta emme voi kertoa, mitä yksittäinen käyttäjä teki, kun uhka havaittiin.

Suunnittelemme tuotteemme näkymättömäksi

Merkki parhaasta suojauksesta on se, että käyttäjien ei tarvitse ajatella sitä lainkaan – ei asetusten tekemistä, ei jatkuvia ilmoituksia, ei tarvetta tekniselle osaamiselle. Jotta voimme rakentaa tuotteen, joka on näkymätön käyttäjille, meidän täytyy seurata, miten ihmiset käyttävät sitä. Määrittelemme minimidatan, jota tarvitsemme käyttökokemuksen parantamiseen, emmekä kerää mitään ylimääräistä.

Käyttäjän suostumuksella seuraamme seuraavia asioita:

• Tieto siitä, onko kukin ominaisuus päällä tai pois päältä, ja kuinka usein sitä käytetään.
• Volyymimittarit – kuinka monta uhkaa torjuttiin tietyllä aikavälillä.
• Käyttäjätyytyväisyyspisteytykset, joita kerätään suorilla kyselyillä.

Nämä datapisteet eivät kerro meille, mitä yksittäinen käyttäjä oli tekemässä. Ne kertovat, toimiiko tuotteemme niin hyvin, että käyttäjien ei tarvitse ajatella sitä.

Tämän tason tieto ei ole arkaluonteista siksi, miten olemme luoneet järjestelmämme. Tietoja ei voida yhdistää käyttäytymisen rekonstruoimiseksi, aikomusten päättelemiseksi tai profiilin luomiseksi.

NordVPN ja tekoäly: pieniä malleja rajattuihin tehtäviin

NordVPN käyttää pieniä, erikoistuneita koneoppimismalleja, joista jokainen on koulutettu tarkasti määriteltyyn tunnistamistehtävään. Sen sijaan, että rakentaisimme yhden malliin, joka pystyisi luokittelemaan kaikki uhkat, kehitämme tiettyihin tarkoituksiin rakennettuja malleja neljää eri uhkakategoriaa ajatellen:

• Malli, joka on koulutettu arvioimaan linkkejä tietojenkalasteluominaisuuksien perusteella.
• Malli, joka keskittyy huijausverkkokaupasta kielivien kaavojen tunnistamiseen.
• Malli, joka analysoi tiedostojen käyttäytymistä haittaohjelmiin viittaavia merkkejä etsien.
• Malli, joka on luotu havaitsemaan sosiaalisen manipuloinnin kaavoja viesteistä.

Jotkut mallit ovat niin kevyitä, että ne voivat toimia suoraan käyttäjän laitteella. Toiset taas toimivat taustalla selainlaajennuksessa. Mallit, jotka vaativat enemmän tehoa, toimivat taustajärjestelmissä.

Jokainen malli voidaan validoida ja päivittää erillään muista, joten jos tehokkuus kärsii, voimme etsiä syyn sille. Ja koska kukin malli toimii itsenäisesti, mikään niistä ei vaadi huomiota käyttäjältä tai häiritse käyttökokemusta.

Tämä erillisyys tekee myös mittaamisesta tarkkaa. Kun tietojenkalasteluun erikoistunut malli ei toimi toivotusti, tiedämme tarkalleen, miten kouluttaa sitä uudelleen ja millä datalla. Kun huijausten havaitsemiseen erikoistunut malli tuottaa vääriä hälytyksiä, voimme muokata sitä ilman, että se vaikuttaa haittaohjelmien havaitsemiseen. Koska jokaisella mallilla on vain yksi tehtävä, voimme selvittää tarkasti, mitä meni pieleen ja miksi.

Koneoppimismallit toimivat hyvin, kun niillä on tarkasti määritelty tehtävä, mutta ne eivät toimi, jos niitä kohdellaan kokonaisratkaisuna. Meidän mallimme toimivat yhdessä sääntöperustaisten järjestelmien, uhkatietosyötteiden ja ihmisten suorittamien arvioiden kanssa, ja jokainen osa kattaa asioita, joita mikään muu osa ei kata.

Kun kyseessä on uhkien reaaliaikainen luokittelu miljoonilla eri laitteilla ja miljoonissa eri konteksteissa, pienet erikoistuneet mallit ovat tehokkain löytämämme lähestymistapa, jossa ei uhrata käyttäjien tietosuojaa.

Mitä seuraavaksi?

Virustorjunta terminä ei ole katomassa. Kun käyttäjät miettivät digitaalista suojausta, etsivät sitä ja ostavat sitä, he käyttävät tätä termiä. Ala voi joko jatkaa virustorjunnan määrittelemistä tiedostojen skannaamisen kautta ja suhtautua muuhun uhkaympäristöön muiden ongelmana, tai luoda tuotteita, jotka vastaavat käyttäjien todellisiin tarpeisiin.

Me valitsimme jälkimmäisen vaihtoehdon. Loimme yhden tuotteen, joka kattaa suojauksen huijauksilta, tietojenkalastelun tunnistamisen, henkilötietojen valvonnan vuotojen varalta ja tiedostojen turvallisen käytön. Tuotteemme ytimessä on tietosuoja sekä tarkka mittaaminen, ja se on luotu toimimaan niin, ettei käyttäjien tarvitse ryhtyä turvallisuusasiantuntijoiksi.

Digitaalisilta uhkilta suojaava työkalu, joka kattaa tietojenkalastelun, huijaukset, identiteettivarkaudet ja haittaohjelmat – meidän mielestämme virustorjunnan tulee nykymaailmassa tarjota kaikki tämä.

Viitteet

¹ Šlekytė, I. (2025, June 25). NordVPN research reveals: One in three people fall victim to online scams. NordVPN. https://www.nordvpn.com/blog/scam-experience-research/