סריקת קבצים כבר לא מספיקה: כך NordVPN מגדירה את "האנטי-וירוס מהדור הבא"

הבעיה בהגדרה הנוכחית

תעשיית הסייבר הגדירה לאורך השנים את הדורות השונים של תוכנות האנטי-וירוס בהתאם לאופן שבו הן מזהות קבצים זדוניים. הכלים הראשונים השוו קבצים לדפוסי תקיפה מוכרים. בדורות הבאים נוספו יכולות כמו ניתוח היוריסטי, ניתוח התנהגותי, סביבות Sandbox וסיווג המבוסס על למידת מכונה.

כל דור ניסה לענות על אותה שאלה: האם הקובץ הזה זדוני? אלא שעולם האיומים השתנה. כיום, חלק גדול מהתקיפות - מתקפות פישינג, הונאות, גניבת זהות והנדסה חברתית — כלל אינו מסתמך על קובץ זדוני. ההגדרה הנוכחית של "אנטי-וירוס" פשוט לא התקדמה בקצב שבו האיומים השתנו.

רוב איומי הסייבר כיום אינם קשורים לווירוסים. כדי להבין מה באמת מסכן אנשים ברשת, כדאי לבחון את האיומים הנפוצים:

• הונאות הפכו למבצעי הנדסה חברתית מתוחכמים. חנויות מקוונות מזויפות משתמשות בעמודי מוצר משכנעים, בביקורות מפוברקות ובתהליכי תשלום שנראים אמיתיים כדי לגנוב פרטי תשלום. הודעות SMS מתחזות לשירותי משלוחים, לרשויות המס ולבנקים. הונאות טלפוניות משתמשות בזיוף מספר המתקשר ובקולות שנוצרו באמצעות בינה מלאכותית כדי להוציא מהקורבנות כסף ומידע אישי. אף אחד מהאיומים האלה אינו זקוק לקובץ זדוני כדי להצליח.
• פישינג התפתח הרבה מעבר למיילים מלאי שגיאות כתיב שהכרנו לפני עשור. כיום, דפי פישינג הם לעיתים קרובות העתקים מדויקים של אתרים לגיטימיים, ולעיתים מאוחסנים בדומיינים שנפרצו ואף מחזיקים בתעודות SSL תקפות. מטרתם היא לגנוב פרטי התחברות, טוקנים של סשנים, קודי אימות רב-שלבי ומידע אישי המשמש לשחזור חשבונות.
• גניבת זהות היא איום האבטחה המרכזי בקרב משתמשי ¹NordVPN. תוקפים יכולים להשיג גישה בלתי מורשית לחשבונות באמצעות ניסיונות התחברות עם פרטי גישה גנובים (Credential Stuffing), השתלטות על חיבור פעיל (Session Hijacking), השתלטות על מספר טלפון באמצעות החלפת SIM והנדסה חברתית. אחר הכניסה לחשבון, הם יכולים להשתלט עליו ולנעול את בעליו המקורי מחוץ לחשבון. בנוסף, תוקפים יכולים להשתמש במידע אישי גנוב כדי לפתוח מסגרות אשראי חדשות או לבצע הונאות בשם בעל החשבון.
• נוזקות וקבצים זדוניים עדיין מהווים איום משמעותי. כל מה שאנשים מורידים למכשירים שלהם וכל מה שפועל עליהם עדיין דורש בדיקה ובקרה. אבל כיום, קבצים הם רק אחד מבין מגוון ערוצי התקיפה הזדוניים.

כלי להגנה מפני איומים דיגיטליים שמתמקד אך ורק בקבצים זדוניים מתעלם מרוב המתקפות שמשתמשים מתמודדים איתן כיום.

הגדרה מחדש של המונח "אנטי-וירוס"

המונח "אנטי-וירוס" נולד בתקופה שבה קבצים זדוניים היו האיום הדיגיטלי המרכזי. עשרות שנים של שיווק מצד חברות אבטחה ותיקות הפכו את "אנטי-וירוס" למונח כללי המתאר תוכנות אבטחה, בדומה לאופן שבו "Kleenex" הפך לשם נרדף לממחטות טישו ו-"Band-Aid" לפלסטרים. הקישור הזה כבר מושרש עמוק, והוא לא עומד להיעלם.

תעשיית אבטחת המידע הארגונית הייתה הראשונה לזהות את המגבלות של תוכנות האנטי-וירוס המסורתיות. חברות סייבר מובילות הציגו את הדור הבא של האנטי-וירוס (NGAV), שנועד להשלים או להחליף סריקת קבצים המבוססת על דפוסים מוכרים. פתרונות NGAV משלבים זיהוי התנהגותי ואלגוריתמים של למידת מכונה כדי לזהות איומים, וכך מסייעים באיתור תהליכים זדוניים, נוזקות שפועלות ללא קבצים (Fileless Malware) ודפוסי ניצול של חולשות - איומים שתוכנות אנטי-וירוס מסורתיות עלולות לפספס.

בסביבות ארגוניות, פתרונות NGAV עדיין מהווים התפתחות חשובה. עם זאת, הם נבנו במידה רבה עבור מכשירים ארגוניים מנוהלים, צוותי אבטחה ייעודיים ומודל איומים המתמקד בפריצה לנקודות קצה. הם מסתמכים על איסוף נרחב של נתוני טלמטריה התנהגותית - מידע שמוצר צרכני המעמיד את הפרטיות בראש סדר העדיפויות לא אמור לאסוף.

לכן, למונח "אנטי-וירוס" יש כיום שתי הגדרות: המודל המסורתי, שנבנה עבור משתמשים פרטיים בתקופה שבה קבצים זדוניים היו האיום המרכזי, ומודל ה-NGAV הארגוני, שנועד לסביבות ארגוניות מנוהלות. ההגדרה המסורתית כבר אינה עדכנית, ואילו ההגדרה הארגונית מעולם לא נועדה למשתמשים פרטיים. אף אחת מהן אינה מכסה את מגוון האיומים שאנשים מתמודדים איתם כיום במכשירים האישיים שלהם.

אנשים עדיין מחפשים "אנטי-וירוס", כשבפועל הם זקוקים להגנה מפני נוזקות, פישינג, גניבת זהות, הונאות והשתלטות על חשבונות. הגיע הזמן שההגדרה של "אנטי-וירוס" תתאים את עצמה לאיומים שהיא אמורה לספק מפניהם הגנה.

NordVPN מגדירה "אנטי-וירוס מהדור הבא" ככלי מקיף להגנה מפני איומים דיגיטליים. לפי הגדרה זו, אנטי-וירוס מהדור הבא מספק הגנה בחמישה תחומים מרכזיים:

• הגנה מפני הונאות - זיהוי אתרים וחנויות מקוונות מזויפים, התראה על הודעות SMS חשודות, זיהוי שיחות חשודות והגנה על פעולות בנקאיות מקוונות.
• הגנה מפני פישינג - בדיקה בזמן אמת של כתובות URL, קישורים בהודעות אימייל ותוכן באינטרנט, במטרה לזהות ניסיונות לגניבת פרטי התחברות לפני שהם מגיעים למשתמש.
• הגנה מפני גניבת זהות והשתלטות על חשבונות - ניטור ניסיונות לגניבת זהות, זיהוי דפוסי הונאה, סריקת דליפות מידע ברשת האפלה לאיתור מידע אישי שנחשף והתראות על פרטי התחברות שדלפו. בכל הנוגע לחשבונות, ההגנה כוללת זיהוי והתראות על ניסיונות גישה בלתי מורשית באמצעות Credential Stuffing, השתלטות על חיבור פעיל (Session Hijacking), החלפת SIM והנדסה חברתית, וכן זיהוי פרטי התחברות חלשים לפני שתוקפים מספיקים לנצל אותם.
• חסימת מנטרים ופרסומות - חסימת כלי מעקב בין אתרים, סקריפטים ליצירת טביעת אצבע דיגיטלית ופרסומות פולשניות שפוגעים בפרטיות, מאיטים את הגלישה ויוצרים נקודות כניסה נוספות למתקפות ממוקדות של הנדסה חברתית.
• הגנה על קבצים ומכשירים - סריקת קבצים שהורדו והעברתם לבידוד או הסרת קבצים זדוניים לפני שהם מספיקים לפעול.

NordVPN אינה ממציאה מחדש את קטגוריית האנטי-וירוס, היא פשוט מרחיבה אותה כך שתכלול את האיומים שמשתמשים כבר מצפים מאנטי-וירוס להתמודד איתם.

איך בנינו את האנטי-וירוס מהדור הבא שלנו

הגנה דיגיטלית אפקטיבית מחייבת איזון בין שלושה עקרונות מרכזיים שלעיתים מתנגשים זה בזה - אנחנו לא יוצרים פרופילים של משתמשים, אנחנו מודדים נתונים שעוזרים לנו לשפר את המוצר, ואנחנו מתכננים אותו כך שיעבוד באופן עצמאי, בלי לדרוש תשומת לב מתמדת מהמשתמש.

מתן עדיפות לאחד מהעקרונות האלה על חשבון האחרים יוצר מוצר שהוא פולשני מדי, לא אמין או מורכב מדי לשימוש. מוצר שנבנה מתוך התחשבות בשלושת העקרונות אמנם קשה יותר לפיתוח, אבל גם קל יותר לתת בו אמון.

אנחנו לא יוצרים פרופילים של משתמשים

NordVPN היא חברת פרטיות. המשתמשים שלנו נותנים בנו אמון משום שאנחנו לא עוקבים אחריהם. המחויבות הזו מציבה בפנינו מגבלה ברורה - מנגנוני זיהוי האיומים שלנו צריכים לעבוד עם פחות נתונים מכפי שהיו זקוקים להם בתנאים אחרים.

הכלל שלנו פשוט: רק המידע הנחוץ לזיהוי איום יוצא מהמכשיר. כאשר הניתוח חייב להתבצע בשרתים שלנו ולא במכשיר עצמו, אנחנו מסירים מהמידע כל פרט שיכול לקשר אותו למשתמש לפני שהוא נשלח.

בפועל, המשמעות היא:

• במידת האפשר, קבצים נבדקים לפי ערך ה-Hash שלהם ולא לפי התוכן שלהם.
• לפני כל בדיקה מול שירותי הענן, מוסרים מכתובות URL פרמטרים של שאילתה (Query Parameters) וחלקים אישיים מנתיב הכתובת - כך שאף כתובת URL אינה מקושרת למשתמש מסוים.
• קובצי Cookie המשמשים לאימות עוברים גיבוב (Hashing), ורק שמונת התווים הראשונים יוצאים מהמכשיר.

בסכימת הנתונים שלנו אין שדה המיועד למזהה משתמשים. המשמעות היא שההגנה על הפרטיות אינה תלויה בכך שמישהו יפעל בהתאם לכללים - המערכת אוכפת את ההגנה כבר ברמת התכנון.

אנחנו מודדים בלי לעקוב

זיהוי איומים ללא מדידה הוא למעשה ניחוש. אנחנו צריכים לדעת אם מנגנון סיווג הפישינג שלנו משתפר, אם מערכת זיהוי ההונאות מצליחה לזהות דפוסים חדשים והיכן המודלים שלנו מפספסים איומים. כדי לענות על השאלות האלה, אנחנו זקוקים לנתוני משוב.

אבל איסוף נתוני משוב ללא מגבלות הוא בדיוק הדרך שבה תוכנת אבטחה עלולה להפוך לכלי מעקב.  כדי להימנע מהסיכון הזה, אנחנו מודדים את ביצועי מערכות הזיהוי, במקום איסוף מידע אישי. כל שכבה במערך הטכנולוגי שלנו מפיקה נתוני ביצועים מצרפיים:

• מסווגים מבוססי למידת מכונה מדווחים על שיעור הזיהוי ושיעור התוצאות החיוביות השגויות (False Positives).
• מנגנוני Fuzzy Hashing מדווחים על מהירות הסיווג.
• מקורות מודיעין איומים (Threat Intelligence Feeds) מדווחים על עדכניות המידע.

המוצר מחשב את המדדים האלה על סמך מדגמים מצרפיים של כלל המשתמשים. המודלים עוברים אימון מחדש באמצעות דגימות איומים אנונימיות וסיכומים סטטיסטיים. היסטוריית הגלישה של המשתמשים אינה נכנסת כלל למעגל המשוב. אנחנו יכולים לדעת אם מודל הפישינג שלנו משתפר, אבל לא לדעת מה עשה משתמש מסוים ברגע שבו המערכת זיהתה איום.

אנחנו מתכננים את המוצר כך שיהיה בלתי מורגש

האבטחה הטובה ביותר היא זו שלא צריך לחשוב עליה - בלי הגדרות מסובכות, בלי הצפה של התראות ובלי צורך בידע טכני. כדי לבנות מוצר שפועל באופן כמעט בלתי מורגש עבור המשתמשים, אנחנו צריכים להבין כיצד אנשים משתמשים בו. אנחנו מגדירים את כמות הנתונים המינימלית הדרושה לנו כדי לשפר את חוויית המשתמש, ולא אוספים מעבר לכך.

בהסכמת המשתמשים, אנחנו אוספים:

• מידע לגבי השימוש בכל תכונה, אם היא מופעלת או כבויה ובאיזו תדירות נעשה בה שימוש.
• מדדי היקף - כמה איומים נחסמו במהלך פרק זמן מוגדר.
• ציוני שביעות רצון של משתמשים, הנאספים באמצעות סקרים ישירים.

אף אחד מהנתונים האלה אינו מאפשר לנו לדעת מה עשה משתמש מסוים. הם מאפשרים לנו להבין אם המוצר עובד בצורה טובה מספיק כדי שהמשתמשים כלל לא יצטרכו לחשוב עליו.

נתונים ברמת פירוט כזו אינם רגישים מעצם אופן התכנון שלהם. לא ניתן לשלב בין הנתונים כדי לשחזר דפוסי התנהגות, להסיק כוונות או ליצור פרופיל של משתמש.

הגישה של NordVPN ל-AI: מודלים קטנים למשימות ממוקדות

NordVPN משתמשת במודלים קטנים וייעודיים של למידת מכונה, , כאשר כל מודל מאומן לבצע משימת זיהוי מוגדרת היטב. במקום לבנות מודל יחיד שמנסה לסווג את כל סוגי האיומים, אנחנו מפתחים מודלים ייעודיים לקטגוריות שונות של איומים:

• מודל שאומן לבחון כתובות URL ולאתר מאפיינים המעידים על פישינג.
• מודל המתמקד בזיהוי דפוסים האופייניים לעמודים של חנויות מקוונות המשמשות להונאה.
• מודל שמנתח את התנהגותם של קבצים כדי לזהות סימנים המעידים על נוזקה.
• מודל המותאם לזיהוי דפוסים של הנדסה חברתית בהודעות.

חלק מהמודלים קלים מספיק כדי לפעול ישירות במכשיר של המשתמש. אחרים פועלים בתוך תוסף הדפדפן. מודלים שדורשים כוח עיבוד רב יותר פועלים במערכות ה-Backend שלנו. כאשר העיבוד מתבצע באופן מקומי, הנתונים הרלוונטיים נשארים במכשיר ואינם נשלחים לשרתים חיצוניים לצורך ניתוח.

כל מודל ניתן לבדיקה ולעדכון באופן עצמאי, כך שכאשר רמת האפקטיביות שלו יורדת, אנחנו יכולים לזהות את הסיבה. ומכיוון שכל מודל פועל בנפרד, אף אחד מהם אינו דורש את תשומת לב המשתמש או מפריע לחוויית השימוש.

ההפרדה הזו גם מאפשרת לנו למדוד ביצועים בצורה מדויקת יותר. כאשר מודל ייעודי לזיהוי פישינג אינו מספק את התוצאות הרצויות, אנחנו יודעים בדיוק איזה מודל צריך לאמן מחדש ובאילו נתונים להשתמש. כאשר מודל לזיהוי הונאות מייצר תוצאות חיוביות שגויות (False Positives), אפשר להתאים אותו מבלי להשפיע על זיהוי נוזקות. מכיוון שלכל מודל יש משימה אחת מוגדרת, אנחנו יכולים לזהות במדויק מה השתבש ומדוע.

מודלים של למידת מכונה פועלים היטב כאשר הם מתמקדים בתחום מוגדר, אבל היעילות שלהם נפגעת שמתייחסים אליהם כאל פתרון כולל. לכן, המודלים שלנו פועלים לצד מערכות מבוססות כללים, מקורות מודיעין איומים ובקרה אנושית - כל אחד מהם נותן מענה במקומות שבהם האחרים אינם יכולים.

לצורך סיווג איומים בזמן אמת במיליוני מכשירים ובמגוון רחב של הקשרים, מודלים קטנים וממוקדים הם הגישה היעילה ביותר שמצאנו, מבלי להתפשר על פרטיות המשתמשים.

לאן ממשיכים מכאן

המונח "אנטי-וירוס" לא הולך להיעלם. כך אנשים חושבים על הגנה דיגיטלית, כך הם מחפשים אותה וכך הם רוכשים אותה. תעשיית הסייבר יכולה להמשיך לצמצם את ההגדרה לסריקת קבצים ולהתייחס לשאר האיומים כבעיה שמישהו אחר צריך לפתור, או לפתח מוצרים המשקפים את המשמעות שהמונח כבר קיבל עבור האנשים שמשתמשים בו.

אנחנו בחרנו באפשרות השנייה. בנינו מוצר אחד שמספק הגנה מפני הונאות, זיהוי פישינג, ניטור זהות ואבטחת קבצים - תוך שמירה על פרטיות, מדידה קפדנית של הביצועים ותכנון שמאפשר למוצר לפעול בלי לדרוש מהמשתמשים להפוך למומחי אבטחה.

כלי להגנה מפני איומים דיגיטליים שמספק הגנה מפני פישינג, הונאות, גניבת זהות ונוזקות - זה מה שאנחנו מאמינים שאנטי-וירוס צריך לספק כיום.

מקורות

¹ Šlekytė, I. (יוני 25, 2025). מחקר של NordVPN חושף: אחד מכל שלושה אנשים נופל קורבן להונאות מקוונות. https://www.nordvpn.com/blog/scam-experience-research/