Vien failų patikros nebepakanka: kaip „NordVPN“ keičia antivirusinės programos sampratą

Dabartinės apibrėžties problema

Kibernetinio saugumo srityje skirtingos antivirusinių programų kartos tradiciškai buvo apibrėžiamos pagal tai, kaip jos aptinka kenkėjiškus failus. Pirmosios antivirusinės programos tikrindavo failus ieškodamos žinomų kenkėjiškų programų požymių. Vėlesnių kartų antivirusinėse programose pradėta taikyti euristinė ir elgsenos analizė, izoliuotos testavimo aplinkos („sandboxing“) bei mašininiu mokymusi pagrįsti grėsmių aptikimo metodai.

Tačiau visų šių antivirusinių programų veikimo principas iš esmės buvo orientuotas į tą patį – nustatyti, ar failas yra kenkėjiškas. Šiandien kibernetinės grėsmės yra gerokai įvairesnės. Daugelis šiuolaikinių atakų – duomenų viliojimas, įvairios sukčiavimo schemos, tapatybės vagystės ir socialinė inžinerija – apskritai nėra pagrįstos kenkėjiškais failais. Dabartinė antivirusinės programinės įrangos apibrėžtis šių pokyčių nebeatspindi.

Virusai nebėra didžiausia grėsmė

Dauguma šiuolaikinių kibernetinių grėsmių nėra susijusios su virusais. Pažvelkime, su kokiais pavojais žmonės iš tiesų susiduria internete:

• Sukčiavimo schemos tapo gerokai sudėtingesnės ir vis dažniau remiasi socialine inžinerija. Netikros el. parduotuvės imituoja tikras – jose rasite įtikinamai atrodančius prekių puslapius, suklastotus atsiliepimus ir tikroviškai atrodantį atsiskaitymo puslapį. Taip sukčiai siekia išvilioti mokėjimo duomenis. Apgaulingų SMS žinučių siuntėjai gali apsimesti siuntų pristatymo bendrovėmis, mokesčių institucijomis ar bankais. Telefoniniai sukčiai gali klastoti skambintojo numerį ir pasitelkti DI sugeneruotus balsus pinigams ar asmeninei informacijai išvilioti. Daugeliui tokių atakų apskritai nereikia kenkėjiškų failų.
• Duomenų viliojimo atakas šiandien atpažinti gerokai sunkiau nei anksčiau, kai sukčių laiškus dažnai išduodavo rašybos klaidos. Šiuolaikiniai duomenų viliojimo puslapiai gali beveik nesiskirti nuo tikrų interneto svetainių. Jie neretai veikia piktavalių perimtuose domenuose ir net turi galiojančius SSL sertifikatus. Jais siekiama pavogti prisijungimo duomenis, seanso žetonus, kelių veiksnių autentifikavimo kodus ir asmeninę informaciją, kuri gali būti panaudota paskyrai atkurti ar perimti.
• „NordVPN“ tyrimo duomenimis, tapatybės vagystė yra viena didžiausią nerimą naudotojams keliančių saugumo grėsmių.¹ Piktavaliai gali neteisėtai prisijungti prie paskyrų pasinaudodami nutekintais prisijungimo duomenimis, perimdami aktyvias prisijungimo sesijas, pasitelkdami SIM kortelės keitimo atakas („SIM swapping“) ar socialinės inžinerijos metodus. Gavę prieigą prie paskyros, jie gali pakeisti jos prisijungimo duomenis ir neleisti teisėtam savininkui prisijungti. Pasinaudoję pavogtais asmens duomenimis, piktavaliai gali aukos vardu gauti paskolų ar kitų finansinių paslaugų ir vykdyti kitą sukčiavimo veiklą.
• Kenkėjiškos programos ir failai tebėra rimta grėsmė. Vis dar svarbu tikrinti atsisiunčiamus failus ir įrenginiuose veikiančias programas. Tačiau kenkėjiški failai šiandien tėra viena iš daugelio kibernetinių grėsmių.

Apsaugos priemonė, skirta tik kenkėjiškiems failams aptikti, neapsaugo nuo daugelio kitų šiuolaikinių kibernetinių grėsmių.

Nauja antivirusinės programos samprata

Terminas „antivirusinė programa“ atsirado tuo metu, kai didžiausią grėsmę kompiuterių saugumui kėlė kenkėjiški failai. Per kelis dešimtmečius terminas „antivirusinė programa“ tapo bendriniu saugumo programinės įrangos terminu – panašiai kaip JAV kai kurių prekių ženklų pavadinimai vartojami visai produktų kategorijai apibūdinti (tarkim, „Kleenex“ ir „Band-Aid“ imti vartoti kalbant apie atitinkamai popierines nosinaites ir pleistrus). Tikėtina, kad šis terminas ir toliau bus vartojamas tokia plačia reikšme.

Tradicinių antivirusinių programų trūkumus pirmiausia pastebėjo įmonių kibernetinio saugumo specialistai. Pirmaujančios kibernetinio saugumo bendrovės pristatė naujos kartos antivirusines programas (NGAV), kurios grėsmes aptinka ne tik tikrindamos failus pagal žinomus kenkėjiško kodo požymius, bet ir naudodamos pažangesnius metodus. NGAV sprendimuose taikoma elgsenos analizė ir mašininio mokymosi metodai, padedantys aptikti įtartiną programų veiklą, befailes kenkėjiškas programas („fileless malware“) ir bandymus išnaudoti pažeidžiamumus, kurių tradicinės antivirusinės programos gali neaptikti.

Įmonių kibernetinio saugumo srityje NGAV tebėra svarbi pažangesnės antivirusinės apsaugos dalis. Tačiau šie sprendimai daugiausia buvo kuriami įmonėms, kurios centralizuotai valdo savo įrenginius, turi specializuotas saugumo komandas ir daugiausia dėmesio skiria grėsmėms, kurios gali paveikti sistemas ir įrenginius. Jų veikimui reikia išsamių telemetrijos duomenų apie įrenginių veiklą, kurių vartotojams skirta privatumo apsaugos priemonė neturėtų rinkti.

Taigi šiandien terminas „antivirusinė programa“ gali būti suprantamas dvejopai. Pirmuoju atveju tai tradicinė vartotojams skirta antivirusinė programa, atsiradusi tuo metu, kai didžiausią grėsmę kėlė kenkėjiški failai. Antruoju atveju tai įmonėms skirta naujos kartos antivirusinė programa, pritaikyta centralizuotai valdomoms įmonių sistemoms ir įrenginiams. Tradicinė antivirusinės programos samprata nebeatitinka šiuolaikinių grėsmių, o įmonėms skirta NGAV nuo pat pradžių nebuvo pritaikyta pavieniams naudotojams. Be to, nei viena iš jų visiškai neapima grėsmių, su kuriomis žmonės šiandien susiduria naudodamiesi savo įrenginiais.

Žmonės vis dar ieško antivirusinių programų, nors iš tiesų jiems reikia platesnės apsaugos – nuo kenkėjiškų programų, duomenų viliojimo, tapatybės vagysčių, sukčiavimo ir paskyrų perėmimo. Todėl antivirusinės programos samprata turėtų keistis kartu su kintančiomis kibernetinėmis grėsmėmis.

„NordVPN“ naujos kartos antivirusinę programą apibrėžia kaip visapusišką apsaugos nuo skaitmeninių grėsmių priemonę. Vadovaujantis šia platesne samprata, naujos kartos antivirusinė programa apsaugo nuo penkių pagrindinių grėsmių grupių:

• Apsauga nuo sukčiavimo – apsauga nuo apgaulingų svetainių ir netikrų el. parduotuvių, įspėjimai apie įtartinas SMS žinutes ir skambučius bei papildoma apsauga atliekant finansines operacijas internetu.
• Apsauga nuo duomenų viliojimo – įspėjimai apie pavojingus URL adresus, el. laiškuose esančias nuorodas ir kitą įtartiną interneto turinį, siekiant apsaugoti nuo bandymų išvilioti prisijungimo duomenis.

• Apsauga nuo tapatybės vagysčių ir neteisėto paskyrų perėmimo – įspėjimai apie galimus bandymus pasinaudoti jūsų tapatybe, įtartinos veiklos atpažinimas, nutekintų asmens duomenų paieška tamsiajame internete ir pranešimai apie nutekėjusius prisijungimo duomenis. Naudotojas taip pat gali būti įspėjamas apie neteisėtus bandymus prisijungti prie paskyros. Tokiems bandymams gali būti pasitelkiami nutekinti prisijungimo duomenys, SIM kortelės keitimo atakos ar socialinės inžinerijos metodai. Be to, silpnus slaptažodžius galima nustatyti iš anksto ir pakeisti dar prieš jais pasinaudojant piktavaliams.
• Sekiklių ir reklamų blokavimas – blokuojami svetainėse naudojami sekikliai, naudotojus pagal naršyklės duomenis atpažįstantys scenarijai ir įkyrios reklamos. Tokios priemonės padeda geriau apsaugoti privatumą, užtikrinti sklandesnį naršymą ir apriboti informacijos, kuri gali būti panaudota tikslinėms socialinės inžinerijos atakoms, rinkimą.
• Failų ir įrenginių apsauga – atsisiunčiami failai patikrinami, o aptikti kenkėjiški failai izoliuojami arba pašalinami prieš juos paleidžiant.

„NordVPN“ nesiekia iš naujo apibrėžti, kas yra antivirusinė programa, o tik praplečia jos sampratą, kad ji apimtų grėsmes, nuo kurių šiandien naudotojai tikisi apsaugos.

Kaip sukūrėme „NordVPN“ naujos kartos antivirusinę programą

Veiksminga apsauga nuo skaitmeninių grėsmių turėtų būti grindžiama trimis principais: nekaupti duomenų naudotojų profiliams sudaryti, rinkti tik produktui tobulinti būtinus duomenis ir užtikrinti, kad apsauga veiktų automatiškai, nereikalaujant nuolatinio naudotojo įsitraukimo.

Jei vienam iš šių principų skiriama daugiau dėmesio nei kitiems, gali sumažėti naudotojo privatumo apsauga, o produktas – veikti nepatikimai arba būti per sudėtingas naudoti. Suderinti visus tris principus sunkiau, tačiau tik taip galima sukurti patikimesnį ir naudotojui priimtinesnį sprendimą.

Nekaupiame duomenų naudotojų profiliams sudaryti

„NordVPN“ veiklos pagrindas – privatumas. Naudotojai mumis pasitiki, nes nestebime jų veiklos. Todėl mūsų technologijos turi gebėti atpažinti grėsmes renkant kuo mažiau naudotojo duomenų.

Mūsų principas paprastas: iš įrenginio perduodama tik grėsmei nustatyti būtina informacija. Jei duomenis reikia analizuoti mūsų serveriuose, prieš juos perduodant pašalinama visa informacija, pagal kurią būtų galima nustatyti konkretų naudotoją.

Tai reiškia, kad:

• Kai įmanoma, failui patikrinti naudojama jo maišos reikšmė („hash“), o jo turinys.
• Prieš tikrinant URL adresus debesijos sistemose, pašalinami jų užklausų parametrai ir kitos adreso dalys, galinčios atskleisti asmeninę informaciją. Taip URL adresas negali būti susietas su konkrečiu naudotoju.
• Autentifikavimo slapukų duomenys užkoduojami naudojant maišos funkciją, o iš įrenginio perduodami tik pirmieji aštuoni šios reikšmės simboliai.

Duomenys renkami taip, kad juose nebūtų naudotojo identifikatoriaus. Taip privatumo apsauga integruojama į pačios sistemos veikimo principus, o ne grindžiama vien organizacinėmis taisyklėmis.

Vertiname veiksmingumą nestebėdami naudotojų

Nevertinant rezultatų būtų sunku žinoti, kaip veiksmingai aptinkamos grėsmės. Turime suprasti, ar mūsų duomenų viliojimo atpažinimo modelis tobulėja, ar sistema atpažįsta naujus sukčiavimo būdus ir kokių grėsmių vis dar nepavyksta pastebėti. Tam reikia duomenų, kurie padėtų įvertinti apsaugos veiksmingumą.

Tačiau perteklinis tokių duomenų rinkimas gali lemti, kad saugumo programinė įranga bus naudojama naudotojų veiklai stebėti. Todėl vertindami grėsmių aptikimo veiksmingumą vengiame rinkti asmeninius naudotojų duomenis. Sistemos veikimui vertinti renkami tik apibendrinti duomenys:

• Vertinant mašininio mokymosi modelių veikimą, stebima, kaip dažnai jie teisingai aptinka grėsmes ir kaip dažnai saugų turinį klaidingai palaiko grėsme.
• Taikant apytikslį maišos reikšmių palyginimą („fuzzy hashing“), stebima, kaip greitai klasifikuojami failai.
• Vertinama, ar kibernetinių grėsmių duomenų srautuose pateikiama informacija yra aktuali.

Šie rodikliai apskaičiuojami remiantis apibendrintais naudotojų duomenimis. Modeliams tobulinti naudojami nuasmeninti grėsmių pavyzdžiai ir apibendrinti statistiniai duomenys. Naudotojų naršymo istorija tam nenaudojama. Todėl galime įvertinti, ar mūsų duomenų viliojimo aptikimo modelis tobulėja, tačiau neturime informacijos apie tai, ką konkretus naudotojas veikė aptikus grėsmę.

Kuriame produktą, kuris veikia beveik nepastebimai

Geriausia apsauga veikia nepastebimai ir nereikalauja nuolatinio naudotojo dėmesio – nereikia nieko sudėtingai konfigūruoti, nevargina nuolatiniai įspėjimai ir nereikia techninių žinių. Kad produktas būtų patogus ir veiktų sklandžiai, turime suprasti, kaip žmonės juo naudojasi. Todėl renkame tik tiek duomenų, kiek būtina naudojimo patirčiai gerinti.

Gavę naudotojo sutikimą, renkame šią informaciją:

• duomenis apie tai, ar konkrečios funkcijos yra įjungtos ar išjungtos ir kaip dažnai jos naudojamos;
• kiekybinius rodiklius, pavyzdžiui, kiek grėsmių buvo užblokuota per tam tikrą laikotarpį;
• apklausų duomenis apie naudotojų pasitenkinimą.

Šie duomenys nėra skirti konkretaus naudotojo veiklai atsekti – jie padeda įvertinti produkto veikimą ir naudojimo patirtį.

Tokie duomenys savaime neatskleidžia neskelbtinos informacijos. Jų nepakanka norint atsekti konkretaus naudotojo veiklą, nustatyti jo ketinimus ar sudaryti jo elgsenos profilį.

„NordVPN“ požiūris į DI: specializuoti modeliai konkrečioms užduotims

„NordVPN“ naudoja nedidelius specializuotus mašininio mokymosi modelius, kurių kiekvienas skirtas konkretaus tipo grėsmėms atpažinti. Užuot naudoję vieną universalų modelį, kiekvienam grėsmių tipui pasitelkiame atskirą specializuotą modelį:

• modelį, skirtą įtartiniems URL adresams ir duomenų viliojimo požymiams atpažinti;
• modelį, skirtą netikroms el. parduotuvėms atpažinti;
• modelį, kuris analizuoja, kaip veikia failai, ir ieško kenkėjiškoms programoms būdingų požymių;
• modelį, padedantį atpažinti žinutėse naudojamus socialinės inžinerijos metodus.

Kai kurie modeliai yra nedideli ir nereikalauja daug skaičiavimo išteklių, todėl gali veikti tiesiogiai naudotojo įrenginyje. Kiti naudojami naršyklės plėtinyje, o sudėtingesni modeliai, kuriems reikia daugiau išteklių, veikia serveriuose. Kai duomenys apdorojami tiesiogiai naudotojo įrenginyje, jų nereikia siųsti į serverius papildomai analizei.

Kiekvieno modelio veiksmingumą galima vertinti ir jį atnaujinti atskirai. Todėl, jei konkretus modelis pradeda veikti prasčiau, galime lengviau nustatyti priežastį. Kadangi modeliai veikia nepriklausomai vienas nuo kito, naudotojui nereikia jų prižiūrėti, o jų darbas netrukdo įprastai naudotis produktu.

Atskiri modeliai taip pat leidžia tiksliau įvertinti jų veikimą. Jei duomenų viliojimo atpažinimo modelio rezultatai suprastėja, galime tiksliai nustatyti, kurį modelį reikia papildomai mokyti ar atnaujinti ir kokių duomenų tam reikia. Jei sukčiavimo atpažinimo modelis pernelyg dažnai pateikia klaidingus įspėjimus, galime jį pakoreguoti nepaveikdami modelio, skirto kenkėjiškoms programoms atpažinti. Kadangi kiekvienas modelis atlieka konkrečią užduotį, lengviau nustatyti problemos priežastį ir ją pašalinti.

Mašininio mokymosi modeliai geriausiai tinka konkrečioms, aiškiai apibrėžtoms užduotims, tačiau vien jų visapusiškai apsaugai nepakanka. Todėl juos deriname su taisyklėmis pagrįstomis sistemomis, informacija apie kibernetines grėsmes ir specialistų atliekama analize. Šie skirtingi metodai papildo vienas kitą ir padeda geriau atpažinti grėsmes.

Nedideli specializuoti modeliai leidžia realiuoju laiku atpažinti grėsmes įvairiuose įrenginiuose ir kartu apsaugoti naudotojų privatumą.

Kas toliau?

Terminas „antivirusinė programa“ greičiausiai išliks. Žmonėms jis siejasi su skaitmenine apsauga ir padeda orientuotis renkantis saugumo priemones. Kibernetinio saugumo sektorius gali ir toliau antivirusinę programą sieti daugiausia su failų tikrinimu, o kitas grėsmes vertinti atskirai. Tačiau galima rinktis ir platesnį požiūrį – kurti produktus, apsaugančius nuo grėsmių, nuo kurių šiandien žmonės tikisi apsaugos rinkdamiesi antivirusinę programą.

Mes pasirinkome platesnį požiūrį. Sukūrėme vieną produktą, kuris apsaugo nuo sukčiavimo, duomenų viliojimo, tapatybės vagystės schemų ir kenkėjiškų failų. Kurdami šias funkcijas vadovaujamės privatumo principais, nuolat vertiname jų veiksmingumą ir siekiame, kad apsauga veiktų sklandžiai, nereikalaudama iš naudotojų išsamių kibernetinio saugumo žinių.

Mūsų nuomone, šiandien antivirusinė programa turėtų užtikrinti platesnę apsaugą nuo skaitmeninių grėsmių – duomenų viliojimo, sukčiavimo, tapatybės vagysčių ir kenkėjiškų programų.

Šaltiniai

¹ Šlekytė, I. (2025 m. birželio 25 d.). „NordVPN research reveals: One in three people fall victim to online scams“. „NordVPN“. https://www.nordvpn.com/blog/scam-experience-research/