Så fungerar antivirus som arbetar i molnet
Cloud computing, eller att arbeta i molnet som det kallas på svenska, är något många antivirusprogram kommer att syssla med framöver. Panda Cloud Antivirus har jag skrivit en del om. Kaspersky Internet Security är ett annat exempel som delvis jobbar i molnet. Kaspersky har dock arbetat i molnet redan i förra årets version, fast det är först nu man lyfter fram det mer. Det har blivit trendigt. Och viktigt.
| Annons – artikeln fortsätter under annonsen | |
|
Obegränsat webbhotell! – StrongBox har obegränsat lagringsutrymme, antal databaser och e-postkonton, gratis domänpekningar. Läs mer, klicka här! |
Men vad innebär det då att antivirusprogram arbetar i molnet? Kortfattat kan man säga att programmen inte använder sig så mycket av en lokal databas med virusdefinitioner, utan ansluter istället till utvecklarens servrar över Internet och får reda på om en fil är skadlig i realtid.
För uppkopplade användare
Det betyder att virusskyddet är ständigt uppdaterat. Man behöver inte längre ladda ner virusdefinitioner, och det är ingen risk att folk glömmer bort att uppdatera sina antivirus. Istället sköts allt i bakgrunden och man behöver bry sig ännu mindre än förr.
Det finns argument mot varför antivirus inte ska arbeta i molnet. Det främsta är att det inte fungerar ordentligt när man är nerkopplad. Det stämmer. Men ett antivirus som arbetar i molnet passar framför allt datoranvändare som är ständigt uppkopplade. Och det är väl trots allt de flesta av oss? Hur många kopplar egentligen ner sig från Internet?
Visst finns det användare som kör på modem och gör det, men med dagens bredband är det allt mer sällsynt. Därutöver får man tänka på att så gott som alla virus kommer från Internet. Är man nerkopplad försvinner nästan risken att bli smittad (såvida man inte har smittade CD/DVD-skivor eller USB-minnen).
Hur det fungerar
Jag pratade med en säkerhetsexpert på Kaspersky om hur det fungerar med deras antivirusprogram i molnet, och han förklarade tekniken. Kaspersky har en enorm databas med legitima program. För att indentifiera programvaror använder man sig av MD5-kodning, vilket är en kod som räknas ut baserat på en fils innehåll (simpelt förklarat).
När en användare med Kasperskys antivirusprogram installerar eller laddar ner ett program så skickas programmets MD5-kod, tillsammans med metadata, till Kasperskys servrar för identifiering. Om programmet finns med i listan över legitima program, så är det grönt. Annars kommer antivirusprogrammet att varna.
Samtidigt kommer Kasperskys autoidentifieringsteknik sätta igång på deras servrar. När en okänd fil rapporteras in av användare, kommer tekniken att ladda ner programmet från Internet, kontrollera det för att bedöma hur farligt det är, och därefter lägga in information i databasen. Det här sker som regel helt automatiskt.
I och med den här tekniken har man lyckats pressa ner rekordtiden på hur lång tid det tar från det att en användare någonstans i världen hittar en suspekt fil, tills dess att filen är klassificerad och resten av världens användare kan bli varnade för den (om den visade sig vara farlig). Tiden är nu nere på en minut.
Personligen tycker jag det här är rätt intressant. Det här med virusdefinitionslistor är på utgående. Det fungerar inget vidare längre, eftersom virustillverkare pumpar ut mängder av olika varianter av varje virus. Att hitta och lägga in allt det här i databaser som sedan ska distribueras ut till varje användare är i praktiken omöjligt. Därför är antivirus i molnet en vettig utveckling.
| Säkerhetspaket | Pris | Licens | |
| Panda Rea! | 399 kr (133 kr/PC) | 1 år/3 PC |  |
| Norton Bäst i test | 799 kr (266 kr/PC) | 1 år/3 PC | |
| McAfee Rea! | 324 kr (108 kr/PC) | 1 år/3 PC | |
| F-Secure | 645 kr (215 kr/PC) | 1 år/3 PC | |
| Kaspersky | 589 kr | 1 år/1 PC | |
| ESET Nod32 | 594 kr | 1 år/1 PC | |
| Trend Micro | 649 kr | 1 år/1 PC | |
| Annonser |
|
|
Klang IT
sa,
augusti 25, 2009 @ 10:48 | Svara
Ja, det fungerar så länge ett virus inte manipulerar koden som skickas till antivirusföretagets servrar. Nu vet inte jag någonting om hur det går att modifiera koden som skickas, men hur säker är en MD5-kod? Det känns lite som om någon skadlig kod byter ut MD5-koden mellan det riktiga programmet och det att koden skickas till deras servrar så blir det grönt ljus för programmet. Nu är det säkert inte så enkelt, men hur löser Kaspersky det?
TkJ
sa,
augusti 25, 2009 @ 12:19 | Svara
Klang IT: Det tror jag Kaspersky har tänkt på. :) De arbetar inte BARA i molnet, det finns andra tekniker också.
Klang IT
sa,
augusti 25, 2009 @ 18:00 | Svara
Jo, haha. Det tror jag också, annars är ju systemet ett skämt.
Göte
sa,
augusti 28, 2009 @ 09:53 | Svara
Det finns rimligen både för och nackdelar med att flytta ut antivirusprogrammen till molnet. En fördel torde vara att det program man kör på den lokala datorn inte behöver vara lika komplext i fallet viruskontrollen sker i molnet jämfört med om viruskontrollen sker på den lokala datorn. En minskad komplexitet när det gäller programvara, medför i de flesta fall en bättre säkerhet.
Timon
sa,
augusti 28, 2009 @ 12:00 | Svara
MD5-koden är enbart en sorts checksumma av en fil. En enkel variant av checksumma är om du skulle addera alla bytes till en stor slutsumma. MD5 använder krångligare sätt att få fram summan på. MD5 är heller inget hemlighetsmakeri. Den finns i alla Linuxdistrubutioner.
Om du är virusmakare och manipulerar en fil så att du trycker in ett virus i det, så kan du förstås också fixa till MD5-summan så att den visar samma som ursprunget. Idag gör inte virusmakarna detta, men det är ganska lätt att fixa till MD5-summan så det kommer de att börja med.
Kaspersky
sa,
augusti 31, 2009 @ 17:05 | Svara
Hej Timon,
Den här tekniken fungerar likadant som digitala signaturer och nej det finns inget enkelt sätt att gå runt detta.
Det finns matematiker som forskat på detta och jag tror en grupp i Kina har kommit närmast. Men då pratar vi om en halvering i tid som från början nästan var oändlig.
KLAB
Aemony
sa,
augusti 31, 2009 @ 18:22 | Svara
Eftersom de flesta AV-programmen låser åtkomsten av körbara filer tills de har skannats, och eftersom inga AV-program som arbetar i molnet BARA kör med MD5-strängen så är risken för att ett virus ska lyckas manipulera en fil, dölja sig i denna helt perfekt och ändå undgå detektion tills det körs nästan obefintlig. Även om det lyckas med det så tar det nog inte särskilt lång tid innan molnet har snabbat upp viruset och stoppar dess spridning.
AV-programmen som arbetar i molnet skickar inte bara med MD5-strängen, utan både metadatan och andra signaturer på filen. Att ändra MD5-strängen är en sak, men att bibehålla alla andra signaturer och metadatan samtidigt som MD5-strängen bibehålls är praktiskt taget omöjligt. I teorin är det möjligt, men eftersom många signaturer bygger på hur filen rent digitalt sett är uppbyggd så är det i praktiken omöjligt att lyckas med det.