Kenkėjiškų programų analizė yra pagrindinė saugumo disciplina, orientuota į kenkėjiškos programinės įrangos supratimą: kaip ji elgiasi, kaip plinta ir kokį poveikį ji daro sistemoms, programoms ir duomenims. Praktiškai kenkėjiškų programų analizė neapsiriboja įtartinų dvejetainių failų atvirkštine inžinerija. Ji taip pat apima scenarijų, priklausomybių, kūrimo artefaktų ir vykdymo laiko elgsenos tyrimą šiuolaikinėse programinės įrangos aplinkose. Kai saugumo komandos klausia, kas yra kenkėjiškų programų analizė, jos paprastai bando atsakyti į kelis praktinius klausimus vienu metu. Ar tam tikra programinė įranga yra kenkėjiška? Kokias galimybes ji turi? Kaip ji pateko į aplinką? Ir, svarbiausia, kaip kitą kartą galima anksčiau aptikti panašias grėsmes? Kibernetinio saugumo srityje kenkėjiškų programų analizė atlieka dvejopą vaidmenį. Ji naudojama tiek reaktyviai, reaguojant į incidentus, tiek proaktyviai, siekiant užkirsti kelią kenkėjiškiems komponentams patekti į gamybines sistemas. Todėl norint suprasti, kas yra kenkėjiškų programų analizė kibernetinio saugumo srityje, reikia žvelgti ne tik į atskirus failus, bet ir sutelkti dėmesį į platesnį programinės įrangos gyvavimo ciklą.
#
Nerimas į vandenį #
Norint paaiškinti, kas yra kenkėjiškų programų analizė kibernetiniame pasaulyje, pravartu ją atskirti nuo pažeidžiamumų analizės. Pažeidžiamumo analizė ieško netyčinių trūkumų. Kenkėjiškų programų analizė ieško tyčinis kenkėjiškas elgesys. Šis skirtumas yra labai svarbus. Kenkėjiškų programų analizė kibernetinio saugumo srityje sutelkta į programinės įrangos, kuri buvo sąmoningai sukurta arba modifikuota žalingiems veiksmams atlikti, identifikavimą. Šie veiksmai gali apimti kredencialų vagystę, duomenų nutekėjimą, įsibrovimą į kitą sistemą, perkėlimą į kitą vietą arba nuotolinį komandų vykdymą. Skirtingai nuo pažeidžiamumų, kuriuos dažnai galima ištaisyti pataisomis, kenkėjiškos programos yra aktyvus priešininkas.
Šiuolaikinė kenkėjiškų programų analizė kibernetinio saugumo srityje taip pat turi atsižvelgti į programinės įrangos tiekimo grandinės grėsmes. Kenkėjiškas elgesys gali atsirasti dėl atvirojo kodo priklausomybių, paketų registrų arba pažeistų kompiliavimo versijų. pipelines. Šiais atvejais kenkėjiška programa nėra atskiras vykdomasis failas, o patikimo komponento, kurį kūrėjai nesąmoningai naudoja, dalis. Todėl šiandien kibernetinio saugumo kenkėjiškų programų analizė geriausiai apibrėžiama kaip sistemingas programinės įrangos elgsenos, kilmės ir vykdymo konteksto tyrimas, siekiant nustatyti kenkėjiškus ketinimus prieš atsirandant žalai.
Kodėl kenkėjiškų programų analizė yra svarbi „DevSecOps“ komandoms? #
Dėl „DevSecOps“ komandoskenkėjiškų programų analizė nebėra pasirenkama veikla po incidento. pipelinesunaudoja tūkstančius trečiųjų šalių komponentų, daugelis jų atnaujinami automatiškai. Tai sukuria siaurą, bet pavojingą laikotarpį tarp kenkėjiškos programinės įrangos paskelbimo ir aptikimo.
Suprasti, kas šiame kontekste yra kenkėjiškų programų analizė, reiškia pripažinti, kad kenkėjiškas kodas gali būti vykdomas diegiant priklausomybes, kompiliavimo metu arba CI/CD Šiose aplinkose dažnai yra paslapčių, žetonų ir įgaliojimų, todėl jos tampa patraukliais taikiniais.
Kenkėjiškų programų analizė suteikia matomumą, reikalingą šioms grėsmėms anksti aptikti. Be jo organizacijos pasikliauja tokiais signalais kaip galinių taškų įspėjimai ar gamybiniai incidentai, kurie gaunami per vėlai.
Kenkėjiškų programų analizės tipai #
Kenkėjiškų programų analizė paprastai skirstoma į kelis vienas kitą papildančius metodus. Kiekvienas iš jų skirtas skirtingiems užpuolikų metodams ir turi specifinių apribojimų.
Statinė analizė #
Statinė analizė tiria programinę įrangą jos nevykdant. Tai apima šaltinio kodo, baitų kodo, metaduomenų, eilučių ir struktūros tikrinimą. Statiniai metodai gali atskleisti klaidinimą, įtartinus scenarijus ar netikėtas galimybes. Statinė analizė dažnai yra pirmas žingsnis atsakant į klausimą, ką kenkėjiškų programų analizės programinė įranga gali aptikti be rizikos. Tačiau vien statinė analizė gali praleisti elgseną, kuri suaktyvėja tik vykdymo metu arba tam tikromis sąlygomis.
Dinaminė analizė #
Dinaminė kenkėjiškų programų analizė vykdo programinę įrangą kontroliuojamoje aplinkoje ir stebi jos elgesį. Stebimi failų sistemos pakeitimai, tinklo ryšiai ir sistemos iškvietimai.
Dinaminė analizė padeda atskleisti paslėptą elgseną, tačiau jos galima išvengti. Daugelis šiuolaikinių kenkėjiškų programų pavyzdžių aptinka „smėlio dėžes“, atitolina vykdymą arba pakeičia elgseną pagal aplinkos patikrinimus. Tai riboja dinaminės analizės efektyvumą, kai ji naudojama atskirai.
Elgesio ir gebėjimų analizė #
Elgesio analizė sutelkta į ką daro programinė įranga, o ne kaip tai parašyta. Tai apima tokių veiksmų kaip kredencialų rinkimas, komandų vykdymas arba išsaugojimo mechanizmai identifikavimą. Galimybių analizė yra ypač naudinga, kai šaltinio kodas nepasiekiamas arba yra labai užmaskuotas. Ji atsako į praktinius klausimus, kurie yra esminiai dėl to, kas yra kenkėjiškų programų analizė kibernetinio saugumo srityje: kokią prieigą bando gauti ši programinė įranga ir kodėl?
Kas yra kenkėjiškų programų analizės programinė įranga? #
Kai komandos klausia, kas yra kenkėjiškų programų analizės programinė įranga, jos paprastai turi omenyje įrankius, kurie automatizuoja dalį analizės proceso. Kenkėjiškų programų analizės programinė įranga renka įrodymus, nustato įtartiną elgesį ir padeda klasifikuoti programinę įrangą kaip nekenksmingą arba kenkėjišką.
Šiuolaikinė kenkėjiškų programų analizės programinė įranga apima daugiau nei failų nuskaitymą. Ji gali apimti:
- Statinės patikros varikliai
- Veikimo laiko instrumentavimas ir smėlio dėžės apdorojimas
- Elgesio profiliavimas
- Leidybos istorijos ir kilmės kontekstinė analizė
Efektyvi kenkėjiškų programų analizės programinė įranga sukurta veikti dideliu mastu. Rankinė analizė neatsilieka nuo naujų paketų, vaizdų ir artefaktų publikavimo greičio.
Taigi, norint suprasti, kas yra kenkėjiškų programų analizės programinė įranga, reikia suprasti ir jos ribas. Šie įrankiai aptinka signalus ir įrodymus, tačiau galutiniam kenkėjiškų ketinimų patvirtinimui dažnai reikia ekspertų peržiūros.
Kenkėjiškų programų analizė ir programinės įrangos tiekimo grandinė #
Vienas svarbiausių kenkėjiškų programų analizės pokyčių yra jos taikymas programinės įrangos tiekimo grandinėsKenkėjiški komponentai vis dažniau skelbiami viešuosiuose registruose, kur jie gali būti pasiekiami kelias valandas ar dienas, kol bus pašalinti. Šio poveikio laikotarpio metu kūrėjai ir CI sistemos gali įdiegti ir vykdyti kenkėjišką versiją. Kenkėjiškų programų analizė, skirta tik vykdymo laiko galiniams taškams, visiškai praleidžia šį etapą.
Šiuolaikiniai kenkėjiškų programų analizės kibernetinio saugumo srityje metodai pabrėžia ankstyvą aptikimą: komponentų analizė kuo arčiau publikavimo laiko ir jų blokavimas, kol jie nepasiekia kūrėjų ar kompiliacijų.
Kokiais duomenų šaltiniais jis remiasi? #
Kenkėjiškų programų analizė remiasi keliais duomenų šaltiniais, siekiant nustatyti ketinimus ir elgseną. Tai apima paketo turinį, diegimo scenarijus, vykdymo laiko veiklą, tinklo ryšius, prieigą prie failų sistemos ir publikavimo metaduomenis. Tiekimo grandinės kontekste labai svarbūs papildomi signalai, tokie kaip kūrėjo istorija, versijų skirtumai ir neatitikimai tarp šaltinių saugyklų bei paskirstytų artefaktų. Šių duomenų šaltinių koreliacija leidžia saugumo komandoms nustatyti kenkėjišką elgesį, kuris kitaip atrodytų nekenksmingas.
Dažni klaidingi supratimai #
Dažnas klaidingas įsitikinimas yra tas, kad kenkėjiškų programų analizė atliekama tik po incidento. Iš tikrųjų toks reaktyvus metodas palieka didelę aptikimo spragą.
Dar vienas klaidingas įsitikinimas yra tas, kad populiarūs ar plačiai naudojami komponentai yra savaime saugūs. Kenkėjiškų programų analizė ne kartą parodė, kad patikimi paketai gali būti pažeisti perimant administratoriaus paskyrą arba atliekant kenkėjiškus atnaujinimus. Galiausiai, kai kurie mano, kad pakanka vien kenkėjiškų programų analizės programinės įrangos. Nors automatizavimas yra būtinas, ekspertų peržiūra išlieka būtina, ypač sudėtingų tiekimo grandinės atakų atveju.
Kodėl tai dabar privaloma? #
Taigi, kas šiandien yra kenkėjiškų programų analizė? Tai ne teismo ekspertizė.cise skirta incidentų reagavimo komandoms. Tai nuolatinė saugumo kontrolė, taikoma visam programinės įrangos gyvavimo ciklui.
Kas dabar apima kenkėjiškų programų analizę kibernetiniame pasaulyje? išankstinis perspėjimas, elgsenos aptikimas ir tiekimo grandinės matomumas. Kenkėjiškų programų analizės programinė įranga atitinkamai vystėsi ir artėjo prie kūrimo ir kompiliavimo aplinkų.
Organizacijos, kurios kenkėjiškų programų analizę laiko pagrindine saugumo funkcija, yra daug geresnėse pozicijose aptikti, suvaldyti ir užkirsti kelią šiuolaikinėms programoms. programinės įrangos tiekimo grandinės atakos.
Kai kenkėjiškų programų analizė atidedama iki vykdymo laiko, užpuolikai jau veikia sistemoje pipelinePraktiškai šis išankstinės stadijos metodas dažnai remiasi ankstyvojo perspėjimo galimybėmis, kurios analizuoja naujus arba atnaujintus komponentus vos tik jie paskelbiami. Tokie sprendimai kaip Ksigenis Kenkėjiškų programų ankstyvasis įspėjimas (MEW)) taikyti kenkėjiškų programų analizę patekimo vietoje, padedant saugumo komandoms identifikuoti kenkėjiškus paketus, kol jie nepasiekė kūrėjų, CI sistemų ar gamybos aplinkos. pipelines.
