Lo strano gioco del virus-naming: problemi di incomunicabilità

[Redazione di Hardware Upg]

Link alla notizia: http://news.hwupgrade.it/13530.html

Nel mondo della sicurezza informatica ogni cosa avviene velocemente: le società antivirus si ritrovano a dover analizzare troppi files infetti senza potersi confrontare

Click sul link per visualizzare la notizia.

[dottorpalmito]

del?

[rmarango]

...del nome

[HyperText]

C'è un errore nel titolo.

[eraser]

si ora correggo

[Johnny5]

Sarebbe interessante l'idea di un database internazionale distribuito in cui ogni società registrata inserisce e aggiorna i dati di un virus man mano che ne scopre la caratteristiche.

Se ci si accorge che due virus sono uguali, di fatto vuol dire che una tupla del database è duplicata, e basta fondere le due righe insieme, tenendo come nome quello assegnato dal primo scopritore.

Il problema è la sicurezza, come sempre in questi casi. Pensa che bello poter accedere di straforo ad un db simile e cancellare i dati sul proprio virus che si è creato e che è stato scoperto...

L'altro problema è che se lo facessero veramente... bé che differenze ci sarebbero a quel punto fra un antivirus e l'altro?

[bizzu]

[disinteressato mode ON]
Chiamateli come volete, basta che gli antivirus li trovino!
[disinteressato mode OFF]
Un bel casino cmq, non vorrei trovarmi nei panni degli esperti del settore.

[Dr. Halo]

Originariamente inviato da Johnny5
L'altro problema è che se lo facessero veramente... bé che differenze ci sarebbero a quel punto fra un antivirus e l'altro?

eheeh... è qui che entra in gioco la bonta' di un antivirus. tutti gli antivirus trovano praticamente tutti i virus in circolazione se sono aggiornati a dovere. qualcuno arriverà una settimana dopo, un giorno dopo, alcuni un mese dopo... ma prima o poi ci arrivano. il fatto è come proteggono il pc, quanto incidono sulle prestazioni, sulla memoria, sullo sfruttamento della potenza del processore...

[Krakatoa]

L'altro problema è che se lo facessero veramente... bé che differenze ci sarebbero a quel punto fra un antivirus e l'altro?

Che un antivirus non si valuterebbe/guadagnerebbe popolarità per quanti virus conosce ma su come agisce, quanto è impostabile, quanto è ingordo di risorse di sistema, quanto rompe ogni volta che apro un documento, e così via.
Magari questa mia opinione è opinabile; fatevi avanti.
K.

[Krakatoa]

Per DrHalo: non ti avevo letto, non aveno ancora aggiornato la pagina.
Un po' scrivevo, un po' rispondevo al tel...

K.

[Dr. Halo]

Be' cmq siamo d'accordo

[DioBrando]

"Oooh! Un nuovo uragano? Allora lo chiameremo tutti Britney".
Inoltre è evidente che tutti stanno parlando dello stesso uragano. "É quello che c'è nel Golfo del Messico..quello è Britney".

[lucusta]

credo che il modo migliore per far diventare una cosa semplice un vero caos e' quello di mettere piu' persone a pensare alla soluzione.. estrapolazione del detto: chi fa' da se' fa' per tre'!

il processo piu' semplice sarebbe quello di usare un database comune e un mome incrementale,
importa poco all'utente se il virus che l'ha infestato e' la variante AB o AV, e non e' praticamente di nessuna utilita'..
nella pratica sarebbe auspicabile che quando si riscontra un nuovo virus, sia esso un trojan o un worm, venga controllato il codice univoco, e se non esistente nel database venga indicato come possibile fonte d'infezione (astenendosi al momento sulla pericolosita'), e venga denominato con un indice incrementale senza classe; in questo modo si avranno il virus aaaaaa ed il trogan aaaaab, indipendentemente dalle caratteristiche, e si avranno la variante X del virus aaaaaa e la variante Y del virus con nome aaaaac..

a quel punto, nella descrizione si puo' classificare come trojan, worm, backdoor generica, e a quale ceppo appartiene; infatti queste sono notizie che a mio avviso sono di secondaria importanza; la cosa importante e' l'identificazione univoca del virus.
A quel punto e' praticamente inutile sapere che tipo di variante sia, anzi, si farebbe minore pubblicita' al writer facendogli perdere gran parte del piacere di scrivere un virus! D'altra parte le informazioni di che tipo di virus sia e quante varianti abbia avuto dovrebbero interessare solo le forze dell'ordine, in modo da capire quanto sia attivo un writer e l'importanza nel fermare la sua opera.

Altro punto di rafforzo della sicurezza sarebbe quello di eliminare la diffusione in partenza, e non in arrivo:
se ogni ISP avesse uno scanning perpetuo sui dati che passano attraverso le sue linee, potrebbe intercettare a monte la diffusione dei virus.
La questione tecnica si ridurrebbe esclusivamente nel trovare un modo impeccabile (inattaccabile, inimitabile e universale, standard) nell'avvertire chi manda e chi riceve che il dato contiene codice maligno riconosciuto.
a quel punto esclusivamente il traffico crittografato potrebbe essere veicolo d'infezione..
Sicuramente questa cosa non piacerebbe ne alle case di antivirus ne tantomeno agli ISP.
Al primo punto le case degli antivirus si vedrebbero togliere gran parte della pubblicita' derivante dall'essere i primi ad aver trovato il virus e il rimedio, e percio' avrebbe un punto in meno come marcketing, basando cosi' il loro guadagno esclusivamente sul modulo d'esecuzione dell'antivirus, e non sui codici riconosciuti (e sarebbe un guadagno per gli utenti, che si vedrebbero FINALMENTE vendere degli antivirus decenti.. innumerevoli sono gli utenti che installano prima uno e poi l'altro antivirus arrivando poi al risultato di aver incasinato talmente tanto il PC che alla fine devono solo formattare tutto).
Al secondo punto perderebbero sia le case antivirus che gli ISP, in quanto questi ultimi dovrebbero aggiornare le macchine in modo da poter eseguire scansioni in tempo reale di tutto il traffico, e le seconde si vedrebbero togliere il vero presupposto per il loro guadagno: la paura d'infettarsi.. venendo meno la diffusione, verrebbe meno anche l'utilita' di un antivirus sempre aggiornato.

e come in ogni orda del caos che si rispetti, c'e' sempre occasion di guadagnare:
non so' se gia' esistono, ma mi sono sempre chiesto, e soprattutto nell'ultimo periodo, perche' non ci siano dei servizzi di antivirus in streaming:
reindirizzando il traffico su un server che controlla il flusso dei dati, si potrebbe assicurare una navigazione senza contagio (ossia appicando in forma a pagamento il sistema suggerito di controllo sugli ISP);
in questo modo si otterrebbe un reale giovamento per l'utente, che non deve piu' preoccuparsi dell'aggiornamento dell'antivirus, e del carico dei questo sulle prestazioni del PC.
Personalmente, avendo un piccolo serverino sulla lan, ho provveduto a mettere l'antivirus su questo, parandomi a monte da ogni infestazione suglialtri PC.. devo dire pero' che sono stato costretto dalla mia prudenza, in quanto, l'ultimo antivirus installato risaliva al 98, ed in anni di navigazione senza protezione ho preso esclusivamente il sasser (per una buona scansione per vedere lo stato delle cose ed un'eventuale ripulitura si puo' sempre usare un antivirus on-line), quindi tutto dipende da chi usa, non al mezzo che si usa, tantomeno da che OS.

[BeppeLob]

Originariamente inviato da lucusta
...
non so' se gia' esistono, ma mi sono sempre chiesto, e soprattutto nell'ultimo periodo, perche' non ci siano dei servizzi di antivirus in streaming:
reindirizzando il traffico su un server che controlla il flusso dei dati, si potrebbe assicurare una navigazione senza contagio (ossia appicando in forma a pagamento il sistema suggerito di controllo sugli ISP);
in questo modo si otterrebbe un reale giovamento per l'utente, che non deve piu' preoccuparsi dell'aggiornamento dell'antivirus, e del carico dei questo sulle prestazioni del PC.
Personalmente, avendo un piccolo serverino sulla lan, ho provveduto a mettere l'antivirus su questo, parandomi a monte da ogni infestazione suglialtri PC.. devo dire pero' che sono stato costretto dalla mia prudenza, in quanto, l'ultimo antivirus installato risaliva al 98, ed in anni di navigazione senza protezione ho preso esclusivamente il sasser (per una buona scansione per vedere lo stato delle cose ed un'eventuale ripulitura si puo' sempre usare un antivirus on-line), quindi tutto dipende da chi usa, non al mezzo che si usa, tantomeno da che OS.

Sarebbe difficile... te lo immagini un ipotetico server che analizza un paio di gigabit/sec di dati in streaming? ti rendi conto di che razza di potenza di calcolo sarebbe necessaria?
E poi anche superando questo scoglio i virus vriter sfrutterebbero la frammentazione dei segmenti ip e l'invio non consecutivo dei pacchetti, rendendo inefficente, se non inefficacie questo tipo di controllo.

[lucusta]

non credo, o meglio non piu' di un normale server (ottima la soluzione del clustering).. conosci i vari web-accellerator?
comprimono in tempo reale i file richiesti, avendo un reale guadagno sui file di testo, e riuscendo cosi' ad incrementare la velocita' anche del doppio, a scapito di un leggero lag iniziale (nullo se gia' caricato in caches dal server, tipo proxy).
Logicamente erano in voga quando c'erano i modem analogici, mentre ora, con adsl e fibra non se ne sente la reale necessita', ma la tecnologia e' la stessa che utilizzerebbe un antivirus per riuscire a scovare un virus: appena il codice ha una sequenza "critica" viene fermato.
logicamente si sta' parlando della sola navigazione e ricevimento posta, non e' pensabil che si possa fare su file compressi da centinaia di MB, ma si potrebbe modificare a seconda dell'offerta:
un web-nanny diversificato per l'accesso ai bambini, un downloader remoto (indichi cosa scaricare e poi in un secondo momento lo prelevi), una connessione VPN fatta con un software/firewall che impedisca uno scanning, o meglio un reinderizzamento sulle porte del server, ed altro ancora..
insomma, per il normale utilizzatore della rete, la cosa non passerebbe inosservata:
navigare senza problemi, preoccupazione e pesantezza, magari anche piu' velocemente, ed senza le dovute accortezze del caso, per un piccolo canone, che pagheresti per riparazioni e vari tool di difesa.
il PC che ricordo piu' massacrato?
13000 virus di centinaia di differenti ceppi, e con antivirus installato, ma non funzionante e non aggiornato, oltre che una megabolletta da dialer..
Persone del genere sono degli untori della rete a loro insaputa, e pur con tutti i mezzi a disposizione non hanno la possibilita' di difendersi, ma non si puo' pretendere che per usare un PC si debba avere una certificazione.
Non credo che sia inrealizzabile, e che non ci sia mercato..
tempo addietro, non ricordo chi, aveva ipotizzato, grazie alla banda larga, dei thin-client utilizzabili da remoto..
un buon server potrebbe ancora svolgere questo compito, con una shell leggera si potrebbe avere la possibilita' di navgare e leggere la posta difesi da una struttura retta da persone capaci.. anche con desktop remoto di winXP non sarebbe poi cosi' difficile (lo uso giornalmente, sia su lan che su net).