Как ломали Нью-Йорк Таймс (и почему не работают антивирусы)?
Автор: Евгений Золотов 04 февраля 2013
Эти выходные западная пресса провела без сна — и тому есть хорошая причина: всю минувшую неделю, один за другим, всплывали факты проникновения таинственных взломщиков в святая святых американской журналистики. New York Times, Wall Street Journal, Washington Post пострадали, насколько можно судить сейчас, от одной и той же команды чёрных хакеров, орудовавших в их внутренних сетях на протяжении трёх с лишним месяцев. Следы ведут в Китай, что, конечно, добавляет красок этой мрачной картине, но в случившемся есть и ещё одна интересная деталь, связанная с поведением защитных инструментов.
Нападение не было полным сюрпризом, его ждали, однако в какой-то момент ситуация вышла из под контроля и то, что начиналось как занятный эксперимент, превратилось в маленькую войну.
Атаку на NYT, повторюсь, ждали, за ней следили, она вышла из-под контроля, а когда контроль над компьютерами издательства удалось восстановить в полном объёме, специалисты обнаружили почти полсотни экземпляров различных шпионских и атакующих программ. При этом защита — основанная в данном случае на инструментах Symantec — среагировала только на один (!) из образчиков заразы. Из этого популярная пресса немедленно сделала малоприятный вывод: если вами заинтересовались профессионалы, обычная защита вас не спасёт.
Но случившееся с NYT и её коллегами по цеху заставляет поставить вопрос ребром. Насколько вообще полезны стоковые защитные продукты — и антивирусы, как их основа?
Двадцать лет назад антивирусы были устроены просто: сличали кусок кода из программы с образцами известной заразы и при совпадении поднимали тревогу. Такой — сигнатурный — подход и поныне остаётся краеугольным камнем защитных механизмов, но вирусы не стояли на месте, и соответственно не стояли на месте технологии защиты. Вирусы научились шифроваться, мутировать на ходу, маскироваться в системе, внедряясь в ядро или критически важные программы.
Но те немногие эксперты, что рискнули ответить на поставленный выше вопрос беспристрастно, дают парадоксальный ответ. Чтобы сделать домашнюю, корпоративную или национальную защиту эффективней, стоит перераспределить защитный бюджет. Вместо акцента на покупных инструментах следует использовать свободный антивирус и свободные же средства обнаружения проникновений (ClamAV + Snort, к примеру), а высвободившиеся деньги потратить на кастомизацию, подстройку защиты для индивидуальных особенностей ваших систем. Это даст лучший эффект и, возможно, будет дешевле, чем постоянное обновление билета на комфортабельное место в догоняющем составе.
