McAfee डीप डिफेंडर: छेद करने वाले छेद से लेकर अंदर से बाहर की रक्षा करना

जब इंटेल ने 2010 में McAfee एंटीवायरस सॉफ़्टवेयर डेवलपर का अधिग्रहण किया, तो इस सौदे की उपयुक्तता के बारे में पेशेवर समुदाय में बहुत बात हुई। टिप्पणियाँ तब उच्चतम स्तर पर दी गईं, उनमें से कुछ हब पर दिखाई दीं। इस बीच, अब, केवल दो वर्षों के बाद, संघ का तर्क सिर्फ लोहा लगता है: दुर्भावनापूर्ण कोड के खिलाफ विशुद्ध रूप से सॉफ्टवेयर सुरक्षा की संभावनाएं लगभग समाप्त हो गई हैं, संयुक्त के लिए एक संक्रमण, हार्डवेयर-सॉफ्टवेयर समाधान आवश्यक है। हम आज उनके बारे में बात करेंगे।


नए मालवेयर की संख्या। McAfee डेटा।

दुर्भावनापूर्ण कोड के साथ एंटी-वायरस कार्यक्रमों के संघर्ष का इतिहास प्रथम विश्व युद्ध के "ट्रेंच युद्ध" के क्रॉनिकल को याद करता है: समान रूप से फैला हुआ स्थितीय लड़ाई और निर्णायक सफलता के लिए आशा की कमी। बल्कि, यह अन्य तरीके से भी है: जबकि वायरल बुराई अपने व्यवहार के एल्गोरिदम को जटिल बना रही है, इसके सेनानियों के बीच एक "असममित प्रतिक्रिया" के विकल्प कम होते जा रहे हैं। इस तथ्य के कारण कि एंटीवायरस केवल ओएस के लिए एक कार्यक्रम से थोड़ा अधिक है, जिसे अन्य कार्यक्रमों की मदद से काउंटर किया जा सकता है, यह भ्रामक हो सकता है, और अंत में, बस नष्ट हो सकता है। दूसरी ओर, आवेदन स्तर पर संदिग्ध गतिविधि पर नज़र रखने के लिए बड़ी मात्रा में संसाधनों की आवश्यकता होती है, और वे सिस्टम में अनंत नहीं होते हैं, और एंटी-वायरस सॉफ़्टवेयर को हमेशा इसे ध्यान में रखने के लिए मजबूर किया जाता है। सामान्य तौर पर, जितना अधिक तीव्र संघर्ष, उतनी ही अधिक समस्याएं। शीर्षक तस्वीर में दिखाई गई स्थिति के समान स्थिति कुछ हद तक है: क्यूब का आकार बहुत छोटा है, और आप इसमें जितने चाहें छेद बना सकते हैं। अब कल्पना करें कि किसी को उन्हें प्लग करना होगा ...
और फिर उन नए दृष्टिकोणों के बारे में बात करने का समय आ गया है। "एन इंटेल कंपनी" का उपसर्ग प्राप्त करने के बाद, McAfee ने इंटेल प्रोसेसर की क्षमताओं के साथ अपने स्वयं के सॉफ़्टवेयर समाधानों को संयोजित करना जारी रखा, और सबसे पहले (लेकिन यही नहीं) - Intel VT-x हार्डवेयर वर्चुअलाइजेशन (Intel Core i3, i5 और i7 प्रोसेसर द्वारा समर्थित)। सामान्य सुरक्षा योजना कुछ इस प्रकार है:




डीपसेफ़ घटक ऑपरेटिंग सिस्टम को बूट करता है और उससे अलग होता है। ओएस कर्नेल (हार्डवेयर के करीब) के नीचे स्थित है, यह न्यूनतम संसाधनों के साथ है, वास्तविक समय ओएस के सभी ऑपरेटिंग मोड में मेमोरी और प्रोसेसर की निगरानी करता है, ड्राइवरों को लोड करने से शुरू होता है और किसी भी तरह के सॉफ्टवेयर के लॉन्च के साथ समाप्त होता है (अनधिकृत या प्रस्तुत करना) उपयोगकर्ता)। डीपसेफ़ इतनी जल्दी आग भड़का देता है कि दुर्भावनापूर्ण कोड को ठीक से निष्पादित करने का समय भी नहीं होता है। निष्पादन योग्य प्रोग्राम मॉड्यूल और डीपस्पैफ़ सिस्टम के मूल में अन्य "अजीब सरसराहट" के संदिग्ध व्यवहार के सभी मामलों को एजेंट डीप डिफेंडर को "अप" रिपोर्ट किया जाता है, जो खतरे के स्तर के लिए उपयुक्त कार्यों पर निर्णय लेते हैं।

McAfee ePO डीप कमांड इन्फ्रास्ट्रक्चर

बदले में, उपयोगकर्ता कंप्यूटर पर स्थापित डीप डिफेंडर सुरक्षा एजेंट McAfee ePolicy Orchestrator (ePO) केंद्रीकृत नियंत्रण कक्ष के अधीनस्थ हैं, जो इंटेल और McAfee द्वारा विकसित कई उपकरणों के माध्यम से कॉर्पोरेट सुरक्षा नीतियों को एकीकृत करता है: पहले से सूचीबद्ध लोगों के अलावा, यह Intel vPro है , इंटेल एंटी-थेफ्ट और अन्य। यह कंपनी के नेटवर्क इन्फ्रास्ट्रक्चर के स्तर पर सुरक्षा का वृहद स्तर है। हालांकि, हम माइक्रो लेवल पर लौटते हैं - एक सिंगल पीसी प्रोसेसर।

किस एंटीवायरस को आदर्श कहा जा सकता है? (संक्षिप्तता के लिए, हमारा मतलब किसी भी दुर्भावनापूर्ण कोड से है।) एक जो सिस्टम के अन्य सॉफ्टवेयर घटकों को प्रभावित नहीं करता है, उनसे संसाधन नहीं लेते हैं और आम तौर पर खुद को प्रकट नहीं करते हैं, चुपचाप अपना काम करते हैं। यह वास्तव में यह परिणाम है जिसे मांगा जाना चाहिए, और इसे प्राप्त करने का एकमात्र तरीका प्रोसेसर के करीब निकटता में, हार्डवेयर स्तर पर अधिकतम सुरक्षा घटकों को स्थानांतरित करना है।
इंटेल ने इन रास्तों के साथ निर्विवाद सफलताओं को बनाया है: ये ऐसी तकनीकें हैं जो अभी कोड निष्पादन को नियंत्रित करती हैं:

• सिस्टम बूट सुरक्षा (Intel TXT - विश्वसनीय निष्पादन प्रौद्योगिकी)
• सॉफ्टवेयर अटैक प्रोटेक्शन (Intel VT-x - IA-32, Intel 64 और Intel आर्किटेक्चर के लिए वर्चुअलाइजेशन टेक्नोलॉजी)
• DMA डायरेक्ट मेमोरी एक्सेस प्रोटेक्शन (Intel VT-d - वर्चुअलाइजेशन टेक्नोलॉजी फॉर डायरेक्टेड आई / ओ)
• BIOS हमला सुरक्षा

आइए संक्षेप में विचार करें कि इंटेल VT-x तकनीक कानून और व्यवस्था के रक्षक के रूप में कैसे कार्य करती है।


वीएम कंट्रोल स्ट्रक्चर (वीएमसीएस) हाइपरवाइजर को प्रोसेसर प्रिमिटिव के स्तर पर सॉफ्टवेयर कोड के निष्पादन विशेषताओं को ट्रैक करने की अनुमति देता है। हाइपरविजर खुद ओएस से अलग-थलग जगह पर स्थित है, इसलिए यह बिना किसी बदलाव के विभिन्न विशेषाधिकार स्तरों पर सॉफ्टवेयर की निगरानी करने में सक्षम है।
संयुक्त सुरक्षात्मक समाधान की संभावना क्या है? निगरानी मापदंडों को बढ़ाने और प्रतिक्रियाओं की प्रकृति को जटिल बनाने में। उदाहरण के लिए, यदि हम सिस्टम के मूल के बारे में बात करते हैं, तो हम इसके कई महत्वपूर्ण प्रोग्राम इंटरफेस को अलग कर सकते हैं, जिन्हें नियंत्रित करने के लिए बस आवश्यक है - मुख्य रूप से वे जो आमतौर पर इसमें दुर्भावनापूर्ण कोड को इंजेक्ट करने के लिए उपयोग किए जाते हैं। विशेष रूप से देखभाल के लिए सिस्टम में लोड किए गए ड्राइवरों को घेरना होगा, जो उनकी प्रकृति से अक्सर समस्याओं का स्रोत बन जाते हैं।
आवेदन स्तर के लिए, कार्यक्रमों को धीमा किए बिना महत्वपूर्ण एपीआई की पूर्ण निगरानी प्राप्त करना महत्वपूर्ण है, लेकिन नियंत्रण से बचने का मौका दिए बिना भी। नए दृष्टिकोण पुराने सिद्ध तरीकों को अस्वीकार नहीं करते हैं, जैसे कि एंटी-वायरस सॉफ़्टवेयर की स्व-निगरानी, ​​एक सुरक्षित रनटाइम वातावरण (सैंडबॉक्स) में संदिग्ध वस्तुओं को रखना - यह एक रूप में या किसी अन्य में भविष्य में मौजूद होगा, नई कार्यक्षमता के साथ समृद्ध होगा। लेकिन विकास का वेक्टर पहले से ही निर्धारित किया गया है, और हम इस दिशा में मुख्य उपलब्धियों की अपेक्षा करते हैं।
जैसा कि हम देखते हैं, रक्षा "नीचे से" अभी तक एक कठिन रास्ता बना रही है। लेकिन स्पष्ट रूप से कोई अन्य विकल्प नहीं है।