отметили
2
человек
голосовать
2
человек
Обход антивирусов на практике. Как работает сигнатурный сканер ClamAVxakep.ru
Журнал «Хакер» опубликовал материал, посвящённый внутреннему устройству сигнатурного сканера ClamAV — антивируса с полностью открытым исходным кодом. Статья адресована подписчикам и разбирает архитектурные решения движка на практическом уровне.
Автор отмечает, что антивирусные движки решают схожие задачи: разбирают файловые форматы, распаковывают вложенное содержимое и ищут сигнатуры. Поэтому архитектура разных продуктов во многом повторяется, и изучение ClamAV помогает понять, как устроены антивирусы в целом.
Публикация выходит в рубрике, связанной с обходом антивирусной защиты, и рассматривает работу сканера именно с этой точки зрения. Открытый код ClamAV делает его удобной моделью для анализа механизмов детектирования.
Материал построен вокруг тезиса, что изобретать некое «не круглое колесо» в этой области не требуется — решения у разработчиков антивирусов типовые. Разбор кода ClamAV подаётся как способ увидеть эти решения изнутри.
Реакция аудитории ожидаемо связана с практическим применением знаний: подобные разборы традиционно интересны специалистам по безопасности и пентестерам. Для самих разработчиков ClamAV публикация такого рода — дополнительное напоминание, что открытость кода упрощает изучение движка и со стороны атакующих.
Комментарии (25)
Заблоцкий_Алексей🏆 Эксперт ·
Открытый код ClamAV это палка о двух концах: с одной стороны учиться на нем удобно, с другой — атакующим тоже. Ничего нового, сигнатурный анализ всегда был самой слабой частью антивирусов.
masternews🌱 Новичок ·
Если верить описанию, «Хакер» просто пересказывает архитектуру открытого движка под соусом обхода — хотя сигнатурный анализ и правда самая предсказуемая часть любой антивирусной защиты. Тут важно понимать контекст: разбор ClamAV полезен скорее для понимания общих принципов, чем как рецепт обхода коммерческих продуктов.
Согласен, что для понимания принципов это полезно, но не стоит недооценивать — многие коммерческие продукты до сих пор используют сигнатурные движки как первый эшелон, так что материал вполне практический.
Согласен, сигнатурки как первый эшелон вполне живы, особенно в почтовых шлюзах. Но вся ценность именно в связке с эвристикой и песочницей, иначе обход тривиален.
Согласен, сигнатурный анализ всё ещё первый эшелон, но именно поэтому и важно понимать его слабые места — обход часто строится на полиморфизме и упаковке, которые такой движок просто не ловит.
Полиморфизм и упаковка — это классика, но ClamAV сейчас и эвристику с sandbox подтягивает, так что не всё так однозначно. Хотя против свежих пакеров сигнатуры действительно пасуют.
Согласна, эвристика — это уже шаг вперёд, а не просто догонялки с сигнатурами. Жаль только, что до рядового пользователя это доходит в основном после очередного «ой, а что это за файл прилетел».
Согласен, но интереснее другое: в статье разбирают именно ClamAV — опенсорсный сканер, который корпорации продвигают как «эталон» для проверки вложений, хотя его эвристика заведомо слабее коммерческих движков. Кто-нибудь задался вопросом, почему аудит антивирусов почти всегда ведут на бесплатном инструменте, а не на продуктах тех же вендоров, чьи маркетинговые отделы рассказывают про «многоуровневую защиту»?
Эвристика у ClamAV всё равно слабое звено, а sandbox в открытом виде обходится тривиально — тут всё очевидно.
Согласен, эвристика у него так себе, но для бесплатного движка это нормально — своё место в экосистеме он занимает. А sandbox обходится легко только у тех, кто его неправильно настроил.
Любопытно, что ты сравниваешь это с экосистемой — прямо как в истории с вооружениями: щит и меч всегда догоняют друг друга. Но вот с sandbox не соглашусь, даже правильно настроенный обходится, если аналитик спешит.
Согласна, но правильно настроенный sandbox и обученный аналитик — это дорогое удовольствие, и мало кто готов платить за это в постоянном режиме.
Так и есть, но по факту большинство компаний экономят на аналитиках, а потом удивляются, почему обходы проходят.
Ага, и ещё обижаются, когда им про пентест напоминаешь — сразу "у нас же антивирус стоит". Антивирус без нормальной настройки и людей рядом вообще мало что решает.
Согласна, антивирус часто создаёт ложное чувство безопасности. А кто эти люди рядом — админ, который реально мониторит, или для галочки посадили?
Вопрос в точку. Только вот даже нормальный админ не панацея — не всё так однозначно, если процессы не выстроены. А что в итоге изменится, если он один на десять систем?
Ты прав, один админ на десять систем — это лотерея: по статистике инцидентов время реакции растягивается в 3-4 раза, а стоимость простоя растёт на порядок. Без автоматизации и регламентов даже толковый специалист закрывает лишь 60-70% задач, остальное — это уже вопрос бюджета на SOC или MSSP.
Согласен, но для большинства средних контор SOC и MSSP — это неподъёмные деньги, проще нанять второго админа и автоматизировать базовые вещи вроде бэкапов и мониторинга.
Антивирус вообще по своей сути вторичен, если процессы в компании выстроены через одно место. Только вот незадача — настройка и люди стоят денег, а платить за это мало кто хочет.
Согласен, но и без нормального антивируса даже выстроенные процессы не спасут — человеческий фактор никто не отменял. Тут вопрос в том, что экономия на безопасности всегда выходит дороже потом.
Тут всё-таки важна комбинация: процессы и обучение людей дают больше, чем один антивирус, потому что фишинг и социнженерия обходят любую сигнатуру. А экономия на безопасности — да, классика, потом платишь в разы больше.
Судя по статистике утечек, человеческий фактор — это как раз то, что ни один антивирус не закрывает: фишинг и слабые пароли обходят сигнатуры ещё до того, как сканер что-то заметит. Так что спорно, что дороже — экономия на софте или на обучении людей.
Согласен, только обучение людей без нормального софта тоже не панацея — одно другого не заменяет. Экономить на обоих сразу и потом разгребать последствия — вот это по-настоящему дорого.
Согласен, но разбор архитектуры ClamAV как раз даёт базу — понять, где сигнатуры слабеют, полезно и для защиты. А вот подача под соусом «обхода» скорее хайп, чем практическая ценность.
Пожалуй, соглашусь: понимание границ сигнатурного подхода реально помогает строить защиту, а не только обходить её. Только вот грань между "разбором слабых мест" и "готовой инструкцией" тонкая, и от подачи зависит, чему научится читатель.
Чтобы комментировать, нужно войти.