Whitepaper Processo di protezione contro un virus

Transcript

1 Whitepaper Processo di protezione contro un virus 1. Considerazioni preliminari Il mondo interconnesso Sebbene la diffusione dell utilizzo della posta elettronica e Internet possa aver reso irrilevante la distanza fisica, il nostro mondo è ancora altamente interconnesso. Sia aziende che privati hanno tratto vantaggi da questa rivoluzione: informazioni disponibili a livello globale, decisioni rapide, maggiore efficienza del flusso di lavoro e imprenditori che beneficiano di una presenza globale e della possibilità di espandere rapidamente la loro attività. Allo stesso tempo, questa tendenza porta dei vantaggi ai consumatori, in quanto la competizione globale tra le cooperazioni transnazionali riduce i costi aumentando la qualità. Il network a rischio Tuttavia, il nostro mondo interconnesso è anche vulnerabile. Oggi, anche la minima interruzione della rete comporta un impatto globale. I programmi dannosi sono in grado di diffondersi rapidamente al di là dei limiti del disco. In pochi secondi i dati possono subire danni irrimediabili (se non venire completamene distrutti) e l hardware può subire danni irreversibili, esponendo così le aziende ad un rischio elevato. Una nuova generazione di minacce Queste minacce non sono solo limitate alla gamma standard di tipici virus informatici sviluppati per attaccare silenziosamente i programmi e provocare ai sistemi dei dati danni incalcolabili. Ogni giorno, gli hacker sviluppano nuovi e più virulenti virus. I trojan che si diffondono attraverso messaggi di posta elettronica rappresentano una minaccia piuttosto nota, così come i worm, che si autoreplicano rapidamente senza dover ricorrere ad altri eseguibili. I virus polimorfici sono in grado di modificare il loro aspetto rendendo quasi impossibile il loro rilevamento con i metodi tradizionali. Gli adware raccolgono anonimamente i dati sulle abitudini di navigazione degli utenti trasferendoli a società di marketing, ma non prima di aver installato programmi di terze parti ad insaputa dell utente. Gli spyware possono intercettare informazioni sensibili prima della codifica per il trasferimento. In ogni metodo, questi malware riescono a fare quello per cui sono stati sviluppati: scavalcare le misure di sicurezza standard di un PC o di un network. Ora più che mai, dati come indirizzi, numeri di carte di credito, coordinate bancarie, password, network, piattaforme sociali di comunicazione e informazioni personali stanno diventando un bersaglio più facile per gli hacker e più difficili da proteggere. Prevenzione Alla luce di tutto questo, un amministratore di sistema responsabile si concentrerà principalmente sulla protezione dei dati. Con l assegnazione dei privilegi espliciti di accesso, l esecuzione frequente di backup dei dati e l implemento dei software antivirus più aggiornati e affidabili, l amministratore può respingere la maggior parte delle minacce rappresentate dai virus che attaccano la rete. Tuttavia, ogni nuovo software e ogni espansione del network danno ad un software dannoso l ennesima occasione per attaccare. Per affrontare

2 questa sfida, un ben definito processo che coinvolge gli sviluppatori di antivirus e la loro clientela è da ritenersi fondamentale al fine di ottenere un affidabile sistema di protezione antivirus, controllo dei virus e minimizzazione dei danni. Per questo motivo, vogliamo illustrare il nostro processo di verifica dei virus appena scoperti. 2. Il processo ad Avira passo dopo passo verso il controllo ottimale dei virus Il nostro metodo consiste nel lavorare assieme ai nostri clienti, allo scopo di fornire il più rapidamente possibile un modo per riparare i loro sistemi infetti. Per raggiungere questo obiettivo, iniziamo a collaborare attraverso il processo di controllo dei virus (vedi la panoramica sul processo in generale a pagina 7), utilizzando sequenze automatizzate con passi chiaramente strutturati. In questa sezione, descriviamo il nostro ruolo nel controllo dei virus. Rilevare i virus prima che si diffondano La prima linea di Internet Ventiquattro ore al giorno, sette giorni alla settimana, i nostri esperti di virus effettuano in laboratorio la scansione di Internet, monitorando forum e siti web per garantire il rilevamento e identificazione di virus, prima che questi ultimi possano minacciare i nostri utenti. Collaborazione Avira dà inizio, e sviluppa, ad un costante scambio di informazioni con altri controllori dei virus e sviluppatori di software professionali. Inoltre, la successiva cooperazione con altri laboratori di analisi (ICSA Labs, AVTest, AV Comparatives, Virus Bulletin, e EICAR) garantisce che le nostre informazioni siano sempre aggiornate. Contemporaneamente, gli strumenti di monitoraggio in tempo reale ci consentono di rilevare e intercettare i virus dannosi, affinché possano venire analizzati. Avvisi agli utenti Inoltre, i nostri clienti sono incoraggiati a inviarci i file che credono possano essere infetti da virus sconosciuti. Il rilevamento di un nuovo virus è quello che fa scattare il controllo del virus e processo di riparazione vero e proprio. 1 passo: Rilevamento di nuovi virus Nel campo del controllo dei virus e della sicurezza informatica Avira utilizza metodi all avanguardia, al fine di rilevare rapidamente nuove e non ancora determinate minacce virali. Procedure euristiche Invece di effettuare una semplice scansione dei «codici maligni», i metodi di rilevamento euristico monitorano l irregolare comportamento dell esecuzione di un normale codice di programma. I programmi che mostrano gli stessi modelli di comportamento tipicamente osservati nei virus (p.es.: accesso al settore boot, meccanismi di moltiplicazione integrati e routine per la distruzione dei dati) vengono classificati come «sospetto» e sottoposti ad un esame immediato. Allegati alle La frequenza di con allegati identici indica di solito la presenza di un Trojan, una minaccia alla sicurezza diffusa via . I nostri strumenti di monitoraggio consentono di registrare tempestivamente i focolai di questi virus e di esaminarne immediatamente la natura. 2

3 Avira Protection Cloud Oltre ai metodi di rilevazione già citati, Avira Cloud Protection fornisce uno strato di protezione estremamente efficace contro i virus e un ottimo strumento per identificare in modo aggressivo nuovi virus. Per fare questo, vengono determinate le «impronte» di file eseguibili (ad esempio,. exe o.dll) e messe a confronto con quelle incluse in un database esistente. Se un file possiede un tipo di impronta nota, questo file viene immediatamente bloccato. Questa tecnologia innovativa permette al Virus lab di far fronte alle nuove minacce in pochi secondi, classificandole come dannose e caricandole nel cloud. Una volta memorizzata l impronta nel Cloud Protection, il file infetto viene immediatamente bloccato su richiesta di tutte le altre applicazioni future. Naturalmente, il laboratorio di analisi dei virus di Avira provvederà in seguito ad effettuare un analisi approfondita della nuova rilevazione e, se necessario, verrà inserita nel nostro Offline Detection Engine (VDF Engine) dove può servire come avvertimento per tutti gli utenti di Avira. 2 passo: Definizione del virus (Analisi del virus) Ogni volta che viene scoperto un nuovo virus, gli esperti antivirus di Avira analizzano il codice del programma, per poi caratterizzarlo e definirlo. In questo modo siamo non solo in grado di definire il virus e capire la minaccia che rappresenta, ma anche di prevedere il suo comportamento e comprendere il modo con cui è stato creato e diffuso. Tutto questo ci fornisce capacità avanzate di comunicare agli utenti la vera natura della minaccia, persino quando lo sviluppo della soluzione è ancora in corso. Danno potenziale Infezioni segnalate Danno potenziale Moltiplicazione potenziale Esempio della definizione di un virus Medio Basso Medio 3 passo: Notifica costante ai clienti circa gli aggiornamenti di Avira Notifica immediata Non appena un aggiornamento di Avira è disponibile lo comunichiamo ai nostri clienti con la nostra newsletter e, naturalmente, tramite il sito web di Avira. Una volta fatto questo, il software del cliente Avira viene aggiornato grazie al servizio di aggiornamento automatico, il quale provvede a mantenere aggiornato il software antivirus. Avvisi sui virus attivi Inoltre, i clienti con speciali contratti di assistenza vengono ora avvisati immediatamente circa le nuove minacce via SMS, telefono, fax o - sia di giorno che di notte. Parallelamente alla notifica, provvediamo alla formazione del personale dedicato all assistenza, al fine che possa fornire ai nostri clienti istruzioni aggiornate e competenti. 4 passo: Ottimizzazione del Software Avira nel sistema di prova Rimedi Dopo aver individuato una minaccia, il passo successivo è quello di sviluppare una soluzione. Per trovarla, i nostri programmatori provvedono ad infettare di proposito un sistema utilizzato per i test con i virus più recenti. Essi sono in grado di determinare la stringa di ricerca che porta il profilo del virus e utilizzare questa informazione per aggiornare il file contenente la firma del virus. Ma non tutti i file sospetti sono dei virus. I falsi allarmi rappresentano uno spreco di risorse e sono potenzialmente molto costosi. Per combattere i falsi positivi, Avira utilizza un Intelligenza Artificiale innovativa (AI) - basata sulla procedura di classificazione delle stringhe di ricerca rispetto a possibili falsi allarmi. In base alla natura del virus e il suo effetto, le procedure di riparazione vengono implementate 3

4 direttamente nel software di Avira. Queste procedure di routine servono ad assistere i nostri clienti nell estrapolazione dei dati infetti e nel ripristino dell integrità del sistema. Garanzia di qualità Sebbene la velocità sia essenziale nello sviluppo di un programma antivirus aggriornato, prima di essere rilasciati gli aggiornamenti di Avira sono sottoposti ad una serie di rigorosi test. Le principali considerazioni sono: Avira ha identificato correttamente il virus con una precisione del 100%? Avira ha sviluppato uno strumento che garantisca la rimozione assoluta del virus? Avira ha restituito i file infetti al loro stato originale dopo aver effettuato la riparazione? L identificazione di un nuovo virus è in grado di prevenire la possibilità di emissione di un falso positivo? Solo dopo che la definizione dei virus e la soluzione soddisferà tutti questi criteri potremo procedere alla fase successiva. 6 passo: Rilascio dell aggiornamento di Avira Solo dopo aver superato questi test verranno rilasciati e caricati sul nostro webserver gli aggiornamenti di Avira. Il triangolo magico Una volta che un nuovo virus è stato identificato, di solito ci vuole un po di tempo prima che gli aggiornamenti di Avira siano resi disponibili. Naturalmente ci impegniamo a rilasciare i nuovi aggiornamenti non appena possibile, ma dobbiamo soddisfare contemporaneamente i nostri rigorosi standard interni, prima di poter rilasciare qualsiasi aggiornamento. In questo caso, il processo consiste nella realizzazione del «triangolo magico» nell ambito della gestione della qualità, il cui scopo è quello di raggiungere il più alto standard di qualità possibile rientrando nei parametri di una ragionevole politica dei prezzi. Politica dei prezzi considerando il cliente 5 passo: Generazione di un Update di Avira nel sistema di prova File di aggiornamento Aggiornamenti Veloci Alta Qualità L obiettivo di questo passo è assicurarsi che il nuovo software operi nel sistema dell utente senza problemi. Per raggiungere questo scopo, inviamo i nuovi file di Avira al nostro sistema di rilascio, il quale genera automaticamente i pacchetti di aggiornamento del programma, per poi aggiornare i file contenenti le informazioni da scaricare. Assicurare la qualità Questa fase è seguita anche dal controllo della qualità: in questo processo, utilizziamo il nostro server di «simulazione» per verificare se l aggiornamento automatico funziona correttamente sul sistema del cliente. 7 passo: Notificare ai clienti gli aggiornamenti di Avira Non appena un aggiornamento di Avira è disponibile lo comunichiamo ai nostri clienti con la nostra newsletter e, naturalmente, tramite il sito web di Avira. Una volta fatto questo, il software del cliente Avira viene aggiornato grazie al servizio di aggiornamento automatico, il quale provvede a mantenere aggiornato il software antivirus. 4

5 3. Il processo per il cliente passo dopo passo verso l integrità del sistema Protezione dei sistemi con il software di Avira Durante le operazioni quotidiane, Avira antivirus viene eseguito in background, proteggendo costantemente i sistemi dei nostri clienti da una vasta gamma di minacce, tra cui virus, worm e Trojan. Inoltre, invitiamo i nostri clienti ad inviare i file ritenuti sospetti al nostro team di supporto, al fine di aiutarci a scovare nuovi virus. 1 passo: Prendere immediate misure dopo il rilevamento di un virus Informazioni da Avira Quando nuovi virus minacciano i sistemi dei nostri clienti, provvediamo ad informarli tramite il nostro sito web. Ai clienti che hanno sottoscritto un contratto di assistenza siamo in grado di inviare notifiche via SMS, telefono, fax o . In questo modo, i nostri clienti saranno in grado di adottare misure di protezione immediate, anche quando il loro software antivirus è in fase di aggiornamento. A seconda del livello di rischio, le misure potenziali di protezione potenziale possono variare da una elevata sensibilità nei confronti degli allegati alle , oppure alla disattivazione totale dei servizi , fino alla sconnessione completa dalla rete. Ovviamente, quest ultima misura viene presa in considerazione solo nei casi in cui le minacce fossero particolarmente gravi. Sconnessione dalla rete Nei casi in cui l infezione fosse estremamente grave, viene presa in considerazione la sconnessione completa dalla rete. Se il pericolo rilevato è ritenuto abbastanza fondato, Avira può, in casi estremi, consigliare agli utenti di disconnettere completamente il loro PC dalla rete o da Internet. Riparazione Per garantire una protezione totale, è necessario che tutti i moduli di sicurezza di Avira siano sempre aggiornati. Con le configurazioni standard, questi aggiornamenti avvengono automaticamente tramite il sistema di aggiornamento 5 automatico dei prodotti. In alternativa, se il computer è sconnesso dalla rete, è possibile effettuare un aggiornamento offline. Per fare questo, è necessario un «Fuse bundle generator», che è disponibile per il download sul sito di Avira nella pagina Su sistema non infetto, il Fuse bundle generator scarica dapprima un aggiornamento completo. L archivio compilato può quindi essere installato sul sistema infetto attraverso la GUI di Avira. Dopo aver effettuato l aggiornamento deve essere eseguita una scansione completa del sistema. Dopo la scansione del sistema, Avira offre la possibilità di riparare le infezioni rilevate e spostare gli elementi in quarantena. Qualora il sistema di scansione non fosse sufficiente, il PC potrà essere riparato tramite un sistema live. Per questa misura, Avira mette a disposizione il sistema di salvataggio Antivir. 2 passo: Informare la tua azienda: avvisi sui virus Anche con una notifica tempestiva circa potenziali minacce virali, non è possibile escludere completamente eventuali danni. Tuttavia, essi possono essere drasticamente ridotti. Una grande percentuale di «incidenti» critici dovuti a virus avrebbero potuto essere facilmente evitati se molti utenti fossero stati semplicemente meglio informati. Questo è il motivo per cui, a parte la fornitura di soluzioni, Avira considera informare gli utenti circa le minacce uno dei compiti principali. Inoltro delle informazioni Avira trasmette sempre notizie e avvisi sui virus ai clienti il prima possibile. Nel caso di un nuovo allarme, un amministratore di sistema dedicato passa rapidamente questa informazione agli utenti colpiti, nei modi selezionati dagli utenti stessi. Prestare maggiore attenzione Va ricordato che, nonostante il notevole impegno di Avira, non c è nulla che possa sostituire atten-

6 zione e prudenza. La prima linea di difesa contro i malware è sempre stata la vigilanza: nessun antivirus può proteggere una rete da utenti negligenti. Pertanto, la protezione antivirus dipende dalla cooperazione fra utenti particolarmente prudenti, dotati di un attitudine che dovrebbe essere una seconda natura per coloro che appartengono ad una moderna, e tecnologicamente informata, forza lavoro. 3 passo: Effettuare gli aggiornamenti del software Quando è disponibile un aggiornamento di Avira, provvederemo a comunicarlo ai nostri utenti. In base al prodotto Avira utilizzato, gli utenti potranno anche ricevere aggiornamenti automatici. 4 passo: Rimozione del virus Una volta completati gli aggiornamenti, l utente può effettaure la scansione del proprio sistema e rilevare la presenza di attacchi da parte di malware o virus. Tutti i file che risultano infettati saranno isolati e, se possibile, riparati immediatamente. La natura del virus può influenzare notevolmente le possibili soluzioni: il fatto di rendere necessaria una cansione supplementare di un certo file o addirittura tutti i file dipende molto dal carattere del virus e dal sistema. La scelta di adottare misure specifiche spetta pertanto all amministratore, il quale verrà assistito anche da noi, nel caso si presentassero situazioni di questo genere. 5 passo: Ripristino dell integrità del sistema Lo scopo di questa fase è quello di ripristinare i dati del sistema allo stato precedente l attacco del virus. La complessità di questa misura dipende naturalmente dai danni causati dall attacco. 6 Riparazione dei danni Se la scansione del sistema non produce alcun risultato, allora non è necessario adottare alcuna speciale misura. Nei casi più estremi, la procedura può includere la scansione del sistema seguita da una riparazione automatica o dal back up totale del sistema. Come sempre, le misure che si renderanno necessarie dipendono dalla natura e dalla gravità dell infezione. Riattivazione dei servizi Dopo il ripristino del database, i servizi disattivati (come la posta elettronica) possono avere bisogno di essere riattivati. Quando necessario, Avira provvederà ad avvisare gli utenti. 6 passo: Revisione dell intero processo Domande critiche Alla fine, queste procedure di controllo della qualità e di recupero vengono esaminate a fondo nel corso di un accurata analisi. In questa fase, l intero processo, dalla rilevazione fino al recupero viene sottoposto ad una revisione che ci aiuterà a proporre sempre soluzioni migliori. Questa revisione consiste nel porci una serie di semplici domande: che cosa è andato bene? Che cosa è andato storto? Cosa abbiamo imparato? C è qualcosa che avremmo potuto fare meglio? Come possiamo evitare questi errori in futuro? Lezioni da imparare per il futuro Sebbene porci delle domande possa sembrare facile, trovare risposte utili è spesso molto più impegnativo. È qui che entra in gioco il livello della nostra competenza sui sistemi antivirus e possiamo incorporare il nostro know-how organizzativo. Naturalmente il nostro obiettivo immediato è quello di bloccare gli attacchi dei virus, ma il nostro obiettivo a lungo termine è quello di dare agli utenti la possibilità di avvalersi di strumenti efficaci con cui difendersi. Feedback ad Avira Avira si sforza per raggiungere la perfezione, ma la semplice verità è che nessuno è perfetto. È per questo motivo che Avira apprezza sempre le opinioni dei suoi utenti. Noi consideriamo critiche e lodi come strumenti preziosi che ci permettono di migliorare in continuazione e in modo più veloce ed efficace i sistemi di protezione contro le varie minacce che popolano il web.

7 4. Descrizione dell intero processo Cliente Rilevamento dei virus prima che si diffondano 1. Rilevamento di nuovi virus Appare un nuovo virus Operazione standard con il software di Avira aggiornato Nessun virus nel sistema 2. Caratterizzazione del virus (Analisi del virus) 3. Notifica di informazioni su nuovi virus 4. Ottimizzazione del software di Avira nel sistema di prova; controllo qualità 1. Adottamento di misure immediate per affrontare il pericolo 2. Comunicazione all azienda: virus alert Sistema sotto attacco virale 5. Generazione dell aggiornamento nel sistema di prova; controllo qualità 6. Avira rilascia l aggiornamento e lo carica sul server 3. Esecuzione di un aggiornamento del software Avira (automatico) 7. Invio delle newsletter; info sul network 4. Rimozione del virus 6. Revisione (controllo qualità) 5. Ripristino integrità del sistema Ripresa delle oerazioni normali Nessun virus nel sistema 7

8 5. Conclusione Considerando i vari pericoli rappresentati dai malware che minacciano il nostro mondo particolarmente interconnesso, un assicurazione completa contro i virus è più importante che mai. Pertanto, un efficace controllo dei virus si basa su due pilastri: L alta qualità del nostro software Una collaborazione stretta e professionale con i nostri clienti Avira: controllo dei virus al livello più elevato Made in Germany Non compromettiamo mai la qualità del nostro software. Tutti i nostri prodotti sono sviluppati e «Made in Germany» secondo alcuni dei più rigorosi standard a livello globale - indipendentemente dai subappaltatori o fornitori di servizi esterni. Abbiamo scelto di condurre ricerche sui virus e di analizzare questi ultimi nei nostri laboratori, al fine di essere più flessibili e più attivi possibile. Grazie alla gestione di Virus lab operanti in base a diversi fusi orari, noi di Avira garantiamo la nostra disponibilità in caso di attacchi disastrosi. Tecnologie all avanguardia Avira monitora attivamente le nuove tendenze e gli sviluppi nella sicurezza di Internet e li porta ad un ulteriore passo avanti. Un tipico esempio potrebbe essere il metodo di rilevamento euristico dal campo dell Intelligenza Artificiale (AI) utilizzato per classificare le firme dei virus. I nostri prodotti sono realizzati in conformità con le rigorose linee guida e sono orientati a processi di sviluppo ben definiti. Certificati Siamo stati in grado di dimostrare la qualità dei nostri prodotti in occasione di numerosi test. Recentemente abbiamo ricevuto certificati da parte di ICSA Labs ( BSI (Bundesamt für Sicherheit in der Informationstechnik, www. bsi.de), Stiftung Warentest ( dagli AV-Comparatives testing labs ( AV-Test ( e Virus Bulletin ( Abbiamo inoltre allacciato rapporti di collaborazione con CSI (Computer Security Institute, e l OP- SEC (Open Platform for Security, com). Maggiori informazioni sono reperibili sul nostro sito ( Noi e la nostra clientela operiamo assieme contro le minacce che popolano il web. Supporto in qualsiasi momento Assieme all alta qualità del nostro software i nostri clienti possono beneficiare di un servizio di supporto altrettanto professionale. Naturalmente la nostra clientela di lingua tedesca è sicuramente avvantaggiata da una certa vicinanza al nostro Servizio di assistenza operante in Germania, tuttavia, quando è necessario siamo sempre disposti ad adottare un approccio flessibile nei confronti delle varie necessistà di supporto richieste dagli altri clienti. Intersezioni In questo articolo abbiamo fatto del nostro meglio per chiarire la intersezione tra noi e i nostri clienti circa il nostro processo di controllo dei virus. Agendo insieme, otteniamo la massima protezione contro i pericoli presenti nella rete e siamo pronti per affrontare tutte le sfide che il futuro potrebbe riservarci Avira Operations GmbH & Co. KG. Tutti i diritti riservati. I nostri Termini e Condizioni Generali e il Contratto di licenza con l utente finale possono essere trovati in Internet: E & OE. Informazioni tecniche aggiornate a 6/2013. Avira Operations GmbH & Co. KG Kaplaneiweg Tettnang Germany Téléphone : Télécopie :