Bent u in de wolken met uw beveiliging?

Kunt u een computer veilig houden zonder lokaal software te installeren? Ware gelovigen van ‘the cloud’ zullen daar een welluidend "ja" op antwoorden. We zien dan ook dat veel beveiligingsapplicaties in die richting evolueren, hoewel er verschillende ideeën zijn over de implementatie.

Voor de meeste cloudapplicaties geldt dat de gebruiker ze alleen aanroept als er nood aan is. Beveiliging is een ander verhaal. Die software moet constant actief zijn om zo andere lopende processen en diensten op het lokale systeem te controleren. Ook moet beveiligingssoftware nieuw binnen gehaalde gegevens scannen om zo ongewenste code buiten te houden.

Malwaregolf
Ongewenste software, ook wel bekend als malware, kunnen criminelen zo snel aanpassen en opnieuw uitbrengen dat de traditionele manier van beveiligen, scannen op signaturen, niet toereikend is. In het jaar 2000 werden door Symantec 1.500 virussignaturen toegevoegd aan de herkenningsdatabank. In 2002 waren dat er 20.547, in 2005 113.025. In 2007 steeg dat aantal naar 624.467 om in 2008 uit te komen op 1,8 miljoen. Halverwege 2009 zit het aantal nieuwe signaturen al op 2,5 miljoen.

Het spreekt voor zich dat geen enkel bedrijf ter wereld zo snel de evolutie in het landschap kan bijbenen. Daarom zit in iedere moderne scanner een heuristische zoekmotor. Die herkent gevaarlijke code aan de hand van algemene patronen. Ook hebben de meeste fabrikanten in de laatste jaren proactieve bescherming toegevoegd die probeert onbekende dreigingen te herkennen door het gedrag van een toepassing te bestuderen. In de wedloop tussen beveiligers en malwareschrijvers is daar nu de cloud als nieuwe factor bijgekomen.

Deepguard
Het Finse F-Secure voegt onder de naam Deepguard 2.0 de cloud als nieuwe laag toe in haar beveiliging. Als een gebruiker in Windows een applicatie start, dan genereert de software een handtekening van de applicatie. Die handtekening wordt naar één van de Deepguard servers van F-Secure gestuurd.

De server vergelijkt de handtekening met lijsten van bekende veilige applicaties en van bekende onveilige applicaties. Staat de software dankzij zijn handtekening te boek als veilig, dan gebeurt er niets. Staat de software bekend als onveilig, dan blokkeert F-Secure de uitvoering.

Gaat het om een onbekende applicatie, dan worden er automatische tests op gedraaid in een veilige omgeving. Mocht het om malware blijken te gaan, dan wordt de handtekening onmiddellijk aan de database toegevoegd. F-Secure claimt op die manier beveiliging voor nieuwe dreigingen binnen zestig seconden aan de databank te kunnen toevoegen, wat wereldwijde infecties moet voorkomen.

Collective intelligence
Onder de naam Collective intelligence biedt het Spaanse Panda Security een soortgelijke beveiliging. Die dienst maakt ook al gebruik van een serverpark waar gebruikers mee verbonden worden. Ook daar wordt gewerkt met blacklists en whitelists om applicaties automatisch te blokkeren of toe te staan. Onbekende applicaties worden uitgebreider bekeken en op die manier analyseert Panda naar eigen zeggen 50.000 nieuwe samples van potentiële malware per dag.

Het bedrijf gebruikt de technologie in een zogenaamde ‘thin client scanner’. Normale scanners vragen veel van een computer omdat er flinke databanken met signaturen gebruikt moeten worden, die dan ook nog eens up-to-date moeten blijven. De thin client scanner maakt exclusief gebruik van de cloud om voor beveiliging te zorgen, legt zo minder druk op het systeem en is altijd up-to-date.

Reputatie
Symantec, het grootste computerbeveiligingsbedrijf ter wereld, is van mening dat die pure signatuurgebaseerde cloudoplossingen niet genoeg nieuw gewicht in de schaal leggen tegen de dagelijkse vloedgolf van verse virussen. Ze wijzen erop dat hoewel de reactietijd van de beveiligers dankzij de cloud toeneemt, de industrie op die manier toch in de rol van een reagerende verdediger blijft. Nieuwe virussen komen uit en pas dan wordt er actie ondernomen.

In haar cloudoplossing voegt Symantec daarom een nieuwe techniek toe die mee geïnspireerd is op het reputatiesysteem van online winkels en veilingen. Voor ieder bestand worden een aantal factoren in overweging genomen om er een reputatie aan te geven. Daaronder valt onder meer de vraag wie de producent van de software is, bij hoeveel gebruikers het draait, hoe oud de toepassing is en of het bestand door Symantec is getest.

Bekende veilige applicaties worden doorgelaten en bekende slechte software wordt geblokkeerd. Is het nog onbekende software, dan wordt aan de hand van de reputatie een beslissing genomen. Is het bijvoorbeeld software die een paar uur oud is, dan krijgt de gebruiker een waarschuwing in de trend van: "Deze software is pas twee uur oud, wordt slechts door een enkeling gebruikt en is niet door ons gecontroleerd. Wij raden u aan om even te wachten voor u het uitvoert."

Daar zijn, naar gelang de reputatie van de producent, weer uitzonderingen op te bedenken. Zo kan een update van de Adobe Reader wellicht maar vijf minuten oud zijn, en nog door amper iemand gebruikt worden, toch zal de scanner, ook gebaseerd op de reputatie van Adobe, daar niet ingrijpen.

De cloud is voor beveiligers een nieuw speelveld maar lijkt essentieel te worden in een wereld waar in een half jaar tijd 2,5 miljoen nieuwe ongewenste applicaties verschijnen. De implementatie mag dan wel verschillen, Panda brengt een pure cloudscanner, F-Secure combineert de cloud met traditionele oplossingen en Symantec breidt technologie uit met reputatie, maar de nieuwe richting voor 2010 is duidelijk. Ook beveiliging gaat de wolken in.