Antivirus i datorn heldött….
Skulle egentligen ha bloggat om detta tidigare, men fastnade tyvärr i en massa möten under dagen. Ibland så kommer sådana detaljer i vägen för det livsviktiga bloggandet. 
Men iaf, here goes:
Det pågår just nu en intensiv debatt på IDG.se/Computer Sweden efter en artikel med den fyndiga rubriken: Antivirus i datorn heldött. Rekommendation: LÄS
Det är en riktigt bra artikel där bl.a. vår moln-baserade agent, Nano AV, tas upp. Nano AV är idag implementerat i vår gratis-version, Panda Cloud Antivirus (beta), som du lätt kan tanka hem och testa vad den går för på http://www.cloudantivirus.com/.
Om man läser kommentarerna till artikeln (89 stycken när detta skrivs och det växer hela tiden) så kan se man att finns en hel del frågor/funderingar på exakt vad som menas med moln-baserat antivirus och hur det fungerar.
Tänkte ta tillfället i akt och förklara lite mer om hur just Panda Securitys moln-teknologi fungerar, vilket skiljer sig ganska mycket från de andra leverantörernas existerande moln-teknologier, iaf så vitt jag vet.
En av de största frågorna som dykt upp bland kommenterna som t.ex. signaturen Tallviking ställer är:
Hur funkar det med ett molnbaserat antivirusprogram på en bärbar dator som är offline och någon stoppar in en infekterad USB-sticka ??
Det korta svaret på den frågan är: Om klienten är offline så kommer den att använda sig av en lokal signaturdatabas som finns på klienten, när klienten är online så kör den via molnet, offline -> lokala signaturer.
Ett mer utförligt svar på den frågan hittar du i en intervju på Softpedia med Panda Security’s Senior Research Advisor Pedro Bustamante som även driver Panda’s research-blogg:
Softpedia: On the Panda Cloud Antivirus blog, you mention that when there is no Internet connection available, the antivirus will use a locally stored cache of the Collective Intelligence. Since it’s obvious that this cache gets updated regularly, isn’t this similar to the signatures update of a classic antivirus program? Please elaborate.
Pedro Bustamante: Yes, as mentioned above, Panda Cloud Antivirus keeps a local cache of Collective Intelligence which gets updated as needed. However, it’s not quite the same as the traditional signature updates which are always incremental (always adding signatures, not taking them out). The local cache of Panda Cloud Antivirus is a “moving target” of what the community “sees” out there circulating in the wild. The fact that we’re not relying on signature updates as the main protection model anymore, relieves us from having to push down very frequent updates to the client, with the bandwidth consumption and CPU/RAM consumption for patching and loading the signature file which that process ends up eating.
The local cache also includes other types of generic signatures, generic disinfection routines and non-PE signatures. These are used mostly for off-line operation and for certain type of malware. The local cache contains less than 10% of the full knowledge of Collective Intelligence. We believe that as malware becomes more and more dynamic and the number of total malware continues growing exponentially, this % will be reduced over time.
En annan stor fundering som har dykt upp bland kommentarerna till artikeln är frågan om det inte tar sjukt lång tid att ladda upp varje fil på datorn till molnet för analys?
Svaret på den frågan är enkelt: Vi laddar inte upp varje fil på datorn till molnet för analys utan vi gör kryptografiska hashar på filen, processen etc. och skickar upp den hashen till molnet för analys. Om det är fil/process etc som är helt okänd sedan tidigare (dvs inte redan kategoriserad som trojan.xyz eller legitim applikation) så kan agenten skicka processens beteende-mönster för analys till molnet och utifrån detta så kan Collective Intelligence analysera och klassificiera filen som skadlig eller ej. För fler frågor och svar om Panda Cloud Antivirus så kika på FAQ-sidan på blog.cloudantivirus.com.
Kort sagt, moln-baserat AV väcker en del frågeställningar och funderingar och det är viktigt att vi som levererar dessa teknologier kan svara på alla era frågor. Tog endast upp de största frågorna från kommentarerna i artikeln men jag vet att det finns 1000 andra frågor som ni inte fått svar på. Ta tillfället i akt och ställ alla era frågor om Collective Intelligence, Panda Cloud Antivirus och dylikt genom att använda kommentarsfältet på denna blogg eller maila mig (sza[@]pcm.se, ta bort [] för att få till rätt adress) så ska jag göra mitt bästa för att svara på era frågor och publicera dem på denna blogg så att alla får tillgång till kunskapen.
Önskar er alla en riktigt trevlig midsommar i förskott!
//Sebbe
Senaste kommentarerna