Apuntes de Seguridad Informatica y virus

La Deteccion Basada En Firmas - Antivirus - Resumen Basico

2022-07-19T03:28:00.005-05:00

La Detección Basada En Firmas

- Antivirus -

------------------- --------------------- ----------------------

Es un método de funcionamiento de los antivirus y sistemas de detección de intrusos, en el que un programa, al buscar un archivo o paquete, consulta un diccionario de virus conocidos compilado por los autores del programa. Si alguna parte del código del programa que se está viendo coincide con el código conocido ( firma ) del virus en el diccionario, el programa antivirus puede tomar una de las siguientes acciones:

· Eliminar el archivo infectado.

· Envíe el archivo a "cuarentena" (es decir, haga que no esté disponible para su ejecución a fin de evitar una mayor propagación del virus).

· Intente restaurar el archivo eliminando el virus del cuerpo del archivo.

Para lograr un éxito a largo plazo al utilizar este método, es necesario actualizar periódicamente el diccionario de virus conocidos con nuevas definiciones (principalmente en línea ).

Los usuarios con mentalidad cívica y con conocimientos técnicos, después de haber descubierto un nuevo virus "en vivo", pueden enviar el archivo infectado a los desarrolladores de software antivirus, quienes estudiarán el virus, extraerán su firma y luego incluirán la firma recibida del nuevo virus en el diccionario.

Los programas antivirus, basados en la definición de virus del diccionario, generalmente analizan archivos cuando el sistema informático crea, abre, cierra o envía archivos por correo electrónico. Por lo tanto, los virus pueden detectarse inmediatamente después de que ingresan a la computadora y antes de que puedan causar algún daño. Cabe señalar que el administrador del sistema puede configurar un programa para el programa antivirus, según el cual se pueden ver (analizar) todos los archivos en el disco duro.

Aunque los programas antivirus basados en la definición del diccionario de un virus pueden, en circunstancias normales, ser bastante efectivos para detener los ataques informáticos, los creadores de virus intentan mantenerse medio paso por delante de dichos programas antivirus mediante la creación de "oligomorfos", " polimórficos " y los virus " metamórficos " » más nuevos, en los que partes del código se reescriben, modifican, cifran o distorsionan de modo que es imposible coincidir con la definición en el diccionario de virus.

Uno de los métodos de escaneo de hardware es escanear el flujo de datos en el camino con un dispositivo especial llamado coprocesador de contexto.

Creación y distribución de firmas.

Las firmas antivirus se crean como resultado de un análisis minucioso de varias copias de un archivo que pertenece a un virus. La firma debe contener solo líneas únicas de este archivo, tan específicas como para garantizar la mínima posibilidad de falsos positivos , la principal prioridad de cualquier empresa de antivirus.

El desarrollo de firmas es un proceso manual que es difícil de automatizar. A pesar de mucha investigación sobre la generación automática de firmas, el creciente polimorfismo (y "metamorfismo") de virus y ataques hace que las firmas sintácticas carezcan de sentido. Las empresas de antivirus se ven obligadas a liberar una gran cantidad de firmas para todas las variantes del mismo virus, y si no fuera por la ley de Moore, ninguna computadora moderna sería capaz de terminar de escanear una gran cantidad de archivos con tal masa de firmas en un tiempo razonable. Así, en marzo de 2006, el escáner Norton Antivirus detectó 72.131 virus y la base de datos del programa contenía unas 400.000 firmas.

En su forma actual, las bases de datos de firmas deben actualizarse regularmente, ya que la mayoría de los antivirus no pueden detectar nuevos virus por sí mismos. Cualquier propietario de software basado en firmas está condenado a depender periódicamente de las actualizaciones de firmas, que es la base del modelo de negocio de los fabricantes de antivirus e IDS.

• IDS.- sistemas de detección de intrusos

La entrega oportuna de nuevas firmas a los usuarios también es un desafío importante para los proveedores de software. Los virus y gusanos modernos se propagan a tal velocidad que, cuando se libera una firma y se envía a las computadoras de los usuarios, es posible que la epidemia ya haya llegado a su clímax y haya envuelto al mundo entero. Según los datos publicados, la entrega de la firma tarda entre 11 y 97 horas, según el fabricante, mientras que, en teoría, un virus puede apoderarse de Internet en menos de 30 segundos.

En la mayoría del software de seguridad, la base de datos de firmas es el núcleo del producto, la parte más valiosa y que consume más tiempo. Esta es la razón por la que la mayoría de los proveedores prefieren mantener sus firmas en privado, aunque hay una serie de software de código abierto en esta área (por ejemplo, ClamAV ), así como investigaciones sobre ingeniería inversa de firmas propietarias. The Virus Bulletin publicó regularmente nuevas firmas de virus hasta el año 2000.

Desventajas y ventajas de las firmas sintácticas

· Le permite determinar un ataque específico con alta precisión y una pequeña proporción de llamadas falsas

· Vulnerable a virus polimórficos y versiones modificadas del mismo virus

· Requiere actualizaciones regulares y extremadamente rápidas

· Requiere un minucioso análisis manual de virus

· No se pueden detectar nuevos ataques

El método de escaneo heurístico está diseñado para mejorar la capacidad de los escáneres para aplicar firmas y reconocer virus modificados en los casos en que la firma no coincida con el cuerpo de un programa desconocido en un 100 %. Sin embargo, esta tecnología se usa con mucho cuidado en los programas modernos, ya que puede aumentar el número de falsos positivos.

Firma De Ataque

Firma de ataque (virus): rasgos característicos de un virus informático utilizado para detectarlos. La mayoría de los antivirus, escáneres de vulnerabilidades y sistemas de detección de intrusos (IDS) modernos utilizan firmas de " sintaxis " tomadas directamente del cuerpo del ataque ( un archivo de virus o un paquete de red que pertenece a un exploit ). También hay firmas basadas en comportamiento o anomalías, por ejemplo, acceder a un puerto de red en una computadora de manera demasiado agresiva.

Un ejemplo de firma del cuerpo del virus Email-Worm.Win32.Happy, publicado en la revista Virus Bulletin :

feliz año nuevo 1999

--------------------------------------------------- -------------------- ------------------------

Bibliografia:

Enciclopedia Moderna, Enciclopedia Britanica® 2011

Nueva Enciclopedia Tematica Grolier 2012

Enciclopedia Microsoft® Encarta® 2009.
https://www.ecured.cu

www.wikipedia.org

Enciclopedia de Conocimientos Fundamentales - UNAM - Siglo XXI

-------------------------- -----------------------

El Análisis Antivirus De Firmas - Resumen Basico

2022-07-19T03:24:00.001-05:00

El Análisis Antivirus De Firmas

------------------- --------------------- ----------------------

El análisis antivirus de firmas es uno de los métodos de protección antivirus, que consiste en identificar las propiedades identificativas características de cada virus y buscar virus comparando archivos con las propiedades identificadas. Una de las propiedades importantes del análisis de firmas es la determinación exacta del tipo de virus. Esto le permite ingresar firmas y métodos de tratamiento del virus en la base de datos.

· SOA (sistema de detección de ataques).

Una firma de virus es un conjunto de ciertas propiedades que permiten identificar de manera única la presencia de un virus en un archivo, incluso en el caso de que el archivo en sí sea un virus. Una firma de ataque puede ser: una cadena de caracteres, una expresión semántica en un lenguaje especial, un modelo matemático formal, etc.

Firma De Ataque

Firma de ataque (virus): rasgos característicos de un virus informático utilizado para detectarlos. La mayoría de los antivirus, escáneres de vulnerabilidades y sistemas de detección de intrusos (IDS) modernos utilizan firmas de " sintaxis " tomadas directamente del cuerpo del ataque ( un archivo de virus o un paquete de red que pertenece a un exploit ). También hay firmas basadas en comportamiento o anomalías, por ejemplo, acceder a un puerto de red en una computadora de manera demasiado agresiva.
Un ejemplo de firma del cuerpo del virus Email-Worm.Win32.Happy, publicado en la revista Virus Bulletin :
- feliz año nuevo 1999 -

Tecnología de análisis de firma

La extracción de firmas la llevan a cabo expertos en el campo de la virología informática, que pueden extraer el código del virus del código del programa y formular sus propiedades características en la forma más buscable. Casi todas las empresas que desarrollan software antivirus tienen su propio equipo de especialistas que analizan nuevos virus y agregan nuevas firmas a la base de datos antivirus.

El algoritmo de funcionamiento del método de firma se basa en la búsqueda de firmas de ataque en los datos de origen recopilados por la red y los sensores host del SOA (sistema de detección de ataques). Al detectar la firma requerida, SOA registra el hecho de un ataque de información que corresponde a la firma encontrada.

El número de firmas no es igual al número de virus detectados, porque a menudo se utiliza la misma firma para detectar una familia de virus similares.

Métodos de firma para detectar ataques

Uno de los métodos de firma más comunes para detectar ataques es el método de búsqueda contextual de un determinado conjunto de caracteres en los datos de origen. Este método le permite detectar ataques de manera efectiva en función del análisis del tráfico de la red, ya que este método le permite establecer con mayor precisión los parámetros de la firma que debe detectarse en el flujo de datos de origen.

Otro método es el método de análisis de estado, que genera firmas de ataque en forma de una secuencia de transiciones IS de un estado a otro. Además, cada transición de este tipo está asociada con la ocurrencia de ciertos eventos en el IS, que se determinan en los parámetros de la firma del ataque.

Los métodos basados en sistemas expertos permiten describir modelos de ataque en lenguaje natural con un alto nivel de abstracción. El sistema experto que subyace a los métodos de este tipo consta de una base de hechos y una base de reglas. Los hechos son los datos iniciales sobre el trabajo del SI, y las reglas son métodos de inferencia lógica sobre un ataque basados en la base de hechos existente. Todas las reglas del sistema experto están escritas en el formato "si <...>, entonces <...>". La base de reglas resultante debe describir las firmas de ataque que la SOA debe detectar.

Ventajas y desventajas

Las ventajas del método de firma son:

· alto rendimiento;

· un pequeño número de errores del segundo tipo ;

· validez de las decisiones.

Desventaja del método de firma:

· inadecuado para la protección contra nuevos virus;

Para obtener una firma, debe tener una muestra del virus. Es imposible crear una firma hasta que un nuevo virus haya sido analizado por expertos. Desde el momento en que aparece un virus en Internet hasta el momento en que se liberan las firmas pasan, en promedio, varias horas. Las herramientas de protección adicionales utilizadas en los programas antivirus, así como los métodos heurísticos, ayudan a proteger contra nuevos virus.

--------------------------------------------------- -------------------- ------------------------

Bibliografia:

Enciclopedia Moderna, Enciclopedia Britanica® 2011

Nueva Enciclopedia Tematica Grolier 2012

Enciclopedia Microsoft® Encarta® 2009.
https://www.ecured.cu

www.wikipedia.org

Enciclopedia de Conocimientos Fundamentales - UNAM - Siglo XXI

-------------------------- -----------------------

La Eficacia De Los Antivirus - Resumen Basico

2022-07-19T02:54:00.002-05:00

La Eficacia De Los Antivirus.

------------------- --------------------- ----------------------

La empresa de análisis Imperva publicó un estudio como parte del proyecto Hacker Intelligence Initiative , que muestra la baja eficiencia de la mayoría de los antivirus en condiciones reales.

Según los resultados de varias pruebas sintéticas, los antivirus muestran una eficiencia promedio de alrededor del 97%, pero estas pruebas se realizan en bases de datos de cientos de miles de muestras, la gran mayoría de las cuales (quizás alrededor del 97%) ya no se utilizan para ataques

La pregunta es qué tan efectivos son los antivirus contra las amenazas más apremiantes. Para responder a esta pregunta, Imperva y estudiantes de la Universidad de Tel Aviv obtuvieron 82 muestras del último malware de foros clandestinos rusos y lo probaron contra la base de datos VirusTotal, es decir, contra 42 motores antivirus. El resultado fue desastroso.

La eficacia de los antivirus contra el malware recién compilado resultó ser inferior al 5 %. Este es un resultado completamente lógico, ya que los creadores de virus siempre los comparan con la base de datos de VirusTotal.

Desde la aparición del virus hasta el comienzo de su reconocimiento por parte de los antivirus, transcurren hasta cuatro semanas. Este indicador lo logran los antivirus "elite", y para otros antivirus, el período puede alcanzar hasta 9-12 meses. Por ejemplo, al comienzo del estudio el 9 de febrero de 2012, se probó una muestra nueva de un instalador falso de Google Chrome. Tras la finalización del estudio el 17 de noviembre de 2012, solo 23 de los 42 antivirus lo detectaron.

Los antivirus con mayor porcentaje de detección de malware también tienen un alto porcentaje de falsos positivos.

Aunque el estudio difícilmente puede llamarse objetivo, debido a que la muestra de malware fue demasiado pequeña, se puede suponer que los antivirus son completamente inadecuados contra las nuevas ciberamenazas.

--------------------------------------------------- -------------------- ------------------------

Bibliografia:

Enciclopedia Moderna, Enciclopedia Britanica® 2011

Nueva Enciclopedia Tematica Grolier 2012

Enciclopedia Microsoft® Encarta® 2009.
https://www.ecured.cu

www.wikipedia.org

Enciclopedia de Conocimientos Fundamentales - UNAM - Siglo XXI

-------------------------- -----------------------

El Programa Antivirus - Resumen de Lo Basico

2022-07-19T02:45:00.002-05:00

El Programa Antivirus

------------------- --------------------- ----------------------

( antivirus, herramienta de protección antivirus, herramienta de detección de malware ) es un programa especializado para detectar virus informáticos , así como programas no deseados (considerados maliciosos ) y recuperar archivos infectados (modificados) por dichos programas y prevención: prevención de infecciones (modificaciones) de archivos o del sistema operativo por código malicioso.

Los primeros antivirus aparecieron a fines de la década de 1980, es difícil establecer de manera inequívoca el momento de su aparición. Los pioneros fueron AntiVir y Dr. Solomon's Anti-Virus Toolkit , creado en 1988, y Symantec antivirus para Macintosh , lanzado un año después.

Métodos de protección antivirus

Se utilizan tres grupos de métodos para protegerse contra los virus:

· Métodos basados en el análisis del contenido de archivos (tanto archivos de datos como archivos con códigos de comando). Este grupo incluye el análisis de firmas de virus, así como la comprobación de integridad y el análisis de comandos sospechosos.

· Métodos basados en seguimiento del comportamiento de los programas durante su ejecución. Estos métodos consisten en registrar todos los eventos que amenazan la seguridad del sistema y ocurren durante la ejecución real del código que se está verificando o durante su emulación de software.

· Métodos de regulación del orden de trabajo con archivos y programas. Estos métodos son medidas administrativas de seguridad.

El método de escaneo de firma ( análisis de firma, método de firma) se basa en la búsqueda de archivos para una secuencia única de bytes: firmas , característico de un virus en particular. Para cada virus recién descubierto, los especialistas del laboratorio antivirus analizan el código, en base a lo cual se determina su firma. El fragmento de código resultante se coloca en una base de datos especial de firmas de virus que con el que trabaja el programa antivirus. La ventaja de este método es una proporción relativamente baja de falsos positivos, y la principal desventaja es la imposibilidad fundamental de detectar un nuevo virus en el sistema para el cual no hay firma en la base de datos del antivirus. -programa de virus, por lo que se requiere la actualización oportuna de la base de datos de firmas.

El método de control de integridad se basa en el hecho de que cualquier cambio inesperado e irracional de datos en el disco es un evento sospechoso que requiere una atención especial del sistema antivirus. El virus necesariamente deja constancia de su presencia (cambios en los datos de los archivos existentes (especialmente del sistema o ejecutables), aparición de nuevos archivos ejecutables, etc.). El hecho del cambio de datos - violación de la integridad - se establece fácilmente comparando la suma de comprobación(resumen) calculado de antemano para el estado inicial del código bajo prueba, y la suma de comprobación (resumen) del estado actual del código bajo prueba. Si no coinciden, la integridad se rompe y hay muchas razones para realizar una verificación adicional de este código, por ejemplo, escaneando las firmas de virus. Este método funciona más rápido que el método de escaneo de firmas, ya que el cálculo de sumas de verificación requiere menos cálculos que las operaciones de comparación byte a byte de fragmentos de código, además, le permite detectar rastros de la actividad de cualquier virus, incluso desconocido. no es, para los que aún no hay firmas en la base de datos.

El método de escaneado de comandos sospechosos ( escaneo heurístico, método heurístico ) se basa en la detección de una serie de comandos sospechosos y/o signos de secuencias de código sospechosas en el archivo escaneado (por ejemplo, un comando de formato de disco duro o una función de inyección en un proceso en ejecución o código ejecutable). Después de eso, se hace una suposición sobre la naturaleza maliciosa del archivo y se toman medidas adicionales para verificarlo. Este método tiene un buen rendimiento, pero muy a menudo no es capaz de detectar nuevos virus .

Método de seguimiento del comportamiento del programa es fundamentalmente diferente de los métodos de escaneo de contenido de archivos mencionados anteriormente. Este método se basa en el análisis del comportamiento de los programas en ejecución, comparable a la captura de un criminal "de la mano" en la escena del crimen. Las herramientas antivirus de este tipo requieren a menudo de la participación activa del usuario, al que se le pide que tome decisiones en respuesta a numerosas advertencias del sistema, una parte importante de las cuales pueden convertirse posteriormente en falsas alarmas. La frecuencia de falsos positivos (sospechar de un virus por un archivo inofensivo u omitir un archivo malicioso) cuando se supera un cierto umbral hace que este método sea ineficaz y el usuario puede dejar de responder a las advertencias o elegir una estrategia optimista (permitir todas las acciones a todos los que se ejecutan). programas o desactivar esta característica de la herramienta antivirus). Cuando se utilizan sistemas antivirus que analizan el comportamiento de los programas, siempre existe el riesgo de ejecutar comandos de código de virus que pueden dañar la computadora o la red protegida. Para eliminar esta deficiencia, más tarde se desarrolló un método de emulación (imitación) que le permite ejecutar el programa bajo prueba en un entorno creado artificialmente (virtual), que a menudo se denomina caja de arena ( sandbox ), sin el peligro de dañar el entorno de información. El uso de métodos para analizar el comportamiento de los programas ha demostrado su alta eficiencia en la detección de malware tanto conocido como desconocido.

Los principales tipos de programas antivirus.

· Los programas detectores brindan búsqueda y detección de virus en la RAM y en medios externos, y al detectarlos emiten un mensaje correspondiente. Hay detectores universales y especializados .

· Los programas médicos (fagos) no solo encuentran archivos infectados por virus, sino que también los "curan", es decir, eliminan el cuerpo del programa de virus del archivo, devolviendo los archivos a su estado original. Al comienzo de su trabajo, los fagos buscan virus en la RAM, los destruyen y solo luego proceden a "tratar" los archivos. Entre los fagos se distinguen los polífagos, es decir, programas médicos diseñados para buscar y destruir una gran cantidad de virus. Dado que constantemente aparecen nuevos virus, los programas de detección y los programas médicos se vuelven rápidamente obsoletos y se requieren actualizaciones periódicas de sus versiones.

· Los programas de auditoría se encuentran entre los medios más confiables para protegerse contra los virus. Los auditores recuerdan el estado inicial de los programas, directorios y áreas del sistema del disco cuando la computadora no está infectada con un virus, y luego, periódicamente o a pedido del usuario, comparan el estado actual con el original. Los cambios detectados se muestran en la pantalla del monitor. Por regla general, los estados se comparan inmediatamente después de cargar el sistema operativo. Al comparar, se verifican la longitud del archivo, el código de control cíclico (suma de verificación del archivo), la fecha y hora de la modificación y otros parámetros.

· Los programas de filtro (watchmen) son pequeños programas residentes diseñados para detectar acciones sospechosas durante el funcionamiento de la computadora que son características de los virus.

· Los programas de vacunas (inmunizadores) son programas residentes que previenen la infección de archivos. Las vacunas se usan si no hay programas médicos que “traten” este virus. La vacunación solo es posible contra virus conocidos. La vacuna modifica el programa o disco de forma que no afecta a su funcionamiento, y el virus los percibirá como infectados y por tanto no arraigará. Un inconveniente importante de estos programas es su capacidad limitada para prevenir la infección de una gran cantidad de virus diferentes.

Clasificaciones de los programas antivirus.

Los programas antivirus se dividen por ejecución (herramientas de bloqueo) en:

software;

software y hardware.

Sobre la base de la ubicación en la memoria de acceso aleatorio asignada:

• residente (comienzan su trabajo cuando se inicia el sistema operativo, están constantemente en la memoria de la computadora y verifican automáticamente los archivos);

• no residente (puesta en marcha a petición del usuario o de acuerdo con el horario fijado para éste).

Según el tipo (método) de protección contra virus, existen:

· Los programas detectores, o escáneres , encuentran virus en la RAM, en medios internos y (o) externos, y muestran un mensaje cuando se detecta un virus.

· Los programas médicos (fagos , polífagos) encuentran archivos infectados y los “curan”. Entre este tipo de programas, existen polífagos que son capaces de eliminar varios tipos de virus, siendo los más famosos los antivirus polífagos Norton AntiVirus , Doctor Web , Kaspersky Antivirus .

· Los programas vacunales (inmunizadores) inmunizan el sistema (archivos, directorios) bloqueando la acción de los virus.

· Los programas Auditor son los más fiables en cuanto a protección contra virus. Los auditores recuerdan el estado inicial de los programas, directorios, áreas del sistema del disco hasta que la computadora se infectó (como regla, según el cálculo de las sumas de verificación), luego comparan el estado actual con el inicial, mostrando los cambios encontrados en la pantalla.

· Los programas de monitoreo comienzan su trabajo cuando se inicia el sistema operativo, están constantemente en la memoria de la computadora y verifican automáticamente los archivos según el principio "aquí y ahora".

· Los programas de filtrado (watchdogs) detectan el virus en una etapa temprana, antes de que comience a multiplicarse.

· Los programas de vigilancia son pequeños programas residentes cuyo propósito es detectar acciones que son características de los virus.

--------------------------------------------------- -------------------- ------------------------

Bibliografia:

Enciclopedia Moderna, Enciclopedia Britanica® 2011

Nueva Enciclopedia Tematica Grolier 2012

Enciclopedia Microsoft® Encarta® 2009.
https://www.ecured.cu

www.wikipedia.org

Enciclopedia de Conocimientos Fundamentales - UNAM - Siglo XXI

-------------------------- -----------------------