A Hacktivity előadásom témája röviden összefoglalva a különböző antivírus termékekhez kapcsolódó állítások és a valóság ütköztetése volt - nem feltétlenül kellett ott lenni a MOM-ban ahhoz, hogy az ember kitalálja a konklúziót. Az előadás előtt és után is alkalmam volt beszélni néhány emberrel mind az offenzív, mind a defenzív oldalról, és elmondhatom, hogy a szakmán belül a tényeket illetően végül is nagy az egyetértés, a tények értelmezésekor viszont sokszor külön dimenziókban mozgunk.

Mivel amúgy is hiányolom a blogról a régről megszokott, konstruktív hozzászólásokat, az alábbiakban a Hacktivity előadásom followup-ját vegyítettem egy kis flamebait-tel, hátha kaput tudunk nyitni a Vendor Világba!

0. Aranypecsét, tízcsillag, 100%

Ahogy azt az előadásomban is említettem, a kártevőkkel vívott küzdelem szélmalomharc, erre hozhatunk utazó ügynökös, megállási problémás, és egyéb matematikai analógiákat, de a legjobb, ha elkezdünk malware elemzéssel foglalkozni, hogy belássuk: rendkívül nehéz megállapítani tetszőleges adatállomány célját vagy előrejelezni a viselkedését egy adott rendszerben. 

Ennek ellenére minden egyes antivírus termékhez jár egy plecsni, amivel X "független" "szakértő" tanúsítja, hogy az adott termék tökéletes védelmet nyújt az ismert kártevőkkel szemben, és manapság már az sem ritka, hogy az ismeretlen támadásokkal szemben is szinte 100%-os védelmet ígérnek. 

Ezen állítások abszurditásának belátásához elég becsomagolnunk tetszőleges őskövületet valamilyen egyedi packerrel (vagy még ennyire sincs szükség), vagy vetni egy pillantást a Matousec eredményeire (akik - mint utólag kiderült - pár évvel megelőztek az általam bemutatott kutatással...).

Amíg az ilyen félrevezető eredményeket produkáló tesztlaborok általános elismertségnek örvendenek, esély sincs arra, hogy érdemi változás történjen ezen a fronton. 

1. "Security"

Ma már nem "Antivirus"-okkal (meg "vírusölőkkel") dolgozunk, hanem minden féle "Internet Security", "Client Security", "Endpoint Security" és még ki tudja milyen csomagokkal, melyek nevükben és sales kommunikációjukban is teljeskörű védelmet ígérnek, miközben számtalan alkalommal megmutatták, hogy nem csak, hogy nem teljeskörű ez a védelem, de adott esetben éppen a tartományban korlátlan hatalommal felruházott biztonsági szoftver jelentheti a támadók legvonzóbb belépési pontját.

2. "Telepíted, működik"

Nincs pofám ezerháromszázharminchetedszerre is idézni ezt az esszét, de felhívnám a figyelmet, hogy a biztonságot nem csak makro, de mikro szinten sem szabad önjáró termékként kezelni. Az elmúlt hónapokban kezem közé akadt több tucat termék jelentős részben ugyanakkor nagyjából akkora mozgásteret adott az adminisztrátornak, mint egy egybillentyűs írógép - nehogy szegény júzer összezavarodjon. Ez egy otthoni felhasználásra szánt terméknél még csak-csak elfogadható lehet (bár a gondolkodásról lenevelést soha sem tartottam jó stratégiának), de vállalati kategóriában ez a megközelítés szerény véleményem szerint elfogadhatatlan.

3. "Nekünk arra kell koncentrálni, hogy a kártevő be se jusson a rendszerbe, ha bent van, már úgyis mindegy"

A fenti érvet, amit egy vodkagőzös estén szegezett nekem egy vírusipari munkás, mint a termékpolicyjük sarokkövét sokszor szoktam emlegetni a szemellenzős gondolkodás ékes példájaként. Az elmút évek számtalan példát hoztak arra, hogy mindig lesznek olyan fenyegetések, melyekre nem vagyunk felkészülve, és amelyek a legnagyobb igyekezet mellett is át fognak hatolni az elsődleges védelmi vonalainkon. Ha nem cselekszünk proaktívan, csak a szerencsén fog múlni, hogy átvészeljük-e a következő támadási hullámot. 

4. "Az AV még mindig jobb mint a semmi"

Ezzel az állítással nagyon nehéz vitatkozni, és általában ez a konklúzió szokott a nyugvó pontja lenni az éjszakába nyúló vitáknak is. Valójában azonban ez a kijelentés éppen hogy a probléma lényegéről tereli el a figyelmet: 

A piacon lévő megoldásokat kritizálóknak általában nem az a baja, hogy a rendelkezésre álló termékek nem nyújtanak tökéletes védelmet, hiszen tudjuk, hogy ilyen védelem nem létezik, és jelen állás szerint nem is létezhet. A kritikusok problémája az, hogy úgy tűnik, az AV ipar meg sem próbál tenni azért, hogy ez a helyzet változzon. Ahogy többen megfogalmazták: amíg el lehet adni a havi szignatúra feliratkozást, mi a francért kéne többet költeni az alapvető újításokra?