Virustentorjunnan suhteen karjan immuniteetti toimii nautoilla ja kpl

Tämän vuoden kansainvälisessä haitallisten ja ei-toivottujen ohjelmistojen konferenssissa, nimeltään MalCon 2015, Ph.D. Fanny Lalonde Lévesque. École Polytechnique de Montréalin opiskelija esitteli kiehtovia tuloksia, joita voidaan saada, kun sinulla on valtavia määriä tietoa virustorjuntasuojauksesta miljardilla tietokoneella. Hän suunnitteli luonnollisten ekosysteemien tutkimuksesta saatua lähestymistapaa eräistä mittareista koko virustorjunta-ekosysteemin terveyden mittaamiseksi.

Olet ehkä huomannut haittaohjelmien poistotyökalun (MSRT), joka toimii osana jokaista Microsoft-päivitystä. Se etsii ja eliminoi muutama tusina erittäin levinnyttä haittaohjelmaperhettä, jotka Microsoftin turvallisuusryhmä valitsee joka kuukausi. Se lähettää myös merkittävän telemetrian Microsoftille. Microsoft Malware Protection Centerin (MMPC) johtajan Dennis Batchelderin mukaan tämä telemetria on syy siihen, miksi Microsoft ei tarvitse virustorjuntatestejä. Pari vuotta sitten MalConissa pitämässä pääpuheenvuorossaan hän selosti yksityiskohtaisesti MSRT: n keräämää suurta tietomäärää ja kehotti tutkijoita esittämään ehdotuksia näiden tietojen käyttämiseksi tutkimuksessa.

Miljoonat ja miljoonat

MSRT raportoi muun muassa, onko se löytänyt haittaohjelmia, mikä virustorjunta on asennettu ja onko virustorjunta määritetty ja toimiiko se oikein. Lalonde Lévesque aloitti neljän kuukauden Microsoftin MSRT-tiedoista. Kun hän oli poistanut merkinnät koneista, joissa ei ollut virustorjuntaa, hänellä oli silti lähes miljardi merkintää. Näytejoukossa on tietty poikkeama, koska jotkut käyttäjät ovat päättäneet olla ajamatta Windows Update- tai MSRT-ohjelmia. Tämän vääristymän voittamiseksi hän valitsi satunnaisesti 10 prosenttia ilmoituksista. Se on edelleen yli 90 miljoonaa näytettä.

Kohderyhmän valinnan jälkeen hän analysoi koko järjestelmän terveyttä. Tässä analyysissä tarkastellaan erityisesti kolmea aluetta, jotka on johdettu luonnon ekosysteemianalyysistä: aktiivisuus, monimuotoisuus ja vakaus.

Antivirus-ekosysteemissä suojaustaso edustaa aktiivisuutta. Asennettu virustentorjunta voi olla vanhentunut tai se on poistettu käytöstä tai sen reaaliaikainen suojaus voidaan torkkua. Lalonde Lévesque totesi, että neljän kuukauden aikana asianmukaisesti määritettyjen ajan tasalla olevien asennusten lukumäärä oli noin 87-88 prosenttia.

Luonnollisen ekosysteemin monimuotoisuus tarkoittaa, että yksikään laji ei ole täysin hallitseva. Rouva Lalonde Lévesque tutki yli 100 erillistä virustorjuntatuotetta virustentorjuntajärjestelmässä ja havaitsi suuren monimuotoisuuden. Hallitseva tuote, jolla on suurin asennettu perusta, ei koskaan halunnut yli 18 prosenttia markkinoista.

Vakauden tutkimiseksi hän kavensi luettelon ensin tietokoneisiin, jotka olivat vastanneet MSRT: hen kaikissa neljässä kuukaudessa. Hän tarkasteli virustorjuntatilan muutoksia ja havaitsi rohkaisevia tuloksia. Vain noin 3 prosenttia tietokoneista, joissa oli toimiva ja ajan tasalla oleva virustentorjunta, ajautuivat vähemmän suojattuun tilaan, ja monet muiden valtioiden tietokoneet paranivat.

Tässä on kuitenkin yllätys. Tutkimuksen aikana kokonaan kolmasosa tietokoneista vaihtoi toiseen virustentorjuntaan. Jotkut osallistujat spekuloivat mahdollisuudesta vääristyneeseen tulokseen, joka perustuu ilmaisen virustorjunnan vanhenemiseen uusissa tietokoneissa. Mistä syystä tahansa, se on paljon muutosta.

Viimeinen vaihe oli tutkia, mihin ilmoittaviin tietokoneisiin haittaohjelmat kohdistuivat, vaikka virustorjunta oli asennettu. Ei ole yllättävää, että matala haittaohjelmien tartuntaprosentti korreloi vahvasti ajan tasalla olevan ja toimivan virustentorjuntaohjelman kanssa. Sitä vastoin matala vakavuusaste, mikä tarkoittaa paljon muutosta asennetussa virustentorjunnassa tai virustorjunnassa, korreloi vahvasti korkeamman tartuntasuhteen kanssa.

Monokulttuuri ja lauman immuniteetti

Seuraava vaihe sisälsi tietojen purkamisen jokaisesta 126 maasta, joihin osallistui, ja koko maan kattavan virustorjuntaekosysteemin terveyden yhteensovittamisen koko maan kattavien tartuntojen määrän kanssa. Lalonde Lévesque tutki tutkimuksen tätä osaa vastaan ​​sekä viruksentorjuntajärjestelmällä suojattuja tietokoneita että tietokoneita, joilla ei ole suojausta.

Joillakin mailla oli huono monimuotoisuusluokka, ja yksi tuote suojasi suurimman osan kaikista järjestelmistä. Näissä maissa tartuntojen määrä oli rutiininomaisesti keskimääräistä korkeampi, kun taas maissa, joissa oli enemmän monimuotoisuutta, oli alhaisempi tartunta. Hänen koko raportissaan kerrotaan, kuinka hän vahvisti tuloksen tilastollisen merkityksen. Antivirus-ekosysteemissä, kuten elämässäkin, monokulttuuri ei ole terveellistä.

Ei ole yllättäen yllättävää, että jos tietokoneissa on suurempi prosenttiosuus ajan tasalla olevista toiminnallisista viruksista, korreloi vahvasti alhaisemman tartuntasuhteen kanssa. Jos näin ei olisi, jotain olisi hyvin, hyvin pieleen. Kicker on, sama korrelaatio pätee, kun tarkastellaan tietokoneita, joissa ei ole virustorjuntaa samassa maassa. Näyttää siltä, ​​että jonkinlainen lauman immuniteetti voi tulla tänne, joten jopa ne, jotka luopuvat virustorjuntatoimesta, hyötyvät naapureistaan ​​täysin panssaroiduista.

Sitten on MSRT-vaikutus. Maissa, joissa infektioita esiintyy paljon, esiintyy myös korkeaa kuorivuutta, kun monet käyttäjät vaihtavat virustorjuntatuotteita. Voisiko olla niin, että yksinkertainen tosiasia, että MSRT poistaa haittaohjelmat, aiheutti käyttäjän tyytymättömyyden olemassa olevaan suojaukseen ja valita toisen toimittajan? Se olisi vaikea todistaa, koska tutkimuksessa ei ole tietokoneita, jotka olisivat koskaan kokeneet MSRT: tä.

Vain yksi näkymä

Lalonde Lévesque totesi tuskallaan huomauttaakseen, että tutkimuksen tuloksilla on tiettyjä rajoituksia. Ainoastaan ​​MSRT-järjestelmään yhdistävät tietokoneet sisältyivät. Ja tartuntatulokset ovat saatavana vain Microsoftin joka kuukausi valitsemille laajalle levinneille haittaohjelmaperheille. Lisäksi monokulttuurin ja lauman immuniteoriteoriat eivät ole ainoita selityksiä havaituille korrelaatioille.

Microsoftin laaja tiedonkeruu on käytettävissä pätevien tutkijoiden käyttöön. Toiset voivat laajentaa Lalonde Lévesquen tutkimusta tai lähteä aivan toiseen suuntaan. Odotan innolla, mitä he keksivät.