Сигнатурный анализ — метод выявления вредоносного ПО и атак путём сравнения файлов или сетевого трафика с базой известных шаблонов, которые называют сигнатурами.
Как работает сигнатурный анализ
Сигнатура описывает то, что уникально для известной угрозы. Распространённые формы:
- Хеши — значение MD5 или SHA-256 вредоносного файла; точный способ, но его обходит изменение единственного байта.
- Байтовые шаблоны и строки — последовательности кода или текста, характерные для семейства вредоносного ПО, часто с подстановочными символами.
- Правила — комбинации условий, например правила YARA для файлов или правила Snort и Suricata для сетевого трафика в системе обнаружения вторжений.
Вендоры анализируют новые образцы, пишут сигнатуры и рассылают обновления баз клиентам по несколько раз в день. Сканер проверяет файлы при обращении к ним, при загрузке и во время плановых проверок.
Почему это важно
Сигнатуры работают быстро и точно и дают мало ложных срабатываний, поэтому они составляют основу антивирусных движков, таких как открытый ClamAV, и сетевых средств защиты. Ими также легко делиться: индикаторы и правила, опубликованные исследователями, позволяют множеству организаций быстро обнаруживать одну и ту же угрозу.
Слабое место в том, что сигнатуры выявляют только уже известное. Вредоносное ПО нулевого дня, полиморфное вредоносное ПО, меняющееся с каждой копией, упакованные или обфусцированные файлы и бесфайловые атаки могут проскользнуть, пока не появится новая сигнатура. Преступники регулярно проверяют свои образцы на публичных сканерах перед распространением. Поэтому современные защитные продукты сочетают сигнатуры с эвристическим анализом, поведенческим мониторингом, песочницами и машинным обучением.
Как применяется сигнатурный анализ
- Настроить автоматическое обновление сигнатурных баз на всех конечных точках и шлюзах.
- Использовать собственные правила YARA и IDS для угроз, специфичных для вашей организации.
- Не полагаться только на сигнатуры — добавить поведенческое обнаружение и EDR.
