Сигнатурний аналіз — метод виявлення шкідливого ПЗ та атак шляхом порівняння файлів чи мережевого трафіку з базою відомих шаблонів, які називають сигнатурами.
Як працює сигнатурний аналіз
Сигнатура описує те, що є унікальним для відомої загрози. Поширені форми:
- Хеші — значення MD5 чи SHA-256 шкідливого файлу; точний спосіб, але його обходить зміна єдиного байта.
- Байтові шаблони й рядки — послідовності коду чи тексту, характерні для сімейства шкідливого ПЗ, часто із символами підстановки.
- Правила — комбінації умов, наприклад правила YARA для файлів або правила Snort і Suricata для мережевого трафіку в системі виявлення вторгнень.
Вендори аналізують нові зразки, пишуть сигнатури й розсилають оновлення баз клієнтам по кілька разів на день. Сканер перевіряє файли під час звернення до них, під час завантаження й під час планових перевірок.
Чому це важливо
Сигнатури працюють швидко й точно та дають мало хибних спрацьовувань, тому вони становлять основу антивірусних рушіїв, як-от відкритий ClamAV, і мережевих засобів захисту. Ними також легко ділитися: індикатори й правила, опубліковані дослідниками, дають змогу багатьом організаціям швидко виявляти одну й ту саму загрозу.
Слабке місце в тому, що сигнатури виявляють лише вже відоме. Шкідливе ПЗ нульового дня, поліморфне шкідливе ПЗ, що змінюється з кожною копією, упаковані чи обфусковані файли та безфайлові атаки можуть проскочити, доки не з’явиться нова сигнатура. Злочинці регулярно перевіряють свої зразки на публічних сканерах перед поширенням. Тому сучасні захисні продукти поєднують сигнатури з евристичним аналізом, поведінковим моніторингом, пісочницями й машинним навчанням.
Як застосовують сигнатурний аналіз
- Налаштувати автоматичне оновлення сигнатурних баз на всіх кінцевих точках і шлюзах.
- Використовувати власні правила YARA та IDS для загроз, специфічних для вашої організації.
- Не покладатися лише на сигнатури — додати поведінкове виявлення та EDR.
