Sikkerhetsprogramvaren utfører dårlig i utnyttelsestest

Sikkerhetsprogramvaresuiter gjør en dårlig jobb med å oppdage når en PC-programvare er under angrep, ifølge den danske leverandøren Secunia.

Secunia testet hvor godt et dusin Internett-sikkerhetsserier kunne identifisere når et programvaresårbarhet ble utnyttet, sa Thomas Kristensen, Secunia's CTO.

Det er en annen tilnærming fra hvordan programmene bygges opp i dag. Sikkerhetsprogramvare har en tendens til å fokusere på deteksjon av skadelig programvare som ender opp på en PC etter at et sikkerhetsproblem har blitt utnyttet. Programvaren oppdateres med signaturer eller datafiler som gjenkjenner visse skadelige nyttelast som leveres til PC-postutnyttelsen.

[Videre lesing: Slik fjerner du skadelig programvare fra Windows-PCen]

Det er en klar fordel i fokusering på å oppdage en utnyttelse i stedet for å forsvare seg mot utallige nyttelaster, sa Kristensen. Utnyttelsen i seg selv endres ikke og må utnyttes på samme måte som at PCen skal hackes.

Et utallig antall nyttelaster - alt fra tastetrykkslogger til botnet-programvare - kan distribueres under et angrep mot en sårbarhet.

Identifisere utnyttelsen er ikke lett arbeid, men Kristensen sa. Versjoner av programmet som berøres av sikkerhetsproblemet må analyseres før og etter at en patch brukes for å finne ut hvordan utnyttelsen fungerer.

For sin test utviklet Secunia sine egne arbeidsutnyttelser for kjente programvaresårbarheter. Av disse utnyttelsene var 144 skadelige filer, for eksempel multimediefiler og kontorsdokumenter. De resterende 156 ble utnyttet i skadelige nettsider som leter etter nettleser og ActiveX-sårbarheter, blant annet.

Symantec kom ut på toppen, men selv da var resultatet ikke sterkt: selskapets Internet Security Suite 2009 oppdaget 64 ut av 300 utnytter, eller 21,33 prosent av prøvesettet.

Resultatene ble da mye verre. BitDefenders Internet Security Suite 2009 build 12.0.10 kom i andre, oppdaget 2,33 prosent av utvalgssettet. Trend Micros Internett-sikkerhet 2008 hadde samme deteksjonsfrekvens som BitDefender, etterfulgt av McAfees Internet Security Suite 2009 i tredje på 2 prosent.

Kristensen varslet at Secunia var klar over at de fleste leverandører ikke er fokusert på å oppdage bruken. Men det ville være til fordel for leverandører å begynne å skape underskrifter for utnytter i stedet for bare nyttelast, siden det kunne spare dem mer tid. Det er langt færre utnyttelser enn nyttelast, sa han.

Leverandører som Symantec ser ut til å bevege seg i den retningen, da det har skapt signaturer for Microsoft-relaterte utnyttelser, sier Kristensen.

"Vi ser ikke noe av De andre leverandørene har noe som ligner på det, sier Kristensen.

I mellomtiden bør brukerne bruke programvareoppdateringer så snart de oppdateres. Hvis det er en forsinkelse mellom når en utnyttelse er offentlig og en lapp utgitt, kan brukerne ganske enkelt unngå å bruke det aktuelle programmet.

"For mange tror de ikke har noe å bekymre seg for hvis de bare har [antivirusprogramvare] Kristensen sa. "Dessverre er det absolutt ikke tilfelle."