TL;DR: גילוי תוכנות זדוניות

גילוי תוכנות זדוניות פירושו מציאת וחסימת תוכנות מזיקות כגון וירוסים, תוכנות כופר, תוכנות ריגול וסוסים טרויאניים על מערכות, רשתות ויישומים.

הוא משתמש בטכניקות כגון חתימות, ניתוח התנהגות ולמידת מכונה כדי לזהות איומים מוקדם, להגביל נזק ולהגן על נתונים רגישים.

מהו גילוי תוכנות זדוניות?

גילוי תוכנות זדוניות הוא תהליך של מציאה, ניתוח ועצירת תוכנות מזיקות (תוכנות זדוניות) לפני שהן יכולות לפגוע במערכות, לגנוב נתונים או לשבש פעולות עסקיות.

תוכנות זדוניות יכולות להיות מסווגות ל:

• וירוסים - קוד זדוני שמתפשט לעיתים קרובות דרך ביצוע קבצים
• תוכנות כופר - נועלות או מצפינות נתונים ודורשות תשלום
• תוכנות ריגול - מתעדות בסתר פעילות משתמש וגונבות מידע רגיש.
• סוסים טרויאניים - מתנהגים כמו תוכנה לגיטימית אך מבצעים פעולות מזיקות.
• תולעים - תוכנה שמתרבה בעצמה ומתפשטת על פני רשתות

כלי גילוי תוכנות זדוניות בודקים קבצים, תעבורת רשת, זיכרון ותהליכים כדי לזהות פעילות חשודה ולחסום איומים בהקדם האפשרי.

מדוע גילוי תוכנות זדוניות חשוב

תוכנות זדוניות נשארות אחת הסיבות הנפוצות ביותר ל:

• פריצות נתונים
• הפסקות שירות
• הפסד כספי שנגרם על ידי סחיטה
• נזק למוניטין

תוקפים משתמשים בתוכנות זדוניות כדי:

• לגנוב מידע רגיש כמו אישורי כניסה, מידע תשלום או קניין רוחני
• להצפין את המערכת ולדרוש כופר (תוכנת כופר)
• להפוך מכשירים לבוטים עבור התקפות גדולות יותר דרך רשתות בוטים (DDOS)
• לנוע לרוחב בתוך רשתות לאחר שהם משיגים דריסת רגל.

זיהוי תוכנות זדוניות טוב עוזר לארגונים:

• לזהות התקפות מוקדם לפני שהן מתפשטות.
• להגביל נזק ולהפחית זמן השבתה.
• לעמוד בדרישות תאימות
• להגן על נתונים אישיים ופיננסיים.
• לזכות באמון מלקוחות ושותפים.

איך זיהוי תוכנות זדוניות עובד

זיהוי תוכנות זדוניות בדרך כלל משלב מספר גישות:

1. זיהוי מבוסס חתימה
   • השוואת קובץ או תהליך מול מסד נתונים של דפוסי תוכנות זדוניות ידועות (חתימות)
   • עובד במהירות ובדיוק עבור תוכנות זדוניות ידועות, אך יכול להחמיץ סוגים חדשים.
2. זיהוי מבוסס היוריסטיקה והתנהגות
   • שיטה זו בודקת כיצד תוכנה מתנהגת, ולא רק כיצד היא נראית.
   • סימון פעולה חשודה כגון:
     • הצפנת קבצים רבים
     • הזרקת קוד לתוך תהליך אחר
     • התחברות לשרתים זדוניים ידועים
   • זה עוזר למצוא תוכנות זדוניות חדשות או משתנות שאינן נמצאות במסד הנתונים הנוכחי של תוכנות זדוניות.
3. למידת מכונה ובינה מלאכותית
   • משתמש במודלים מאומנים על מערכי נתונים גדולים של התנהגות זדונית ונורמלית כדי לזהות דפוסים
   • זיהוי חריגות בקבצים, תהליכים או רשתות שנראות לא רגילות ומצביעות על תוכנות זדוניות.
4. סנדבוקסינג
   • הרצת קבצים חשודים בסביבה מבודדת כדי לצפות בהתנהגותם בבטחה.
   • אם הקבצים החשודים מנסים להתפשט, לגנוב נתונים או לשנות הגדרות מערכת, הם מסומנים כתוכנות זדוניות.
5. מודיעין מוניטין ואיומים
   • משתמש במידע מהזנות איומים (לדוגמה, כתובות IP, דומיינים או ערכי קובץ ידועים כזדוניים).
   • אם קובץ או חיבור תואם אינדיקטורים זדוניים ידועים, הוא נחסם או מבודד.

סוגי פתרונות זיהוי תוכנות זדוניות

• תוכנת אנטי-וירוס / אנטי-תוכנה זדונית

  פועלת על נקודות קצה כגון מחשבים ניידים, מחשבים שולחניים ושרתים כדי לזהות ולחסום קבצים ותהליכים זדוניים

• EDR (זיהוי ותגובה בנקודות קצה)

  מספקת ראות מעמיקה יותר להתנהגות נקודות קצה, עם יכולות זיהוי, חקירה ותגובה.

• XDR (זיהוי ותגובה מורחבים)

  מקשרת נתונים מנקודות קצה, רשת, ענן ויישומים כדי לזהות תוכנות זדוניות והתקפות קשורות.

• שערי אבטחת דוא”ל

  סורקים קבצים מצורפים וקישורים כדי לעצור הודעות דיוג ותוכנות זדוניות לפני שהן מגיעות למשתמשים.

• כלי אבטחת רשת

  חומות אש, IDS/IPS ושערי אינטרנט מאובטחים מנטרים תעבורה עבור מטענים זדוניים וחיבורים לפיקוד ושליטה.

דוגמה בפועל

עובד מקבל הודעת דיוג עם קובץ מצורף בשם “invoice.pdf.exe” שנראה כמו מסמך רגיל.

1. המשתמש מוריד ומפעיל את הקובץ
2. סוכן הגנת הקצה מבחין כי לקובץ יש התנהגות חשודה.
   1. מנסה לשנות מפתחות רישום
   2. מתחיל להצפין קבצים בתיקיית המשתמש
   3. מנסה ליצור חיבור לשרת חיצוני כדי לקחת שליטה על המשתמש במחשב.
3. כללים מבוססי התנהגות ולמידת מכונה מזהים את ההתנהגות הזו כאנומליה ומסווגים אותה כהתנהגות דמוית כופר.
4. כלי אבטחה מבצעים את הפעולות הבאות.
   1. חוסמים את התהליך
   2. מכניסים את הקובץ להסגר
   3. מתריעים לצוות SOC
   4. באופן אופציונלי מבצעים החזרת שינויים אם נתמך.

תוצאה: ההתקפה מזוהה ונעצרת מוקדם; הכופר לא מתפשט ברחבי הרשת

שיטות עבודה מומלצות לזיהוי תוכנות זדוניות

• השתמש בהגנה רב שכבתית

  שלב הגנת קצה, סינון דואר אלקטרוני, ניטור רשת ואבטחת ענן.

• שמור על חתימות וכלי אבטחה מעודכנים.

  עדכן חתימות וכלי אבטחה באופן קבוע. אנטי-וירוס או כלי EDR מיושנים מפספסים איומים חדשים.

• הפעל זיהוי מבוסס התנהגות ולמידת מכונה.

  אל תסתמך רק על חתימות; שלב עם זיהוי מבוסס התנהגות ולמידת מכונה.

• נטר ותגיב באופן מרכזי.

  השתמש ב-SIEM/XDR או פלטפורמה דומה כך שצוות האבטחה יוכל לראות ולהגיב לאירועים במהירות.

• הדרך משתמשים להיות מודעים לאיומי סייבר ואבטחה.

  • הרבה זיהומים בתוכנות זדוניות מתחילים עם דואר פישינג. משתמשים צריכים להיות מודעים להתקפות סייבר, כיצד לזהות אותן ולהימנע מהן.

מונחים קשורים

• תוכנה זדונית
• תוכנת כופר
• תוכנת ריגול
• EDR (זיהוי ותגובה בנקודות קצה)
• XDR (זיהוי ותגובה מורחבים)
• פישינג
• מודיעין איומים