Tuota, tässä on paljon mutuilua eli korjailkaa sitä mukaan kun tiedätte! :)
AV-softien toiminnan ymmärtämisessä on ainakin yksi "musta aukko". Mikäli on Windowsille tarkoitetussa .exe-päätteisessä ajettavassa tiedostossa (esim. jonkinlainen "trojan downloader") "payloadina" se, että tiedosto lataa määrätystä IP:stä varsinaisen haitakkeen ja ajaa sen samantien, niin miten antivirussoftat voivat tietää pelkällä skannauksella, onko tämä ajettava tiedosto haitake? Toki joku "IP-blacklisting" on mahdollista ja voihan ohjelma vaikka tehdä hiekkalaatikon, ladata sinne sen varsinaisen haitakkeen juurikin siitä samasta IP:stä, joka ajettavassa tiedostossa on annettu, ja lopulta analysoida haitakkeen. Tuollainen proseduuri voi kuitenkin maalaisjärjellä pääteltynä olla riskialtis koska siinähän ajetaan osa haittakoodista eli tuosta IP:stä haettaisiin tuo vaarallinen tiedosto. Mutulla heitän, että pelkkä heurestiikka voi myös olla vähän niin ja näin, voiko oikeasti sen avulla ohjelma päätellä mitään haitallisuudesta. Talonpoikaisjärjellä luulisi, että loppuviimein olisi analysoitava se varsinainen haitake, jotta voi olla asiasta satavarma, eikä pelkästään skannailla sitä tiedostoa, joka sen varsinaisen haitakkeen lataa, vai miten on?
Tietenkään eri IP:istä latailu ei rajoitu haittaohjelmiin, vaan se on myös tyypillistä tavallisillekin (jo turvallisiksi todetuille) ohjelmille. Sitä esim. näkee, että "installeri" on pelkkä "stub-tiedosto", joka lataa ne varsinaiset asennukseen tarvittavat tiedostot jostakin IP:stä. Ihan vaikka Opera-selaimen asennustiedosto on tällainen ja sama taitaa koskea Firefoxiakin. Toki noissa em. "stub-tiedostoissa" on sertifikaatit kohdillaan (esim. VeriSign) kun taas haitakkeiden osalta nämä sertifikaatit tuskin ovat valideja lukuun ottamatta tämäntyyppisiä tapauksia: https://blog.malwarebytes.org/intelligence/2013/02/digital-certificates-and-malware-a-dangerous-mix/
Mutuilulinjalla jatkaen: jos antivirussofta ei skannaa sitä varsinaista IP:stä ladattavaa haitaketta, niin puuttuvien sertifikaattien lisäksi sen ajettavan tiedoston (joka siis lataa varsinaisen haitakkeen) voisi päätellä olevan vaarallinen jos se on luotu esim. hämärin pakkausmenetelmin (tai esim. hyödyntämällä "paddingiä", jolla pyritään saamaan haittakoodi näyttämään vaarattomalta roskadatalta). Niillä kun pyritään tekemään tiedostojen analysoinnista hankalampaa, ja todennäköisesti jonkin tällaisen tunnistaessaan skannerit voivat tulkita tiedoston haitalliseksi. (Tietysti tiedoston "disassemblointia" ja tarkastelua voidaan pyrkiä estämään jo tekijänoikeussyistä ja ihan kopiokallejen yms. vuoksi, mutta selvästi yksi käyttötarkoitus on myös se, että haittakoodia pyritään peittämään...)
AV-softien toiminnan ymmärtämisessä on ainakin yksi "musta aukko". Mikäli on Windowsille tarkoitetussa .exe-päätteisessä ajettavassa tiedostossa (esim. jonkinlainen "trojan downloader") "payloadina" se, että tiedosto lataa määrätystä IP:stä varsinaisen haitakkeen ja ajaa sen samantien, niin miten antivirussoftat voivat tietää pelkällä skannauksella, onko tämä ajettava tiedosto haitake? Toki joku "IP-blacklisting" on mahdollista ja voihan ohjelma vaikka tehdä hiekkalaatikon, ladata sinne sen varsinaisen haitakkeen juurikin siitä samasta IP:stä, joka ajettavassa tiedostossa on annettu, ja lopulta analysoida haitakkeen. Tuollainen proseduuri voi kuitenkin maalaisjärjellä pääteltynä olla riskialtis koska siinähän ajetaan osa haittakoodista eli tuosta IP:stä haettaisiin tuo vaarallinen tiedosto. Mutulla heitän, että pelkkä heurestiikka voi myös olla vähän niin ja näin, voiko oikeasti sen avulla ohjelma päätellä mitään haitallisuudesta. Talonpoikaisjärjellä luulisi, että loppuviimein olisi analysoitava se varsinainen haitake, jotta voi olla asiasta satavarma, eikä pelkästään skannailla sitä tiedostoa, joka sen varsinaisen haitakkeen lataa, vai miten on?
Tietenkään eri IP:istä latailu ei rajoitu haittaohjelmiin, vaan se on myös tyypillistä tavallisillekin (jo turvallisiksi todetuille) ohjelmille. Sitä esim. näkee, että "installeri" on pelkkä "stub-tiedosto", joka lataa ne varsinaiset asennukseen tarvittavat tiedostot jostakin IP:stä. Ihan vaikka Opera-selaimen asennustiedosto on tällainen ja sama taitaa koskea Firefoxiakin. Toki noissa em. "stub-tiedostoissa" on sertifikaatit kohdillaan (esim. VeriSign) kun taas haitakkeiden osalta nämä sertifikaatit tuskin ovat valideja lukuun ottamatta tämäntyyppisiä tapauksia: https://blog.malwarebytes.org/intelligence/2013/02/digital-certificates-and-malware-a-dangerous-mix/
Mutuilulinjalla jatkaen: jos antivirussofta ei skannaa sitä varsinaista IP:stä ladattavaa haitaketta, niin puuttuvien sertifikaattien lisäksi sen ajettavan tiedoston (joka siis lataa varsinaisen haitakkeen) voisi päätellä olevan vaarallinen jos se on luotu esim. hämärin pakkausmenetelmin (tai esim. hyödyntämällä "paddingiä", jolla pyritään saamaan haittakoodi näyttämään vaarattomalta roskadatalta). Niillä kun pyritään tekemään tiedostojen analysoinnista hankalampaa, ja todennäköisesti jonkin tällaisen tunnistaessaan skannerit voivat tulkita tiedoston haitalliseksi. (Tietysti tiedoston "disassemblointia" ja tarkastelua voidaan pyrkiä estämään jo tekijänoikeussyistä ja ihan kopiokallejen yms. vuoksi, mutta selvästi yksi käyttötarkoitus on myös se, että haittakoodia pyritään peittämään...)
Vastaukset 40
Vanhimmat
En ota kantaa kaikkeen, mutta pari juttua..
Ihan alkuun; tämän takia se kaksisuuntainen palomuuri on parempi kuin yksisuuntainen, sillä siinä tapauksessa tuo ei pystyisi lataamaan mitään ilman käyttäjän eri lupaa.
Heurestiikka on välillä väärässäkin ja luokittelee ihan käyttäjän haluamat ohjelmat haitakkeiksi. Ja antivirus- softathan ei tunnista kuin vain murto-osan olemassa olevista haitakkeista. Sen pitäis olla viimeinen suojaus, sen varaan ei alunperin pitäis laskea ollenkaan.
"Mikäli on Windowsille tarkoitetussa .exe-päätteisessä ajettavassa tiedostossa (esim. jonkinlainen "trojan downloader") "payloadina" se, että tiedosto lataa määrätystä IP:stä varsinaisen haitakkeen ja ajaa sen samantien, niin miten antivirussoftat voivat tietää pelkällä skannauksella, onko tämä ajettava tiedosto haitake?"
Sanotaan niin, että siellä on vähän useampikin musta-aukko, kuten vaikka se että ajettavat tiedostot voidaan kryptata niin, että samasta haittaohjelmasta voidaan tehdä vaikka 100000 eri versiota ja suoraan ei näe miten toimii. Ja niiden analysointi heurestiikalla on vähän niin ja näin pysähtymisongelman http://fi.wikipedia.org/wiki/Pys%C3%A4htymisongelma takia.
Tästä syystä antivirusohjelmat ovat lähtökohtaisesti rikki eikä ne oikein tunnista kuin ehkä 20% haittakoodista. Ne ei siis ole mikään "suojaus".
"Tästä syystä antivirusohjelmat ovat lähtökohtaisesti rikki eikä ne oikein tunnista kuin ehkä 20% haittakoodista. Ne ei siis ole mikään "suojaus"."
M-Kar ei nyt ymmärrä yhtään mitään tietoturvasta. Täydellistä tietoturvaohjelmistoa ei edes ole olemassa, ne turvaohjelmistot ovat ainoastaan apuneuvoja eli työkaluohjelmia jotka voivat tunnistaa vain "tunnettuja uhkia".
Kukaan EI ole niin älykäs, että voi seurata tietokoneen kymmeniä (satoja) prosesseja reaaliaikaisesti ilman apuohjelmia. Tämän vuoksi käyttöön otetaan erilaisia turvaohjelmistoja jotka taustalla seuraavat epätavallisia ohjelmistojen käyttäytymisiä. Ja kun nämä havaitsevat jotakin epätavallista ne voivat "hälyttää" tai ryhtyvät automaattisesti toimintaan eli estävät tapahtuman. (tämä esto on sitä suojausta). Tämä perustuu ohjelmien käyttäytymisen tunnistamiseen eli ne tietokantansa oletusasetuksillaan tunnistaa "mikä voi olla ohjelman normaalia toimintaa tai mikä ei".
Tuntematonta eli tunnistamatonta uhkaa on vaikea torjua. Haittaohjelmat voivat olla myös "palikoista" koottuja, yksikään palikka EI tee yksistään yhtään mitään. Vasta kun nämä haitalliset palikat ryhtyy toimimaan yhdessä ne voivat toteuttaa jotakin haitallista. Turvaohjelmat eivät välttämättä edes kykene tunnistamaan tälläistä toimimatonta yksittäistä palikkaa ja sitten se jääkin havaitsematta.
Tämä kaikki vaati siis ohjelmistojen käyttätymisen tunnistusta ja tämä tieto voi olla ainoastaan kootuissa tietokannoissa (esim. tunnistetuista viruksista pitää olla koottu tietokanta). Tottahan toki tämä tietokanta on jälkijättöistä koska ne virukset ja muut haittaohjelmat on ensin kyettävä tunnistamaan.
Jos jotkin haitalliset palikat EIVÄT aktivoidu toimintaan niitä on liki mahdotonta havaita (löytää).
Vain tunnistettu uhka voidaan havaita. Turvaohjelmistot ovat aika avuttomia tunnistamaan tuntemattomia UUSIA uhkia. Eli jotakin toimintaa (prosessia) ei kyetä tunnistamaan hyökkäykseksi! Silti reaaliaikainen ohjelmistojen käyttäytymisen seuranta on parempi kuin ei mitään, koska tällä ainakin torjutaan tunnistetut uhat. Tietoturvassa hyökkääjät ja tietomurtajat ovat tavallaan edellä koska he voivat tuottaa uusia tunnistamattomia tapoja joita turvaohjelmistojen tuottajat eivät vielä tunne. Tietokantoja EI VOIDA muodostaa tunnistamattomista uhista.
Näin ne tietoturvaohjelmistot ovat aputyökaluja, ne eivät voi tarjota täydellistä turvaa. Ei ne silti ole aivan hyödyttömiä koska ne sentään voivat tunnistaa tunnetut tietoturvan uhat. Ne ovat vain tietokoneen käyttäjän AVUKSI, tosin ne sitten kyllä aiheuttavat oman lisäkuormansa tietokoneelle koska se taustalla oleva reaaliaikainen seuranta prosessi tarvii oman resurssina.
Tietoturvaohjelmistojakin pitää voida arvioida sen oman toiminnan perusteella.
Ohjelmistojen toiminnan täydellinen analysointi vaatii niin paljon asiantuntemusta jota kaikilla tietokoneen käyttäjillä EI ole. Ja ammattianalyytikoltakin saattaaa jäädä jokin tunnistamaton uhka havaitsematta.
Tämä tunnistamaton uhka voi olla myös hyvin vanha, mutta sitä ei olla tunnistettu koska sitä EI OLLA käytetty aiemmin hyökkäykseen. Näin se ei ole voinut paljastuakaan. Vanha "aukko" voi siis olla UUSI hyökkäys.
Uhat voivat paljastua vasta sitten kun niitä käytetään (hyödynnetään) hyökäystoimessa.
Tietoturva asioista voidaan kirjoittaa täyttä roskaa kun ei edes tajuta mitä kaikkea sana "tietoturva" merkitsee. Lyhyesti: on erotettava käsitteet tunnistetut uhat ja vielä tunnistamattomat uudet uhat. Uudet tunnistamattomat uhat voivat olla teoreettisia oletusuhkia koska niitä EI vielä olla nähty toiminnassa.
"M-Kar ei nyt ymmärrä yhtään mitään tietoturvasta."
Toki ymmärrän. Siksi tuollaisia virustutkia ei pitäisi sotkea siihen kun puhutaan tietoturvasta.
"Kukaan EI ole niin älykäs, että voi seurata tietokoneen kymmeniä (satoja) prosesseja reaaliaikaisesti ilman apuohjelmia."
Käyttöjärjestelmässä itsessään on prosessien seuranta työkalu, että näkee paljon vie muistia yms. Eikä sitä mitään muuta seurantaa niihin tarvitse koska vain luotettuja prosesseja sallitaan ajettavaksi.
"Tämän vuoksi käyttöön otetaan erilaisia turvaohjelmistoja jotka taustalla seuraavat epätavallisia ohjelmistojen käyttäytymisiä."
Luotetuissa tietokoneohjelmissa ei ole mitään "epätavallista käyttäytymistä".
"Tuntematonta eli tunnistamatonta uhkaa on vaikea torjua."
Ei ne suojattuihin järjestelmiin pääse.
"Jos jotkin haitalliset palikat EIVÄT aktivoidu toimintaan niitä on liki mahdotonta havaita (löytää)."
Tietoturvaa on se, että mitään haitallista ei lasketa missään vaiheessa järjestelmää sotkemaan.
"Ohjelmistojen toiminnan täydellinen analysointi vaatii niin paljon asiantuntemusta jota kaikilla tietokoneen käyttäjillä EI ole."
Lähtökohtaisesti mitään tuntematonta tai jonka luotettavuutta ei voi todentaa, ei ikinä ajeta. Jos ei itse pysty varmistamaan luotettavuutta niin sitten ostaa palveluna. Normaalisti ei tarvitse kun on ne sovelluskaupat.
Sinä nyt yrität ilmeisesti ehdottaa jotain tietoturvatonta ajatusta, että loppukäyttäjät itse asentelisi jotain höpöhöpöä mistä eivät itse tiedä mitään, sen sijaan että asentaisivat sovelluskaupoista, ostaisivat suomalaiselta myyjältä jonka tietävät tai käyttäisivät asiantuntijapalvelua joka asentaa sen koneen kuntoon.
"Lyhyesti: on erotettava käsitteet tunnistetut uhat ja vielä tunnistamattomat uudet uhat."
Tietoturvallisuutta on se, että vain luotettavaksi varmennetut jutut sallitaan loput estetään, olkoot uhkaa tai ei.
Olen samaa mieltä.
Tosin se kannattaa tarkkaan miettiä, mikä/kuka on se luotettu taho.
Luin kirjoituksesi ja se oli täynnä virheitä. Jatka vaan nitä tietotekniikan opiskelujasi M-Kar.
En ryhdy nyt ruotimaan väittämiesi virheitä yksityiskohdittain. Lyhyesti vain, väittämälläsi ei ole mitään perustetta.
"Luotetuissa tietokoneohjelmissa ei ole mitään "epätavallista käyttäytymistä"."Tämän vuoksi käyttöön otetaan erilaisia turvaohjelmistoja jotka taustalla seuraavat epätavallisia ohjelmistojen käyttäytymisiä."
"> > Luotetuissa tietokoneohjelmissa EI ole mitään "epätavallista käyttäytymistä".
Luuletko todella niin, että tietoturva-analyytikot ihan turhan vuoksi analysoimme ohjelmistoja (myös niitä 'isojen talojen' tuotteita). Luuletko, että me ihan turhan vuoksi käytämme tunkeutumisenestojärjestelmiä (IDS)?
Luuletko, että teemme ihan turhaa työtä? Kunnon analyytikko ei luota 'isojen talojen' markkinointiväittämiin ettei niiden tuotteissa voi olla mitään epätavallista tai virheitä !!!
Luottamus EI perustu uskomuksiin vaan todennettavuuteen. 'Isojen talojen' ohjelmistotuotteita on syytä analysoida perusteellisesti. Se "itse valvonta" ei aina ole 100 %:n tarkkaa.
Kunnon analyytikkoa ei 'isot nimet' hämää. Kaikki ohjelmistot on asetettava tutkinnan kohteeksi. Ja vasta tutkinnan jälkeen voidaa antaa se luottamus JOS on aihetta.
omat rah.. siis lehmä ojassa..
Luuletko todella niin, että tietoturva-analyytikot ihan turhan vuoksi analysoimme ohjelmistoja (myös niitä 'isojen talojen' tuotteita)."
Ja ne luotettavaksi analysoidut ohjelmatko ihan omineen alkavat toimia jotenkin "epävatavallisesti" ? Ihan vaan sinun koneessasi mutta ei kenenkään muun?
"Luuletko, että me ihan turhan vuoksi käytämme tunkeutumisenestojärjestelmiä (IDS)?"
IDS tulee kirjaimista "intrursion detection system", eli tunkeutumisen havaitsemis järjestelmä. Tunkeutumisen esto on ihan eri juttu.
"Kunnon analyytikko ei luota 'isojen talojen' markkinointiväittämiin ettei niiden tuotteissa voi olla mitään epätavallista tai virheitä !!!"
Kunnon ohjelmoija tietää että ne ovat täynnä virheitä ellei niitä ole tehty vähän tavallisesta poikkeavilla kehitysprosesseilla joita käytetään järjestelmissä joissa virheet vaarantavat ihmishenkiä. Ja varsinkin isoimmilla taloilla (Adobe, Canonical, Microsoft, Oracle, Red Hat jne.) on omat tietoturvaryhmät jotka etsivät ja korjaavat niitä turvareikiä.
" 'Isojen talojen' ohjelmistotuotteita on syytä analysoida perusteellisesti. Se "itse valvonta" ei aina ole 100 %:n tarkkaa."
Se analysointi tosiaankaan ei ole tarkkaa. Se virheettömyys kun lähtee ihan siitä kehitysprosessista. Pitää todentaa se, että se mitä ollaan tekemässä, ollaan tekemässä oikein.
Sillä ei ole kuitenkaan mitään merkitystä, sillä todennukseen riittää se että tiedetään että ohjelmistotoimittaja ei tarkoituksella jätä takaportteja tai ei tee mitään rikollista, ja tiedetään kuka sen ohjelmiston on tehnyt ja ketä mennään kovistelemaan jos on jotain rikollista tms.
Tuo varmuus kun on saatu niin pitäisi sitten keskittyä siihen että onko sillä ohjelmistotoimittajalla järjelliset prosessit, eli esim. se tietoturvaryhmä jotta turvareikiä tukitaan. Kun tiedetään että ohjelmistoa tekee luotettava taho joka vielä ylläpitää sitä ohjelmistoa asianmukaisesti, homma on kunnossa normaaleihin liiketoiminta- ja kuluttajatarpeisiin.
Erikoistarpeisiin sitten on omat jutut.
Tietoturvasta ja -turvattomuudeta mutuilu on vähän samaa kuin entisen tyttön
tokaisussa " musta tuntuu että mulkussa on mutka".
https://gs1.wac.edgecastcdn.net/8019B6/data.tumblr.com/a0dd13265b30af7d57d00aee6095e66b/tumblr_n9859pmdoh1qddrs0o1_500.jpg
Aloittaja mainitsi jossain sanan "maalaisjärki".
Se on mun mielestä aika kova sana.
En jaksanut lukea kokonaan, mutta itse olen kysellyt/ihmetellyt samaa vuosia sitten ..
(ja päätynyt tulokseen, että kusetustahan noi myytävät virusturhat yms. onkin)
Niin siis takaisin aiheeseen. Eihän se virusturha voi mistään .exe tiedostoa tunnistaa ennenkun se tosiaan latailee niitä haittaohjelmia netistä, jos se itse ei sisällään mitään haitakkeita kantele..
ellei sitten virusturha "tiedä" jo etukäteen että haitakkeita lataileva ohjelmahan tuo ..
(kusetusta kaikki)
Näin on!
Pitäkää ovenne kaikille aina auki. Arvaappas mihin tutkia käytetään ilmatilan valvonnassa?
Tietysti niillä seurataan lentoliikennettä ja myös sitä odottamatonta lentoliikennetä jota myös kutsutaan laittomaksi ilmatilaan tunkeutumiseksi.
Miksi tietokonetta ei saisi samalla tavalla valvoa? Eihän tietoliikennekään saa olla tunnistamatonta ja laitonta tunkeutuvaa tietoliikennettä.
Ilmatilan törkeä loukkaus ei juuri eroa kyberhyökkäyksestä. Olet siis sitä mieltä, että kaikenlainen valvonta toimi pitää sammuttaa.
Deletoin kaikki tutkat ja javat ja härpäkkeet!
Nyt on nopea selain!
Fiiiiiiiiiuuuu .. ja me mennään lujaa!
""Luotetuissa tietokoneohjelmissa ei ole mitään "epätavallista käyttäytymistä"."Tämän vuoksi käyttöön otetaan erilaisia turvaohjelmistoja jotka taustalla seuraavat epätavallisia ohjelmistojen käyttäytymisiä."
"> > Luotetuissa tietokoneohjelmissa EI ole mitään "epätavallista käyttäytymistä".
M-Kar ei näytä ymmärtävän sitä miten "luotetut" ja suositut tietokonekoneohjelmat tunkeutuu käyttäjien yksityisyyteen. Tarkoitan tällä niitä sosiaalisen media ohjelmia jotka tulevat "isoilta nimiltä".
Tämä yksityisyyden rikkominen on aivan selvää epätavallista käyttäytymistoimintaa eli se on tunkeutumista sille alueelle missä tietokoneohjelman ei pitäisi edes toimia. Tietokoneohjelman primääri tarkoitus on tomia tietokoneessa eikä "tutkia, valvoa, kytätä, vakoilla" käyttäjän (ihmisen) yksityiselämää.
Ei tämä yksityisyyteen tunkeutuminen eli loukkaus poikkea yhtään siitä, että naapurisi kyttäisi sinua kaiken aikaa jatkuvasti. Kyllä tuollainen kyttäävä naapuri todella käyttäytyy epätavallisesti. Ei normaalit ihmiset kyttää toisiaan jatkuvasti.
Sovelluskaupasta hankittu tietokoneohjelma voi olla myös tälläinen yksityisyyteen tunkeutuva ohjelma eli se ei toimi primääristi niinkuin tietokoneohjelman pitäisi toimia.
Totta on se, että käyttäjät itse usein antavat "luvan" yksityisyyden loukkauksille (tunkeutumiselle) kun EIVÄT ymmärrä mitä ne käyttöehdot sanoo tai jättää sanomatta. Usein sanotaan näin "keräämme tietoja jotta ohjelmistoa voidaan KEHITTÄÄ" mutta jätetään tietoisesti kertomatta "mihin kaikkeen kerättyjä tietoja TODELLA käytetään". Ohjelman käyttäjä ei todellakaan voi tietää mihin kaikkeen kerättyjä tietoja VOIDAAN käyttää.
Sosiaalisen median ohjelmistot (some) ovat useimmin tälläisiä yksityisyyteen tunkeutuvia. Ne todellakin toimivat epätavallisesti.
Ei kannata luottaa siihen, että "isojen talojen" sovelluskaupoista saa ainoastaan normaalisti toimivia ohjelmistoja. Mikä muuten määrittää sen mikä toiminto ohjelmassa on normaalia? Onko yksityisyyteen tunkeutuminen ihan normaalia?
Ehkä se on sitä sinun naapurillesi tai jollekin isolle organisaatiolle?
"M-Kar ei näytä ymmärtävän sitä miten "luotetut" ja suositut tietokonekoneohjelmat tunkeutuu käyttäjien yksityisyyteen. Tarkoitan tällä niitä sosiaalisen media ohjelmia jotka tulevat "isoilta nimiltä"."
Minä tarkoitin tietysti niitä ohjelmia joissa käyttäjä on asiakas, eikä tuote.
"Usein sanotaan näin "keräämme tietoja jotta ohjelmistoa voidaan KEHITTÄÄ" mutta jätetään tietoisesti kertomatta "mihin kaikkeen kerättyjä tietoja TODELLA käytetään"."
Tämä ei tarkoita, että kyseessä olisi tietoturva-aukko. Tässähän tietoisesti annetaan lupa kerätä tietoa ja se ei tarkoita, että jotkut virukset mönkisi koneelle.
"Mikä muuten määrittää sen mikä toiminto ohjelmassa on normaalia?"
Esim. jos sinne on piilotettu jotain tällaista: http://fi.wikipedia.org/wiki/Haittaohjelma eikä siellä erikseen ilmoiteta, että "hei me seurataan selaimesi toimintaa ja lähetetään kaatumisraportit tuotekehitystiimille" niin se ei ole enää normaalia.
Asiaton tunkeutuminen yksityisyyteen on väärää, epänormaalia. Moni vaan antaa luvan tunkeutumiselle ymmärtämättä siitä mitään.
Jotkut eivät tajua sitä, että yksityisyys on eri juttu kuin koko aikainen "avointen ovien" kulttuuri.
Ei minun kotiovet ole aina edes avoinna ystävillekään. Tämä ajatus pätee myös tietokoneohjelmissa, en minä halua sitä, että tietokoneeni on koko ajan avoinna kaikille tunkeilijoille (ei vaikka niillä olisi jokin HYVÄ tarkoitus).
Tietoturvan nimessä tehty tunkeutuminen ei aina ole hyvä juttu. Kyllä sitä joutuu etsimään tasapainoa oman yksityisyyden ja tietoturvan suhteen.
Tietokoneohjelmistoja analysoimalla esim. tunkeutumisenesto (IDS) ei rajoitu vain haitallisten toimien tunnistamiseen vaan sillä voi olla ja pitää olla laajempikin merkitys. Sillä voidaan tunnistaa myös muut, viattomilta näyttävät tunkeutumiset yksityisyyteen.
Tunkeutuminen voi olla haitallista tai sitten pelkkää uteliaisuutta. Mutta siitä tietojen jälkikäytöstä ei voi koskaan olla täysin varma. Yleisesti sanotaan "Internet ei koskaan unohda mitään" eli jäljet jäävät pysyviksi.
Ja tämä voi olla pelkästään se uhka jota pitäisi torjua.
Kannattaa siis välttää ohjelmia jotka ovat liian tunkeilevia.
"Asiaton tunkeutuminen yksityisyyteen on väärää, epänormaalia."
Jos kysyy luvan ja itse sallii sen niin ei se sitten.
Kyllä niistä luotettavista ohjelmista saa ruksittua ne tietojen lähetykset pois käytöstä. Esim. Firefox on luotettava ohjelma, ja se lähettää kaatumisraporttia, tietoa laitteiston suorituskyvystä yms. Mozillalle jotta voivat kehittä ohjelmaa paremmaksi. Käytännössä niistä muodostuu valtavasti logia ja sitä datamassaa kun analysoi, löydetään ongelmallisia kohtia ohjelmasta.
Ihan normaalia telemetriaa ja saa poistettua käytöstä.
"tunkeutumisenesto (IDS)"
IDS on tunkeutumisen havaitseminen. Se ei estä.
Tietokone on tuote. Tietokoneohjelma on tuote. Tietokoneen käyttäjä on tuotteiden käyttäjä (asiakas) eli tuotteita julkaiseville uusi hyödynnettävissä oleva "tuote".
Näin asiakasta voidaan hyödyntää muullakin tavalla kuin kertarahastuksella. Eli asiakkasta kerätään tietoja joita voidaan hyödyntää.
IDS on tunkeutumisen havaitseminen. Kyllä, tosin viisas tietokoneen käyttäjä kyllä toimii tunkeutumisen havaitsemisen jälkeen ESTÄVÄSTI. Laitonta väärää tunkeutumista yksityisyyteen voidaan torjua estotoimilla.
Toki viisas tietokoneen käyttäjä osaa hyödyntää IDS:n havaitsemiskykyä ja toimii sen mukaan. Havaitseminen ja estäminen liittyvät toisinsa. (tämä on vähän niinkuin syy ja seuraus suhde) Oletin, että tämä ymmärretään.
Tunkeutumisen havaitseminen (esim. yksityisyyden loukkaus) antaa aiheen suorittaa tarpeellisia seuraustoimia jotka voivat olla estäviä toimia.
Viisas voi toimia saamiensa havaintojen mukaan. Miksi tästä täytyy alkaa vääntää rautalankamallia jokaiselle saivartelijalle erikseen? Tämä on normaalia "ennen - jälkeen" toimintaa eli ensin tulee tai hankitaan havaintoja jostakin ja sitten toimitaan sen mukaan.
Pyydän anteeksi omaa epätäsmällistä kirjoittlelua kun en osannut ennakkoon odottaa näitä pakkomielteisiä saivartelijoita lukijakseni. Näin minä elän eli jos havaitsen (!) ennakkoon itsessäni sairauden oireita niin TOIMIN myös sen mukaan ja tarvittaessa haen hoitoa.
"Tietokoneen käyttäjä on tuotteiden käyttäjä (asiakas)"
Tietysti. Jos maksat, olet asiakas. Jos et maksa niin olet tuote. Näihän se käytännössä yleensä menee.
Facebookin ja Googlen palveluiden käyttäjä on tuote. Asiakkaita taas ne jotka maksaa niistä tiedoista mitä nämä kyttäävät.
"Laitonta väärää tunkeutumista yksityisyyteen voidaan torjua estotoimilla."
Yksityisyyteen tunkeutuminen ei tapahdu tunkeutumalla tietokoneeseen, mitä IDS:t pyrkivät havaitsemaan.
Se tietojen vuotaminen tapahtuu palveluiden kautta. Pitää estää ne palvelut, esim. Google, Facebook jne. ja vastaavat. Niiden käyttö pitää lopettaa kokonaan.
Ehkä et vaan ymmärrä tätä, ne nettipalvelut ovat tietokoneohjelmilla toteutettuja. Ja jos tietokoneohjelma (palvelun toteutus) on liian tunkeileva niin se on sitä sitten.
Palvelutkin voivat olla yksityisyyteen tunkeutuvia.
Palvelujen valintakin on suorittava sen mukaan miten ne yksityisyyttä kunnioittaa. Näin tekee ainakin viisas tietokoneen käyttäjä.
On omaa tyhmyyttä jos jokaiseen valintakysymykseen vastaa "kyllä" tai "hyväksyn". Yksityisyys säilyy tiedostamalla ne yksityisyyden rikkomiset itse ja käyttämällä tarvittaessa tunkeutumisen tunnistavia ohjelmia.
Tunkeutujmisen tunnistuksessa on seurattava dataliikennettä kokonaisuudessaan eli tulevaa ja lähtevää liikennettä. Perusedellytys tälle on kaksisuuntainen palomuuri.
Vaikeampi tunnistus on sitten se, mikä liikenne missäkin tilanteessa on normaalia ja mikä ei. Ei kaikkea liikennettä voida sulkea pois jos mielii olla yhteydessä Internettiin.
Kyse on siis dataliikenteen tunnistamisesta eri käyttötilanteissa. Tunnistaminen ei ole pelkkää "kyllä/ei" asettelua. Haittaohjelmien eräs tuntomerkki on se, että ne aiheuttaa epätavallista odottamatonta liikennettä.
M-Kar kirjoitti
"Yksityisyyteen tunkeutuminen EI tapahdu tunkeutumalla tietokoneeseen, mitä IDS:t pyrkivät havaitsemaan."
Olet väärässä. JOS tietokoneessa on yksityisiä tietoja joita joku ulkopuolinen taho haluaa avata (tutkia) se on kyllä yksityisyyteen tunkeutumista. Yksityinen tieto eroaa julkisesta tiedosta selvästi.
Yksityisyyttä voidaan loukata MONELLA tapaa. Käyttäjien hallinnalla pyritään tieto pitämään käyttäjän tilien mukaisena eli toisten tiedostoihin ei normaalisti päästä käsiksi. Käyttäjätilin käyttöoikeuksia nostamalla (laajentamalla) voidaan päästä käsiksi toisten yksityisiin tietoihin asiattomalla tavalla.
Ymmärrätkö tätä perusajatusta?
Näin tiedonhallinta ja tietoon käsiksi pääsy on varsin LAAJA juttu. Tunkeutuminen itse asiasssa merkitsee sitä, että pyritään päästä tietoon käsiksi johon EI olisi normaaleja käyttöoikeuksia. Vertaa tätä kassakaappiin tunkeutumiseen (murtoon). Lukittu ovi ja käyttäjätilin antamat käyttöoikeudet kansioihin ja tiedostoihin merkitsee samankaltaista tilannetta.
Tunkeutuminen voi olla suora hyökkäys tai salavihkaista peiteltyä toimintaa.
Joko ymmärrät?
"Palvelujen valintakin on suorittava sen mukaan miten ne yksityisyyttä kunnioittaa. Näin tekee ainakin viisas tietokoneen käyttäjä."
99% tietokoneen käyttäjistä ei ole viisaita. Aniharva esim. lukee, mitä käyttöoikeussopimuksessa sanotaan.
Käyttöön otettavia nettipalveluita valittaessa ihmiset keskittyvät helppokäyttöisyyteen, kaikki muu on toissijaista. Monessa tapauksessa myös se vaikuttaa paljon, mitä palvelua muut käyttävät. Itse haluaisin esim. vaihtaa Skypen Jitsiin, mutta ei siitä ole paljoa iloa, jos Skype-kontaktini eivät tule perässä. Ja eiväthän he tule, koska heitä kiinnostaa ainoastaan se, että homma toimii helposti, ohjelman vaihto aiheuttaa liikaa vaivaa.
Lisäksi ohjelman / palvelun tunnettavuus vaikuttaa todella paljon, jos massat tietävät että ohjelmalla X voi tehdä asian Y, niin eivät he lähde etsimään vaihtoehtoja.
"Tunkeutujmisen tunnistuksessa on seurattava dataliikennettä kokonaisuudessaan eli tulevaa ja lähtevää liikennettä."
Se voidaan kryptata.
"Perusedellytys tälle on kaksisuuntainen palomuuri."
Eipä se vaikuta kun tieto menee selaimen kautta portista 80 sinne Googlelle.
"Haittaohjelmien eräs tuntomerkki on se, että ne aiheuttaa epätavallista odottamatonta liikennettä."
Haittaohjelmia ei ilmestyi itsekseen suojattuihin koneisiin.
"JOS tietokoneessa on yksityisiä tietoja joita joku ulkopuolinen taho haluaa avata (tutkia) se on kyllä yksityisyyteen tunkeutumista."
Se ei onnistu suojatuissa koneissa.
"Käyttäjätilin käyttöoikeuksia nostamalla (laajentamalla) voidaan päästä käsiksi toisten yksityisiin tietoihin asiattomalla tavalla."
Se taas tarvitsisi heikkoa salasanaa yms. suojauksen laiminlyöntiä. Sitä kun on turvapäivitykset asennettu, oikeudet rajattu ja salasana asianmukainen, se käyttöoikeuksien nostaminen ei enää ole niin yksinkertaista vaan tarvitsisi paikkaamattoman tietoturva-aukon käyttöjärjestelmästä.
"Lukittu ovi ja käyttäjätilin antamat käyttöoikeudet kansioihin ja tiedostoihin merkitsee samankaltaista tilannetta."
Niin, ja sinä puhut kaiken aikaa jostain sellaisesta skenaariosta että ovi ei olisi lukossa. Ihan kuin sinne omaan suojattuun tietokoneeseen itsestään ilmestyisi jotain ohjelmia mitkä vakoilee.
Änkyrä tubuttaja-saivartelija on itselleen pahin haitake. Eiköhän tämä selviä peiliin katsomisella.
Sovitaan nyt heti alkajaisiksi tästä. Meillä on käyttöjärjestelmiä ja sietokykyä koettelevia haitakejärjestelemiä.
Kun tämän ymmärtää alkaa olla selvillä vesillä.
"miten antivirussoftat voivat tietää pelkällä skannauksella, onko tämä ajettava tiedosto haitake?"
Missään koodissa ei lue mukana, että tämä on paha virus, hähhähhää! Mainitsemassasi tapauksessa ohjelman haitallisuus voidaan tunnistaa tiedoston nimen perusteella (että muilla on ollut siinä lataamasi .exe-tiedoston nimisessä tiedostossa haittakomponentti), koodissa voi toki olla tekijänsä puumerkki, f-secin tapauksessa (ja varmaan monessa muussa ainakin kaupallisista av-ohjelmista) virustorjunta tunnistaa yleisimmät softat ja jos lataamasi .exe ei kuulu tunnettuihin ja luotettaviin ohjelmiin, sen toimintaa seurataan tarkemmin ja se voidaan tosiaan sulkea hiekkalaatikkoon. En tiedä muista av-softista niin yksityiskohtaisesti, mutta f-seciin kuuluu Windowsin oman palomuurin kaksisuuntaistaminen ja ei-normaalin liikenteen valvonta. Mitä troijalaisen kykyyn lähettää tietoa ulospäin tulee, tässä kohtaa palomuurin kaksisuuntaisuus on jätte hyvä asia.
M-Kar:lla on näkemyksiä moneen lähtöön, monet niistä ovat lähtöisin jostain kolmannesta ulottuvuudesta. Veikkaan hänen olevan insinööri, se selittäisi paljon.
ei kannata ladata niitä exe-tiedostoja.
Eihän niitä tarvitsekkaan kuin Windowsissa.
Ymmärtääkseni kyllä kaikissa käyttöjärjestelmissä on jokin keino, jolla kerrotaan että tämä on suoritettavaksi tarkoitettu tiedosto. Windowsissa ne tunnistaa .exe päätteestä (toki on vielä .msi yms.), Linux/unixissa taas kyse on tiedoston parametristä, vai miksi sitä kutsuisi.
Nimenomaan. Lähtökohtaisesti mitään .exe, .msi. .vbs, .vb, .vbs, .com, .cmd, .pif jne. ajettavaa ohjelmatiedostoa ei ikinä saa käynnistää, ellei ole varmistanut etukäteen sen turvallisuudesta. Turvallisuuden varmistamisessa minimivaatimus on se, että tietää kenet tarvittaessa haastaa oikeuteen tai vaikka käy pieksämässä jos ohjelma vakoilee tms. Mitään tuntematonta filehippo tai ilmaisohjelmat.fi ohjelmaa ei ikinä pidä käynnistää.
Ajettavan ohjelmatiedoston käynnistäminen on sama tilanne kuin antaisi asuntonsa avaimet jollekin. Se pitää tehdä aina ehdottoman varmasti luotettavalle.
Edelleenkin sinne suojattuun tietokoneeseen ei itsestään niitä vakoiluohjelmia ilmesty. Sitä kun urpot ihan itse asentelevat jotain "siivousohjelmia" tai muuta skeidaa niin se teettää vain laskutettavaa työtä. Mikään takuu tai kuluttajansuojalaki ei tietenkään auta jos ihan itse sotkee sen koneensa.
Minun puolesta porukka saa sotkea vaikka joka viikko sen tietokoneensa haittaohjelmilla. Rahaahan siitä vaan tulee.
"Lähtökohtaisesti mitään .exe, .msi. .vbs, .vb, .vbs, .com, .cmd, .pif jne. ajettavaa ohjelmatiedostoa ei ikinä saa käynnistää, ellei ole varmistanut etukäteen sen turvallisuudesta."
No ei loppupeleissä se tiedostonpääte, vaan sen sisältö, koska PDF voi todellisuudessa olla EXE, mitä voidaan Windowseilla käyttää hyväksi koska Winukka kiltisti yrittää ajaa tietynpäätteiset tiedostot. Esimerkiksi joitakin sentyyppisiä huijauksia näkee, että arabienkielisellä ensimmäisellä 'näkymättömällä' kirjaimella tiedostosta "fdp.ajrikaisA.exe" saa tiedoston "exe.Asiakirja.pdf" koska arabiankielessä luetaan oikealta vasemmalle. Windows käsittääkseni näyttää tässä PDF-tiedoston ikonin ellei sitten vielä jotakin lisähommia tuon eteen tarvinnut tehdä. :)
Noista mainitsemistasi tiedostoista ainakin Visual Basic Scripteissä sekä CMD-tiedostoissa on se harvinaisuus, että käyttäjä voi verrattain pienellä tietotasolla päätellä jo ihan niitä Notepadilla tarkastelemalla, onko kyseessä haitallinen tiedosto. Ihan ovat "human readable"-tasoa. COM-tiedostoista, joita käytettiin lähinnä MS-DOS-aikoina, voi hyvällä tsägällä saada murusia irti, mutta keskimäärin 95% on täyttä roskaa Notepadilla katsoessa.
EXE-tiedostoja ei kuitenkaan noin vain saa "human readable"-tasolle. Eli ajettavat tiedostot ovat täysin eri asia ja niitä ei tietenkään Notepadilla lueta siten, että niistä mitään irti saisi. Olisikin hienoa jos ymmärrettäisiin esim. PE Explorerin tai IDA Pron avulla ajettavista tiedostoista sen verran, onko niitä syytä ajaa, vaan kun kokeneillekin tuo on aikaavievää puuhaa.
Vieläkään en käsitä, miten kukaan oppii assemblyä eri suorittimille eri syntakseilla ja käskykanta-arkkitehtuureilla siten, että voisi nopeasti päätellä, mitä mitkäkin rivit tekevät. Tässä hyvin vanha pätkä (16-bit x86), joka oli vitsinä eräässä Leisure Suit Larryssä. Kukaan ei varmasti ymmärrä suoriltaan ihan jo siitäkin syystä, että konteksti puuttuu:
INT 21
JB 0103
MOV [OBEA], AX
JMP O2B2
JMP 1451
CS:
TEST BYTE PTR [OC59],01
JZ 0150
CS:
TEST BYTE PTR [OC59], 02
JZ 014F
IRET
INT 21
JB 0103
TEST BYTE PTR [OC59], 04
JZ 0169
CMP AH, 01
JA 014F
Jo se, että tuota käytettiin pelissä tsoukkina on merkki siitä, että ylivoimaiselle enemmistölle assembly yleensäkin on pelkkää hepreaa. Ratkaisu: http://boards.straightdope.com/sdmb/showthread.php?t=653485
"Ymmärtääkseni kyllä kaikissa käyttöjärjestelmissä on jokin keino, jolla kerrotaan että tämä on suoritettavaksi tarkoitettu tiedosto."
Käyttöjärjestelmä osaa analysoida tiedoston, esim. ilmoittaa, mikä on tiedoston "Magic literal data" ja TrID:llä tai jollakin sen tapaisella voi myös nyhtää tietoa irti tiedostosta.
Magic literal data: http://en.wikipedia.org/wiki/Magic_number_(programming)#Examples
File signatures: http://en.wikipedia.org/wiki/List_of_file_signatures
Oma kokemukseni on, että jos vaikkapa Linux-kerneliä käyttävälle distrolle on bash-skripti, joka käy rekursiivisesti läpi kaikki pakatut tiedostot alihakemistoista purkaakseen ne, niin se skripti todennäköisesti tehtäisiin niin, että ohjelma analysoi tiedostot, että ovatko ne kompressoituja tiedostoja, jotka on tarkoitus purkaa. Varmaan PowerShellille sama juttu Windowseissa eli mistään tiedostonpäätteistä ei loppuviimein tarvitse välittää "isojen poikien" tekemissä purkuskripteissä.
Linux-distroissa tiedostosta voi tehdä ajettavan chmodilla:
chmod x "Bash-skripti.sh"
Ei se mitään sinne tiedoston sisään laita, vaan ilmoittaa käyttikselle, että "tämän tiedoston voi ajaa". Eli tuo "x" on tuossa sama kuin "ajettava".
"Protection bits/flags" vai mikälie "mode bits" ovat Linux-jakeluissa "rwxXst", jossa:
r = read = luku
w= write = kirjoitus
x = execute = ajo
X = execute (user-specific) = ajo (jossa lupa ajaa on jollakin käyttäjällä)
s = execute (group-specific) = ajo (jossa lupa ajaa on jollakin ryhmällä)
t = restricted deletion = lupa poistaa vain tietyillä, esim. omistaja t. root
Nämä "mode bitit" menevät vähän eri tavalla Windowseissa ja esim. Amigoissa.
"Edelleenkin sinne suojattuun tietokoneeseen ei itsestään niitä vakoiluohjelmia ilmesty. Sitä kun urpot ihan itse asentelevat jotain "siivousohjelmia" tai muuta skeidaa niin se teettää vain laskutettavaa työtä. Mikään takuu tai kuluttajansuojalaki ei tietenkään auta jos ihan itse sotkee sen koneensa.
Minun puolesta porukka saa sotkea vaikka joka viikko sen tietokoneensa haittaohjelmilla. Rahaahan siitä vaan tulee. "
M-Kar ei tiedä sitä, että haittaohjelma voi tarttua koneeseen ILMAN käyttäjän toimiakin (asennusta). Haittaohjelman saamiseen riittää pelkästään jonkin haitallisen sähköpostiliitteen tai nettisivuston avaaminen ei siinä mitään muuta tarvita. Usein on tarjolla valinta "kyllä ja ei" vaikka valitsee vaihtoehdon EI haittaohjelma asentuu välittämättä mitä olet itse valinnut.
Kannattaa tutustua haittaohjelmien todellisuuteen ennenkuin alkaa syyttelemään käyttäjiä haittaohjelmien asennuksesta. Haittaohjelmien tuottajat kyllä osaavat myös "upottaa" ohjelmiin omia jäyniään ninn ettei tavallinen käyttäjä edes tajua koneensa saastumista.
Näinhän niitä heikosti suojattuja tai huonosti käytettyjä koneita voidaan valjastaa bottiverkon orjaksi. Ei tässä mitään käyttäjän OMIA asennustoimia tarvita, kyllä se haittaohjelma osaa itsekin asentua ILMAN käyttäjän valintoja.
Eivät haittaohjelmien tekijätkään mitään uunoja ole: EI ne tee sellaisia ohjelmia jotka kysyy käyttäjältä: tahdotko tämän haittaohjelman? Valitse siis "kyllä" ja asenna se. Ei ovelimmat haittaohjelmat kysele käyttäjältä lupaa tarttumiseen ja saastuttamiseen.
Jatkahan niitä tietotekniikka opiskeluja M-Kar. Esittämäsi ajatus "Edelleenkin sinne suojattuun tietokoneeseen ei itsestään niitä vakoiluohjelmia ilmesty" on aivan VÄÄRÄ. Ovelimmat haittaohjelmat ovat todellakin itsestään asentuvia eli niitä EI tarvitse asennella käyttäjän toimesta.
"M-Kar ei tiedä sitä, että haittaohjelma voi tarttua koneeseen ILMAN käyttäjän toimiakin (asennusta)."
Se tarvitsee auki olevan turva-aukon. Korjaukset kun asennettu ja tarpeettomat oikeudet rajattu, näin ei käytännössä tapahdu. Tuotahan se suojaaminen on.
Ja kysehän oli nimenomaan suojatuista koneista, eikä sellaisista joissa turva-aukot korjaamatta.
""miten antivirussoftat voivat tietää pelkällä skannauksella, onko tämä ajettava tiedosto haitake?""
Asiallinen kysymys vatii asiallisen vastauksen. Antivirussoftat on "opetettu" tunnistamaan tietyt epätavalliset ja odottamattomat käyttäytymiset tietokoneohjelmissa. Tämä tieto pohjautuu koottuun tietokantaan ja tämä tietokanta sisältää tietoja tunnetuista haittaohjelmista ja niiden toimintavoista.
Tämä tietokanta elää jatkuvasti koska aina tunnistetaan uusia haittaohjelmia.
Antivirussoftilla on vaikeuksia tunnistaa uusia tuntemattomia käyttäytymisiä ohjelmistoissa. Silti näissä on joitakin "oletustoimintoja" joiden mukaan ne "arvaa" onko tämä toiminto haitallinen vai ei. Tässä on eri antivirussoftissa sitten suuria eroja ja tämän vuoksi niiden erottelukyky on toisistaan poikkeava.
Antivirussoftien keskinäistä luokittelua hyviksi ja huonoksi on tämän vuoksi vaikea suorittaa. Jotkut tunnistaa paremmin haittoja ja jotkut heikommin, tähän on vain totuttava. kaiken takana on se koottu tietokanta.
Jotkut antivirussoftat itse ovat pahimman laatuisia haittaohjelmia ne voivat lukita koko tietokoneen ja avauksen saa maksua vastaan. Eli antivirussofta voi olla selvä rahankiristysohjelmakin. Tämän vuoksi kannattaa pysyä hyviksi tunnetuissa (hyvä maineisissa) antivirussoftissa joista on saatu riittävästi tervettä käyttökokemusta.
Yhdessä tietokoneessa ei voi olla kuin yksi antivirussofta yhdellä kertaa. Kilpailusyistä antivirussoftat voivat pitää toisia antivirussoftia haitallisena ja sitten koneen toiminta voi häiriintyä varsin pahasti.
"Antivirussoftilla on vaikeuksia tunnistaa uusia tuntemattomia käyttäytymisiä ohjelmistoissa."
Niin, tämä kannattaa ymmärtää: http://fi.wikipedia.org/wiki/Pysähtymisongelma
Markkinoilla on yksi suuri pakkotyrkky haitake ja sen nimi on Windows. Windows ei pärjää markkinoilla ilman tuota pakkotyrkytystä (esiasennusta).