Norman Sandbox teknologia - miten ja miksi?
Tässä artikkelissa selvitämme sinulle, miten Norman Sandbox toimii käytännössä ja miten se poikkeaa muista tarjolla olevista ratkaisuista.
Ensinnäkin, Norman Sandbox on täysin simuloitu tietokone.
Kun tiedosto virustarkistetaan ensimmäisen kerran NVC skannerikoneiston alustuksen jälkeen, simuloitu tietokone käynnistyy tietokoneen keskusmuistissa. Käynnistysvaihe alkaa simuloidusta ROM BIOS:sta, joka lukee simuloidun kiintolevyn käynnistyssektorit ja suorittaa niissä sijaitsevat ohjelmat. Ne lataavat käyttöjärjestelmän järjestelmätiedostot, jotka puolestaan lataavat komentokehotteen. Tästä käynnistetystä puhtaasta tietokoneesta otetaan kopio, jota käytetään myöhemmissä virustarkistuksissa.
Simuloidulla kiintolevyllä on tiedostojärjestelmä (FAT) sekä muita tiedostoja. Kun järjestelmä on käynnissä, virustarkistettava tiedosto kopioidaan simuloidulle kiintolevylle, jonka jälkeen se suoritetaan. Tiedosto voi nyt tehdä ihan mitä se haluaa. Se voi infektoida tiedot. Se voi tuhota tiedostoja. Se voi kopioida itseänsä verkossa. Se voi avata yhteyden IRC palvelimiin. Se voi lähettää sähköpostiviestejä. Se voi asettua kuuntelemaan portteja.
Normanin ohjelma rekisteröi kaikki tiedoston suorittamat toimenpiteet, koska tiedoston sisältämät komennot suoritetaan emulaattorissa.
Mitään ohjelmaa tai komentoja ei suoriteta oikean tietokoneen prosessorissa (CPU) pois lukien NVC emulaattori - jopa simuloidun tietokoneen laitteisto eli kovo on emuloitu.
Muissa Sandboxin tyyppisissä ratkaisuissa vain osa ympäristöstä on virtuaalinen - tarkistettava ohjelmakoodi suoritetaan käytössä olevan tietokoneen todellisessa CPU:ssa. Kun kyseinen ohjelmakoodi yrittää esimerkiksi keskustella Windowsin kanssa, koodille annetaan vastaukset, jotka näyttävät tulevan käyttöjärjestelmästä, mutta tulevatkin toisesta koodista, joka toimii tai ei toimi todellisessa CPU:ssa. Näkemyksemme mukaan tämä on turvaton ratkaisumalli eikä se tarjoa haluamaamme joustavuutta.
Otetaan esimerkiksi ohjelmatiedosto, jossa on jonkinlaista ylivuotoa tai outoa koodiyhdistelmää ja joka on suunniteltu murtautumaan ulos rajoitetusta käyttöympäristöstään. Jos tällainen ohjelma suoritetaan todellisessa CPU:ssa, se pääsee todelliseen muistiin ja todellisiin CPU -rekistereihin ja voi näin ollen päästä karkaamaan "Sandboxista" ja kaataa sen.
Jos tällainen ohjelmatiedosto suoritetaan täydellisesti emuloidussa CPU:ssa, koodi pystyisi varmasti kaatamaan simuloidun tietokoneen; asettamaan CPU:n suorittamaan päättymätöntä silmukkaa; poistamaan kaikki tiedostot; mutta kaikki tämä tapahtuisi simuloidussa tietokoneessa . Emulaattorin koneisto sanoisi vain - "Hmm, simuloitu tietokone ei vastaa, suljetaan simulointi." - tai jos koodi on todella omituinen - "Tätä koodia tai pyyntöä ei tueta. Suljetaan simulointi."
Tarkoitus ei ole ainoastaan seurata ja tuhota mahdollisesti vahingollinen koodi reaaliajassa, kuten yleensä.
Tarkoitus on selvittää, mitä ohjelma olisi tehnyt jos sen olisi annettu toimia vapaasti suojaamattomassa koneessa, suojaamattomassa verkossa.
Jopa silloin kun NVC on käytössä Netware -palvelimella, Linuxissa, OS/2:ssa tai DOS:ssa.
Virushälytys Sasser.B
Sasser.A
Netsky.D
Netsky.Q
Netsky.P
Bagle.C
Netsky.B
Swen.A
Blaster.A
Klez.H
Wallon.A
Sasser.F
Cycle.A
Sasser.D
Sasser.C
Netsky.AC
Netsky.AB
Sober.F
Sober.D
MyDoom.F
Latest virus definiton file>> 2004-05-13
Special Latest virus definiton file
Tietoturvaneuvonta>> New vulnerabilities in Windows - exploit source code available on the Internet
>> New vulnerability in Windows operating systems could allow remote code execution
Tietoturva-asiaa>> "You ain't seen nothing yet" - or - The Warhol worm and worse
>> 2003 - the worst year ever regarding malicious programs?
Norman is one of the world's leading companies within the field of data security. With products for antivirus (virus control), personal firewall, antispam, encryption, data recovery, and certified data erasure, the company plays an important role in the data industry.
Tässä artikkelissa selvitämme sinulle, miten Norman Sandbox toimii käytännössä ja miten se poikkeaa muista tarjolla olevista ratkaisuista.
Ensinnäkin, Norman Sandbox on täysin simuloitu tietokone.
Kun tiedosto virustarkistetaan ensimmäisen kerran NVC skannerikoneiston alustuksen jälkeen, simuloitu tietokone käynnistyy tietokoneen keskusmuistissa. Käynnistysvaihe alkaa simuloidusta ROM BIOS:sta, joka lukee simuloidun kiintolevyn käynnistyssektorit ja suorittaa niissä sijaitsevat ohjelmat. Ne lataavat käyttöjärjestelmän järjestelmätiedostot, jotka puolestaan lataavat komentokehotteen. Tästä käynnistetystä puhtaasta tietokoneesta otetaan kopio, jota käytetään myöhemmissä virustarkistuksissa.
Simuloidulla kiintolevyllä on tiedostojärjestelmä (FAT) sekä muita tiedostoja. Kun järjestelmä on käynnissä, virustarkistettava tiedosto kopioidaan simuloidulle kiintolevylle, jonka jälkeen se suoritetaan. Tiedosto voi nyt tehdä ihan mitä se haluaa. Se voi infektoida tiedot. Se voi tuhota tiedostoja. Se voi kopioida itseänsä verkossa. Se voi avata yhteyden IRC palvelimiin. Se voi lähettää sähköpostiviestejä. Se voi asettua kuuntelemaan portteja.
Normanin ohjelma rekisteröi kaikki tiedoston suorittamat toimenpiteet, koska tiedoston sisältämät komennot suoritetaan emulaattorissa.
Mitään ohjelmaa tai komentoja ei suoriteta oikean tietokoneen prosessorissa (CPU) pois lukien NVC emulaattori - jopa simuloidun tietokoneen laitteisto eli kovo on emuloitu.
Muissa Sandboxin tyyppisissä ratkaisuissa vain osa ympäristöstä on virtuaalinen - tarkistettava ohjelmakoodi suoritetaan käytössä olevan tietokoneen todellisessa CPU:ssa. Kun kyseinen ohjelmakoodi yrittää esimerkiksi keskustella Windowsin kanssa, koodille annetaan vastaukset, jotka näyttävät tulevan käyttöjärjestelmästä, mutta tulevatkin toisesta koodista, joka toimii tai ei toimi todellisessa CPU:ssa. Näkemyksemme mukaan tämä on turvaton ratkaisumalli eikä se tarjoa haluamaamme joustavuutta.
Otetaan esimerkiksi ohjelmatiedosto, jossa on jonkinlaista ylivuotoa tai outoa koodiyhdistelmää ja joka on suunniteltu murtautumaan ulos rajoitetusta käyttöympäristöstään. Jos tällainen ohjelma suoritetaan todellisessa CPU:ssa, se pääsee todelliseen muistiin ja todellisiin CPU -rekistereihin ja voi näin ollen päästä karkaamaan "Sandboxista" ja kaataa sen.
Jos tällainen ohjelmatiedosto suoritetaan täydellisesti emuloidussa CPU:ssa, koodi pystyisi varmasti kaatamaan simuloidun tietokoneen; asettamaan CPU:n suorittamaan päättymätöntä silmukkaa; poistamaan kaikki tiedostot; mutta kaikki tämä tapahtuisi simuloidussa tietokoneessa . Emulaattorin koneisto sanoisi vain - "Hmm, simuloitu tietokone ei vastaa, suljetaan simulointi." - tai jos koodi on todella omituinen - "Tätä koodia tai pyyntöä ei tueta. Suljetaan simulointi."
Tarkoitus ei ole ainoastaan seurata ja tuhota mahdollisesti vahingollinen koodi reaaliajassa, kuten yleensä.
Tarkoitus on selvittää, mitä ohjelma olisi tehnyt jos sen olisi annettu toimia vapaasti suojaamattomassa koneessa, suojaamattomassa verkossa.
Jopa silloin kun NVC on käytössä Netware -palvelimella, Linuxissa, OS/2:ssa tai DOS:ssa.
Virushälytys Sasser.B
Sasser.A
Netsky.D
Netsky.Q
Netsky.P
Bagle.C
Netsky.B
Swen.A
Blaster.A
Klez.H
Wallon.A
Sasser.F
Cycle.A
Sasser.D
Sasser.C
Netsky.AC
Netsky.AB
Sober.F
Sober.D
MyDoom.F
Latest virus definiton file>> 2004-05-13
Special Latest virus definiton file
Tietoturvaneuvonta>> New vulnerabilities in Windows - exploit source code available on the Internet
>> New vulnerability in Windows operating systems could allow remote code execution
Tietoturva-asiaa>> "You ain't seen nothing yet" - or - The Warhol worm and worse
>> 2003 - the worst year ever regarding malicious programs?
Norman is one of the world's leading companies within the field of data security. With products for antivirus (virus control), personal firewall, antispam, encryption, data recovery, and certified data erasure, the company plays an important role in the data industry.
Vastaukset
Vanhimmat
Ei vielä vastauksia
Aloittaja odottaa vastauksia. Kerro oma näkemyksesi ensimmäisenä.