Trusselen fra ondsinnet kode utenfra, i form av ormer eller virus, har ikke avtatt i år, selv om det i sommer kunne virke svært rolig på overflaten. Men selv uten den stadig pågående Bugbear-epidemien, bidrar Klez og de andre skadesnuttene til at tallet på infiserte e-postmeldinger registrert av MessageLabs Ltd er mange ganger større i år enn i fjor.
Les også:
-
Bugbear-ormen verre enn Klez
Hvor blir det av virusene?
Klez-ormen slår rekordene (igjen og igjen og igjen)
- Vi leverer tjenester. Vi er som et forsikringsselskap. Det dreier seg ikke lenger om å selge programvare med oppdateringer. Vi leverer en tjeneste der kvaliteten må holdes vedlike og bekreftes igjen og igjen.
En følge av dette er at oppdatering av virusvern, som før kunne leveres med jevne mellomrom i form av kode som kunden kunne installere på et passende tidspunkt, nå må sendes ut til kundene straks den er klar. Hos Norman har dette ført til en døgnkontinuerlig beredskapsordning, og til en oppdateringsmetode der bare tilleggene sendes ut til kundene, i en form der de installerer seg selv - i likhet med for eksempel konkurrenten Symantecs "Live Update".
- Dette vil være klart for alle kunder innen et par måneder, forsikrer utviklingssjef Steinar Wigtil. - Abonnementstjenesten vi har hatt hittil, der kundene har hatt anledning til å velge mellom manuell og automatisk installasjon, har gitt en svært interessant erfaring. Alle kundene våre som har opplevd å bli smittet i det siste, har satset på manuell oppdatering, og blitt rammet fordi de har forsømt sine egne rutiner. I framtiden vil det være uansvarlig å ikke satse på automatiske oppdateringsrutiner.
En annen følge er at virusverntjenester retter seg ikke lenger bare til PC-brukerne.
- Løsningene retter seg i stadig større grad mot serverne, og beskyttelse av brukerne, også fjernbrukere, tas derfra, sier Hansen. - Serverprogramvaren må driftes. Vi har laget grensesnitt mot SNMP ["simple network management protocol"], slik at driftingen kan skje over konsoller til de kjente allmenne driftsverktøyene.
Det svarer til behovet for å stanse smittekode før den når fram til ikke alltid like bevisste brukere. Noen organisasjoner gjør dette i egne servere. Andre tyr til tjenester, der de gir utenforstående adgang til bedriftens inn- og utgående e-post, med ansvar for å vasken den. Det gir virkelig sinnsro. Burde ikke dette være et tilbud fra internettilbydere?
- Det er mulig å legge virusbeskyttelse på tilbydernes servere, svarer Wigtil. - Men det er motforestillinger. Tilbyderne vegrer seg på grunn av de store datastrømmene de da må sile. Skal man greie store volumer effektivt, må teknologien forbedres. Men vi har begynt å se på dette, og sondere mulige samarbeid.
En mer prinsipiell motforestilling er at tilbyderne skal begrense seg til å dirigere trafikken, ikke granske pakkene som den består av.
- Tillater man tilbyderne å filtrere trafikk og stanse pakker på grunn av innhold, oppretter man et apparat som kan misbrukes til å skanne for annet enn virus, og man utsetter seg for mistanke om at slikt skulle foregå. Men det er klart at når det gjelder kjente virus, ville det vært svært effektivt å stoppe dem hos tilbyderne.
Et annet fenomen i tiden er at virus bruker flere metoder til å spre seg. I begynnelsen av oktober dukket ormen Opaserv opp. Den sprer seg ikke gjennom e-post, men gjennom fildeling, og erfaringen er at den greier å spre seg nesten like raskt som Bugbear. Denne spredningsformen følger populariteten til filutvekslingsnettverk ("peer to peer"), der brukere gjør private kataloger åpent tilgjengelige over Internett.
- Også e-postormer utvikler seg. Det er en tendens til at de ikke lenger gjør seg avhengige av bestemte e-postklienter, men går rett på serveren når de skal spre seg.
Det faktum at nye virus, blant dem Bugbear, har innebygget antiantivirus, slik at de setter antivirus ute av spill hos brukere uten oppdatert virusvern, er nok et argument for serverbasert virusvern. Det går raskere å få oppdateringer ut til et begrenset antall servere, enn til et stort antall enkeltbrukere, og profesjonelt driftede servere vil ha lettere for å oppdage at virusvernet er satt ut av spill, enn brukere som ifølge sin arbeidsinstruks skal fokusere på helt andre ting enn IT.
- At Klez-epidemien vedvarer, tyder på at også dette viruset har en form for antiantivirus. Antiantivirus er for så vidt ikke nytt, men det er klart mer effektivt. Det kan ha som virkning at eldre virus får nytt liv.
Følgelig er det behov for antiantiantivirus. Siden forutsetningen for antiantivirus er at virus trenger gjennom antivirus, er Normans Sandbox-teknologi, som skal kunne stanse virus man ikke kjenner signaturen til, en form for antiantiantivirus.
Les også:
- Vi kommer snart ut med første generasjon av Sandbox, og vil etter hvert utvide beskyttelsesmekanismene og kjøre teknologien inn i alle våre produkter.
