אנטי וירוס לעסקים עם Sandbox, מה זה נותן ואיך זה עובד?

אנטי וירוס לעסקים עם Sandbox מריץ קבצים חשודים בסביבה מבודדת ובוחן את התנהגותם בלי לסכן את הרשת, ובמצב חסימה גם לפני שהם מגיעים למשתמש. לפי Bitdefender, כך אפשר לבחון גם קבצים שנותרים נסתרים משירותי אנטי וירוס מבוססי חתימות. אופק דיסט, חברת הפצה, ייעוץ ותמיכה בפתרונות אבטחת מידע, ענן ותקשורת, שפועלת מאז 2006 ומשרדיה בפתח תקווה, מפיצה בישראל את Bitdefender GravityZone. לפי Bitdefender, Sandbox Analyzer מופיע ברשימת המודולים של חבילת Business Security Premium.

בקצרה

• לפי מילון המונחים של NIST, ארגז חול (sandbox) הוא סביבת הרצה מוגבלת ומבוקרת, שמונעת מתוכנה שעלולה להיות זדונית לגשת למשאבי מערכת מלבד אלה שהיא מורשית להם.
• לפי Bitdefender, Sandbox Analyzer מריץ קבצים בסביבה וירטואלית מבודדת שמתארחת אצל Bitdefender, מנתח את התנהגותם ומדווח על שינויים במערכת שמעידים על כוונה זדונית.
• לפי Bitdefender, מודול השליחה האוטומטית זמין לתחנות עבודה ולשרתים עם Windows, מגבלת ההעלאה היא 50 MB לקובץ, והניתוח יכול להימשך כמה דקות.

מה זה Sandbox באנטי וירוס לעסקים?

Sandbox הוא סביבה מבודדת שבה מריצים קובץ חשוד כדי לראות מה הוא עושה. לפי מילון המונחים של NIST (בהסתמך על CNSSI 4009), ארגז חול הוא סביבת הרצה מוגבלת ומבוקרת, שמונעת מתוכנה שעלולה להיות זדונית, כמו קוד נייד, לגשת למשאבי מערכת מלבד אלה שהיא מורשית להם. במילים פשוטות, הקובץ רץ בחדר סגור, ומגיע רק למשאבי המערכת שהורשו לו מראש.

לפי אתר אופק דיסט, טכנולוגיית Sandbox מריצה קבצים חשודים בסביבה מבודדת לפני שהם מגיעים למשתמש, ובוחנת את התנהגותם בלי לסכן את הרשת. לפי Bitdefender, הבדיקה לפני שהקובץ מגיע למשתמש מתקיימת במצב חסימה, ובמצב ניטור הגישה לקובץ מתאפשרת בזמן הניתוח.

ההבדל מאנטי וירוס מבוסס חתימות הוא בשאלה שבודקים. חתימה בודקת אם הקובץ מוכר כזדוני, ו-Sandbox בודק מה הקובץ עושה בפועל. לפי Bitdefender, נוזקה פולימורפית יכולה לשנות את מבנה הקוד שלה כדי לעקוף זיהוי מסורתי מבוסס חתימות. באנטי וירוס לעסקים פועלות כמה שכבות זיהוי, וכל אחת שואלת שאלה אחרת. הנה שלוש מהן.

• חתימה: השוואה למאגר של קבצים זדוניים מוכרים.
• למידת מכונה: זיהוי מאפיינים חשודים בקובץ לפני ההרצה.
• Sandbox: הרצה בסביבה מבודדת ובחינת ההתנהגות.

איך Sandbox Analyzer של Bitdefender עובד?

לפי Bitdefender, Sandbox Analyzer מפעיל מגוון טכנולוגיות של Bitdefender שמריצות את הקבצים בסביבה וירטואלית מבודדת שמתארחת אצל Bitdefender, מנתחות את התנהגותם ומדווחות על שינויים עדינים במערכת שמעידים על כוונה זדונית. לפי Bitdefender, Sandbox Analyzer שולח אוטומטית קבצים חשודים שנמצאים בנקודות הקצה המנוהלות ונותרים נסתרים משירותי אנטי וירוס מבוססי חתימות.

לפי Bitdefender, יוריסטיקות ייעודיות במודול הסריקה בגישה (on-access) של הסוכן מפעילות את השליחה. לפי Bitdefender, למשל כשמשתמש קצה ניגש לקובץ חדש ולא מוכר, מופעלות קודם למידת מכונה ו-HyperDetect, ואם הקובץ דורש ניתוח נוסף הוא נשלח אוטומטית לארגז החול בענן. לפי Bitdefender, בהתאם למדיניות שהוגדרה, תוצאות הניתוח קובעות אם הקובץ יאושר או ייחסם, ואם התוצאה היא שהקובץ זדוני, שירות מודיעין האיומים של Bitdefender אמור להתעדכן אוטומטית.

מה קורה לקובץ בזמן הניתוח, וכמה זמן זה לוקח?

לפי Bitdefender, הגישה לקובץ החשוד מתאפשרת או נמנעת עד שמתקבלת תוצאת הניתוח, בהתאם למצב שהוגדר, ניטור או חסימה. לפי Bitdefender, הניתוח, שנקרא detonation, יכול להימשך כמה דקות, בהתאם למורכבות. לפי Bitdefender, שירות Sandbox Analyzer מסוגל למנוע מאיומים לא מוכרים לרוץ בנקודת הקצה. לפי Bitdefender, איומים שמתגלים מטופלים אוטומטית לפי פעולות התיקון שהוגדרו במדיניות האבטחה.

הבחירה בין מצב ניטור למצב חסימה היא החלטה של הארגון. במצב חסימה משתמש עשוי להמתין לקובץ חשוד שנשלח לניתוח עד שמתקבלת תוצאת הניתוח, ובמצב ניטור הגישה לקובץ מתאפשרת, אם כי לפי Bitdefender מומלץ לא להריץ אותו עד קבלת התוצאה.

אילו קבצים נשלחים ל-Sandbox, ומה המגבלות?

לפי Bitdefender, סוגי האובייקטים שנתמכים בשליחה אוטומטית ל-Sandbox Analyzer הם יישומים, מסמכים, סקריפטים, ארכיונים והודעות מייל. לפי Bitdefender, מודול השליחה האוטומטית זמין לתחנות עבודה ולשרתים עם Windows, ומגבלת ההעלאה לכל קובץ או ארכיון היא 50 MB.

לפי Bitdefender, בנקודות קצה Linux אפשר לשלוח דגימות ל-Sandbox Analyzer רק ידנית, ויש לוודא שרישיון GravityZone כולל את Sandbox Analyzer. לפני ההקמה כדאי למפות אילו נקודות קצה בארגון הן Windows ואילו Linux, ולבדוק שהרישיון שנרכש כולל את המודול.

באיזו חבילה של Bitdefender יש Sandbox?

לפי Bitdefender, GravityZone Business Security Premium מציעה מניעת איומים, תיקון וניתוח אירועים באופן אוטומטי, יחד עם ארגז חול מבוסס ענן, ו-Sandbox Analyzer מופיע ברשימת המודולים הכלולים בחבילה. לפי Bitdefender, בחבילה הזאת טכנולוגיות ללא חתימות, בהן למידת מכונה מקומית ובענן, ניתוח התנהגות, ארגז חול משולב והקשחת התקנים, פועלות כהגנה רב-שכבתית מפני איומים מתוחכמים, בסוכן אחד ובקונסולה אחת.

לפי Bitdefender, GravityZone Business Security Enterprise כוללת שכבות הגנה מתקדמות כמו Fileless Attack Defense, HyperDetect ו-Sandbox Analyzer, והפתרון כולל EDR. בעמוד Bitdefender באתר אופק דיסט, חבילת Business Security Premium מתוארת כחבילה שכוללת, בין השאר, Sandbox, הגנה מפני Fileless Attacks, מניעת כופר והפחתת נזקים.

Summary

אנטי וירוס לעסקים עם Sandbox מוסיף לחתימות וללמידת מכונה שכבה שבודקת מה הקובץ עושה בפועל, בסביבה מבודדת. לפי Bitdefender, Sandbox Analyzer שולח אוטומטית קבצים חשודים מנקודות קצה Windows, מנתח אותם בענן של Bitdefender ומחזיר תוצאה, זדוני או לא זדוני. לפי Bitdefender, הוא מופיע ברשימת המודולים של Business Security Premium. אופק דיסט מפיצה בישראל את Bitdefender GravityZone.

לתיאום ייעוץ, צוות אופק דיסט זמין בטלפון 073-22-00-123.

שאלות נפוצות על אנטי וירוס לעסקים עם Sandbox