Kiristysohjelmilta puolustautuvat ovat pitkään olleet jahdissa jälkijunassa. Siihen mennessä, kun tietoturvatiimi huomaa jotain olevan vialla, tiedostot ovat usein jo salattu ja hyökkääjä on siirtynyt kiristysvaiheeseen. Tuore raportti tekoälypohjaisesta uhkametsinnästä kuvaa erilaista lähestymistapaa: polymorfisen kiristysohjelman kiinnisaaminen ennen kuin se ehtii salata dataa, käyttämällä ytintason poikkeamien havainnointia, entropian muutoksia ja automaattista eristämistä.

Miksi polymorfinen kiristysohjelma on vaikeampi havaita

Perinteiset virustorjuntatyökalut luottavat vahvasti allekirjoituksiin, jotka ovat käytännössä tunnettujen haitallisten tiedostojen digitaalisia sormenjälkiä. Polymorfinen kiristysohjelma kiertää tämän puolustuksen muuttamalla jatkuvasti omaa koodirakennettaan säilyttäen samalla sen taustalla olevan toiminnon ennallaan. Jokainen uusi versio voi näyttää riittävän erilaiselta päästäkseen allekirjoituspohjaisten skannerien ohi, vaikka se tekee edelleen samaa työtä: lukitsee tiedostoja ja vaatii maksua.

Tämä ei ole puhtaasti teoreettinen ongelma. Kiristysohjelmaoperaattorit ovat yhä enemmän nojautuneet itse tekoälytyökaluihin tehdäkseen haittaohjelmistaan mukautuvampia ja vaikeammin sormenjäljitettäviä. Tutkimus Aurora-kiristysohjelmaoperaattorin tekoälykoodausagentin käytöstä kymmenessä verkossa havainnollistaa, kuinka hyökkääjät käyttävät jo automaatiota toimintansa skaalaamiseen ja säätämiseen, mikä lisää painetta puolustajille vastata yhtä mukautuvilla työkaluilla staattisen, listapohjaisen havaitsemisen sijaan.

Miten tekoälypohjainen uhkametsintä toimii ennen salauksen alkamista

Sen sijaan, että odotettaisiin haitallisen tiedoston allekirjoituksen täsmäävän tunnettuun uhkaan, raportissa kuvatut tekoälypohjaiset uhkametsintäjärjestelmät keskittyvät käyttäytymiseen syvällä järjestelmän sisällä, ytimen tasolla. Tämä on käyttöjärjestelmän ydinkerros, joka hallinnoi sitä, miten ohjelmisto on vuorovaikutuksessa laitteiston ja järjestelmäresurssien kanssa. Näin syvällä tapahtuva seuranta mahdollistaa tietoturvatyökalujen havaita epätavallisia kaavoja, kuten prosessin, joka yhtäkkiä yrittää lukea ja kirjoittaa uudelleen suuria määriä tiedostoja nopeassa tahdissa — käyttäytyminen, joka on johdonmukaista salausrutiinin varhaisten vaiheiden kanssa.

Toinen esiin nostettu tekniikka on entropian muutosten tarkkailu. Entropia tarkoittaa tässä yhteydessä tiedoston sisältämän datan satunnaisuutta. Kun kiristysohjelma salaa tiedoston, tuloksena oleva data näyttää paljon satunnaisemmalta kuin alkuperäinen sisältö. Tekoälypohjaiset työkalut voivat merkitä jyrkän entropian kasvun varhaiseksi varoitusmerkiksi siitä, että salaus on käynnissä, joskus ennen kuin merkittävä osa järjestelmän tiedostoista on todella lukittu.

Kun nämä signaalit havaitaan, kuvatut järjestelmät siirtyvät automaattiseen eristämiseen, katkaisten sairastuneen prosessin tai päätepisteen yhteyden muuhun verkkoon ennen kuin kiristysohjelma voi levitä edelleen tai suorittaa salausrutiininsa loppuun. Tavoitteena on tiivistää vasteikkuna tunneista tai minuuteista mahdollisimman varhaiseen hetkeen, mieluiten ennen kuin yhtään tiedostoa menetetään.

Ytintason seurannan yksityisyyden hinta

Uhkien kiinnisaaminen näin varhain vaatii näkyvyyttä, joka ulottuu paljon syvemmälle kuin tyypillinen tietoturvaohjelmisto. Ytintason seuranta tarkoittaa, että työkalulla on laaja pääsy prosessitoimintaan, tiedostotoimintoihin ja järjestelmäkutsuihin koko laitteella tai verkossa. Tämä pääsy on tehokas kiristysohjelmien pysäyttämisessä, mutta se herättää myös perusteltuja yksityisyyskysymyksiä, erityisesti yksilöille ja organisaatioille, jotka punnitsevat, kuinka paljon seurantaa he ovat valmiita sallimaan.

Yrityksille tämä tarkoittaa, että työntekijöiden laitteet voivat olla jatkuvan, matalan tason käyttäytymisanalyysin kohteena, ei vain tunnettujen haittaohjelmien skannausta. Yksittäisille käyttäjille on syytä ymmärtää, että mikä tahansa tällä syvyydellä toimiva tietoturvatuote saa merkittävän käsityksen siitä, miten laitetta käytetään. Tämä ei tarkoita, että tällaiset työkalut olisivat luonnostaan tunkeilevia, mutta se tarkoittaa, että tietoturvaohjelmiston valintaan liittyy kompromissi havaitsemiskyvyn ja myönnetyn järjestelmäpääsyn määrän välillä. Myyjän tietojenkäsittelykäytäntöjen lukeminen ja sen ymmärtäminen, mitä telemetriaa kerätään ja minne se lähetetään, on järkevä askel ennen ytintason seurantatyökalujen käyttöönottoa, erityisesti yksityisyydelle herkissä ympäristöissä.

Mitä tämä tarkoittaa sinulle

Jos hallinnoit organisaation IT-tietoturvaa, siirtyminen kohti ennen salausta tapahtuvaa havaitsemista on huomion arvoista, koska se vastaa todelliseen aukkoon: monet puolustukset olettavat edelleen, että kiristysohjelma havaitaan allekirjoitus täsmäyksellä, jota polymorfiset variantit on erityisesti suunniteltu kiertämään. Samalla syvempien seurantatyökalujen käyttöönoton yhteydessä tulisi tehdä selkeä katsaus siihen, mitä dataa työkalut keräävät ja kuinka kauan sitä säilytetään.

Yksittäisille käyttäjille käytännön opetus liittyy vähemmän ytintason työkaluihin, joita tyypillisesti käytetään yritysympäristöissä, ja enemmän valppaana pysymiseen laajemmasta trendistä. Kiristysohjelmaryhmät käyttävät tekoälyä tehdäkseen hyökkäyksistään vaikeammin havaittavia, ja puolustajat vastaavat samalla tavalla. Järjestelmien pitäminen päivitettyinä, offline-varmuuskopioiden ylläpitäminen ja varovaisuus tuntemattomien liitteiden tai linkkien kanssa ovat edelleen perustason suojauksia riippumatta siitä, kuinka kehittyneeksi havaitsemisteknologia tulee.

Käytännön opit

  • Kysy suoraan tietoturvamyyjiltä, mitä ytintason telemetriaa heidän työkalunsa keräävät ja miten kyseinen data tallennetaan tai jaetaan.
  • Ylläpidä offline- tai muuttumattomia varmuuskopioita, jotta edes nopeasti etenevä kiristysohjelmayritys ei aseta kaikkea dataasi riskiin.
  • Pidä käyttöjärjestelmät ja tietoturvaohjelmistot päivitettyinä, koska varhaisen havaitsemisen työkalut toimivat parhaiten yleisesti kovetetussa ympäristössä.
  • Pysy ajan tasalla siitä, miten tekoälyä käytetään kiristysohjelmataistelun molemmin puolin, koska hyökkääjien tekniikat ja puolustustyökalut kehittyvät yhdessä.

Tekoälypohjainen uhkametsintä ei poista kiristysohjelmia, mutta pyrkimykset pysäyttää ne ennen salauksen alkamista merkitsevät merkittävää siirtymää pois reaktiivisesta tietoturvasta. Sekä näiden työkalujen ominaisuuksien että yksityisyyskompromissien ymmärtäminen auttaa organisaatioita ja yksilöitä tekemään tietoisempia valintoja teknologian yleistyessä.