bardóczi ákos @post.r

Míg az előző posztomban inkább elméleti síkon foglalkoztam azzal, hogy hogyan előzhetőek meg a gép vagy akár a teljes céges hálózat adattartalmát letaroló vírusok okozta károk, ebben a posztban lépésről lépésre leírom, hogy az otthoni felhasználó mit tehet annak érdekében, hogy a legújabb keletű, ún. ransomware kártevőktől megvédje magát. A leírás persze nem lehet mindenre kiterjedő, másrészt ahogy az elcsépelt mondás is tartja „100%-os védelem nincs”. Valóban nincs száz százalékos védelem, viszont hiszem, hogy közel 100%-os viszont van. A cikk megírásakor feltételezem, hogy a felhasználó windowsos vagy OSX-es rendszert használ és nem kattint rá mindenre, amiről ordít, hogy valamilyen kártevőt tartalmaz.

Az első, hogy legyen a gépen valamilyen, kellően független szervezet által hatékonynak talált védelmi program, ami rendszereint magába foglalja magát az antivírus motort, egy kezdetleges szoftveres tűzfalat és egyébként funkciókat. Ezek többsége már jóideje nem csak a külső támadásoktól védik meg a felhasználókat, hanem önmaguktól is: azaz például sokszor esetben meg tudják fékezni a fertőzést akkor is, ha a felhasználó tudatlanságból kattintott egy emailen érkező, malware-t tartalmazó csatolt fájlra. Sokszor, de nem mindig! Nem szabad csupán a szoftveres védelmi megoldásra hagyatkozni.

Arról, hogy aktuálisan mik a világ legjobb végponti védelmi termékei, az http://www.av-comparatives.org/comparatives-reviews/ oldalról tájékozódhatunk, amik különböző szempontok szerint rendszeresen értékelik az AV termékeket. Több helyen lehetett olvasni, hogy a világ legjobb vírusirtóinak körülbelül a fele otthoni használatra ingyenes.

A megállapítás igaz is és nem is. Mivel több terméknek csak a freemium verziója ingyenesen használható, azaz csak a legelemibb védelmi funkciókat látja el, abban az esetben, ha már komolyabb védelemre van szükség, licenszt kell vásárolni a termék teljes verziójához. Persze van, ahol a termék lényegében tényleg ingyenes otthoni felhasználásra, csupán a telefonos terméktámogatás igénybevételéhez van szükség licenszre.

Attól, hogy egy termék ingyenes, még lehet jó. Az AV-comparatives által ugyan nem jegyzett, Comodo Internet Security egy szokatlanul finomhangolható és kifinomult védelmi megoldás, a szolgáltatást pedig alighanem azért tudják ingyenesen biztosítani, mert a Comodo főprofilja nem a végfelhasználóknak szánt védelmi megoldások fejlesztése, viszont egy ilyen termék nagyban erősíti a cég brandjét. Hasonló üzleti modellel működő termékek vannak még bőven, az pedig már-már hitkérdés, hogy egy ingyenes termék lehet-e annyira hatékony, mint egy fizetős. A válasz egyszerűen az, hogy abban az esetben, hogy ha a cégnek van miből ingyen kínálható terméket fejleszteni, akkor lehetséges, az üzleti modell viszont rendszerint messze nem olyan világos, mint például a Comodo esetén.

Néhány évvel ezelőtt nem kis cirkusz volt belőle, amikor a fizetős Kaspersky a saját vírusdefiníciós adatbázisába [ami alapján a motor felismeri az új kártevőket] elhelyezett 10-15 kamu szignatúrát. Azaz olyan vírust jelző szignatúrát, ami alapján a termék vírusként ismert fel egyébként ártalmatlan fájlokat. Nem telt bele néhány hét, több ingyenes konkurens termék vírusdefiníciós adatbázisában ugyanezek a szignatúrák megjelentek, ami bizonyító erővel igazolta, hogy bizony az ingyenes gyártók némelyike energiatakarékosra fogta a figurát a fejlesztés során és egyszerűen kilopta a Kaspersky adatbázisából a szignatúrákat, ráadásul anélkül, hogy ellenőrizték volna, hogy azok tényleg malware-aktivitás jelei-e.

Amit még nagyon érdemes észben tartani, hogy teljesen mindegy, hogy mit mond a zöldséges, szomszéd, kolléga, haver azzal kapcsolatban, hogy mi a legbiztosabb AV-termék, sose higgyünk neki! Még azok, akik hivatásszerűen foglalkoznak számítógépes vírusok kutatásával, ők sem tudnak választ adni arra a kérdésre, hogy melyik a legjobb. Már csak azért sem, mert az antivírus motorok működése érthető módon titkos [hiszen ha nem lenne az, akkor a vírusok készítőinek sokkal könnyebb dolga lenne a víruskergetők kicselezésében], ami ráadásul rendszeresen változik, ahogy az AV-comparitives összehasonlításai is mutatják.

Másrészt erősen platformfüggő lehet, hogy egy AV-termék mennyire hatékony, általános tapasztalat, hogy az a víruskergető, ami windowsos környezetben kitűnően működik, OSX-en egyrészt csak vaktalálatokat ad, de azt nem képes kiszúrni, ha a felhasználó a Mac-jét a két ősellenségen, a Java alkalmazások futtatását lehetővé tevő Java futtatókörnyezet vagy Flash lejátszó egy elévült változatán keresztül jön pusztítani.

a leghatékonyabbnak talált termékek ún. Real-World-tesztben

Amit érdemes figyelembe venni, a védelmi termék erőforrásigénye. Tudok olyanról, ami normálisan beállítva hatékony, de egy gyengébb gépen iszonyúan lassít mindent, lazább beállítás mellett pedig egyszerűen nem hatékony.

különböző termékek erőforrásigénye

Érdemes figyelembe venni azt is, hogy a fejlettebb kártevők többsége nem a fertőzést követően azonnal pusztít, hanem lappang egy ideig, de bizonyos antivírus termékek simán beengedi a vírust, majd csak akkor kezdenek el vele foglalkozni, amikor az a memóriába töltődne, aztán akkor fékezik meg – ha tudják. Az, hogy egy bejutott kártevő jelenléte nem válik, azonnal nyilvánvalóvá azért veszélyes, mert pendrive-on és hálózati megosztásokon véletlenül szanaszét lehet fertőzni mindenkit, mielőtt a vírus bármilyen tényleges kárt is okozna.

A biztonsági mentés fontosságát nem lehet elégszer hangsúlyozni. Manapság minden további nélkül megtehetjük, hogy a fontos fájlokat feltöltjük egy olyan felhő alapú tárhelyre, aminek a kliensprogramját utólagosan leválasztjuk róla. Magyarul: például az Onedrive-on tárolt dokumentumokat feltöltjük a MEGA-ra, majd szépen kilépünk a MEGA-ból, aztán csak aztán nyúlunk hozzá legközelebb, amikor ténylegesen kell, míg a Onedrive továbbra is napi rendszerességgel fut – aminek adatait természetesen szintén gallyra vág egy ransomware, hiszen ha a fájlokat titkosítja a vírus, az elérhetetlenné tett fájlok fognak az Onedrive tárhelyen is megjelenni.

A másik megoldás, hogy veszünk egy hardveres titkosítást alkalmazó pendrive-ot, amire feltolunk minden dokumentumot, persze megjelölve, hogy a mentés mikor készült, aztán alaposan eltesszük és bízunk benne, hogy a következő mentésig nem lesz rá szükség. Több helyen lehet olvasni, hogy alternatív air-gapped, azaz hálózathoz kapcsolódó gépektől teljesen leválasztott adathordozóra, azaz például DVD-re is kiírhatjuk legfontosabb fájljainkat. Igen ám, ez viszont komolyan feladja a leckét, hogy a DVD-re írt adatot előzetesen mivel lenne érdemes titkosítani – már ha nem tesszük be egy méregdrága páncélszekrénybe - hiszen egy DVD-hez elvben mindenki hozzáfér.

Hacsak nincs bekapcsolva az oprendszeren és egyéb alkalmazásokon az automatikus frissítés – mert mondjuk az mindig akkor indulna el, amikor a legkevésbé érünk rá – rendszeresen ellenőrizzük a frissítéseket. A Windows verziók legális vagy nem crackelt, de nem legális, például nem aktivált változata közt sokszor annyi a különbség, hogy nem történik automatikus frissítés, viszont a frissítő elindításával a frissítés kézileg végrehajtható.

Itt megjegyzem, hogy míg sok-sok évvel ezelőtt relatív ritkább frissítés is elegendő volt, mára a szofisztikált kártevők olyan sebességgel terjednek, hogy több termék már néhány óránként vagy gyakrabban ellenőrzi, hogy jelent-e meg frissítés hozzá.

Vegyük figyelembe, hogy sajnos bárki lehet célzott támadás áldozata, hiszen már évek óta aki egy játékprogrammal elboldogul, ilyen-olyan készletekkel tud új, polimorf vírusokat vagy kémprogramokat írni, jó hír viszont, hogy az AV termékek ennek megfelelően nem csak szignatúra alapú felismerést, felhő alapú heurisztikát és hasonlókat használnak a valós idejű védelemnél, hanem a szokatlan alkalmazásokat is kiszúrják. Azaz egy kipaterolt ex, kirúgott alkalmazott vagy egyszerűen egy hülyegyerek könnyűszerrel tud ugyan személyre szólóan nekünk vírust vagy kémprogramot írni, szerencsére ezeket normális AV-termék fel is ismeri még akkor is, ha pontosan olyannal vírussal még nem találkozott.

Ne mások kárából tanuljunk, hanem ezeket az intézkedéseket tegyük rutinszerűvé, különben megeshet, hogy nem lesz az az IT-s szaki, aki helyre tudná állítani a bekövetkezett kárt egy adatvesztés után, ha pedig még mindig a világ egyik legveszélyesebb téveszméjében hinne, ami szerint az ő adataira senki sem kíváncsi, gondolja át a dolgot még egyszer. Nem csak arról van szó, hogy rossz esetben egy rosszakaró viheti az egész boltot, ami egy áltagos felhasználó gépén van, arra is gondolnunk kell, hogy például azok a levelet, amiket nekünk küldtek és kikerültek, a feladó részéről annak szellemében íródtak, hogy azt csak mi olvashatjuk el – vagy legalábbis nem a fél világ. Márpedig nem csak egy cég, hanem bárki, de tényleg bárki elszenvedhet olyan arcvesztést, ami miatt többen majd úgy gondolják, hogy nem küldenek emailt neki, ha ennyire képtelen vigyázni a saját adataira sem.

Behatóbban a vírusok világáról, legújabb fenyegetésekről az Antivirus Blogon.