close
企業趨勢資訊保安

匯集 24 億個檔案 hash Kaspersky 動態白名單助企業阻擋惡意程式

不少標榜為「新世代(Next Generation)」的防毒軟件均以「白名單(whitelist)」為重心,但就算是「傳統」的防毒軟件,「白名單」的地位亦舉足輕重。以 Kasperskey 為例,其白名單已記錄 24 億個檔案的 Hash,協助企業阻檔惡意程式。

傳統白名單設想美好但維護麻煩

傳統的防毒軟件採用「黑名單」,即列在黑名單上的程式都會阻截;而白名單則代表可信任的程式,名單以外的程式都會阻截。其實白名單並非新技術,但由於維護困難,白名單在以前並不流行。

要訂立白名單,管理人員需要把企業所有的應用程式檔案匯入列表;加上應用程式經常更新,白名單亦需同時更新方能確保程式如常運作,技術人員的工作有多繁複可想而知。部分企業為了省卻修改白名單的麻煩,甚至不願更新程式,衍生另外的網絡安全問題。

Kaspersky 動態白名單自動更新 記錄 24 億個檔案 hash

然而隨著技術進步,白名單的部署已愈來愈容易。以 Kaspersky 的「動態白名單」為例,它在其雲端引擎 Kaspersky Secure Network(KSN)記錄了 24 億個檔案的 hash,包括執行檔和 dll 檔,而且動態白名單會時刻更新,並與本機自動同步,大大減省了傳統白名單的工序,再毋須擔心程式更新後被白名單封鎖。由於程式只需配對 Hash,所以不會耗用大量電腦資源拖低運作速度。

而且 Kaspersky 的動態白名單會為檔案評級,信譽較低的程式可被阻截。舉個例,Foxy 本身不是惡意程式,但企業並不想員工執行 Foxy 的話,亦可封鎖「Untrust」的程式,進一步保障網絡安全。

動態白名單彈性部署 毋須擔心內部程式遭封鎖

但在「預設封鎖(Default Deny)」的情況下,一些未知而又正當的程式,例如是企業內部開發的程式,又會怎樣處理呢?第一,企業可手動把程式加入至白名單;第二,企業可照舊部署白名單,但只做通知而非自動封鎖,在一段時間後查看哪些程式曾被封鎖,哪些程式可以繼續執行,從而完善白名單,減少誤報問題。

除此之外,Kaspersky 用戶均可選擇啟動防毒程式的 KSN,讓 KSN 可收集和分析程式資訊。例如有廠商推出新程式時,KSN 可洞察程式的安裝人數逐漸增加和程式憑證,隨後就會知道有新程式推出,加進資料庫。

Kaspersky System Watcher 分析未知程式可疑行為

當然 KSN 亦有黑名單,但如有程式連動態白名單和黑名單都無法識別,Kaspersky 的 System Watcher 便會提供另一層防禦,分析和記錄程式的行為,例如修改註冊鍵(Registry Key)和加密檔案。當 System Watcher 察覺到可疑的行為時,便會終止程式及還原檔案。

舉個例,假如有未知的勒索軟件加密電腦檔案時,System Watcher  便會開始備分並記錄行為,當發現有問題時便會停止程式運作,並會還原檔案。整個分析過程在勒索軟件加密了兩至三個檔案後就會完成,故不會牽涉大量檔案。之後,System Watcher 便會把惡意程式的行為和 Hash 上載至 KSN,保護其他 Kaspersky 用戶。

配合最新 EDR 方案威脅走向無所遁形

以上的動態白名單功能配合 System Watcher,已可以做到預防惡意軟件入侵的「免疫」效果,如果企業追求更高階的主動防禦,則可同時部署 Kaspersky 最新推出的 Endpoint Detection and Response 方案,監控及紀錄端點上的行為,不但能找出能潛藏的攻擊,亦可追加爆發的源頭及追蹤攻擊在網絡內的走向,管理員更可透過控制平台遙控調查有問題的電腦,即時攔截可疑行為,是部署次世代網絡保安的重要工具。

 

查詢:立高科技(電話: 3694 0437 / 電郵: info@kaspersky.com.hk)

Tags :Kaspersky
Dennis Ma

The authorDennis Ma

為香港讀者分享各種 IT 新聞及趨勢,如企業動態、保安消息(勒索軟件、程式漏洞等)、未來科技(AR、VR、3D打印等。)、電子商貿;亦專門分享 SEO、網頁設計、社交平台推廣等心得。