Antywirus wykrywa zagrożenia, które już zna. Problem polega na tym, że atakujący doskonale o tym wiedzą i regularnie modyfikują swoje narzędzia, by ominąć sygnatury. Zero-day exploity, zaawansowane techniki obfuskacji, ataki osadzone w makrach dokumentów Office czy aktywna zawartość plików PDF – to zagrożenia, z którymi tradycyjny antywirus radzi sobie słabo lub wcale. Deep CDR od OPSWAT podchodzi do problemu z zupełnie innego kierunku.
Najważniejsze wnioski
- Deep CDR (Content Disarm and Reconstruction) usuwa zagrożenia z plików przez ich dekonstrukcję i rekonstrukcję
- Nie polega na wykrywaniu złośliwego oprogramowania – usuwa całą potencjalnie niebezpieczną zawartość aktywną
- Efektem jest oczyszczony, w pełni użyteczny plik, wolny od zagrożeń znanych i nieznanych
- Deep CDR obsługuje ponad 100 formatów plików, w tym Office, PDF, obrazy i archiwa
- Jest szczególnie skuteczna tam, gdzie tradycyjne antywirusy zawodzą – przy zero-day i atakach fileless
Spis treści
- Dlaczego tradycyjny antywirus nie jest wystarczający?
- Czym jest Deep CDR i jak działa?
- Jakie elementy są usuwane podczas procesu CDR?
- Obsługiwane formaty plików
- Deep CDR vs sandboxing – różne podejścia do tego samego problemu
- Zastosowania praktyczne – kiedy Deep CDR ma sens?
- Integracja z MetaDefender
- FAQ
- Podsumowanie
Dlaczego tradycyjny antywirus nie jest wystarczający?
Tradycyjny antywirus operuje na zasadzie dopasowywania sygnatur – porównuje plik lub jego hash z bazą znanych zagrożeń. To podejście ma fundamentalną wadę: zadziała tylko wtedy, gdy zagrożenie jest już znane. Między momentem, gdy nowe złośliwe oprogramowanie zostanie po raz pierwszy użyte w ataku, a momentem, gdy jego sygnatura trafi do baz antywirusowych, mija czas – i to właśnie ten czas jest najniebezpieczniejszy.
Co więcej, nawet znane zagrożenia można zamaskować przez prostą modyfikację kodu, zmianę nagłówków pliku czy zastosowanie technik obfuskacji. Badania pokazują, że nawet równoczesne skanowanie kilkudziesięcioma silnikami antywirusowymi nie gwarantuje wykrycia wszystkich zagrożeń.
Czym jest Deep CDR i jak działa?
Deep CDR (Content Disarm and Reconstruction) to technologia, która odwraca podejście do ochrony. Zamiast szukać zagrożeń, zakłada, że każdy plik może zawierać zagrożenie i usuwa wszystkie elementy, które mogłyby być złośliwe – bez względu na to, czy aktualnie figurują w jakichkolwiek bazach złośliwego oprogramowania.
Proces działa w trzech krokach. Pierwszy to dekonstrukcja – plik jest rozkładany na elementy składowe zgodnie ze specyfikacją formatu. Drugi to oczyszczenie – wszystkie aktywne elementy (makra, skrypty, osadzone obiekty, aktywna zawartość) są usuwane. Trzeci to rekonstrukcja – plik jest składany z powrotem w oczyszczonej formie, zachowując jego użyteczną zawartość.
Jakie elementy są usuwane podczas procesu CDR?
Deep CDR usuwa z plików szeroki zakres potencjalnie niebezpiecznych elementów. W dokumentach Office są to makra VBA (najczęstszy wektor ataku), osadzone obiekty OLE (mogą zawierać wykonywalne pliki), aktywna zawartość (linki do zewnętrznych zasobów, formularze) i pola automatycznie aktualizowane.
W plikach PDF usuwane są JavaScript (powszechnie używany w eksploitach PDF), skrypty ActionScript, osadzone pliki wykonywalne i linki do zewnętrznych zasobów. W obrazach – ukryte dane w metadanych i steganograficznie osadzone ładunki. W archiwach – całość jest analizowana rekurencyjnie, plik po pliku.
Obsługiwane formaty plików
Technologia Deep CDR w OPSWAT obsługuje ponad 100 formatów plików, w tym wszystkie formaty Microsoft Office (docx, xlsx, pptx i starsze wersje binarne), PDF, formaty OpenDocument, obrazy (JPEG, PNG, TIFF, BMP), pliki HTML, archiwa (ZIP, RAR, 7z) i wiele innych.
To kluczowe – rozwiązanie jest użyteczne tylko wtedy, gdy obsługuje formaty rzeczywiście stosowane w organizacji. Wsparcie dla dziedzicznych formatów binarnych Office jest szczególnie ważne w środowiskach, gdzie starsze pliki .doc i .xls są wciąż w obiegu.
Deep CDR vs sandboxing – różne podejścia do tego samego problemu
Sandboxing to alternatywne podejście do ochrony przed nieznanymi zagrożeniami: plik jest uruchamiany w izolowanym środowisku i obserwowane jest jego zachowanie. Jeśli zachowuje się złośliwie, jest blokowany.
Deep CDR i sandboxing rozwiązują ten sam problem różnymi metodami i najlepiej działają razem. Sandboxing wymaga czasu – plik musi zostać uruchomiony i obserwowany, co może trwać od minut do dziesiątek minut. Deep CDR jest błyskawiczne – rekonstrukcja pliku trwa sekundy. Sandboxing może nie wykryć zagrożeń, które aktywują się dopiero po spełnieniu określonych warunków. Deep CDR usuwa zagrożenia niezależnie od warunków aktywacji.
Zastosowania praktyczne – kiedy Deep CDR ma sens?
Deep CDR ma sens wszędzie tam, gdzie pliki zewnętrzne wchodzą do chronionego środowiska: bramy poczty elektronicznej (oczyszczanie załączników przed dostarczeniem), portale webowe przyjmujące pliki od użytkowników zewnętrznych, transfer plików między sieciami o różnych poziomach zaufania, skanowanie nośników wymiennych przy wejściu do chronionej sieci.
Jest szczególnie wartościowe w środowiskach, gdzie czas reakcji ma znaczenie – brama pocztowa oczyszczająca pliki w sekundy nie opóźnia przepływu komunikacji.
Integracja z MetaDefender
Deep CDR jest jedną z kluczowych technologii platformy OPSWAT MetaDefender i działa w połączeniu z multiskanowaniem i Proactive DLP. Multiskanowanie wykrywa znane zagrożenia, Deep CDR usuwa zagrożenia potencjalnie nieznane, a Proactive DLP chroni przed wyciekiem danych wrażliwych. Razem tworzą wielowarstwową ochronę, która adresuje zagrożenia niemożliwe do skutecznego odparcia jedną metodą.
FAQ
Czy Deep CDR psuje pliki? Czy można je normalnie otworzyć po oczyszczeniu? Oczyszczony plik jest w pełni użyteczny – zawiera oryginalną treść (tekst, grafiki, tabele), tylko bez aktywnych elementów. Jeśli plik był formatowany, formatowanie zostaje zachowane.
Co się dzieje, gdy plik jest zbyt uszkodzony do rekonstrukcji? OPSWAT oferuje konfigurowalną politykę – plik może być zablokowany, poddany kwarantannie lub oznaczony do ręcznego przeglądu.
Czy Deep CDR działa w czasie rzeczywistym? Tak – rekonstrukcja typowego dokumentu zajmuje od ułamka sekundy do kilku sekund, co pozwala na stosowanie go w bramach poczty elektronicznej bez zauważalnych opóźnień.
Czy CDR zastępuje antywirus? Nie – CDR i antywirus są komplementarne. CDR usuwa zagrożenia, których antywirus nie widzi. Antywirus wykrywa zagrożenia, których CDR nie musi usuwać. Razem zapewniają wyższy poziom ochrony.
Podsumowanie
Deep CDR od OPSWAT to technologia, która zmienia podejście do ochrony przed zagrożeniami przenoszonymi przez pliki – z reaktywnego wykrywania na prewencyjne usuwanie. Oczyszczając każdy plik z potencjalnie złośliwej zawartości aktywnej, Deep CDR chroni przed zero-day, makrowirusami i zaawansowanymi technikami obfuskacji tam, gdzie tradycyjny antywirus zawodzi.
