'Applicatie whitelist oplossing voor malware'
Traditionele virusscanners zouden niet meer genoeg zijn om malware te bestrijden, maar het gevecht is nog niet verloren. Dat stelt marktvorser Forrester in een nieuw rapport, waarin het applicatie whitelisting als oplossing aandraagt. De huidige databases met signatures die virusscanners gebruiken worden alleen maar groter, waardoor ze een belasting op de infrastructuur van bedrijven en de prestaties van het endpoint vormen, aldus het onderzoeksbureau.
"Gecombineerd met het feit dat anti-virusfabrikanten een groot aantal van de onbekende of zero-day dreigingen missen, hebben veel security professionals vragen over het centraal stellen van de virusscanner in het beschermen van het endpoint." De huidige aanpak van signatures schaalt dan ook niet.
Whitelist
Chris Sherman van Forrester maakt zich in een nieuw rapport hard voor het aanvullen van anti-virus met een applicatie whitelist. Whitelisting neemt een andere aanpak en blokkeert alles behalve de betrouwbare applicaties. Dit zou voor betere prestaties op het endpoint moeten zorgen.
"Er zijn natuurlijk operationele uitdagingen die de overstap naar een whitelist in bepaalde omgevingen lastig maakt", merkt Sherman op.
Het gaat dan om het opstellen van de whitelist en dynamische omgevingen. "Het bepalen welke applicaties noodzakelijk zijn en welke moeten worden verwijderd is geen eenvoudige taak. Aan het eind van de dag heb je een endpoint-omgeving die minder afhankelijk van anti-virustechnieken is en met een behoorlijk verkleind aanvalsoppervlak."
Da's leuk als iedereen hetzelfde werkstation met exact dezelfde software heeft maar in een praktische omgeving is het een operationele ramp.
Wat mij betreft bouwen we onze computersystemen zo dat het ene programma het andere niet dwars kan zitten. En dit is geen verkapt "gebruik linux, dat lost alles op", want hoewel het een stuk beter is, is het geen silver bullet, geenszins. Maar dat is tegelijkertijd geen reden om dan toch maar bij het met grote afstand allerzwakste "moderne" systeem te blijven. Daarvan afstappen zou al een enorme verbetering betekenen. En niet allemaal naar hetzelfde alternatief graag; een beetje diversiteit helpt ook tegen de huidige globale overgevoeligheid voor malware.
Dan moet je ook alle word/excel documenten whitelisten.
Wie gaat die whitelist maken. Ome hennie op de hoek? Die is al blij als hij wordfeud kan spelen.
Alles in de cloud laat big brother het maar regelen?
Als ik even op mijn laptop kijk 5300 .exe en 32000 .dll objecten krijg ik dan 35000 keer een whitelist vraag?
Wie bepaald of api-ms-win-core-rtlsupport-l1-1-0.dll wel of niet mag? Zal wel iets voor RTL tv zijn? ;)
Op zich is zoiets als PSI van secunia al een aardige start
Da's leuk als iedereen hetzelfde werkstation met exact dezelfde software heeft maar in een praktische omgeving is het een operationele ramp.
Vormt dat geen belasting dan?
Verder kost het driverontwikkelaars nu al veel moeite (en geld) om hun drivers bijvoorbeeld windows gecertificeerd te krijgen.
Hoe moet het dan wel niet met hobbyprogrammeurs?
Of met systeembeheerders die regelmatisch scripts schrijven en compileren om hun werkzaamheden beter uit te voeren.
En wat als iemand een (gewhiteliste) opensource applicatie downloadt en naar eigen smaak aanpast?
Vormt dat geen belasting dan?
Ja, wel eens geprobeerd in een organisatie met 6000 man. Ging prima. Alle software moet nu verplicht worden aangevraagd bij de ICT afdeling. Anders werkt het gewoon niet. Er zijn een paar (stuk of 3) gebruikers die hardleers zijn en het niet willen snappen. Dat geeft niets, ze worden gedwongen om de software alsnog aan te vragen. Sindsdien hebben ze daar geen enkele virus of malware besmetting meer gehad.
Precies, die mensen die roepen "dat valt nooit te behappen" of "als niet iedereen zelf software kan installeren dan
kan niemand meer werken" die hebben het meestal niet geprobeerd of hebben het al te ver laten komen.
Hier kan niemand iets installeren en niemand kan programma's starten van USB keys, netwerkshares e.d. en dat
geeft echt nooit problemen. Maar dan moet je wel een helpdesk hebben die dat begrijpt en duidelijk uitlegt
als er vragen zijn.
Hoe zie je dat voor je, ga jij als beheerder van een bedrijf malware makers inlichten over de vraag welke applicaties jij als beheerder whitelist, en op welke systemen ?
"We hebben het hier wel over lijsten die in virusscanners geimplementeerd worden; en dus net als bij malware alle versies van alle software die iedereen gebruikt zou moeten documenteren"
Waarvoor heb je een virusscanner nodig wanneer je application whitelisting gebruikt, en zelf bepaalt welke applicaties jij wilt toestaan op een systeem ? Indien andere applicaties niet werken, is een virusscanner in principe overbodig.
"als een lijst van malifiede programmas niet schaalt omdat het een lijst is, waarom zou een lijst van niet-malifiede programmas dan wel schalen?"
Welke lijst is meer schaalbaar, de lijst van alle applicaties waar je gebruik van maakt op je systeem, of de lijst van alle andere bestaande applicaties (inclusief malware) waar je geen gebruik van maakt, en die dus niet in je whitelisting lijst opgenomen hoeven te worden ?
De vraag welke lijst het meest schaalbaar is lijkt me duidelijk ;)
Da's leuk als iedereen hetzelfde werkstation met exact dezelfde software heeft maar in een praktische omgeving is het een operationele ramp.
Nee hoor. dat heet in LINUX land gewoon een distributie met bekende hashes en een voorspelbaar gedrag. Dat kan je bovendien nog uitbreiden met repositories.
De vraag blijft natuurlijk waarom we dat niet zouden willen?
Mijn 2 centen
Dit filmpje laat het op een ludieke manier zien: http://www.youtube.com/watch?v=qZnoG9iLRMM&feature=plcp
Het is een kwestie van tijd totdat Application Whitelisting zo veel gebruikt wordt dat malware schrijvers alle malware code in de exploit gaan stoppen en zo de whitelist omzeilen. Voordeel is wel dat de malware dan niet persistent is. Na een reboot zal hij niet zomaar weer opstarten. Maar voorlopig (enkele jaren schat ik) loop je met Application Whitelisting voor de muziek uit, en kan je genieten optimale bescherming.
Na een herstart is je PC tgv de werking van DeepFreeze weer helemaal clean; op partities & MBR kan niets permanent bewaard worden. Vandaar hun 3 lagen aanpak (layered security)
Deze posting is gelocked. Reageren is niet meer mogelijk.
Security Specialist Malware
NCSC
Zit cybersecurity diep in je DNA? Heb jij het in je om op het moment dat het er echt toe doet samen met je collega’s tot de juiste (technische) oplossing te komen? Als security specialist malware bij het Nationaal Cyber Security Centrum (NCSC) doe jij er alles aan om de impact van digitale dreigingen te verminderen en incidenten tegen te gaan.
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
No more ransomware!
De nieuwe Ransomware Awareness Experience training biedt een realistische maar vooral leuke introductie in de wereld van ransomware. De deelnemers ervaren hoe eenvoudig een organisatie het slachtoffer kan worden van ransomware en leren meteen hoe een besmetting kan worden voorkomen!