Τι εννοείτε με κακόβουλο λογισμικό που βασίζεται σε υπογραφή;

Η ανίχνευση κακόβουλου λογισμικού με βάση την υπογραφή βασίζεται στον εντοπισμό γνωστού κακόβουλου λογισμικού συγκρίνοντας τα χαρακτηριστικά του (την "υπογραφή") έναντι μιας βάσης δεδομένων γνωστού κακόβουλου κώδικα. Σκεφτείτε το σαν δακτυλικό αποτύπωμα για έναν ιό.

Εδώ είναι μια κατανομή:

* υπογραφή: Πρόκειται για ένα μοναδικό κομμάτι κώδικα, μια συγκεκριμένη ακολουθία bytes ή ένα συγκεκριμένο μοτίβο μέσα στον κώδικα του κακόβουλου λογισμικού. Είναι ένα χαρακτηριστικό που προσδιορίζει μοναδικά ένα συγκεκριμένο κομμάτι κακόβουλου λογισμικού. Αυτό θα μπορούσε να είναι:

* Μια συγκεκριμένη σειρά κειμένου μέσα στον κώδικα.

* Μια μοναδική ακολουθία οδηγιών.

* Ένα συγκεκριμένο hash αρχείου (MD5, SHA-1, SHA-256). Αυτά είναι κρυπτογραφικά ελέγχου που προσδιορίζουν μοναδικά τα περιεχόμενα ενός αρχείου.

* Βάση δεδομένων: Το λογισμικό προστασίας από ιούς και άλλα προϊόντα ασφαλείας διατηρούν εκτεταμένες βάσεις δεδομένων αυτών των υπογραφών. Αυτές οι βάσεις δεδομένων ενημερώνονται συνεχώς από τους ερευνητές ασφαλείας, καθώς ανακαλύπτεται νέο κακόβουλο λογισμικό.

* Ανίχνευση: Όταν συναντηθεί αρχείο ή διαδικασία, το λογισμικό ασφαλείας συγκρίνει τα χαρακτηριστικά του με τις υπογραφές στη βάση δεδομένων του. Εάν βρεθεί ένας αγώνας, το λογισμικό προσδιορίζει το αρχείο ή τη διαδικασία ως κακόβουλο.

Περιορισμοί ανίχνευσης με βάση την υπογραφή:

* Εκμεταλλεύσεις μηδενικής ημέρας: Η ανίχνευση με βάση την υπογραφή είναι αναποτελεσματική έναντι του νέου κακόβουλου λογισμικού (κακόβουλο λογισμικό μηδενικής ημέρας) που δεν έχει δει προηγουμένως και επομένως δεν έχει υπογραφή στη βάση δεδομένων.

* Πολυμορφικό και μεταμορφωμένο κακόβουλο λογισμικό: Ορισμένο κακόβουλο λογισμικό αλλάζει ελαφρώς τον κώδικα του κάθε φορά που μολύνει ένα σύστημα (πολυμορφικό) ή μεταβάλλει θεμελιωδώς τη δομή του (μεταμορφωμένη), καθιστώντας δύσκολη την ανίχνευση της χρήσης μόνο των υπογραφών.

* Εξαιρετική ανάλυση που απαιτείται για άγνωστο: Εάν δεν βρεθεί υπογραφή, δεν μπορεί να ανιχνεύσει άγνωστο κακόβουλο λογισμικό.

Ενώ η ανίχνευση με βάση την υπογραφή είναι μια κρίσιμη πρώτη γραμμή άμυνας, χρησιμοποιείται συχνά σε συνδυασμό με άλλες μεθόδους όπως η ευρετική ανάλυση (αναζητώντας ύποπτη συμπεριφορά) και η μηχανική μάθηση για να παρέχει πιο ολοκληρωμένη προστασία.