A támadó eszközök beható ismeretét állította az információvédelem szolgálatába egy kanadai hátterű cég.
Sok éven keresztül az észak-amerikai hírszerzési szervezeteknél dolgozott szakértőként Pierre Roberge, az Arc4dia ügyvezetője, mielőtt elhatározta, hogy inkább a vállalati szférának segít megvédeni adatait a kiberbűnözőktől és a sokszor állami háttérrel működő üzleti hírszerzéstől. A korábbi munkái során szerzett tapasztalatait arra használta fel, hogy olyan megoldást hozzon létre, amely az ismeretlen, sokszor célzott támadások ellen is véd – ez lett a SNOW végpontvédelmi rendszer.
A hackerek előtt is rejtve működő szenzorok a végpontok telemetriai adatait gyűjtik, például a bináris fájlok natív végrehajtását, a modulok betöltését vagy a fájlrendszerben végrehajtott változtatásokat, és ezekben keresi a rosszindulatú tevékenység nyomait. A szenzorok által észlelt események (az Arc4dia kifejezésével: lead-ek) egy felhő alapú elemzőrendszerbe kerülnek. Ebben a hagyományos szakértői rendszerek és a mesterséges intelligenciát használó algoritmusok közösen szűrik ki a leadek túlnyomó többségét adó fals pozitív riasztásokat. A maradékot már az Arc4dia szakértői vizsgálják meg, és döntik el, hogy valós incidensről van-e szó.
„A védelem gyors, pontos és kiszámíthatatlan”, mondja Pierre Roberge. Egy új rendszerre telepítve néhány óra alatt meghatározza a baseline-t, azaz definiálja a normál működést, amelyhez képest az anomáliákat keresi majd. Mindezt precízen csinálja, a kártevő nem tud elbújni a vizsgálat során, a hackerek pedig nem tudják kiismerni, és ezáltal kijátszani a rendszer működését. A rendszer fejlett forensic képességekkel rendelkezik. Megoldható vele a fertőzött rendszer elkülönítése és további működtetése, hogy a támadás nyomait akár a memóriából is kinyerjék. Bár a SNOW-t alapvetően célzott támadások kivédésére készítették, partnerhálózat révén kisebb cégeknek is elérhető a megoldás. Ezek a partnerek – Magyarországon a Digital Forensics Kft. – gondoskodnak a megoldás telepítéséről és folyamatos felügyeletéről, illetve olyan kiegészítő védelmi termékeket is kínálnak, amelyek biztosítják mindazt az IT-védelmi funkcionalitást, amit a SNOW önmagában esetleg nem.
(X)
