Beveiligingssoftware presteert slecht in Exploit Test

Dat is een andere benadering dan de manier waarop de programma's vandaag zijn ontworpen. Beveiligingssoftware heeft de neiging zich te concentreren op de detectie van schadelijke software die op een pc terechtkomt nadat een beveiligingslek is misbruikt. De software wordt bijgewerkt met handtekeningen of gegevensbestanden die bepaalde schadelijke ladingen herkennen die worden afgeleverd aan de PC na exploit.

[Meer informatie: Hoe malware van uw Windows-pc te verwijderen]

Er is een duidelijk voordeel bij het scherpstellen over het detecteren van een exploit in plaats van te verdedigen tegen ontelbare payloads, zei Kristensen. De exploit zelf verandert niet en moet op dezelfde manier worden gebruikt voor het hacken van de pc.

Een ontelbaar aantal payloads - van keystroke-loggers tot botnet-software - kan worden ingezet tijdens een aanval op een kwetsbaarheid.

Het identificeren van de exploit is echter geen gemakkelijk werk, zei Kristensen. Versies van het programma die door het beveiligingslek worden getroffen, moeten worden geanalyseerd voordat en nadat een patch is toegepast om uit te zoeken hoe de exploit werkt.

Secunia heeft voor zijn test eigen exploits ontwikkeld voor bekende softwarekwetsbaarheden. Van die exploits waren er 144 schadelijke bestanden, zoals multimediabestanden en kantoordocumenten. De overige 156 waren exploits opgenomen in kwaadwillende webpagina's die op zoek zijn naar onder andere browser- en ActiveX-kwetsbaarheden.

Symantec kwam als beste uit de bus, maar zelfs toen waren de resultaten niet geweldig: de Internet Security Suite 2009 van het bedrijf ontdekte 64 van de 300 exploits, of 21,33 procent van de steekproefset.

De resultaten werden toen veel slechter. BitDefender's Internet Security Suite 2009 build 12.0.10 kwam als tweede en detecteerde 2,33 procent van de sample-set. Trend Micro's Internet Security 2008 had hetzelfde detectiepercentage als BitDefender, gevolgd door McAfee's Internet Security Suite 2009 op de derde plaats met 2 procent.

Kristensen waarschuwde dat Secunia zich ervan bewust was dat de meeste verkopers niet gefocust zijn op het detecteren van exploits. Maar het zou leveranciers ten goede komen om te beginnen met het maken van handtekeningen voor exploits in plaats van alleen payloads, omdat dit hen meer tijd zou kunnen besparen. Er zijn veel minder exploits dan payloads, zei hij.

Leveranciers zoals Symantec lijken in die richting te gaan, omdat het handtekeningen heeft gecreëerd voor aan Microsoft gerelateerde exploits, zei Kristensen.

"We zien geen enkele van de andere leveranciers hebben iets vergelijkbaars, "zei Kristensen.

"Te veel mensen denken dat ze zich geen zorgen hoeven te maken als ze alleen [antivirussoftware] hebben." Kristensen zei. "Helaas is dat zeker niet het geval."