研究者開發次世代雲端運算防毒系統

Researchers develop next-generation computer antivirus system
http://www.physorg.com/news137257974.html

August 06, 2008

(PhysOrg.com) -- 由於 Michigan 大學所開發、一種新的「雲端運算（cloud computing）」方法來偵測惡意軟體，你個人電腦上的防毒軟體可能會變成過去式。雲端運算意指應用軟體與服務在網際網路上無縫地提供。

傳統的防毒軟體是安裝在全世界數百萬台個別的電腦上，但根據研究者表示，來自於熱門供應商的防毒軟體卻愈來愈無效。研究者觀察到對於最近的威脅惡意軟體（malware -- malicious software）偵測率只有 35% 這麼低，而弱點的平均空窗期卻超過 48 天。這表示新威脅未被偵測到的時間平均可達 7 週。電腦科學家們也在防毒軟體引擎本身發現嚴重的弱點。

研究者的新方法，稱為 CloudAV，將防毒功能移至「network cloud」當中並離開個人電腦。CloudAV 同時利用多重防毒與行為偵測程式分析可疑檔案。

"CloudAV 利用多重防毒引擎將偵測功能虛擬化與平行化，顯著地增加整體的防護，" Farnam Jahanian 說，電機工程與電腦科學系的電腦科學與工程教授。

Jahanian，與博士候選人 Jon Oberheide 以及博士後研究 Evan Cooke，全都屬於該系，最近就這種新方法在 USENIX Security Symposium 發表了一篇論文。

為了開發這種新穎方法，研究者評估以 12 種傳統防毒軟體對抗 7,220 種惡意軟體樣本，包括病毒，花了超過一年的時間收集。所測試的供應商包括：Avast, AVG, BitDefender, ClamAV, CWSandbox, F-Prot, F-Secure, Kaspersky, McAfee, Norman Sandbox, Symantec and Trend Micro.

常駐於個人電腦上的傳統防毒軟體在文件與程式被存取時檢查它們。因為效能限制與程式的不相容，通常同一時間只有一種病毒偵測器會被使用。

然而，CloudAV，能支持大量惡意軟體偵測器，那以平行方式運作來分析單一進入的檔案。每種偵測器在它自己的虛擬機器中運作，故技術上的不相容與安全問題獲得了解決，Oberheide 說。

CloudAV 可為任何在網路上的電腦或行動裝置所存取，它們只運行一種簡單的代理人軟體。每當一部電腦或裝置收到了新的文件或程式時，該項目會自動被偵測並送往「防毒雲（antivirus cloud）」分析。研究者所建立的 CloudAV 系統使用 12 種不同的偵測器，那能共同行動以告訴打探中的電腦這個項目是否能安全地開啟。

CloudAV 也能快取分析結果，與傳統防毒軟體相較加快了處理速度。這對於工作場所會有幫助，例如：許多員工也許會存取同樣一份文件。這種新方法亦包括研究者所謂的「回溯偵測（retrospective detection）」，當一種新威脅被確認時，那會掃描其檔案存取歷史。這讓它能夠抓到先前被忽略的感染。

研究者認為大有可為的機會是：把 CloudAV 應用到行動電話以及其他行動裝置上，那通常不足以攜帶強大的防毒軟體。

※ 看起來頗像 VirusTotal

＊ CloudAV Project Summary
http://www.eecs.umich.edu/fjgroup/cloudav/

＊ CloudAV: N-Version Antivirus in the Network Cloud (PDF)
http://www.eecs.umich.edu/fjgroup/pubs/cloudav-usenix08.pdf

Jon Oberheide, Evan Cooke, and Farnam Jahanian
Proc. of the 17th USENIX Security Symposium, July 2008.

＊ 微軟研發Midori終結Wins時代