2 de outubro de 2008 Nenhum Comentário2 October 2008 No Comment

as gentes em symantec puseram algo interessante no correio hoje - é Tudo sobre a Reputação …the folks at symantec posted something interesting today - It’s All About Reputation…

bem, eles não são os primeiros a entrar na nuvem (obviamente, ver a panda, a tendência, mcafee, etc.) … nem eles são primeiros em ir com um sistema de reputação (dirija o sentinela, para autores) … eles são primeiros em pôr um sistema de reputação na nuvem? não sei, talvez, mas neste ponto ele ainda não parece um tão grande acordo …well, they’re not the first ones to go into the cloud (obviously, see panda, trend, mcafee, etc)… nor are they the first to go with a reputation system (drive sentry, for starters)… are they the first to put a reputation system in the cloud? i don’t know, maybe, but at this point it still doesn’t seem like such a big deal…

o que me adquire, entretanto, é a idéia que não está usando mais impressões digitais … um sistema de reputação que diz X está bem, o Y é mau, e Z é desconhecido é basicamente somente uma combinação de uma lista negra e um whitelist - e não é uma má idéia, tenho dito que eles completam um a outro bem uma porção de tempo agora portanto de fato pondo ambos os paradigmas em um produto único faz muito sentido … a lista negra é o que diz que Y é mau, o whitelist é o que diz X está bem, e desde que o Z não é em nenhuma lista adquire … desconhecido chamado a coisa é assinaturas de uso de listas negras (impressões digitais) e do seu próprio modo os whitelists fazem a - eles têm a para assegurar-se a coisa que você está vendo realmente é a mesma coisa que você viu antes e decidiu ser bom/mau … não pode trabalhar sem um signature/fingerprint/whatever … este novo sistema de reputação pode usar uma forma diferente de assinaturas, mas definitivamente usa-os …what gets me, though, is the idea that it’s no longer using fingerprints… a reputation system that says X is good, Y is bad, and Z is unknown is basically just a combination of a blacklist and a whitelist - and it’s not a bad idea, i’ve been saying they complement each other well for quite a while now so actually putting both paradigms into a single product makes a lot of sense… the blacklist is what says Y is bad, the whitelist is what says X is good, and since Z isn’t on either list it gets called unknown… the thing is blacklists use signatures (fingerprints) and in their own way whitelists do to - they have to in order to make sure the thing you’re looking at really is the same thing you saw before and determined to be good/bad… it can’t work without a signature/fingerprint/whatever… this new reputation system may use a different form of signatures, but it definitely uses them…

e quanto a como isto o protege da marca novas ameaças como o correio sugere, só posso supor que ele trabalha como isto: as coisas na lista negra são paradas de realizar automaticamente, permite-se que coisas no whitelist realizem transparentemente, e as coisas que não são em nenhuma lista farão que ao usuário seja dado um "você está seguro?” incite … finalmente, colocação de alguém doutor de perfect.bat de solly (que perguntou o usuário se o arquivo que é esquadrinhado foi um vírus ou não) ao bom uso … and as for how this protects you from brand new threats as the post suggests, i can only imagine it works like this: things on the blacklist are stopped from executing automatically, things on the whitelist are allowed to execute transparently, and things that aren’t on either list will cause the user to be given an “are you sure?” prompt… finally, someone’s putting dr. solly’s perfect.bat (which asked the user if the file being scanned was a virus or not) to good use…

de outros caminho ele poderia trabalhar o que é o unknowns são automaticamente dirigidos em uma caixa de areia de algum tipo … não uma caixa de areia destinada para a classificação malware, cuidar de você (um número de produtos já fazem isto), mas uma caixa de areia pretendeu separar o manejo de itens não confiados do sistema de anfitrião confiado … quero dizer, desde que eles já estão acrescentando 2 de 3 paradigmas preventivos em um produto único (confiantemente sem costuramente), não seria legal se eles acrescentassem o 3o também? não manterei a minha respiração para eles de fato implementando isto, embora … the other way it might work is that the unknowns get automatically run in a sandbox of some sort… not a sandbox meant for malware classification, mind you (a number of products already do that), but a sandbox intended to separate the handling of untrusted items from the trusted host system… i mean, since they’re already adding 2 of the 3 preventative paradigms into a single product (hopefully seamlessly), wouldn’t it be cool if they added the 3rd as well? i won’t hold my breath for them actually implementing this, though…