Знайшли підозрілий файл? Протестуйте його у віртуальній машині

Привіт шановні читачі. Всі ми колись стикалися з цією дилемою. Припустимо, начальник відправляє вам файл.

З одного боку, ви знаєте, що повинні поглянути на нього. З іншого, вам відомо, як начальник ставиться до свого комп'ютера. Його браузер забитий 25 різними тулбара, і він поняття не має, як вони там опинилися. Майже щотижня IT-відділу доводиться проводити повний карантин машини і дезінфікувати її.

Чи можете ви довіряти цього файлу? Скоріш за все ні. Ви можете відкрити його на своєму комп'ютері і ризикнути отримати небезпечну інфекцію. Або, можна просто запустити його на віртуальній машині.

Що таке віртуальна машина?

Якщо комп'ютер являє собою набір фізичних апаратних компонентів, то віртуальна машина є набором модельованих компонентів. Замість фізичного жорсткого диска, оперативної пам'яті і ЦПУ, віртуальна машина складається з тих же елементів, емульованого на вже існуючому обладнанні комп'ютера.

Оскільки компоненти комп'ютера моделюються, стає можливою установка нової операційної системи на це віртуальне обладнання, наприклад, Windows , Linux або FreeBSD.

Люди використовують віртуальні машини для виконання широкого кола завдань, таких як експлуатація серверів (включаючи веб-сервери), запуск старих комп'ютерних ігор, які некоректно працюють в сучасних системах, а також з метою веб-розробки.

Найголовніше пам'ятати, що події, що відбулися з віртуальною машиною, не впливають на сам комп'ютер. Наприклад, ви можете спеціально встановити вірус CryptoLocker на віртуальну машину, і зараження не торкнеться хоста. Особливо це корисно, коли ви отримали підозрілий файл і хочете визначити, чи безпечний він.

Де взяти віртуальну машину

Існує безліч платформ для віртуальних машин. Деякі з них - пропрієтарні платні продукти, начебто Parallels для Mac. Але є і кілька безкоштовних відкритих пакетів, найпопулярнішим з яких є VirtualBox від Oracle, доступний для Windows, Linux і Mac.

Після вибору віртуальної машини, вам потрібно визначитися з операційною системою, яку ви будете на неї встановлювати. Щоб отримати копію Linux, досить завантажити ISO-образ, а як бути з Windows?

Windows є платною системою, навіть для людей, які бажають використовувати її на віртуальній машині. Але є спосіб обійти це обмеження, скориставшись modern.ie.

Безкоштовні віртуальні машини?

Modern.ie дозволяє кому завгодно завантажити обмежену за часом дії версію системи Microsoft, починаючи з XP і закінчуючи Windows 10. Роздаючи безкоштовні, хоча і тимчасові версії Windows, Microsoft сподівається привернути увагу веб-розробників, багато з яких перейшли на Mac і Linux.

Втім, вам не потрібно бути веб-розробником, щоб завантажити віртуальну машину з modern.ie. Це дозволить вам тестувати підозріле програмне забезпечення, не ризикуючи пошкодити власну систему.

Просто виберіть платформу, яку хочете протестувати, а також використовувану програму віртуалізації. В результаті, ви скачаєте об'ємний ZIP-файл, що містить віртуальну машину. Відкрийте його за допомогою своєї платформи віртуалізації і можете приступати до перевірки.

Навчіться чомусь новому

Одним з ключових переваг, що надаються безпечної пісочницею, є можливість йти на ризики, яких інакше ви б намагалися уникати. Багатьом це дає можливість навчитися навичкам, корисним в швидко розвивається сфері етичного злому.

Наприклад, ви можете протестувати кілька інструментів мережевої безпеки, не порушуючи жодних законів. Або, дізнатися про аналіз шкідливого програмного забезпечення, провести дослідження, поділитися його результатами і отримати роботу в новій сфері.

Блогер і аналітик Джавад Малик, що спеціалізується в комп'ютерній безпеці, вважає, що такий спосіб навчання набагато ефективніше отримання сертифікатів і кваліфікацій:

«Інформаційна безпека - це скоріше форма мистецтва, ніж наукова дисципліна. Багато професіоналів потрапили в цю сферу звичайними шляхами. Люди, які хочуть стати частиною даної індустрії, часто запитують мене, яка сертифікація їм необхідна або який курс варто пройти. Я завжди відповідаю, що єдино-вірного шляху не існує. Це як право або бухгалтерський облік - ви можете практикувати свої навички, ділитися результатами досліджень і стати цінним членом спільноти інформаційної безпеки. Такий шлях, швидше за все, відкриє набагато більше дверей в плані кар'єрного росту, ніж звичайні канали. »

Чи справді віртуальні машини безпечні?

Віртуальні машини безпечні, оскільки ізолюють симулируемого комп'ютер від фізичного. І це, здебільшого, вірно. Хоча, існують деякі винятки.

Винятки начебто недавно виправленого бага Venom, яка зачепила платформи віртуалізізаціі XEN, QEMU і KVM і дозволяв атакуючому вирватися за межі захищеної операційної системи, отримуючи контроль над основною платформою.

Ризик виникнення такого бага, відомого як «ескалація привілеїв гипервизора», не слід недооцінювати. Наприклад, якщо атакуючий зареєструється на отримання VPS у провайдера, ще не виправив цю уразливість, він зможе використовувати експлойт Venom для доступу до всіх інших віртуальних машин в системі. Це дозволить йому красти ключі шифрування, паролі, гаманці bitcoin і інші цінні дані.

Шановна в сфері безпеки фірма Symentec також висловила стурбованість з приводу поточного стану захисту віртуалізації, зазначивши в своїй доповіді «Загрози віртуальним середах», що автори шкідливих програм беруть до уваги технологію віртуалізації, щоб уникнути виявлення і подальшого аналізу.

«Нові шкідливі програми часто використовують техніки виявлення віртуального середовища. Ми з'ясували, що близько 18 відсотків усіх зразків шкідливого ПО успішно виявляють VMware і відмовляються в ній виконуватися ».

Людям, які використовують віртуальні машини в практичних цілях, варто пам'ятати, що їх системи не є повністю невразливими до ризиків безпеки, що стосуються фізичних комп'ютерів.

«Зворотне міркування показує, що чотири з п'яти шкідливих програм запустяться в віртуальній машині, а значить, цим системам теж потрібна постійна захист від вірусів».

Втім, ризики безпеки на віртуальних машинах легко пом'якшити. Користувачі віртуальних операційних систем часто встановлюють просунуте програмне забезпечення для виявлення шкідливих програм і вторгнень, щоб переконатися в тому, що система повністю закрита і отримує регулярні оновлення.

підсумки

Варто додати, що випадки виходу вірусу за межі віртуальної машини вкрай рідкісні. Коли подібний експлойт виявляється, його тут же виправляють. Коротше кажучи, набагато безпечніше тестувати підозрілі програми і файли в віртуальній машині, ніж десь ще.
А у вас є якісь стратегії поводження з підозрілими файлами? Можливо, ви знайшли нове, пов'язане з безпекою, застосування віртуальних машин? Поділіться своїми думками в коментарях нижче.