Seguridad esencial contra amenazas que evolucionan
Autor: Frost & Sullivan

Introducción
La seguridad ya no es opcional y se ha convertido en una necesidad absoluta para el manejo exitoso de los negocios de hoy en día.

Sin embargo, la elección del socio adecuado es crucial para asegurar la protección total contra amenazas actuales y futuras.

Tradicionalmente, las soluciones de seguridad siguen un tedioso proceso por el cual el desarrollador identifica una nueva vulnerabilidad, crea y verifica la nueva firma para neutralizar dicha falla y, finalmente, confía en que el usuario final se ocupará de efectuar la actualización de estas firmas de forma regular.

Estos procesos, a pesar que en la mayoría de los casos son parcialmente automatizados, introducen una demora inaceptable y es proclive a errores, ya que incluso las firmas pueden tener fallas y exponer el sistema a nuevas amenazas.

Se ha demostrado que este enfoque es insuficiente para el entorno actual debido a su naturaleza reactiva y su falta de protección ante amenazas desconocidas por el desarrollador.

Por ello, las empresas no pueden depender de este enfoque "después de" y requieren medidas mucho más proactivas para una protección contra amenazas que evolucionan constantemente, como los virus modernos, Spyware (programas espía) y ataques de Phishing (suplantación de identidad).

Los desarrolladores especializados en seguridad llevan un registro del tiempo entre el descubrimiento de una vulnerabilidad y la liberación de ataques que se aprovechan de la misma.

Muchos desarrolladores y clientes están secretamente aterrorizados de un fenómeno conocido como "exploit de día cero". Un exploit de día cero es un ataque que es liberado a la red en el momento, e incluso antes, que la vulnerabilidad contra la que atenta sea identificada públicamente.

El tiempo entre el descubrimiento de la falla y la liberación de la corrección (parche) contra la misma, ha estado disminuyendo rápidamente, así como la aparición de exploits masivos de día cero no está lejos.

NOTA: se le denomina exploit al código que se aprovecha de la existencia de una vulnerabilidad para ejecutar su ataque.

Soluciones reactivas y soluciones proactivas

Por un lado, las soluciones de seguridad basadas en firmas son medidas reactivas ya que solo reaccionan cuando una amenaza intenta comprometer el sistema.

El problema está en que las soluciones basadas en firmas solo pueden detectar ataques conocidos con firmas de identificación que deben ser actualizadas en los sistemas de los usuarios al momento del ataque. Por ello, estas soluciones proveen una protección adecuada ante amenazas conocidas, pero son inútiles cuando aparecen nuevas amenazas.

Los sistemas basados en firmas protegen bien contra amenazas lanzadas por adolescentes (los llamados script kiddies) pero en un mundo con hackers profesionales que están en permanente evolución, es posible suponer que los exploits de día cero no están tan lejos de suceder.

Por otro lado, las soluciones basadas en la heurística son medidas de seguridad proactivas las cuales protegen los sistemas de las amenazas antes que los desarrolladores de seguridad puedan identificar dicha amenaza y crear la firma correspondiente.

Las soluciones heurísticas obtienen sus resultados proyectando comportamientos en base a experiencias pasadas, siendo en definitiva, un razonamiento teórico, y de esa forma, aprenden a reconocer cómo se comportaría el objeto examinado.

Sin embargo, esta palabra es habitualmente mal utilizada para hacer referencia a soluciones que sólo ofrecen una parte del total del potencial del análisis heurístico, tales como un análisis intensificado de firmas.
Algunas de las mal llamadas soluciones heurísticas son sólo un pobre complemento del análisis de firmas, y los compradores deberían estar advertidos de las sutiles diferencias, las cuales suelen estar oscurecidas por su comercialización.

Tabla comparativa entre los diversos métodos de análisis

1. Firmas
- Busca programas maliciosos que coincidan con la firmas existentes.
- Es una ciencia exacta, que devuelve un resultado unívoco.
A favor: Buena protección contra amenazas conocidas, pero no ante sus variantes.
En contra: No provee protección contra ataques desconocidos. Demora en los procesos de actualización de firmas, abriendo ventanas vulnerables.

2. Firmas genéricas
- Reconocimiento de diseño en variaciones de programas maliciosos conocidos.
Esta es una heurística básica que solo puede dar una probabilidad de acierto.
A favor: Protección superior contra amenazas polimórficas conocidas o formatos evolucionados. Provee una identificación más precisa en una etapa más temprana.
En contra: Ninguna protección contra amenazas totalmente nuevas. Tendencia a emitir falsos positivos.

3. Entorno aislado (Sandboxing)
- Ejecuta un archivo en un recinto aislado, sea un entorno virtual o un equipo real.
A favor: Identificación satisfactoria de nuevas amenazas.
En contra: Podría ser engañado por código inteligente al ejecutar el archivo sospechoso. Costos elevados en desempeño y tamaño.

4. Heurística pasiva
- Busca cadenas de caracteres en los archivos.
A favor: Buen complemento para firmas y especialmente para emulación de código.
En contra: Derrotado por polimorfismo, encriptación y compresores de ejecución en tiempo real. De utilizarse aisladamente, tiende a emitir falsos positivos.

5. Heurística avanzada
- Simulación de partes específicas del código realizado en un entorno virtual seguro, utilizando elementos de diferentes métodos (firmas genéricas, emulación, heurística pasiva, análisis algorítmico).
A favor: La mejor protección contra amenazas. Protección contra exploits de día cero. Emisión de muy baja cantidad de falsos positivos. Veloz, seguro y con el mejor desempeño.
En contra: Eventualmente, pudiera requerir actualización de algoritmos.

La estrategia de Eset en la protección contra amenazas

El enfoque distintivo de Eset

NOD32 de Eset ofrece un enfoque verdaderamente distintivo en la forma de combatir los contenidos amenazadores.

La utilización de heurística avanzada para detectar nuevas amenazas es una diferenciación clave, pero NOD32 también incluye capacidades de análisis basado en firmas para incrementar su protección contra amenazas conocidas.

La combinación de técnicas unificadas en un solo motor llamado ThreatSense(TM), le da a NOD32 una gran ventaja, maximizando la protección contra amenazas existentes y futuras, incluyendo virus, Spyware e incluso contra ataques de Phishing.

ThreatSense(TM) trabaja como un investigador virtual de código malicioso dentro del programa, aplicando métodos múltiples y complementarios métodos de detección de amenazas.

Entre las técnicas que aplica se encuentran métodos híbridos basados en heurística incluyendo emulación, heurística pasiva, análisis algorítmicos y firmas genéricas.

Una de las fortalezas clave de NOD32 es su habilidad de utilizar las diferentes técnicas de forma paralela para maximizar el rendimiento.

Protección demostrada ante exploits de día cero

La frase protección de día cero está siendo utilizada incorrectamente por muchos desarrolladores para obtener mas mercado. Sin embargo, este concepto es generalmente mal utilizado o mal interpretado.

La protección de día cero significa la protección del usuario contra amenazas conocidas y emergentes desde el primer momento.

Esto significa una protección proactiva en tiempo real.

En su lugar, muchas soluciones que dicen llamarse de protección de día cero demoran horas en ser enviadas y, todas las actualizaciones, deben ser instaladas antes que las mismas sean efectivas.

Eset es un desarrollador realmente proactivo que provee la protección de día cero. Su probada tecnología proactiva ThreatSense(TM) utiliza una combinación de técnicas heurísticas que le permiten a NOD32 frenar nuevas amenazas desde el primer día.

"Verificamos 13 productos y evaluamos a cada uno en su habilidad de identificar e incluso bloquear virus y troyanos. Encontramos que NOD32 de Eset tenía el mejor porcentaje de éxito. Es un producto sobresaliente con un soporte excelente y en nuestra opinión, es la mejor solución antivirus que hay en el mercado", testimonia Scott Brown, Analista de seguridad de la información, Colby-Sawyer College.

Fortalezas claves

NOD32 es en esencia, un producto muy efectivo, el cual provee uno de los mejores porcentajes de detección en la industria.

De acuerdo con Virus Bulletin, una de las más importantes organizaciones de pruebas independientes, NOD32 ha detectado todos los virus circulantes en los últimos siete años.

NOD32 también es sencillo de instalar, utilizar y mantener. La instalación es rápida y puede ser realizada en minutos en redes de tamaño regular desde una consola administrada centralmente.

Una de las fortalezas más importantes del producto es su bajo impacto en el desempeño.

Debido a su bajo consumo de recursos, especialmente de memoria y CPU, la presencia de NOD32 es casi imperceptible.

El siguiente cuadro muestra el bajo consumo de recursos de NOD32 comparado con sus principales competidores.

Fuente: Análisis de Canon System Solutions verificando la apertura y cierre de un archivo Excel durante 200 ciclos y con el análisis en el acceso activado.

1. Sin antivirus (8,44 segundos)
2. NOD32 (8,93 segundos)
3. Producto "T" (11,21 segundos)
4. Producto "M" (16,71 segundos)
5. Producto "S" (49,86 segundos)

"Tomando todo esto en consideración, ningún otro producto puede competir con NOD32 en lo referente a facilidad de uso, velocidad, detección y costo. Es emocionante ver el enfoque de avanzada de Eset ante este recurrente problema y ser testigo privilegiado de los resultados de su heurística y de la tecnología basada en firmas", afirma Matt Marchione, especialista en seguridad de datos de la compañía Burlington Coat Factory.

Además, NOD32 ofrece un despliegue, administración e informes centralizados, lo que lo hace fácil de configurar en diferentes plataformas y estratos. Esto es cada vez más importante debido a la naturaleza híbrida de las redes de hoy en día.

Eset mantiene laboratorios de investigación distribuidos globalmente que le permiten a la compañía estar a la vanguardia en la identificación de nuevas amenazas. Esta suma de inteligencias aunadas es incorporada posteriormente al motor de ThreatSense(R) para una lograr una mejor efectividad.

ThreatSense.Net simplifica el envío automatizado de código sospechoso a los laboratorios de Eset para mayores análisis, actuando también como un sistema de alerta temprana sobre brotes súbitos de amenazas y la implementación de medidas de protección, permitiendo la notificación a tiempo a sus clientes, si esto fuera necesario.

"Encuentra cosas que los programas antivirus corporativos no hallan. En los ordenadores de los clientes toma mucho menos tiempo de carga en el inicio, y ejecuta análisis completos del sistema en una fracción de tiempo comparado con nuestra solución anterior. Consume recursos mínimos del sistema, lo cual siempre es conveniente en un entorno Windows. Nuevamente me saco el sombrero ante su compañía por un excelente programa y estamos hoy mucho mas felices. Recomendaré a NOD32 a todos los profesionales informáticos con los que trabajo", afirma Eric Beckman, Desktop Regional, Coordinador Select Group.

Elementos clave que diferencian

NOD32 es diferente del resto de las soluciones que Frost & Sullivan ha encontrado en el mercado. La utilización de la exclusiva tecnología ThreatSense(R) de Eset tiene singular utilidad en lo que respecta a rendimiento de producto, velocidad y efectividad, resultado de años de evolución. Esto se traduce en importantes beneficios para los clientes.

Un resumen de los factores clave de diferenciación, implicancias y beneficios a sus clientes, que hacen de NOD32 una alternativa de avanzada:

Factores claves de diferenciación

- Motor unificado ThreatSense(R): Provee detección heurística avanzada contra nuevas amenazas.
- ThreatLabs: Laboratorios de investigación distribuida que proveen conocimientos a los productos y servicios de Eset.
- Sistema ThreatSense.Net: Sistema de alerta para informar a los clientes sobre nuevos códigos maliciosos detectados por la heurística de ThreatSense.
- Soporte técnico: Soporte técnico gratuito a nivel mundial.

Implicancias

Protección inmediata contra todo tipo de amenazas. No se fía de amenazas conocidas o por su identificación.

Protección ante amenazas futuras. Su tecnología se aplica a código malicioso aún no clasificado:

Protección mejorada contra:

- Spyware, Adware, Riskware.
- Aplicaciones potencialmente peligrosas.
- Familias de amenazas más comunes.
- Descompresor genérico.
- Flujo alternativo de datos.
- Limpieza automática de Puntos de restauración del sistema.

Desempeño mejorado inteligente por medio de heurística avanzada.

- Muy baja emisión de falsos positivos.
- Análisis balanceado entre verificación de código y firmas de virus.

Alerta temprana de nuevas amenazas siendo útil para otros usuarios.

- Mayor rapidez en la provisión de herramientas de desinfección.
- Mayor rapidez en la disponibilidad de herramientas de análisis.

Beneficios para los clientes

- Mayor nivel de integridad de la información, con protección garantizada contra todo tipo de amenazas.
- Mayor cantidad de tiempo activo y ahorro por incremento en la productividad de los empleados al tener menor tiempo sin actividad así como por la velocidad de análisis y menor cantidad de infecciones por código malicioso.
- Ahorro de costes en el presupuesto informático y del personal debido a menores valores de compras y mantenimiento.
- Mayor velocidad en el recupero de la inversión (ROI) como resultado del incremento en la conformidad del usuario, menor tiempo improductivo y mayor rendimiento.
- Menor costo total de titularidad (TCO) como resultado del ahorro en compra de licencias, mantenimiento y soporte de producto.
"El bajo uso de recursos de sistema, su fácil y rápida actualización y la exactitud de detección de NOD32 no puede ser igualada", comenta el gerente de tecnologías de la información de Top Global 5, Compañía de Telecomunicaciones.


Conclusión

Debido a la naturaleza evolutiva del contenido de las amenazas, ya no es suficiente depender de soluciones de seguridad reactivas que dejan ventanas inaceptables a las vulnerabilidades.

Este enfoque es totalmente ineficiente contra las amenazas que evolucionan y que fácilmente pueden engañar a las soluciones de seguridad tradicionales.

El uso de soluciones de seguridad proactivas que puedan utilizar totalmente las capacidades de la tecnología heurística es altamente recomendado para la protección eficiente contra todo tipo de amenazas.

Idealmente, una combinación de diferentes técnicas heurísticas, asociadas con un enfoque de análisis basada en el uso tradicional de firmas, les da a los usuarios la mejor arma posible para combatir las amenazas conocidas o las que evolucionan.

Sin embargo, no se puede comprometer el desempeño, y por ello es que la emulación de código aparece como la opción más segura y de menor impacto. Este es efectivamente el enfoque de Eset, y la razón por la que su producto NOD32 se diferencia de los demás.

Frost & Sullivan considera que el enfoque proactivo de Eset cumple con las necesidades de las empresas de hoy. El historial de la compañía y su singular enfoque a este mercado la hace el socio ideal para ganarle a amenazas actuales y futuras.


Sobre Frost & Sullivan

Frost & Sullivan, una consultora de crecimiento global, se ha asociado a clientes por mas de 40 años para asistirles en el desarrollo de estrategias innovadoras.

La experiencia de la compañía en este mercado integra asesoramiento de crecimiento, servicios de expansión por alianzas y entrenamiento de gerenciamiento corporativo para identificar y desarrollar oportunidades.

Frost & Salivan atiende a una gran clientela que incluye compañías que figuran en Global 1000, compañías emergentes y a la comunidad de inversores, proveyendo una cobertura industrial total, reflejando una perspectiva global única que combina permanentes análisis de mercado, tecnologías, información económica y demográfica.

Sobre Eset
Fundada en 1992, Eset es uno de los actores principales con más años en la industria antivirus y protección contra amenazas. El producto estrella de la compañía se llama NOD32, un producto cada vez más popular entre las empresas. Con oficinas en Estados Unidos de América y Europa, Eset distribuye NOD32 y da soporte en más de 80 países a nivel mundial. La compañía ha experimentado un rápido crecimiento en los últimos años, tal como se surge del premio Technology Fast 500 de Deloitte, recibido durante tres años consecutivos.

Nota: Traducción del artículo original de Frost & Sullivan, Ontinet.com, S.L., NOD32 España.

(c) Video Soft
(c) VSAntivirus