Tầm quan trọng của cơ sở dữ liệu chữ ký virus mẫu

Cơ sở dữ liệu chữ ký virus là "sổ nhận dạng" giúp phần mềm diệt virus nhận ra mã độc đã biết một cách nhanh và chính xác. Mỗi chữ ký là một đặc điểm riêng của một mẫu hoặc một họ mã độc; khi tệp trên máy khớp với chữ ký, phần mềm biết ngay đó là gì và xử lý thế nào. Tầm quan trọng của nó nằm ở hai điểm: phát hiện chắc chắn với tỷ lệ báo nhầm thấp, và chỉ hiệu quả khi được cập nhật liên tục, vì mỗi ngày đều có mẫu mã độc mới xuất hiện.

Chữ ký virus là gì

Chữ ký (signature) có thể hiểu như dấu vân tay của mã độc. Ở dạng đơn giản nhất, đó là mã băm của cả tệp: nếu tệp có cùng mã băm với một mẫu đã biết, đó chính là mẫu ấy. Nhưng mã băm thay đổi hoàn toàn chỉ với một byte khác biệt, nên các hãng bảo mật dùng nhiều dạng chữ ký tinh vi hơn:

• Chuỗi byte đặc trưng: một đoạn mã hoặc dữ liệu chỉ có trong họ mã độc đó.
• Chữ ký có ký tự đại diện: chuỗi cho phép một số byte thay đổi, bắt được nhiều biến thể.
• Chữ ký cấu trúc: dựa trên cách tệp được tổ chức, các hàm được gọi, tài nguyên nhúng.
• Quy tắc mô tả: kết hợp nhiều điều kiện, tương tự cách các nhà phân tích viết quy tắc YARA để phân loại mẫu.

Quy trình từ mẫu mới đến bản cập nhật

1. Mẫu đáng ngờ được thu thập từ nhiều nguồn: người dùng gửi, hệ thống bẫy (honeypot), đối tác chia sẻ, phát hiện bằng hành vi.
2. Hệ thống tự động và nhà phân tích xác định mẫu có độc hại không, thuộc họ nào.
3. Chữ ký được viết và thử nghiệm trên kho tệp sạch lớn để tránh báo nhầm.
4. Chữ ký được đóng gói vào bản cập nhật cơ sở dữ liệu, phát hành tới người dùng, thường nhiều lần mỗi ngày.

Bước thử nghiệm báo nhầm rất quan trọng: một chữ ký sai có thể khiến phần mềm diệt virus xóa nhầm tệp hệ thống, gây hậu quả nghiêm trọng hơn cả mã độc.

Vì sao phương pháp chữ ký vẫn quan trọng

Dù thường bị chê là "cũ", phát hiện dựa trên chữ ký vẫn là nền tảng của mọi sản phẩm bảo mật vì những ưu điểm khó thay thế:

Phần lớn mã độc lưu hành là biến thể của những họ đã biết. Chữ ký tốt bắt được số đông này, để các công nghệ đắt đỏ hơn tập trung vào phần còn lại.

Giới hạn của chữ ký

• Không bắt được mã độc hoàn toàn mới: trong khoảng thời gian từ khi mẫu xuất hiện tới khi có chữ ký, máy không được bảo vệ bởi lớp này.
• Đa hình và biến hình: mã độc tự thay đổi mỗi lần lây, làm chữ ký chuỗi đơn giản mất tác dụng.
• Đóng gói và mã hóa: nội dung thật chỉ lộ ra khi chạy.
• Tấn công không dùng tệp: mã độc chạy trong bộ nhớ hoặc lạm dụng công cụ hệ thống hợp lệ, không có tệp để so khớp.

Vì vậy, sản phẩm bảo mật hiện đại kết hợp chữ ký với phân tích hành vi, heuristic, học máy và tra cứu danh tiếng trên đám mây. Chữ ký là lớp đầu tiên, không phải lớp duy nhất. Môi trường cách ly như sandbox là một công cụ bổ sung khi chữ ký chưa đủ để kết luận, xem bài sử dụng sandbox phân tích phần mềm lạ.

Cập nhật chữ ký: việc nhỏ, hậu quả lớn

Một phần mềm diệt virus với cơ sở dữ liệu cũ vài tuần gần như mù trước các chiến dịch mã độc gần đây. Những trường hợp hay gặp khiến chữ ký không được cập nhật:

• Bản dùng thử đã hết hạn nhưng biểu tượng vẫn hiện, người dùng tưởng vẫn được bảo vệ.
• Máy không kết nối Internet thường xuyên, như máy điều khiển trong xưởng, máy trong phòng lab.
• Tường lửa hoặc proxy công ty chặn máy chủ cập nhật.
• Mã độc đã vô hiệu hóa dịch vụ cập nhật.
• Dùng phần mềm diệt virus bẻ khóa, không nhận được cập nhật hợp lệ.

Hãy định kỳ mở giao diện phần mềm bảo mật và kiểm tra ngày cập nhật gần nhất. Với máy không có mạng, các hãng thường cung cấp gói cập nhật ngoại tuyến để chép vào bằng thiết bị đã kiểm tra.

Chữ ký và lịch quét định kỳ

Chữ ký mới không chỉ có tác dụng với tệp sắp tải về. Khi quét lại toàn bộ ổ đĩa với cơ sở dữ liệu mới, phần mềm có thể phát hiện mã độc đã lọt vào trước đó, lúc chữ ký chưa tồn tại. Đây là lý do quét định kỳ vẫn cần thiết dù đã có bảo vệ thời gian thực. Cách lên lịch phù hợp có trong bài thiết lập lịch quét virus định kỳ.

Góc nhìn cho người quản trị hệ thống

Trong tổ chức, việc theo dõi trạng thái chữ ký của từng máy nên được tập trung hóa. Bảng điều khiển quản lý cho biết máy nào có cơ sở dữ liệu lỗi thời, máy nào tắt bảo vệ. Ngoài ra, đội bảo mật có thể tự viết quy tắc phát hiện riêng cho mẫu nhắm vào tổ chức mình, dựa trên các dấu hiệu xâm nhập thu thập trong điều tra, và đưa vào công cụ quét nội bộ. Khi phát hiện một mẫu lạ chưa có chữ ký, gửi mẫu cho hãng bảo mật cũng giúp cộng đồng được bảo vệ sớm hơn.

Chữ ký cũng hữu ích ngoài phạm vi phần mềm diệt virus: quét kho mã nguồn và thư viện phụ thuộc để tìm gói độc hại đã biết là một ứng dụng tương tự, liên quan tới bài quản lý và cập nhật thư viện mã nguồn mở.