賽門鐵克主動防御技術 將進駐新諾頓

　　安全廠商賽門鐵克繼於其消費端安全軟件Norton 360中加入其首個主動式防御技術SONAR後，昨日在臺北透露將於明(2008)年推出新版殺毒軟件產品Norton AntiVirus時，加入開發代號為Canary的瀏覽器弱點防御技術。

　　此一新技術在封鎖可疑威脅之餘，會更重視使用者體驗，例如在遇到可疑威脅時能自行判斷、不去詢問使用者，且只封鎖有危害的程序代碼，而非整個網頁，讓威脅被阻擋之餘，使用者仍能獲得所需信息，該公司指出。

　　不過賽門鐵克並未透露產品推出時間與相關技術細節，僅表示詳細信息將待產品准備就續後，纔會向外界發布，預計將加入2008年版的殺毒軟件相關產品。

　　在網絡攻擊由單一版本即可造成大規模感染的病毒、蠕蟲等，轉而以偷取數據、賺取金錢為目的，且變種快速的惡意程序主導的情況下，找到病毒、進行分析、發布病毒代碼的傳統特征比對(signature-based)技術的標准流程已跟不上新威脅出現的周期，這使得發展主動式防御科技，如行為偵測等，已成為安全廠商近年來共同的努力方向。

　　“但未經精細設計的行為偵測安全產品,反而未必能讓使用者受益，”賽門鐵克行為偵測引擎技術架構師Mark Obrecht表示，某些采用行為偵測技術的軟件，抓到可疑的應用程序後，多半是跳出窗口要求使用者自行判斷要不要放行。

　　他認為，一般使用者多半缺乏判斷危害程度的能力，提供使用者太多選擇的結果，可能反而是讓使用者在感到不耐下只會點擊同意的選項，讓自己曝露於威脅中，也喪失安全產品的意義。

　　“有的產品則是一偵測到可疑行為,便直接封鎖整個應用程序或網頁，”賽門鐵克個人消費性產品事業部產品管理總監Bill Rosenkrantz補充道，完全封鎖將讓使用者無法正常使用計算機，雖然安全性可能較高，“但卻完全沒有考慮到使用者的現實需要”他說。

　　Obrecht認為，長遠看來，行為偵測在安全軟件中扮演的角色，相較於特征比對將更為重要，但須精確判斷威脅，減少誤判(false positive)，並且僅封鎖真正有危害的關鍵程序代碼，讓使用者不必受到過多不必要詢問信息打擾，且能在威脅被封鎖的同時，仍能使用應用程序的基本功能，或瀏覽網頁中無害的組件。“使用者要的是信息，如果信息本身無害，為什麼要封鎖它?”Rosenkrantz反問。

　　同樣是處理來自網頁的瀏覽器弱點攻擊，競爭廠商趨勢科技采用的則是網頁評級的方法。

　　趨勢科技雖然在其殺毒軟件與郵件安全等產品，都采用了同屬主動式防御的啟發式技術，但對於來自網頁的眾多新型攻擊，趨勢科技則是打算打造大規模的網址數據庫，每日比對3億筆以上的網頁，以實時更新的有害網頁名單來對抗來自網頁的攻擊。