Компьютеры действует на иммунитет

Компьютерный иммунитет

Новая система компьютерной безопасности основана на принципах работы человеческого организма. С наступлением эры распространения по всему миру зловредных компьютерных вирусов специалисты в области информационной безопасности быстро уловили схожие элементы в действиях программ-вирусов и развитии болезней человека. Аналогия вполне уместна. Компьютерные вирусы несут в себе информацию, которую они должны дублировать. Эти вирусы нуждаются в ресурсах компьютера-хозяина для того, чтобы выжить, и могут наносить ущерб тому, кого они инфицируют. И наконец, — программы-вирусы используют инфицированный компьютер в качестве переносчика заразы. Значит, и бороться с вирусами можно «человеческими» способами.

КОМПЬЮТЕРЫ ПРОСЯТ ПОМОЩИ

Компьютерной индустрии потребовалось достаточно долгое время, чтобы прийти к следующему логическому выводу: компьютеры, так же как и живые организмы, нуждаются в иммунной системе, чтобы защитить себя от нашествия вирусов. Но в этой области наконец-то произошел прорыв. Американские программисты разработали оригинальные системы безопасности для компьютеров, основанные на данных иммунологии. Эти системы способны автоматически обнаруживать вторгшегося нарушителя и оказывать ему действенный отпор, даже если данная программа-вирус ранее не была известна. Кроме того, новые разработки эффективны и для охраны компьютерных систем от атак хакеров.
Обычно вирусы скрываются в передаваемых от одного компьютера к другому информационных файлах, программах или сообщениях электронной почты. Внедрившись в какой-то момент в систему компьютера, они приводят к возникновению различных нарушений — от вывода на экран шутливых сообщений до изменения ключевых файлов на твёрдом диске или даже уничтожения всей информации. Хакеры действуют похожими способами: они тайком вторгаются в систему и выполняют разрушительные операции.

До сих пор все меры защиты компьютеров от злонамеренного нападения сводились только к проявлению бдительности и созданию технических заграждений. Но оба эти метода далеки от совершенства. Все мы отлично знаем, что не стоит открывать приложения с завлекательными названиями, вроде «Я вас люблю», поступающие с электронной почтой. И тем не менее рано или поздно все мы то ли из любопытства, то ли по небрежности нарушаем это правило. Технические барьеры способны в определенной степени защитить нас от совершения подобных оплошностей.

Компьютерные сети защищаются «противопожарным» программным обеспечением, т.е. программными средствами защиты, ограничивающими обмен данными между частной сетью и открытой сетью. Это программное обеспечение проверяет поступающие сообщения и блокирует любые связи, которые признаются подозрительными. Компьютеры могут также оснащаться специальными программами, проверяющими файлы на наличие вирусов. В таком подходе также можно заметить аналогию с медициной. Пострадавшие обращаются к программам-врачевателям для того, чтобы изолировать и проанализировать внедрившийся вирус. Антивирусные программы могут лечить поврежденные файлы и создавать «прививку» — небольшой фрагмент программного кода вирусной программы. Этот фрагмент позволит антивирусному программному обеспечению в будущем определять появление в компьютере того же самого вируса.

Но сегодня такие методы безопасности уже не могут считаться достаточно эффективными. С сетью Интернет одновременно связываются миллионы компьютеров, поэтому новые вирусы распространяются со сверхъестественной быстротой, а перед хакерами открыто бескрайнее поле деятельности. По данным специальной службы ФБР, обследовавшей в прошлом году около 300 компаний и правительственных агентств, в 90 процентах случаев нарушения компьютерной безопасности повлекли за собой финансовые потери в размере четверти миллиарда долларов. Даже компании с наивысшим технологическим уровнем не смогли выработать иммунитет против вторжений. В числе жертв оказалась и компания «Майкрософт» (Microsoft).

Дело в том, что пока специалисты разрабатывают методы борьбы с одним видом нападения, нарушители находят другой. Согласно оценкам специалистов французской компании «Сирано» (Cyrano), разрабатывающей программное обеспечение для сети Интернет, каждый год хакеры изобретают 100 новых способов незаконного вторжения в компьютерные системы. А по сведениям компании «Симантек» (Symantec), которая продает антивирусное программное обеспечение Нортон (Norton), сейчас известно почти 50 000 видов вирусов, и каждый месяц появляются 500 новых.

СИСТЕМА САМОЗАЩИТЫ

По словам Стефани Форрест (Stephanie Forrest), руководящей разработкой антивирусного программного обеспечения в университете штата Нью-Мехико в Альбукерке, современные компьютеры должны оснащаться системой, которая способна самостоятельно защитить данные и обеспечить работоспособность в любых условиях. При разработке методов решения этой проблемы Стефани руководствуется принципами живой природы. Иммунная система человека способна защитить нас от большого числа непредсказуемых опасностей, поскольку она действует автономно и может адаптироваться к меняющимся внешним условиям.

Для защиты человека от опасных вторжений иммунная система постоянно контролирует поступление в организм молекул чужеродных белков, которые синтезируются вирусами, бактериями, паразитами и так далее. При обнаружении «не своих» молекул иммунная система запускает выполнение целой совокупности защитных реакций, которые направлены на уничтожение или обезвреживание агрессора.

Для того, чтобы обнаружить чужеродные молекулы, организм производит огромное число белых кровяных телец. Каждая такая клетка крови настроена на распознавание молекул лишь одного единственного вида, но организм синтезирует эти клетки в громадном количестве и при этом случайным образом изменяет механизм распознавания. Благодаря этому распознающие клетки могут обнаружить почти все потенциальные угрозы.
Белые клетки развиваются в тимусе (вилочко-вой железе), где они подвергаются отбору, в процессе которого уничтожаются все клетки, настроенные на обнаружение «своих» белков. Сохранение таких клеток может вызвать развитие аутоиммунной болезни. Если лимфоцит настроен на распознавание «собственных» белков, то он разрушается, а если «чужих», то выпускается в систему кровообращения, где будет охотиться за пришельцами. Когда лимфоцит обнаруживает вражеский белок, он поднимает тревогу, по которой другие специализированные клетки приступают к отражению атаки. После обезвреживания захватчика организм вырабатывает копии белых клеток крови, которые сумели обнаружить врага, и сохраняет их для борьбы с возможными повторными вторжениями. Именно благодаря этой «иммунной памяти» мы не болеем корью дважды.

У иммунной системы есть масса свойств, которые делают её ценной моделью для компьютерных систем защиты. Белые клетки крови циркулируют свободно по всему организму и действуют самостоятельно. Они не управляются какими-либо командами из единого центра, поэтому у человека нет какой-либо одной уязвимой точки. Так как механизм обнаружения синтезируется случайным образом, то иммунная система может распознавать таких врагов, с которыми организм никогда ранее не встречался. Наличие иммунологической памяти обеспечивает возможность быстрого отражения атак пришельцев, с которыми организм уже ранее боролся. В иммунной системе предусматривается также определенная вероятность отдельного ошибочного обнаружения, поэтому в систему встроен механизм контроля ошибок или процедура так называемой «групповой реакции»: для выработки сигнала тревоги необходимо, чтобы белые кровяные клетки получили подтверждение сделанного обнаружения от клетки-«помощника». В целом можно сказать, что иммунная система представляет собой надежно работающую, самонастраивающуюся и автономную систему защиты. Специалисты по безопасности компьютерных систем не могли и мечтать о чём-то большем.

В своих первых опытах по имитации работы иммунной системы Стефани Форрест разработала программу обнаружения вторжений хакеров. Ее экспериментальным «организмом» стала локальная вычислительная сеть (ЛВС) факультета информатики университета, состоявшая из 50 компьютеров, а объектом поисков были необычные внешние контакты сети Интернет с данной ЛВС. «Своими» сигналами считались обычные сеансы связи между машинами внутри ЛВС. Программа генерировала на каждом компьютере 100 случайных строк длиной 49 бит, которые представляли собой аналоги белых клеток крови в организме. Во время периода обучения компьютеры сравнивали эти строки с реальными данными, полученными во время соединений по сети. Те строки, которые соответствовали нормальным сетевым соединениям, уничтожались. Оставшиеся строки использовались в процессе последующего анализа сеансов связи.

Как лимфоциты патрулируют организм в поисках микробов, так и система компьютерной защиты с помощью 49-битовых контрольных строк следит за сообщениями, циркулирующими в локальной вычислительной сети, и сравнивает контрольные строки со строками, полученными по внешним каналам связи. Когда все в порядке, эти строки должны отличаться друг от друга. Таким образом, всякий раз, когда программа обнаруживает соответствие строк, система подает сигнал тревоги и посылает по электронной почте сообщение администратору системы. Если угроза вторжения оказывается реальной, администратор запускает процедуру отклонения нежелательного соединения и записывает соответствующую битовую строку в иммунологической памяти системы.

Тем не менее эффективность такой системы обнаружения оставляет желать лучшего. Одна из наиболее серьезных проблем, с которой сталкиваются разработчики систем компьютерной безопасности, связана с ложными тревогами. Поэтому многие пользователи частенько предпочитают блокировать защитное программное обеспечение или игнорировать предупреждения. А в компьютерах с иммунной системой защиты ложная тревога могла бы заблокировать законных пользователей или безвредные файлы.

К счастью, иммунология предложила другое готовое решение. Отдельные белые кровяные клетки при обнаружении вражеских молекул лишь переходят в состояние готовности. Они начинают действовать только в том случае, если достаточно много клеток почувствуют чужеродное вторжение. Поэтому при каждом ошибочном сигнале отдельных белых кровяных телец не происходит запуска полномасштабных защитных реакций иммунной системы. Действуя по такой же схеме, исследователи установили пороги обнаружения, чтобы обеспечить запуск системы защиты только после двух или более совпадений контрольных строк, свидетельствующих о подозрительных сеансах связи. Они также заимствовали у иммунной системы концепцию «групповой реакции», причём роль клетки-«помощника» выполняют администраторы сети. Если сигнал о предполагаемом вторжении оказывается ложной тревогой, администраторы просто не предпринимают никаких действий.

Пороговая система способна предотвратить опасность возникновения ложных тревог, однако она также имеет некоторые слабые стороны. Иногда хакеры предпринимают ряд одновременных атак с нескольких различных компьютеров, что снижает вероятность обнаружения какого-то одного нападения. И вновь исследователи взяли на вооружение механизм иммунной системы. Когда система защиты обнаруживает единичное совпадение строк, то она автоматически снижает пороги срабатывания других детекторов, благодаря чему повышается вероятность обнаружения атак. Этот механизм играет ту же роль, что и воспаление в иммунной системе. При воспалении повышается чувствительность всей системы в целом из-за активизации кровеносных сосудов вблизи места внедрения инфекции. При этом большее число белых клеток крови может контактировать с чужеродными белками.

Исследователи отмечают, что были поражены тем, как много функций иммунной системы человека они должны были воспроизвести для создания эффективной компьютерной защиты. «Но благодаря этому нам удалось хорошо разобраться в проблемах защиты и понять, как механизмы иммунитета могут помочь нашей системе», — говорит Стефани.

К ОТРАЖЕНИЮ АТАКИ ГОТОВ!

А как действует электронная иммунная система Форрест при отражении реальных атак? Во время уже упоминавшегося эксперимента с ЛВС было зарегистрировано 1,5 миллиона сеансов связи, среди которых ученые воспроизвели семь замаскированных нападений хакеров, а также имитировалась атака на систему, выполняемая одновременно из нескольких источников. Ни одно из вторжений не было пропущено, а число ложных тревог поддерживалось на чрезвычайно низком уровне.

Следующая задача, которую собирается решить Форрест, — разработка электронной иммунной системы защиты для индивидуальных компьютеров. Вначале исследовательница сосредоточила свои усилия на обнаружении необычного поведения сети и операционной системы компьютера. Но совсем недавно она стала следить за такими приложениями, как программы электронной почты или обработки текстов.

По словам Форрест, обычные системы безопасности просто поднимают тревогу. Как правило, они не имеют права вести дальнейшие оборонительные бои самостоятельно из-за опасности нарушений, которые могут вызвать ложные срабатывания. Но она надеется, что подход, основанный на анализе системных запросов, позволит снять такие ограничения. Стефани уже экспериментирует с теми действиями, которые могла бы предпринять электронная иммунная система при обнаружении ненормального функционирования машины. Простое замедление прохождения системных запросов, например, способно отвратить атаку хакера, так как реакция компьютера, подвергаемого нападению, будет отличаться от ожидаемой. А если ненормальная активность сохраняется, защита сможет совершенно заблокировать системные запросы.

На сегодняшний день такая система компьютерной безопасности — самое современное изобретение человечества. Но Форрест признает, что и у искусственных иммунных систем есть слабые стороны, которыми наверняка воспользуются нападающие. Природа уже создала вирус, который нападает на иммунную систему человека, так что же может отвратить авторов программ-вирусов от заимствования и этой идеи? Не исключено, что довольно скоро мы станем свидетелями первой вспышки ВИК — вируса иммунодефицита компьютера.

Сергей Маркин

08 июля 2015