Lo scambio pulito di metadati di file semplifica la separazione del malware da file sicuri

Ci sono molti ottimi prodotti antivirus là fuori, ma a volte mancano il segno. Vedere la quantità di malware rilevata da un programma di sicurezza è un modo per valutarlo, ma anche registrare il suo numero di falsi positivi. Un falso positivo è quando l'antivirus segnala erroneamente un programma sicuro e legittimo come malware pericoloso. Questo è fastidioso per gli utenti che cercano di accedere a programmi affidabili, ma anche peggio per i creatori del software ingiustamente demonizzato. L'Institute of Electrical and Electronics Engineers (IEEE) vuole porre fine a questo, e l'asceta di sicurezza residente di PCMag Neil Rubenking ci ha fornito i dettagli dei suoi piani.

I falsi positivi sono spesso il risultato del software antivirus che incontra un programma sicuro troppo nuovo per essere riconosciuto. La soluzione IEEE si basa sul servizio Clean File Metadata Exchange (CMX). Con CMX, gli autori di software possono inviare metadati per nuovi file come nuovi programmi o aggiornamenti a programmi esistenti prima ancora che vengano rilasciati. I fornitori di sicurezza potrebbero quindi accedere a questi dati in tempo reale per rimanere aggiornati con gli ultimi file legittimi e impedire ai loro programmi di contrassegnarli come malware. Tuttavia, CMX non è un database. Conserva i dati per una settimana o due mentre li convalida e li consegna agli abbonati. Chiunque effettui il check-in meno frequentemente e cerchi dati meno recenti dovrà estrarre un archivio.

"Il nostro sistema è più orientato verso grandi software house", ha dichiarato il professor Igor Muttik, Senior Principal Research Architect presso McAfee, in un'intervista a Rubenking. I venditori possono inviare se hanno una firma digitale di classe 3. "Se desiderano costruire reputazione, ora hanno un modo di farlo." Inizialmente, Microsoft era l'unica grande azienda impegnata in CMX. Ma poiché il servizio continua a rivolgersi ai partner del tribunale, ora contiene milioni di record EXE di gruppi come le principali società di sicurezza, OEM di PC e persino Steam.

Ciò non significa che le terze parti più piccole siano sfortunate. Mark Kennedy, distinto ingegnere di tecnologia di sicurezza e risposta di Symantec, ha spiegato come un'azienda come Symantec potrebbe approvare il software che ritiene pulito. I consumatori quindi vedono quell'opinione e scelgono di fidarsene o meno. CMX utilizza inoltre tag di identificazione software (SWID) per aggiungere ulteriori informazioni al servizio. Il governo degli Stati Uniti richiede qualsiasi software che utilizzi per caratterizzare i tag SWID, dando a CMX ancora più dati da cui trarre un bonus.

CMX fa parte della più grande iniziativa AMSS (Anti-Malware Support Service). Un altro componente, il Taggant System che identifica il packer di malware, è stato proposto da Kennedy e Muttik cinque anni fa alla conferenza di Black Hat. Alcuni criticano queste collaborazioni come anticoncorrenziali, ma James Wendorf, direttore di Cross-Industry e Multiple-Stakeholder Collaborations presso l'IEEE, la vede in un modo diverso.

"Gli standard riguardano l'unione delle parti interessate, spesso concorrenti, per combattere i problemi. I cattivi collaborano e condividono, quindi abbiamo bisogno di un modo per i bravi ragazzi di collaborare come possono", ha detto Wendorf. "Senza essere anticoncorrenziali, non vogliamo questi problemi. Corrisponde agli obiettivi e allo scopo generali dell'IEEE, che è quello di far progredire la tecnologia a beneficio dell'umanità."