Sandboxing : pourquoi Barracuda a retenu l’émulation

Voir plus que ne le permet la virtualisation

Et si les équipes de Barracuda continuent de travailler sur cette approche, l’équipementier a choisi de la renforcer avec une technologie tierce : « nous avons évalué tous les spécialistes sur sandboxing sur le marché »... Pour finalement choisir Lastline et sa technologie d’émulation. «Nous avons cherché à savoir quels types de moteurs de sandboxing produisent les meilleurs résultats. Et il y a plusieurs domaines où l’émulation gagne. » Et de citer en particulier la gestion des comportements adaptatifs des logiciels malveillants : « de nombreux malwares détectent désormais s’ils fonctionnent dans un environnement virtuel. Et si c’est le cas, ils se comporteront ‘gentiment’. » En émulant un processeur, « il est possible de regarder les instructions spécifiquement utilisées par le code » et voir, en particulier, s’il cherche à détecter un environnement virtuel ou encore s’il essaie de… tuer le temps pour passer au travers des mailles du filet qui lui est tendu. Dans le premier cas, pour Stephen Pao, « FireEye passe à côté de pas mal de choses. » Des chiffres ? Non, car les tests ont été conduits sous accord de confidentialité, mais les écarts seraient « significatifs. » Dans quelle mesure ? Plus de 10 % d’échec de détection, de 20 %, de 30 % ? « Vous vous approchez », concède Stephen Pao. 

Mais la question du temps est également clé. Le directeur général de l’activité sécurité de Barracuda Networks explique ainsi qu’un code suspect passe en moyenne trois minutes et demi dans un bac à sable : « dans un environnement virtuel, il est possible d’accélérer l’horloge pour empêcher un logiciel malveillant d’attendre que soit passé ce délai. Mais il n’est pas possible de détecter un logiciel qui attend une date précise pour exécuter sa charge utile. L’émulation le permet en revanche car vous pouvez voir ce qui passe durant les états d’attente. »

Une menace impossible à évaluer précisément

Mais cela suffit-il pour autant ? Les spécialistes de la lutte contre les logiciels malveillants révèlent régulièrement l’existence d’opérations actives depuis de nombreuses années, près d’une décennie pour certaines. D’où la question de savoir si l’industrie de la sécurité commence à avoir une idée de l’ampleur de l’iceberg, dont elle ne voit que le sommet émergé. « C’est un vrai défi. Et cela a une traduction commerciale. Lorsque nous avons lancé notre Spyware Firewall, nous pensions pouvoir le vendre. Mais nous avons du changer son nom parce que… personne n’était conscient d’être infecté par des logiciels espions [spyware]… pour la seul raison qu’il s’agit de logiciels espions. Mais près de 100 % des clients auxquels nous l’avions alors présenté avaient des logiciels espions sur leur réseau. » Du coup, vendre un pare-feu de filtrage Web s’est avéré plus facile que vendre une protection anti-spyware. Mais évaluer l’ampleur de la menace est, pour Stephen Pao, impossible, comme « il est impossible de savoir combien de mots de passe sont vulnérables ou compromis à travers le monde. »