وعليكم السلام ورحمة الله وبركاته
هناك فرق بين الحماية الاستباقية وبين تقنية السحاب .. ولكل منهما أسلوب ونمط تحري خاص .. الهدف
منه الكشف المبكر عن الفيروسات الجديدة .. التي ليس لها توقيع خاص ضمن قاعدة البيانات ..
### فالحماية الاستباقية تعتمد على مجموعة من القواعد Rules.. يقوم برنامج الحماية بإجراء مقارنة بينها وبين سلوك
الفيروس الجديد غير المكتشف بقاعدة البيانات .. فإن تم التلاقي والتطابق بين هذا السلوك وبين إحدى القواعد
المدرجة ضمن وحدة الحماية الاستباقية .. تم تصنيف هذا الفيروس حسب تلك القاعدة ..
فعلى سبيل المثال:
1- قاعدة من قواعد الحماية الاستباقية تقول: كل برنامج يقوم باتصال غير شرعي بجهاز متحكم بعيد .. فهو تروجان.
2- قاعدة أخرى تقول: كل برنامج يقوم باتصال غير شرعي بجهاز متحكم بعيد عن طريق فتح بورت وانتظار المتحكم
كي يستطيع الوصول للجهاز الضحية والتحكم به .. فهو باك دور.
3- قاعدة ثالثة تقول: أي ملف خبيث يقوم باتصال غير شرعي بجهاز متحكم بعيد بهدف تحميل ملفات خبيثة أخرى لجهاز
الضحية .. فهو Dropper .. وإن كان هذا الملف الخبيث عبارة عن برنامج خبيث فهو Downloader ..
هذه على سبيل المثال ثلاث قواعد عن صنف من أصناف الملفات الخبيثة .. ألا وهو التروجانات .. فأي ملف خبيث
يطابق سلوكه إحدى القواعد السابقة .. فسيتم تصنيفه على النحو الذي ذكرنا .. وإن لم تكن له هوية خاصة
به في قاعدة البيانات ..
طبعا هذا المثال تبسيط شديد لقواعد الحماية الاستباقية .. وإلا ففي الحقيقة هناك مئات بل آلاف القواعد الدقيقة
التي تعتمد من قبل هكذا حماية .. والتي تضم سلوكيات محددة جدا للملفات والبرامج .. من تلك السلوكيات
القراءة و الحذف و الكتابة و التعديل و الاتصال و الحقن و الاندماج و التنسخ والوصول للموارد واستهلاك
الذواكر والتدخل في خصوصية المستخدم .. إلخ.
أما تقنية السونار Sonar (النورتون) .. والـ Threatsense (النود) .. وغيرها من الأسماء الأخرى .. فلا تعدو كونها
نفس منظومة الحماية الاستباقية التي شرحناها .. لكن بأسماء أخرى .. يعني (اختلاف الأسماء .. وتطابق المسميات) .. فهذه
التقنيات تستخدم خوارزمية معينة تقيم من خلالها صفات السلوك .. أو تسجيل النقاط .. أو تحديد العتبات .. وإعطاء
نتيجة المقارنة .. والكل يصب في بوتقة واحدة .. ألا وهي الحماية الاستباقية!
### أما بالنسبة لتقنية السحاب .. فهي تختلف عن الحماية الاستباقية من حيث أسلوب التعامل مع الفيروس الجديد غير
المكتشف من قبل التواقيع .. حيث أن هناك مخابر متخصصة للشركة التي تستخدم أسلوب الحماية هذا .. يتم
إرسال معلومات محدودة عن الملف المشبوه إليها .. ويتم التحليل هناك .. ومن ثم إرسال الأمر المناسب إجراؤه تجاه
الملف .. قبل أن يتم كشفه!
وللتسهيل .. تتم عملية الكشف من خلال تقنية السحاب وفق المراحل التالية:
1- يتلقى المستخدم ملفا مجهولا .. قاعدة بيانات برنامج الحماية لديه (المعتمد على تقنية السحاب) لا تحتوي على
توقيع له .. إلا أنه كشفه على أنه ملف مشبوه (بسبب ضغطه بأحد برامج الضغط المستخدمة من قبل مصممي
الفيروسات على سبيل المثال).
2- الآن .. يقوم برنامج الحماية بأخذ بصمة للملف (معلومات معينة وليست كاملة) .. ويرسلها لمختبرات شركة
المكافح .. والتي تضم قاعدة بيانات شاملة لأصناف وصفات ومميزات الملفات الخبيثة المكتشفة مسبقا من قبل
الشركة ..
3- الآن يتم تحليل البصمة المرسلة .. وتحديد ما إذا كانت تطابق صفات أحد الملفات الخبيثة المكتشفة من قبل الشركة ..
4- لنفترض أنه تم التطابق .. وأن البصمة تعود لأحد الفيروسات الخبيثة المكتشفة من قبل الشركة مسبقا .. فسيتم
حالا إرسال التصرف الملائم من قبل البرنامج كي يقوم به تجاه هذا الملف .. سواء حجر أو حظر أو حذف ..
إذا .. نلاحظ الفرق بين الأسلوبين .. أسلوب الحماية الاستباقية بمعناه الحقيقي المعروف (بمختلف مسمياته
السونار أو الثريت سينس أو الثريت فاير) .. وبين تقنية السحاب (أيضا بمختلف مسمياتها، والتي منها Artemis الخاصة
ببرنامج المكافي، و In the cloud في الباندا).
هذا من حيث أصل هذه التقنيات .. ولمحة عامة عن أسلوبها ..
إلا أن هناك ملحوظة .. وهي أن كل شركة تستخدم هذه التقنيات بمستوى كفاءة معينة تميزها عن غيرها .. لا يتم
التعرف عليها إلا من خلال التجربة والمعاينة .. وهذا أفتقر إليه أنا شخصيا .. فلست من المجربين المحترفين .. وهناك
في هذا المنتدى من أهم أكثر مني خبرة ودراية في مجال التجربة وأي المكافحات أفضل استخداما وتسخيرا
لمثل هذه التقنيات .. إن شاء الله تجد عندهم جوابا لسؤالك ..
أما بالنسبة لي .. فأعتقد أن أفضل برنامج إلى الآن يسيطر سيطرة شبه كاملة على البرامج والتطبيقات .. هو
برنامج الكاسبرسكي ..
فهذا البرنامج الفريد .. إضافة لاحتوائه على وحدة الحماية الاستباقية التي ذكرناها آنفا .. فإنه يحتوي أيضا على
وحدة خاصة تقوم بمراقبة التطبيقات وتحد من وصولها لموارد النظام والشبكة العنكبوتية وخصوصية المستخدم .. وهذه
لها قصة أخرى .. لامجال لذكرها هنا ..
