« L'antivirus est mort » vient de déclarer Symantec. Un pavé dans la mare pour les éditeurs d'antivirus mais aussi l'occasion de revenir sur cette technologie qui est vielle de 25 ans, de se pencher sur les faiblesses du modèle antivirus actuel et s'intéresser aux technologies récentes qui peuvent chambouler totalement ce modèle.

La création des premiers virus informatiques remonte presque à la même période que les premiers ordinateurs. On a d'ailleurs récemment "fêté" la création du premier virus, né en 1971, qui avait pour objectif d'afficher un message sur le poste : rien de plus. Depuis, l'informatique a pris une place de plus en plus importante dans la vie quotidienne. De jouets pour geeks, les ordinateurs sont devenus des outils de travail prenant une place de plus en plus centrale. Par contre, la sécurité informatique est restée au stade du jouet pour geek : à noter l'installation d'IPS qui reste encore marginale. Le pourcentage des sociétés mettant à jour ces IPS est encore plus faible.

Avant, un programme malveillant était forcément supprimé

Lorsque les virus ont commencé à devenir plus présents (avec "I Love You" dans les années 90), la nécessité d'avoir une protection s'est faite ressentir chez les particuliers et les professionnels. Ainsi, les antivirus ont commencé à devenir de plus en plus présents.

Le constat de l'époque était simple : un programme est malveillant, il faut le supprimer. Le problème est de savoir quel programme est considéré comme malveillant ou non. Il y a 25 ans, la solution la plus rapide, simple et efficace a été de créer une liste des programmes malveillants. Chacun possédant une signature unique, il suffisait de mettre celle-ci dans la base de l'anti virus pour qu'il le considère comme un virus. Les hackers étaient ainsi bloqués.

Cependant, les pirates informatiques ont plus d'un tour dans leurs sacs. La signature est bloquée ? Il suffit de la modifier à la volée, l'antivirus ne pourra plus arrêter le virus. Les anti virus ont ensuite mis en place de l'heuristique "permettant" d'analyser ce que le virus faisait. Résultat ? Aucun, les virus passent toujours car les hackers ont déjoué les systèmes heuristiques, en modifiant le comportement de l'exécutable ou de l'OS.

La passivité de la sécurité des protections et antivirus

L'histoire du chat et de la souris se répète ainsi depuis des années entre les créateurs de virus et les logiciels de protection. Les éditeurs antivirus ne sont pas les seuls acteurs de la sécurité d'un OS : Windows (et les autres) est depuis Vista, de plus en plus présent dans la protection de son système d'exploitation. Firewall intégré, Windows Essentials, ASLR et autres mécanismes de protection (mis en place pour éviter les attaques trop simples) ont permis de bloquer les pirates quelques temps, mais des parades ont rapidement été trouvées. A chaque défense mise en place, une attaque permet de la supprimer. En somme, on peut résumer en disant que la sécurité est passive, elle ne fait qu'attendre une attaque pour la contrer, lorsque c'est possible.

Aujourd'hui, à l'heure du tout connecté, il est important d'avoir une sécurité antivirale, ce qui n'est le cas nul part. En effet, le modèle de base de données de signatures montre - et ce depuis plusieurs années - son incapacité à bloquer les virus poly et métamorphes qui permettent de déjouer facilement les systèmes de signatures. Sans aller aussi loin, des systèmes de chiffrement d'exécutables, qui combattent les antivirus, sont disponibles pour quelques dollars sur le marché noir.

La mise à jour des antivirus, un problème pour les entreprises

L'heuristique n'est pas non plus une protection à toute épreuve. Pour se cacher, un virus va utiliser un système de « hook », c'est-à-dire en modifiant le comportement des fonctions systèmes. Les antimalwares vérifient ainsi que ce comportement n'est pas modifié de manière illégitime, mais souffrent des mêmes faiblesses : il est donc facile de changer le comportement de la protection.

Un autre problème inhérent aux bases de signature se situe au niveau des mises à jour. Pour être efficace, un antivirus doit continuellement renouveler sa base virale, se pose un problème majeur pour les entreprises : mettre à jour automatiquement avec des risques de faux positifs, ou installer les mises à jour manuellement, avec les erreurs humaines que cela peut induire ?

Enfin, l'intégration d'un antivirus dans un environnement d'entreprise est long et coûteux : la mise en place d'agents peut poser des problèmes de versions d'OS, d'installation, etc. Le modèle actuel ne répond donc plus au besoin de protection demandé par tous. Il est important de trouver une alternative efficace.

Un nouveau modèle de sécurité plus actif que passif

En quelques années, un nouveau modèle de sécurité a fait surface, plus ou moins depuis l'apparition des Advanced Persitent Threat, ces attaques ciblées pour attaquer le plus précisément possible.

Les virus ont un point commun : ils ont pour vocation d'affecter le système cible. Pour se mettre en place, ils doivent passer par l'utilisation de fonctions peu communes et de comportements connus (lancement au démarrage, modifications de la base de registres, etc.). En poussant le raisonnement plus loin, si on voit un programme utiliser une de ces fonctions ou un de ces comportements, on peut dire qu'il y a une probabilité que ce programme soit un virus. Et si ce même programme utilise ces fonctions deux, trois, quatre... fois ? On peut affirmer avec beaucoup de certitude que ce programme est un virus.

C'est le principe même de ce nouveau modèle de sécurité, qui va fonctionner de manière active : dès qu'un exécutable arrive sur le réseau, l'équipement anti-APT va créer à la volée et lancer une machine virtuelle dans laquelle sera exécuté le programme. Des mécanismes de logs permettront de savoir exactement ce qui est fait au sein de la machine virtuelle, puis une fois terminé, l'équipement va conclure sur la dangerosité ou non de l'exécutable, en fonction des actions qu'il a fait. Ainsi, contrairement à un antivirus classique, on ne se base plus sur une liste de signatures, mais sur des actions effectuées, qui permet d'être universel.

Les antivirus classiques restent indispensables

Ce nouveau modèle ne permet évidemment pas de s'affranchir des antivirus classiques, mais a plusieurs avantages dont le principal est la détection de menaces inconnues, ce qui est en entreprise une avancée majeure.

Les différents essais pour contrer les menaces sont toujours voués à l'échec. Cependant, les mécanismes anti APT sont des solutions ayant le potentiel de changer la donne, grâce à une sécurité active et permettant une détection beaucoup plus poussée que des anti virus classiques. Alors, les anti APT : la nouvelle défense contre les forces du mal ?