{"id":10714,"date":"2018-08-27T18:45:22","date_gmt":"2018-08-27T21:45:22","guid":{"rendered":"https:\/\/www.kaspersky.com.br\/blog\/?p=10714"},"modified":"2020-05-20T17:17:09","modified_gmt":"2020-05-20T20:17:09","slug":"behavioral-model","status":"publish","type":"post","link":"https:\/\/www.kaspersky.com.br\/blog\/behavioral-model\/10714\/","title":{"rendered":"A iMorte de eVoldemort"},"content":{"rendered":"<p>Os contos de fadas desmistificaram a invencibilidade dos vil\u00f5es (quanto a n\u00f3s, <u><a href=\"https:\/\/www.kaspersky.com.br\/blog\/20-yo-timeline\/9487\/\" target=\"_blank\" rel=\"noopener\">por mais de 20 anos<\/a><\/u> temos quebrado exatamente o mesmo mito <u><a href=\"https:\/\/securelist.com\/the-hunt-for-lurk\/75944\/\" target=\"_blank\" rel=\"noopener\">no ciberespa\u00e7o<\/a><\/u>). Todo Voldemort depende da seguran\u00e7a do seu di\u00e1rio, anel, cobra, seu\u2026 enfim, acho que voc\u00ea j\u00e1 sabe tudo sobre as Horcruxes. E o sucesso da sua guerra contra os piores vil\u00f5es, seja em um conto de fadas ou no mundo virtual, depende de dois atributos-chave: perseveran\u00e7a e intelecto (leia-se tecnologia). Hoje, vou contar como esses pontos combinados a redes neurais, <u><a href=\"https:\/\/securelist.com\/five-myths-about-machine-learning-in-cybersecurity\/76351\/\" target=\"_blank\" rel=\"noopener\">aprendizado de m\u00e1quina<\/a><\/u>, <u><a href=\"https:\/\/eugene.kaspersky.com.br\/2016\/12\/07\/um-bilhao-na-nuvem\/\" target=\"_blank\" rel=\"noopener\">seguran\u00e7a na nuvem<\/a><\/u> e <u><a href=\"https:\/\/www.kaspersky.com.br\/blog\/what-humachine-intelligence-is\/10003\/\" target=\"_blank\" rel=\"noopener\">conhecimento especializado<\/a><\/u> \u2013 todos inclu\u00eddos em nossos produtos \u2013 v\u00e3o proteg\u00ea-lo contra potenciais ciberamea\u00e7as futuras.<br>\nDe fato, j\u00e1 falamos de tecnologias para prote\u00e7\u00e3o contra ciberamea\u00e7as futuras <u><a href=\"https:\/\/eugene.kaspersky.com\/2013\/07\/02\/emulate-to-exterminate\/\" target=\"_blank\" rel=\"noopener\">antes<\/a><\/u> (<u><a href=\"https:\/\/eugene.kaspersky.com.br\/2012\/09\/17\/os-perigos-dos-exploits-e-dias-zero-e-como-preveni-los-2\/\" target=\"_blank\" rel=\"noopener\">mais de uma vez<\/a><\/u>, <u><a href=\"https:\/\/eugene.kaspersky.com\/2014\/02\/06\/avz-heuristics-without-false-positives-to-combat-future-threats\/\" target=\"_blank\" rel=\"noopener\">muito mais do que uma vez<\/a><\/u>, e at\u00e9 mesmo <u><a href=\"https:\/\/www.kaspersky.com\/blog\/tinfoilhatday2016\/11743\/\" target=\"_blank\" rel=\"noopener nofollow\">para dar umas risadas<\/a><\/u>). Voc\u00ea pode se perguntar o porqu\u00ea de sermos t\u00e3o obcecados por elas.<\/p>\n<p>Essas tecnologias s\u00e3o exatamente a diferen\u00e7a de uma prote\u00e7\u00e3o forte e robusta contra <u><a href=\"https:\/\/eugene.kaspersky.com.br\/2018\/06\/06\/funcionalidades-que-voce-nao-conhece-kfp\/\" target=\"_blank\" rel=\"noopener\">intelig\u00eancia artificial falsa<\/a><\/u> e <u><a href=\"https:\/\/eugene.kaspersky.com.br\/2016\/05\/23\/darwinismo-em-seguranca-da-informacao-adapte-se-ou-morra\/\" target=\"_blank\" rel=\"noopener\">produtos que usam informa\u00e7\u00f5es roubadas para detectar malwares<\/a><\/u>. Identificar a sequ\u00eancia do c\u00f3digo com uma assinatura conhecida depois do malware j\u00e1 ter se infiltrado no sistema e aplicado seu golpe baixo no usu\u00e1rio? Ningu\u00e9m precisa disso.<\/p>\n<p>Antecipar padr\u00f5es de pensamento de cibervil\u00f5es, compreender as vulnerabilidades que consideram atrativas, e espalhar redes invis\u00edveis capazes de detec\u00e7\u00e3o autom\u00e1tica e precisa \u2013 apenas alguns fornecedores da ind\u00fastria s\u00e3o capazes disso, essa \u00e9 a triste realidade. Na verdade, segundo <u><a href=\"https:\/\/www.kaspersky.com.br\/top3\" target=\"_blank\" rel=\"noopener\">testes independentes<\/a>, pouqu\u00edssimos s\u00e3o<\/u>. O <u><a href=\"https:\/\/securelist.com\/wannacry-ransomware-used-in-widespread-attacks-all-over-the-world\/78351\/\" target=\"_blank\" rel=\"noopener\">WannaCry<\/a><\/u>, maior epidemia da d\u00e9cada, \u00e9 bom exemplo: gra\u00e7as \u00e0 tecnologia <u><a href=\"https:\/\/eugene.kaspersky.com\/2011\/09\/15\/features-youd-normally-never-hear-about\/\" target=\"_blank\" rel=\"noopener\">System Watcher<\/a><\/u>, nossos produtos t\u00eam protegido proativamente nossos usu\u00e1rios contra esse ciberataque.<\/p>\n<p>O ponto-chave \u00e9: prote\u00e7\u00e3o contra futuras ciberamea\u00e7as <em>nunca \u00e9 demais<\/em>. N\u00e3o h\u00e1 simulador ou <u><a href=\"https:\/\/eugene.kaspersky.com.br\/2012\/11\/15\/encontrando-a-agulha-no-palheiro-apresentando-astraea\/\" target=\"_blank\" rel=\"noopener\">sistema de an\u00e1lise de big-data especializado<\/a><\/u> capaz de dar conta de todos os poss\u00edveis vetores de amea\u00e7a. Redes invis\u00edveis devem cobrir todos os n\u00edveis e canais da maneira mais ampla poss\u00edvel, monitorar todas as atividades de objetos no sistema e garantir que nunca tenham a chance de causar problemas. Tudo isso com uso m\u00ednimo de recursos, zero \u201c<u><a href=\"https:\/\/eugene.kaspersky.com\/2012\/06\/20\/fighting-false-positives\/\" target=\"_blank\" rel=\"noopener\">falsos positivos<\/a><\/u>\u201d e 100% de compatibilidade com outros programas para evitar telas azuis mortais.<\/p>\n<blockquote class=\"wp-embedded-content\" data-secret=\"Yx0kiksaKI\"><p><a href=\"https:\/\/www.kaspersky.com.br\/blog\/endpoint-security-evolution\/10251\/\" target=\"_blank\" rel=\"noopener\">Sua empresa est\u00e1 preparada para as amea\u00e7as sofisticadas?<\/a><\/p><\/blockquote>\n<p><iframe class=\"wp-embedded-content\" sandbox=\"allow-scripts\" security=\"restricted\" style=\"position: absolute; clip: rect(1px, 1px, 1px, 1px);\" title=\"\u201cSua empresa est\u00e1 preparada para as amea\u00e7as sofisticadas?\u201d \u2014 Daily - Portuguese - Brasil - www.kaspersky.com.br\/blog\" src=\"https:\/\/www.kaspersky.com.br\/blog\/endpoint-security-evolution\/10251\/embed\/#?secret=ZCWmUo5t17#?secret=Yx0kiksaKI\" data-secret=\"Yx0kiksaKI\" width=\"500\" height=\"282\" frameborder=\"0\" marginwidth=\"0\" marginheight=\"0\" scrolling=\"no\"><\/iframe><\/p>\n<p>A ind\u00fastria do malware continua se desenvolvendo. Cibervil\u00f5es ensinaram (e continuam) suas cria\u00e7\u00f5es a se esconder no sistema: modificar sua estrutura e comportamento, passar para modos de a\u00e7\u00e3o \u201csem pressa\u201d (minimizarem o uso de recursos computacionais, ativarem-se no momento certo, serem discretas depois de penetrar no computador-alvo etc.), mergulhar fundo no sistema, esconder seus rastros, usar m\u00e9todos \u201climpos\u201d ou \u201cquase limpos\u201d. Mas onde h\u00e1 um Voldemort, tamb\u00e9m h\u00e1 Horcruxes que podem ser destru\u00eddas. A quest\u00e3o \u00e9 como encontr\u00e1-las.<\/p>\n<p>H\u00e1 alguns anos, nossos produtos refor\u00e7aram seu arsenal de tecnologias proativas para prote\u00e7\u00e3o contra ciberamea\u00e7as avan\u00e7adas por meio da ado\u00e7\u00e3o de uma inven\u00e7\u00e3o interessante (<u><a href=\"http:\/\/www.findpatent.ru\/patent\/265\/2654151.html\" target=\"_blank\" rel=\"noopener nofollow\">patente RU2654151<\/a><\/u>). Implica o uso de um modelo trein\u00e1vel comportamental de alta precis\u00e3o para identifica\u00e7\u00e3o de anomalias suspeitas no sistema, localiza\u00e7\u00e3o de fonte e conten\u00e7\u00e3o at\u00e9 mesmo dos worms mais cuidadosos.<\/p>\n<h3><strong>Como funciona?<\/strong><\/h3>\n<p>Quando ativo, qualquer objeto deixa rastros em um sistema. Uso de HDD, uso de mem\u00f3ria, acesso aos recursos do sistema, transfer\u00eancia de arquivos pela rede \u2013 de um jeito ou de outro, cada malware vai eventualmente se manifestar, at\u00e9 o mais sofisticado. At\u00e9 as tentativas de eliminar rastros deixam mais pistas, e assim por diante, repetidamente.<\/p>\n<p>Como deciframos quais rastros pertencem a programas leg\u00edtimos e quais a malwares? Ao mesmo tempo em que garantimos que o computador n\u00e3o falhe por falta de energia computacional? Vamos l\u00e1.<\/p>\n<p>O antiv\u00edrus coleta informa\u00e7\u00f5es sobre as atividades dos programas (comandos executados, par\u00e2metros, acesso a recursos de sistema cr\u00edticos etc.) e usa esses dados para construir modelos comportamentais, detectar anomalias e calcular o fator malicioso. Mas quero que voc\u00ea analise com aten\u00e7\u00e3o o m\u00e9todo usado para alcan\u00e7ar isso. Lembre-se, queremos velocidade, n\u00e3o apenas confiabilidade. \u00c9 neste ponto que a matem\u00e1tica, ou mais especificamente o resumo matem\u00e1tico, entra em jogo.<\/p>\n<p>O modelo comportamental resultante \u00e9 bem compacto \u2013 por um lado preserva a profundidade da informa\u00e7\u00e3o necess\u00e1ria sobre comportamento de objetos, por outro, n\u00e3o requer recursos significativos de sistema. Mesmo um observador que monitore de perto a performance do computador n\u00e3o ver\u00e1 qualquer sinal dessa tecnologia.<\/p>\n<p>Exemplo (ilustrativo):<\/p>\n<p>O c\u00e1lculo do fator malicioso depende de quatro atributos externos:<\/p>\n<ul>\n<li>Tipo de objeto (execut\u00e1vel\/n\u00e3o-execut\u00e1vel);<\/li>\n<li>Tamanho (acima\/abaixo de 100kB);<\/li>\n<li>Fonte (download feito pela internet ou descompactado de um arquivo em um pendrive);<\/li>\n<li>Alcance (mais\/menos de 1.000 instala\u00e7\u00f5es com base em estat\u00edsticas da\u00a0<u><a href=\"https:\/\/www.kaspersky.com.br\/blog\/como-funciona-a-seguranca-em-nuvem-com-o-ksn\/5271\/\" target=\"_blank\" rel=\"noopener\">KSN<\/a><\/u>).<\/li>\n<\/ul>\n<p>E quatro atributos comportamentais:<\/p>\n<ul>\n<li>Se o objeto transfere dados pela rede;<\/li>\n<li>L\u00ea dados do HDD;<\/li>\n<li>Adiciona dados ao registro;<\/li>\n<li>Interage com o usu\u00e1rio por meio de uma interface.<\/li>\n<\/ul>\n<p>Cada pergunta pode ser respondida com \u201cn\u00e3o\u201d (0) ou \u201csim\u201d (1).<\/p>\n<p>Dito isso, o arquivo <em>programa.exe<\/em>, tamanho 21Kb, extra\u00eddo de <em>outrascoisas.zip<\/em>,\u00a0detectado em 2.113 computadores, que n\u00e3o l\u00ea dados do HDD, transfere dados na rede, sem uma janela de interface e que adiciona dados ao registro, vai aparecer como:<\/p>\n<p><strong>1 0 0 1 1 0 1 0<\/strong><\/p>\n<p>Se representarmos isso como um n\u00famero inteiro de 8-bit, chegamos a 0b10011010 = 154. \u00c9 isso que chamamos de <em>resumo<\/em>. Mas diferentemente da <u><a href=\"https:\/\/pt.wikipedia.org\/wiki\/Fun%C3%A7%C3%A3o_hash\" target=\"_blank\" rel=\"noopener nofollow\">fun\u00e7\u00e3o hash<\/a><\/u> cl\u00e1ssica (por exemplo, MD5 ou SHA-1), nossa tecnologia de compacta\u00e7\u00e3o \u00e9 muito mais inteligente. Na vida real, milhares de atributos de objetos s\u00e3o registrados, e cada um resulta em m\u00faltiplos resumos usados por um modelo trein\u00e1vel para identificar padr\u00f5es. Isso produz um padr\u00e3o comportamental o t\u00e3o preciso quanto poss\u00edvel. E muito rapidamente, tamb\u00e9m.<\/p>\n<p>O fator malicioso \u00e9 uma hist\u00f3ria completamente diferente. Tanto malwares quanto programas leg\u00edtimos podem demonstrar comportamentos perfeitamente id\u00eanticos. Por exemplo, muitos programas adicionam dados \u00e0 pasta do sistema. Como sabemos quais o fazem como parte dos seus deveres leg\u00edtimos e quais s\u00e3o mal-intencionados?<\/p>\n<p>Em primeiro lugar, o fator tem um efeito cumulativo ou, para ser mais claro, <em>cresce monotonamente.<\/em> Com o tempo, isso permite a detec\u00e7\u00e3o de malwares muito discretos sem quaisquer falsos positivos \u2013 pequenas descargas de atividade suspeita (como a modifica\u00e7\u00e3o de registros de sistema, que ocorrem toda vez que um programa \u00e9 instalado) n\u00e3o v\u00e3o iniciar o antiv\u00edrus. O resumo resultante \u00e9 alimentado por meio de uma\u00a0<span style=\"text-decoration: line-through\">\u201ccaixa preta\u201d<\/span>\u00a0rede neural treinada, que entrega um veredito capaz de determinar se o comportamento do objeto \u00e9 malicioso ou n\u00e3o.<\/p>\n<p>\u00c9 claro, a tecnologia ganha muito com a <u><a href=\"https:\/\/www.kaspersky.com.br\/blog\/como-funciona-a-seguranca-em-nuvem-com-o-ksn\/5271\/\" target=\"_blank\" rel=\"noopener\">KSN<\/a><\/u> \u2013 esse sistema baseado na nuvem permite a troca de amostras suspeitas, an\u00e1lises autom\u00e1ticas e refinamento da tecnologia em si com vistas a aprimorar a precis\u00e3o dos resultados. As possibilidades oferecidas pela KSN s\u00e3o usadas constantemente para ajustar a rede neural e mant\u00ea-la treinada por outros algoritmos e especialistas. Isso nos ajuda a detectar n\u00e3o apenas arquivos perigosos como tamb\u00e9m sess\u00f5es de rede, componentes e outros nanoelementos do quebra-cabe\u00e7a, que finalmente nos levar\u00e3o ao eVoldemort.<br>\n<input type=\"hidden\" class=\"category_for_banner\" value=\"kesb-trial\"><\/p>\n","protected":false},"excerpt":{"rendered":"<p>Como a Kaspersky desenvolveu uma tecnologia capaz de detectar e capturar praticamente todo e qualquer malware.<\/p>\n","protected":false},"author":13,"featured_media":10715,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[15,45],"tags":[1382,1633,1228,255,1632,77,690],"class_list":{"0":"post-10714","1":"post","2":"type-post","3":"status-publish","4":"format-standard","5":"has-post-thumbnail","7":"category-products","8":"category-special-projects","9":"tag-aprendizado-de-maquina","10":"tag-aspectos-tecnicos","11":"tag-patentes","12":"tag-produtos","13":"tag-rede-neural","14":"tag-tecnologia","15":"tag-tecnologias"},"hreflang":[{"hreflang":"pt-br","url":"https:\/\/www.kaspersky.com.br\/blog\/behavioral-model\/10714\/"},{"hreflang":"en-in","url":"https:\/\/www.kaspersky.co.in\/blog\/behavioral-model\/13875\/"},{"hreflang":"en-ae","url":"https:\/\/me-en.kaspersky.com\/blog\/behavioral-model\/11594\/"},{"hreflang":"en-us","url":"https:\/\/usa.kaspersky.com\/blog\/behavioral-model\/15898\/"},{"hreflang":"en-gb","url":"https:\/\/www.kaspersky.co.uk\/blog\/behavioral-model\/14182\/"},{"hreflang":"es-mx","url":"https:\/\/latam.kaspersky.com\/blog\/behavioral-model\/13294\/"},{"hreflang":"es","url":"https:\/\/www.kaspersky.es\/blog\/behavioral-model\/16706\/"},{"hreflang":"it","url":"https:\/\/www.kaspersky.it\/blog\/behavioral-model\/16088\/"},{"hreflang":"ru","url":"https:\/\/www.kaspersky.ru\/blog\/behavioral-model\/21052\/"},{"hreflang":"x-default","url":"https:\/\/www.kaspersky.com\/blog\/behavioral-model\/23419\/"},{"hreflang":"fr","url":"https:\/\/www.kaspersky.fr\/blog\/behavioral-model\/10808\/"},{"hreflang":"pl","url":"https:\/\/plblog.kaspersky.com\/behavioral-model\/9583\/"},{"hreflang":"de","url":"https:\/\/www.kaspersky.de\/blog\/behavioral-model\/17453\/"},{"hreflang":"ja","url":"https:\/\/blog.kaspersky.co.jp\/behavioral-model\/21296\/"},{"hreflang":"ru-kz","url":"https:\/\/blog.kaspersky.kz\/behavioral-model\/17107\/"},{"hreflang":"en-au","url":"https:\/\/www.kaspersky.com.au\/blog\/behavioral-model\/20763\/"},{"hreflang":"en-za","url":"https:\/\/www.kaspersky.co.za\/blog\/behavioral-model\/20753\/"}],"acf":[],"banners":"","maintag":{"url":"https:\/\/www.kaspersky.com.br\/blog\/tag\/tecnologia\/","name":"tecnologia"},"_links":{"self":[{"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/posts\/10714","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/users\/13"}],"replies":[{"embeddable":true,"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/comments?post=10714"}],"version-history":[{"count":7,"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/posts\/10714\/revisions"}],"predecessor-version":[{"id":15378,"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/posts\/10714\/revisions\/15378"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/media\/10715"}],"wp:attachment":[{"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/media?parent=10714"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/categories?post=10714"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/tags?post=10714"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}