Recentemente ho esaminato il "questionario sugli cyber-essenziali" e mi sono imbattuto nella domanda "Oltre al software anti-virus, sono in atto misure di controllo dell'accesso per evitare che i codici virus modificino i file eseguibili comunemente eseguiti?", ci sono delle pratiche che sarebbe messo in atto per trattare con questo oltre al software anti-virus come menzionato?
La domanda è abbastanza descrittiva: su un sistema sicuro, assicurati che gli utenti normali non possano scrivere nella cartella contenente i tuoi eseguibili. Sulla maggior parte del sistema operativo, è già stato eseguito per impostazione predefinita.
Su alcuni sistemi operativi, questo può essere rafforzato attraverso diverse tecniche, tra cui la necessità di firmare gli eseguibili o limitare le posizioni in cui è possibile localizzare il codice eseguibile.
Non è al 100%, bada bene: ci sono diverse tecniche che possono essere utilizzate per aggirare le limitazioni, ma è un passo buono e (solitamente) facile da implementare per rafforzare un sistema.
Uno di questi metodi è eseguibili firmati . Questa è una firma crittografica sugli eseguibili, in grado di verificare che il codice sia stato generato da un fornitore attendibile (ad esempio Microsoft) e che non sia stato manomesso.
Ci sono molti strumenti diversi sul mercato che possono monitorare l'integrità dei file eseguibili chiave e assicurarsi che non siano manomessi. L'idea è semplice, la soluzione crea una whitelist delle applicazioni e dei file chiave (utilizzando algoritmi di hashing) e controlla costantemente quei file, controllando i loro hash contro la whitelist creata.
Se stai cercando una soluzione "stravagante", potrei consigliarti qualcosa come McAfee Solid Core che non solo ha il monitoraggio dell'hash ma anche molti altri controlli.
Altrimenti, puoi codificare te stesso uno script che prende costantemente hash (SHA512) di file chiave e li confronta con una lista bianca. Se un hash è diverso dalla tua lista bianca, lo script potrebbe inviarti un'email. Non è buono come una soluzione commerciale completa, ma aiuta a capire se qualcuno ha cambiato un file.
Leggi altre domande sui tag corporate-policy antivirus