Сигнату́ра ата́ки (или сигнатура вредоносного кода) — это характерный признак, шаблон или «отпечаток», который позволяет системе безопасности обнаруживать известные атаки или вредоносные объекты. Сигнатуры широко применяются в антивирусах, системах обнаружения вторжений (IDS/IPS), сканерах уязвимостей и других средствах защиты.
Основные понятия и виды сигнатур
Что такое сигнатура
Сигнатура — это своего рода шаблон, который может быть выражен как последовательность байтов, хэш, текстовая строка или набор признаков поведения, присущих конкретному виду вредоносного ПО. Сигнатуры могут быть синтаксическими (байтовые шаблоны внутри файлов или пакетов), а также поведенческими или аномальными (выявление подозрительной активности).
Байтовые (статические) сигнатуры — шаблоны внутри бинарного кода: строковые фрагменты, уникальные последовательности команд, участки в памяти. Хэш-сигнатуры — целостные хэши файлов или их частей (например, MD5, SHA) сравниваются с базой известных вредоносных образцов. Поведенческие / аномальные сигнатуры — основаны не на содержимом, а на характере исполнения: попытки подключения к C&C, необычные сетевые обращения, резкие скачки в активности. Правила (IDS / IPS правила) — сигнатура в форме правила (например, Snort / Suricata), включающая условия по заголовкам, портам, содержанию пакетов и др.
Как работает обнаружение по сигнатурам
Сбор образцов / анализ угроз. Специалисты получают образцы вредоносного ПО (например, из репозиториев), исследуют их и ищут общие элементы, пригодные для создания сигнатур. Создание сигнатуры. На основе выявленных шаблонов создаётся правило или шаблон (например, YARA-правило), которое может быть выполнено системой безопасности. Поддержка и обновление базы сигнатур. База сигнатур регулярно пополняется, поскольку появляются новые угрозы. Своевременное обновление — ключевой момент. Сканирование и сравнение. Система (антивирус, IDS) сканирует файлы, пакеты или процессы, ищет соответствие знакомым сигнатурам и при совпадении срабатывает оповещение или блокировка.
Преимущества и ограничения
Преимущества
Эффективны при обнаружении известных угроз: при точном совпадении дают надёжный результат. Невысокий уровень ложных срабатываний при корректно составленных сигнатурах. Быстродействие: сравнительно быстрое сравнение шаблонов.
Ограничения
Неэффективность против новых (zero-day) угроз или сильно модифицированных вариантов, для которых ещё нет сигнатуры. Злоумышленники могут использовать полиморфизм, олигоморфизм, шифрование, запаковку, мутацию кода, чтобы изменять сигнатуру и обойти защиту. Зависимость от своевременного обновления сигнатур: если база устарела, защита слабее. Возможны слабые или плохо составленные сигнатуры, приводящие к ложным срабатываниям или пробелам в защите.
Контекст и современные тенденции
Современные системы безопасности часто комбинируют сигнатурный подход с анализом аномалий, эвристикой, поведенческим анализом и машинным обучением для покрытия пробелов. В исследованиях применяются методы автоматической генерации сигнатур с помощью нейросетей (например, DeepSign) для лучшей адаптации к вариантам. При высоких сетевых скоростях требуется оптимизация алгоритмов сопоставления сигнатур (например, аппаратная реализация алгоритма Wu-Manber) для производительности.
Пример В статье из журнала Virus Bulletin приводился пример сигнатуры из тела вредоносного ПО Email-Worm.Win32.Happy — текстовая строка "Happy New Year 1999", используемая для идентификации этого вредоносного образца.
См. также Обнаружение, основанное на сигнатурах Антивирус Полиморфизм
Примечания
Категория:Методы обнаружения вредоносного кода