Skalerbar lagrings- og analyseplattform for Samples

Offentlig prosjektsammendrag

Data som overføres mellom IT-systemer er i mange tilfeller ikke klart strukturert, de overføres gjerne fra nettsteder til nettleser som en binær fil, som så leses eller eksekveres på klienten, uten at klienten på forhånd vet hvilken fil det er snakk om. Dette er en klar sikkerhetstrussel, siden angripere lett kan lure klienter til å laste ned vilkårlige filer som kan inneholde skadelig kode. Samtidig er dette så etablert praksis at man vanskelig kan stanse slik dataoverføring uten stor innvirkning på en bedrifts daglige tjenesteproduksjon. Moderne sikkerhetsmonitorering vil derfor ofte prøve å fange opp filer som observeres i transitt, gjerne kalt "Samples", og analysere disse for å identifisere sikkerhetstrusler. Dette prosjektet går ut på å etablere en skalerbar platform for mottak og analyse av Samples. Samtidig har angripere svært mange frihetsgrader i hvordan en fil skal se ut, både med bruk av ulike filtyper/dokumenttyper (.EXE-filer, Word-filer, bilde-filer, macro-filer, etc), og ved valg av skadelig kode, der nye angrepsteknikker og måter å skjule seg på blir kjent daglig. Det er derfor en svært hurtig utvikling også innen teknikker for å analysere og identifisere skadelig kode, som kan bestå av bestemte sekvenser med ord eller bytes, eller mer usikre parametre som "fuzzy hash"-parametre, typen innpakning eller opprinnelse. Prosjektet skal derfor etablere en fleksibel analyseplatform som lar analytikere definere sine egne analyseflyter for ulike typer Samples, og raskt tilpasse disse når nye trusler blir kjent. Analyseresultatene skal tilgjengeliggjøres for effektive søk i store mengder Samples, og løsningen skal tillate å analysere tidligere samples retrospektivt dersom nye analysemetoder blir kjent som skal anvendes på allerede mottatte Samples.