Защита защитника
Эксперты компании Trail of Bits, не имеющей прямого отношения к Microsoft, обезопасили штатный антивирус Windows - Defender, создав для него так называемую специализированную "песочницу" (sandbox). Причиной такого шага стал тот факт, что защитная программа, по умолчанию поставляемая вместе с Windows, как оказалось, функционирует без изолирующей среды.
Разработчики Trail of Bits выпустили собственный фреймворк с открытым кодом AppJailLauncher, позволяющий запускать Windows-приложения внутри AppContainers - собственной "песочницы" Microsoft. Исходный код, написанный на языке Rust, доступен на GitHub.
В описании говорится, что фреймворк позволяет вынести I/O-приложения за TCP-сервер, чтобы приложение в "песочнице" работало на совершенно другой машине. Это обеспечивает дополнительный уровень изоляции.
Для антивируса Microsoft Windows Defender сторонние программисты написали "песочницу", обезопасив его
Кроме этого, под наименованием Flying Sandbox Monster на GitHub выложен исходный код клиента, позволяющего запускать из-под изолированной среды основной компонент Windows Defender - антивирусный движок (MsMpEng).
Принцип работы
"Песочница" представляет собой специальную среду для безопасного выполнения программ с жестко ограниченным набором доступных ресурсов - фактически, отдельную виртуальную машину. Доступ к сети, возможность сообщаться с главной операционной системой или считывать информацию с устройств ввода обычно либо частично эмулируют, либо сильно ограничивают.
Песочница применяется для защиты, например, браузера Chrome или JavaVM от попыток вредоносной эксплуатации. У Windows Defender эта защита отсутствовала. Как отметили разработчики Flying Sandbox Monster, Microsoft купила то, что потом станет Windows Defender, еще в 2004 г., хотя финальный релиз антивируса под этим названием был анонсирован в конце 2006 г. Уже в те годы отсутствие изоляции в "песочнице" не приветствовалось, но и не рассматривалось как криминал.
С тех пор Microsoft успела обеспечить разными формами защиты свои наиболее атакуемые приложения, в частности, браузеры. Но при этом Windows Defender, по мнению сотрудников TrailofBits, "застрял в 2004 г.".
Вопрос концепции
Разработка Trail of Bits носит сугубо концептуальный характер, официально Microsoft ее никак не поддерживает, и еще не известно, будет ли ИТ-гигант реализовывать предложенный подход в своем продукте на самом деле.
"Проблема с "песочницей" состоит в том, что она неизбежно снижает быстродействие запускаемых в ней приложений, по сравнению с тем, как если бы их запускали прямо в среде операционной системы, - поясняет Дмитрий Гвоздев, генеральный директор компании "Информационные технологии будущего". - Антивирусы пользуются весьма дурной славой как один из основных факторов торможения производительности всей системы. Возможно, это и является основной причиной, почему движок Windows Defender до сих пор не был убран в "песочницу".
Разработчики Trail of Bits стремились показать, что Windows Defender можно "спрятать в песочницу", но не проверяли, как это скажется на производительности. В последние месяцы в Windows Defender неоднократно находили более чем серьезные уязвимости, позволявшие захватывать полный контроль над машинами, на которых установлен этот антивирус. Это неприятно контрастирует с общими усилиями Microsoft усовершенствовать безопасность своих продуктов, зато добавляет аргументов производителям сторонних защитных решений, указывающих, что Windows Defender - далеко не лучший выбор для пользователей".
