Lutte Anti-Virus Limites des techniques de détection et d ... - OSSIR
Lutte Anti-Virus Limites des techniques de détection et d ... - OSSIR
Lutte Anti-Virus Limites des techniques de détection et d ... - OSSIR
You also want an ePaper? Increase the reach of your titles
YUMPU automatically turns print PDFs into web optimized ePapers that Google loves.
Résultats <strong>de</strong> l'étu<strong>de</strong> Résultats : 92 anomalies i<strong>de</strong>ntifiées15 anomalies sont préoccupantes.Exemple : Fichier ZIP malformé extractible par WinZip(Détails)Les autres anomalies sont mineures.Exemple : Fichier LZH malformé extractible par WinRar. Conclusion :Il est facile <strong>de</strong> trouver <strong><strong>de</strong>s</strong> anomalies qui perm<strong>et</strong>tent <strong>de</strong> contournerune protection antivirale périmétrique;Computer Emergency Response TeamIndustrie Services & TertiaireReSIST Septembre 2006E<strong>de</strong>lWebGroupe On-Xpage 11Recommandations Cert-IST Pourquoi l'antivirus est-il mis en échec ?Hypothèse 1 : L'AV fait entièrement confiance aux oct<strong>et</strong>s d'entêtepour déterminer la nature du fichierMZ = Exécutable le fichier n'est pas une archive ZIP.Quid <strong><strong>de</strong>s</strong> archives auto-extractibles, alors ?Hypothèse 2 : L'AV ne comprend pas la structure du fichier <strong>et</strong> déci<strong>de</strong>qu'il n'est pas dangereuxPourquoi ne pas ém<strong>et</strong>tre un avertissement : fichier non compris = fichier suspect Comment améliorer la détection ?Em<strong>et</strong>tre un avertissement (ou mise en quarantaine) sur détection d'une anomalie– Contradiction entre l'entête du fichier ("MZ") <strong>et</strong> son extension (".ZIP")– Ou toute autre anomalie dans la structure du fichierComputer Emergency Response TeamIndustrie Services & TertiaireReSIST Septembre 2006E<strong>de</strong>lWebGroupe On-Xpage 12
Change language