Trend Micron viruspäivitys jumitti tuhansia Windows-työasemia

Pistäkää se virustorjunta verkkoon toiselle koneelle, joka skannaa verkon työasemat läpi administrative sharejen ja nfs mounttien avulla, pelannut aivan mainiosti yli vuoden verran jo omassa verkossani.

Ainoa vaikutus mikä tuolla on, on se että koneissa ei tällöin ole aktiivista virusturvaa, ja jos koneelle lipsahtaa joku cih:in kaltainen virus, se voi olla hylkytavaraa, jos verkkoskanneri ei ehdi puhdistamaan sitä ennekuin ajastin napsahtaa aktivointiajankohtaan.

Minusta on jo jonkun aikaa tuntunut, että virustorjuntaohjelmista ei ole kuin haittaa... Ne hidastaa konetta ja aiheuttaa kaikenlaisia ongelmia.

Melkein joka viikko joudun selvittelemään jotain ongelmaa, jossa virustorjunta on jotenkin osallisena. Joskus ei sähköpostit lähde, joskus taas kone on toivottoman hidas. Yhdessä palomuuriohjelmien kanssa virustorjuntaohjelmat aiheuttaa paljon enemmän ongelmia kuin itse virukset. Palomuuriohjelmien ongelmat tekee vielä sen, että käyttäjä ei pääse edes nettiin, niin ei voi antaa edes etätukea. Kun palomuurin ja virustorjunnan ottaa pois päältä, niin kaikki taas toimii.

Osa ongelmista johtui siitä, että virus oli pääsyt koneelle ja sotkenut virustorjunnan tiedostoja. Mutta mitä tekee sellaisella virustorjunnalla, joka ei torju viruksia?

Olen kokeilumielessä jättänyt osasta käyttäjien koneista virustorjunnan asentamatta ja laittanut päälle vain WinXP:n palomuurin. Ne viisi konetta on nyt ollut käytössä reilun vuoden eikä ongelmia ole ollut. Käyttäjät osaa jotenkin olla paremmin varuillaan, kun koneessa ei ole virustorjuntaa. Oon tarkistanut koneet muutamaan kertaan Pandan nettiantiviruksella ja käsin rekisteristä eikä mitään ole löytynyt. Omassa koneessa minulla on ollut virus vain kerran ja silloinkin virustorjunta piti olla toiminnassa, mutta ei estänyt mitään. Sen jälkeen en ole aktiivista virustorjuntaa käyttänyt eikä ongelmia ole ollut.

Tämä Trend Micron ongelma on yksi esimerkki siitä miten suojaus voi kääntyä itseään vastaan. Ei tämä ole ensimmäinen kerta. F-Securella oli muutama vuosi sitten joku saman tyylinen ongelma.

Otentaanpas laajempi näkökulma koko virustorjuntaan. Torjuntaa tehdään ja pitääkin tehdä useassa paikassa. Loppujen lopuksi merkityksettömin taitaa hyvin hoidetussa ympäristössä olla työaseman torjunta, mutta on silläkin oma roolinsa, jota en helposti ottaisi pois.

Ensimmäinen torjunta tehdään palomuurilla, torjuntatuotteena on tuote A. Se tutkii http-, ftp- ja smtp -liikenteen ja poistaa kaiken haittakoodin liikennevirrasta. smtp -liikenteen tutkinnassa käytetään tietysti myös tiedostopäätteiden tutkintaa ja parikymmentä vaarallisinta poistetaan automaattisesti. Monellakaan alalla ei ole mitään kummempaa tarvetta lähettää esim. PIF -tiedostoja sähköpostitse, joten liiketoiminnalle ei koidu suodatuksesta mitään merkittävää haittaa.

Seuraavaksi smtp -liikenne tutkitaan omassa sähköpostipalvelimessa tuotteella B. Se tekee kumpaankin suuntaan liikkuvalle datalle samantapaiset tarkistukset ja poistaa haittakoodin ja kielletyt tiedostot.

Lopulta sähköpostiviesti on saapunut työaseman ulottuville ja avauksen yhteydessä tarkistus tehdään tuotteella C.

Meillä noin 2000 työaseman ympäristössä havaitaan silti muutama virus kuukaudessa työasemissa. Sitähän me emme tiedä kuinka paljon niitä jää kokonaan havaitsematta. Varmaan niitä jää.

Http -liikenteen tarkistuksessa on yksi heikko kohta, SSL -salaus. Sille ei voi juurikaan mitään tehdä ennen työasemaa. Salattua mikä salattua sitä ennen. Siinä tietovirrassa voi liikkua mitä tahansa ja koko suojaus jää työaseman torjunnan tehtäväksi. Toinen huono ja hyvä puoli ovat salasanasuojatut ZIP -tiedostot. Niiden sisällä voidaan kuljettaa ohjelmatiedostoja tarvittaessa, mutta jossakin vaiheessa samaa ilmiötä käytti hyväkseen myös virustenkirjoittajat. He pistivät haittakoodin salasanasuojattuun ZIP -pakettiin ja viestin mukana oli sitten salasana, jolla paketin sai avattua. Silloinkin työaseman torjunta osoitti kyntensä.

Luonnollisesti palomuuria tarvitaan muutenkin pitämään madot loitolla tiukalla porttiblokkauksella.

Noilla konsteilla ympäristö pysyyy kohtuullisen puhtaana ja vieläpä melko vähällä vaivalla. Mutta virustorjuntaa tarvitaan, ei siitä voi luopua.