Soluciones de protección antivirus: ¿aceite de serpiente moderno?

En la escena de la seguridad informática, el debate sobre la eficacia de los productos antivirus es un eterno favorito. Recientemente se ha avivado con las declaraciones de Robert O'Callahan, antiguo desarrollador de Mozilla, y Justin Schuh, Director de Seguridad de Chrome en Google. Afirmaron que las soluciones antivirus son en muchos casos un obstáculo para el desarrollo de navegadores más seguros y que incluso podrían reducir la seguridad efectiva.

Se referían a Tavis Ormandy, investigador de seguridad de Google, que había descubierto recientemente vulnerabilidades de seguridad en algunas soluciones antivirus. Sin embargo, los fabricantes afectados las solucionaron tan rápidamente que incluso Ormandy alabó la rapidez. No obstante, O'Callahan llegó a aconsejar a los usuarios que desinstalaran sus antivirus en un blog.

No es tan fácil con el malware

También hay numerosos "estudios" en línea que afirman demostrar que las soluciones basadas en firmas sólo alcanzan índices de detección de malware del 30 al 40% y extrapolan que la ganancia en seguridad es marginal en el mejor de los casos. Es indiscutible entre los expertos en seguridad que la detección de malware basada exclusivamente en firmas no proporciona por sí sola protección suficiente, especialmente para los sistemas de sobremesa de funcionamiento interactivo, en los que la navegación web y el correo electrónico siguen siendo los vectores de infección más importantes.

El número y la volatilidad de los programas maliciosos que circulan por la red son, sencillamente, demasiado elevados. También es cierto que los métodos simples de comparación de patrones fallan conceptualmente cuando se trata de malware complejo con código mutante y polimórfico.

Sin embargo, también es un hecho que la mayoría del malware no muestra un grado tan alto de complejidad. Además, no se hace justicia a los fabricantes de seguridad si los modernos motores de escaneado de virus se reducen a la mera coincidencia de patrones. Hace tiempo que todos los proveedores han ampliado el reconocimiento de patrones mediante heurística, numerosos descodificadores, listas blancas y detección de variantes hasta tal punto que cada vez resulta más difícil -aunque no imposible- incluso para el malware personalizado pasar desapercibido.

Una desventaja para los usuarios normales

Permítanme hacer una comparación para demostrar que las declaraciones provocadoras con impacto en las relaciones públicas, como las de O'Callahan, hacen un flaco favor a la gente corriente. Debe quedar claro que una cerradura de cilindro normal no impide que un ladrón experimentado entre en una casa. Si, desde el punto de vista del ladrón, la perspectiva del botín justifica el riesgo y el esfuerzo, la cerradura en cuestión será un obstáculo, pero un obstáculo que se puede superar.

Sin embargo, este hecho no justifica que no se utilice una cerradura de puerta. De hecho, esto reduce el esfuerzo para el ladrón a casi cero y desplaza el cálculo coste-beneficio para el ladrón a favor del allanamiento. Del mismo modo, los sistemas sin protección antivirus se convierten en el punto de menor resistencia para los atacantes y provocan ataques.

No hay salida fácil

En ningún caso se debe defender a los fabricantes de seguridad cuyos productos no cumplan los requisitos de desarrollo de software seguro. En este sentido, los clientes deben exigir responsabilidades a los fabricantes.

Con sus decisiones de compra, tienen una influencia considerable para exigir mejoras y calidad a los fabricantes que quieren asegurarse su cuota en el mercado de la seguridad de los puntos finales de las empresas (según Forrester, un volumen de mercado de 5.900 millones de dólares anuales para 2021).

Del mismo modo, no creo que la detección de malware basada en firmas sea adecuada por sí sola para proteger de forma exhaustiva cada tipo de endpoint contra el malware. Sin embargo, creo que la protección antivirus moderna debe seguir siendo parte integrante de cualquier estrategia de seguridad seria y multicapa en un futuro previsible. Estas soluciones son la única línea de defensa en la que el malware no se ejecuta, sino que simplemente se deposita. Esto se refiere a los puntos de distribución centrales de la red de la empresa a los que acceden numerosos usuarios internos y externos, como los sistemas de almacenamiento, gestión de documentos y, por último pero no por ello menos importante, SAP.