Les solutions antivirus - de l'huile de serpent moderne ?

Dans le milieu de la sécurité informatique, la discussion sur l'efficacité des produits antivirus est un sujet récurrent. Dernièrement, il a été alimenté par les déclarations de Robert O'Callahan, un ancien développeur de Mozilla, et de Justin Schuh, directeur de la sécurité de Chrome chez Google. Ils ont affirmé que les solutions antivirus constituaient dans de nombreux cas un frein au développement de navigateurs plus sûrs et pouvaient même potentiellement réduire la sécurité effective.

Ils ont fait référence à Tavis Ormandy, chercheur en sécurité chez Google, qui avait découvert peu de temps auparavant des failles de sécurité dans certaines solutions antivirus. Les fabricants concernés les ont toutefois corrigées si rapidement que même Ormandy a salué leur rapidité. Néanmoins, O'Callahan est allé jusqu'à conseiller aux utilisateurs de désinstaller leur solution antivirus dans un post de blog !

Avec les logiciels malveillants, ce n'est pas si simple

De plus, on trouve en ligne de nombreuses "études" censées prouver que les solutions basées sur les signatures n'atteignent que des taux de détection de logiciels malveillants de 30 à 40 % et extrapolent que le gain de sécurité est au mieux marginal. Les experts en sécurité s'accordent à dire que la détection de logiciels malveillants basée uniquement sur les signatures ne constitue pas une protection suffisante, en particulier pour les systèmes de bureau interactifs, où la navigation sur le Web et le courrier électronique restent les principaux vecteurs d'infection.

Le nombre et la volatilité des logiciels malveillants qui se trouvent "à l'état sauvage" sont tout simplement trop importants. Il est également vrai que les simples procédures de pattern-matching échouent, de par leur conception, face à des logiciels malveillants complexes dont le code est mutant et polymorphe.

Mais le fait est que la plupart des logiciels malveillants ne présentent pas un tel niveau de complexité. En outre, il n'est pas juste pour les fabricants de sécurité de réduire les moteurs d'analyse de virus modernes à une simple correspondance de modèles. Tous les fournisseurs ont depuis longtemps étendu la reconnaissance des modèles par des heuristiques, de nombreux décodeurs, des listes blanches et la reconnaissance de variantes de telle sorte qu'il devient de plus en plus difficile - même si ce n'est pas impossible - pour les "logiciels malveillants personnalisés" de ne pas être détectés.

Un inconvénient pour les utilisateurs ordinaires

Permettez-moi d'utiliser une comparaison pour montrer que les déclarations provocatrices et efficaces en termes de relations publiques, comme celles de O'Callahan, rendent un mauvais service à Otto Normalus. Il devrait être clair qu'une serrure à cylindre normale n'empêche pas un cambrioleur averti de s'introduire dans une maison. Si, du point de vue du cambrioleur, la perspective du butin justifie le risque et l'effort, la serrure en question constituera certes un obstacle, mais qui pourra être surmonté.

Ce fait ne justifie toutefois pas de renoncer à une serrure de porte. En effet, cela réduit l'effort du cambrioleur à presque rien et déplace le calcul effort/bénéfice pour le cambrioleur en faveur du cambriolage. De même, les systèmes dépourvus de protection antivirus deviennent le point de moindre résistance pour les agresseurs, ce qui favorise les attaques.

Pas d'issue facile

Il ne faut en aucun cas prendre la défense des fabricants de sécurité dont les produits ne répondent pas aux exigences d'un développement logiciel sûr. Dans ce cas, les clients doivent demander des comptes aux fabricants.

Avec leurs décisions d'achat, ils disposent d'un levier considérable pour exiger des améliorations et de la qualité de la part des fabricants qui veulent s'assurer leur part du marché de la sécurité des points de terminaison d'entreprise (un marché de 5,9 milliards de dollars par an d'ici 2021 selon Forrester).

De même, je ne pense pas que la détection de logiciels malveillants basée sur des signatures puisse à elle seule assurer une protection complète contre les logiciels malveillants sur tous les types de terminaux. Mais je pense que dans un avenir prévisible, la protection antivirus moderne doit rester une partie intégrante de toute stratégie de sécurité sérieuse et multicouche. Ces solutions sont la seule ligne de défense là où les logiciels malveillants ne sont pas exécutés, mais simplement déposés. Il s'agit de points de distribution centraux dans le réseau de l'entreprise, auxquels de nombreux utilisateurs internes et externes ont accès - comme le stockage, la gestion des documents et, bien sûr, les systèmes SAP !