VirusTotal vs Jotti: kompletné porovnanie a skutočné alternatívy

Informatec Digital » Zdroje » VirusTotal vs Jotti: kompletné porovnanie a skutočné alternatívy

Keď hovoríme o analýze podozrivých súborov na prítomnosť škodlivého softvéru , v rozhovoroch sa vždy objavia dve mená: VirusTotal a Jotti. Sú to dlhoročné služby, ktoré hojne využívajú domáci používatelia, ako aj bezpečnostní technici a analytici, ktorí potrebujú rýchly druhý názor na súbor stiahnutý z internetu alebo prijatý e-mailom.

Aj keď sa na prvý pohľad môžu zdať takmer identické , realita je taká, že existujú značné rozdiely v antivírusových engine, typoch skenovania, maximálnej veľkosti súboru, úrovni detailov hlásení a dokonca aj v prístupe služby (pokročilejší alebo jednoduchší). Okrem toho sa ekosystém rozrástol a dnes existuje mnoho alternatív, ktoré stoja za preskúmanie, aby sa predišlo spoliehaniu sa na jednu platformu.

Prečo sú online skenery stále užitočné

V systémoch ako Windows nie je nainštalovaný a aktualizovaný antivírusový program voliteľný, ale nevyhnutný. V skutočnosti spoločnosť Microsoft integruje do systému program Windows Defender, ktorý ponúka základnú ochranu v reálnom čase bez akýchkoľvek ďalších krokov z našej strany.

Napriek tomu je mnoho používateľov voči programu Windows Defender trochu opatrných a volí bezpečnostné riešenia tretích strán od zavedených značiek, ktoré sú na trhu už roky. Tento primárny antivírus zvyčajne monitoruje počítač na pozadí, ale nie vždy chceme inštalovať ďalší program len na kontrolu konkrétneho súboru.

Pri každodennom používaní je neuveriteľne pohodlné mať možnosť vykonávať analýzu jedného alebo viacerých súborov na požiadanie priamo z prehliadača , bez akýchkoľvek inštalácií alebo zmien konfigurácie systému. Tu prichádzajú na rad služby ako VirusTotal alebo Jotti, ktoré vám umožňujú nahrať súbor a skenovať ho vo viacerých antivírusových engine súčasne.

Okrem plánovaných kontrol antivírusu je vhodné občas vykonať dôkladnejšiu kontrolu počítača , ale keď máme obavy o konkrétny súbor (príloha, stiahnutý spustiteľný súbor, podozrivý dokument), tieto online skenery ponúkajú rýchly a veľmi pohodlný druhý názor.

Čo je VirusTotal a ako funguje?

V priebehu rokov sa VirusTotal stal popredným svetovým nástrojom na analýzu súborov a URL adries z webu. Patrí do ekosystému Google a integruje sa do všetkých druhov pracovných postupov: od nahrávania jedného súboru používateľmi až po automatizáciu dotazov tímami SOC prostredníctvom rozhraní API.

Najväčšou silnou stránkou VirusTotalu je, že kombinuje viac ako 70 antivírusových nástrojov a bezpečnostných nástrojov na analýzu odoslaných položiek. Inými slovami, nespolieha sa na jedno riešenie, ale testuje súbor, URL adresu, doménu alebo IP adresu pomocou širokej škály nezávislých technológií, aby sa zvýšila pravdepodobnosť detekcie.

Pre používateľa je proces veľmi jednoduchý: stačí nahrať súbor alebo vložiť URL adresu, doménu, IP adresu alebo hash , počkať niekoľko sekúnd a zobraziť podrobnú správu, ktorá ukazuje, ktoré vyhľadávače ho označia ako škodlivý, ktoré ho považujú za čistý a aký typ hrozby bol zistený, ak nejaká nejaká bola.

Ďalšou silnou funkciou je jeho obrovská historická databáza vzoriek . VirusTotal ukladá a organizuje analyzované súbory, čo vám umožňuje prezerať si staré vzorky a vidieť, ako sa detekcie vyvíjali a aké ďalšie informácie sa v priebehu času vygenerovali.

Platforma sa tiež môže pochváliť vysoko aktívnou komunitou , ktorá komentuje, označuje a obohacuje vzorky o kontext: rodiny malvéru, známe kampane, súvisiace indikátory a ďalšie. Tento aspekt spolupráce pridáva k správam obrovskú pridanú hodnotu.

Nevýhodou je, že bezplatná verzia má obmedzenia týkajúce sa veľkosti súborov , ktoré je možné nahrať, a používania rozhrania API. Ďalšou citlivou otázkou je súkromie: mnohí používatelia sa necítia dobre pri nahrávaní citlivých súborov s vedomím, že by mohli byť zdieľané s komunitou a bezpečnostnými spoločnosťami.

Čo je Jotti a ako sa líši od VirusTotal?

Jottiho kontrola škodlivého softvéru je oveľa jednoduchšia webová služba určená pre tých, ktorí chcú rýchlo skontrolovať súbor bez akýchkoľvek problémov. Koncept je podobný: nahráte súbor a ten je analyzovaný niekoľkými antivírusovými nástrojmi súčasne.

Podľa informácií samotnej služby umožňuje Jotti nahrať až 5 súborov naraz s maximálnou veľkosťou 250 MB na súbor v najnovšej konfigurácii (niektoré staršie porovnania uvádzali 20 MB, ale súčasný limit je podstatne vyšší). Vďaka tomu je praktický pre stredne veľké dokumenty, spustiteľné súbory alebo komprimované súbory.

Počet antivírusových nástrojov je výrazne nižší ako vo VirusTotal: Jotti spolupracuje s 15 až 20 rôznymi antivírusovými programami , čo je v praxi stále dobrý „druhý názor“, ale samozrejme ponúka menšiu rozmanitosť ako viac ako 70 antivírusových programov VirusTotal.

Jednou z jeho výhod je rozhranie: Jotti vyniká svojou čistou a priamočiarou prezentáciou , ideálnou pre netechnických používateľov, ktorí chcú jednoducho vedieť, či súbor „zapácha podozrivo“ alebo nie. Správa je kratšia a menej náročná ako od VirusTotal.

Služba sa však zameriava výlučne na analýzu jednotlivých súborov . Neumožňuje skenovanie URL adries, domén ani IP adries, čo je súčasťou dennej rutiny s VirusTotal pre analytikov a administrátorov.

Samotná služba varuje, že hoci používa viacero antivírusových nástrojov, nie je zaručená 100% ochrana . Okrem toho sú všetky odoslané súbory zdieľané so zúčastnenými antivírusovými spoločnosťami s cieľom zlepšiť ich podpisy a detekčné mechanizmy – čo je potrebné zvážiť, ak pracujete s vysoko citlivým obsahom.

Podobnosti medzi VirusTotal a Jotti

Pre bežného používateľa majú VirusTotal a Jotti niekoľko základných charakteristík, ktoré vysvetľujú, prečo sa často spomínajú spolu pri diskusii o online skeneroch škodlivého softvéru.

Po prvé, obe sú bezplatné služby prístupné prostredníctvom webového prehliadača , ktoré nevyžadujú vytvorenie účtu na základné používanie ani inštaláciu ďalšieho softvéru. Stačí navštíviť webovú stránku, vybrať súbor a počkať na výsledok.

Obe sú založené na myšlienke súčasného používania viacerých antivírusových nástrojov na zvýšenie pravdepodobnosti detekcie hrozieb. Namiesto spoliehania sa na názor jedného dodávateľa ponúkajú akýsi „hlas“ medzi viacerými nástrojmi.

Súhlasia tiež s tým, že ide o nástroje na analýzu na požiadanie a nenahrádzajú antivírusový softvér pre stolné počítače. Neposkytujú ochranu v reálnom čase, neblokujú sťahovanie ani nemonitorujú procesy; analyzujú iba to, čo im manuálne odošlete.

VirusTotal aj Jotti ponúkali alebo naďalej ponúkajú desktopových klientov na uľahčenie odosielania súborov bez nutnosti otvárania prehliadača, čo je užitočné pre tých, ktorí často analyzujú súbory a nechcú vždy opakovať ten istý manuálny proces.

Kľúčové rozdiely: Kde vyhráva VirusTotal a kde je Jotti presvedčivejší?

Hoci je koncept podobný, pri porovnaní VirusTotal a Jotti sa objavujú dôležité rozdiely v nástrojoch, možnostiach analýzy a úrovni detailov, vďaka čomu je každý z nich vhodnejší pre určitý typ používateľa.

Prvý hlavný rozdiel spočíva v počte a rozmanitosti antivírusových nástrojov . Porovnávacie testy ukázali, že zatiaľ čo Jotti používal približne 19 nástrojov, VirusTotal ich používal 40, 50 alebo viac v závislosti od obdobia, vrátane populárnych riešení ako McAfee, Symantec a Trend Micro, ktoré Jotti nezahŕňa.

Ďalšou oblasťou, v ktorej VirusTotal vyniká, sú možnosti skenovania . Nie je obmedzený len na súbory: umožňuje vám tiež analyzovať URL adresy, domény, IP adresy, hashe a dokonca extrahovať informácie o správaní – čo je veľmi užitočné na kontrolu odkazov pred ich stiahnutím alebo návštevou potenciálne nebezpečných webových stránok.

Pokiaľ ide o zabezpečenie pripojenia, VirusTotal ponúka nahrávanie súborov cez SSL na šifrovanie prenosu počas skenovania. Jotti v mnohých svojich verziách nemal túto úroveň viditeľných možností, čo by mohlo znepokojovať používateľov, ktorí si veľmi chránia dôvernosť svojich nahrávaných súborov.

Na druhej strane, Jotti boduje práve za svoju jednoduchosť a prehľadnosť . Nezahlcuje sa desiatkami kariet, indikátorov ani pokročilých metrík; zameriava sa na zobrazenie toho, ktoré vyhľadávače označia súbor ako podozrivý a nič viac, čo mnohí ocenia, ak chcú len rýchlu odpoveď.

Rôzne porovnávacie analýzy vo všeobecnosti dospeli k záveru, že ak hľadáte maximálne pokrytie a všestrannosť , VirusTotal je jasným víťazom. Jotti je na druhej strane dobre umiestnený ako doplnková služba, rýchly druhý názor po spustení VirusTotal alebo použití lokálneho antivírusu.

VirusTotal po integrácii do služby Google Threat Intelligence

V posledných rokoch sa situácia pre profesionálnych používateľov služby VirusTotal zmenila, keďže sa táto služba čoraz viac integruje do služby Google Threat Intelligence (GTI) , radu produktov kybernetickej inteligencie od spoločnosti Google zameraných na podniky.

Vďaka tejto integrácii sa mnohé funkcie, ktoré boli predtým dostupné na bezplatných alebo stredne pokročilých úrovniach , presunuli do platených modelov s vyššími platenými verziami a rôzni odborníci sa na špecializovaných fórach vyjadrili k výraznému zvýšeniu cien za pokročilý prístup k údajom a prehľadom.

Táto zmena prichádza v obzvlášť kritickom období, keď neustále nárastá počet zraniteľností a hrozieb . Správy o bezpečnostných hrozbách odhadujú nárast odhalených CVE o viac ako 15 % v porovnaní s predchádzajúcimi rokmi, čo si vyžaduje viac údajov, viac kontextu a viac automatizácie.

Pre mnohé tímy kybernetickej bezpečnosti, lovcov hrozieb a SOC už nestačí spoliehať sa výlučne na nahrávanie súborov od komunity a antivírusové detekcie v rámci VirusTotal, ani to nie je vždy nákladovo efektívne, ak chcú hlbšie skúmať pomocou pokročilých API.

Toto všetko viedlo k hľadaniu praktických a doplnkových alternatív , ktoré by pokrývali potreby v oblasti spravodajstva o hrozbách, korelácie indikátorov a automatizácie bez toho, aby sa 100 % spoliehali na ekosystém VirusTotal/GTI.

Výkonné alternatívy k VirusTotal (okrem Jotti)

Hoci je Jotti zaujímavou alternatívou na príležitostné použitie, existuje celá škála platforiem, ktoré pokrývajú špecifické aspekty analýzy malvéru, zdieľania vzoriek, reputácie IP adries alebo mapovania škodlivej infraštruktúry a ktoré stoja za zváženie.

Metadefender Cloud (OPSWAT)

Metadefender Cloud od spoločnosti OPSWAT je cloudové riešenie, ktoré nielen ponúka viacúrovňovú analýzu v štýle VirusTotal , ale pridáva aj ďalšie vrstvy zamerané na prevenciu, ako je dezinfekcia a sanitizácia súborov.

Služba umožňuje skenovanie súborov, URL adries, IP adries a hashov pomocou viac ako 20 – 30 antivírusových nástrojov, pričom vyhľadáva známe hrozby aj podozrivé správanie. Cieľom je maximalizovať detekciu kombináciou rôznych technológií.

Jeho hlavnou funkciou je odzbrojovanie a rekonštrukcia obsahu (CDR) , ktorá zo súboru odstráni potenciálne nebezpečné časti (makrá, skripty, vložený obsah) a vygeneruje použiteľnú „čistú“ verziu, a to aj v prípadoch, keď malvér ešte nebol explicitne identifikovaný.

Metadefender Cloud tiež ponúka skenovanie zraniteľností v súboroch , napríklad detekciu zastaraných knižníc alebo komponentov so známymi exploitmi, čím pridáva ďalšiu vrstvu zabezpečenia k bežnej antivírusovej analýze.

Vďaka svojmu API a integráciám je dobrou voľbou pre organizácie, ktoré chcú automatizovať sanitáciu prichádzajúcich súborov (e-mail, zákaznícke portály, interné prenosy) predtým, ako sa dostanú ku koncovému používateľovi.

Jottiho kontrola škodlivého softvéru ako jednoduchá alternatíva

Okrem priameho porovnania s VirusTotal zostáva Jotti vynikajúcou voľbou pre rýchle a bezplatné skenovanie v domácom prostredí alebo malých podnikoch, ktoré nevyžadujú rozsiahle nasadenie.

Jeho hlavným lákadlom je paralelné použitie viacerých antivírusových nástrojov , čo zlepšuje mieru detekcie v porovnaní so slepým spoliehaním sa na jeden desktopový produkt a dokáže odhaliť hrozby, ktoré by jeden nástroj prehliadol.

Jeho limit veľkosti (momentálne až 250 MB na súbor s možnosťou odoslania 5 súborov naraz ) ho robí praktickým pre väčšinu bežných prípadov, od inštalátorov až po komprimované súbory alebo pomerne ťažké dokumenty.

Rozhranie je veľmi minimalistické, s prehľadným panelom a bez pokročilých možností , ktoré by mohli byť mätúce. Je ideálne pre tých, ktorí chcú nahrať súbor, zobraziť zoznam vyhľadávacích nástrojov a rýchlo sa rozhodnúť, či danému súboru dôverujú alebo nie.

Pre analytikov alebo pokročilých používateľov funguje Jotti ako druhý alebo tretí zdroj overenia po VirusTotal, najmä v procesoch, kde chcete porovnávať výsledky medzi rôznymi online službami.

VirSCAN.org

VirSCAN.org je ďalšou klasikou medzi multi-antivírusovými skenermi na webe . Umožňuje vám nahrávať súbory a skenovať ich pomocou niekoľkých nástrojov od rôznych výrobcov, čím poskytuje prierezový pohľad na potenciálne infekcie.

Dlho fungoval s limitom 20 MB na súbor , čo je o niečo konzervatívnejšie ako súčasné hodnoty spoločnosti Jotti, ale postačujúce pre väčšinu spustiteľných súborov a kancelárskych dokumentov bežne používaných v analytických scenároch.

Ich prístup je podobný: nahrať súbor, počkať na výsledok a zistiť, ktoré vyhľadávače čo detekujú . Nezameriava sa ani tak na maximálnu použiteľnosť, ako skôr na ponuku funkčnej a bezplatnej služby užitočnej pre druhý názor.

Analýza Intezera

Intezer Analyze pristupuje k tradičnému malvéru inak a zameriava sa na to, čo nazývajú „analýza genetického kódu “. Namiesto toho, aby sa spoliehal výlučne na antivírusové kontroly, rozoberá súbor a porovnáva úryvky kódu s rozsiahlymi databázami malvéru a legitímneho softvéru.

Týmto spôsobom dokáže odhaliť opätovné použitie kódu medzi rôznymi rodinami škodlivého softvéru , vidieť podobnosti s predchádzajúcimi vzorkami a zoskupovať vzorky podľa línií, čo je mimoriadne užitočné pre výskumníkov a spravodajské tímy.

Správy spoločnosti Intezer poskytujú kontext o pravdepodobnom pôvode kódu , ktoré časti sú nové, ktoré sú prevzaté z iných trójskych koní alebo nástrojov a ako vzorka zapadá do známych kampaní, čo uľahčuje atribučnú prácu.

Okrem toho sa dobre integruje prostredníctvom API na automatizáciu odosielania a korelácií , čo z neho robí silnú alternatívu pre obchodné a výskumné prostredia, ktoré chcú ísť nad rámec typického „infikovaného/neinfikovaného“.

AlienVault (úroveň modrá)

AlienVault, teraz pod značkou Level Blue, nie je len nástroj na analýzu škodlivého softvéru, ale jednotná bezpečnostná platforma , ktorá integruje viacero funkcií do jedného produktu.

Ich návrh sa zameriava na jednotnú správu bezpečnosti (USM) , ktorá kombinuje SIEM, vyhľadávanie aktív, skenovanie zraniteľností a IDS, ako aj detekciu škodlivého softvéru a koreláciu udalostí.

Jednou z kľúčových silných stránok AlienVault sú jej spoločné informácie o hrozbách , ktoré sú poháňané komunitou a komerčnými zdrojmi a neustále sa aktualizujú s cieľom identifikovať podozrivé správanie a prebiehajúce kampane.

Vďaka svojmu API a schopnosti integrácie s inými riešeniami je atraktívnou alternatívou pre organizácie, ktoré chcú vnímať malvér ako ďalšiu súčasť kompletného bezpečnostného obrazu, nie ako niečo izolované.

MalwareBazar

MalwareBazar, podporovaný spoločnosťami abuse.ch a Spamhaus, je platforma na zdieľanie a sťahovanie vzoriek malvéru . Je silne zameraná na výskumníkov, dodávateľov bezpečnostných produktov a tímy, ktoré potrebujú nový materiál pre svoje analýzy.

Jednou z jeho výhod oproti iným platformám je, že eliminuje mnoho prekážok vstupu : neexistujú žiadne zložité registračné požiadavky ani príliš prísne limity sťahovania, vďaka čomu je každodenná výskumná práca plynulejšia.

Platforma sa zameriava na skutočné vzorky a vyhýba sa neškodným súborom, adwaru alebo potenciálne nežiaducim programom (PUP) , aby maximalizovala hodnotu zdieľaného obsahu. To pomáha tým, ktorí analyzujú rodiny malvéru, botnety alebo konkrétne kampane.

MalwareBazar ponúka API, ktoré umožňuje automatizovať sťahovanie a integráciu vzoriek do analytických pracovných postupov, sandboxingu alebo obohatenia informácií, ako aj integrácie so SIEM a ďalšími riešeniami.

Hunt.io

Hunt.io sa viac zameriava na vyhľadávanie hrozieb a zhromažďovanie informácií o škodlivej infraštruktúre než na samotnú analýzu súborov. Zameriava sa na domény, IP adresy a hash hodnoty a na to, ako navzájom súvisia.

Jednou z jeho hlavných funkcií je infraštruktúrny kanál C2 , ktorý proaktívne identifikuje a overuje veliteľské a riadiace servery skôr, ako sú masívne zneužité, a to vďaka rozsiahlym internetovým kontrolám.

Platforma neustále monitoruje exponované služby , certifikáty, HTTP hlavičky a ďalšie externe viditeľné prvky s cieľom odhaliť vzorce používania zo strany škodlivých aktérov.

Vďaka funkciám ako IOC Hunter vám umožňuje začať s konkrétnym indikátorom (doména, IP adresa, hash) a preskúmať súvisiacu infraštruktúru: odhalené adresáre, zdieľané certifikáty, podozrivé hlavičky atď.

OPSWAT MetaDefender Cloud ako nástroj na lov

Okrem svojich možností ako viacúčelového skenera je MetaDefender Cloud dobre umiestnený ako nástroj na vyhľadávanie hrozieb vďaka integrácii údajov od viacerých dodávateľov zabezpečenia, spätnej väzby od používateľov a korelačných funkcií.

Platforma využíva viac ako 20 antivírusových nástrojov a ďalšie vrstvy analýzy na zníženie počtu falošne negatívnych výsledkov, zlepšenie doby odozvy a uľahčenie prioritizácie upozornení v podnikových prostrediach.

Jeho kolaboratívny prístup, kde môžu používatelia označovať a komentovať súbory, IP adresy alebo domény , umožňuje neustále dolaďovanie detekčných algoritmov a udržiava systém v súlade s najnovšími hrozbami.

Pieskovisko CAPE

CAPE Sandbox (CAPEv2) je vývojovým krokom predchádzajúcich projektov, ako napríklad Cuckoo Sandbox, a stal sa veľmi výkonným nástrojom na dynamickú analýzu škodlivého softvéru , ideálnym pre laboratóriá a zásahové tímy.

Jeho veľká sila spočíva v kombinácii statickej a dynamickej analýzy na extrakciu vnútorných konfigurácií, rozbalenie skrytých užitočných údajov a objavenie techník úniku, ktoré si pri čisto statických analýzach často nevšimnete.

CAPEv2 dokáže monitorovať volania API, sieťovú prevádzku, zmeny súborového systému a pamäte a generovať veľmi podrobné správy o správaní spusteného škodlivého softvéru.

Zahŕňa tiež systém ladenia riadený pravidlami YARA a ďalšie mechanizmy , ktoré pomáhajú spracovávať vzorky pomocou techník anti-sandbox alebo pokročilejších pokusov o maskovanie.

Zneužívanie IPDB

AbuseIPDB je kolaboratívna databáza reputácie IP adries , ktorá zhromažďuje hlásenia o škodlivých aktivitách odoslané používateľmi, firmami a automatizovanými službami na celom svete.

Ktorákoľvek osoba alebo systém môže nahlásiť IP adresy, ktoré vykonávajú útoky , pokusy o hrubú silu, spam, zneužívajúce skenovanie alebo iné podozrivé správanie, čím prispievajú k zlepšeniu kvality databázy.

Tento komunitný prístup udržiava databázu vysoko aktuálnu so skutočnou škodlivou aktivitou , ktorá presahuje rámec jednoduchých statických zoznamov vytvorených v laboratóriu, a robí ju cennou na blokovanie alebo filtrovanie prichádzajúcej prevádzky.

Jeho API umožňuje jednoduchú integráciu týchto informácií o reputácii do firewallov, systémov SIEM, systémov WAF alebo vlastných skriptov , takže rozhodnutia o blokovaní alebo upozorneniach môžu byť podporené obohatenými údajmi o histórii každej IP adresy.

Vzhľadom na všetky vyššie uvedené skutočnosti zostávajú VirusTotal a Jotti dvoma veľmi užitočnými nástrojmi na špecifickú analýzu súborov, ale zapadajú do oveľa širšieho obrazu, kde sa viacúčelové skenery, platformy na zdieľanie vzoriek, pokročilé sandboxy a inteligencia škodlivej infraštruktúry navzájom dopĺňajú a ponúkajú oveľa bohatší a akčnejší pohľad na aktuálne hrozby.