VirusTotal proti Jottiju: popolna primerjava in resnične alternative

Informatec Digital » Viri » VirusTotal proti Jottiju: popolna primerjava in resnične alternative

Ko govorimo o analiziranju sumljivih datotek za zlonamerno programsko opremo , se v pogovorih vedno pojavita dve imeni: VirusTotal in Jotti. Gre za izkušene storitve, ki jih pogosto uporabljajo tako domači uporabniki kot varnostni tehniki in analitiki, ki potrebujejo hitro drugo mnenje o datoteki, preneseni z interneta ali prejeti po e-pošti.

Čeprav se na prvi pogled zdijo skoraj enaki , pa so v resnici precejšnje razlike v protivirusnih mehanizmih, vrstah skeniranja, največji velikosti datotek, ravni podrobnosti poročil in celo pristopu storitve (bolj napreden ali preprostejši). Poleg tega se je ekosistem razširil in danes obstaja veliko alternativ, ki jih je vredno raziskati, da se izognemo zanašanju na eno samo platformo.

Zakaj so spletni skenerji še vedno uporabni

V sistemih, kot je Windows, namestitev in posodabljanje rezidenčnega protivirusnega programa ni neobvezno, temveč nujno. Pravzaprav Microsoft sam integrira Windows Defender v sistem, ki ponuja osnovno zaščito v realnem času brez kakršnega koli nadaljnjega ukrepanja z naše strani.

Kljub temu mnogi uporabniki ostajajo nekoliko previdni do programa Windows Defender in se odločajo za varnostne rešitve drugih proizvajalcev uveljavljenih blagovnih znamk, ki so na trgu že leta. Ta primarni protivirusni program običajno spremlja računalnik v ozadju, vendar ne želimo vedno namestiti dodatnega programa samo za preverjanje določene datoteke.

Pri vsakodnevni uporabi je neverjetno priročno, da lahko na zahtevo analizirate eno ali več datotek neposredno iz brskalnika , brez kakršnih koli namestitev ali sprememb konfiguracije sistema. Tukaj pridejo na vrsto storitve, kot sta VirusTotal ali Jotti, ki omogočajo nalaganje datoteke in njeno hkratno skeniranje z več protivirusnimi programi.

Poleg načrtovanih pregledov protivirusnega programa je priporočljivo občasno izvesti temeljitejši pregled računalnika , ko pa nas skrbi določena datoteka (priloga, prenesena izvedljiva datoteka, sumljiv dokument), ti spletni skenerji ponujajo hitro in zelo priročno drugo mnenje.

Kaj je VirusTotal in kako deluje?

Z leti je VirusTotal postal vodilno svetovno orodje za analizo datotek in URL-jev s spleta. Pripada Googlovemu ekosistemu in se integrira v vse vrste delovnih procesov: od nalaganja ene same datoteke s strani uporabnikov do avtomatizacije poizvedb s strani ekip SOC prek API-jev.

Največja prednost VirusTotala je, da združuje več kot 70 protivirusnih mehanizmov in varnostnih orodij za analizo poslanih elementov. Z drugimi besedami, ne zanaša se na eno samo rešitev, temveč datoteko, URL, domeno ali IP-naslov preizkusi s širokim naborom neodvisnih tehnologij, da poveča verjetnost odkritja.

Za uporabnika je postopek zelo preprost: preprosto naložite datoteko ali prilepite URL , domeno, IP ali zgoščeno vrednost , počakajte nekaj sekund in si oglejte podrobno poročilo, ki prikazuje, kateri iskalniki jo označijo kot zlonamerno, kateri jo imajo za čisto in kakšna vrsta grožnje je bila zaznana, če sploh.

Druga zmogljiva funkcija je njegova ogromna zbirka zgodovinskih vzorcev . VirusTotal shranjuje in organizira analizirane datoteke, kar vam omogoča, da si ogledate stare vzorce in vidite, kako so se zaznave razvijale in katere dodatne informacije so bile ustvarjene skozi čas.

Platforma se ponaša tudi z zelo aktivno skupnostjo , ki komentira, označuje in bogati vzorce s kontekstom: družine zlonamerne programske opreme, znane kampanje, povezani kazalniki in drugo. Ta vidik sodelovanja doda poročilom ogromno dodatno vrednost.

Slaba stran brezplačne različice je omejitev velikosti datotek , ki jih je mogoče naložiti, in uporabe API-ja. Drugo občutljivo vprašanje je zasebnost: mnogi uporabniki se ne počutijo udobno pri nalaganju občutljivih datotek, saj vedo, da bi jih lahko delili s skupnostjo in varnostnimi podjetji.

Kaj je Jotti in kako se razlikuje od VirusTotal?

Jottijev pregled zlonamerne programske opreme je veliko preprostejša spletna storitev, zasnovana za tiste, ki želijo hitro in brez težav preveriti datoteko . Koncept je podoben: naložite datoteko in jo hkrati analizira več protivirusnih programov.

Glede na informacije same storitve Jotti omogoča nalaganje do 5 datotek hkrati , pri čemer je v najnovejši konfiguraciji največja velikost datoteke 250 MB (nekatere starejše primerjave so omenjale 20 MB, vendar je trenutna omejitev precej večja). Zaradi tega je praktičen za dokumente, izvedljive datoteke ali srednje velike stisnjene datoteke.

Število protivirusnih programov je bistveno manjše kot pri VirusTotalu: Jotti deluje s 15 do 20 različnimi protivirusnimi programi , kar je v praksi še vedno dobro "drugo mnenje", vendar očitno ponuja manj raznolikosti kot več kot 70 programov VirusTotal.

Ena od njegovih prednosti je vmesnik: Jotti izstopa po svoji čisti in preprosti predstavitvi , idealni za netehnične uporabnike, ki preprosto želijo vedeti, ali datoteka "smrdi sumljivo" ali ne. Poročilo je krajše in manj obsežno kot pri VirusTotalu.

Vendar pa je storitev osredotočena izključno na analizo posameznih datotek . Ne omogoča skeniranja URL-jev, domen ali IP-naslovov, kar je del vsakodnevne rutine z VirusTotal za analitike in skrbnike.

Storitev sama opozarja, da čeprav uporablja več protivirusnih programov, 100-odstotna zaščita ni zagotovljena . Poleg tega se vse poslane datoteke delijo s sodelujočimi protivirusnimi podjetji, da se izboljšajo njihovi podpisi in mehanizmi zaznavanja – kar je treba upoštevati, če delate z zelo občutljivo vsebino.

Podobnosti med VirusTotal in Jotti

Za povprečnega uporabnika si VirusTotal in Jotti delita številne osnovne značilnosti, ki pojasnjujejo, zakaj se ju pogosto omenja skupaj, ko govorimo o spletnih skenerjih zlonamerne programske opreme.

Prvič, obe storitvi sta brezplačni, dostopni prek spletnega brskalnika , ki ne zahtevata ustvarjanja računa za osnovno uporabo ali nameščanja dodatne programske opreme. Preprosto obiščite spletno mesto, izberite datoteko in počakajte na rezultat.

Oba temeljita na ideji hkratne uporabe več protivirusnih mehanizmov za povečanje verjetnosti odkrivanja groženj. Namesto da bi se zanašali na mnenje enega samega prodajalca, ponujata nekakšno "glasovanje" med več mehanizmi.

Strinjajo se tudi, da so to orodja za analizo na zahtevo in ne nadomeščajo protivirusne programske opreme za namizne računalnike. Ne zagotavljajo zaščite v realnem času, ne blokirajo prenosov ali spremljajo procesov; analizirajo le tisto, kar jim ročno pošljete.

Tako VirusTotal kot Jotti sta ponudila ali še vedno ponujata namizne odjemalce za lažje pošiljanje datotek brez odpiranja brskalnika, kar je koristno za tiste, ki pogosto analizirajo datoteke in ne želijo vedno ponavljati istega ročnega postopka.

Ključne razlike: Kje zmaga VirusTotal in kje je Jotti bolj prepričljiv?

Čeprav je koncept podoben, se pri primerjavi VirusTotal in Jotti pojavijo pomembne razlike v mehanizmih, možnostih analize in ravni podrobnosti, zaradi česar je vsak od njih bolj primeren za določeno vrsto uporabnika.

Prva večja razlika je v številu in raznolikosti protivirusnih mehanizmov . Primerjalni testi so pokazali, da je Jotti uporabljal približno 19 mehanizmov, VirusTotal pa 40, 50 ali več, odvisno od obdobja, vključno s priljubljenimi rešitvami, kot so McAfee, Symantec in Trend Micro, ki jih Jotti ne vključuje.

Drugo področje, kjer VirusTotal blesti, so možnosti skeniranja . Ni omejeno le na datoteke: omogoča tudi analizo URL-jev, domen, IP-naslovov, zgoščevalnih vrednosti in celo pridobivanje vedenjskih podatkov – zelo uporabno za preverjanje povezav pred njihovim prenosom ali obiskom potencialno nevarnih spletnih mest.

Kar zadeva varnost povezave, VirusTotal ponuja nalaganje datotek SSL za šifriranje prenosa med skeniranjem. Jotti v mnogih svojih različicah ni imel te ravni vidnih možnosti, kar bi lahko skrbelo uporabnike, ki zelo varujejo zaupnost svojih naloženih datotek.

Po drugi strani pa Jotti dosega točke prav zaradi svoje preprostosti in jasnosti . Ne preobremenjuje z ducati zavihkov, indikatorjev ali naprednih meritev; osredotoča se na prikaz, kateri iskalniki označijo datoteko kot sumljivo, in malo drugega, kar bodo mnogi cenili, če želijo le hiter odgovor.

Različne primerjalne analize na splošno ugotavljajo, da je VirusTotal nedvomni zmagovalec, če iščete maksimalno pokritost in vsestranskost . Jotti pa je dobro pozicioniran kot dopolnilna storitev, hitro drugo mnenje po zagonu VirusTotala ali uporabi lokalnega protivirusnega programa.

VirusTotal po integraciji v Google Threat Intelligence

V zadnjih letih se je okolje za profesionalne uporabnike storitve VirusTotal spremenilo, saj je storitev vse bolj integrirana v Google Threat Intelligence (GTI) , Googlovo linijo izdelkov za kibernetsko obveščanje, namenjeno podjetjem.

S to integracijo so se številne funkcije, ki so bile prej na voljo na brezplačnih ali srednjih ravneh, preselile v plačljivejše modele, različni strokovnjaki pa so na specializiranih forumih komentirali znatno zvišanje cen za napreden dostop do podatkov in poročil.

Ta premik prihaja v še posebej kritičnem času, ko se ranljivosti in grožnje nenehno povečujejo . Poročila o obveščevalnih podatkih o grožnjah so ocenila, da se je število razkritih CVE v primerjavi s prejšnjimi leti povečalo za več kot 15 %, kar zahteva več podatkov, več konteksta in več avtomatizacije.

Za številne ekipe za kibernetsko varnost, lovce na grožnje in vodje varnostnih operacij (SOC) se zanašanje zgolj na nalaganja iz skupnosti in protivirusna zaznavanja znotraj VirusTotal ne zadostuje več, niti ni vedno stroškovno učinkovito, če želijo poglobiti svoje znanje z uporabo naprednih API-jev.

Vse to je spodbudilo iskanje praktičnih in dopolnilnih alternativ , ki pokrivajo potrebe po obveščanju o grožnjah, korelaciji kazalnikov in avtomatizaciji, ne da bi bile 100-odstotno odvisne od ekosistema VirusTotal/GTI.

Zmogljive alternative VirusTotalu (poleg Jottija)

Čeprav je Jotti zanimiva alternativa za občasno uporabo, obstaja cela vrsta platform, ki pokrivajo specifične vidike analize zlonamerne programske opreme, deljenja vzorcev, ugleda IP-naslovov ali kartiranja zlonamerne infrastrukture, ki jih je vredno upoštevati.

Metadefender Cloud (OPSWAT)

Metadefender Cloud podjetja OPSWAT je rešitev v oblaku, ki ne ponuja le analize z več mehanizmi v slogu VirusTotal , temveč dodaja tudi dodatne plasti, osredotočene na preprečevanje, kot sta dezinfekcija in sanacija datotek.

Storitev omogoča skeniranje datotek, URL-jev, IP-naslovov in zgoščevalnih vrednosti z več kot 20–30 protivirusnimi programi, pri čemer išče tako znane grožnje kot sumljivo vedenje. Ideja je povečati zaznavanje z združevanjem različnih tehnologij.

Njegova glavna funkcija je razorožitev in rekonstrukcija vsebine (CDR) , ki iz datoteke odstrani potencialno nevarne dele (makre, skripte, vdelano vsebino) in ustvari uporabno »čisto« različico, tudi v primerih, ko zlonamerna programska oprema še ni bila izrecno identificirana.

Metadefender Cloud ponuja tudi skeniranje ranljivosti znotraj datotek , na primer odkrivanje zastarelih knjižnic ali komponent z znanimi izkoriščanji, kar doda dodatno plast varnosti zgolj protivirusni analizi.

Zahvaljujoč svojemu API-ju in integracijam je dobra možnost za organizacije, ki želijo avtomatizirati čiščenje dohodnih datotek (e-pošta, portali za stranke, interni prenosi), preden dosežejo končnega uporabnika.

Jottijevo skeniranje zlonamerne programske opreme kot preprosta alternativa

Poleg neposredne primerjave z VirusTotal ostaja Jotti odlična možnost za hitro in brezplačno skeniranje v domačem okolju ali malih podjetjih, ki ne zahtevajo velikih uvajanj.

Njegova glavna privlačnost je vzporedna uporaba več protivirusnih mehanizmov , kar izboljša stopnjo zaznavanja v primerjavi s slepim zanašanjem na en sam namizni izdelek in lahko odkrije grožnje, ki bi jih en sam mehanizem spregledal.

Zaradi omejitve velikosti (trenutno do 250 MB na datoteko z možnostjo pošiljanja 5 hkrati ) je praktičen za večino pogostih primerov, od namestitvenih programov do stisnjenih datotek ali nekoliko težjih dokumentov.

Vmesnik je zelo minimalističen, z jasno ploščo in brez naprednih možnosti , ki bi lahko bile zmedene. Idealen je za tiste, ki želijo naložiti datoteko, si ogledati seznam iskalnikov in se hitro odločiti, ali tej datoteki zaupajo ali ne.

Za analitike ali napredne uporabnike Jotti dobro deluje kot drugi ali tretji vir preverjanja po VirusTotal, zlasti v procesih, kjer želite primerjati rezultate med različnimi spletnimi storitvami.

VirSCAN.org

VirSCAN.org je še ena klasika med večprotivirusnimi skenerji na spletu . Omogoča vam nalaganje datotek in njihovo skeniranje z več programi različnih proizvajalcev, kar zagotavlja prečni pregled morebitnih okužb.

Dolgo časa je deloval z omejitvijo 20 MB na datoteko , kar je nekoliko bolj konzervativno od Jottijevih trenutnih številk, vendar zadostno za večino izvedljivih datotek in pisarniških dokumentov, ki se pogosto uporabljajo v analitičnih scenarijih.

Njihov pristop je podoben: naloži, počakaj na rezultat in poglej, kateri motorji kaj zaznajo . Ne osredotoča se toliko na izjemno uporabnost, temveč na ponujanje funkcionalne in brezplačne storitve, ki je uporabna za drugo mnenje.

Intezerjeva analiza

Intezer Analyze se do tradicionalne zlonamerne programske opreme loteva drugače in se osredotoča na tako imenovano "analizo genetske kode ". Namesto da bi se zanašal izključno na protivirusne preglede, razčleni datoteko in primerja delčke kode z ogromnimi bazami podatkov zlonamerne programske opreme in legitimne programske opreme.

Na ta način lahko zazna ponovno uporabo kode med različnimi družinami zlonamerne programske opreme , vidi podobnosti s prejšnjimi vzorci in združuje vzorce po linijah, kar je izjemno koristno za raziskovalce in obveščevalne ekipe.

Intezerjeva poročila zagotavljajo kontekst o verjetnem izvoru kode , kateri deli so novi, kateri so vzeti iz drugih trojanskih konjev ali orodij in kako se vzorec ujema z znanimi kampanjami, kar olajša delo pripisovanja.

Poleg tega se dobro integrira prek API-jev za avtomatizacijo oddaj in korelacij , zaradi česar je zmogljiva alternativa za poslovna in raziskovalna okolja, ki želijo preseči tipičen sistem "okužen/neokužen".

AlienVault (modra raven)

AlienVault, ki je zdaj pod blagovno znamko Level Blue, ni le orodje za analizo zlonamerne programske opreme, temveč enotna varnostna platforma , ki združuje več zmogljivosti v enem samem izdelku.

Njihov predlog se osredotoča na enotno upravljanje varnosti (USM) , ki združuje SIEM, odkrivanje sredstev, skeniranje ranljivosti in IDS ter odkrivanje zlonamerne programske opreme in korelacijo dogodkov.

Ena ključnih prednosti AlienVaulta so skupne obveščevalne informacije o grožnjah , ki jih spodbujajo skupnost in komercialni viri ter se nenehno posodabljajo za prepoznavanje sumljivega vedenja in tekočih kampanj.

Zahvaljujoč svojemu API-ju in možnosti integracije z drugimi rešitvami je privlačna alternativa za organizacije, ki želijo na zlonamerno programsko opremo gledati kot na še en delček celotne varnostne slike in ne kot na nekaj izoliranega.

MalwareBazar

MalwareBazar, ki ga poganjata abuse.ch in Spamhaus, je platforma za sodelovanje pri deljenju in prenosu vzorcev zlonamerne programske opreme . Namenjena je predvsem raziskovalcem, ponudnikom varnostnih rešitev in ekipam, ki potrebujejo sveže gradivo za svoje analize.

Ena od njegovih prednosti pred drugimi platformami je, da odpravlja številne ovire za vstop : ni zapletenih zahtev za registracijo ali pretirano strogih omejitev prenosov, zaradi česar je vsakodnevno raziskovalno delo bolj gladko.

Platforma se osredotoča na resnične vzorce in se izogiba neškodljivim datotekam, oglaševalski programski opremi ali morebitnim programom, da bi povečala vrednost deljenih podatkov. To pomaga tistim, ki analizirajo družine zlonamerne programske opreme, botnete ali določene kampanje.

MalwareBazar ponuja API, ki omogoča avtomatizacijo prenosa in integracije vzorcev v analitične delovne procese, peskovnik ali obogatitev obveščevalnih podatkov, pa tudi integracije s SIEM in drugimi rešitvami.

Hunt.io

Hunt.io se bolj osredotoča na iskanje groženj in zbiranje obveščevalnih podatkov o zlonamerni infrastrukturi kot na samo analizo datotek. Osredotoča se na domene, IP-je in zgoščene vrednosti ter na to, kako so med seboj povezani.

Ena njegovih glavnih značilnosti je vir informacij o infrastrukturi C2 , ki proaktivno identificira in preverja strežnike za upravljanje in nadzor, preden so ti množično izkoriščeni, zahvaljujoč obsežnim internetnim pregledom.

Platforma nenehno spremlja izpostavljene storitve , potrdila, glave HTTP in druge zunanje vidne elemente, da bi zaznala vzorce uporabe s strani zlonamernih akterjev.

S funkcijami, kot je IOC Hunter, vam omogoča , da začnete z določenim indikatorjem (domena, IP, zgoščena vrednost) in raziščete povezano infrastrukturo: izpostavljene imenike, skupna potrdila, sumljive glave itd.

OPSWAT MetaDefender Cloud kot lovsko orodje

Poleg zmogljivosti večmehanskega skenerja je MetaDefender Cloud dobro pozicioniran kot orodje za iskanje groženj, saj združuje podatke več ponudnikov varnostnih rešitev, povratne informacije uporabnikov in korelacijske zmogljivosti.

Platforma izkorišča več kot 20 protivirusnih mehanizmov in druge plasti analize za zmanjšanje lažno negativnih rezultatov, izboljšanje odzivnih časov in lažjo določanje prioritet opozoril v poslovnih okoljih.

Njegov sodelovalni pristop, kjer lahko uporabniki označijo in komentirajo datoteke, IP-naslove ali domene , omogoča nenehno izpopolnjevanje algoritmov zaznavanja in ohranja sistem usklajen z najnovejšimi grožnjami.

Peskovnik CAPE

CAPE Sandbox (CAPEv2) je nadgradnja prejšnjih projektov, kot je Cuckoo Sandbox, in je postal zelo zmogljivo orodje za dinamično analizo zlonamerne programske opreme , idealno za laboratorije in odzivne ekipe.

Njegova velika moč je v kombiniranju statične in dinamične analize za izločanje notranjih konfiguracij, razpakiranje skritih koristnih tovorov in odkrivanje tehnik izogibanja, ki pri povsem statičnih analizah pogosto ostanejo neopažene.

CAPEv2 lahko spremlja klice API-ja, omrežni promet, spremembe datotečnega sistema in pomnilnika ter ustvarja zelo podrobna poročila o vedenju izvajajoče se zlonamerne programske opreme.

Vključuje tudi sistem za odpravljanje napak YARA, ki ga vodijo pravila , in druge mehanizme , ki pomagajo pri obravnavi vzorcev z uporabo tehnik proti peskovniku ali naprednejših poskusov kamuflaže.

Zloraba IPDB

AbuseIPDB je skupna baza podatkov o ugledu IP-naslovov , ki zbira poročila o zlonamernih dejavnostih, ki jih predložijo uporabniki, podjetja in avtomatizirane storitve po vsem svetu.

Vsaka oseba ali sistem lahko prijavi IP-naslove, ki izvajajo napade , poskuse surove sile, neželeno pošto, zlorabe pri skeniranju ali drugo sumljivo vedenje, kar prispeva k izboljšanju kakovosti baze podatkov.

Ta pristop, ki temelji na skupnosti, ohranja podatkovno bazo visoko posodobljeno z resničnimi zlonamernimi dejavnostmi , ki presegajo preproste statične sezname, ustvarjene v laboratoriju, in jo naredi dragoceno za blokiranje ali filtriranje dohodnega prometa.

Njegov API omogoča enostavno integracijo te inteligence ugleda v požarne zidove, SIEM-e, WAF-e ali skripte po meri , tako da so odločitve o blokiranju ali opozarjanju podprte z obogatenimi podatki o zgodovini vsakega IP-ja.

Glede na vse zgoraj navedeno ostajata VirusTotal in Jotti dve zelo uporabni orodji za specifično analizo datotek, vendar se uvrščata v veliko širšo sliko, kjer se večmehanski skenerji, platforme za deljenje vzorcev, napredni peskovniki in obveščevalni podatki o zlonamerni infrastrukturi dopolnjujejo in ponujajo veliko bogatejši in bolj uporaben pogled na trenutne grožnje.