Erradicação de vírus: a solução tradicional de software

Reduza os Custos de TI com um Melhor
Gerenciamento de Antivírus
Uma Solução da Symantec para Empresas
Índice
Resumo geral.................................................................................................................2
O crescente problema de vírus......................................................................................3
Arquitetura tradicional de software antivírus..................................................................4
O aplicativo e o mecanismo de verificação....................................................................4
Desvantagens da arquitetura de antivírus tradicional....................................................5
As estratégias dos fornecedores de antivírus para compensar as desvantagens do
produto...........................................................................................................................6
NAVEX™: uma tecnologia exclusiva dos produtos Norton AntiVirus™.........................7
Suporte para todos os produtos e plataformas do Norton AntiVirus..............................7
Proteção consistente em toda a empresa......................................................................8
Nenhum tempo de espera na estação de trabalho ou no servidor................................9
Distribuição fácil ............................................................................................................9
Cenários de erradicação de vírus..................................................................................10
Erradicação de vírus: a solução tradicional de software antivírus.................................12
Erradicação de vírus: a solução NAVEX.......................................................................13
Cenários de custo: distribuir nova proteção de antivírus...............................................14
Atualização de um típico programa antivírus................................................................14
Atualização do Norton AntiVirus....................................................................................16
Sumário.........................................................................................................................17
Nota para usuários do Microsoft Office 2000................................................................17
Conclusão......................................................................................................................18
Sobre a Symantec.........................................................................................................18
Apêndice A: Novos tipos de ameaça de vírus...............................................................19
Resumo geral
Como membro da comunidade de Tecnologia de Informação, você enfrenta desafios
diários para manter servidores e estações de trabalho em perfeito funcionamento. Estes
desafios tornam-se ainda mais complicados devido às necessidades de um ambiente de
tecnologia de informação cada vez mais complexo, recursos de TI limitados e,
freqüentemente, exigências de um Contrato de Nível de Serviço. Se estes desafios não
forem superados, a credibilidade do departamento de TI será prejudicada, podendo
provocar antecipação de mudanças organizacionais, terceirização das funções de TI e
redução das alocações de recursos – o que pode tornar ainda mais difícil para você
oferecer um serviço de boa qualidade no futuro.
Os vírus de computador estão entre os desafios mais frustrantes enfrentados pelas
organizações de TI atualmente. Eles prejudicam a produtividade dos funcionários,
desviam a atenção da equipe de TI das questões mais estratégicas da empresa e
podem colocar em risco a segurança das informações da sua empresa. Ainda assim,
não há como manter os computadores da sua empresa livres de todos os tipos de vírus.
Desavisadamente, os funcionários podem abrir anexos de e-mail executáveis
contaminados. Os programas de leitura de notícias são infectados por vírus anexados
em postagens do Usenet. Funcionários em viagens de trabalho trazem vírus em seus
laptops após visitas a instalações de clientes.
Sempre que uma estação de trabalho ou um servidor apresenta problemas e os
recursos de TI precisam ser redirecionados para corrigir estes problemas, você incorre
custos adicionais, desperdiça tempo e a credibilidade da sua equipe de TI fica ainda
mais abalada. Por isso, as organizações de TI precisam de estratégias e ferramentas
sólidas para combater com o crescente problema de vírus.
Mesmo que você já tenha um bom produto antivírus (AV), os novos vírus são tão
complexos que não basta emitir novas definições de vírus para combatê-los. Estas
novas classes de vírus exigem correções ou revisões inteiramente novas do software
antivírus.
Para a maioria dos software antivírus, isto significa atualizar e produzir uma versão em
linha de todo o programa porque o mecanismo e o aplicativo de verificação são
intrinsecamente conectados. A Symantec percebeu a necessidade de uma solução
mais rápida, melhor e menos cara para atender às necessidades de nossos clientes.
É por isto que o nosso software Norton AntiVirus™ possui a tecnologia NAVEX™
(Norton AntiVirus Extension). Este mecanismo modular de verificação de vírus permite
que os engenheiros do Symantec AntiVirus Research Center (SARC)™ atualizem e
redistribuam com agilidade os elementos relevantes do software Norton AntiVirus de
modo eficiente e eficaz. Não só você recebe as correções de vírus com maior rapidez,
mas também as obtém em formato menor e mais fácil de distribuir para todos os seus
servidores e estações de trabalho.
A tecnologia NAVEX está integrada em todos os produtos Norton AntiVirus. O NAVEX
permite que o SARC atualize sem interrupções o mecanismo de verificação durante as
atualizações de definição de vírus normais. Atualmente, ele é a única solução deste tipo
disponível para usuários de software antivírus.
Este relatório analítico descreve o cenário atual dos vírus de computador, como a
maioria dos fornecedores de antivírus está lidando com isso e como os produtos Norton
AntiVirus – com a tecnologia NAVEX – oferecem um modo mais rápido, simples e
significativamente mais barato de manter seus computadores protegidos contra vírus.
O crescente problema de vírus
No princípio, havia apenas alguns poucos vírus de computador; portanto, os produtos
antivírus podiam passar um tempo razoável analisando cada novo vírus descoberto,
incorporando uma solução personalizada para ele em seus produtos e re-lançando-os.
No entanto, com o crescimento da disseminação de novos vírus, não é mais viável criar
uma nova versão do produto antivírus como resposta a cada novo vírus que surge.
Conseqüentemente, os fornecedores de antivírus criaram mecanismos que pudessem
procurar as digitais de um vírus. Uma digital é uma seqüência única de bytes
identificada em um determinado vírus. Este novo método permitia que pesquisadores de
antivírus simplesmente adicionassem novas digitais ao banco de dados existente
utilizado pelo seu produto quando novos vírus eram descobertos. Esta técnica tornou o
desenvolvimento do produto mais rápido e mais fácil, reduziu a quantidade de dados
que precisava ser enviada para os clientes (uma atualização do banco de dados, em vez
de um release inteiramente novo do software) e eliminou a necessidade de construir um
novo produto do zero sempre que um novo vírus era descoberto.
Infelizmente, a grande motivação dos criadores de vírus é criar um código difícil de
detectar e/ou corrigir. Portanto, nos últimos anos, surgiram classes de vírus inteiramente
novas que conseguiram enganar os algoritmos tradicionais de detecção e correção dos
programas antivírus. Acrescentar digitais tradicionais era inútil para conter estes vírus;
uma nova tecnologia precisava ser desenvolvida para eliminá-los.
Entre os vírus que a tecnologia do momento não conseguiu dominar estão rotinas de
criptografia raras para discos rígidos (como o vírus One_Half) e tentativas de ocultar
rotinas de vírus na memória (como o vírus Stealth). Estes tipos de vírus podem exigir
uma modificação completa do mecanismo de antivírus do programa. Em outras
palavras, os fornecedores de antivírus estavam novamente enfrentando o mesmo
problema de precisar gastar muito tempo desenvolvendo novas versões de seus
produtos para erradicar as novas ameaças.
Casos de vírus especiais que exigiram uma nova tecnologia
antivírus para serem erradicados
Vírus de inicialização
Vírus polimorfos
Vírus de cluster
Vírus para Windows com 32 bits
Vírus de entrada variável
Vírus para Microsoft ® Office 2000
Vírus residentes
Vírus para Access®
Vírus para arquivo .HLP
Vírus para Microsoft ® Excel
Vírus para Windows® 3.1
Vírus para PowerPoint®
Vírus para Microsoft ® Office 97
Vírus de driver de dispositivo
Vírus invisíveis
Vírus para Microsoft ® Word
Vírus para VBScript
Hoje um número ainda maior de vírus está sendo desenvolvido (bem superior a 40.000
atualmente) e mais pessoas estão usando programas antivírus. Estes fatores significam
que vírus problemáticos são ainda mais comuns e, ao mesmo tempo, é cada vez mais
caro manter todos os computadores da empresa atualizados.
O custo de desenvolver, testar e fabricar novos produtos é alto para desenvolvedores de
antivírus e o custo – e as dificuldades logísticas – de reinstalar, testar e distribuir
constantemente software antivírus também é elevado para os clientes. As organizações
de TI acabam desperdiçando recursos preciosos com atualizações constantes e todos,
da diretoria até os usuários finais, podem ter a impressão de que o departamento de TI
não está conseguindo controlar os ataques de vírus e, por isso, precisa estar sempre
instalando novos softwares antivírus.
O que os fornecedores de antivírus estão fazendo sobre esta situação frustrante?
Arquitetura tradicional de software antivírus
Para entender por que as soluções do Symantec Norton AntiVirus são tão poderosas, é
preciso considerar primeiro o design básico dos programas antivírus e como outros
fornecedores estão lidando com vírus complexos.
O aplicativo e o mecanismo de verificação
O programa antivírus típico possui dois componentes principais: o aplicativo e o
mecanismo de verificação.
O aplicativo de verificação oferece uma interface de usuário, funções de alerta e
mecanismos de registro. O aplicativo determina que arquivos verificar e como reagir
quando for encontrado um vírus. No entanto, ele não sabe absolutamente nada sobre
vírus de computador. Sempre que verifica um arquivo ou disquete, ele chama o
mecanismo de verificação para detectar os vírus de computador na localização
designada.
Se o mecanismo de verificação localizar um vírus, ele informa ao aplicativo de
verificação. Em seguida, o aplicativo de verificação informa ao usuário sobre a infecção
e solicita que o usuário corrija o arquivo. Se o usuário optar por fazer isto, o aplicativo de
verificação novamente chama o mecanismo de verificação para corrigir o arquivo ou o
disco infectados.
O Aplicativo de Verificação
1. Escolhe arquivos ou discos a serem
verificados.
3. Alerta o usuário e permite que ele
direcione as próximas ações.
O Mecanismo de Verificação
2. Verifica e detecta vírus.
4. Corrige arquivos e discos.
Figura 1: Como o mecanismo de verificação e o software de verificação trabalham juntos
O mecanismo de verificação envolve dezenas de algoritmos de pesquisa complexos
com emuladores de CPU e lógica de programa elaborados. Ao contrário do aplicativo de
verificação, o mecanismo não sabe nada sobre as interfaces de usuário, que arquivos
verificar ou o que informar ao usuário quando encontrar um vírus. Ele só sabe detectar e
corrigir vírus. Ele simplesmente examina o arquivo ou o disco indicado pelo aplicativo de
verificação e determina se há algum vírus.
Normalmente, os mecanismos de verificação funcionam verificando cada arquivo ou
disco quanto a milhares de digitais de vírus. Estas digitais são armazenadas nos
arquivos de dados de definição de vírus que os usuários em todas as partes do mundo
recebem por download semanalmente quando obtêm as atualizações de seus software
de vírus.
Em todos os programas antivírus, exceto na família Norton AntiVirus, o aplicativo de
verificação e o mecanismo de verificação formam um componente inseparável.
Desvantagens da arquitetura de antivírus tradicional
A inflexibilidade da arquitetura tradicional de antivírus, como seu aplicativo de
verificação e seu mecanismo de verificação combinados, torna-se aparente quando
uma organização de TI enfrenta um novo vírus complexo. Há muitos obstáculos para
uma proteção antivírus bem-sucedida que abrange toda a empresa, e a erradicação de
vírus é lenta e cara. Algumas da conseqüências de aplicar programas antivírus típicos
em casos de vírus especiais são:
• Uma nova versão do produto antivírus precisa ser lançada para erradicar um caso de
vírus especial. Quando é descoberto um vírus que não pode ser contido com uma
simples atualização da digital, todo o programa antivírus precisa ser atualizado e
reinstalado. Mesmo que não seja necessário nenhuma alteração no próprio aplicativo
de verificação, as alterações do mecanismo de verificação exigem uma nova instalação
de todo o produto.
• O software antivírus em cada plataforma suportada deve ser atualizado para incluir a
nova lógica do mecanismo de verificação. E cada um desses novos produtos em linha
deve ser instalado pela organização de TI.
• Os lançamentos das plataformas são escalonados, deixando a organização de TI com
uma proteção inconsistente em computadores desktop, servidores e gateways até todas
as plataformas serem atualizadas. Produzir um novo código para cada plataforma de
antivírus é um processo demorado e caro que obriga o fornecedor típico de antivírus a
desenvolver e implementar todo o seu suporte ao produto ao longo de um período de
vários meses.
• Toda instalação de antivírus exige tempo, dinheiro e recursos de TI.
• A produtividade do usuário final continua a ser afetada até ser possível proporcionar
uma proteção antivírus completa em toda a empresa.
Os obstáculos para uma proteção antivírus bem-sucedida em toda a empresa são
vários e a erradicação do vírus é lenta e cara.
As estratégias dos fornecedores de antivírus para compensar as desvantagens
do produto
Os custos para atualizar e instalar uma proteção antivírus abrangente são elevados.
Para reduzir as despesas – para eles próprios e seus clientes – os fornecedores de
antivírus tentaram implementar várias estratégias alternativas.
Proteção contra vírus seletiva
A estratégia de um fornecedor para reduzir os custos do antivírus é selecionar apenas
algumas classes de vírus para erradicar. Algumas vezes, esta opção é adotada porque
criar uma solução completa é muito difícil; outras vezes, ela resulta da incapacidade do
fornecedor integrar uma solução de modo direto e rápido. A principal desvantagem
nesta estratégia de corte de custos é que alguns vírus não são abordados e o cliente
permanece vulnerável à infecção.
Lançamento de ferramentas independentes temporárias
Outra estratégia de corte de custos é construir uma ferramenta autônoma para lidar com
cada nova classe de vírus, distribuir esta ferramenta para os clientes e integrar o novo
recurso ao programa principal posteriormente.
Esta é uma solução paliativa que soluciona ameaças de vírus imediatas, mas prolonga o
processo de distribuição e administração para o departamento de TI.
As ferramentas autônomas não são independentes de plataformas. Normalmente, elas
são utilitários de linha de comando escritas apenas para DOS. Os usuários finais devem
ser treinados para usá-las e devem se lembrar de usá-las regularmente com seu
software antivírus principal para verificar arquivos e anexos de e-mail.
Quando o fornecedor de antivírus tiver integrado e testado esta nova tecnologia em
todas as suas plataformas antivírus, os clientes devem atualizar todos os seus
servidores e estações de trabalho novamente para usar o novo produto.
Agrupar soluções em releases maiores
Esta estratégia de corte de custos é uma posição intermediária entre as duas opções
anteriores. Neste caso, o fornecedor de antivírus aguarda (possivelmente meses) até
vários novos vírus complexos serem descobertos e atualiza toda a linha do produto
antivírus simultaneamente para abordar o último conjunto de ameaças de vírus. Este
método reduz o tempo de administração e implementação do departamento de TI, mas
deixa a empresa sem uma proteção antivírus atualizada por um bom período de tempo.
Este período desprotegido pode variar, mas os fornecedores de antivírus
freqüentemente precisam de seis ou mais meses para atualizar uma linha inteira de
produtos antivírus em todas as plataformas – talvez primeiro o verificador para Windows
de 32 bits, depois para NLM, em seguida, o produto para servidor NT e, por último, os
produtos para gateway. Portanto, mesmo depois dos primeiros novos produtos terem
sido lançados, muitos outros computadores nas empresas dos clientes podem ainda
estar desprotegidos.
Como já vimos, a arquitetura padrão dos produtos antivírus pode causar esperas
longas, despesas altas e perda de produtividade para as companhias que os utilizam.
As empresas precisam de uma nova arquitetura antivírus que possa ser modificada,
distribuída e instalada de modo rápido e barato quando novas classes de vírus forem
descobertas.
NAVEX™: uma tecnologia exclusiva dos produtos Norton
AntiVirus™
A Symantec observou as desvantagens da arquitetura de software antivírus tradicional –
e as soluções ineficazes que elas obrigam os fornecedores a criar – e percebeu que era
preciso desenvolver um novo design para melhor atender a seus clientes. Os vírus
“Anormais” tornaram-se a norma. A menos que a detecção e a correção de vírus
complexos possam ser implementadas com a mesma facilidade que a tecnologia de
digitais do passado, criar e manter uma solução antivírus completa tornou-se
impossível. Sendo assim, novas estratégias sólidas de detecção e correção devem ser
parte da atualização normal das definições de vírus.
O resultado da nossa pesquisa foi a tecnologia Norton AntiVirus Extension (NAVEX),
que separa o mecanismo de verificação do aplicativo de verificação. O mecanismo de
verificação agora pode ser atualizado individualmente, aprimorado de modo
independente e redistribuído como parte das definições de vírus padrão do Norton
AntiVirus através de todos os métodos de atualização disponíveis. O NAVEX permite
que a Symantec ofereça aos clientes atualizações compactas e, fáceis de distribuir e de
instalar para todos os produtos Norton AntiVirus.
Suporte para todos os produtos e plataformas do Norton AntiVirus
O código fonte do mecanismo NAVEX independe da plataforma. Em resposta a um
novo vírus complexo ou a novas classes de vírus (como vírus para Office 2000), a
Symantec pode compilar rapidamente um único conjunto de código fonte do mecanismo
para cada plataforma de computador compatível com o Norton AntiVirus, protegendo
toda a sua empresa de uma única vez.
Todos os produtos Norton AntiVirus em todas as plataformas são compatíveis com o
NAVEX. Isto inclui todos os componentes sob demanda, componentes em tempo real,
verificadores em segundo plano, produtos para servidores, produtos para gateway e
produtos para groupware. Quando a sua empresa atualizar para as últimas definições,
seus sistemas desktop, servidores com Windows NT ® e NLM terão todos os últimos
mecanismos e bancos de dados e, portanto, a última proteção.
...A Symantec pode compilar rapidamente um único conjunto de códigos fonte do
mecanismo para cada plataforma de computador suportada pelo Norton AntiVirus,
protegendo toda a sua empresa de uma única vez.
Proteção consistente em toda a empresa
Cada atualização do mecanismo NAVEX é gerada a partir de um conjunto de códigos
fonte. Isto significa que os engenheiros do SARC só precisam modificar a lógica do
programa uma única vez para atualizar devidamente os mecanismos de verificação de
todos os produtos AntiVirus – para funções de verificação em tempo real e sob
demanda. Este método baseado em código único oferece uma proteção antivírus
consistente para toda a empresa.
INTERNET
Usuário Remoto
Servidor com NT
Windows NT
Firewall
Gateway SMTP
Servidor de GroupWare
Win/Dos
Servidor NetWare
Windows 98/95
VERIFICANDO O TRÁFEGO DA
INTERNET
SISTEMA PROTEGIDO
DEFINIÇÕES DE VÍRUS ENVIADAS
Norton System Center
Figura 2: Como um conjunto de códigos fonte do Norton AntiVirus é implementado para proteger
toda a empresa.
Nenhum tempo de espera na estação de trabalho ou no servidor
Todos os produtos Norton AntiVirus podem ser atualizados com novos mecanismos
NAVEX sem ser preciso reiniciar o computador ou desligar o verificador do antivírus.
Não há necessidade de desligar seus servidores de arquivos, servidores de e-mail
groupware ou os sistemas de desktop dos usuários, o que permite obter uma proteção
contra vírus atualizada sem prejudicar a produtividade.
Distribuição fácil
A arquitetura modular do Norton AntiVirus permite que a Symantec envie atualizações
compactas ao mecanismo NAVEX, em vez de atualizações do software inteiro, como
exigido pelos outros produtos antivírus. Este método torna bem mais fácil para você
obter atualizações da Symantec e, em seguida, distribuí-las para sua equipe e seus
usuários finais.
Outros produtos antivírus
Aplicativo de Verificação
Antivírus
Mecanismo de Verificação
Antivírus
Definições de vírus
Norton AntiVirus
O mecanismo antivírus deve
ser atualizado junto com o
resto do produto em uma
atualização em linha.
Mecanismos NAVEX
As definições de vírus podem
ser atualizadas sem aumentar
a necessidade de suporte e os
custos.
Definições de vírus
Figura 3: Atualizar com a Symantec e o NAVEX vs. atualizar com outros fornecedores de
antivírus
Estas são três formas fáceis de obter atualizações de vírus da Symantec:
• As sessões LiveUpdate™, em que o software Norton AntiVirus disca para um servidor
Symantec para fazer o download das últimas atualizações de definições de vírus.
• Downloads do site da Symantec na Web
• Respostas do recurso Verificação e Entrega. A Verificação e Entrega é um recurso do
Norton AntiVirus que envia por e-mail amostras de vírus recém detectados para o
Symantec AntiVirus Research Center para identificação. (Para proteger a privacidade
dos documentos da sua empresa, apenas o vírus é enviado, não todo o arquivo
infectado.) Os pesquisadores do SARC podem responder via e-mail com uma nova
definição de vírus para tratar a infecção. Se necessário, a nova definição de vírus pode
incluir um novo mecanismo NAVEX.
Como as atualizações de definição de vírus que contêm novos mecanismos NAVEX são
bem pequenas, você pode optar por usar servidores de arquivos e da Web, anexos de
e-mail e outros métodos para distribuir as atualizações para sua equipe de TI e para
seus usuários finais.
Quando os usuários recebem uma atualização, basta praticamente um único clique para
incorporá-la no Norton AntiVirus. Eles não precisam instalar e aprender uma nova
ferramenta independente para combater com um novo vírus específico.
Cenários de erradicação de vírus
Os autores de vírus revelam sua intenção de confundir os pesquisadores de antivírus. E
enquanto a maioria dos vírus usa as mesmas técnicas para se espalhar, alguns vírus
fogem à regra. Eles também são vírus de "caso especial" que usam técnicas comuns
para se disseminarem, mas têm algum tipo de efeito colateral mal intencionado que não
pode ser desfeito sem uma modificação no mecanismo de verificação.
Esta seção descreve dois cenários: como o fornecedor de um programa antivírus típico
lidaria com um caso de vírus especial e como a Symantec, com sua tecnologia NAVEX
única, lidaria com isso.
Erradicação de vírus: a solução tradicional de
software antivírus
Cliente
Usuário de desktop percebe
problema. Suporte envia um
técnico de TI ao local.
O técnico de TI encontra
arquivos infectados: envia-os
para o fornecedor de antivírus.
Arquivos infectados
Solução autônoma do
fornecedor de antivírus
Enquanto isso... o vírus
espalha-se pela empresa
Os Diretores de Informática
fazem uma chamada urgente
para o fornecedor do antivírus
e pedem que a equipe
verifique e desinfete todos os
servidores e estações de
trabalho manualmente.
O Departamento de TI distribui
a atualização em linha para
todas as estações de trabalho.
A solução do
fornecedor de antivírus
para estação de
trabalho
A solução do
fornecedor de antivírus
para servidor
Fornecedor de antivírus
Os engenheiros do fornecedor
do antivírus analisam os
arquivos; determinam que o
software existente não é capaz
de corrigi-lo.
Os engenheiros do fornecedor
de antivírus constróem um
programa autônomo para
erradicar este único vírus e o
envia ao cliente.
O fornecedor de antivírus
precisa de, no mínimo, 1 mês
para lançar uma atualização
em linha para estações de
trabalho; mais tempo para
servidores.
Um mês depois, o fornecedor
de antivírus envia ao cliente a
atualização em linha para
estação de trabalho.
Após vários meses, o
fornecedor de antivírus envia a
atualização em linha para o
servidor.
O Departamento de TI distribui
a atualização em linha para
todos os servidores.
Figura 5: a solução atualizada para o vírus em 6 meses.
Erradicação de vírus: a solução NAVEX
Cliente
Usuário de desktop
percebe um
problema. O suporte
envia um técnico de
TI ao local.
Arquivos infectados
Symantec
Os engenheiros do SARC
analisam os arquivos;
determinam que o software
existente não é capaz de
corrigi-los.
SEG
SEG
QUA
JAN
JAN
FEV
MAR
ABR
MAI
O técnico de TI
encontra arquivos
infectados; envia-os
para o SARC.
Enquanto isso... o
vírus espalha-se pela
empresa
O Departamento de TI
distribui o novo
mecanismo e
definições de vírus
para todos os
servidores e estações
de trabalho.
Os engenheiros do SARC
escrevem novos módulos, os
integram ao NAVEX e enviam
a definição de vírus
atualizada e o mecanismo
NAVEX ao cliente através da
Verificação e Entrega.
TER
A solução Symantec
Figura 6: a solução atualizada do Norton AntiVirus em 2 dias.
Erradicação de vírus: a solução tradicional de
software antivírus
Erradicação de vírus: a solução tradicional de software antivírus
• O primeiro sinal de problema. A estação de trabalho de uma funcionária apresenta
problemas constantemente. Ela liga para o suporte de TI da empresa.
• Encaminhando o problema. Algumas horas depois, um técnico do TI chega. Ele
observa que vários arquivos executáveis parecem estar corrompidos e começa a
suspeitar de um vírus de computador; portanto, envia os arquivos para o fornecedor de
antivírus da empresa.
• Um novo vírus é descoberto. Os pesquisadores do fornecedor de antivírus analisam
os arquivos e percebem que estão lidando com um vírus muito diferente para ser
detectado ou corrigido pelo seu produto antivírus atual.
• Uma solução paliativa. Os engenheiros do antivírus percebem que não é possível
atualizar rapidamente o produto principal e criam um programa autônomo temporário
para DOS para conter o vírus e o envia para o diretor de informática na empresa cliente.
• A cura para estação de trabalho é distribuída. O diretor de informática distribui a
ferramenta para sua equipe para que ela possa limpar as estações de trabalho
infectadas. Dois dias depois do ataque inicial, os funcionários afetados pelo problema
podem finalmente voltar ao trabalho.
• Outras infecções são detectadas na empresa. Enquanto isso, o departamento de TI
detecta o vírus nos servidores de arquivos e e-mail da empresa; ele se espalha e
reinfecta algumas estações de trabalho. O fornecedor de antivírus promete uma nova
versão do software para estação de trabalho em aproximadamente um mês e a versão
para servidor em vários meses.
• Trabalho manual. A equipe de TI se divide para verificar todos os servidores de
arquivos e e-mail da instalação local, distribui cópias do disco para todos os usuários de
estação de trabalho infectadas e envia cópias do programa para todas as outras
instalações da sua empresa.
• Novo software antivírus para estação de trabalho. Um mês depois, o fornecedor de
antivírus envia uma atualização em linha da versão para desktop do seu produto
antivírus.
• Novo software antivírus para servidor. Após vários meses, a empresa de antivírus
envia o produto para servidor ao cliente. Mais de meio ano após o novo vírus ter sido
descoberto, a situação está finalmente sob controle. Pelo menos, até o próximo vírus
diferente aparecer...
Sumário
Este é um cenário típico em praticamente todas as empresas de antivírus e seus
clientes. Foi necessário um mês para o fornecedor de antivírus oferecer uma
atualização de software apenas para estações de trabalho – e mais alguns meses para
servidores. Enquanto isso, para proteger os usuários de vírus, a equipe de TI precisou
verificar manualmente dezenas ou, até mesmo, centenas de máquinas e reinstalar o
software antivírus em milhares de máquinas. Como a solução original não era parte do
programa antivírus principal, o vírus conseguiu se disseminar novamente enquanto não
estava completamente erradicado ou foi reintroduzido na empresa.
Infelizmente, este cenário ocorre com freqüência em muitas empresas em várias partes
do mundo. As empresas podem ficar sem proteção contra vírus importantes durante
meses a cada vez que isto ocorre. Os funcionários precisam verificar manualmente os
arquivos com ferramentas para fins especiais, desperdiçando tempo produtivo em seu
horário de trabalho. Os administradores precisam examinar os servidores de e-mail para
monitorar e erradicar infecções. A equipe de TI é obrigada a perder tempo com a
erradicação de vírus, em vez de trabalhar nos planos estratégicos de TI da empresa.
Atualmente as empresas simplesmente não podem desperdiçar o tempo de sua equipe
de TI e de seus outros funcionários desta forma.
Erradicação de vírus: a solução NAVEX
Erradicação de vírus: a solução NAVEX
• O primeiro sinal de problema. A estação de trabalho de uma funcionária apresenta
problemas constantemente. Ela liga para o suporte de TI da empresa.
• Encaminhando o problema. Algumas horas depois, um técnico do TI chega. Ele
observa que vários arquivos executáveis parecem estar corrompidos e começa a
suspeitar de um vírus de computador. Ele envia os arquivos para o Symantec AntiVirus
Research Center (SARC) usando o eficiente recurso Verificação e Entrega incorporado
no Norton AntiVirus.
• Um novo vírus é descoberto. Os pesquisadores do SARC analisam os arquivos e
percebem que estão lidando com um vírus muito diferente para ser detectado ou
corrigido pela versão atual do Norton AntiVirus. O SARC promete entregar uma solução
nas próximas 24 horas.
• Outras infecções são detectadas na empresa. Enquanto isso, a equipe de TI
detecta o vírus nos servidores de arquivo e e-mail da empresa. O SARC promete
entregar uma solução completa para todas as plataformas suportadas nas próximas 24
horas.
• Atualizando o Norton AntiVirus, sem necessidade de solução alternativa. Os
engenheiros do SARC atualizam o mecanismo NAVEX para erradicar o novo vírus.
Como é muito fácil modificar o mecanismo completo do Norton AntiVirus, não há
necessidade de se contentar com uma solução paliativa independente. Quando o novo
conjunto de definições de vírus está pronto, o SARC o envia para o diretor de
informática na empresa do cliente.
• A cura é distribuída. O diretor de informática entrega a atualização do Norton
AntiVirus para o engenheiro responsável. Ele usa as ferramentas de distribuição padrão
da empresa para distribuir as novas definições de vírus em todas as estações de
trabalho, servidores de arquivos, servidores de e-mail e gateways. Em seguida, ele
inicia as verificações de vírus em toda a empresa. Ele também envia a atualização para
outras instalações da corporação para implementação. Dois dias depois do ataque
inicial, os funcionários afetados pelo problema podem voltar ao trabalho e suas
estações de trabalho e todos os outros computadores na empresa estarão protegidos
de futuras infecções por este vírus.
Conclusão
É assim que a Symantec responde a um novo vírus de computador difícil: com rapidez e
eficácia.
Nos dois cenários, foi necessário aproximadamente o mesmo tempo para que os
engenheiros desenvolvessem uma solução para o vírus. No entanto, o outro fornecedor
de antivírus tinha criado uma ferramenta independente temporária que exigia
intervenção manual a cada passo e não era integrada ao seu software antivírus
principal. Quando o fornecedor finalmente atualizou o produto antivírus para cada uma
das plataformas, a equipe de TI do cliente e seus funcionários já tinham perdido
centenas de horas de trabalho. Em contraste, graças à tecnologia NAVEX da Symantec,
os clientes da Symantec obtiveram uma solução abrangente, integrada e compatível
com múltiplas plataformas em dois dias.
Os custos de distribuir a nova proteção antivírus
Os seguintes cenários ilustram os custos de atualizar o Norton AntiVirus com sua
tecnologia NAVEX inovadora, comparados com atualizar um produto antivírus
concorrente para solucionar o mesmo vírus.
Nos dois casos, nós consideramos que:
• A empresa tem 5.000 computadores: 300 são servidores com Windows NT ® 4.0 e
4.700 são clientes com Windows ® 95 e Windows NT.
• O salário do administrador de rede da empresa é de $60.000 por ano, um custo por
hora de aproximadamente $41,00, incluindo os benefícios.* Nós consideraremos a
mesma base salarial para todos os outros funcionários mencionados neste estudo.
*Usando um fator de carga de benefícios de 1,37, nós obtivemos um custo real de $82.200. Com 2.000
horas de trabalho por ano, o que resulta em um custo por hora de $41,00.
Atualização de um típico programa antivírus
Existem vários níveis de custo para uma organização de TI ao atualizar um produto
antivírus tradicional para fornecer detecção e correção para uma nova ameaça de vírus,
como os vírus de macro para o Microsoft® Office 2000.
Custos da atualização para combater uma nova ameaça de vírus:
• Teste. Um administrador de rede testa uma versão em linha de um produto antivírus
por aproximadamente 60 horas antes de utilizá-la na empresa. Em geral, embora os
produtos em linha corrijam vários problemas para o usuário; muitas vezes, eles também
criam problemas ou apresentam incompatibilidades com o software existente. Por isso,
é necessário realizar testes abrangentes. Considerando o custo do administrador como
US$41,00 por hora, este teste de 60 horas custaria aproximadamente US$2.460,00.
• Implementação do novo produto em linha. Com a distribuição do software no local,
o processo de implementação levaria aproximadamente 32 horas do tempo do
administrador, custando em torno de US$1.312,00.
Sem a distribuição do software no local, o administrador provavelmente colocaria o
produto em linha em um arquivo disponível ao público ou no servidor da Web e
notificaria aos usuários sobre a atualização por e-mail. Todos os usuários seriam
responsáveis por atualizar seus próprios computadores. Se nós assumirmos que o
usuário leva em média 20 minutos para localizar o produto em linha no servidor,
instalá-lo e reiniciar o sistema de desktop; esta atualização levaria um total de 1.500
horas para os 4.700 usuários de estação de trabalho da empresa. Considerando um
salário médio de US$41,00 por hora dos usuários de estação de trabalho, a distribuição
custará aproximadamente US$61.500,00 à empresa.
• Apoio do suporte. Vamos imaginar que alguns usuários tenham dificuldade em
instalar a nova atualização e precisem ligar para o suporte. Mesmo com uma taxa de
erro de 5%, estes problemas resultariam em 150 chamadas para o suporte, com uma
duração de aproximadamente 20 minutos cada. Isto acrescenta outras 50 horas de
tempo de suporte a um custo adicional de US$2.050,00.
A Tabela 1 resume os custos de instalar em linha um produto antivírus não NAVEX para
oferecer suporte a novos vírus ou novas classes de vírus difíceis de combater:
Tarefa
Teste da nova versão do
software antivírus,
configuração das
opções, etc.
Implementação com
ferramentas de
distribuição de software
Chamadas para o
suporte a uma taxa de
5%.
Custo total
Tempo estimado
$2.460,00
$1.312,00
$2.050,00
$5.822,00
Tarefa
Teste da nova versão do
software antivírus,
configuração das
opções, etc.
Implementação manual
Tempo estimado
$2.460,00
Chamadas para o
suporte a uma taxa de
5%.
Custo total
$2.050,00
$61.500,00
$66.010,00
Tabela 1; Custos para atualizar um produto antivírus concorrente para oferecer suporte a uma
nova ameaça em toda a empresa, com distribuição manual ou usando tecnologias de distribuição
de software.
E outros custos de atualização de vírus:
Os vírus que não exigem atualizações do mecanismo de verificação.
As atualizações de definição de vírus regulares devem continuar sendo distribuídas
para oferecer proteção contra novos vírus que não exijam atualizações do mecanismo
(por exemplo, para proteger contra novos vírus de macro para Office 95/97, vírus de
DOS ou vírus de inicialização). Se considerarmos que os produtos antivírus
concorrentes têm um mecanismo de distribuição semelhante ao LiveUpdate da
Symantec, isto custará mais US$1.312 por atualização. No entanto, como os produtos
concorrentes podem exigir uma reinicialização das máquinas desktop e o desligamento
do servidor de arquivos ou groupware durante a atualização, o administrador e os
usuários finais terão um tempo de espera improdutivo adicional durante as atualizações
de definições.
Atualizações para cada plataforma à medida que as soluções tornam-se
disponíveis. Como a maioria dos fornecedores de antivírus precisa colocar em linha
vários produtos em várias plataformas para conseguir combater um novo vírus, podem
ser necessários meses até que uma empresa tenha uma proteção completa em todos
os sistemas de desktop, servidores de arquivos e e-mail, servidores de groupware e
gateway. Esta proteção incompleta e inconsistente torna a empresa vítima de repetidos
ataques e de custos cada vez maiores para manter uma solução não NAVEX.
Atualização do Norton AntiVirus
Agora considere os custos de distribuir uma atualização para o Norton AntiVirus:
Custos de atualização para combater uma nova ameaça de vírus:
Para detectar e corrigir completamente uma nova ameaça, como um vírus para o Office
2000, o administrador precisa distribuir os últimos arquivos de definição de vírus – que
incluem o novo mecanismo NAVEX – para todos os computadores desktop e
servidores.
• Teste. A maioria dos administradores testa as novas definições de vírus antes de uma
instalação completa. Nós estimamos 16 horas de teste antes desta instalação. Como o
software sendo testado inclui apenas um conjunto de definições de vírus, em vez de
uma atualização em linha de todo o aplicativo, o tempo de teste necessário é bem
menor do que para os produtos antivírus típicos. Considerando novamente um custo por
hora de US$ 41,00 para um administrador de TI, o teste custará aproximadamente US$
656,00.
• Distribuição. Quando o administrador estiver seguro quanto à estabilidade das novas
definições de vírus, ele as colocará no servidor LiveUpdate da empresa. O LiveUpdate é
uma tecnologia de extração que todos os produtos Symantec utilizam para obter
atualizações. Os administradores podem manter os servidores LiveUpdate na intranet e
colocar as novas definições de vírus nela conforme a necessidade. O software Client
Symantec, assim como o Norton AntiVirus, pode ser programado para obter estas
atualizações com a freqüência que você julgar necessária. Os servidores do LiveUpdate
podem usar praticamente qualquer sistema operacional ou plataforma, contanto que as
plataformas permitam acesso UNC, FTP ou HTTP.
Nós estimamos duas horas para postar as novas definições de vírus no servidor
LiveUpdate – o administrador terá um custo de aproximadamente US$82,00. Depois
que as definições de vírus forem postadas, todas as versões de desktop, servidor e
gateway do Norton AntiVirus podem ser obtidas por download quando apropriado.
Outros custos da atualização de vírus: nenhum. Como o Norton AntiVirus não exige
reinicialização quando as novas definições de vírus são obtidas, nenhum esforço
administrativo adicional é necessário para atualizar todos os produtos Norton AntiVirus
na empresa e o funcionário não precisa aguardar a inicialização.
O custo total de atualizar o Norton AntiVirus nesta situação; portanto, é de US$738,00.
Tarefa
Teste das novas definições de vírus
Implementação de novas definições de vírus
no servidor LiveUpdate
Custo total
Custo
$656,00
$82,00
$738,00
Tabela 2; Custo para atualizar o Norton AntiVirus para combater uma nova ameaça em toda a
empresa.
Sumário
Conforme demonstrado pelo exemplo acima, os custos de atualização para combater
novos vírus ou classes de vírus podem ser 7 a 89 vezes maiores com um produto
antivírus normal do que com os produtos Norton AntiVirus. Isto é um exemplo de como a
tecnologia NAVEX economiza tempo, dinheiro e frustração.
Uma nota especial para os usuários do Microsoft® Office 2000: À medida que seus
usuários ou parceiros comerciais começarem a usar o Microsoft Office 2000 com mais
freqüência, a sua empresa precisará de proteção contra as novas ameaças de vírus. Se
você estiver usando um produto antivírus concorrente e pretende obter uma solução em
linha como fez com o Office 97, pense no seguinte: pelo custo único de trocar para o
Norton AntiVirus, você nunca mais precisará implementar atualizações em linha do seu
software antivírus para se manter protegido contra novas ameaças.
Conclusão
Com novos vírus complexos passando a ser a norma e não a exceção, é mais
importante do que nunca utilizar um produto antivírus que tenha um mecanismo
modular. Esta arquitetura pode poupar horas incontáveis de teste, atualização,
eliminação manual de vírus e chamadas para o suporte.
Fornecedores de produtos antivírus concorrentes oferecem várias soluções paliativas
para combater novas ameaças de vírus até conseguirem colocar em linha sua proteção
antivírus definitiva. No entanto, estas soluções não apresentam uma boa relação custo
benefício e proporcionam níveis variados de proteção antivírus em diferentes áreas da
empresa e, freqüentemente, exigem intervenção manual do usuário final.
Por fim, quando as versões em linha do produto antivírus concorrente finalmente
tornam-se disponíveis, elas exigem longos períodos de teste, distribuição,
reinicialização de estações de trabalho e servidores e suporte ao usuário final.
Sem a tecnologia NAVEX, existem duas opções: pagar bem mais por uma boa proteção
ou permanecer desprotegido.
Com a tecnologia NAVEX incorporada em todos os produtos Norton AntiVirus, toda a
sua empresa pode ser atualizada com rapidez e eficácia para o último nível de proteção
– por uma fração do custo de soluções menos eficazes. Esta é a vantagem da
Symantec.
Sobre a Symantec
Fundada em 1982, a Symantec Corporation é líder mundial em utilitários e software de
comunicação para empresas e usuários finais de PC. Mais de 50 milhões de pessoas
em todo o mundo utilizam os produtos Symantec. E os produtos Symantec ocupam a
posição número 1 ou 2 em todas as categorias de software em que concorrem –
categorias como utilitários e ferramentas de desenvolvimento Java™ e software de
funcionário móvel, que a Symantec criou com suas soluções inovadoras e pioneiras.
A Symantec tem como compromisso oferecer a seus clientes os produtos de software
de melhor qualidade e mais avançados do mercado com um nível superior de serviços e
suporte. Com esta determinação de criar produtos e soluções que maximizem a
produtividade do usuário e minimizem o suporte de TI, a Symantec conta com seus 15
anos de excelência e liderança no mercado para avançar ainda mais.
Apêndice A: Novos tipos de ameaça de vírus
Com que freqüência os vírus de computador realmente exigem a atualização do
mecanismo de verificação dos produtos antivírus? Infelizmente, hoje a resposta é "com
muita freqüência". Esta é uma lista parcial dos novos vírus e classes de vírus que
exigiram mecanismos antivírus fundamentalmente novos, só nos últimos dois anos.
Cada um destes problemas obrigou os concorrentes da Symantec (e seus clientes) a
colocar em linha seu software antivírus para oferecer uma proteção contra vírus
atualizada.
Vírus para Office 97
O lançamento do Microsoft Office 97 incluiu uma mudança na linguagem de macro
básica dos aplicativos do Office. As estratégias de detecção de macro existentes
exigiram pesquisas e engenharia reversa para desvendar os novos formatos de arquivo.
Os vírus deste tipo já correspondem a aproximadamente 5% dos vírus disseminados.
Vírus de Windows com 32 bits
O número de vírus para Windows de 32 bits cresceu significativamente nos últimos 18
meses e muitos desses vírus são vírus polimorfos complexos (auto-mutantes). O
primeiro, o HPS, foi descoberto em maio de 1998 e um vírus polimorfo mais recente
(Win95.Marburg) foi identificado em diversos locais. Embora muitos produtos antivírus
contenham uma excelente tecnologia para detectar vírus polimorfos em DOS, detectar
novos vírus polimorfos de 32 bits para Windows é uma história totalmente diferente –
que exige um mecanismo inteiramente novo.
XF.Paix
O XF no nome Paix significa “fórmula Excel”. Este vírus utiliza um novo tipo de ataque
nas planilhas Microsoft Excel. Os mecanismos de verificação precisam ser reprojetados
para verificar estes arquivos Excel com mais eficácia, especialmente porque o Paix está
se disseminando sem controle. O principal concorrente do Norton AntiVirus levou vários
meses para oferecer produtos em linhas que protegessem todas as plataformas contra
as classe de vírus prevalecentes.
Vírus Remote Explorer
O vírus Remote Explorer com perfil elevado tem a característica rara de compactar e
armazenar o host original nele próprio (usando o algoritmo gzip). O Norton AntiVirus foi
o primeiro produto antivírus a oferecer uma solução integrada para várias plataformas a
este vírus. Quando este artigo foi escrito, a maioria dos concorrentes ainda não possuía
um método de detecção e correção deste vírus para várias plataformas, em produtos
sob demanda e em tempo real.
Vírus para PowerPoint
O primeiro vírus para Microsoft ® PowerPoint ® surgiu em 1998 (PP97M.Master.A).
Logo no princípio, os exemplos destes vírus foram para a lista dos mais agressivos.
Como de costume, uma nova classe de vírus exige uma nova estratégia de detecção.
Vírus para Access
O A97M.AccessiV.A foi descoberto no início de 1998, e é o primeiro vírus a infectar as
macros de Microsoft ® Access ®.
Vírus para Java
O Strange Brew, identificado pela tecnologia Seeker™ Web-Spider da Symantec, foi o
primeiro vírus de Java™ conhecido. Desde a sua descoberta pelo menos dois outros
vírus Java foram desenvolvidos. Novas estratégias de verificação são necessárias para
verificar os arquivos Java com eficácia.
Vírus para Office 2000
A Microsoft lançou um novo pacote de utilitários Microsoft Office em 1999, o que criou
um novo alvo para os vírus, exatamente como ocorreu com o Office 97. As empresas
que usam o Norton AntiVirus não precisarão atualizar para um produto inteiramente
novo para obter proteção contra vírus do Office 2000. Nossas atualizações de definição
de vírus padrão, incluindo o NAVEX, já protegem sua empresa.
ESCRITÓRIOS INTERNACIONAIS
10201 Torre Avenue
Cupertino, CA 95014 EUA
1 (800) 441-7234
1 (541) 334-6054
Site na World Wide Web:
http://www.symantec.com
Austrália (Sydney): +61 3 9850 1000
Austrália (Melbourne): +61 3 9823 6204
Brasil: +55 11 530 8869
Canadá: 1(416) 441-3676
França: +33 1 41 38 5700
Alemanha: +49 n2102 7453 0
Hong Kong +852 2528 6206
Itália: +39 2 69 5521
Irlanda: +353 1 820 5060
Japão: +81 3 3476 1156
Coréia: +82 2 3452 1600
Malásia: +60 3 7567662
México: +52 5 661 7978
Nova Zelândia: +64 9 309 5620
Holanda: +31 71 535 3111
Rússia: +7095 238 3822
Cingapura: +65 239 2000
Suécia: +46 8 457 3400
Suíça: +41 71 626 20 40
África do Sul: +27 11 804 4670
Taiwan: +886 2 729 9506
Reino Unido: +44 1628 592 222
Symantec, o logotipo da Symantec e Norton AntiVirus são marcas registradas nos EUA da Symantec Corporation. LiveUpdate, NAVEX, Seeker e Symantec
AntiVirus Research Center (SARC) são marcas comerciais da Symantec Corporation. Java e todas as marcas baseadas em Java são marcas registradas ou
marcas comerciais da Sun Microsystem, Inc. nos Estados Unidos e outros países. Microsoft, Microsoft Access, Microsoft Excel, Microsoft Word, Microsoft Office,
Microsoft PowerPoint, Windows e Windows NT são marcas comerciais ou registradas da Microsoft Corporation, nos Estados Unidos e em outros países. Outras
marcas e produtos são marcas comerciais de seus respectivos proprietários.
© Copyright © 1999 Symantec Corporation. Todos os direitos reservados. Impresso nos EUA.
4/99 07-71-00992