Probleemstelling: Verantwoording: Anne Westerhof,

Transcriptie

1 Anne Westerhof, Probleemstelling: Hoe goed detecteert huidige antivirus software alle malware op een computer en maakt deze onschadelijk bij correct gebruik van de software? Het antwoord op deze vraag zal een evaluatie zijn van antivirus software. Aangezien het onderzoek uitgevoerd wordt op verschillende specifieke merken antivirus software, zal het dus eigenlijk een evaluatie geven van de verschillende producten op zich, maar aangezien populaire antivirus software wordt gebruikt, geeft het wel een beeld van de huidige situatie wat betreft antivirus software. Daarnaast zullen de resultaten van het onderzoek die tot beantwoording van deze vraag leiden ook gebruikt worden om een toekomstperspectief te geven. Hierbij zal het gaan over hoe antivirus software naar mijn idee verbeterd kan worden. Aan het eind zal ik een informatief artikel opleveren wat in simpele bewoording en in redelijk korte tijd de basis kennis over malware en antivirus softare moet geven, zodat gebruikers in de toekomst allemaal correcte gebruikers kunnen worden. De vraag zelf is een kwalitatieve vraag, omdat er nooit exact te bepalen is hoeveel malware er op een computer staat en hoeveel er is gevonden. Via twee verschillende methoden zal ik zo goed mogelijk de werking van de antivirus software observeren om tot een zo betrouwbaar mogelijk antwoord te komen. Verantwoording: Sinds het ontstaan van computers worden er al virussen geschreven en verspreid. Door de komst van het internet is het voor virusschrijvers alleen maar makkelijker geworden om virussen te verspreiden. In het begin waren dit vooral virussen in de oorspronkelijke definitie van de term, namelijk kleine stukjes programma die zichzelf kunnen verspreiden en aan andere software vast zit. Vaak worden ze gebruikt voor een kwaadaardig doel, zoals het achterhalen van wachtwoorden. Om ons hiertegen te beschermen is er antivirus software ontwikkeld. Tegenwoordig zijn er echter veel meer vormen van kwaadaardige software dan alleen de oorspronkelijke virussen en de vraag is of huidige antivirus software daar nog bescherming tegen biedt. Daarnaast kom ik via mijn werk veel mensen tegen die niet weten hoe zij hun antivirus software correct moeten gebruiken. Het gevolg hiervan is dat er vaak veel meer virussen op hun computers zitten, dan op computers van mensen die wel weten hoe ze met hun antivirus software om moeten gaan. Hierdoor vermoed ik dat ook de manier waarop de antivirus software gebruikt wordt, bijdraagt aan de werking ervan. Omdat ik deze mensen wil helpen om hun computers beter te beschermen wil ik onderzoeken of antivirus software nog wel effectief is tegen alle malware die tegenwoordig verspreid wordt. Omdat de manier van gebruiken dus vermoedelijk invloed heeft op de werking van antivirus software, ga ik alleen kijken in hoeverre de software goed werkt bij correct gebruik (Zie volgende hoofdstuk voor definitie correct gebruik). Tevens zal er een klein onderzoek plaatsvinden of mijn vermoeden klopt dat veel gebruikers niet weten wat de correcte manier van gebruik is.

2 Theoretisch kader: Tot nu toe heb ik het steeds over virussen gehad, maar de vraag is of dit nog een goede benaming is. Virussen worden gedefinieerd als een stuk code dat de mogelijkheid heeft om zichzelf te creëren. Als zo n programma zich eenmaal op een computer bevindt, kan het andere programma s infecteren door er een kopie van zichzelf achter te laten. [1][2] Toch zijn er tegenwoordig vele andere soorten kwaadaardige software die niet dit soort gedrag vertoont. Een keylogger is bijvoorbeeld heel vervelend om op je computer te hebben, maar dat wil nog niet zeggen dat een keylogger zichzelf verspreid. Een betere term voor deze kwaadaardige software is dan ook malware. Een samentrekking van malicious software, kwaadaardige software dus. Hierbij vraag je je misschien gelijk af waarom de software dan nog steeds antivirus software wordt genoemd en of deze software wel voldoende tegen andere soorten malware beschermt. Naast een definitie van malware is het belangrijk te weten wat er onder antivirus software wordt verstaan. Huidige antivirus software is software die een gebruiker op de computer installeert die vervolgens twee hoofdfuncties heeft. De eerste functie is het scannen van bestanden en internet pagina s terwijl ze binnenkomen op de computer en de gebruiker te waarschuwen als hier een virus in zit, of, zoals sommige programma s zeggen, verdacht gedrag vertoont. De tweede hoofdfunctie is het (op verzoek) scannen van de hele computer voor eventuele geïnfecteerde bestanden. Dus, bestanden die een virus in zich hebben. Hierbij wordt er dus gezocht naar infecties die het programma er niet op het moment dat ze binnen kwamen er uit heeft weten te halen [9]. Het uiteindelijke verslag zal een exacte beschrijving bevatten van hoe antivirus software zijn werk doet. Correct gebruik is iets lastiger te definiëren, maar voor dit onderzoek bedoel ik dat de gebruiker weet dat antivirus software regelmatige updates nodig heeft en deze ook uitvoert en dat de gebruiker weet welke optie geselecteerd moet worden bij een viruswaarschuwing of aan het eind van een virusscan. Methode: Het onderzoek zal bestaan uit vijf onderdelen die elk letterlijk vertaald wordt naar een deelvraag en een hoofdstuk in het uiteindelijke verslag. Ik zal per deelvraag aangeven hoe ik het antwoord verwacht te vinden en wat het resultaat is. 1. Welke soorten malware zijn er tegenwoordig? Wat doet elk van deze soorten malware precies? Deze twee vragen zal ik beantwoorden door middel van een literatuuronderzoek. Het zal een beschrijving opleveren van de verschillende soorten malware. Hierbij geef ik aan hoe de malware aan zijn naam komt, de geschiedenis als deze bekend is, hoe de malware werkt en informatie specifiek voor de betreffende soort malware. 2. Hoe werkt antivirus software? Ook hiervoor zal ik een literatuuronderzoek uitvoeren. Aan de hand van informatie op internet en informatie die ik direct aan fabrikanten van antivirus software zal vragen wil ik een beschrijving opleveren van hoe antivirus software werkt. Dus, hoe virussen worden gedetecteerd en wat er daarna mee wordt gedaan. Ook is hier belangrijk in hoeverre de gebruiker wordt betrokken bij de werking van de software.

3 3. Hoeveel procent van antivirus software gebruikers weten hoe je het correct moet gebruiken? Om dit te beantwoorden zal ik een enquête online verspreiden. Hierbij zal ik vragen naar leeftijd en welk merk antivirus software iemand gebruikt. Dit om te zorgen dat ik zo veel mogelijk verschillende mensen vraag, zodat het onderzoek representatief is. Ook zal ik vragen naar wat mensen doen bij een viruswaarschuwing, hoe vaak zij een virusscan uitvoeren en andere vragen die nodig blijken aan de hand van het literatuuronderzoek. Aan elke vraag zal ik punten toekennen. Wanneer iemand dan een minimaal aantal punten heeft gehaald wordt hij/zij gerekend tot de mensen die antivirus software correct gebruiken en zij die dat minimum niet halen, worden wel bij het totaal gerekend, maar niet bij de mensen die de software correct gebruiken, om zo tot een kwantitatief percentage te kunnen komen. Uiteraard zal ook een preciezere analyse van de resultaten volgen, naast het percentage. Om voldoende respons te krijgen wordt de enquête verspreid onder klanten van het bedrijf waar ik werk. Dit zijn mensen die in meer of mindere mate hun computer gebruiken en ook in meer of mindere mate kennis hebben over hun computer. Uiteraard zal niet iedereen van hen de enquête willen invullen, maar doordat ik zo veel mensen aanspreek vermoed ik voldoende respons te krijgen. Zeker omdat de enquête ook via internet zal worden verspreid. 4. Hoe goed detecteert huidige antivirus software alle malware op een computer en maakt deze onschadelijk bij correct gebruik van de software?om dit te kunnen beantwoorden zal ik een onderzoek uitvoeren onder drie verschillende antivirus producten. Twee hiervan zijn betaald, maar zijn dertig dagen gratis te gebruiken, de derde is een veel gebruikte gratis antivirus software. Om aan virussen te komen zal ik op internet rondsurfen over websites die bekend zijn veel malware te bevatten. Welke websites dit precies zijn zal ik met een klein vooronderzoekje uitvinden, bijvoorbeeld door een waarschuwing van mijn eigen antivirus software te negeren wanneer er wordt gezegd bepaalde websites niet te betreden. Als ik eenmaal weet welke websites veel virussen bevatten ga ik een specifieke route volgen over deze websites en deze schrijf ik op. Deze routes kan ik dan iedere keer opnieuw lopen, zodat ik iedere keer voor elke test dezelfde virussen heb verzameld op mijn computer. Om te zorgen dat dit uitgevoerd kan worden zonder werkelijk schade te doen, wordt het onderzoek uitgevoerd op een virtuele Windows computer binnen mijn eigen Apple. Op deze manier kan ik zonder problemen de virussen binnenhalen, maar ook voor elke test weer met een schone installatie beginnen. Hierna zal ik verschillende testen uitvoeren, die uitvoerig worden besproken in de scriptie zelf. In het kort komt het erop neer dat ik eerst via Wireshark de hoeveelheid netwerk verkeer check als een nulpunt. Vervolgens loop ik de route met één van de drie producten actief, omdat dit representatief is voor hoe een gebruiker werkt. Met een vierde tool, puur als controle, voer ik aan het eind een check uit om te zien of er geen virussen zijn binnengekomen en ook via Wireshark zal ik controleren of er geen nieuw netwerkverkeer is bijgekomen. Deze test wordt herhaald voor alle drie de producten. Ook zal ik één ronde doen zonder product actief. Om na de route de scans één voor één te laten draaien en te kijken of alle producten evenveel malware detecteert. Of dat één duidelijk meer vindt dan een andere. Ook door hier aan het eind weer Wireshark te controleren kan ik zien of de scans alles hebben gevonden. 5. Wat zou er in de toekomst moeten veranderen om bescherming te verbeteren? Dit laatste hoofdstuk volgt als conclusie uit de rest van de hoofdstukken. Het antwoord op de onderzoeksvraag zal aangeven hoe goed antivirus software beschermt bij correct gebruik,

4 wat het belangrijkst is, maar hoofdstuk drie zal aangeven hoeveel mensen hun software ook echt correct gebruiken. Aan de hand hiervan kan blijken dat meer mensen hun software correct moeten gaan gebruiken, of dat de software zelf veranderd moet worden. Als de software zelf veranderd moet worden wil ik verbeterpunten geven waarop dit moet. Ook zal ik als bijlage bij dit hoofdstuk een artikel opleveren zoals eerder genoemd, wat mensen kunnen gebruiken om hun computer beter te beveiligen. Planning Wat te doen? Wat levert het op? Wanneer af? Tijdsbesteding (uur) Werkelijke tijd (uur) Onderzoek Onderzoeksplan 25/2/ opzetten Onderzoek Introductie, 11/3/ malware definitie Hoofdstuk 1 Verbeteren Definitief 28/3/ ,5 onderzoeksplan, na extra vooronderzoek onderzoeksplan Onderzoek werking Hoofdstuk 2 28/3/ antivirus software Enquête opstellen, Enquête 4/4/ testen en verspreiden Onderzoek Hoofdstuk 4 9/5/ antivirus software uitvoeren Resultaten enquête Hoofdstuk 3 23/5/ verzamelen en analyseren Resultaten Hoofdstuk 5 6/6/ analyseren Artikel schrijven Artikel over gebruik 20/6/ virusscanners Presentatie Presentatie 21/6/ voorbereiden Verslag afmaken, Bachelorscriptie 27/6/ bijwerken Totaal: 252

5 Literatuur [1]Andy Bisset, 2000, Some human dimensions of computer virus creation and infection, Int. J. Human- Computer Studies, Volume 52 (2000), Pages [2]Harold Thimberly, Stuart Anderson, Paul Cairns, 1998, A framework for Trojans and Viruses, The computer journal, Volume 41 No. 7, Pages [3] Kort resultaat van een commercieel onderzoek naar de werking van antivirus software. Vermoedelijk interessant: [4]K. Vimal Kumar, 2009, Securing communication using function extraction technology for malicious code behavior analysis, Elsevier Computers & Security, Volume 28 (2009), Pages [5]Z. Liu & N. Nakaya & Y. Koui, 2009, The Unknown Computer Virus Detection Based on Similarity, IEICE trans. Fundamentals, Vol. E92-A, No 1 January 2009 [6] Microsoft Security Intelligence Reports [7] GOV cert reports Aangezien het literatuuronderzoek inmiddels bijna is voltooid staat alle literatuur al in de scriptie zelf en lijkt het mij niet nodig hier nog een keer de tot nu toe 34 referenties te noemen.