Ren filmetadatautbyte gör det enkelt att separera skadlig programvara från säkra filer

Det finns många fantastiska antivirusprodukter där ute, men ibland missar de märket. Att se hur mycket skadlig program ett säkerhetsprogram fångar är ett sätt att utvärdera det, men det registreras också antalet falska positiver. Ett falskt positivt är när antivirus felaktigt rapporterar ett säkert och legitimt program som farligt skadligt program. Det är irriterande för användare som försöker komma åt pålitliga program men ännu värre för skaparna av den otillbörligt demoniserade programvaran. Institutet för elektro- och elektronikingenjörer (IEEE) vill sätta stopp för detta, och PCMags invånare i säkerhetens asketiska Neil Rubenking har fört oss detaljerna i sina planer.

Falska positiva resultat är ofta resultatet av att antivirusprogramvara stöter på ett säkert program som är för nytt för att känna igen. IEEE: s lösning är beroende av tjänsten Clean File Metadata Exchange (CMX). Med CMX kan programförfattare skicka in metadata för nya filer som nya program eller uppdateringar till befintliga program innan de ens släpps. Säkerhetsförsäljare kan sedan komma åt dessa data i realtid för att hålla sig uppdaterade med de senaste legitima filerna och förhindra att deras program flaggar dem som skadlig programvara. CMX är dock inte en databas. Den håller på data i en vecka eller två eftersom den validerar och levererar dem till prenumeranter. Den som checkar in mindre ofta och letar efter äldre data måste dra ett arkiv.

"Systemet från vår sida är mer inriktat på stora programvaruhus", säger professor Igor Muttik, Senior Principal Research Architect vid McAfee, i en intervju med Rubenking. Säljare kan lämna in om de har en klass 3-signatur. "Om de vill bygga rykte, har de nu ett sätt att göra det." Ursprungligen var Microsoft det enda stora företaget som åtog sig CMX. Men när tjänsten fortsätter till domstolspartners innehåller den nu miljoner EXE-poster från grupper som stora säkerhetsföretag, PC-OEM och till och med Steam.

Det betyder inte att mindre tredje parter har tur. Mark Kennedy, Distinguished Engineer of Security Technology and Response hos Symantec, förklarade hur ett företag som Symantec kunde stödja programvara som det tycker är rent. Konsumenterna ser då den åsikten och väljer att lita på den eller inte. CMX använder också SWID-taggar (Software Identification) för att lägga till mer information till tjänsten. Den amerikanska regeringen kräver all programvara som den använder för att presentera SWID-taggar, vilket ger CMX ännu mer data att dra ut som en bonus.

CMX är en del av det större Anti-Malware Support Service (AMSS) initiativet. En annan komponent, det malware-paketidentifierande Taggant System, föreslogs av Kennedy och Muttik för fem år sedan på Black Hat-konferensen. Vissa kritiserar dessa samarbeten som konkurrensbegränsande, men James Wendorf, chef för Cross-Industry och Multiple-stakeholder Collaborations på IEEE, ser det på ett annat sätt.

"Standarder handlar om att föra samman intresserade parter, ofta konkurrenter, för att bekämpa problem. De dåliga killarna samarbetar och delar, så vi behöver ett sätt för de goda killarna att samarbeta som de kan, " sade Wendorf. "Utan att vara konkurrensbegränsande vill vi inte ha dessa problem. Det matchar IEEE: s övergripande mål och syfte, som är att främja teknik till förmån för mänskligheten."