L’analyse à la volée est la nouvelle arme des éditeurs d’antivirus

Philippe Richard

01net.

le 15/09/2008 à 17h55

1 réaction

envoyer
par mail

imprimer
l'article

Une vingtaine d’années après l’apparition des premiers virus, les éditeurs tentent toujours de trouver une parade efficace. Dernière en date : le “ cloud computing ”, c'est-à-dire l'externalisation des services informatiques vers les data centers de prestataires.

Le cloud computing va plus loin que les services infogérés, qui filtrent principalement les flux (connexions à Internet et messageries) des entreprises. Dans le cas du cloud computing, l’analyse de tout le contenu d’un ordinateur et des connexions se font en temps réel et sur des serveurs distants, sur lesquels est installé l’antivirus.

Selon les fournisseurs de ce type de services, un code malveillant serait repéré avant d’avoir eu le temps d’infecter la machine et avant même que l’éditeur n’ait produit un antidote. Dès qu’un fichier est ouvert, une petite application installée sur le PC repère les lignes de code suspectes et vérifie si elles sont répertoriées dans la base de signatures virales de l’éditeur. Si celle-ci ne contient pas l'“ empreinte ” du fichier, celui-ci est mis en quarantaine, à moins qu'il ne soit autorisé par l’utilisateur.

C’est ce que propose McAfee avec Artemis, un service gratuit intégré à McAfee Total Protection Service pour PME (disponible ensuite pour McAfee VirusScan Enterprise et pour les produits grand public). Selon Jeff Green, le vice-président de McAfee Avert Labs, “ c’est le premier système de défense qui fonctionne à la vitesse d’Internet et qui assure une protection inégalée ”. Trend Micro propose un service similaire.

Ce nouveau concept pourrait s’adresser aussi aux particuliers. Trois chercheurs de l’université du Michigan travaillent au développement de CloudAV, qui a pour fonction d'analyser les fichiers avec plusieurs moteurs d’antivirus. Toutefois, cette application présente des limites, selon les experts.

Risques et fausses alarmes

Premièrement, “ ce canal de communication fonctionnant en permanence, il peut être plus facilement infecté ou attaqué. Un pirate peut bloquer ou ralentir l’activité du serveur en lui demandant de scanner en même temps tous les ordinateurs d’un botnet infectés de milliers de virus, par exemple ”, signale Eric Filiol, directeur du laboratoire de virologie et de cryptologie opérationnelles de l'Ecole supérieure d'informatique, d'électronique et d'automatique (Esiea).

Face à une telle demande, les ordinateurs des clients de McAfee ou de Trend Micro seraient alors dépourvus de protection. Il faut noter que la vulnérabilité du canal de communication n’est pas propre à cet antivirus en ligne. Tous les services fondés sur le cloud computing présentent le même risque.

Deuxième limite : les fausses alarmes. Le serveur pourrait considérer des fichiers anodins ou des programmes de Windows comme suspects. C’est ce qui s’est produit il y a quelques jours avec les mises à jour de l'antivirus de Trend Micro.

Enfin, le cloud computing n’apporte pas de nouvelle solution face aux codes malveillants de plus en plus sophistiqués. “ En ce moment, la menace qui nous pose le plus de difficultés vient des chevaux de Troie qui sont à la base des botnets. Ils sont modifiés toutes les deux, trois heures, ce qui rend impossible la comparaison de fichiers suspects ”, indique Boris Sharov, PDG de l’éditeur de sécurité Doctor Web.