inspekcja treści pliku

Inspekcja treści pliku to proces analizy zawartości załącznika w celu wykrycia potencjalnie niebezpiecznych elementów.

Na czym polega inspekcja treści pliku

Inspekcja treści pliku to analiza załącznika pod kątem jego rzeczywistej zawartości, struktury i sposobu działania. Sama nazwa pliku oraz rozszerzenie, na przykład .pdf, .docx albo .jpg, nie wystarczają do oceny bezpieczeństwa. Rozszerzenie można zmienić bez modyfikowania danych, dlatego narzędzie kontrolne porównuje deklarowany typ z sygnaturą pliku, czyli charakterystycznym układem bajtów zapisanym na początku danych. Taka kontrola pozwala wykryć sytuację, w której plik opisany jako obraz jest w rzeczywistości dokumentem wykonywalnym albo archiwum.

Sprawdzana jest również struktura wewnętrzna załącznika. W dokumencie biurowym można wyszukiwać osadzone makra, obiekty OLE, odwołania do zewnętrznych zasobów, nietypowe skrypty oraz elementy powodujące automatyczne wykonanie czynności po otwarciu. W pliku PDF analizuje się między innymi obiekty JavaScript, osadzone pliki, akcje automatyczne i odwołania do adresów internetowych. W przypadku obrazu kontrola może obejmować poprawność formatu, nietypowe segmenty oraz dane dołączone poza oczekiwaną strukturą grafiki.

Sprawdzanie typów, podpisów i zależności

Jednym z etapów inspekcji jest identyfikacja typu MIME oraz porównanie jej z rozszerzeniem i sygnaturą binarną. Format ZIP, wykorzystywany między innymi przez dokumenty Office Open XML, może zawierać wiele katalogów i plików składowych, dlatego kontrola nie kończy się na sprawdzeniu pierwszych bajtów. Analizator może rozpakować strukturę logiczną i sprawdzić jej elementy bez uruchamiania dokumentu. W ten sposób można wykryć makra w pliku obsługującym VBA, osadzone obiekty lub nietypowe relacje między częściami dokumentu.

Plik może być także porównywany z bazą znanych wzorców zagrożeń, reputacją skrótu kryptograficznego albo regułami opisującymi podejrzane konstrukcje. Skrót, na przykład obliczony algorytmem SHA-256, służy do jednoznacznego opisania konkretnej wersji danych, ale nie dowodzi samodzielnie, że plik jest bezpieczny. Zmiana jednego bajtu tworzy inny skrót, a nowy wariant szkodliwego pliku może nie występować jeszcze w bazie. Dlatego analiza sygnaturowa jest uzupełniana regułami heurystycznymi, które oceniają cechy pliku, takie jak nietypowe kodowanie, nadmiarowe dane, zaciemnione skrypty lub podejrzane polecenia.

Archiwa, makra i elementy wykonywalne

Szczególnej uwagi wymagają archiwa, ponieważ jeden załącznik może zawierać kolejne pliki, następne archiwa albo odwołania do danych pobieranych dopiero po otwarciu. Inspekcja może obejmować rekursywne rozpakowanie do ustalonego poziomu, sprawdzenie nazw plików, typów danych oraz rozmiarów po dekompresji. Istotnym problemem jest tak zwana bomba dekompresyjna, czyli mały plik skompresowany do rozmiaru wielokrotnie większego po rozpakowaniu. Bez limitów czasu, liczby elementów i zajętości pamięci analiza może doprowadzić do przeciążenia komputera.

Niebezpieczny załącznik nie musi być klasycznym programem z rozszerzeniem .exe. Ryzyko mogą powodować dokumenty z aktywnymi makrami, skrypty powłoki, pliki JavaScript, skróty systemowe, biblioteki DLL oraz dokumenty wykorzystujące podatność w programie obsługującym dany format. Z tego powodu bezpieczna inspekcja powinna odbywać się bez uruchamiania zawartości w głównym systemie. W bardziej rozbudowanych rozwiązaniach stosuje się analizę statyczną oraz piaskownicę, czyli odizolowane środowisko, w którym obserwuje się tworzenie procesów, zapis plików, modyfikacje rejestru i połączenia sieciowe.

Ograniczenia analizy i postępowanie z wykryciem

Wynik inspekcji wymaga interpretacji. Komunikat o wykryciu zagrożenia może oznaczać rozpoznaną rodzinę złośliwego oprogramowania, podejrzaną cechę struktury albo naruszenie reguły dotyczącej dozwolonych typów załączników. Możliwe są także fałszywe alarmy, na przykład gdy legalny dokument zawiera makro lub osadzony obiekt używany w pracy biurowej. Z drugiej strony brak alarmu nie stanowi matematycznego dowodu bezpieczeństwa, ponieważ analiza może nie rozpoznać nowego wariantu, zaszyfrowanej zawartości albo kodu uruchamianego dopiero przez podatny program.

Przy podejrzanym pliku nie należy otwierać go wielokrotnie w zwykłym środowisku ani wyłączać ochrony antywirusowej w celu sprawdzenia zawartości. Warto zachować oryginalny załącznik bez zmiany nazwy, zanotować źródło jego otrzymania oraz wykonać analizę na aktualnym systemie z użyciem izolacji. Jeżeli inspekcja jest związana z problemem laptopa lub komputera PC, Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów stacjonarnych i ich podzespołów, w tym diagnostyką przyczyn nietypowego działania systemu po kontakcie z podejrzanym plikiem.