Virus Bulletin PUA – et kærlighedsbrev

Digital sikkerhed

Sene nætter på VB2023 bød på spændende interaktioner mellem sikkerhedseksperter og den noget gådefulde verden af ​​gråvareleverandører

Cameron Camp

Oktober 10 2023  •  , 3 min. Læs

Sen aften på VB2023 er det, når nisserne kommer ud - udformede ansigter af omhyggeligt spillede fans med lokker fremkaldt af industrien potentielt uønsket applikation (PUA) leverandører, sponsorerede og betal-per-klik-applikationsinstallatører og andre download-indtægtsgenererende midler, der danner et økosystem på flere milliarder dollar. Og hvis du undrer dig over, hvad de vil, er det at lokke blokeringen af ​​borderline - virkelig grænseoverskridende - uhyggelig software, som de ønsker, at velrenommerede leverandører af sikkerhedssoftware skal ignorere og stoppe med at blokere. Vi ved det, fordi vi ofte bliver bedt af dem om at gøre det.

Men det ville kunderne hellere have færre PUA'er end flere af dem. ESET-produkter har mulighed for at ikke tillade PUA software. Kunderne har et valg, og det er op til dem at bestemme.

Men tilbage til Novotel-lobbyen sent om aftenen – til sidst bliver kærligheden til had i en bipolar udstilling; tilsyneladende sætter vi nogle gange buler i deres forretningsplaner.

Omkring VB2023 konference er en snert af ad hoc (eller mere organiserede) sammenkomster, der har til formål at legitimere koblingen af ​​pseudo-skyggefulde (men altid angiveligt reformerende) softwareleverandører, desperate efter at forsøge at soft-sælge sikkerhedssoftwareleverandører her, at de virkelig er reformerede, og er derfor på en eller anden måde værdige til at fjerne blokeringen.

For at sælge det, ansætter de "compliance"-personale, typisk dejlige snakkesalige folk, der gerne tilbringer tid under de pulserende lys i baren indtil vej for sent, når vi egentlig burde sove. At gennembløde sælgere i sprut kan have en vis tiltrækning til de mere gæringsmotiverede blandt os, men ikke så meget som at fjerne vores hjerner; men vi har været ved det her et stykke tid, og at advare nye ansatte om disse forsøg på social engineering er en hævdvunden tradition.

ESET er ikke alene i denne henseende, der er masser af andre leverandører af sikkerhedssoftware, der får den samme særlige behandling: Ingen argumenterer for, at smiger (og gæring for nogle) er en fin detalje, men i sidste ende arbejder vi for vores kunder, ikke disse PUA-leverandører eller deres aktionærer. Det er vores kunder, der betaler os, og de gør det for at modtage mindre og mindre hvid støj på deres computerenheder, ikke mere.

For nylig har leverandøren af ​​PUA'er og deres venner, der tjener penge i hele dette økosystem, sværmet for at danne certificeringsorganer, der sigter mod mere præcist at bestemme, hvor langt der er for langt til stadig at blive klassificeret som rent. De tror på, at de ved at oprette certificeringer kan forstærke den velvilje, der bygger CV'er, og at deres tillidsmærke (forhåbentlig) vil signalere (forhåbentlig) til tredjeparter, at de er troværdige. Men disse organisationer plejer ikke at være enige med hinanden længe, ​​endsige med udenforstående, og den bindende lim har en tendens til at opløses, hvilket tvinger dem til at splintre. At hyrde katte kan være lige så svært, som det er ugivende.

Tillid til sikkerhedsindustrien er et langt spil, og et spil, som meget få PUA-tilpassede leverandører har levet længe nok til at spille godt. Det tager tid og en bunke penge at udføre sikkerheden ordentligt, og ikke en lille smule teknisk talent, der er villige til at læne sig ind i det daglige arbejde med den utaknemmeligt ubesungne del af at holde software i gang, endsige sikker.

Efterhånden som indsatsen for at beskytte folks data bliver højere – i lyset af det voksende antal sundhedsjournaler, finansielle transaktioner og dybest set det meste af det, der får vores daglige digitale og fysiske liv til at fungere – så er vigtigheden af ​​at få sikkerhedssoftwaren rigtig, og fejlagtigt på side af forsigtighed. PUA'er og forsigtighed findes ikke ofte i den samme sætning.

Det er meget sent på aftenen nu (jeg skrev dette torsdag aften), og baren skruede endelig ned for den omgivende pulsering af dæmpede techno-melodier (eller er det mit hoved?), da folk begynder at tone ud på hotellets gange for at hvile kort som forberedelse til endnu en (dejlig) konferencedag. Her på Londons VB2023 var det dejligt at se de mennesker, der gør det hårde arbejde med at beskytte det, alle værdsætter, inklusive os selv. Jeg får en sidste vink fra overholdelsespersonalet, mens de forsvinder ned ad gangene. Jeg skal nok se dem igen til næste konference.

Vi vil altid have god og dårlig teknologi, og mange nuancer af grå. Den grå er den svære del.