SONAR (Symantec)

SONAR es la abreviatura de Symantec Online Network for Advanced Response (Red en línea de Symantec para respuesta avanzada). A diferencia de las firmas de virus, SONAR examina el comportamiento de las aplicaciones para decidir si son maliciosas. SONAR se basa en la tecnología que Symantec adquirió a fines de 2005 cuando compró WholeSecurity, un desarrollador de software anti-malware y anti-phishing basado en comportamiento en los Estados Unidos.

Se utiliza un algoritmo para evaluar cientos de atributos relacionados con el software que se ejecuta en un equipo. Se tienen en cuenta varios factores antes de determinar si un programa es malicioso, como por ejemplo si el programa agrega un acceso directo en el escritorio o crea una entrada en Agregar o quitar programas de Windows. Ambos factores indicarían que el programa no es malware. El uso principal de SONAR es mejorar la detección de amenazas de día cero. Symantec afirma que SONAR también puede evitar que los atacantes aprovechen vulnerabilidades de software sin parches.

Ed Kim, director de gestión de productos de Symantec, expresó su confianza en SONAR: "Hemos realizado pruebas exhaustivas sobre amenazas emergentes y detecta amenazas tempranas y variantes de amenazas existentes".

Symantec ya contaba con una herramienta de seguridad de análisis de comportamiento para empresas, conocida como Critical System Protection. SONAR se introdujo para atender al mercado de antivirus para consumidores.

SONAR se ofreció inicialmente como complemento para Norton AntiVirus 2007 y Norton Internet Security 2007; las ediciones anuales posteriores de la línea Norton también incluyeron SONAR.

SONAR 2 forma parte del software antivirus Norton 2010 y Norton 360 v.4. Según la empresa, esta versión aprovecha los datos de más fuentes, incluidos los datos de reputación sobre un programa. Por lo tanto, SONAR 2 puede detectar riesgos de seguridad con mayor precisión que antes.

SONAR 3 se incluye en la versión beta pública de Norton 2011. Está disponible para los clientes de Norton 2010 con suscripciones legítimas a través de actualizaciones, los clientes de Norton 2011 y los usuarios de la versión beta pública de Norton 360 v.5. Según la empresa, SONAR 3 está optimizado para detectar mejor el software antivirus falso y está mejor integrado con el componente de red. Aconsejan: "En SONAR 3 hemos mejorado aún más nuestra integración con el componente de red para clasificar, condenar y remediar el malware en función de su actividad maliciosa en la red. Con esta función en funcionamiento, seguiremos bloqueando y eliminando muchas nuevas variantes de malware que dejan su huella en la red sin cambios". Según Symantec, ahora está supervisando unos 400 aspectos de cada aplicación para determinar si es segura o dañina.

SONAR 4 se presentó con las versiones BETA de 2012. Según una publicación del blog de Norton Protection en la comunidad Norton, titulada "Novedades de Norton Internet Security 2012":

"Con 2012 estamos introduciendo SONAR Policy Enforcement – Ahora tenemos la capacidad de condenar un proceso sospechoso basado en un “profile” conductual. Para crear estos perfiles, un analista analiza los atributos 500+ que SONAR rastrea y hace una serie de asociaciones. Por ejemplo, digamos que un proceso particular intentó acceder a la carpeta del sistema y trató de llamar a casa, pero no tiene ninguna interfaz de usuario en ejecución. Además, descargaba más de 15 archivos el día anterior. Cualquiera de estas cosas solo puede no ser “malo” pero tomado como un todo, el perfil conductual es malo. Por lo tanto, el analista hará una regla que dice que si vemos esta cadena de comportamientos, entonces debemos detener el proceso de ejecutar. Hacer todo esto es una gran cosa — no sólo estamos mirando lo que el proceso hace en su computadora, también estamos viendo sus características de comunicación! Sonar 4.0 también introduce protección contra las amenazas de no proceso (TNP). Como sugiere el nombre, estas amenazas no son procesos activos por sí mismas, sino que se inyectan en procesos activos legítimos. La tecnología SONAR 4.0 es capaz de eliminar mucho más agresivamente las amenazas en las máquinas preinfectadas."