Пока сигнатурный анализ ищет известные хеши, современные шифровальщики меняют код каждые 15 минут, что делает вероятность детектирования по базам ниже 20%. Единственным надежным способом остановить атаку в реальном времени остается мониторинг энтропии данных — замер степени их хаотичности.
Математика хаоса: что такое энтропия данных
С точки зрения информатики, энтропия (обычно по Шеннону) измеряет уровень неопределенности или случайности в наборе байтов. Значение варьируется от 0 до 8 бит на байт. Обычный текстовый документ (.docx, .txt) имеет энтропию в диапазоне 3.5–5.0, исполняемые файлы (.exe) — около 5.0–6.5. Однако зашифрованный или сжатый файл стремится к максимально возможному значению — 7.9–8.0.
Практический нюанс: антивирус не сканирует весь диск, а анализирует поток данных, записываемых в файл. Если процесс за 100 миллисекунд меняет структуру файла с энтропией 4.2 на 7.98, система фиксирует аномалию. Экспертный вывод: мониторинг энтропии — это единственный метод, который работает против 0-day угроз, так как он отслеживает следствие (шифрование), а не причину (код вируса).
Механика детектирования в реальном времени
Современные антивирусные алгоритмы используют метод скользящего окна (sliding window). Система анализирует блоки данных по 256 или 512 байт. Если более 80% последовательных блоков показывают резкий скачок энтропии до уровня >7.5, процесс считается вредоносным. Это позволяет остановить атаку, когда зашифровано всего 2-5 файлов, что критически важно для сохранения массива данных.
Кейс: атака шифровальщика типа LockBit. При использовании только сигнатурного анализа потери составляют 100% данных. При включенном анализе энтропии процесс блокируется на стадии обработки первых 10-15 файлов, так как скорость записи зашифрованных блоков (высокая энтропия) мгновенно превышает порог допустимой активности пользователя. Микро-вывод: скорость реакции системы на изменение энтропии должна быть <1 секунды, иначе защита теряет смысл.
Ложноположительные срабатывания и «шум»
Главная проблема метода — высокая корреляция между шифрованием и легитимным сжатием данных. Архиваторы (ZIP, 7z) и видеокодеки также создают потоки с энтропией 7.8–8.0. Чтобы избежать блокировки системных процессов, антивирусы применяют фильтрацию по API-вызовам. Если процесс вызывает функцию WriteFile и одновременно имеет высокую энтропию, но при этом не имеет цифровой подписи доверенного вендора (Microsoft, Adobe), вероятность атаки оценивается в 95%.
Ошибки новичков при настройке EDR-систем часто приводят к блокировке бэкап-софта, который сжимает данные перед отправкой в облако. Это вызывает простой бизнеса до 4-6 часов. Экспертный вывод: анализ энтропии не может работать в вакууме; он должен быть частью комплексного подхода, где используется антивирусная защита от шифровальщиков: системный гид по выбору ПО на основе типов анализа угроз.
Сравнение эффективности методов анализа
Сравнение показывает, что поведенческий анализ (мониторинг API) дает около 60% точности, в то время как связка «Поведение + Энтропия» поднимает эффективность до 92-97%. Разница в стоимости таких решений для бизнеса существенна: базовые антивирусы стоят от $20 до $50 за узел в год, тогда как продвинутые системы с анализом энтропии и EDR-функциями обходятся в $80–150 за узел.
- Сигнатурный анализ: скорость высокая, точность против новых шифровальщиков <15%.
- Песочница: точность высокая, но задержка запуска файла (от 30 сек до 5 мин) делает её бесполезной против уже запущенного процесса.
- Анализ энтропии: скорость мгновенная, точность детектирования процесса шифрования >90%.
Микро-вывод: инвестиции в анализ энтропии окупаются при первой же попытке атаки, так как стоимость восстановления данных из бэкапов (при их наличии) в среднем составляет от 10% до 30% от объема всего массива данных в виде трудозатрат и простоя.
Вывод
Анализ энтропии — это «последний рубеж» обороны. Если вы выбираете защиту для критической инфраструктуры, игнорируйте обещания о «мощных базах сигнатур» и ищите в спецификациях именно мониторинг изменения структуры данных в реальном времени. Рекомендую избегать бесплатных продуктов, так как они редко реализуют глубокий анализ энтропии из-за высокой нагрузки на CPU (до 3-5% дополнительной нагрузки при интенсивной записи). Оптимальный выбор — решения уровня EDR с настроенными белыми списками для архиваторов, чтобы исключить ложные срабатывания при сохранении максимального уровня защиты.