Od stycznia tego roku NASK jest jednym z partnerów europejskiego projektu WOMBAT (Worldwide Observatory of Malicious Behaviors and Attack Threats - http://www.wombat-project.eu/), zaplanowanego do realizacji na lata 2008 – 2010 w ramach 7. Programu Ramowego Unii Europejskiej. Z ramienia NASK głównym uczestnikiem projektu jest działający w jego strukturach zespół CERT Polska, przy wsparciu Działu Naukowego NASK.
W obliczu masowych zagrożeń pojawiających się w Internecie, brakuje odpowiednio zaawansowanych narzędzi, które pozwoliłyby na lepszą identyfikację i zrozumienie, w kontekście ogólnoświatowym, zjawisk naruszania bezpieczeństwa w Internecie, w szczególności tych skierowanych w sferę ekonomiczną Internetu oraz w jego użytkowników.
Głównym celem projektu WOMBAT jest stworzenie nowych metod analizy powyższych zjawisk, a także identyfikacji źródeł i przyczyn ich występowania. Konieczność zapewnienia poufności i ochrony informacji uniemożliwiała do tej pory wykorzystanie do takich badań szczegółowych danych o zagrożeniach, będących w posiadaniu różnych podmiotów zajmujących się bezpieczeństwem. Brak dostępnych publicznie źródeł informacji powodował, że dotychczasowe, głównie indywidualne badania miały w tym zakresie bardzo ograniczone możliwości.
Przełamanie tej bariery i osiągnięcie celów projektu WOMBAT stanie się możliwe dzięki współpracy wielu podmiotów zaangażowanych w działania monitorujące i zwiększające bezpieczeństwo Internetu, będących w posiadaniu odpowiednich danych oraz systemów monitorujących. Dodatkowo, w ramach projektu powstanie odpowiedni system sensorów do pozyskiwania informacji o nowych atakach i zagrożeniach (łącznie z ich kodem) w sieci Internet.
Ponadto, istotnym etapem będzie stworzenie globalnej bazy informacji o zaobserwowanych zjawiskach i zagrożeniach. Powstanie takiej bazy będzie możliwe dzięki wykorzystaniu wielu różnych źródeł danych, których dostarczą partnerzy i współtwórcy projektu WOMBAT. Wykorzystane zostaną m.in. informacje zarejestrowane przez globalny rozproszony system honeypotów Leurre.com obsługiwany przez instytut Eurecom, dane z największej na świecie kolekcji złośliwego oprogramowania, zgromadzonej przez firmę Hispasec w ramach projektu Virustotal oraz dane, które udostępni zespół CERT Polska, pochodzące z systemu wczesnego ostrzegania ARAKIS (http://www.arakis.pl/) oraz z systemu klienckiego honeypota HoneySpider Network.
Badania projektowe będą w szczególności koncentrować się wokół wypracowania nowych zaawansowanych metod i narzędzi przeprowadzania częściowo zautomatyzowanej analizy danych zgromadzonych w bazie. Opracowane techniki umożliwią wygenerowanie odpowiednich metadanych oraz przeprowadzenie usystematyzowanej charakterystyki zaobserwowanych zagrożeń.
Dzięki różnorodności danych pozyskanych w ramach projektu możliwa będzie ich efektywna analiza, przeprowadzana z różnych perspektyw. Nastepnie uzyskane metadane pozwolą na rozwój technik typu threat intelligence, mających na celu ustalenie wspólnych źródeł i genezy powstania określonych grup ataków (ang. root causes), a także ustalenie wspólnych cech danych grup zagrożeń. To z kolei umożliwi znajdowanie związków pomiędzy nowymi zagrożeniami a wcześniej zaobserwowanymi, pozwalając na szybszą identyfikację odnowionych źródeł oraz przewidywanie nowych.
Realizacja projektu rozpoczęła się na początku stycznia i potrwa do końca 2010 r. Obok NASK w projekcie biorą udział specjaliści ds. bezpieczeństwa z firm takich jak France Telecom R&D czy Hispasec Sistemas oraz instytucji badawczych: Institut Eurecom, FORTH, Politecnico di Milano, Technical University Vienna i Vrije Universiteit Amsterdam, a także inne podmioty zajmujące się badaniem i wdrażaniem rozwiązań bezpieczeństwa informatycznego.
Nowa rozproszona platforma stworzona w ramach projektu wraz z aktualizowanym na bieżąco źródłem informacji może w przyszłości stanowić ogólnoświatowy system wczesnego ostrzegania o atakach i zagrożeniach (np. o pojawieniu się nowej wersji ataku lub złośliwego oprogramowania).
Wyniki projektu WOMBAT będą mogły być wykorzystywane w przyszłości przez specjalistów ds. bezpieczeństwa i naukowców, a także przez dostawców usług internetowych, zespoły reagowania typu CERT, sprzedawców usług i narzędzi bezpieczeństwa, instytucje bankowe, itp. Narzędzie ma być pomocne na etapie wspomagania kluczowych decyzji i inwestycji dotyczących rozwiązań bezpieczeństwa oraz ukierunkowania ich na najbardziej priorytetowe działania, co pozwoli dynamiczniej reagować na zjawiska naruszające bezpieczeństwo Internetu.
źródło: NASK
