Phần mềm diệt virus hiện đại không còn chỉ so tệp với danh sách mẫu virus đã biết. Hầu hết kết hợp ba lớp: mẫu nhận dạng (chữ ký) cho mã độc cũ, mô hình học máy chấm điểm tệp mới dựa trên đặc điểm của nó, và lớp theo dõi hành vi để phát hiện chương trình làm những việc nguy hiểm như mã hoá hàng loạt tệp hay tắt cơ chế bảo vệ. Phần "AI" mà quảng cáo hay nhắc tới chủ yếu nằm ở lớp thứ hai và thứ ba.
Nhờ vậy, phần mềm bắt được cả những mã độc vừa ra đời chưa có mẫu. Đổi lại, nó cũng báo nhầm nhiều hơn, và vẫn bất lực trước những kiểu tấn công không dùng mã độc, như lừa bạn tự nhập mật khẩu hay tự chuyển tiền. Bài này giải thích từng lớp hoạt động ra sao, nên giữ những cài đặt nào, và điều gì phần mềm bảo mật không thể làm thay bạn.
Từ mẫu nhận dạng tới học máy
Cách làm truyền thống giống tra vân tay. Mỗi mã độc đã biết được lấy một đặc điểm nhận dạng, gọi là chữ ký, và lưu vào cơ sở dữ liệu. Phần mềm diệt virus quét tệp trên máy, thấy khớp chữ ký thì chặn. Cách này rất chính xác với mã độc đã biết và gần như không báo nhầm, nhưng có điểm yếu rõ: kẻ viết mã độc chỉ cần thay đổi chút ít là vân tay khác đi, và một mã độc hoàn toàn mới thì chưa ai có mẫu.
Học máy giải quyết khoảng trống đó bằng cách học "dáng dấp" chung của mã độc. Mô hình được huấn luyện trên rất nhiều tệp đã biết là sạch hay độc, rồi tự rút ra những đặc điểm hay đi kèm với tệp độc: cách tệp được đóng gói, các chức năng hệ thống nó gọi tới, cấu trúc bên trong. Một tệp mới chưa ai thấy vẫn được chấm điểm, và nếu điểm cao, nó bị chặn hoặc đưa vào khu cách ly.
Hiện nay hai cách tồn tại song song, bổ sung cho nhau. Mẫu nhận dạng xử lý nhanh và chắc phần mã độc cũ, chiếm số lượng lớn. Học máy phủ phần mới. Phía trên cả hai là lớp theo dõi hành vi, bắt những gì lọt qua khi chương trình đã chạy.
Các lớp AI thường có trong phần mềm bảo mật
Chấm điểm tệp trước khi chạy. Tệp vừa tải về được mô hình học máy xem xét đặc điểm tĩnh và cho điểm rủi ro. Việc này diễn ra trong tích tắc, trước khi bạn mở tệp.
Theo dõi hành vi khi chạy. Chương trình đang chạy bỗng mở hàng trăm tệp tài liệu rồi ghi đè nội dung đã mã hoá, xoá các bản sao lưu ẩn của hệ thống, hay cố tắt phần mềm bảo mật. Những chuỗi hành vi đó là dấu hiệu của mã độc tống tiền, và lớp hành vi có thể dừng chương trình giữa chừng, có khi còn khôi phục được những tệp vừa bị đụng.
Danh tiếng từ đám mây. Phần mềm gửi dấu vân tay của tệp, không nhất thiết cả tệp, lên máy chủ của hãng để hỏi: tệp này đã xuất hiện ở bao nhiêu máy, từ bao giờ. Một tệp chạy được mà chỉ xuất hiện trên rất ít máy trên thế giới thường bị nghi nhiều hơn.
Bảo vệ khi duyệt web. Kiểm đường link và trang web bạn mở, chặn trang lừa đảo, trang phát tán mã độc. Lớp này giao với chức năng tương tự đã có sẵn trong nhiều trình duyệt.
Bảo vệ thư mục quan trọng. Một số phần mềm và hệ điều hành cho phép chỉ định thư mục mà chỉ những chương trình tin cậy được ghi vào. Đây là lớp phòng mã độc tống tiền đơn giản mà hiệu quả.
Mỗi lớp mạnh và yếu ở đâu
Không lớp nào đủ một mình. Bảng dưới giúp bạn hiểu vì sao các hãng xếp chồng nhiều lớp:
| Lớp | Bắt tốt | Hay bỏ sót hoặc báo nhầm |
|---|---|---|
| Mẫu nhận dạng | Mã độc cũ, phổ biến | Biến thể mới, mã độc viết riêng |
| Học máy chấm điểm tệp | Mã độc mới có đặc điểm giống họ hàng đã biết | Báo nhầm phần mềm ít người dùng, công cụ nội bộ tự viết |
| Theo dõi hành vi | Mã độc tống tiền, chương trình cố tắt bảo vệ | Phản ứng khi hành vi đã bắt đầu; phần mềm sao lưu hợp lệ đôi khi bị nghi |
| Danh tiếng đám mây | Tệp lạ xuất hiện ở rất ít máy | Cần kết nối mạng; phần mềm chuyên ngành hiếm gặp dễ bị nghi |
| Bảo vệ duyệt web | Trang lừa đã được báo cáo | Trang lừa mới tạo vài giờ, trang đặt trên dịch vụ hợp pháp |
Điều đáng chú ý là cột cuối không có lớp nào xử lý được tình huống bạn tự tay nhập mật khẩu vào một trang giả trông y hệt thật mà chưa ai báo cáo. Đó là phần của thói quen, không phải phần mềm.
Điện thoại: lớp bảo vệ nằm ở đâu
Trên điện thoại, mô hình bảo vệ khác máy tính. Hệ điều hành di động giới hạn chặt việc ứng dụng này đọc dữ liệu của ứng dụng khác, nên một ứng dụng diệt virus bên thứ ba cũng không quét sâu được như trên máy tính. Lớp bảo vệ chính nằm ở kho ứng dụng chính thức, nơi ứng dụng được kiểm trước khi đăng và được quét lại định kỳ, cùng với cơ chế cấp quyền mà bạn duyệt mỗi lần ứng dụng xin.
Phần lớn mã độc trên điện thoại ở Việt Nam đi vào qua đường người dùng tự cài: tệp cài đặt gửi qua tin nhắn, đường link "ứng dụng dịch vụ công" giả, ứng dụng vay tiền ngoài kho. Sau khi cài, chúng xin quyền trợ năng hoặc quyền đọc tin nhắn để điều khiển máy và đọc mã xác thực. Không phần mềm diệt virus nào thay được quyết định "không cài, không cấp quyền" của bạn.
Cẩn thận với chính ứng dụng "diệt virus" được quảng cáo dồn dập, báo máy bạn nhiễm hàng chục virus rồi đòi nâng cấp hoặc đòi quyền rộng. Đây là một kiểu bẫy quen thuộc. Bật lớp bảo vệ sẵn có của kho ứng dụng và cập nhật hệ điều hành thường đã là nền tốt cho đa số người dùng.
Những cài đặt nên giữ bật
Tên gọi và vị trí khác nhau theo từng phần mềm và phiên bản, nên bạn kiểm trong phần cài đặt của sản phẩm đang dùng. Về nguyên lý, nên giữ:
- Bảo vệ thời gian thực. Tắt nó để "máy chạy nhanh hơn" là bỏ đi lớp chấm điểm tệp và theo dõi hành vi.
- Bảo vệ dựa trên đám mây. Giúp nhận ra mối đe doạ mới nhanh hơn. Nếu lo về riêng tư, đọc chính sách của hãng xem họ gửi gì lên: dấu vân tay tệp hay cả tệp.
- Gửi mẫu tệp nghi ngờ. Cân nhắc với máy chứa tài liệu mật: nhiều phần mềm cho chọn "hỏi trước khi gửi".
- Chống mã độc tống tiền hoặc thư mục được bảo vệ. Thêm thư mục tài liệu, ảnh, kế toán vào danh sách bảo vệ.
- Cập nhật tự động. Cả mẫu nhận dạng lẫn mô hình đều được làm mới thường xuyên.
- Chỉ một phần mềm bảo vệ thời gian thực. Cài hai phần mềm cùng chạy dễ xung đột, làm máy chậm và đôi khi vô hiệu hoá lẫn nhau.
Đánh giá một phần mềm bảo mật mà không dựa vào quảng cáo
Chữ "AI" xuất hiện trong gần như mọi quảng cáo phần mềm bảo mật, nên nó không còn giúp bạn phân biệt. Khi cần chọn hoặc xem lại phần mềm đang dùng, đi qua các câu hỏi sau:
- Phần mềm có nhận cập nhật đều đặn không? Mở mục thông tin sản phẩm xem ngày cập nhật gần nhất của mẫu nhận dạng và của chính chương trình. Bản đã lâu không cập nhật gần như mất tác dụng với mối đe doạ mới.
- Kết quả thử nghiệm độc lập gần nhất nói gì? Các phòng thử nghiệm phần mềm bảo mật công bố định kỳ cả tỷ lệ phát hiện lẫn số lần báo nhầm. Đọc cả hai cột, vì sản phẩm phát hiện cao mà báo nhầm nhiều sẽ khiến người dùng tắt nó đi.
- Nó gửi gì lên máy chủ của hãng? Đọc chính sách quyền riêng tư hiện hành: chỉ dấu vân tay tệp, hay cả tệp, hay cả lịch sử duyệt web. Với máy chứa hồ sơ khách hàng, đây là câu hỏi quan trọng.
- Nó có làm máy quá chậm với công việc thật của bạn không? Thử trong vài ngày với phần mềm hằng ngày, không chỉ nhìn số đo của hãng.
- Có kênh báo nhầm và kênh hỗ trợ bằng tiếng Việt hoặc ngôn ngữ bạn dùng được không? Khi phần mềm kế toán bị chặn đúng ngày chốt sổ, kênh này quyết định bạn mất một giờ hay một ngày.
- Gỡ cài đặt có sạch không, có bị giữ lại tiến trình hay quảng cáo không? Phần mềm khó gỡ là dấu hiệu nên cân nhắc lại.
Điều phần mềm diệt virus không làm được
Phần mềm bảo mật bảo vệ máy khỏi chương trình độc hại, nhưng phần lớn thiệt hại tài chính của người dùng thường gặp hiện nay không đến từ mã độc. Một cuộc gọi giả công an thuyết phục bạn chuyển tiền, một tin nhắn giả ngân hàng dẫn tới trang đăng nhập giả mới dựng, một tài khoản mạng xã hội bị chiếm vì dùng chung mật khẩu với một trang đã lộ dữ liệu: không cái nào cần cài thứ gì lên máy bạn.
Vì vậy hãy coi phần mềm diệt virus là một lớp trong nhiều lớp. Các lớp khác gồm cập nhật hệ điều hành và ứng dụng, mật khẩu riêng cho từng tài khoản quan trọng, xác thực hai lớp, sao lưu dữ liệu ra nơi tách rời, và thói quen dừng lại kiểm chứng khi có ai đòi tiền hoặc mã. Phần cài đặt tài khoản được viết riêng ở mục "An toàn tài khoản và điện thoại".
Khi đọc quảng cáo phần mềm bảo mật hứa "AI chặn mọi mối đe doạ", hãy nhớ rằng không hệ thống nào làm được điều đó. Những đánh giá độc lập của các phòng thử nghiệm phần mềm bảo mật cho thấy kết quả khác nhau theo từng kỳ thử; nếu muốn so sánh, hãy đọc kết quả gần nhất thay vì tin vào lời quảng cáo.
Câu hỏi thường gặp
Máy tính đã có trình bảo vệ sẵn của hệ điều hành thì có cần cài thêm phần mềm diệt virus không?
Với nhiều người dùng gia đình, trình bảo vệ tích hợp sẵn, được cập nhật đều và giữ các cài đặt quan trọng bật, đã là nền khá tốt. Cài thêm phần mềm khác là lựa chọn tuỳ nhu cầu; điều cần tránh là chạy song song hai phần mềm bảo vệ thời gian thực.
Phần mềm diệt virus báo nhầm một tệp quen thuộc thì làm sao?
Đừng vội tắt bảo vệ. Kiểm xem tệp đó tải từ nguồn chính thức không, có phải bản mới cập nhật không. Nếu chắc là sạch, thêm ngoại lệ cho riêng tệp đó và báo nhầm với hãng theo kênh họ cung cấp, để mô hình được điều chỉnh.
Phần mềm diệt virus có thấy được nội dung tài liệu của mình không?
Về kỹ thuật, phần mềm cần đọc tệp để quét. Một số tính năng còn gửi tệp nghi ngờ lên đám mây của hãng để phân tích. Hãy đọc chính sách quyền riêng tư hiện hành của sản phẩm và chọn chế độ hỏi trước khi gửi mẫu nếu máy chứa tài liệu mật.
Điện thoại có cần cài ứng dụng diệt virus không?
Với đa số người dùng, quan trọng hơn là chỉ cài ứng dụng từ kho chính thức, bật lớp bảo vệ sẵn có, cập nhật hệ điều hành, và không cấp quyền trợ năng hay đọc tin nhắn cho ứng dụng lạ. Cẩn thận với ứng dụng diệt virus quảng cáo dồn dập, báo nhiễm hàng loạt để đòi tiền hoặc quyền.
Mã độc tống tiền đã mã hoá tệp thì phần mềm diệt virus có giải mã được không?
Thường là không. Lớp theo dõi hành vi có thể dừng quá trình giữa chừng và một số sản phẩm khôi phục được phần tệp vừa bị đụng, nhưng tệp đã mã hoá xong thì cứu chủ yếu bằng bản sao lưu tách rời. Đây là lý do sao lưu quan trọng không kém phần mềm bảo mật.
Phần mềm diệt virus miễn phí có kém hơn bản trả phí không?
Không nhất thiết ở lớp phát hiện cốt lõi; bản trả phí thường thêm tính năng như quản lý mật khẩu, mạng riêng ảo, bảo vệ nhiều thiết bị. Hãy chọn theo nhu cầu thật và đọc kết quả thử nghiệm độc lập gần nhất, không chọn theo quảng cáo.