Cómo se fabrican los productos de seguridad: una discusión con Bitdefender

Uno de los temas de interés de 7 Tutoriales^{(7 Tutorials)} es la seguridad. No solo escribimos artículos y tutoriales sobre cómo tener una experiencia informática^{(computing experience)} segura, sino que también revisamos los productos de seguridad con regularidad. Una de las cosas sobre las que queríamos aprender más es cómo se fabrican los productos de seguridad: ¿cuáles son los pasos involucrados? los retos más importantes? etc. Por suerte^(Luck) , tuvimos la oportunidad de reunirnos con Alexandru Constantinescu , gerente^{(Social Media Manager)} de redes sociales de Bitdefender , quien inmediatamente dijo: «¡Oye! ¿Por qué no nos visitas y aprendes más de nuestro equipo? Aceptamos la invitación y hoy dia^{(invite and today)}podemos compartir con usted una extensa discusión sobre cómo se fabrican los productos de seguridad».

Nuestros socios de discusión

BitDefender es una empresa de seguridad^{(security company)} que no debería requerir mucha presentación. O al menos no para nuestros lectores. Son la empresa de seguridad^{(security company)} líder en Rumania^(Romania) y desarrollan productos de seguridad que recibieron muchos elogios y reconocimiento^{(praise and appreciation)} . Sus productos aparecen constantemente en listas con las mejores soluciones de seguridad.

Fuimos a la sede de BitDefender^{(BitDefender headquarters)} en Bucarest^(Bucharest) y tuvimos una larga conversación con Cătălin Coșoi , investigadora principal de seguridad^{(Security Researcher)} (en la imagen de arriba) y Alexandru Bălan , gerente^{(Product Manager)} sénior de productos . Ambos son personas muy conocedoras y amigables, con quienes disfrutamos tener esta conversación.

Cómo se fabrican los productos de seguridad

No perdimos mucho tiempo en presentaciones e inmediatamente comenzamos nuestra conversación.

¿Cuáles son las etapas por las que pasa al desarrollar una nueva versión de un producto de seguridad, como Internet Security Suite?^{(What are the stages you go through, while developing a new version of a security product, such as an Internet Security Suite?)}

El enfoque no es realmente diferente de su típico proyecto de desarrollo de software^{(software development project)} . Digamos que acabamos de lanzar la versión 2012 de nuestros productos. Tan pronto como termine el lanzamiento, comenzamos a trabajar en la versión 2013. Primero^(First) , decidimos el conjunto de características y cambios que se introducirán en esta próxima versión.

Con el fin de identificar las características que tendrán un gran impacto para la próxima versión, tenemos conversaciones con varios públicos: revisores, expertos en seguridad, expertos técnicos y usuarios que pueden brindarnos información sobre lo que funciona, lo que no funciona y lo que podría funcionar bien en la próxima versión. Además de eso, nuestro propio equipo técnico brinda información basada en su experiencia y visión^{(expertise and vision)} de hacia dónde les gustaría llevar el producto. También hacemos un análisis de mercado^{(market analysis)} para comprender mejor la(s) dirección(es) hacia donde se dirigen otras empresas. Con base en todas estas entradas, hacemos una llamada sobre lo que se incluye en la próxima versión y lo que no.

Luego, tenemos la etapa de desarrollo^{(development stage)} , con varias fases de prueba incluidas. Primero^(First) , tenemos una vista previa interna cuando probamos nuestro software pre-beta. A continuación, tenemos varias etapas beta:

Una versión beta^{(beta –)} interna : al igual que la vista previa interna, pero con una audiencia un poco más grande que prueba el producto;

Una beta privada:^{(beta –)} en la que elegimos un círculo cerrado de usuarios externos a la empresa para probar el producto. Involucramos a unos pocos miles de usuarios y elegimos personas cuyos comentarios consideramos útiles. Incluimos usuarios conocedores, personas con las que tuvimos una colaboración más larga, expertos técnicos cuya opinión valoramos, etc.;

Una versión beta pública:^{(beta –)} tiene lugar de 2^{(place 2)} a 3 meses antes del lanzamiento real. En este momento, cualquier persona interesada puede recoger el producto, probarlo y dar su opinión.

Durante las etapas beta, ajustamos el producto de forma continua y, justo antes del lanzamiento, tenemos una pequeña ventana de tiempo para hacer los toques finales. Luego se lleva a cabo el lanzamiento, donde los equipos de marketing, relaciones públicas, ventas y otros están involucrados en generar el entusiasmo requerido, mientras que el equipo de desarrollo^{(development team)} maneja cualquier problema que pueda surgir.

De hecho, no suena diferente de otros proyectos de desarrollo de software. Sin embargo, ¿existen desafíos específicos para este nicho de desarrollo de software de seguridad?^{(Indeed, it doesn’t sound different from other software development projects. However, are there any challenges specific to this niche of developing security software?)}

Esa tendría que ser la necesidad de agilidad en el verdadero sentido de la palabra. Es clave para nuestro nicho, más que en cualquier otra línea de desarrollo de software^{(software development)} . Para proteger las computadoras, redes y dispositivos de nuestros clientes, debemos ser muy rápidos en responder a las nuevas amenazas. Por lo general, no aparecen muchos tipos nuevos de amenazas en un día. La mayoría de los programas maliciosos son simplemente una evolución de los programas maliciosos más antiguos y, en general, nos resulta fácil lidiar con ellos. Sin embargo, cuando surge algo verdaderamente nuevo, debemos actuar muy rápido. En solo unas pocas horas, debe entregar al menos una actualización de sus definiciones o heurísticas que mantendrán seguros a sus clientes.

Es aún más difícil cuando, para responder a una nueva amenaza, no basta con actualizar nuestras definiciones y debemos desarrollar una nueva característica en nuestro producto. Esto afecta no solo a los productos que utilizan actualmente nuestros clientes, sino también a los nuevos productos que estamos desarrollando.

Tomemos por ejemplo Facebook . A medida que creció en popularidad, se convirtió en una herramienta frecuente para distribuir spam y malware^{(spam and malware)} . Como era de esperar, siempre vigilamos esta red social y monitoreamos los enlaces de malware que se propagan a través de ella y los incluimos en nuestra base de datos en la nube. Sin embargo, sentimos la necesidad de desarrollar una nueva herramienta que se ocupe mejor del malware en Facebook . Así es como creamos el concepto de BitDefender SafeGo (un producto revisado también en 7 Tutoriales^{(7 Tutorials)} ). En otoño de 2010 lanzamos la primera versión de este producto y más tarde se convirtió en una parte integral de nuestros productos de seguridad, como BitDefender Internet Security Suite 2012 .

De hecho, un gran ejemplo. Hablando de BitDefender SafeGo, ¿pretende mantenerlo disponible también como un producto gratuito para clientes que no pagan, como lo está hoy?^{(Indeed, a great example. Speaking of BitDefender SafeGo – do you intend to keep it available also as a free product for non-paying customers, as is today?)}

Sí, este producto estará disponible tanto en nuestros productos de seguridad comerciales como en una aplicación gratuita de Facebook y Twitter^{(Facebook and Twitter app)} . Eso es porque los problemas de seguridad en Facebook seguirán existiendo y propagándose. Este producto nos ayuda a identificar malware más rápido y a proteger tanto a nuestros clientes que pagan como a los que no pagan. Además, creemos que hacer que esta herramienta esté disponible de forma gratuita ayuda a dar a conocer BitDefender a los clientes que quizás no hayan oído hablar de nosotros. Si les gusta BitDefender SafeGo , tenemos más posibilidades de que consideren otros productos de seguridad que desarrollamos.

¿Algún otro ejemplo de cuándo se necesita una gran agilidad?^{(Any other examples of when great agility is needed?)}

Otra cosa por la que hacemos todo lo posible es tratar de detectar oportunidades para satisfacer otros tipos de necesidades de seguridad que tienen las personas, no solo su detección y protección antivirus^{(virus detection and protection)} estándar . Por ejemplo, si recuerda la controversia sobre Carrier IQ , una pieza de software instalada por muchos proveedores de dispositivos móviles, que registraba información como la ubicación sin notificar a los usuarios o permitirles optar por no participar. A pesar de que esto no era una pieza de malware y su operador de telefonía móvil^{(mobile carrier)} lo preinstaló en su teléfono , muchas personas querían saber si lo tenían instalado en sus teléfonos o no. Cuando nos enteramos, era un sábado^(Saturday) . Un miembro de nuestro equipo fue a la oficina, pasó alrededor de 3 a 4 horas y desarrolló un producto gratuito desde cero, para^(Android)Usuarios de Android . Se llama Bitdefender Carrier IQ Finder y permitió a los usuarios de Android saber rápidamente si están siendo rastreados o no.

Hablemos un poco sobre la computación en la nube. Lo vemos utilizado cada vez más en productos de seguridad. Algunos proveedores incluso ofrecen solo seguridad basada en la nube en sus productos. ¿Qué opinas sobre este enfoque?^{(Let’s talk a bit about cloud computing. We see it used more and more in security products. Some vendors even offer only cloud-based security in their products. What do you think about this approach?)}

La computación en la nube^(Cloud) definitivamente tiene un papel importante en el espacio de las soluciones de seguridad. Sin embargo, creemos que un enfoque híbrido que utiliza tanto bases de datos de definición como la nube ofrece los mejores resultados. Cuando solo se utiliza la nube, depende de la conexión a Internet^{(Internet connection)} . Si eso desaparece, el sistema permanece desprotegido. Tener una combinación de definiciones de malware y la nube ofrece mejores resultados en la mayoría de los escenarios informáticos.

¿Planea utilizar aún más la computación en la nube en el futuro? ¿Tal vez incluso adoptar el mismo enfoque de solo nube?^{(Do you plan to use cloud computing even more in the future? Maybe even take the same cloud-only approach?)}

Realmente no. Creemos en el uso de aquellas tecnologías que mejor se adapten al propósito. Por ejemplo, si queremos proteger el navegador web de un usuario, entonces usamos solo la nube. Los sitios web maliciosos son los mismos, indiferentes a los sistemas operativos y navegadores que las personas usan para acceder a ellos. Asimismo, si no hay acceso a Internet^{(Internet access)} , el usuario no puede navegar por la web. Por lo tanto, no hay problema si la protección en la nube^{(cloud protection)} tampoco está disponible.

Para el antivirus creemos que lo mejor es utilizar tanto las definiciones clásicas como la nube. Las definiciones ayudan a brindar protección cuando la nube no está disponible debido a una interrupción de la conexión a Internet^{(Internet connection)} . Además, hacen que el análisis de comportamiento de archivos y aplicaciones se ejecute más rápido que cuando se intenta usar la nube para el mismo propósito. Cuando nuestro software realiza cualquier tipo de análisis de comportamiento y acción^{(action analysis)} , las definiciones brindan más velocidad que la nube.

Cuéntenos un poco más sobre las tecnologías que utiliza BitDefender para proteger un sistema.^{(Tell us a bit more about the technologies BitDefender uses to protect a system.)}

En general, en los productos de BitDefender existen tres tecnologías principales que se utilizan para proteger los sistemas:

Comportarse^(Behave) : esto monitorea y aprende el comportamiento general de sus aplicaciones;

Active Virus Control : monitorea las acciones realizadas por una aplicación y bloquea^{(application and blocks)} aquellas que son sospechosas o mal intencionadas.

Nube^(Cloud) : recopila información de muchas fuentes sobre malware y se actualiza continuamente. Los datos de la nube son utilizados por casi todos los módulos de protección incluidos en nuestros productos.

¿Cuáles son sus fuentes para encontrar y aprender sobre nuevas formas de malware?^{(What are your sources for finding and learning about new forms of malware?)}

Tenemos muchas fuentes para aprender sobre nuevos virus y malware en general:

tarros de miel;

BitDefender SafeGo , con soporte para Facebook y Twitter^{(Facebook & Twitter)} ;

Los datos enviados^{(data sent)} desde las computadoras de nuestros clientes sobre infecciones y actividades sospechosas;

Nuestra colaboración con otros proveedores de seguridad;

Bases de datos públicas de malware.

Mieleros. Eso suena interesante. Cuéntanos un poco más sobre ellos. ¿Qué son exactamente?^{(Honeypots. That sounds interesting. Tell us a bit more about them. What exactly are they?)}

Los Honeypots^(Honeypots) son sistemas que distribuimos a través de nuestra red, que actúan como víctimas. Su función es parecer objetivos vulnerables, que tienen datos valiosos sobre ellos. Supervisamos estos honeypots de forma continua y recopilamos todo tipo de malware e información^{(malware and information)} sobre las actividades de los black hat.

Otra cosa que hacemos es transmitir direcciones de correo electrónico falsas que los spammers recopilan automáticamente de Internet . Luego, utilizan estas direcciones para distribuir spam, malware o correos electrónicos de phishing. Recopilamos todos los mensajes que recibimos en estas direcciones, los analizamos y extraemos los datos necesarios para actualizar nuestros productos y mantener a nuestros usuarios seguros y libres de spam.

Supongamos que acaba de identificar una nueva pieza de malware. Qué haces con eso? ¿Cómo averigua qué hace y cuál es la mejor manera de desinfectar un sistema?^{(Let’s assume you just identified a new piece of malware. What do you do with it? How do you find out what it does and how to best disinfect a system?)}

Al menos inicialmente no estamos tan interesados en saber qué hace esa pieza de malware. Nos interesa saber si su comportamiento es sospechoso o no, si es un virus o no. Esto permite que nuestros productos actúen y hagan cosas como cortar el acceso a la red o poner^{(network or place)} en cuarentena esa pieza de malware.

Todas las nuevas piezas de malware que se identifican se envían automáticamente a nuestro laboratorio de investigación^{(research lab)} en Iaşi . El equipo allí se encarga de deconstruir los virus, comprender lo que hacen y actualizar nuestra base de datos de definiciones con la información adecuada.

Hablando del equipo de investigación, cuéntenos un poco más sobre ellos y su trabajo para «piratear» virus.^{(Speaking of the research team, tell us a bit more about them and their work on «hacking» viruses.)}

Bueno, son un equipo muy especializado que trabaja en un ambiente muy cerrado, desde todas las perspectivas. Por ejemplo, no queremos que los virus en los que trabajan salgan a la luz o se propaguen^{(wild or spread)} en nuestra propia red. Todos ellos son expertos en seguridad expertos en cosas que van desde el cifrado hasta la fluidez con múltiples lenguajes de programación (incluido el lenguaje ensamblador^{(Assembly language)} ), el conocimiento de los protocolos de Internet, las técnicas de piratería, etc.

Se encargan de descifrar el código de un virus y actualizar nuestras bases de datos de definiciones con la información adecuada. Sin embargo, antes de ponerse a trabajar en la creación de una actualización de definiciones^{(definition update)} por su cuenta, deben pasar por un largo proceso de capacitación y especialización^{(training and specialization)} que dura 9 meses. No se les permite trabajar con nuestras bases de datos de definiciones por su cuenta hasta que hayan pasado por toda la capacitación requerida y hayan demostrado que saben lo que tienen que hacer.

Además, nos gustaría aclarar una leyenda urbana, si se quiere llamar así: muchos creen que los mejores hackers y creadores de virus son contratados por empresas de seguridad, incluida BitDefender . Al menos en lo que se refiere a nuestra empresa, esto no es cierto. Durante el proceso de contratación^{(hiring process)} , filtramos a todos los candidatos que hayan creado malware o hayan realizado algún tipo de black-hat hacking.

Preferimos que nos acompañen miembros del equipo en los que podamos confiar. Queremos que las personas se unan a nosotros porque disfrutan de un gran desafío de seguridad^{(security challenge)} y no usan sus habilidades e inteligencia con fines egoístas. Todos en nuestro equipo de investigación^{(research team)} pueden al menos crear su propio virus, si no incluso piratear un sistema más complejo. Sin embargo, no lo hacen porque creen que no es lo correcto y no es el uso correcto de sus talentos. Además, nuestra empresa no toleraría este tipo de comportamiento.

¿Con qué frecuencia sus productos buscan nuevas definiciones en sus servidores?^{(How often do your products look for new definitions on your servers?)}

Una vez cada 45 a 60 minutos. Es muy importante para nosotros tener nuevas definiciones lo antes posible. A veces, si una situación determinada lo requiere, también enviamos notificaciones automáticas, para que nuestros productos de seguridad se actualicen de inmediato y no esperen a que se realice la actualización programada. Nos gustaría poder enviar datos tan pronto como aprendamos algo nuevo. Sin embargo, eso no es factible desde una perspectiva técnica y arruinaría la experiencia informática de nuestros usuarios. Es por eso que mantenemos las notificaciones automáticas y las actualizaciones al mínimo y las usamos solo cuando realmente tiene sentido.

¿Colaboras con otras empresas y compartes conocimientos e información sobre las últimas amenazas de seguridad?^{(Do you collaborate with other companies and share knowledge and information about the latest security threats?)}

Sí. Colaboramos con otras 6 empresas, incluidos nuestros socios a los que otorgamos licencia de nuestra tecnología, como F-Secure o G-Data^{(F-Secure or G-Data)} . Sin embargo, no podemos revelar los nombres de las otras empresas.

¿Cuánto invierte en las características más secundarias, que no necesariamente contribuyen a mejorar la seguridad de un sistema? Me refiero a funciones incluidas en su mayoría en Total Security Suites, tales como: Controles Parentales, Copia de Seguridad de Archivos, Sincronización de Archivos, etc.^{(How much do you invest in the more secondary features, that don’t necessarily contribute to enhancing the security of a system? I’m referring to features included mostly in Total Security Suites, such as: Parental Controls, File Backup, File Synchronization, etc.)}

Obviamente, las características clásicas de una suite de seguridad^{(security suite)} , como antivirus, firewall, antispam, etc., son el foco principal del trabajo de nuestro equipo y reciben la mayor parte de los recursos de desarrollo de nuestra empresa. Sin embargo, contamos con equipos dedicados para cada una de las funciones secundarias que ofrecemos en nuestros productos y cuentan con el personal necesario, según la cantidad de trabajo necesario para mantener estos módulos. Puede imaginarse que no necesitamos tanta gente trabajando en Controles Parentales^{(Parental Controls)} como en el motor de protección antivirus^{(antivirus protection engine)} .

BitDefender tiene una línea clásica de productos: BitDefender Antivirus, Internet Security Suite, Total Security Suite y Sphere, que ofrece una licencia para hasta 3 usuarios que pueden usar la suite de seguridad superior que proporcione, en cualquier plataforma que admita, en un número ilimitado de dispositivos. ¿Cuál de estos conceptos es más popular entre sus usuarios? ¿Prefieren las funciones adicionales de una suite de Total Security o los productos de seguridad más clásicos?^{(BitDefender has a classic line-up of products: BitDefender Antivirus, Internet Security Suite, Total Security Suite and Sphere, which offers a license for up to 3 users that can use the top security suite you provide, on any platform you support, on an unlimited number of devices. Which of these concepts is most popular with your users? Do they prefer the added features of a Total Security suite or the more classic security products?)}

BitDefender Internet Security Suite es definitivamente nuestro producto más popular. Hay personas que disfrutan de las funciones adicionales de Total Security Suite , pero son una minoría. Sin embargo, nos sorprendió gratamente el éxito y los comentarios positivos que recibimos sobre nuestro nuevo producto BitDefender Sphere^{(BitDefender Sphere product)} . Parece que muchas personas disfrutan de tener una solución de seguridad^{(security solution)} unificada que pueda proteger sus PC, Mac^(Macs) y teléfonos inteligentes o tabletas basados en Android. Disfrutan mucho de la flexibilidad de comprar solo una licencia asequible más para proteger todos los dispositivos informáticos de sus hogares.

Por último, pero no menos importante, hablemos un poco sobre Windows 8 y su nueva interfaz Metro. ¿Planean ofrecer soluciones de seguridad diseñadas para la nueva interfaz táctil? ¿Proporcionará productos de seguridad separados para tabletas con Windows 8?^{(Last but not least, let’s talk a bit about Windows 8 and its new Metro interface. Do you plan to offer security solutions designed for the new touch interface? Will you provide separate security products for Windows 8 tablets?)}

Definitivamente estamos trabajando para ofrecer algunos productos interesantes para Windows 8 y la nueva interfaz Metro^{(Metro interface)} . El desafío con Metro es que las aplicaciones se ejecutan con restricciones y permisos limitados. No tienen acceso completo al sistema como lo hacen las aplicaciones de escritorio^(Desktop) . Por lo tanto, debemos encontrar formas de sortear eso y brindar una protección efectiva.

Desafortunadamente, no tenemos la libertad de discutir más detalles sobre nuestros planes con productos de seguridad para Windows 8 . Podremos proporcionar más información más cerca^{(information closer)} de la finalización y disponibilidad de Windows 8 .

Conclusión

Como puede ver en esta discusión, desarrollar una buena solución de seguridad^{(security solution)} no es tarea fácil. Implica mucho trabajo, conocimiento de diferentes aspectos de la informática, redes y seguridad^{(networking and security)} . Esperamos que haya encontrado esta conversación interesante^{(conversation interesting)} y útil para aprender más sobre todo el proceso involucrado.

Antes de cerrar este artículo, nos gustaría agradecer a BitDefender por enviarnos esta invitación y darnos la oportunidad de tener una conversación muy interesante con algunos de sus mejores especialistas.

One of the topics of interest at 7 Tutorials is security. Not only we write articles and tutorials about how to have a safe computing experience but we also review security products on a regular basis. One of the things we wanted to learn more about, is how security products are made: what are the steps involved? the most important challenges? etc. Luck has it that we got the chance to meet with Alexandru Constantinescu – Social Media Manager at Bitdefender, who immediately said: «Hey! Why don’t you pay us a visit and learn more from our team? We accepted the invite and today we can share with you an extensive discussion about how security products are made.»

Our Discussion Partners

BitDefender is a security company which should not require much of an introduction. Or at least not to our readers. They are the leading security company in Romania and they develop security products which received lots of praise and appreciation. Their products are constantly showing up in lists with top security solutions.

We went to the BitDefender headquarters in Bucharest and had a lengthy discussion with Cătălin Coșoi – Chief Security Researcher (in the picture above) and Alexandru Bălan – Senior Product Manager. They are both very knowledgeable and friendly people, with whom we enjoyed having this conversation.

How Security Products are Made

We did not waste a lot of time on introductions and we immediately started our conversation.

What are the stages you go through, while developing a new version of a security product, such as an Internet Security Suite?

The approach is not really different from your typical software development project. Let’s say we just launched the 2012 version of our products. As soon as the launch ends, we start working on the 2013 version. First, we decide on the set of features and changes that will be introduced in this next version.

In order to identify the features that will have a great impact for the next version, we have discussions with several audiences: reviewers, security experts, technical experts and users who are able to give us insights on what works, what doesn’t and what could work well in the next version. On top of that, our own technical team gives input based on their expertise and vision of where they would like take the product. We also do a market analysis to better understand the direction(s) where other companies are heading. Based on all these inputs, we make a call on what gets included in the next version and what doesn’t.

Then, we have the development stage, with several test phases included. First, we have an internal preview when we test our pre-beta software. Next, we have several beta stages:

An internal beta – just like the internal preview, but with a slightly bigger audience testing the product;

A private beta – where we choose a closed circle of users from outside the company to test the product. We involve up to a few thousand users and we choose people whose feedback we consider helpful. We include knowledgeable users, people with whom we had a longer collaboration, technical experts whose opinion we value, etc.;

A public beta – it takes place 2 to 3 months prior to the actual launch. At this time, anyone interested can pick up the product, test it and provide feedback.

During the beta stages we fine-tune the product on a continuous basis and, just before launch, we have a small time-window to make the final touches. Then the launch takes place, where marketing, PR, sales and other teams are involved in making the required buzz, while the development team handles any issues that might come up.

Indeed, it doesn’t sound different from other software development projects. However, are there any challenges specific to this niche of developing security software?

That would have to be the need for agility in the truest sense of the word. It is key to our niche, more than in any other line of software development. In order to protect our client’s computers, networks and devices, we must be very fast in responding to new threats. Generally, you don’t have many new types of threats appearing in a day. Most malware is simply an evolution of older malware and we find it generally easy to deal with this. However, when something truly new comes up, we must act very fast. In only a few hours you have to deliver at least an update to your definitions or heuristics that will keep your clients safe.

It is even harder when, in order to answer to a new threat, it is not enough to update our definitions and we must develop a new feature in our product. This impacts not only the products currently used by our customers but also the new products we are developing.

Let’s take for example Facebook. As it grew in popularity, it became a frequent tool for distributing spam and malware. As you would expect, we always had an eye on this social network and monitored the malware links being spread through it and included them in our cloud database. However, we felt the need to develop a new tool that deals with malware on Facebook in a better way. This is how we created the concept for BitDefender SafeGo (a product reviewed also on 7 Tutorials). In the autumn of 2010 we launched the first version of this product and later, it became an integral part of our security products, such as BitDefender Internet Security Suite 2012.

Indeed, a great example. Speaking of BitDefender SafeGo – do you intend to keep it available also as a free product for non-paying customers, as is today?

Yes, this product will be available both in our commercial security products and as a free Facebook and Twitter app. That’s because security problems on Facebook will continue to exist and spread. This product helps us identify malware faster and protect both our paying and non-paying customers. Also, we think that making this tool available for free helps raise awareness about BitDefender to customers who might not have heard about us. If they like BitDefender SafeGo, we have a higher chance of them considering other security products we develop.

Any other examples of when great agility is needed?

Another thing we do our best to do, is try to spot opportunities for meeting other types of security needs people have, not only your standard virus detection and protection. For example, if you remember the controversy about Carrier IQ – a piece of software installed by many mobile vendors, that was logging information such as location without notifying users or allowing them to opt-out. Even though this was not a piece of malware and was preinstalled on your phone by your mobile carrier, many people wanted to know if they had it installed on their phones or not. When we learned about it, it was a Saturday. A member of our team went to the office, spent about 3 to 4 hours and developed a free product from scratch, for Android users. It is called Bitdefender Carrier IQ Finder and it allowed Android users to quickly learn if they are being tracked or not.

Let’s talk a bit about cloud computing. We see it used more and more in security products. Some vendors even offer only cloud-based security in their products. What do you think about this approach?

Cloud computing definitely has an important role in the space of security solutions. However, we believe that a hybrid approach which uses both definition databases and the cloud, delivers the best results. When only the cloud is used, you are dependent on the Internet connection. If that’s gone, the system remains unprotected. Having a mix of malware definitions and the cloud, delivers better results in most computing scenarios.

Do you plan to use cloud computing even more in the future? Maybe even take the same cloud-only approach?

Not really. We believe in using those technologies that best fit the purpose. For example, if we want to protect the web browser of a user, then we use only the cloud. Malicious websites are the same, indifferent of the operating systems and browsers people use to access them. Also, if there is no Internet access, the user cannot browse the web. Therefore, there is no problem if the cloud protection is also unavailable.

For the antivirus we believe it is best to use both classic definitions and the cloud. The definitions help provide protection when the cloud is not available due to an Internet connection drop-out. Also, they make the behavioral analysis of files and applications run faster than when trying to use the cloud for the same purpose. When our software is doing any kind of behavioral and action analysis, the definitions provide more speed than the cloud does.

Tell us a bit more about the technologies BitDefender uses to protect a system.

In general, in BitDefender products there are three main technologies that are used to secure systems:

Behave – this monitors and learns the general behavior of your applications;

Active Virus Control – monitors the actions taken by an application and blocks those which are suspicious or mal-intentioned.

Cloud – gathers information from lots of sources about malware and updates itself continuously. The data from the cloud is used by almost all protection modules included in our products.

What are your sources for finding and learning about new forms of malware?

We have many sources for learning about new viruses and malware in general:

Honeypots;

BitDefender SafeGo, with its support for both Facebook & Twitter;

The data sent from our clients’ computers about infections and suspicious activities;

Our collaboration with other security providers;

Public malware databases.

Honeypots. That sounds interesting. Tell us a bit more about them. What exactly are they?

Honeypots are systems we distributed across our network, that act as victims. Their role is to look like vulnerable targets, which have valuable data on them. We monitor these honeypots continuously and collect all kinds of malware and information about black hat activities.

Another thing we do, is broadcast fake e-mail addresses that are automatically collected by spammers from the Internet. Then, they use these addresses to distribute spam, malware or phishing e-mails. We collect all the messages we receive on these addresses, analyze them and extract the required data to update our products and keep our users secure and spam free.

Let’s assume you just identified a new piece of malware. What do you do with it? How do you find out what it does and how to best disinfect a system?

At least initially we are not that interested in learning what that piece of malware does. We are interested to learn if its behavior is suspicious or not, if it is a virus or not. This allows our products to act and do things such as cut access to the network or place into quarantine that piece of malware.

All the new pieces of malware that are identified get sent automatically to our research lab in Iaşi. The team there takes care of deconstructing the viruses, understanding what they do and updating our definitions database with the appropriate information.

Speaking of the research team, tell us a bit more about them and their work on «hacking» viruses.

Well, they are very specialized team that works in a very closed environment, from all perspectives. For example, we don’t want viruses they work on, to get out in the wild or spread into our own network. All of them are security experts skilled in things that vary from encryption to being fluent with multiple programming languages (including Assembly language), knowledge of internet protocols, hacking techniques, etc.

They are in charge of decrypting the code of a virus and updating our definitions databases with the appropriate information. However, before they get to work on creating a definition update on their own, they must go through a lengthy process of training and specialization that takes 9 months. They are not allowed to work with our definition databases on their own until they have gone through all the required training and have proven that they know what they have to do.

Also, we would like to clarify an urban legend, if you would like to call it that way: many believe that the best hackers and virus makers get hired by security companies, including BitDefender. At least when it comes to our company, this is not true. During the hiring process, we filter out all the candidates who have created malware or have done any kind of black-hat hacking.

We prefer to be joined by team members whom we can trust. We want people to join us because they enjoy a great security challenge and do not use their skills and intelligence for selfish purposes. Everyone in our research team can at least create their own virus if not even hack a more complex system. However, they don’t do it because they believe it is not the right thing to do and not the correct use of their talents. Also, our company would not tolerate this kind of behavior.

How often do your products look for new definitions on your servers?

Once every 45 to 60 minutes. It is very important for us to have new definitions delivered as soon as possible. Sometimes, if a given situation requires it, we also send push notifications, so that our security products update themselves immediately and don’t wait for the scheduled update to take place. We would like to be able to send data as soon as we learn something new. However, that is not feasible from a technical perspective and it would ruin the computing experience of our users. That’s why we keep push notifications and updates to a minimum and use them only when it really makes sense.

Do you collaborate with other companies and share knowledge and information about the latest security threats?

Yes, we do. We collaborate with 6 other companies, including our partners to which we licensed our technology, such as F-Secure or G-Data. However, we cannot disclose the names of the other companies.

How much do you invest in the more secondary features, that don’t necessarily contribute to enhancing the security of a system? I’m referring to features included mostly in Total Security Suites, such as: Parental Controls, File Backup, File Synchronization, etc.

Obviously, the classic features of a security suite such as antivirus, firewall, antispam, etc are the main focus of our team’s work and receive most of our company’s development resources. However, we do have dedicated teams for each of the secondary features we offer in our products and they are staffed as needed, depending on the amount of work required to maintain these modules. You can imagine that we don’t need as many people working on Parental Controls as on the antivirus protection engine.

BitDefender has a classic line-up of products: BitDefender Antivirus, Internet Security Suite, Total Security Suite and Sphere, which offers a license for up to 3 users that can use the top security suite you provide, on any platform you support, on an unlimited number of devices. Which of these concepts is most popular with your users? Do they prefer the added features of a Total Security suite or the more classic security products?

BitDefender Internet Security Suite is definitely our most popular product. There are people who enjoy the added features of a Total Security Suite but they are in minority. However, we’ve been pleasantly surprised by the success and positive feedback we received for our new BitDefender Sphere product. It seems many people enjoy having a unified security solution that can protect their PCs, Macs and Android-based Smartphones or Tablets. They very much enjoy the flexibility of purchasing just one more affordable license to protect all the computing devices in their homes.

Last but not least, let’s talk a bit about Windows 8 and its new Metro interface. Do you plan to offer security solutions designed for the new touch interface? Will you provide separate security products for Windows 8 tablets?

We are definitely working on providing some exciting products for Windows 8 and the new Metro interface. The challenge with Metro is that applications run with restrictions and limited permissions. They don’t have full access to the system as Desktop applications do. Therefore we need to find ways to get around that and provide effective protection.

Unfortunately though, we are not at liberty to discuss more specifics about our plans with security products for Windows 8. We will be able to provide more information closer to Windows 8 being finalized and made available.

Conclusion

As you can see from this discussion, developing a good security solution is no easy task. It involves lots of work, knowledge of different aspects of computing, networking and security. We hope you found this conversation interesting and useful in learning more about the whole process involved.

Before we close this article, we would like to thank BitDefender for sending us this invitation and giving us the opportunity to have a very interesting conversation with some of their best specialists.

Rate this post