Установка и работа с антивирусом. Установка антивирусного по

Здравствуйте дорогие читатели блога. Защита компьютера от вирусов это уже не просто необходимость.

Это обязательная мера, которая позволит вам уберечь свои данные от порчи и хищения. Первый шаг к защите от вирусов, это знакомство с методами их работы. Чтобы не дай бог не попасться. Об этом я писал в статье — .

Все операции мы будем осуществлять на примере антивируса касперского 2012. Немало воды утекло со времен первой версии этого антивируса. И изначально этот антивирус был мягко говоря далек от идеала.

Касперский очень сильно изменился за последнее время и теперь его по праву можно назвать одним из лучших антивирусов для компьютера. Сегодня мы имеем дело с уже достаточно мощным инструментом в борьбе с компьютерными вирусами. Антивирус всегда был платным, но как и у каждой подобной компании существуют пробные версии которые можно скачать на . Выбираем интересующий пробный продукт и скачиваем его.

Перед тем, как запустить приложение установки, следует выполнить следующее:

Закрываем все окна работающих программ;
Если на компьютере уже имеются установленные несовместимые ПО стороннего изготовителя или аналогичные всевозможные антивирусные программы, закройте их и удалите.

1.1 Обновление баз и настройка антивируса

Любому антивирусу необходимо периодически обновляться. Регулярные обновления позволяют антивирусу отслеживать самые последние версии вирусов.

Чтобы обновить антивирус касперского достаточно открыть главное окно программы и нажать на кнопку обновление.

После обновления необходимо убедится что защита антивируса настроена максимально эффективно. Для этого обратите внимание на значек монитора в главном меню программы. Всего предусмотрены три вида значков.

Антивирусы можно разделить на две большие категории:

Предназначенные для непрерывной работы - к этой категории относятся средства проверки при доступе, почтовые фильтры, системы сканирования проходящего трафика Интернет, другие средства, сканирующие потоки данных

комплексе для рабочей станции, сканер по требованию почтовых ящиков и общих папок в антивирусном комплексе для почтовой системы (в частности, для Microsoft Exchange) Антивирусный комплекс - набор антивирусов, использующих одинаковое антивирусное ядро или ядра, предназначенный для решения практических проблем по обеспечению антивирусной безопасности компьютерных систем. В антивирусный комплекс также в обязательном порядке входят средства обновления антивирусных баз.

Помимо этого антивирусный комплекс дополнительно может включать в себя поведенческие анализаторы и ревизоры изменений, которые вовсе не используют антивирусное ядро.

В качестве вспомогательной утилиты антивирусный комплекс может содержать (и на практике обычно содержит) планировщик заданий.

Исходя из текущей необходимости в средствах защиты выделяют следующие типы антивирусных комплексов:

Антивирусный комплекс для защиты рабочих станций

Антивирусный комплекс для защиты файловых серверов

Антивирусный комплекс для защиты почтовых систем

Антивирусный комплекс для защиты шлюзов Антивирусный комплекс для защиты рабочих станций Предназначен для обеспечения антивирусной защиты рабочей станции, на которой он установлен. Состоит, как и указывалось ранее из средств непрерывной работы и предназначенных для периодического запуска, а также средств обновления антивирусных баз.

К средствам непрерывной работы относятся:

Антивирусный сканер при доступе - антивирусный сканер, осуществляющий проверку файлов, к которым обращается операционная система (напрямую, либо опосредованно через пользователя). Для ускорения процесса работы сканера часто применяется возможность отключения средств эвристического анализа

Антивирусный сканер локальной почтовой системы - антивирусный сканер, предназначенный для автоматической проверки всей входящей и исходящей из системы почтовой корреспонденции до получения ее пользователем/исходящим почтовым сервером. Этот тип сканеров появился сравнительно недавно, его разработка обусловлена тем, что большинство вирусов использует для распространения электронную почту. Выделяют два вида сканеров локальной почтовой системы - использующие и не использующие привязку к почтовому клиенту. Первый тип характеризуется большим числом поддерживаемых почтовых протоколов, однако возможности практического применения сужаются " необходимостью использовать конкретный почтовый клиент. Второй тип, напротив, поддерживает более ограниченный набор протоколов (обычно, SMTP и POP3), однако

Курс лекций по информатике подготовлено к.э.н., доцентом каф. Информационные технологии Польшаковой Н.В.

делает это для любых почтовых клиентов. Возможно использование обоих типов сканеров в рамках одного антивирусного комплекса Средства периодического запуска:

Антивирусный сканер по требованию - антивирусный сканер, осуществляющий проверку файлов по запросу пользователя либо третьей программы (например, планировщика) На практике антивирусный комплекс для рабочей станции зачастую включает еще и поведенческие блокираторы, также относящиеся к средствам непрерывной работы.

Антивирусный комплекс для защиты файловых серверов Предназначен для обеспечения антивирусной защиты сервера, на котором установлен. Указание на файловый сервер в названии является скорее данью истории, корректней будет звучать термин "сетевой". Определение того, насколько нуждается в антивирусной защите сервер, осуществляется не только исходя из его назначения (является сервер файловым, почтовым, либо выполняет другую функцию), но и из используемой на нем платформы. Более того, зачастую именно платформа является определяющей характеристикой при выборе средств защиты сетевого сервера. Речь об этом пойдет ниже.

Исходя из этого, антивирусный комплекс для защиты файловых серверов обычно состоит из двух ярко выраженных представителей средств непрерывного работы и периодического запуска:

Антивирусного сканера при доступе - аналогичен сканеру при доступе для рабочей станции

Антивирусного сканера по требованию - аналогичен сканеру по требованию для рабочей станции, а также средства обновления антивирусных баз. Сканер локальной почтовой системы отсутствует по описанной выше причине.

Антивирусный комплекс для защиты почтовых систем Еще один казус, связанный с общепринятой терминологией. Безусловно, антивирусный комплекс не предназначен для защиты почтовой системы от поражения вирусами, его назначение - препятствовать доставке зараженных сообщений пользователям сети. Как уже указывалось ранее, сегодня одним из главных средств доставки вирусов в локальную сеть является именно электронная почта. Поэтому, при наличии в локальной сети специализированного узла, обрабатывающего входящую и исходящую из сети почтовую корреспонденцию (почтового сервера), логично будет

Курс лекций по информатике подготовлено к.э.н., доцентом каф. Информационные технологии Польшаковой Н.В.

использовать средство централизованной проверки всего почтового потока на наличие вирусов. Тем не менее, термин "для защиты почтовых систем" является устоявшимся и повсеместно применяется при указании практических реализаций этого типа комплексов. Дабы не вводить читателя в противоречие с ежедневно потребляемой информацией, в дальнейшем здесь также будет использоваться приведенное выше название. Аналогичный комментарий, с поправкой на специфику работы, применим и к антивирусным комплексам для защиты шлюзов.

Антивирусный комплекс для защиты почтовых систем, как и другие антивирусные комплексы включает антивирусы обоих типов.

Средства непрерывной работы:

Фильтр почтового потока - осуществляет проверку на наличие вирусов всего принимаемого и отправляемого почтового потока сервера, на котором установлен комплекс

Сканер общих папок (баз данных) - осуществляет проверку на наличие вирусов баз данных и общих папок пользователей в режиме реального времени (в момент обращения к этим папкам или базам). Может составлять единое целое с фильтром почтового потока в зависимости от реализации технологии перехвата сообщений/обращений к папкам и передачи на проверку Средства периодического запуска:

Антивирусный сканер по требованию - осуществляет проверку на наличие вирусов почтовых ящиков пользователей и общих папок в случае использования таковых на почтовом сервере. Проверка осуществляется по требованию администратора антивирусной безопасности либо в фоновом режиме. Если проверка выполняется в фоновом режиме, сканер также относится к средствам периодического запуска, поскольку ничем не отличается от сканера по требованию в комплексе для рабочей станции. Также, антивирусный комплекс для защиты почтовых систем обязательно включает средство обновления антивирусных баз. Дополнительно, для снижения нагрузки на сервер могут выделяться отдельные средства для проверки баз во время репликаций. Такие средства также относятся к средствам периодического запуска. Антивирусный комплекс для защиты шлюзов Антивирусный комплекс для защиты шлюза, как следует из названия, предназначен для проверки на наличие вирусов данных, через этот шлюз передаваемых.

На практике основными каналами доставки вирусов в локальную сеть являются SMTP, HTTP и FTP-потоки, следовательно, антивирусный комплекс для защиты шлюзов преимущественно включает средства непрерывной работы. Антивирусы периодического запуска используются

Курс лекций по информатике подготовлено к.э.н., доцентом каф. Информационные технологии Польшаковой Н.В.

редко, преимущественно для защиты файловой системы сервера, на котором установлен комплекс:

Сканер HTTP-потока - предназначен для проверки данных, передаваемых через шлюз по протоколу HTTP

Сканер FTP-потока - предназначен для проверки данных, передаваемых через шлюз по протоколу FTP. В случае использования FTP over HTTP FTP-запросы будут проверяться сканером HTTP-потока

Сканер SMTP-потока - предназначен для проверки данных, передаваемых через шлюз по SMTP Естественно, как и в предыдущих случаях в комплекс в обязательном порядке входит средство для обновления антивирусных баз.

Комплексная система защиты информации Задача защиты от вредоносных программ одного компьютера, рабочей станции, практически решается весьма просто - в этом случае необходимо регулярно устанавливать заплаты безопасности, выпускаемые производителем (обычно - Microsoft) для операционной системы, установить антивирусный комплекс для защиты рабочей станции и соблюдать общие правила безопасности. Такой подход логичен и оказывается эффективным и в случае двух, трех, и даже десяти станций. Защита сетей, пусть и не очень больших, является существенно более сложной задачей, описанный выше подход не является эффективным. Здесь необходимо учитывать множество дополнительных факторов, речь о которых пойдет далее в этой главе.

При организации защиты сети нужно принимать во внимание:

1. Трудоемкость обслуживания - установка антивирусного комплекса без удаленного управления на каждую из станций сети вынуждает администратора совершать регулярные обходы всех станций с целью проверки актуальности антивирусных баз, отсутствия вирусных инцидентов, наличия заплат безопасности и работоспособности антивирусного комплекса. Произведя банальные расчеты несложно убедиться, что в этом случае один администратор будет способен контролировать небольшое количество узлов сети, таким образом система будет экономически неэффективной.

2. Отказоустойчивость - так или иначе временами сбоит любая система. Система антивирусной защиты, как и любая другая система обеспечения безопасности информации, должна работать непрерывно. Для максимального уменьшения времени неработоспособности системы необходимо будет сократить интервал между обходами описанной выше системы администратором. Но даже и в этом случае без подсистемы оповещения интервал неработоспособности будет достаточно велик для поражения станции вирусом. Более того, сбой может произойти не в самом антивирусном комплексе, а, к примеру, в системе обновления.

Курс лекций по информатике подготовлено к.э.н., доцентом каф. Информационные технологии Польшаковой Н.В.

3. Большая критичность системы - как правило, ценность информации, хранящейся в сети организации выше чем у информации, хранящейся в компьютере домашнего пользователя. Отсюда - повышенные требования к системе антивирусной защиты.

4. Человеческий фактор. Наиболее критичный для системы антивирусной защиты момент. Как и для любой системы безопасности, пользователь должен пассивно участвовать в работе системы антивирусной защиты. Другими словами - не препятствовать, и соблюдать установленные нормы и правила. Основную массу пользователей сети можно разбить на следующие категории в проекции на антивирусную защиту и их отношению к ней:

Не интересующиеся антивирусной защитой - Пользователь некомпетентен в вопросе, не интересуется и не хочет заниматься антивирусной защитой, мешать работе администратора антивирусной защиты не станет. К этой категории относится большинство пользователей. Наилучший с точки зрения обслуживания системы вариант

Интересующиеся антивирусной защитой, однако некомпетентные - Пользователь интересуется антивирусной защитой, считает своим долгом помочь организации, в которой работает. В силу своей некомпетентности иногда способны навредить больше чем пользователи, считающие что антивирусная защита мешает работе

Интересующиеся антивирусной защитой и компетентные - к сожалению, абсолютное меньшинство

Считающие, что антивирусная защита только мешает - Пользователь не интересуется антивирусной защитой и считает, что она мешает его работе. После установки антивирусного комплекса возможны попытки со стороны пользователя остановить его работу либо полностью деинсталлировать. Также возможно большое количество жалоб на существенные замедления в работе после установки антивирусного комплекса. Вообще, если пользователь такой категории знает, что на его рабочей станции установлен антивирусный комплекс - этот комплекс в обязательном порядке будет первопричиной всех проблем, которые у пользователя произойдут в будущем. В общем случае категорию следует разделять на подкатегории в зависимости от уровня подготовки пользователей - на практике от некоторых достаточно спрятать иконку антивируса в системной панели и жалобы и попытки пропадут - пользователь будет не в курсе того, что у него функционирует антивирус

Курс лекций по информатике подготовлено к.э.н., доцентом каф. Информационные технологии Польшаковой Н.В.

Также необходимо упомянуть злоумышленников - пользователей сети. По приведенной выше классификации их можно отнести к наивысшей подкатегории пользователей, считающих, что антивирусная защита мешает. В дополнение к стремлению отключить антивирусную защиту, злоумышленник способен запустить в сеть вредоносную программу при наличии у него соответствующих прав Проектирование системы антивирусной защиты сети предполагает наличие всех перечисленных ранее категорий пользователей. Это еще раз подчеркивает усложнение задачи, стоящей перед проектировщиком системы, а учитывая важность поставленной задачи заставляет говорить о необходимости создания комплексной системы антивирусной защиты.

Комплексная система антивирусной защиты - совокупность организационных, правовых и программно-аппаратных мер и средств, направленных на обеспечение эффективной антивирусной защиты информации в локальной сети. Комплексность системы антивирусной защиты достигается контролем всех информационных потоков протекающих в локальной сети и согласованием между собой разнородных методов и средств, обеспечивающих антивирусную защиту всех элементов локальной сети.

Организационные меры Достижение безопасности информации невозможно без принятия надлежащих организационных мер. С одной стороны, эти меры должны быть направлены на обеспечение правильности и эффективности функционирования КСАЗ и выполняться администратором антивирусной безопасности. С другой стороны, руководство организации должно регламентировать правила автоматизированной обработки информации, включая и правила ее антивирусной защиты, а также установить меру ответственности за нарушение этих правил.

К организационным мерам антивирусной защиты можно отнести организационно-технические и организационно-правовые мероприятия, осуществляемые в процессе создания, внедрения и эксплуатации КСАЗ с целью обеспечения антивирусной защиты информации. Насколько важным являются организационные мероприятия в общем арсенале средств антивирусной защиты, говорит уже хотя бы тот факт, что ни одна автоматизированная система, в особенности система связанная с обеспечением защиты информации не может функционировать без участия обслуживающего персонала. А эффективность выполнения обслуживающим персоналом своих функций зависит не только от его профессиональных качеств, но и от того, насколько правильно и полно регламентированы его действия. Также это зависит от взаимодействия с другими подразделениями, обслуживающими локальную сеть, в штатных и особенно в нештатных ситуациях, которые могут возникать при эксплуатации КСАЗ.

Курс лекций по информатике подготовлено к.э.н., доцентом каф. Информационные технологии Польшаковой Н.В.

Организационными мерами можно бороться и с некоторыми категориями пользователей. К примеру, введение штрафа за несанкционированную деинсталляцию антивирусного комплекса существенно уменьшит количество желающих это сделать.

Иными словами организационные меры играют важную роль как в регламентации работы всей комплексной системы антивирусной защиты, что является обязательным требованием для ее корректного функционирования, так и в воздействии на пользователей КСАЗ.

Правовые меры Помимо внутренних документов, предусматривающих ответственность за халатное отношение к обязанностям либо за умышленный останов антивирусного комплекса, существуют также и общеправовые меры воздействия, предусмотренные Уголовным кодексом РФ.

Глава 28 УК РФ содержит следующие статьи, относящиеся к компьютерным вирусам:

Статья 272. Неправомерный доступ к компьютерной информации. Неправомерный доступ к охраняемой законом компьютерной информации, то есть информации на машинном носителе, в электронно-вычислительной машине (ЭВМ), системе ЭВМ или их сети, если это деяние повлекло уничтожение, блокирование, модификацию либо копирование информации, нарушение работы ЭВМ, системы ЭВМ или их сети, - наказывается штрафом в размере от двухсот до пятисот минимальных размеров оплаты труда или в размере заработной платы или иного дохода осужденного за период от двух до пяти месяцев, либо исправительными работами на срок от шести месяцев до одного года, либо лишением свободы на срок до двух лет. Наказывается штрафом в размере от двухсот до пятисот минимальных размеров оплаты труда или в размере заработной платы или иного дохода осужденного за период от двух до пяти месяцев, либо исправительными работами на срок от шести месяцев до одного года, либо лишением свободы на срок до двух лет. То же деяние, совершенное группой лиц по предварительному сговору или организованной группой либо лицом с использованием своего служебного положения, а равно имеющим доступ к ЭВМ, системе ЭВМ или их сети, - наказывается штрафом в размере от пятисот до восьмисот минимальных размеров оплаты труда или в размере заработной платы или иного дохода осужденного за период от пяти до восьми месяцев, либо исправительными работами на срок от одного года до двух лет, либо арестом на срок от трех до шести месяцев, либо лишением свободы на срок до пяти лет.

Статья 273. Создание, использование и распространение вредоносных программ для ЭВМ. Создание программ для ЭВМ или внесение изменений в существующие программы, заведомо приводящих к несанкционированному уничтожению, блокированию, модификации либо копированию информации, нарушению работы ЭВМ, системы ЭВМ или их сети, а равно использование либо распространение таких программ или машинных носителей с такими

Курс лекций по информатике подготовлено к.э.н., доцентом каф. Информационные технологии Польшаковой Н.В.

программами - наказываются лишением свободы на срок до трех лет со штрафом в размере от двухсот до пятисот минимальных размеров оплаты труда или в размере заработной платы или иного дохода осужденного за период от двух до пяти месяцев. Те же деяния, повлекшие по неосторожности тяжкие последствия, - наказываются лишением свободы на срок от трех до семи лет.

Статья 274. Нарушение правил эксплуатации ЭВМ, системы ЭВМ или их сети. Нарушение правил эксплуатации ЭВМ, системы ЭВМ или их сети лицом, имеющим доступ к ЭВМ, системе ЭВМ или их сети, повлекшее уничтожение, блокирование или модификацию охраняемой законом информации ЭВМ, если это деяние причинило существенный вред, - наказывается лишением права занимать определенные должности или заниматься определенной деятельностью на срок до пяти лет, либо свободы на срок до двух лет. То же деяние, повлекшее по неосторожности тяжкие последствия, - наказывается лишением свободы на срок до четырех лет.

Отдельно, учитывая описанные ранее функции троянов, следует упомянуть и статью 138, посвященную нарушению тайны переписки.

Статья 138. Нарушение тайны переписки, телефонных переговоров, почтовых, телеграфных или иных сообщений. Нарушение тайны переписки, телефонных переговоров, почтовых, телеграфных или иных сообщений граждан - наказывается штрафом в размере от пятидесяти до ста минимальных размеров оплаты труда или в размере заработной платы или иного дохода осужденного за период до одного месяца, либо обязательными работами на срок от ста двадцати до ста восьмидесяти часов, либо исправительными работами на срок до одного года. То же деяние, совершенное лицом с использованием своего служебного положения или специальных технических средств, предназначенных для негласного получения информации, - наказывается штрафом в размере от ста до трехсот минимальных размеров оплаты труда или в размере заработной платы или иного дохода осужденного за период от одного до трех месяцев, либо лишением права занимать определенные должности или заниматься определенной деятельностью на срок от двух до пяти лет, либо арестом на срок от двух до четырех месяцев. Незаконные производство, сбыт или приобретение в целях сбыта специальных технических средств, предназначенных для негласного получения информации, - наказываются штрафом в размере от двухсот до пятисот минимальных размеров оплаты труда или в размере заработной платы или иного дохода осужденного за период от двух до пяти месяцев, либо ограничением свободы на срок до трех лет, либо лишением свободы на срок до трех лет с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до трех лет.

Курс лекций по информатике подготовлено к.э.н., доцентом каф. Информационные технологии Польшаковой Н.В.

Программные средства

Как видно из определения, КСАЗ должна контролировать и осуществлять проверку всех информационных потоков, циркулирующих в локальной сети и представляющих угрозу как потенциальный канал для распространения вирусов.

Следовательно, перед проектированием КСАЗ необходимо произвести анализ сети и циркулирующих в ней информационных потоков, определить защищаемые узлы и узлы, на которые будут установлены антивирусные комплексы.

Каждая сеть устроена по-своему и содержит особенности, однако мы можем говорить здесь о типовой локальной сети, типовых узлах и информационных потоках, которые между этими узлами циркулируют. При проектировании реальных систем к описанным далее компонентам будут добавлены новые, некоторые классы защищаемых узлов будут разделены на подклассы.

Итак, типовая локальная сеть содержит следующие типы узлов:

Рабочие станции

Файловые сервера

Почтовые сервера

Типовая локальная сеть

Курс лекций по информатике подготовлено к.э.н., доцентом каф. Информационные технологии Польшаковой Н.В.

Файловые сервера следует понимать в описанном ранее широком смысле.

Рабочая станция принимает участие в следующих информационных потоках: пользователь имеет интерактивный доступ к ресурсам Интернет (http/ftp протоколы), работает с электронной почтой (smtp/pop/imap протоколы либо протокол передачи данных системы групповой работы), взаимодействует с файловыми серверами (как с файловыми хранилищами, так и с серверами баз данных), а также с другими станциями сети. Поток между станциями в штатном режиме работы сети не должен быть существенным, поскольку вся информация должна храниться на серверах, однако этот поток нельзя исключать по причине его важности для антивирусной защиты. Помимо перечисленных, рабочая станция содержит различные дисководы и возможно подключение к ней сменных носителей - дискет, компакт-дисков, flash-накопителей.

Файловый сервер в общем случае взаимодействует только с другими файловыми серверами и рабочими станциями. Достаточно редко, но также обязательно используются сменные носители.

Почтовый сервер принимает и отсылает напрямую либо через шлюз корреспонденцию (smtp-протокол), а также передает доставленные письма клиентам (pop/imap/другой протокол).

Наконец, через шлюз проходят запросы пользователей к внешним ресурсам при работе с Интернет (http/ftp) и почтовый поток к и от почтового сервера (smtp).

Схема потоков приведена на рис. 4.2. Для описанной выше типовой локальной сети, структурно КСАЗ можно разделить на следующие уровни:

Уровень защиты рабочих станций и файловых серверов

Уровень защиты почтовых серверов Уровень защиты шлюзов Каждый из уровней организуется при помощи описанных антивирусных комплексов. Дополнительные требования налагаются на комплекс для защиты рабочих станций и файловых серверов. Учитывая большое количество узлов таких типов и трудозатраты на обслуживание одного узла, а также в целях экономии Интернет-канала, комплекс для защиты рабочих станций и файловых серверов в дополнение должен содержать средство централизованного управления, позволяющее:

Централизованно управлять настройками клиентского АПО, распределять клиентов по группам администрирования

Проводить централизованное обновление антивирусных баз для всех клиентов из единого локального источника

Получать информацию о событиях, происходящих на клиентах, связанную как с вирусными инцидентами, так и с функционированием АПО

Курс лекций по информатике подготовлено к.э.н., доцентом каф. Информационные технологии Польшаковой Н.В.

Создавать сводные отчеты о состоянии антивирусной защиты уровня.

Схема информационных потоков в типовой локальной сети

Этапность работ Создание КСАЗ проводится в несколько этапов. На первом этапе разрабатываются документы, которые являются основой для проведения работ - Концепция и Политика антивирусной безопасности.

Концепция антивирусной безопасности - официально принятая организацией система взглядов на цели, задачи и принципы обеспечения антивирусной безопасности в своей локальной сети. В концепции определяются объекты антивирусной безопасности в локальной сети, возможные источники угрозы, методы предотвращения и нейтрализации этих угроз, а также основы согласованной политики в области антивирусной безопасности в локальной сети Заказчика.

Фактически, Концепция антивирусной безопасности является официальной позицией организации по отношению к вирусной угрозе. Утверждение Концепции помогает начать работы по созданию КСАЗ это -

Курс лекций по информатике подготовлено к.э.н., доцентом каф. Информационные технологии Польшаковой Н.В.

сигнал к тому, что руководство понимает важность задачи и готово ее решать.

Политика антивирусной безопасности определяет совокупность правил, задающих и ограничивающих виды деятельности объектов и участников, комплексной системы антивирусной защиты, ее основные цели и область ее применения.

Как правило, разработка политики проводится после обследования, которое заключается в выявлении и анализе информационных потоков, протекающих в организации, категорировании узлов сети по возможности реализации вирусной угрозы, составления матрицы - категория/возможность реализации для данного информационного потока. По результатам обследования составляется отчет.

На основании Политики антивирусной безопасности составляется Техническое задание на создание КСАЗ. Техническое задание - основной документ для выполнения работ по обеспечению антивирусной защиты информации. Определяет требования к функциональному составу и порядку внедрения программных средств, которые обеспечивают антивирусную защиту информации в процессе ее обработки в локальной сети. Именно на основе технического задания осуществляется разработка Технического проекта КСАЗ и приемка будущей системы в эксплуатацию.

Технический проект - документ, содержащий подробное описание проектируемой КСАЗ, состав и назначение подсистем, схему их взаимодействия, способы организации обновлений подсистем, схему управления КСАЗ, требования к персоналу, устанавливающему и обслуживающему систему.

Иными словами, технический проект это ответ на вопрос как будет реализовываться система, затребованная в техническом задании.

Помимо проектной (а все описанные документы относятся к проектной документации), также должна быть разработана документация эксплуатационная. К эксплуатационной документации относятся инструкции администратора и пользователя КСАЗ.

Инструкция пользователя - документ, регламентирующий действия пользователей локальной сети по отношению к КСАЗ.

Инструкция администратора - документ, регламентирующий типовые действия администратора по поддержанию работоспособности КСАЗ.

Разработанная система должны быть внедрена, следовательно, следующий этап - Внедрение.

Внедрение комплексной системы антивирусной защиты включает в себя следующие этапы:

1. Создание рабочей группы специалистов, ответственных за проведение работ по внедрению (это в обязательном порядке будут как специалисты отдела защиты информации, так и специалисты смежных

Курс лекций по информатике подготовлено к.э.н., доцентом каф. Информационные технологии Польшаковой Н.В.

подразделений - обслуживания почтовой системы, обслуживания клиентских компьютеров и т.д.)

2. Обработка информации, полученной в результате обследования

3. Разработка Плана внедрения и Программы и методики проведения испытаний

4. Проведение работ по установке антивирусных комплексов, входящих в состав внедряемой КСАЗ и дополнительных работ, связанных с установкой заплат безопасности для используемых операционных систем

5. Настройка КСАЗ и передача ее в опытную эксплуатацию 6. Опытная эксплуатация КСАЗ 7. Проведение приемочных испытаний и приемка КСАЗ в промышленную эксплуатацию

8. Промышленная эксплуатация КСАЗ 5. Выбор антивирусных комплексов На практике помимо схемы построения и разработки проектной и эксплуатационной документации возникает вопрос выбора производителя антивирусных комплексов, которые будут использоваться в рамках КСАЗ.

Существует два подхода к выбору - одновендорный и многовендорный. В первом случае на всех уровнях КСАЗ используются средства одного производителя, в другом - различных. Оба подхода имеют преимущества и недостатки.

Преимущества и недостатки одновендорных систем Преимущества Главное преимущество одновендорных систем состоит в единообразии решений. Практическими следствиями из этого единообразия являются:

1. Совместимость - антивирусные продукты от одного производителя как правило значительно более совместимы между собой, чем с антивирусными продуктами других производителей, и если потребуется установить на один сервер антивирус для защиты файловой системы и почтового сервера, вероятность конфликтов при одновендорном подходе априори будет ниже

2. Общие антивирусные базы - не всегда, но также и нередко продукты одного вендора используют одинаковое антивирусное ядро и, как следствие, одинаковый набор антивирусных баз. Таким образом в одновендорной системе антивирусной защиты нагрузка на сеть за счет выполнения обновления будет ниже

3. Единая система управления - как правило, большинство продуктов одного вендора могут управляться при помощи поставляемой этим же вендором системы удаленного и централизованного управления, как минимум этой системой могут управляться продукты для защиты серверов и рабочих станций 15

Курс лекций по информатике подготовлено к.э.н., доцентом каф. Информационные технологии Польшаковой Н.В.

Windows, что обычно составляет львиную долю конечного оборудования сети. Соответственно в одновендорной системе централизованность управления и концентрация информации о защищенности сети будет выше, что способствует более полному анализу и пониманию возникающих проблем, а также большей эффективности управления

4. Единая точка обслуживания - как и любая сложная система, система антивирусной защиты требует поддержки со стороны производителя, и чем сложнее сеть, тем более нетривиальные проблемы в ней могут возникать, в том числе и проблемы связанные с работой антивирусных средств. В этой ситуации важно иметь простой и надежный канал доступ к службе технической поддержки вендора для максимально быстрого и качественного решения проблем. Наличие единой точки входа для всех обращений по любым вопросам, связанным с работой системы антивирусной защиты, в случае одновендорной системы существенно упрощает работу обслуживающего персонала системы

5. Обучение специалистов - помимо того, что интерфейсы и принципы управления продуктами одного вендора обычно схожи, тем самым облегчая освоение их персоналом, у вендора часто имеются комплексные программы обучения, что сокращает время и усилия направленные на подготовку специалистов, которые будут обслуживать систему антивирусной защиты Недостатки Основных недостатка у одновендорной системы два:

Сужение круга систем при выборе оптимального антивирусного решения для защиты сети - количество одновендорных систем заведомо меньше чем мультивендорных, а значит степень соответствия требованиям лучшего одновендорного решения будет потенциально ниже, чем лучшего мультивендорного

Проблемы с антивирусными базами - проблемы с получением обновлений, ошибки в базах, долгая реакция вендора на появление нового вируса - сказываются сразу на всей системе антивирусной защиты, ставя под угрозу безопасность всех участков сети Преимущества и недостатки мультивендорных систем Преимущества и недостатки мультивендорных систем в целом симметричны недостаткам и преимуществам одновендорных.

Преимущества Основные преимущества мультивендорных систем в их большей гибкости, а также в естественной неоднородности, что в ряде случаев дает заметный выигрыш в защищенности по сравнению с одновендорными системами. Если же говорить более подробно, преимущества мультивендорных систем таковы:

Курс лекций по информатике подготовлено к.э.н., доцентом каф. Информационные технологии Польшаковой Н.В.

Повышенная вероятность обнаружения - за счет того, что используются продукты разных вендоров, вероятность того, что зараженный файл не будет обнаружен ни одним из них равна произведению вероятностей пропуска для каждого из вендоров. Учитывая, что вероятности пропуска обычно значительно меньше 1, можно говорить о том, что суммарная вероятность пропустить вирус уменьшается на порядок или даже на несколько порядков

Локализация заражения - поскольку продуктом одного вендора в мультивендорной системе защищена не вся сеть, а только ее часть, проблемы с этим продуктом, или с этим вендором (задержка с выпуском обновления, отсутствие доступа к основному серверу обновлений, ошибки в антивирусных базах) не скажутся на всей системе антивирусной защиты, и в случае вирусного заражения, под угрозу будет поставлена только та ее часть, которая защищена проблемным антивирусом

Более полное соответствие требованиям - поскольку для защиты каждой из подсистем сети антивирусный продукт можно выбирать независимо, без оглядки на то, чтобы все продукты были от одного производителя, можно полнее удовлетворить требованиям к системе в целом. Нередко у вендора могут быть удачные решения в одних группах продуктов и значительно менее удачные в других, а то и вовсе могут отсутствовать продукты для защиты некоторых подсистем, имеющихся в сети заказчика. Одновендорная система на базе продуктов такого производителя шансов практически не имеет, а использовать сильные стороны отдельных продуктов при построении мультивендорной системы вполне целесообразно Недостатки Недостатки мультивендорной системы антивирусной защиты по понятным причинам лежат в тех же плоскостях, что и преимущества одновендорных:

1. Сложность в освоении - вместо однородной системы персоналу придется изучать и осваивать несколько непохожих продуктов, исповедующих разные подходы к построению интерфейса и управлению

2. Независимое управление - вместо единой системы управления, персоналу придется работать с несколькими параллельными системами управления, что снижает оперативность и усложняет процесс обслуживания системы антивирусной защиты

3. Использование различных антивирусных баз - использование нескольких продуктов от разных производителей подразумевает загрузку и распространение нескольких наборов обновлений антивирусных баз, что неизбежно повышает нагрузку на сеть

Курс лекций по информатике подготовлено к.э.н., доцентом каф. Информационные технологии Польшаковой Н.В.

4. Возможные конфликты между продуктами - часто один и тот же сервер выполняет несколько ролей и входит в состав нескольких подсистем, подлежащих антивирусной защите - например, в подсистему серверов и рабочих станций Microsoft Windows и в почтовую систему Microsoft Exchange. В этом случае может понадобиться установить на такой сервер два или больше антивирусных продукта разных производителей, что потенциально грозит проблемами совместимости

5. Сложности при поддержке - кроме того, что мультивендорные системы сложнее по структуре и следовательно, более склонны к возникновению проблем, для решения этих проблем обслуживающему персоналу придется общаться с несколькими службами технической поддержки, что само по себе неудобно, а в случае конфликта совместимости двух антивирусных продуктов ставит специалистов, обслуживающих систему, в незавидное положение Может показаться, что у одновендорных систем больше преимуществ и меньше недостатков в сравнении с мультивендорными. При защите небольших и несложных по структуре систем, как правило, так и есть. Но как только речь заходит о сложной гетерогенной сети в силу вступает целый ряд факторов:

При необходимости защиты или обеспечения совместимости с одной или несколькими редко используемыми системами, подходящего одновендорного решения может просто не существовать

Когда на первый план выходит качество защиты, мультивендорные системы обладают преимуществами, которые часто перевешивают их относительные недостатки

В процессе эволюции сети и ее системы антивирусной защиты постоянное соблюдение принципа одновендорности является достаточно хлопотным делом, гораздо проще заменить один из продуктов при появлении лучшего, чем регулярно менять систему целиком Кроме того, на практике одновендорные системы нередко обладают многими недостатками мультивендорных:

Разные антивирусные базы для разных продуктов одного вендора

Разные системы управления для разных продуктов одного вендора и отсутствие общей централизованной системы управления

Проблемы совместимости продуктов одного вендора

Антивирусная защита - наиболее распространенная мера для обеспечения информационной безопасности ИТ-инфраструктуры в корпоративном секторе. Однако только 74% российских компаний применяют антивирусные решения для защиты, показало исследование, проведенное «Лабораторией Касперского» совместно с аналитической компанией B2B International (осень 2013 года).

В отчете также говорится, что на фоне взрывного роста киберугроз, от которых компании защищаются простыми антивирусами, российский бизнес начинает все чаще использовать комплексные инструменты защиты. Во многом по этой причине на 7% увеличилось применение средств шифрования данных на съемных носителях (24%). Кроме того, компании стали охотнее разграничивать политики безопасности для съемных устройств. Возросло и разграничение уровня доступа к различным участкам ИТ-инфраструктуры (49%). При это компании малого и среднего бизнеса уделяют большее внимание контролю съемных устройств (35%) и контролю приложений (31%).

Исследователи также обнаружили, что несмотря на постоянное обнаружение новых уязвимостей в программном обеспечении, российские компании все еще не уделяют должного внимания регулярному обновлению программного обеспечения. Более того, количество организаций, занимающихся установкой исправлений, снизилось по сравнению с прошлым годом, и составило всего лишь 59%.

Современные антивирусные программы способны эффективно обнаруживать вредоносные объекты внутри файлов программ и документов. В некоторых случаях антивирус может удалить тело вредоносного объекта из зараженного файла, восстановив сам файл. В большинстве случаев антивирус способен удалить вредоносный программный объект не только из программного файла, но и из файла офисного документа, не нарушив его целостность. Использование антивирусных программ не требует высокой квалификации и доступно практически любому пользователю компьютера .

Большинство антивирусных программ сочетает в себе функции постоянной защиты (антивирусный монитор) и функции защиты по требованию пользователя (антивирусный сканер).

Рейтинг антивирусов

2019: Две трети антивирусов для Android оказались бесполезными

В марте 2019 года австрийская лаборатория AV-Comparatives, специализирующаяся на тестировании антивирусного софта, опубликовала результаты исследования, которые показали бесполезность большинство подобных программ для Android .

Лишь 23 антивируса, размещенного в официальном каталоге Google Play Store , точно распознают вредоносные программы в 100% случаев. Остальной софт либо не реагирует на мобильные угрозы, либо принимает за них абсолютно безопасные приложения.

В AV-Comparatives изучили 250 популярных защитных приложений из официального каталога Google Play и пришли к выводу: почти две трети антивирусов для Android не выполняют заявленных в их рекламе функций

Специалисты изучили 250 антивирусов и сообщили, что только 80% из них могут выявлять более 30% зловредов. Таким образом, 170 приложений провалили тест. В число продуктов, которые справились с испытаниями, вошли в основном решения крупных производителей, включая Avast , Bitdefender , ESET , F-Secure , G-Data, «Лабораторию Касперского» , McAfee , Sophos , Symantec , Tencent , Trend Micro и Trustwave .

В рамках эксперимента исследователи установили каждое антивирусное приложение на отдельное устройство (без эмулятора) и автоматизировали аппараты на запуск браузера, загрузку и последующую установку вредоносного ПО. Каждое устройство было протестировано на примере 2 тыс. наиболее распространенных в 2018 году Android-вирусов.

Согласно расчетам AV-Comparatives, большинство антивирусных решений для Android являются подделками. Десятки приложений имеют практически идентичный интерфейс, а их создателей явно больше интересует показ рекламы, чем в написание работающего антивирусного сканера.

Некоторые антивирусы «видят» угрозу в любом приложении, которое не внесено в их «белый список». Из-за этого они, в ряде совсем уж анекдотичных случаев, поднимали тревогу из-за своих собственных файлов, так как разработчики забыли упомянуть их в «белом списке».

2017: Microsoft Security Essentials признан одним из самых худших антивирусов

В октябре 2017 года немецкая антивирусная лаборатория AV-Test опубликовала результаты комплексного тестирования антивирусов. По данным исследования, фирменное программное обеспечение Microsoft , предназначенное для защиты от вредоносной активности, почти хуже всех справляется со своими обязанностями.

По результатам испытаний, проведенных в июле-августе 2017 года, эксперты AV-Test назвали лучшим антивирусом для Windows 7 решение Kaspersky Internet Security , которое получило 18 баллов при оценке уровня защиты, производительности и удобства использования.

В тройку лидеров вошли программы Trend Micro Internet Security и Bitdefender Internet Security , заработавшие по 17,5 балла. О положении продуктов других антивирусных компаний, которые попали в исследование, можно узнать из иллюстраций ниже:

Во многих сканерах используются также алгоритмы эвристического сканирования, т.е. анализ последовательности команд в проверяемом объекте, набор некоторой статистики и принятие решения для каждого проверяемого объекта.

Сканеры также можно разделить на две категории - универсальные и специализированные. Универсальные сканеры рассчитаны на поисх и обезвреживание всех типов вирусов вне зависимости от операционной системы, на работу в которой рассчитан сканер. Специализированные сканеры предназначены для обезвреживания ограниченного числа вирусов или только одного их класса, например макро-вирусов.

Сканеры также делятся на резидентные (мониторы), производящие сканирование на-лету, и нерезидентные, обеспечивающие проверку системы только по запросу. Как правило, резидентные сканеры обеспечивают более надежную защиту системы, поскольку они немедленно реагируют на появление вируса, в то время как нерезидентный сканер способен опознать вирус только во время своего очередного запуска.

CRC-сканеры

Принцип работы CRC-сканеров основан на подсчете CRC-сумм (контрольных сумм) для присутствующих на диске файлов/системных секторов. Эти CRC-суммы затем сохраняются в базе данных антивируса, как, впрочем, и некоторая другая информация: длины файлов, даты их последней модификации и т.д. При последующем запуске CRC-сканеры сверяют данные, содержащиеся в базе данных, с реально подсчитанными значениями. Если информация о файле, записанная в базе данных, не совпадает с реальными значениями, то CRC-сканеры сигнализируют о том, что файл был изменен или заражен вирусом.

CRC-сканеры не способны поймать вирус в момент его появления в системе, а делают это лишь через некоторое время, уже после того, как вирус разошелся по компьютеру. CRC-сканеры не могут определить вирус в новых файлах (в электронной почте, на дискетах, в файлах, восстанавливаемых из backup или при распаковке файлов из архива), поскольку в их базах данных отсутствует информация об этих файлах. Более того, периодически появляются вирусы, которые используют эту слабость CRC-сканеров, заражают только вновь создаваемые файлы и остаются, таким образом, невидимыми для них.

Блокировщики

Антивирусные блокировщики - это резидентные программы, перехватывающие вирусо-опасные ситуации и сообщающие об этом пользователю. К вирусо-опасным относятся вызовы на открытие для записи в выполняемые файлы, запись в boot-сектора дисков или MBR винчестера, попытки программ остаться резидентно и т.д., то есть вызовы, которые характерны для вирусов в моменты из размножения.

К достоинствам блокировщиков относится их способность обнаруживать и останавливать вирус на самой ранней стадии его размножения. К недостаткам относятся существование путей обхода защиты блокировщиков и большое количество ложных срабатываний.

Иммунизаторы

Иммунизаторы делятся на два типа: иммунизаторы, сообщающие о заражении, и иммунизаторы, блокирующие заражение. Первые обычно записываются в конец файлов (по принципу файлового вируса) и при запуске файла каждый раз проверяют его на изменение. Недостаток у таких иммунизаторов всего один, но он летален: абсолютная неспособность сообщить о заражении стелс-вирусом. Поэтому такие иммунизаторы, как и блокировщики, практически не используются в настоящее время.

Второй тип иммунизации защищает систему от поражения вирусом какого-то определенного вида. Файлы на дисках модифицируются таким образом, что вирус принимает их за уже зараженные. Для защиты от резидентного вируса в память компьютера заносится программа, имитирующая копию вируса. При запуске вирус натыкается на нее и считает, что система уже заражена.

Такой тип иммунизации не может быть универсальним, поскольку нельзя иммунизировать файлы от всех известных вирусов.

Классификация антивирусов по признаку изменяемости во времени

По мнению Валерия Конявского , антивирусные средства можно разделить на две большие группы - анализирующие данные и анализирующие процессы.

Анализ данных

К анализу данных относятся ревизоры и полифаги. Ревизоры анализируют последствия от деятельности компьютерных вирусов и других вредоносных программ. Последствия проявляются в изменении данных, которые изменяться не должны. Именно факт изменения данных является признаком деятельности вредоносных программ с точки зрения ревизора. Другими словами, ревизоры контролируют целостность данных и по факту нарушения целостности принимают решение о наличии в компьютерной среде вредоносных программ.

Полифаги действуют по-другому. Они на основе анализа данных выделяют фрагменты вредоносного кода (например, по его сигнатуре) и на этой основе делают вывод о наличии вредоносных программ. Удаление или лечение пораженных вирусом данных позволяет предупредить негативные последствия исполнения вредоносных программ. Таким образом, на основе анализа в статике предупреждаются последствия, возникающие в динамике.

Схема работы и ревизоров, и полифагов практически одинакова - сравнить данные (или их контрольную сумму) с одним или несколькими эталонными образцами. Данные сравниваются с данными. Таким образом, для того чтобы найти вирус в своем компьютере, нужно, чтобы он уже сработал, чтобы появились последствия его деятельности. Этим способом можно найти только известные вирусы, для которых заранее описаны фрагменты кода или сигнатуры. Вряд ли такую защиту можно назвать надежной.

Анализ процессов

Несколько по-иному работают антивирусные средства, основанные на анализе процессов. Эвристические анализаторы, так же как и вышеописанные, анализируют данные (на диске, в канале, в памяти и т.п.). Принципиальное отличие состоит в том, что анализ проводится в предположении, что анализируемый код - это не данные, а команды (в компьютерах с фон-неймановской архитектурой данные и команды неразличимы, в связи с этим при анализе и приходится выдвигать то или иное предположение.)

Эвристический анализатор выделяет последовательность операций, каждой из них присваивает некоторую оценку опасности и по совокупности опасности принимает решение о том, является ли данная последовательность операций частью вредоносного кода. Сам код при этом не выполняется.

Другим видом антивирусных средств, основанных на анализе процессов, являются поведенческие блокираторы. В этом случае подозрительный код выполняется поэтапно до тех пор, пока совокупность инициируемых кодом действий не будет оценена как опасное (либо безопасное) поведение. Код при этом выполняется частично, так как завершение вредоносного кода можно будет обнаружить более простыми методами анализа данных.

Технологии обнаружения вирусов

Технологии, применяемые в антивирусах, можно разбить на две группы:

Технологии сигнатурного анализа
Технологии вероятностного анализа

Технологии сигнатурного анализа

Сигнатурный анализ - метод обнаружения вирусов, заключающийся в проверке наличия в файлах сигнатур вирусов. Сигнатурный анализ является наиболее известным методом обнаружения вирусов и используется практически во всех современных антивирусах. Для проведения проверки антивирусу необходим набор вирусных сигнатур, который хранится в антивирусной базе.

Ввиду того, что сигнатурный анализ предполагает проверку файлов на наличие сигнатур вирусов, антивирусная база нуждается в периодическом обновлении для поддержания актуальности антивируса. Сам принцип работы сигнатурного анализа также определяет границы его функциональности - возможность обнаруживать лишь уже известные вирусы - против новых вирусов сигнатурный сканер бессилен.

С другой стороны, наличие сигнатур вирусов предполагает возможность лечения инфицированных файлов, обнаруженных при помощи сигнатурного анализа. Однако, лечение допустимо не для всех вирусов - трояны и большинство червей не поддаются лечению по своим конструктивным особенностям, поскольку являются цельными модулями, созданными для нанесения ущерба.

Грамотная реализация вирусной сигнатуры позволяет обнаруживать известные вирусы со стопроцентной вероятностью.

Технологии вероятностного анализа

Технологии вероятностного анализа в свою очередь подразделяются на три категории:

Эвристический анализ
Поведенческий анализ
Анализ контрольных сумм

Эвристический анализ

Эвристический анализ - технология, основанная на вероятностных алгоритмах, результатом работы которых является выявление подозрительных объектов. В процессе эвристического анализа проверяется структура файла, его соответствие вирусным шаблонам. Наиболее популярной эвристической технологией является проверка содержимого файла на предмет наличия модификаций уже известных сигнатур вирусов и их комбинаций. Это помогает определять гибриды и новые версии ранее известных вирусов без дополнительного обновления антивирусной базы.

Эвристический анализ применяется для обнаружения неизвестных вирусов, и, как следствие, не предполагает лечения. Данная технология не способна на 100% определить вирус перед ней или нет, и как любой вероятностный алгоритм грешит ложными срабатываниями.

Поведенческий анализ

Поведенческий анализ - технология, в которой решение о характере проверяемого объекта принимается на основе анализа выполняемых им операций. Поведенческий анализ весьма узко применим на практике, так как большинство действий, характерных для вирусов, могут выполняться и обычными приложениями. Наибольшую известность получили поведенческие анализаторы скриптов и макросов, поскольку соответствующие вирусы практически всегда выполняют ряд однотипных действий.

Средства защиты, вшиваемые в BIOS, также можно отнести к поведенческим анализаторам. При попытке внести изменения в MBR компьютера, анализатор блокирует действие и выводит соответствующее уведомление пользователю.

Помимо этого поведенческие анализаторы могут отслеживать попытки прямого доступа к файлам, внесение изменений в загрузочную запись дискет, форматирование жестких дисков и т. д.

Поведенческие анализаторы не используют для работы дополнительных объектов, подобных вирусным базам и, как следствие, неспособны различать известные и неизвестные вирусы - все подозрительные программы априори считаются неизвестными вирусами. Аналогично, особенности работы средств, реализующих технологии поведенческого анализа, не предполагают лечения.

Анализ контрольных сумм

Анализ контрольных сумм - это способ отслеживания изменений в объектах компьютерной системы. На основании анализа характера изменений - одновременность, массовость, идентичные изменения длин файлов - можно делать вывод о заражении системы. Анализаторы контрольных сумм (также используется название ревизоры изменений) как и поведенческие анализаторы не используют в работе дополнительные объекты и выдают вердикт о наличии вируса в системе исключительно методом экспертной оценки. Подобные технологии применяются в сканерах при доступе - при первой проверке с файла снимается контрольная сумма и помещается в кэше, перед следующей проверкой того же файла сумма снимается еще раз, сравнивается, и в случае отсутствия изменений файл считается незараженным.

Антивирусные комплексы

Помимо этого антивирусный комплекс дополнительно может включать в себя поведенческие анализаторы и ревизоры изменений, которые не используют антивирусное ядро.

Выделяют следующие типы антивирусных комплексов:

Антивирусный комплекс для защиты рабочих станций
Антивирусный комплекс для защиты файловых серверов
Антивирусный комплекс для защиты почтовых систем
Антивирусный комплекс для защиты шлюзов.

Облачный и традиционный настольный антивирус: что выбрать?

(По материалам ресурса Webroot.com)

Современный рынок антивирусных средств – это в первую очередь традиционные решения для настольных систем, механизмы защиты в которых построены на базе сигнатурных методов. Альтернативный способ антивирусной защиты – применение эвристического анализа.

Проблемы традиционного антивирусного ПО

В последнее время традиционные антивирусные технологии становятся все менее эффективными, быстро устаревают, что обусловлено рядом факторов. Количество вирусных угроз, распознаваемых по сигнатурам, уже настолько велико, что обеспечить своевременное 100%-ное обновление сигнатурных баз на пользовательских компьютерах – это часто нереальная задача. Хакеры и киберпреступники все чаще используют ботнеты и другие технологии, ускоряющие распространение вирусных угроз нулевого дня. Кроме того, при проведении таргетированных атак сигнатуры соответствующих вирусов не создаются. Наконец, применяются новые технологии противодействия антивирусному обнаружению: шифрование вредоносного ПО, создание полиморфных вирусов на стороне сервера, предварительное тестирование качества вирусной атаки.

Традиционная антивирусная защита чаще всего строится в архитектуре «толстого клиента». Это означает, что на компьютер клиента устанавливается объемный программный код. С его помощью выполняется проверка поступающих данных и выявляется присутствие вирусных угроз.

Такой подход имеет ряд недостатков. Во-первых, сканирование в поисках вредоносного ПО и сравнение сигнатур требует значительной вычислительной нагрузки, которая «отнимается» у пользователя. В результате продуктивность компьютера снижается, а работа антивируса иногда мешает выполнять параллельно прикладные задачи. Иногда нагрузка на пользовательскую систему бывает настолько заметна, что пользователи отключают антивирусные программы, убирая тем самым заслон перед потенциальной вирусной атакой.

Во-вторых, каждое обновление на машине пользователя требует пересылки тысяч новых сигнатур. Объем передаваемых данных обычно составляет порядка 5 Мбайт в день на одну машину. Передача данных тормозит работу сети, отвлекает дополнительные системные ресурсы, требует привлечения системных администраторов для контроля трафика.

В-третьих, пользователи, находящиеся в роуминге или на удалении от стационарного места работы, оказываются беззащитны перед атаками нулевого дня. Для получения обновленной порции сигнатур они должны подключиться к VPN -сети, которая удаленно им недоступна.

Антивирусная защита из облака

При переходе на антивирусную защиту из облака архитектура решения существенно меняется. На компьютере пользователя устанавливается «легковесный» клиент, основная функция которого – поиск новых файлов, расчет хэш-значений и пересылка данных облачному серверу. В облаке проводится полномасштабное сравнение, выполняемое на большой базе собранных сигнатур. Эта база постоянно и своевременно обновляется за счет данных, передаваемых антивирусными компаниями. Клиент получает отчет с результатами проведенной проверки.

Таким образом, облачная архитектура антивирусной защиты имеет целый ряд преимуществ:

объем вычислений на пользовательском компьютере оказывается ничтожно мал по сравнению с толстым клиентом, следовательно, продуктивности работы пользователя не снижается;
нет катастрофического влияния антивирусного трафика на пропускную способность сети: пересылке подлежит компактная порция данных, содержащая всего несколько десятков хэш-значений, средний объем дневного трафика не превышает 120 Кбайт;
облачное хранилище содержит огромные массивы сигнатур, значительно больше тех, которые хранятся на пользовательских компьютерах;
алгоритмы сравнения сигнатур, применяемые в облаке, отличаются значительно более высокой интеллектуальностью по сравнению с упрощенными моделями, которые используются на уровне локальных станций, а благодаря более высокой производительности для сравнения данных требуется меньше времени;
облачные антивирусные службы работают с реальными данными, получаемыми от антивирусных лабораторий, разработчиков средств безопасности, корпоративных и частных пользователей; угрозы нулевого дня блокируются одновременно с их распознаванием, без задержки, вызванной необходимостью получения доступа к пользовательским компьютерами;
пользователи в роуминге или не имеющие доступа к своим основным рабочим местам, получают защиту от атак нулевого дня одновременно с выходом в Интернет;
снижается загрузка системных администраторов: им не требуется тратить время на установку антивирусного ПО на компьютеры пользователей, а также обновления баз сигнатур.

Почему традиционные антивирусы не справляются

Современный вредоносный код может:

Обойти ловушки антивирусов создав специальный целевой вирус под компанию
До того как антивирус создаст сигнатуру он будет уклоняться, используя полиморфизм, перекодирование, используя динамические DNS и URL

Целевое создание под компанию
Полиморфизм
Неизвестный еще никому код – нет сигнатуры

Сложно защититься

Скоростные антивирусы 2011 года

Российский независимый информационно-аналитический центр Anti-Malware.ru опубликовал в мае 2011 года результаты очередного сравнительного теста 20 наиболее популярных антивирусов на быстродействие и потребление системных ресурсов.

Цель данного теста - показать, какие персональные антивирусы оказывает наименьшее влияние на осуществление пользователем типовых операций на компьютере, меньше "тормозят" его работу и потребляют минимальное количество системных ресурсов.

Среди антивирусных мониторов (сканеров в режиме реального времени) целая группа продуктов продемонстрировала очень высокую скорость работы, среди них: Avira, AVG, ZoneAlarm, Avast, Антивирус Касперского, Eset, Trend Micro и Dr.Web. С этими антивирусами на борту замедление копирования тестовой коллекции составило менее 20% по сравнению с эталоном. Антивирусные мониторы BitDefender, PC Tools, Outpost, F-Secure, Norton и Emsisoft также показали высокие результаты по быстродействию, укладывающиеся в диапазон 30-50%. Антивирусные мониторы BitDefender, PC Tools, Outpost, F-Secure, Norton и Emsisoft также показали высокие результаты по быстродействию, укладывающиеся в диапазон 30-50%.

При этом Avira, AVG, BitDefender, F-Secure, G Data, Антивирус Касперского, Norton, Outpost и PC Tools в реальных условиях могут быть значительно быстрее за счет имеющейся у них оптимизации последующий проверок.

Наилучшую скорость сканирования по требованию показал антивирус Avira. Немного уступили ему Антивирус Касперского, F-Secure, Norton, G Data, BitDefender, Антивирус Касперского и Outpost. По скорости первого сканирования эти антивирусы лишь немного уступают лидеру, в тоже время все они имеют в своем арсенале мощные технологии оптимизации повторных проверок.

Еще одной важной характеристикой скорости работы антивируса является его влияние на работу прикладных программ, с которыми часто работает пользователь. В качестве таких для теста были выбраны пять: Internet Explorer, Microsoft Office Word, Microsoft Outlook , Adobe Acrobat Reader и Adobe Photoshop. Наименьшее замедление запуска этих офисных программ показали антивирусы Eset, Microsoft, Avast, VBA32, Comodo, Norton, Trend Micro, Outpost и G Data.

Помимо используемых технологий, антивирусы отличаются друг от друга условиями эксплуатации. Уже из анализа задач можно сделать вывод о том, что препятствование проникновению вредоносного кода должно осуществляться непрерывно, тогда как обнаружение вредоносного кода в существующей системе - скорее разовое мероприятие. Следовательно, средства, решающие эти две задачи должны функционировать по-разному.

Таким образом, антивирусы можно разделить на две большие категории:

Предназначенные для непрерывной работы- к этой категории относятся средства проверки при доступе, почтовые фильтры, системы сканирования проходящего трафика Интернет, другие средства, сканирующие потоки данных

Предназначенные для периодического запуска- различного рода средства проверки по запросу, предназначенные для однократного сканирования определенных объектов. К таким средствам можно отнести сканер по требованию файловой системы в антивирусном комплексе для рабочей станции, сканер по требованию почтовых ящиков и общих папок в антивирусном комплексе для почтовой системы (в частности, для Microsoft Exchange)

Как показывает практика, предотвратить возникновение проблемы гораздо проще, чем пытаться впоследствии ее решить. Именно поэтому современные антивирусные комплексы в большинстве своем подразумевают непрерывный режим эксплуатации. Тем не менее, средства периодической проверки гораздо эффективнее при борьбе с последствиями заражения и поэтому не менее необходимы.

1.8.3 Антивирусный комплекс

Антивирусное ядро - реализация механизма сигнатурного сканирования и эвристического анализа на основе имеющихся сигнатур вирусов

Антивирусный комплекс - набор антивирусов, использующих одинаковое антивирусное ядро или ядра, предназначенный для решения практических проблем по обеспечению антивирусной безопасности компьютерных систем. В антивирусный комплекс также в обязательном порядке входят средства обновления антивирусных баз. Помимо этого антивирусный комплекс дополнительно может включать в себя поведенческие анализаторы и ревизоры изменений, которые вовсе не используют антивирусное ядро. В качестве вспомогательной утилиты антивирусный комплекс может содержать (и на практике обычно содержит) планировщик заданий.

Исходя из текущей необходимости в средствах защиты выделяют следующие типы антивирусных комплексов:

Антивирусный комплекс для защиты рабочих станций

Антивирусный комплекс для защиты файловых серверов

Антивирусный комплекс для защиты почтовых систем

Антивирусный комплекс для защиты шлюзов.

Антивирусный комплекс для защиты рабочих станций

Предназначен для обеспечения антивирусной защиты рабочей станции, на которой он установлен. Состоит, как и указывалось ранее из средств непрерывной работы и предназначенных для периодического запуска, а также средств обновления антивирусных баз.

К средствам непрерывной работы относятся:

Антивирусный сканер при доступе- антивирусный сканер, осуществляющий проверку файлов, к которым обращается операционная система (напрямую, либо опосредованно через пользователя). Для ускорения процесса работы сканера часто применяется возможность отключения средств эвристического анализа

Антивирусный сканер локальной почтовой системы- антивирусный сканер, предназначенный для автоматической проверки всей входящей и исходящей из системы почтовой корреспонденции до получения ее пользователем/исходящим почтовым сервером. Этот тип сканеров появился сравнительно недавно, его разработка обусловлена тем, что большинство вирусов использует для распространения электронную почту. Выделяют два вида сканеров локальной почтовой системы - использующие и не использующие привязку к почтовому клиенту. Первый тип характеризуется большим числом поддерживаемых почтовых протоколов, однако возможности практического применения сужаются необходимостью использовать конкретный почтовый клиент. Второй тип, напротив, поддерживает более ограниченный набор протоколов (обычно, SMTP и POP3), однако делает это для любых почтовых клиентов. Возможно использование обоих типов сканеров в рамках одного антивирусного комплекса.

Антивирусный сканер, осуществляющий проверку файлов по запросу пользователя либо третьей программы (например, планировщика)

На практике антивирусный комплекс для рабочей станции зачастую включает еще и поведенческие блокираторы, также относящиеся к средствам непрерывной работы.

Антивирусный комплекс для защиты файловых серверов.

Предназначен для обеспечения антивирусной защиты сервера, на котором установлен. Указание на файловый сервер в названии является скорее данью истории, корректней будет звучать термин «сетевой». Определение того, насколько нуждается в антивирусной защите сервер, осуществляется не только исходя из его назначения (является сервер файловым, почтовым, либо выполняет другую функцию), а и из используемой на нем платформы. Более того, зачастую именно платформа является определяющей характеристикой при выборе средств защиты сетевого сервера. Речь об этом пойдет ниже.

Отличия в составе антивирусного комплекса для файлового сервера, в сравнении с антивирусным комплексом для рабочей станции, происходят из различного назначения этих типовых узлов сети, а точнее из главного различия: рабочая станция обычно является АРМ сотрудника, тогда как сервер в качестве АРМ не используется. Исходя из этого, антивирусный комплекс для защиты файловых серверов обычно состоит из двух ярко выраженных представителей средств непрерывного работы и периодического запуска:

Антивирусного сканера при доступе- аналогичен сканеру при доступе для рабочей станции

Антивирусного сканера по требованию- аналогичен сканеру по требованию для рабочей станции,

А также средства обновления антивирусных баз.

Сканер локальной почтовой системы отсутствует по описанной выше причине.

Антивирусный комплекс для защиты почтовых систем.

Еще один казус, связанный с общепринятой терминологией. Безусловно, антивирусный комплекс не предназначен для защиты почтовой системы от поражения вирусами, его назначение - препятствовать доставке зараженных сообщений пользователям сети. Как уже указывалось ранее, сегодня одним из главных средств доставки вирусов в локальную сеть является именно электронная почта. Поэтому, при наличии в локальной сети специализированного узла, обрабатывающего входящую и исходящую из сети почтовую корреспонденцию (почтового сервера), логично будет использовать средство централизованной проверки всего почтового потока на наличие вирусов. Тем не менее, термин «для защиты почтовых систем» является устоявшимся и повсеместно применяется при указании практических реализаций этого типа комплексов. Дабы не вводить читателя в противоречие с ежедневно потребляемой информацией, в дальнейшем здесь также будет использоваться приведенное выше название. Аналогичный комментарий, с поправкой на специфику работы, применим и к антивирусным комплексам для защиты шлюзов. Антивирусный комплекс для защиты почтовых систем, как и другие антивирусные комплексы включает антивирусы обоих типов.

Средства непрерывной работы:

Фильтр почтового потока- осуществляет проверку на наличие вирусов всего принимаемого и отправляемого почтового потока сервера, на котором установлен комплекс

Средства периодического запуска:

Также, антивирусный комплекс для защиты почтовых систем обязательно включает средство обновления антивирусных баз. Дополнительно, для снижения нагрузки на сервер могут выделяться отдельные средства для проверки баз во время репликаций. Такие средства также относятся к средствам периодического запуска.

Антивирусный комплекс для защиты шлюзов.

Антивирусный комплекс для защиты шлюза, как следует из названия, предназначен для проверки на наличие вирусов данных, через этот шлюз передаваемых.

Сканер HTTP-потока- предназначен для проверки данных, передаваемых через шлюз по протоколу HTTP

Сканер FTP-потока- предназначен для проверки данных, передаваемых через шлюз по протоколу FTP. В случае использования FTP over HTTP FTP-запросы будут проверяться сканером HTTP-потока

Сканер SMTP-потока- предназначен для проверки данных, передаваемых через шлюз по SMTP

Естественно, как и в предыдущих случаях в комплекс в обязательном порядке входит средство для обновления антивирусных баз.

Установка антивируса должна проводиться правильно. Если сделать это некорректно, то могут возникнуть неприятные последствия. Он может работать не на всю мощность и даже пропускать вредоносные программы.

Чтобы установка антивируса прошла с успехом, нужно убедиться, что на компьютере нет иных иначе резидентные модули могут вызвать конфликты. Если вы решили поменять антивирус, то старый нужно удалить.

Для этого используется меню «Пуск». Находите там опцию «Панель управления» → «Удаление и установка программ». Появится список ваших программ. Выбираете установленный антивирус, кликаете на него и нажимаете «Удалить».

Теперь установка антивируса пройдет успешно. Рассмотрим это на примере Dr.Web.

Зайдите на официальный сайт антивируса и загрузите последнюю версию.

Запустите скачанный файл в окне, которое появится. Выбираете русский язык и нажимаете на «ОК».

Мастер установки проверит операционную систему и подготовит программу к установке.

Если все пройдет успешно, то установка антивируса запустится автоматически.

Появится окно, в котором нужно поставить отметку о принятии условий и нажать кнопку «Далее».

Установите флажок рядом с пунктом, подтверждающим, что иных программ антивируса нет, и жмите на кнопку «Далее».

Если у вас есть серийный номер программы, то нужно выбрать опцию, что ключевой файл нужно получить в процессе установки. А если вы обладаете ключом, то выбираете опцию с указанием пути к нему: нажимаете кнопку «Обзор» и указываете этот путь.

В появившемся окне выбираете «Установка по умолчанию», нажимаете «Далее».

Размещаете ярлыки антивируса в меню «Пуск» и на «Рабочем столе». Для этого ставите галочки в появившемся окне и продолжаете.

В новом окне выбираете «Не использовать сервер прокси» и нажимаете «Далее».

Теперь появится окно, в котором ставите отметку возле опции, что загрузить обновления нужно во время установки.

Появится окно, в котором нажимаете кнопку «Установить». Начнется установка антивируса.

Следующее окно будет отображать процесс установки. Когда он закончится, нужно пройти регистрацию. Если у вас был ключевой файл, то регистрация будет автоматически пропущена.

В появившемся окне вписываете свой код регистрации. Потом вводите свои данные: E-Mail, регион, город, ФИО. Нажимаете «Далее».

С введенной вами информацией, которую нужно проверить. Если все правильно, то жмите на «Далее».

Указанная информация отправится на регистрационный сервер антивируса. В ответ придет ключевой файл, он будет сохранен в папке с установленной программой.

Запустится утилита для обновления. Там нужно нажать только на кнопку с зеленой галочкой.

Когда обновления будут загружены, запустится сканер для проведения быстрой проверки.

После обновления и проверки нажмите на кнопку «Готово».

Необходимо перезагрузить компьютер, чтобы все изменения вступили в силу.

Помимо платной, существует установка антивируса бесплатно. У каждой программы есть пробные варианты. Прежде чем купить тот или иной антивирус, его работу можно испробовать в течение одного месяца. Таким образом вы сможете оценить все программы, которые для себя выбрали.

Когда закончится срок использования, программу нужно удалить. Затем можно воспользоваться пробной версией другого производителя. Бесплатная установка антивируса возможна только единожды. Понравившийся вариант нужно купить.