Организация антивирусной безопасности.

 

Ключом к организации эффективной антивирусной защиты является наличие антивирусного средства.

Для начала рассмотрим основные требования, которым должно удовлетворять современное антивирусное программное обеспечение.

К антивирусному программному обеспечению предъявляются такие же требования, как и к остальным программным продуктам, удобство использования и широкие функциональные возможности, определяемые возможностью выбора различных режимов сканирования и высоким качеством детектирования вирусов.

Несмотря на все разнообразие программных продуктов, принципы их работы одинаковы.

Можно выделить следующие типы антивирусных средств.

Сканеры.

Назначение сканера — обнаружить вирус по известной сигнатуре и, по возможности, удалить его. Основной приниип работы традииионного фага заключается в следующем: для каждого вируса путем анализа его кода, способов заражения файлов и т. д. выделяется некоторая характерная только для него последовательность байт.

Эта последовательность называется сигнатурой данного вируса. Поиск вирусов в простейшем случае сводится к поиску их сигнатур.

2. Сторожи предоставляют собой программы, постоянно находящиеся в памяти компьютера и контролирующие операции, которые они считают подозрительными (открытие портов, доступ к критичным файлам и т. д.).

Во многом принципы работы антивирусных средств схожи с принципами работы систем обнаружения вторжений.

К основным функциям современных антивирусов относятся:

1. сканирование памяти и содержимого дисков по расписанию;

2. сканирование памяти компьютера, а также записываемых и читаемых файлов в реальном режиме времени с помощью резидентного модуля;

3. выборочное сканирование файлов с измененными атрибутами — размером, датой модификации, контрольной суммой и т. д.;

4. сканирование архивных файлов;

5. распознавание поведения, характерного для компьютерных вирусов;

6. удаленная установка, настройка и администрирование антивирусных программ с консоли системного администратора; оповещение системного администратора о событиях, связанных с вирусными атаками, по электронной почте, пейджеру и т. п.;

7. принудительная проверка подключенных к корпоративной сети компьютеров, инициируемая системным администратором;

8. удаленное обновление антивирусного программного обеспечения и баз данных с информацией о вирусах, в том числе автоматическое обновление баз данных по вирусам посредством Internet;

9. фильтрация трафика Internet на предмет выявления вирусов в программах и документах, передаваемых посредством протоколов SMTP, FTP, HTTP;

10. выявление потенциально опасных Java-апплетов и модулей ActiveX;

11. функционирование на различных серверных и клиентских платформах, а так же в гетерогенных корпоративных сетях;

12. ведение протоколов, содержащих информацию о событиях, касающихся антивирусной защиты.

Одной из основных характеристик современных вирусных атак является их высокая скорость распространения.

Кроме того, можно отметить высокую частоту появления новых атак.

Таким образом, в настоящее время к современному антивирусному программному обеспечению можно предъявить требование частоты обновления продукта — чем чаще обновляется продукт, тем выше его качество, так как он учитывает все актуальные на текущий момент времени вирусные угрозы.

Наличие антивирусного программного обеспечения является необходимым, но не достаточным условием для отражения вирусной атаки (кроме наличия средства, необходимо продумать методы его использования).

Таким образом, защита от вирусов в организации должна быть регламентирована некоторыми правилами, иначе говоря, быть элементом политики безопасности, которую должны понимать и соблю дать все пользователи системы (для разработки политики безопасности необходимо оценить риски, связанные с заражением вирусами, и разумные пути их минимизации).

Рассмотрим, что можно порекомендовать пользователю с целью предотвращения заражения вирусами (очевидно, что лучший способ борьбы с атакой — ее предотвращение).

Итак, для предотвращения вирусных атак рекомендуется выполнить следующие действия.

· Соответствующим образом сконфигурировать антивирусное программное обеспечение.

1. сканирование в режиме реального времени, в фоновом или аналогичном режиме должно быть разрешено;

2. при старте системы сканирование памяти, загрузочного сектора и системных файлов;

3. своевременное обновление вирусных баз данных;

4. сканирование всех типов файлов или, как минимум исполнимых, *.сот, *.ехе файлов, а также файлов типа *.vbs, *.shs, *.осх;

5. аудит всех действий антивирусных программ.

· Использовать только лицензионное программное обеспечение.

· Программное обеспечение, полученное из неизвестного источника, может быть троянским или зараженным вирусом.

· Ограничить набор программ, которые пользователь способен установить в системе (так как посторонние программы могут быть заражены вирусами или служить причиной успеха других атак).

· Особо следует обратить внимание на различные сервисы Internet и в первую очередь на программы электронной почты и передачи сообщений, такие как IRC, ICQ, Microsoft Chat (данные программы могут передавать файлы и служить источником заражения системы).

· Кроме того, желательно устранить известные уязвимости в программном обеспечении (так как их наличие может служить причиной успеха вирусных атак).

· Известные уязвимости обычно публикуются в списках рассылки Internet, а также на специальных сайтах.

· В качестве источника информации об уязвимостях можно порекомендовать базу данных на сайте securityfocus.com.

· Контролировать использование накопителей гибких дисков и дисков CD-ROM.

· В идеале вся информация, содержащаяся на гибких дисках и дисках CD-ROM, должна быть проверена на наличие вирусов до того, как к ней будет осуществлен доступ со стороны пользователей вычислительной системы.

· Разработать политику обработки электронной почты (как составной элемент политики безопасности).

· Как было отмечено в предыдущей статье, сообщения электронной почты являются одним из самых популярных и самых быстрых способов распространения вирусов.

Для защиты от проннкновення вирусов через сообщения электронной почты каждый пользователь системы должен:

никогда не открывать сразу почтовое вложение в пришедшем ему почтовом сообщении;

2. создать «карантинный» каталог — сохранять почтовые вложения в определен ном «карантинном» каталоге;

3. если отправитель сообщения неизвестен, то сообщение с вложением может быть даже удалено; если отправитель сообщения известен, то сообщение с вложением также может содержать вирус;

общее правило может быть сформулировано следующим образом: никогда не открывать почтовых вложений, которые не были запрошены или о которых не было уведомления от отправителя;

4. перед открытием вложения всегда проверить его с помощью антивирусного программного обеспечения;

5. если после выполнения всех этих процедур остались сомнения в отсутствии вирусов в почтовом вложении, то можно связаться с отправителем и выяснить у него информацию о посланном вложении;

6. устранить возможные уязвимости в клиентском почтовом программном обеспечении.

7. Разработать политику безопасности приложений (особенно при использовании в организации семейства продуктов Microsoft Office), обрабатывающих документы с интерпретируемыми языками (как составной элемент политики безопасности).

В Специализированном центре защиты информации Санкт-Петербургского государственного политехнического университета была разработана система мониторинга антивирусной безопасности, существенно облегчающая организацию антивирусной защиты.

Система организации мониторинга антивирусной безопасности состоит из двух компонент — специализированного сервера и агентов системы мониторинга защиты.

Специализированный сервер — это программно-аппаратное средство, предназначенное для анализа трафика, входящего в локальную вычислительную сеть, и информации, хранящейся в ЛВС, на предмет наличия в файлах компьютерных вирусов.