Какой уровень защиты информации обеспечивает антивирусное программное обеспечение

Обновлено: 28.06.2024

Материальным носителем информационной безопасности являются конкретные программно-технические решения, которые объединяются в комплексы в зависимости от целей их применения. Организационные меры вторичны относительно имеющейся материальной основы обеспечения информационной безопасности, поэтому в данном разделе пособия основное внимание будет уделено принципам построения основных программно-технических решений и перспективам их развития.

Угрозой интересам субъектов информационных отношений обычно называют потенциально возможное событие, процесс или явление, которое посредством воздействия на информацию или другие компоненты ИРК может прямо или косвенно привести к нанесению ущерба интересам данных субъектов.

В силу особенностей современных ИРК, существует значительное число различных видов угроз безопасности субъектам информационных отношений.

Одним из распространенных видов угроз являются компьютерные вирусы. Они способны причинить значительный ущерб ИРК. Поэтому важное значение имеет не только защита сети или отдельных средств информационного обмена от вирусов, но и понимание пользователями принципов антивирусной защиты.

Известно, что нельзя добиться 100 %-й защиты ПК от компьютерных вирусов отдельными программными средствами. Поэтому для уменьшения потенциальной опасности внедрения компьютерных вирусов и их распространения по корпоративной сети необходим комплексный подход, сочетающий различные административные меры, программно-технические средства антивирусной защиты, а также средства резервирования и восстановления. Делая акцент на программно-технических средствах, можно выделить три основных уровня антивирусной защиты:

- поиск и уничтожение известных вирусов;

- поиск и уничтожение неизвестных вирусов;

- блокировка проявления вирусов [6].

Уровни и средства антивирусной защиты схематично представлены на рис. 2.1.

Рис. 2.1. Уровни и средства антивирусной защиты

2.1.1. Защита от известных вирусов

При поиске и уничтожении известных вирусов наиболее распространенным является метод сканирования. Указанный метод заключается в выявлении компьютерных вирусов по их уникальному фрагменту программного кода (сигнатуре, программному штамму). Для этого создается некоторая база данных сканирования с фрагментами кодов известных компьютерных вирусов. Обнаружение вирусов осуществляется путем сравнения данных памяти компьютера с фиксированными кодами базы данных сканирования. В случае выявления и идентификации кода нового вируса, его сигнатура может быть введена в базу данных сканирования. В виду того, что сигнатура известна, существует возможность корректного восстановления (обеззараживания) зараженных файлов и областей. Следует добавить, что некоторые системы хранят не сами сигнатуры, а, например, контрольные суммы или имитоприставки сигнатур.

Антивирусные программы, выявляющие известные компьютерные вирусы, называются сканерами или детекторами. Программы, включающие функции восстановления зараженных файлов, называют полифагами (фагами), докторами или дезинфекторами. Принято разделять сканеры на следующие:

- транзитные, периодически запускаемые для выявления и ликвидации вирусов,

- резидентные (постоянно находящиеся в оперативной памяти), проверяющие заданные области памяти системы при возникновении связанных с ними событий (например, проверка файла при его копировании или переименовании).

К недостаткам сканеров следует отнести то, что они позволяют обнаружить только те вирусы, которые уже проникали в вычислительные системы, изучены и для них определена сигнатура. Для эффективной работы сканеров необходимо оперативно пополнять базу данных сканирования. Однако с увеличением объема базы данных сканирования и числа различных типов искомых вирусов снижается скорость антивирусной проверки. Само собой, если время сканирования будет приближаться ко времени восстановления, то необходимость в антивирусном контроле может стать не столь актуальной.

Некоторые вирусы (мутанты и полиморфные) кодируют или видоизменяют свой программный код. Это затрудняет или делает невозможным выделить сигнатуру и, следовательно, обнаружить вирусы методом сканирования.

Для выявления указанных маскирующихся вирусов используются специальные методы. К ним можно отнести метод эмуляции процессора. Метод заключается в имитации выполнения процессором программы и подсовывания вирусу фиктивных управляющих ресурсов. Обманутый таким образом вирус, находящийся под контролем антивирусной программы, расшифровывает свой код. После этого, сканер сравнивает расшифрованный код с кодами из своей базы данных сканирования.

2.1.2. Защита от неизвестных вирусов

Выявление и ликвидация неизвестных вирусов необходимы для защиты от вирусов, пропущенных на первом уровне антивирусной защиты. Наиболее эффективным методом является контроль целостности системы (обнаружение изменений). Данный метод заключается в проверке и сравнении текущих параметров вычислительной системы с эталонными параметрами, соответствующими ее незараженному состоянию. Понятно, что контроль целостности не является прерогативой системы антивирусной защиты. Он обеспечивает защищенность информационного ресурса от несанкционированных модификации и удаления в результате различного рода нелегитимных воздействий, сбоев и отказов системы и среды.

Ревизоры, как и сканеры, делятся на транзитные и резидентные. К недостаткам ревизоров, в первую очередь резидентных, относят создаваемые ими различные неудобства и трудности в работе пользователя. Например, многие изменения параметров системы вызваны не вирусами, а работой системных программ или действиями пользователя-программиста. По этой же причине ревизоры не используют для контроля зараженности текстовых файлов, которые постоянно меняются. Таким образом, необходимо соблюдение некоторого баланса между удобством работы и контролем целостности системы.

Ревизоры обеспечивают высокий уровень выявления неизвестных компьютерных вирусов, однако они не всегда обеспечивают корректное лечение зараженных файлов. Для лечения файлов, зараженных неизвестными вирусами, обычно используются эталонные характеристики файлов и предполагаемые способы их заражения.

Разновидностью контроля целостности системы является метод программного самоконтроля, именуемый вакцинацией. Идея метода состоит в присоединении к защищаемой программе модуля (вакцины), контролирующего характеристики программы, обычно ее контрольную сумму.

К недостаткам эвристических анализаторов можно отнести ошибки 1-го и 2-го рода: ложные срабатывания и пропуск вирусов. Соотношение указанных ошибок зависит от уровня эвристики.

Понято, что если для обнаруженного эвристическим анализатором компьютерного вируса сигнатура отсутствует в базе данных сканирования, то лечение зараженных данных может быть некорректным.

2.1.3. Защита от проявлений вирусов

Блокировка проявления вирусов предназначена для защиты от деструктивных действий и размножения компьютерных вирусов, которым удалось преодолеть первые два уровня защиты. Методы основаны на перехвате характерных для вирусов функций. Известны два вида указанных антивирусных средств:

- аппаратные средства контроля.

Встроенные аппаратные средства ПК обеспечивают контроль модификации системного загрузчика и таблицы разделов жесткого диска, находящихся в главной загрузочной записи диска (MBR). Включение указанных возможностей в ПК осуществляется с помощью программы Setup, расположенной в ПЗУ. Следует указать, что программу Setup можно обойти в случае замены загрузочных секторов путем непосредственного обращения к портам ввода-вывода контроллеров жесткого и гибкого дисков.

К недостаткам указанных контроллеров, таких как ISA-плат, относят отсутствие системы автоконфигурирования, и, как следствие, возможность возникновения конфликтов с некоторыми системными программами, в том числе антивирусными.

2.1.4. Обзор возможностей антивирусных средств

Антивирус Касперского – это принципиально новый подход к защите информации. Главное в приложении – это объединение и заметное улучшение текущих функциональных возможностей всех продуктов компании в одно комплексное решение защиты. Приложение обеспечивает не только антивирусную защиту, но и защиту от неизвестных угроз. Больше не нужно устанавливать несколько продуктов на компьютер, чтобы обеспечить себе полноценную защиту. Достаточно просто установить Антивирус Касперского.

Комплексная защита обеспечивается на всех каналах поступления и передачи информации. Гибкая настройка любого компонента приложения позволяет максимально адаптировать Антивирус Касперского под нужды конкретного пользователя. Предусмотрена также единая настройка всех компонентов защиты.

Рассмотрим детально нововведения Антивируса Касперского.

- Теперь Антивирус Касперского защищает не только от уже известных вредоносных программ, но и от тех, что еще не известны. Наличие компонента проактивной защиты – основное преимущество приложения. Его работа построена на анализе поведения приложений, установленных на вашем компьютере, на контроле изменений системного реестра, отслеживании выполнения макросов и борьбе со скрытыми угрозами. В работе компонента используется эвристический анализатор, позволяющий обнаруживать различные виды вредоносных программ. При этом ведется история вредоносной активности, на основе которой обеспечивается откат действий, совершенных вредоносной программой, и восстановление системы до состояния, предшествующего вредоносному воздействию.

- Изменилась технология защиты файлов на компьютере пользователя: теперь вы можете снизить нагрузку на центральный процессор и дисковые подсистемы и увеличить скорость проверки файлов. Это достигается за счет использования технологий iChecker и iSwift. Такой режим работы приложения исключает повторную проверку файлов.

- Процесс поиска вирусов теперь подстраивается под вашу работу на компьютере. Проверка может занимать достаточное количество времени и ресурсов системы, но пользователь может параллельно выполнять свою работу. Если выполнение какой-либо операции требует ресурсов системы, поиск вирусов будет приостановлен до момента завершения этой операции. Затем проверка продолжится с того места, на котором остановилась.

- Проверка критических областей компьютера, заражение которых может привести к серьезным последствиям, представлена отдельной задачей. Вы можете настроить автоматический запуск этой задачи каждый раз при старте системы.

- Значительно улучшена защита электронной корреспонденции на компьютере пользователя от вредоносных программ. Приложение проверяет на вирусы почтовый трафик на следующих протоколах:

* IMAP, SMTP, POP3, независимо от используемого вами почтового клиента;

* NNTP, независимо от почтового клиента;

- В таких широко известных почтовых клиентах как Microsoft Office Outlook, Microsoft Outlook Express и The Bat! встроены специальные модули расширения (плагины), позволяющие настраивать защиту почты непосредственно в почтовом клиенте.

- Реализована проверка трафика, передаваемого через защищенное соединение по протоколу SSL.

- Добавлена технология самозащиты приложения, защиты от удаленного несанкционированного управления сервисом Антивируса, а также защиты доступа к параметрам приложения с помощью пароля. Это позволяет избежать отключения защиты со стороны вредоносных программ, злоумышленников или неквалифицированных пользователей.

- Добавлена возможность создания диска аварийного восстановления системы. С помощью этого диска можно провести первоначальную загрузку операционной системы после вирусной атаки и выполнить проверку компьютера на наличие вредоносных объектов.

Достаточно популярной у ряда пользователей является программа Dr. Web. Основная направленность Dr. Web состоит в обнаружение полиморфных вирусов. В настоящее время Dr. Web реализует наиболее эффективный эвристический анализатор неизвестных вирусов в мире. По данным журнала Virus Bulletin, это обеспечивает обнаружение до 80 – 91% неизвестных вирусов, в т. ч. 99 % макро-вирусов! На международных конкурсах Dr. Web несколько раз входил в тройку самых лучших антивирусов для DOS. Продукт достаточно компактный, что позволяет запускать его с дискеты.

В заключении отметим, что администратор сети, пользователи ПК должны постоянно следить за обновлением антивирусных средств и своевременно осуществлять комплекс мер по защите программно-аппаратных средств сети от высоковероятного поражения их вирусами.

Копирование информации со страницы разрешается только с указанием ссылки на данный сайт

Одним из условий безопасной работы в информационной системе является соблюдение пользователем ряда правил, которые проверены на практике и показали свою высокую эффективность. Их несколько:

Использование программных продуктов, полученных законным официальным путем. Вероятность наличия вируса в пиратской копии во много раз выше, чем в официально полученном программном обеспечении.
Дублирование информации. Прежде всего, необходимо сохранять дистрибутивные носители программного обеспечения. При этом запись на носители, допускающие выполнение этой операции, должна быть, по возможности, заблокирована. Следует особо позаботиться о сохранении рабочей информации. Предпочтительнее регулярно создавать копии рабочих файлов на съемных машинных носителях информации с защитой от записи. Копируется либо весь файл, либо только вносимые изменения. Последний вариант применим, например, при работе с базами данных.
Регулярное обновление системного ПО. Операционную систему необходимо регулярно обновлять и устанавливать все исправления безопасности от Microsoft и других производителей, чтобы устранить существующие уязвимости программного обеспечения.
Ограничение доступа пользователей к настройкам операционной системы и системным данным. Для обеспечения стабильной работы системы довольно часто требуется ограничивать возможности пользователей, что можно сделать либо с помощью встроенных средств Windows, либо с помощью специализированных программ, предназначенных для управления доступом к компьютеру.

В корпоративных сетях возможно применение групповых политик в сети домена Windows.

Постоянное следование приведенным рекомендациям позволяет значительно уменьшить вероятность заражения программными вирусами и защищает пользователя от безвозвратных потерь информации. Однако даже при скрупулезном выполнении всех правил профилактики возможность заражения ПК компьютерными вирусами полностью исключить нельзя, поэтому методы и средства противодействия вредоносному ПО необходимо постоянно совершенствовать и поддерживать в работоспособном состоянии.

Антивирусные средства защиты информации

Массовое распространение вредоносного программного обеспечения, серьезность последствий его воздействия на информационные системы и сети вызвали необходимость разработки и использования специальных антивирусных средств и методов их применения.

Нужно отметить, что не существует антивирусных средств, гарантирующих обнаружение всех возможных программ-вирусов.

Антивирусные средства применяются для решения следующих задач:

обнаружение вредоносного ПО в информационных системах;
блокирование работы вредоносного ПО;
устранение последствий воздействия вредоносного ПО.

Обнаружение вредоносного ПО желательно осуществлять на стадии его внедрения в систему или, по крайней мере, до начала осуществления им деструктивных действий. При обнаружении такого программного обеспечения или его деятельности необходимо сразу же прекратить работу программы-вируса в целях минимизации ущерба от ее воздействия на систему.

Устранение последствий воздействия вирусов ведется в двух направлениях:

удаление вирусов;
восстановление (при необходимости) файлов, областей памяти.

Процедуру удаления обнаруженного вредоносного кода из зараженной системы необходимо выполнять крайне аккуратно. Часто вирусы и троянские программы предпринимают специальные действия, чтобы скрыть факт своего присутствия в системе, или встраиваются в нее так глубоко, что задача его уничтожения становится достаточно нетривиальной.

Восстановление системы зависит от типа вируса, а также от времени его обнаружения по отношению к началу деструктивных действий. В том случае, когда программа-вирус уже запущена в системе и ее деятельность предусматривает изменение или удаление данных, восстановление информации (особенно, если она не продублирована) может быть невыполнимо.Для борьбы с вирусами используются программные и программно-аппаратные средства, которые применяются в определенной последовательности и комбинации, образуя методы защиты от вредоносного ПО.

Известны следующие методы обнаружения вирусов, активно применяемые современными антивирусными средствами:

сканирование;
обнаружение изменений;
эвристический анализ;
использование резидентных сторожей;
использование программно-аппаратной защиты от вирусов.

Сканирование – один из самых простых методов обнаружения вирусов, осуществляется программой-сканером, которая просматривает файлы в поисках опознавательной части вируса – сигнатуры . Под сигнатурой понимается уникальная последовательность байтов, принадлежащая конкретному вирусу и не встречающаяся в других программах.

Программа фиксирует наличие уже известных вирусов, для которых сигнатура определена. Для эффективного применения антивирусных программ, использующих метод сканирования, необходимо регулярное обновление сведений о новых вирусах.

Метод обнаружения изменений базируется на использовании программ-ревизоров, которые следят за изменениями файлов и дисковых секторов на компьютере. Любой вирус каким-либо образом изменяет систему данных на диске. Например, может измениться загрузочный сектор, появиться новый исполняемый файл или измениться уже существующий, и т.п.

Главным достоинством метода является возможность обнаружения вирусов всех типов, а также новых неизвестных вирусов.

Имеются у этого метода и недостатки. С помощью программ-ревизоров невозможно определить вирус в файлах, которые поступают в систему уже зараженными. Вирусы будут обнаружены только после размножения в системе.

Эвристический анализ , как и метод обнаружения изменений, позволяет определять неизвестные вирусы, но не требует предварительного сбора, обработки и хранения информации о файловой системе.

Недостатком данного метода является большое количество ложных срабатываний антивирусных средств в тех случаях, когда в легальной программе присутствуют фрагменты кода, выполняющего действия и/или последовательности, свойственные некоторым вирусам.

Применение антивирусных программ с резидентным сторожем снижает вероятность запуска вирусов на компьютере, но следует учитывать, что постоянное использование ресурсов оперативной памяти под резидентные программы уменьшает объем памяти, доступной для других программ.

На сегодняшний день одним из самых надежных механизмов защиты информационных систем и сетей являются программно-аппаратные средства , как правило, включающие в себя не только антивирусные системы, но и обеспечивающие дополнительный сервис. Эта тема подробно рассмотрена в разделе "Программно-аппаратные средства обеспечения безопасности информационных сетей".

Настоящая статья представляет собой краткий обзор наиболее распространенных корпоративных средств обеспечения информационной безопасности, а именно: средств антивирусной защиты, брандмауэров и средств обнаружения атак. Здесь не рассматриваются продукты, предназначенные для персонального применения, равно как и сопутствующие технологии и средства (например, средства аутентификации и криптографические инструменты), поскольку информацию о них можно найти в других статьях данного спецвыпуска.

нформационная безопасность — непременное условие нормального функционирования любой компании, так или иначе связанной с внешним миром. Все большее число компаний используют Интернет как одну из составляющих своего бизнеса, вследствие чего постоянно возрастает роль аппаратных и программных средств как для обеспечения безопасного функционирования внутренних приложений компании в ее IT-инфраструктуре, так и для общей политики компаний в области безопасности. При этом нередко бывает весьма сложно оценить экономический эффект от внедрения подобных средств, по крайней мере в сравнении с оценкой эффективности офисных приложений или систем управления предприятием.

Наиболее распространенные виды атак

Как правило, атаки направлены на получение административных привилегий с целью запуска определенных процессов и неправомерного использования корпоративных ресурсов 1 . Атака может исходить как извне, так и изнутри, но независимо от ее источника первым шагом должен стать поиск уязвимых мест, позволяющих получить административные права. К сожалению, подобные уязвимые места существуют во многих программных продуктах и нередко хорошо документированы.

переполнение буфера — неавторизованный пользователь направляет большое число запросов приложению, на которое производится атака, вследствие чего становится недоступной функциональность данного приложения, связанная с реакцией на запланированную одновременно с этим атаку. Хотя такой вид атаки известен очень давно, приложения, обладающие подобной уязвимостью, по-прежнему создаются;
использование стандартных паролей — этот вид рассчитан на то, что администратор сети или базы данных не изменил административных паролей, значение которых по умолчанию документировано и, следовательно, известно;
malware (malicious softeware) — использует специальное программное обеспечение, предназначенное для несанкционированного мониторинга сети, поиска уязвимых мест и выявления паролей;
вирусы — разновидность malware; это ПО, служащее, как правило, для разрушения данных либо для нарушения в работе сети и отличающееся способностью к саморазмножению. Нередко вирусы используются и для получения контроля над сетью или для несанкционированного доступа к ресурсам;
отказ в обслуживании (Denial of Service, DoS) — один из наиболее распространенных видов сетевых атак. Простейшая форма проявления подобной атаки — отказ от выполнения вполне легитимного запроса в связи с тем, что все ресурсы сети (либо функционирующего в ней программного обеспечения) заняты обслуживанием большого количества запросов, поступающих из других источников. Отметим, что следует не только защищать свою сеть от подобных атак, но и предотвращать возможность использования ее в качестве источника атаки на сети других компаний.

Обычно средства обеспечения информационной безопасности применяются в комплексе, поэтому во многих источниках нередко говорят не о конкретных продуктах, а о платформах безопасности — security platforms. Далее мы рассмотрим наиболее распространенные составные части таких платформ.

Антивирусное программное обеспечение

Антивирусное ПО обязательно содержит следующие компоненты:

приложение для управления настройками;
средства сканирования файлов и поиска сигнатур вирусов;
база данных или библиотека, содержащая определения известных вирусов (заметим, что успешность функционирования антивирусного ПО зависит от регулярности обновления баз данных, содержащих определения вирусов).

По сведениям аналитической компании Gartner Group, лидерами рынка антивирусного программного обеспечения являются Network Associates, Symantec, TrendMicro. Значительную роль на рынке играют и компании Sophos, Computer Associates, F-Secure. Все указанные фирмы производят продукты для настольных систем, файловых серверов, SMTP-шлюзов, Web- и FTP-серверов, а также позволяют поддерживать распределенные системы.

Корпоративные брандмауэры

Корпоративные брандмауэры контролируют трафик, поступающий в локальную корпоративную сеть и выходящий из нее, и могут представлять собой как чисто программные средства, так и аппаратно-программные комплексы. Каждый пакет данных, проходящий через брандмауэр, анализируется им (например, на предмет происхождения или соответствия иным правилам пропускания пакетов), после чего пакет либо пропускается, либо нет. Обычно брандмауэры могут выполнять роль фильтра пакетов или роль прокси-сервера, в последнем случае брандмауэр выступает в качестве посредника в выполнении запросов, инициируя собственный запрос к ресурсу и тем самым не допуская непосредственного соединения между локальной и внешней сетями.

При выборе брандмауэра компании обычно руководствуются результатами независимого тестирования. Наиболее распространенными стандартами, на соответствие которым тестируются брандмауэры, являются ITSEC (Information Technology Security Evaluation and Certification Scheme) и IASC (Information Assurance and Certification Services), также носящий название Common Criteria Standard.

Самыми популярными производителями корпоративных брандмауэров, с точки зрения Gartner Group, являются CheckPoint Software, Cisco Systems, Microsoft, NetScreen Technologies и Symantec Corporation.

Отметим, что продукты Check Point Software Technologies, Cisco Systems и NetScreen Technologies представляют собой аппаратно-программные комплексы, тогда как продукты Microsoft и Symantec — это программные средства, функционирующие на обычных компьютерах под управлением стандартных серверных операционных систем.

Средства обнаружения атак

Средства обнаружения атак предназначены для определения событий, которые могут быть интерпретированы как попытка атаки, и для уведомления об этом IT-администратора. Данные средства можно разделить на две категории по принципу их функционирования: средства, анализирующие трафик всей сети (в этом случае на рабочих станциях сети нередко устанавливается часть соответствующего программного обеспечения, называемая агентом), и средства, анализирующие трафик конкретного компьютера (например, корпоративного Web-сервера). Средства обнаружения атак, как и брандмауэры, могут быть реализованы и в виде программного обеспечения, и в виде аппаратно-программного комплекса. Очевидно, что подобные средства требуют тщательной настройки, чтобы, с одной стороны, были обнаружены истинные попытки атак, а с другой — чтобы по возможности были исключены ложные срабатывания.

Лидерами рынка средств обнаружения атак, по мнению Gartner Group, являются Cisco Systems, Internet Security Systems, Enterasys Networks и Symantec. По данным Butler Group, весьма популярными производителями этой категории средств обеспечения безопасности являются также Computer Associates и Entercept Security Technology.

Средства, анализирующие трафик конкретного компьютера, производятся компаниями Symantec и Entercept Security Technology. Продукт Cisco IDS 4210 является аппаратно-программным комплексом, остальные вышеперечисленные продукты — программными средствами, которые выполняются под управлением стандартных операционных систем на обычных компьютерах.

О политике и стандартах безопаcности

Рассмотренное в этой статье программное обеспечение может оказаться совершенно бесполезным при отсутствии надлежащей политики безопасности, определяющей правила применения компьютеров, сети и данных, а также процедуры, предназначенные для предотвращения нарушения этих правил и для реакции на подобные нарушения, если таковые возникнут. Отметим также, что при выработке подобной политики требуется оценка рисков, связанных с той или иной деятельностью, например в случае предоставления бизнес-партнерам данных из корпоративной информационной системы. Полезные рекомендации на этот счет содержатся в международных стандартах, в частности в международном стандарте безопасности информационных систем ISO 17799. Выбор аппаратных и программных средств обеспечения безопасности во многом определяется политикой, выработанной конкретной компанией.

Прогнозы аналитиков

Рассмотрев современное состояние рынка корпоративных средств обеспечения информационной безопасности, в заключение приведем некоторые прогнозы аналитиков по поводу того, в каком направлении будут развиваться указанные категории продуктов.

Согласно прогнозам Gartner Group, одним из ключевых направлений развития рынка корпоративных средств обеспечения информационной безопасности будет дальнейшее развитие так называемых платформ безопасности (security platforms), комбинирующих аппаратные и программные брандмауэры, средства обнаружения атак, средства поиска уязвимостей, антивирусное программное обеспечение и, возможно, средства сканирования электронной почты и антиспамовые средства.

Набор антивирусных программ, чья функциональность базируется на одном либо нескольких идентичных антивирусных ядрах, созданных для защиты работы компьютерной системы от внедрения вирусов, носит название антивирусного комплекса.

Антивирусный движок (ядро) является основой высокотехнологичного процесса проведения сигнатурного и эвристического анализа на основе известных характерных признаков внедрения вирусов в защищаемое устройство.

В эффективно работающий антивирусный комплекс могут быть включены поведенческие анализаторы, специальные ревизоры изменений, для работы которых не требуется антивирусное ядро. В качестве вспомогательной служебной программы применяется и планировщик заданий.

Решаемые задачи
Оборудование и ПО
Сферы применения

КСАЗ (комплексная система антивирусной защиты), создаваемая для обеспечения безопасности информационных ресурсов – это совокупность управленческих и правовых действий, программно-аппаратных средств, объединяемых в единый комплекс для создания надежной антивирусной защиты информационной базы, находящейся в локальной сети. Комплексная направленность системы заключается в организации контроля любых информпотоков, протекающих в защищаемой локальной сети. Для эффективной работы системы, обеспечения надежной защиты от вредоносного воздействия вирусов всех элементов инфраструктуры, необходим высокий уровень согласованности между применяемыми методами и средствами.

Этапы создания КСАЗ

Для успешного выполнения проекта по созданию эффективно действующей комплексной системы защиты от воздействия вируса, задача первого (начального) этапа работы заключается в разработке основополагающих принципов обеспечения высокого уровня безопасности используемой информационной системы - Концепции и Политики антивирусной безопасности.

Концепцией антивирусной безопасности называется разработанная и утвержденная в компании система взглядов на стоящие цели, существующие задачи, а также принципы работы антивирусной безопасности в корпоративной сети. Концепцией устанавливается перечень объектов защищаемой сети, которым необходимо обеспечить антивирусную безопасность, предполагаемые угрозы, источники их появления, комплекс мероприятий по предотвращению, своевременной нейтрализации угроз. Важное место в Концепции занимает определение основ согласованных действий и осуществляемой политики, проводимой всеми структурами для обеспечения высокого уровня антивирусной безопасности информации Заказчика, находящейся в локальной сети.

Политика антивирусной безопасности состоит из свода правил, определяющих либо ограничивающих сферу деятельности объектов сети, ее участников, ответственность каждого пользователя, порядок функционирования комплексной системы защиты, учитывая реалии времени, основные цели и сферу применения КСАЗ.

Разработка этого высокоуровневого документа, определяющего стратегические цели компании, проводится после досконального обследования корпоративной сети, заключающегося в выявлении и профессиональном анализе информпотоков, протекающих в сети заказчика, категорировании всех узлов корпоративной сети по потенциальной опасности осуществления вирусной угрозы, составления матрицы – категория/возможность реализации вирусной угрозы для данного информационного потока. На основании проведенного обследования должен быть составлен отчет.

Технический проект – специальная документация, где скрупулезно описывается проектируемая КСАЗ, ее состав, назначение спроектированных подсистем, их принципиальная схема взаимодействия, а также предусмотренные способы организации процесса их обновления, схема управления КСАЗ. Обязательно должны присутствовать функционально должностные требования к персоналу, занимающемуся установкой и обслуживанием комплексной антивирусной системы.

По завершению создания технического проекта наступает этап разработки эксплуатационной документации, что требует создания функционально-должностных инструкций администратора, а также рядового пользователя КСАЗ.

Инструкция администратора – утверждаемый приказом по организации документ, регламентирующий обязанности и типовые действия в корпоративной сети ее администратора, обязанного поддерживать постоянную работоспособность КСАЗ.

Инструкция пользователя – утвержденный приказом документ, определяющий алгоритм действий сотрудников компании (пользователей), их ответственность относительно установленной в организации антивирусной защиты.

Следующим этапом создания КСАЗ является ее Внедрение. Процесс очень кропотливый, отличающийся трудоемкостью и требующий, порой, существенных затрат ресурсов, учитывая особенности существующей локальной сети. Впрочем, расходы не выходят за пределы разумного, как и при внедрении любой новой автоматизированной системы. При внедрении КСАЗ часто выявляется необходимость проведения дополнительных работ, поскольку требуется установить дополнительные заплаты безопасности к инсталлированным на устройства операционным системам. При отказе от проведения подобных дополнительных мероприятий - существенно снижается либо полностью утрачивается эффективность антивирусной защиты.

Выбор антивирусных комплексов

В процессе создания схемы КСАЗ, составления проектно-эксплуатационной документации, следует уделить должное внимание выбору производителя и поставщика антивирусных комплексов, предполагаемых для использования.

Наиболее распространенными являются 2 варианта выбора, каждый из которых наделен преимуществами и недостатками:

- одновендорный, когда используются разработки одного производителя для установки на всех уровнях КСАЗ;

- многовендорный, предполагающий использование программно-аппаратных решений от разных поставщиков.

Несомненным достоинством использования в проекте одновендорных систем является единообразие решений, что обуславливает следующие преимущества:

Совместимость всех антивирусных решений, выпущенных одним производителем, что не создает предпосылок для возникновения конфликтов между ними.
Общие антивирусные базы, поскольку в разработках одного вендора применяется идентичное антивирусное ядро, что и определяет довольно ограниченный выбор антивирусных баз. Благодаря такой унификации, однако, в одновендорной системе защиты кардинально снижается нагрузка на сеть, поскольку требуется гораздо меньше обновлений.
Единая система управления, поскольку большая часть высокотехнологичных разработок одного вендора корректируется с помощью разработанной и предоставленной им же системы удаленно-централизованного управления. Подобным способом могут управляться решения для обеспечения безопасности, как используемых серверов, так и рабочих станций Виндовз. Такой подход обеспечивает централизованность управления, более высокую концентрацию информданных, защищенность локальной сети. Благодаря этому имеется возможность проводить полный анализ функциональности системы, что способствует пониманию источника проблем, повышает эффективность управленческих решений.
Единая точка обслуживания, что при использовании сложной системы защиты устраняет вероятность возникновения необычных проблем, поскольку гарантируется поддержка производителя программно-аппаратных решений. Достаточно сказать, что наличие одной лишь точки входа для подачи обращений, связанных с функциональностью антивирусной одновендорной системы защиты, существенно облегчает работу техперсонала, не вызывает сложных проблем при эксплуатации.
Обучение специалистов – похожие интерфейсы и основы управления высокотехнологичными продуктами, предоставленные одним вендором, существенно упрощают процесс освоение их персоналом. Разработанные поставщиком специальные многоцелевые методики обучения сокращают затраты времени и средств, требуемых для подготовки специалистов, в чьи функциональные обязанности будет входить обслуживание антивирусного комплекса защиты.

Перечень потенциальных недостатков, проявляющихся в процессе использования разработок одного вендора, состоит из следующих пунктов:

- сужение ассортимента систем, которые разработчик предлагает выбрать как оптимальное антивирусное решение, обеспечивающее безопасность информации в сети. Несомненно, что число предлагаемых одновендорных систем изначально меньше, нежели ассортимент мультивендорных. Таким образом, уровень соответствия пожеланиям заказчика даже лучшего одновендорного решения изначально признается ниже, чем потенциал лучшей мультивендорной системы, предохраняющей от вирусов;

- могут возникнуть определенные сложности при использовании антивирусных баз, что будет сопровождать запоздалым получением обновлений, общих ошибках в базах, замедленной реакцией вендора на распространение новой вирусной угрозы. Все это сказывается на комплексной антивирусной системе защиты данных, подвергая опасности все ее участки.

При решении применить мультивендорные системы, Заказчик получает КСАЗ, демонстрирующую следующие преимущества:

К недостаткам мультивендорных КСАЗ специалисты относят следующие факторы:

Сложность в освоении, что обусловлено необходимостью изучить и освоить ряд высокотехнологичных решений, использующих, порой, совершенно различные подходы к конструированию интерфейса, способов управления.
Независимое управление – административно-техническому персоналу необходимо будет взаимодействовать с несколькими, параллельно действующими системами управления. К сожалению, это влияет на оперативность, а порой, кардинально усложняет обслуживание защиты.
Использование антивирусных баз от различных разработчиков предполагает необходимость регулярной загрузки, распространение и инсталляцию нескольких пакетов обновлений программ, что приводит к возрастанию нагрузки на сеть.
Возможные конфликты между продуктами являются естественным результатом применения мультивендорных решений. Бывают ситуации, когда сервер одновременно выполняет несколько задач, входит в состав различных подсистем, для которых используется "антивирус" (подсистема серверов и рабочих станций Microsoft Windows и почтовая система Microsoft Exchange). Для такого случая необходима установка на один сервер нескольких антивирусных решений от разных производителей, повышая вероятность возникновения проблем с совместимостью.
Сложности в получении поддержки – возникшие в функциональности системы проблемы тяжелее решить, поскольку обслуживающему персоналу необходимо обратиться в несколько служб техподдержки. В случае же конфликта совместимости используемых разных антивирусных программных решений - специалист, обслуживающий мультивендорную систему, попадает в тяжелое положение.

Учитывая выявленные на данный момент преимущества и недостатки одно- и мультивендорных КСАЗ, специалисты рекомендуют использовать для защиты небольших либо несложных по структуре локальных сетей, именно одновендорные системы, поскольку это предоставляет Заказчику оптимальные условия работы.

Для защиты сложной гетерогенной сети требуется учитывать наличие дополнительных факторов, а именно:

- подходящего одновендорного решения, способного защитить, обеспечивая совместимость редких систем, может и не быть;

- мультивендорной системе следует отдать предпочтение, если требуется гарантировать качество защиты, поскольку имеющихся преимуществ значительно больше гипотетических недостатков;

- в процессе эволюции инфраструктуры локальной сети, соответствие изначально выбранному принципу одновендорности становится недостатком, поскольку требует замены системы целиком, а не одного продукта, что возможно в мультивендорной системе;

- встречаются разные антивирусные базы, применяемые в разработанных одним вендором решениях;

- возможно использование для решений одного производителя разных систем управления, даже отсутствие единой централизованной системы управления;

- встречаются и трудно разрешимые проблемы совместимости высокотехнологичных решений одного производителя.

Читайте также: