Антивирусная защита: от сигнатур до поведения

Как антивирус находит вредоносный код, где он стоит и почему без централизованного управления и обновлений от него мало толку.

Урок · ~7 мин · demyanov · курс «Классы СрЗИ»

Что такое антивирусная защита

Средства антивирусной защиты (САВЗ) обнаруживают и блокируют вредоносный код: вирусы, трояны, шифровальщики, шпионские модули. Это самый привычный класс средств защиты – и самый переоценённый: он закрывает одну группу угроз и никак не заменяет остальные.

Как он находит вредоносное

Сигнатуры. Сравнение файла с базой известного вредоносного кода. Быстро и точно, но новое не знает.
Эвристика и поведение. Анализ того, что программа делает: массово шифрует файлы, лезет в память чужих процессов.
Репутация. Данные об известных файлах и адресах – часто облачные.

Проверка идёт при доступе (файл открыли, скачали, получили) и по расписанию. Найденное блокируется, удаляется или уходит в карантин.

Эвристический анализ – анализ того, какие ПО имеет сигнатуры, насколько код соответствует уже известному вирусному программному обеспечению. В случае обнаружения сигнатур, к ПО применяются действия в соответствии с политиками.

Поведенческий анализ – анализ того, какие действия совершает ПО. В случае обнаружения вредоносных действий, к ПО применяются действия в соответствии с политиками.

Где он стоит

На рабочих станциях и серверах – агентом; на почтовом и веб-шлюзах – проверкой вложений и загрузок. Агенты управляются централизованно: сервер раздаёт политики и обновления баз, собирает события.

Дополнительно функционал САВЗ может присутствовать и в межсетевых экранах. Ссылка на урок по СОСБ вот здесь. Но это не значит, что межсетевые экраны заменят агентов на АРМ – хоть базы производители межсетевых экранов и берут у известных вендоров САВЗ, но не стоит забывать про поведенческий анализ на конечных узлах.

Посмотри, как это работает

Схема «Путь вредоносного вложения через антивирусную защиту» – архитектура с потоками. Элементы: Интернет; Почтовый шлюз (установлено: Антивирусный модуль); АРМ сотрудника (установлено: Агент антивируса); Сервер управления (установлено: Консоль, Хранилище баз); Администратор; Сервер обновлений (установлено: Базы сигнатур). Связи: Интернет → Почтовый шлюз (Поток данных, письмо); Почтовый шлюз → АРМ сотрудника (Поток данных, доставка); АРМ сотрудника → Сервер управления (События и карантин, события); Сервер управления → АРМ сотрудника (Обновление баз, базы); Администратор → Сервер управления (Управление, политики); Сервер обновлений → Сервер управления (Обновление баз, базы из доверенного источника). По шагам: 1. Письмо с вложением приходит на почтовый шлюз: файл проверяется до того, как попадёт к сотруднику. 2. Что-то могло пройти — на самом АРМ агент проверяет файл при открытии и следит за поведением программ. 3. Найденное уходит в карантин, а событие — на сервер управления, где администратор видит, на каком узле и что именно. 4. Сервер получает базы сигнатур от сервера обновлений в доверенной зоне (например, от вендора или головного офиса) и раздаёт агентам свежие базы и политики. Без этого шага защита устаревает за дни.

Сервер управления

В случае, если агентов немного, то администратор может настраивать их локально, без сервера управления – иногда сервер управления избыточен. Обновления не обязательно получаются прямиком по сети на сервер – некоторые сегменты не имеют доступа в Интернет. В таком случае обновления получаются из другого сегмента, в котором доступ к серверам обновления есть, и базы получаются и распространяются внешним носителем информацией (флешкой).

Обязательно источник баз сигнатур должен быть доверенным. Этого требует и законодательство, и здравый смысл.

Какие меры он закрывает

Целевой функционал – защита от вредоносного кода. Встроенный – журналирование и управление доступом к самому средству: эти меры тоже закрываются, но они не причина покупки.

Какие меры закрывают средства класса «Средства антивирусной защиты»

Данные каталога: 2 средств в классе.

Dr.Web Enterprise Security Suite – Доктор Веб
Kaspersky Endpoint Security – Kaspersky

Приказ ФСТЭК России № 21

Целевым функционалом: АВЗ.1, АНЗ.2

Приказ ФСТЭК России № 31

Целевым функционалом: АВЗ.1, АВЗ.3, АВЗ.4, ЗИС.16, ЗНИ.1, ЗНИ.5, ЗНИ.7, ИАФ.2, ОПС.1

Встроенным функционалом: АУД.4, АУД.6, ИАФ.1, ИАФ.4, УПД.1, УПД.2, УПД.4, УПД.5, УПД.11

Приказ ФСТЭК России № 239

Целевым функционалом: АВЗ.1, АВЗ.3, АВЗ.4, ЗИС.16, ЗНИ.1, ЗНИ.5, ЗНИ.7, ИАФ.2, ОПС.1

Встроенным функционалом: АУД.4, АУД.6, ИАФ.1, ИАФ.4, УПД.1, УПД.2, УПД.4, УПД.5, УПД.11

Приказ ФСТЭК России № 17

Целевым функционалом: АВЗ.1, АНЗ.2

Приказ ФСТЭК России № 117

Целевым функционалом: АВЗ.1, КО

Как набор средств закрывает меры вместе – в отдельном модуле:

Интерактивная демонстрация модуля запускается кнопкой «Как это работает» на странице модуля.

Типичные ошибки

Базы не обновляются. Антивирус без свежих баз – формальность.
Исключения «чтобы не тормозило». Папки, которые не проверяются, становятся укрытием для вредоносного.
Агент отключён у «особых» пользователей. Именно их компьютеры оказываются в начале цепочки атаки.
Нет контроля покрытия. Никто не знает, на каких узлах агент не установлен или сломан.
Антивирус как единственная защита. Целевая атака специально проверяется на известных средствах. В настоящее время, когда миром правят нейросети, создать вирус под целевую атаку стало намного дешевле, поэтому необходимо всегда использовать комплекс средств защиты.

Проверь себя

Что делает антивирусная защита целевым функционалом?
Чем сигнатурный метод отличается от поведенческого?
Зачем нужен сервер управления антивирусом?
Почему исключения из проверки опасны?

Другие уроки курса

Средства обеспечения сетевой безопасности (СОСБ)