- PVSM.RU - https://www.pvsm.ru -
Достаточно часто, приходя к заказчикам, мне в той или иной форме приходится задавать вопрос: а зачем вам нужен антивирус? Как правило, на меня смотрят, как на идиота — это же всем известно! Но в большинстве случаев дальнейшая дискуссия показывает, что подавляющая часть заказчиков не знает ответа на детский вопрос. Если быть точным, за прошедший год правильно ответили всего в двух (двух!) компаниях. И кстати, по статистике, это беда не только России — ситуация за рубежом аналогична.
Данная часть не была изначально запланирована, но, видимо, насущно необходима. Ряд комментариев к предыдущим статьям показывают, что даже ИТ-специалисты не понимают разницы между понятиями «антивирус» и «антивирусная система защиты». Достаточно четко это проявляется в комментариях, когда вместо антивируса в форме вызова предлагают использовать иное ПО — как правило, системы ограничения прав, доступа и т. д.
Поэтому предлагаю вернуться к сказанному ранее. Давайте определим, есть ли у кого возражения против замены антивируса на альтернативные решения и отличается ли антивирус от антивирусной системы безопасности.
Антивирус, данный нам в определениях
В первой части нашего цикла мы осознали, что на данный момент в мире отсутствует определение вредоносной программы — регуляторы в общем-то не знают, от чего нужно защищаться. Перейдем на противоположную сторону и посмотрим, что есть антивирус с точки зрения регуляторов нашей страны и мира:
Таким образом, видно, что определения как минимум не определяют момент, когда система защиты должна обнаруживать вредоносную программу, либо включают в себя устаревшие определения мер защиты (модификация).
Занимаемся ловлей блох? Отнюдь. Несмотря на то, что в предыдущих статьях достаточно четко было указано, что главная задача антивируса — обнаружение и удаление ранее неизвестных вредоносных программ — комментарии к двум статьям рекомендовали заменить антивирус на системы, предотвращающие заражения. То есть миф укоренился, и если мы не пропишем правильное определение — система защиты автоматически не получит нужных функций.
Ситуацию иллюстрирует замечательная байка. Говорят, что когда Кеннеди сказал «мы будем первыми на Луне!», специальная комиссия внесла лишь мелкую правку в цель миссии — «Система должна доставить астронавтов на Луну и вернуть их обратно». А ведь можно было и сэкономить.
Также распространенной ошибкой является включение в определение системы защиты перечисления типов вредоносных программ или их действий. В связи с этим появление новых типов вредоносных программ или их действий автоматически выводит их из-под действия нормативных документов.
Почему антивирус пропускает вирусы?
Прежде чем ввести определение системы антивирусной защиты, еще раз определим возможности вредоносных программ по обходу систем антивирусной защиты (уровень риска).
На данный момент наиболее опасные вредоносные программы разрабатываются не хакерами-одиночками — это хорошо организованный криминальный бизнес, вовлекающий в свою преступную деятельность высококвалифицированных системных и прикладных разработчиков ПО.
Внимание! Неважно, кто и какую роль играл в данной «фирме». Возможно, роль простого системного администратора. Незнание не освобождает от ответственности.
Тестирование на необнаружение разрабатываемых вредоносных программ актуальными антивирусными решениями обеспечило возможность выпуска только вредоносных программ, не обнаруживаемых (до получения обновлений) системами защит, предположительно используемых группами пользователей, на которых планируется атака — в том числе с помощью эвристических механизмов. Число таких программ, выпускаемых одной группировкой, может достигать сотен образцов — и ни один из них не будет обнаруживаться антивирусным ПО, используемым целевой группой жертв.
Какие проблемы имеются с обеспечением антивирусной безопасности?
Повторим сказанное в предыдущих статьях:
Кстати. Ранее мы говорили, что производство наиболее опасных вредоносных программ поставлено на поток. Но верно ли это для остальных вредоносных программ? По данным компании AVG (http://now.avg.com/kids-writing-trojans-show-computer-skills-friends), треть современного вредоносного ПО создано детьми.
Зачем нужен антивирус?
Соответственно, система антивирусной защиты должна обеспечивать:
Определение показывает, что данные в нормативных документах определения антивирусной защиты не просто ложные, а заведомо приносящие вред компаниям, ориентирующимся на данные определения. Поэтому и реализованные на основе этих определений функции, и состав систем антивирусной защиты оказываются также неверными.
Комментарии к предыдущим статьям показывают, что многие, определяя задачу антивирусной защиты, забывают про вторую часть.
Выполнить задачу по предотвращению внедрения вредоносных программ можно и без антивируса — никто вам не мешает, и, более того, иногда наличие антивируса противопоказано. Но вот удаление уже активной заразы без антивируса невозможно. Да, я знаю о наличии специалистов, которые могут сделать это вручную (и даже есть компании, которые формируют такие группы быстрого реагирования). Но есть три но:
В чем разница между антивирусом и антивирусной системой защиты?
Система антивирусной защиты — это не всегда антивирус. Это любая программа / настройка ОС / процедура, с помощью которой вы снижаете риск заражения.
Соответственно, никто вам не мешает (кроме регуляторов, но и там все не так очевидно) не использовать антивирус для предотвращения заражения, но для лечения без антивируса не обойдешься. Но есть одно но ( www.infosec.ru/news/8119 [3]):
Наиболее распространенные уязвимости и недостатки:
- Не настроены или некорректно настроены парольные политики.
- Администрирование сетевого оборудования с помощью небезопасного протокола TELNET.
- Аудит событий не настроен или настроен некорректно.
- Межсетевые экраны содержат избыточные правила.
- Некорректно проведена сегментация сети, в частности серверные сегменты не отделены от пользовательских сегментов.
- Не реализован или некорректно реализован процесс управления обновлениями, в результате чего, например, используется устаревшее ПО, содержащее известные уязвимости
- Отсутствие настроек безопасности коммутаторов доступа, в частности, защиты от уязвимости к атакам класса «ARP Cache Poisoning».
- Отсутствие обновления сигнатур и настроек оповещения для средства обнаружения вторжений.
- Использование небезопасных протоколов для удаленного доступа с помощью технологии VPN.
- Некорректно настроены ограничения прав доступа к системным файлам.
Можно использовать автомат Калашникова, а можно выточить снайперскую винтовку самому. Если вы готовы не просто настроить систему, но в режиме реального времени анализировать новости ИБ и соответственно также в режиме реального времени совершенствовать защиту — ни я, ни регуляторы (особенно в разрезе 31го приказа ФСТЭК) — совершенно не против.
Ну а в следующей статье мы поговорим о том, требуют ли регуляторы и создатели стандартов использования именно антивируса, а также какую пользу можно извлечь, если читать на ночь документы по ИБ
Автор: teecat
Источник [4]
Сайт-источник PVSM.RU: https://www.pvsm.ru
Путь до страницы источника: https://www.pvsm.ru/antivirusy/88090
Ссылки в тексте:
[1] www.rg.ru/2013/06/26/gostajna-dok.html: http://www.rg.ru/2013/06/26/gostajna-dok.html
[2] www.microsoft.com/ru-ru/security/resources/antivirus-whatis.aspx: http://www.microsoft.com/ru-ru/security/resources/antivirus-whatis.aspx
[3] www.infosec.ru/news/8119: http://www.infosec.ru/news/8119
[4] Источник: http://habrahabr.ru/post/255015/
Нажмите здесь для печати.