Антивирусное ПО

В настоящее время на рынке представлен широкий перечень комплексных решений антивирусной защиты от ведущих компаний, таких как Kaspersky, Symantec, ESET, Dr.Web и т.д..

Независимая лаборатория AV-Comparatives проводит ежегодное тестирование антивирусных программ на их способность защищать от реальных интернет-угроз, возможность обнаруживать тысячи последних вредоносных программ.

Из года в год, представленные на рынке решения справляются с тестированием с различной степенью успешности.

Однако ни один антивирус никогда не обнаруживал все вирусные угрозы в тестовом пакете.

Причина в том, что антивирусные программы работают сопоставляя проверяемый код с набором сигнатур, которые периодически обновляются с сервера производителя, и, после обнаружения нового вируса его сигнатура включается производителями антивируса в пакеты обновлений для антивирусных баз, и только после их обновления приложение становится способно обнаруживать новый вирус, но уязвимость нулевого дня все-таки сохраняется

Антивирусное ПО

Для защиты от такого типа угроз антивирусные пакеты используют технологии проактивной защиты:

• Эвристический анализ - Технология эвристического анализа позволяет на основе анализа кода выполняемого приложения, скрипта или макроса обнаружить участки кода, отвечающие за вредоносную активность. Эффективность данной технологии не является высокой, что обусловлено большим количеством ложных срабатываний при повышении чувствительности анализатора, а также большим набором техник, используемых авторами вредоносного ПО для обхода эвристического компонента антивирусного ПО;

Антивирусное ПО

• Эмуляция кода - позволяет запускать приложение в изолированной среде, эмулирующей поведение ОС. При выполнении приложения в режиме эмуляции, оно не может нанести вреда системе пользователя и несанкционированные действия будут обнаружены эмулятором. Эффективность данного подхода выше, но он также не лишен недостатков - эмуляция занимает слишком много времени и ресурсов, что негативно сказывается на быстродействии при выполнении однотипных операций. Современные вирусы способны обнаруживать выполнение в среде эмулятора и прекращать свое выполнение в ней

Антивирусное ПО

•Анализ поведения основывается на перехвате всех важных системных функций или установке мини-фильтров, что позволяет отслеживать всю активность пользователя в системе. Технология поведенческого анализа позволяет оценивать не только единичное действие, но и цепочку действий, что многократно повышает эффективность противодействия вирусным угрозам. Также, поведенческий анализ является технологической основой для целого класса программ - поведенческих блокираторов (HIPS - Host-based Intrusion Systems);

•Sandboxing (Песочница). Эта технология характеризуется ограничением активности потенциально вредоносных приложений таким образом, чтобы они не могли нанести вреда системе пользователя, отслеживая привилегии выполнения

Антивирусное ПО

Ограничение активности достигается за счет выполнения неизвестных приложений в ограниченной среде, называемой песочницей, откуда приложение не имеет прав доступа к критичным для работы системы файлам, веткам реестра и другой важной информации.

Технология ограничения привилегий выполнения является эффективной технологией противодействия современным угрозам, но упирается в квалификацию пользователя, который должен обладать знаниями, необходимыми для правильной оценки неизвестного приложения.

Антивирусное ПО

Виртуализация рабочего окружения работает с помощью системного драйвера, который перехватывает все запросы на запись на жесткий диск и вместо выполнения записи на реальный жесткий диск выполняет запись в специальную дисковую область - буфер, и, даже в том случае, если пользователь запустит вредоносное программное обеспечение, оно проживет не далее, чем до очистки буфера, которая по умолчанию выполняется при выключении компьютера.

Следует понимать, что технология виртуализации рабочего окружения не сможет защитить от вредоносных программ, основной целью которых является кража конфиденциальной информации, так как доступ на чтение к жесткому диску не запрещен.

Антивирусное ПО

Антивирусное ПО защищает, но не даёт 100% гарантии обнаружения всех вирусных угроз, а методы проактивной защиты могут давать ложные срабатывания.

Большинство производителей антивирусного ПО на рынке представляет корпоративные решения, которые отличаются централизованным управлением и обновлением антивирусных сигнатур, позволяющих уменьшить объемы трафика и обеспечить контроль за своевременным обновлением сигнатур и даёт возможность системным администраторам предопределять настройки антивируса, и ограничивать управление настройками антивируса пользователями.

Антивирусной защиты недостаточно в случае проведения адресной атаки, когда эксплоиты создаются под конкретно взятую организацию, которая может стать целью промышленного шпионажа.

СОВ - системы обнаружения вторжений

СОВ являются программными или аппаратными системами, которые автоматизируют процесс просмотра событий, возникающих в компьютерной системе или сети, и анализируют их с точки зрения безопасности.

СОВ один из важнейших элементов систем информационной безопасности сетей любого современного предприятия. Они позволяют выявлять атаки и реагировать на них.

Реакция может быть активной – СОВ предпринимает корректирующие (устраняет лазейки) или действительно активные (закрывает доступ для возможных нарушителей, делая недоступными сервисы) действия.

Если СОВ только выдаёт предупреждения, её называют пассивной.

СОВ становятся необходимым дополнением инфраструктуры безопасности в каждой организации.

Технологии обнаружения проникновений не делают систему абсолютно безопасной. Тем не менее практическая польза от СОВ существует, и не маленькая.

СОВ - системы обнаружения вторжений

Использование СОВ помогает достичь нескольких целей:

Возможность иметь реакцию на атаку позволяет заставить атакующего нести ответственность за собственную деятельность.

Это трудно реализовать в сетях TCP/IP, где протоколы позволяют атакующим подделать идентификацию адресов источника или другие идентификаторы источника.

Также очень трудно осуществить подотчетность в любой системе, которая имеет слабые механизмы идентификации и аутентификации.

Возможность блокирования означает возможность распознать некоторую активность или событие как атаку и затем выполнить действие по блокированию источника.

СОВ - системы обнаружения вторжений

Объявления о появлении новых уязвимостей являются общедоступными, например, через публичные сервисы, такие как ICAT (http://icat.nist.gov) или CERT (http://www.cert.org), которые созданы для того, чтобы эти уязвимости нельзя было использовать для выполнения атак.

Тем не менее существует много ситуаций, в которых использование этих уязвимостей все же возможно:

Во многих наследуемых системах не могут быть выполнены все необходимые обновления и модификации.