Современные антивирусы: функции и возможности – Часть III: Веб-защита и дополнительные функции

Часть I: Антивирусный движок и фаервол
Часть II: Проактивная защита

Функции, упоминаемые в этой статье обычно не входят в основной состав антивирусных продуктов. Очень редко вы можете встретить антивирусное решение, которое содержит все вышеперечисленные функции. Инструментарий отдельных антивирусов очень сильно отличается. Вот почему мы затрагиваем только основные принципы и аспекты дополнительной функциональности.

Содержание

• Веб-защита браузеров
- Контроль плагинов
- Фильтры URL-адресов, блокировка рекламы
- Динамическое содержание
- Куки
- Виртуализация браузера
- Браузерный и поисковый помощник, анти-фишинг
- Сканирование веб-содержания
- Защита конфиденциальной информации
• Родительский контроль
• Анти-спам
• Защита от уязвимостей
• Обновления
• Защита настроек
• Онлайн резервное копирование
• Мониторинг производительности
• Настройка системы
• Отчеты и журналы регистрации событий

Веб-защита браузеров (Web and Browser protection)

Также называют: Веб-контроль (Web Control), веб-безопасность (Web Security), веб-защита (Web Protection), защита браузера (Browser Protection), защита просмотра веб-страниц (Web Browsing Protection)

Веб-браузеры являются самыми основными целями атак со стороны вредоносного ПО. Они могут быть использованы для заражения ПК через интернет, для передачи украденной информации с зараженного компьютера на сервера злоумышленников.

Браузеры часто становятся объектом атаки из-за данных платежных систем, которые могут храниться в базе автозаполнения форм браузеров. Вот почему вендоры антивирусного ПО выполняют огромные усилия по обеспечению безопасности именно веб-браузеров, как никакого другого объекта пользовательского компьютера.

Контроль плагинов (Plugin Control)

Также называют: защита плагинов (Plugin Prevention)

Цепочки браузерных процессов, файлы и другие ресурсы могут быть защищены с помощью функциональности стандартного поведенческого контроля, но в общем случае эти меры недостаточны. Большинство основных браузеров имеют плагины, дополнения, панели управления, дополнительные помощники, которые могут также угрожать их безопасности. Контроль компонентов в этом случае может прийти на помощь. Антивирус должен убедиться, что все компоненты браузерного приложения являются достоверными и безопасными для пользователя.

Фильтры URL-адресов, блокировка рекламы (Domain and URL Filters, Blocking Ads

Внесение в черный список вредоносных доменов и ссылок является основной функцией. Пользователям, в общем случае, позволяется добавлять собственные адреса в список фильтров. Когда браузер пытается соединиться с заблокированным адресом, фильтр обнаруживает эту попытку и запрещает действие до того, как началась передача данных. Данная функциональность может вступать в действие либо на сетевом уровне с низкоуровневым драйвером ядра, либо на уровне расширения браузера.

Расширение браузера является более распространенным, т.к. поведение браузера очень легко контролируется в этом случае и реальное сообщение об ошибке выводится перед мнимой ошибкой соединения, инициируемой вредоносным ПО. По умолчанию фильтры содержат пути назначения, известные как зловредные или незаконные: сайты, использующие фишинг, обманные действия, ресурсы, имеющие вредоносный код, плохую репутацию и порнографическое содержание.

Блокирование рекламы может быть частью веб-контроля. Некоторые антивирусы предлагают пользователю заблокировать рекламу, несмотря на то, что рекламное содержание является важным составляющим бизнес моделей интернета. Если антивирусное ПО содержит фильтры ресурсов, оно может легко определить рекламных провайдеров и с высокой эффективностью заблокировать большинство рекламных объявлений.

Другие формы блокирования рекламы включают блокирование изображений по их размеру, блокирование специальных ключевых слов и применяются против назойливого и ненадлежащего контента. Большинство легитимных рекламных объявлений, отображаются, как правило, корректно.

Динамическое содержание (Dynamic Content)

Динамическое веб-содержание, такое как Flash ролики, Java приложения, объекты ActiveX представляют новые способы обхода современных защит. Антивирусы могут контролировать и блокировать динамические объекты, которые загружаются с недостоверных сайтов. Некоторые продукты содержат блокировку скрытых фреймов и всплывающих окон, которые могут раздражать пользователей.

Наиболее жесткий метод – блокировка всего динамического контента, включая скрипты Java. Как бы то ни было, побочным эффектом этих мер может послужить некорректная работа многих сайтов.

Куки (Cookies)

Файлы куки - небольшие файлы, которые могут храниться на пользовательском компьютере при соответствующем запросе браузера. Веб-сайт может затем обращаться к файлам cookie чтобы расширить свою функциональность и уровень взаимодействия с пользователем. Как бы то ни было, механизм использования куки может быть применен для отслеживания пользовательской активности в сети.

Это может быть расценено как недопустимое нарушение пользовательской конфиденциальности. Современные антивирусные программы позволяют пользователю управлять cookie-файлами: удалять их или полностью запрещать их создание. Несмотря на то, что эта функциональность является неотъемлемой составляющей современных веб-браузеров, пользователю может быть удобней управлять безопасностью компьютера с одного приложения – антивирусной программы.

Также как и блокирование динамического содержимого, блокирование файлов cookie может вызвать нарушения в работе многих веб-сайтов.

Виртуализация браузера (Browser Virtualization)

Виртуализация браузера является реакцией разработчиков антивирусного ПО на предельную уязвимость интернет браузеров в настольных системах и повышенную привлекательность для кибер-атак. Браузер используются для серфинга по сети и в случае взаимодействия с сайтом с вредоносным содержанием, может появиться уязвимость в браузере, которая будет способствовать заражению всего ПК.

Виртуализация браузера заключается в создании виртуальной среды для работы интернет браузера. Все действия браузера контролируются, если они считаются потенциально опасными, они перенаправляются в песочницу. Например, браузер заражен вредоносным кодом, он пытается сохранить зловредные файлы на компьютере и изменить ключи реестра для последующего автозапуска вируса при перезагрузке системы. Если файловые операции и любые действия с реестром будут происходить в виртуальной среде, запуск вируса произойдет в песочнице и реального заражения системы не произойдет. При закрытии браузера виртуальная среда уничтожается, и заражение ликвидируется навсегда. В то же время пользователю разрешено загружать требуемые файлы в реальную систему, вне песочницы. Достоверные действия браузера не перенаправляются в виртуальную среду, пользовательская функциональность браузера, таким образом, сохраняется.

Виртуализация браузера очень напоминает функцию песочницы, которую мы обсуждали ранее. Отличие заключается в том, что на этот раз в песочнице исполняются не подозрительные приложения, а хорошо известный и достоверный веб-браузер.

Браузерный и поисковый помощник, анти-фишинг (Browser and Search Advisor, Anti-phishing)

Также называют: безопасный Интернет (Safe Web)

Назначение браузерного и поискового помощника – предоставление информации о репутации посещаемого веб-сайта. Если браузерный помощник определяет потенциально опасный веб-сайт, который пользователь намеревается посетить, выводится соответствующее предупреждение. Поисковый советчик сосредоточен именно на результатах выдачи поисковых машин. При запросе страница поисковой системы модифицируются таким образом, чтобы потенциально опасные ссылки или вовсе были невидимыми, или по крайней мере помечены дополнительной информацией о их опасности для пользователя.

Вендоры антивирусного ПО составляют собственные рейтинги интернет сайтов, используя различные критерии. Веб-сайты сканируются на наличие ссылок, ведущих на вредоносные ресурсы. Контент сайтов анализируется и классифицируется согласно фильтрам ключевых слов. Применяется также добавление в белые и черные списки. Одним из наиболее важных параметров ранжирования сайта антивирусом является рейтинг сообществ. Сообщество пользователей определенного антивирусного продукта является мощной защитной единицей, которая позволяет пользователям избегать зловредные веб-сайты. Если внушительное количество пользователей антивируса посещают вредоносный сайт, существует большая вероятность, что многие пользователи пометят этот сайт как опасный с помощью антивирусного ПО. Эта отрицательная репутация впоследствии будет использована для предупреждения других пользователей сообщества.

Опция анти-фишинга используются для предотвращения кражи платежных данных. Существует множество способов распознать сайт, использующий фишинг. Эти методы включают анализ содержания, обнаружение недействительных или неподлинных сертификатов, детектирование подозрительных ссылок и т.д. Если обнаружена попытка фишинга со стороны вредоносного сайта, он блокируется антивирусом, либо критическое предупреждение выводится пользователю.

Сканирование веб-содержания (Web Content Scanning)

Некоторые функции, которые мы обсудили выше, основываются на сканировании веб-контента. Эта задача является основной для всех антивирусных движков и очень схожа со сканированием файлов. Единственная проблема заключается в методах шифровании информации - например, протокол HTTPS или любой другой, работающий по технологии SSL/TLS, использующий передачу конфиденциальных данных веб-приложениям. Этот вид шифрования разработан с той целью, что даже в случае, если злоумышленники пожелают просмотреть все данные сессии, возникнуть серьезные затруднения при их дешифровании. Единственными объектами, способными дешифровать данные являются отправитель и получатель, т.е. серверное приложение и пользовательский браузер, к примеру.

Это означает, что антивирусам очень трудно выявить какие именно данные передаются и не представляют ли они опасности для пользователя. Как бы то ни было, современные антивирусные продукты могут устанавливать свои собственные модули в браузеры и, таким образом, становится частью объекта, имеющего доступа к сырой, незашифрованной информации. Эта схема действует даже для сканирования веб-содержания, передаваемого в зашифрованном виде. Вот почему очень важно вести контроль за плагинами и дополнениями, работающими внутри браузера. Если браузер инфицирован вредоносным модулем, вирус может спокойно обойти шифрование безопасной сессии.

Защита конфиденциальной информации (Privacy Protection)

Также называют: защита персональной информации (ID Protection), безопасность личных данных (Identity Safe), защита личных данных (Identity Protection)

Номера кредитных карт, банковских аккаунтов, электронных платежных систем и другие пароли, персональная информация, адреса электронной почты, номера документов, телефонов являются строго конфиденциальной информацией, которая должна быть защищена от действий вредоносного ПО.

Функция защиты персональных данных позволяет пользователю решить, какие данные являются наиболее конфиденциальными и не должны передаваться без его согласия. Исходящий трафик сканируется на предмет защищаемых данных, и в случае совпадения, передача данных блокируется.

Менеджер паролей (Password Management) иногда входит в состав защиты персональных данных. Пользователи могут хранить пароли в безопасности, т.к. они находятся в зашифрованной форме и доступны только владельцу. Некоторые антивирусные программы расширяют область шифрования, включая все пользовательские файлы и, таким образом, защищают настройки сторонних программ и их журналы регистрации событий (логи). Эта мера относится к различным чатам и программам обмена сообщениями, которые могут хранить историю сообщений с конфиденциальной информацией на жестком диске. История браузера, файлы cookie и временные файлы также находятся под защитой функции обеспечения безопасности личных данных. Пользователь может настроить периодичность очистки этих данных: каждый раз при закрытии браузера (этот агрессивный подход может привести к долгой загрузке некоторых веб-сайтов), раз в день, раз в неделю. Использование расписания означает, что мониторинг пользовательской активности в сети ограничен определенным периодом времени.

Родительский контроль (Parental Control)

Также называют: контроль доступа (Access control)

Родительский контроль позволяет приоритетным пользователям (родителям) контролировать использование компьютера менее приоритетной аудиторией (дети). Функция может использоваться для ограничения доступа к учетной записи компьютера. Родительский контроль может эффективно ограничить детям доступ к компьютеру в течение определенного времени в день, либо на определенное количество часов в день. Также может быть ограничено назначение использования ПК, путем контролирования запуска сторонних приложений. Ограничения по времени могут сопоставляться с ограничением запуска определенных приложений. Таким образом, создаются специфические условия работы на компьютере, в которых некоторое приложение может быть использовано 2 часа в день к примеру.

Родители могут намереваться контролировать веб-сайты, посещаемые детьми. Ограничения создаются с помощью специальных черных списков, однако, большинство антивирусов с функцией родительского контроля позволяют контролировать доступ в сеть по конкретным категориям содержимого сайтов. Контент большинства самых популярных сайтов оценивается либо непосредственно разработчиками антивирусного ПО, либо анализируется на основе ключевых слов выдачи поисковых систем. Затем каждый веб-сайт может быть причислен к одной или нескольким категориям, таким как контент 18+, насилие, экстремизм, оружие, азартные игры, наркотические вещества, ненормативная лексика, чаты, терроризм, электронная почта, социальные сети, платежные системы онлайн, виртуальные знакомства, порнография, взлом, мошенничество и т.д. Родители могут ограничить доступ к сайтам, состоящим в отдельной категории или содержащие ключевые слова, относящиеся к категории.

Родительский контроль может иметь возможность ограничивать доступ к аппаратным средствам: переносным накопителям, флоппи дискам, CD/DVD дискам и т.д. Помимо настройки ограничений, родительский контроль может иметь опцию просмотра компьютерной активности детей. Родительский контроль ведет собственный журнал регистрации активности, включающий интернет историю, к которому имеет доступ приоритетный пользователь для анализа правильного использования ПК.

Анти-спам (Anti-spam)

Основное назначение модуля анти-спам – уменьшение количества нежелательных сообщений, который пользователь получает с помощью электронной почты. Анти-спам модуль в современных антивирусных программах обычно имеет поддержку большинства популярных почтовых клиентов, таких как Outlook, Outlook Express, Windows Mail, The Bat, Thunderbird, но не работает с другими почтовыми программами. Веб-интерфейс почты обычно также не поддерживается. Существует несколько способов определения спама. Комплексное анти-спам решение, как правило, сочетает несколько таких методов. Одним из наиболее общих методов является анализ содержимого входящих сообщений с помощью комплексного алгоритма анти-спам модуля и последующее присвоение специальных баллов каждому письму.

Если баллы превышают определенный уровень, электронное сообщение помечается как спам, и либо отсылается в соответствующую папку, либо незамедлительно удаляется. Настроить уровень ограничения и действие, которое требуется предпринять можно в конфигурации анти-спам фильтра. Спам может быть распознан с помощью анализа текста или характерных частей спам-сообщения. Например, многие основные спам-сообщения содержат ссылки на малоизвестные сайты или сайты с низким рейтингом. С помощью спама обычно предлагают товары, услуги и различные призы. Электронные сообщения, содержащие исполняемые файлы или инфицированные документы также являются типичным примером спама. Кроме того, маловероятно, что пользователи, использующие латиницу, будут получать сообщения на кириллическом или азиатском языке. Каждый признак спама добавляет специальные баллы электронному сообщению, и увеличивают вероятность его добавления в спам.

Другая методика включает использование облачных данных или мнения сообщества (иногда называют веб-запрос (Web-query). Вендор антивирусного ПО содержит внушительную базу широкораспространенных спам-сообщений, использующих фишинг, мошенничество и обман. Когда пользователь получает электронное сообщение, анти-спам модуль делает соответствующий запрос в базу данных на предмет соответствия сообщения образцам спама. Новый спам добавляется в базу разработчиками антивирусного, ручным способом самим пользователем, автоматическими скриптами или с помощью пометок в почтовых клиентах пользователями сообщества.

В общем случае модули анти-спама работают с белыми и черными списками адресов электронной почты. Сообщение, отсылаемые с надежных источников никогда не помечаются как спам. Электронные письма, приходящие с адресов из черного списка всегда расцениваются как спам. Белые списки могут формироваться с учетом пользовательской адресной книги, но конечный список редактируется пользователем. Черные списки обновляются с серверов разработчиков антивирусного ПО.

Другой эффективный метод противостоять спаму – блокирование почтовых серверов, отсылающих спам. Каждому спаммеру требуется компьютер для отправки спам-сообщений. Неверно настроенные или взломанные почтовые сервера обычно используются для этих целей. Такие источники спама могут быть идентифицированы антивирусом, а их адреса внесены в черный список. Существует множество пользовательских черных списков спам-серверов в интернете, которые также могут быть использованы для предотвращения спам-атак. Если электронное письмо получено с адреса в черном списке, оно расценивается как спам, несмотря даже на его содержание. Все большее количество компьютеров зловредно используются для отправки спама, поэтому чтобы черные списки были эффективными, их нужно постоянно обновлять.

Защита от уязвимостей (Vulnerability Protection)

Также называют: монитор уязвимостей (Vulnerability Monitor)

Эта опция позволяет пользователю сделать компьютер недоступным для известных видов уязвимостей, которые могут быть использованы вредоносным ПО для заражения ПК. Монитор уязвимостей следит, чтобы были установлены все последние обновления ОС и основных установленных приложений.

Кроме того, он сканирует пользовательские учетные записи на предмет слабозащищенных паролей, контролирует возможные проблемы с системными настройками (конфигурация автозапуска переносных устройств например). Расширенные виды систем защит от уязвимостей могут осуществлять связь с разработчиками неофициальных систем и программных патчей (также называемых вакцинами - vaccines) для устранения уязвимостей до выхода официального обновления.

Обновления (Updates)

Большинство антивирусов содержат компоненты, которые в своей работе требуют регулярных обновлений. Другие компоненты могут обновляться время от времени с выходом новых версии ПО для добавления новой функциональности и устранения дефектов. Таким образом, постоянные обновления жизненно необходимы для компьютерной безопасности. Существует несколько видов обновлений.

Первый вид обновлений называется обновления антивирусной базы (Database updates), базы данных или базы наборов правил. Эти обновления используются модулями антивируса для распознавания последних видов угроз. Когда новый вирус обнаружен и проанализирован разработчиком антивирусного ПО, делается образец вируса, который распространяется на все антивирусные программы вендора посредством обновлений. До выполнения обновлений антивирусной базы конкретное вредоносное ПО может быть не распознано антивирусом по результатам эвристического анализа или поведенческого контроля.

Обновление программных файлов (Program updates) является очень важным. Любое программное обеспечение, включая антивирусы, содержит ошибки. Ошибки устраняются во время пользования антивирусом, а программные патчи распространяются на клиентские системы с помощью обновлений. Кроме того, обновление программных файлов может добавить дополнительную функциональность антивирусному продукту. Иногда даже глобальные обновления программы устанавливаются с помощью обновлений, что зависит от лицензионного соглашения соответствующего вендора антивирусного ПО.

Существует немного пользовательских настроек обновлений. В общем случае параметры обновлений включают способ их получения – автоматическое скачивание и установка или частично ручной способ. В случае выбора автоматических обновлений, существует возможность настройки их периодичности. Обновления антивирусной базы должны выполняться регулярно, один раз в день, например, в то время как обновления программных файлов могут происходить один раз в неделю или реже. Для компьютеров, подключенных к интернету через прокси-сервера предоставляется возможность настройки параметров прокси для обновлений. Как бы то ни было, автоматическое определение настроек прокси-серверов прекрасно работает на большинстве систем и, следовательно, пользователь может не трогать эти настройки. Некоторые антивирусы позволяют включать режим экономии сети (bandwidth saving mode), при котором только критические обновления загружаются сразу, а другие обновления приостанавливаются до отключения этого режима.

Защита настроек (Settings Protection)

Также называют: защита паролем (Password Protection), менеджер доступа (Access Management), пользовательский менеджер (User Management)

Назначение модуля защиты настроек очевидно – не допустить изменение конфигурации антивируса вредоносным ПО или неизвестными пользователями системы. Существует три вида антивирусных программ, связанных с этой опцией. Первая группа антивирусов вообще не содержит данной функциональности – это, как правило, небольшие программы. Их настройки незащищены от действия незарегистрированных пользователей, но их целостность может быть защищена от некоторых вирусов с помощью самозащиты.

Вторая группа антивирусов использует простой пароль для защиты конфигурации. Этот пароль вводится в программу для изменения настроек или создания нового правила.

Третья группа имеет комплексную систему защиты, основанную на разделении пользователей или групп пользователей и присвоении им специальных прав и ограничений для изменения настроек. В таких программных решениях, администраторы системы, как правило, имеют полные права доступа к настройкам антивирусного ПО, права других пользователи полностью настраиваются.

Онлайн резервное копирование (Online Backup)

Онлайн резервное копирование является неосновной функцией, многие антивирусы ее даже не предлагают. Основная идея функции – обеспечить пользователя независимым, хорошо защищенным резервным хранилищем для наиболее критичных данных. Пользователь может потерять данные на ПК из-за проблемы с аппаратными средствами, заражения вирусом или неумышленного действия. Резервная копия в сети может быть использована для получения относительно недавней версии самых важных данных.

Конечный выбор файлов и папок, которые подлежат резервному копированию остается за пользователем. Однако, система резервного копирования может предложить основные папки, содержащие важную информацию (например директория «Мои документы») для копирования. Кроме того, некоторые инструменты резервного копирования позволяют создавать копии ключей системного реестра.

Резервные копии хранятся на серверах разработчиков антивирусного ПО. Стандартный размер резервных копии обычно устанавливается порядка нескольких гигабайт. Процесс резервирования должен быть регулярным для максимальной эффективности. С другой стороны, интенсивное использование жесткого диска и сети может принести неудобство пользователю, поэтому резервное копирование должно выполняться в режиме ожидания компьютера.

Мониторинг производительности (Performance monitoring)

Мониторинг производительности является не очень распространенной функцией, однако некоторые антивирусы содержат ее для выявления нестандартного поведения, вызываемого вредоносным ПО или другими проблемами. Существует множество параметров в системе, связанных с быстродействием системы и использованием системных ресурсов, за которыми можно установить наблюдение.

Многие процессы в системе имеют типичное количество цепочек процессов, дескрипторов, определенное потребление памяти, использование центрального процессора, жесткого диска – одним словом параметры которые практически не изменяются с течением времени. Могут быть конечно и пики потребления ресурсов, однако в долгосрочной перспективе существует возможность определения необычного поведения процесса. Если происходит подозрительное событие монитор производительности выводит тревожное сообщение. Пользователь оповещается о происходящей ситуации, также может происходить автоматическое действие, например антивирусное сканирование подозрительных объектов.

Пользователь может настроить ограничения этих действий, чтобы сохранить стабильность операционной системы, либо установить дополнительные действия, выполняемые антивирусом. Монитор производительности, как правило, сначала работает в режиме обучения для сбора статистической информации о нормальном поведении системе и лишь позднее способен отличать несоответствия.

Настройка системы (Tune-up)

Также называют: очистка системы (PC Сlean-up) Настройка системы или очистка системы являются названием набора дополнительных утилит, которые разработчики антивирусов предлагают в качестве бонуса к основной функциональности. Утилиты настройки системы применяются для улучшения быстродействия компьютера с помощью различных приемов. Чем больше используется система, тем больше в ней накапливается файлов, ключей реестра и других объектов. В системе и приложениях создается множество списков, например списки открытых документов. Некоторые списки не ограничиваются по размеру и со временем становятся все больше и больше. Таким же образом увеличивается количество всевозможных временных файлов, файлов кэша. Случается также, что при удалении программы остаются некоторые файлы и ключи реестра, которые она использовала. Другой проблемой, снижающей быстродействие системы, является фрагментация жесткого диска.

Инструментарий функции настройки системы справляется с нахождением и удалением ненужных объектов, дублей, дефрагментацией диска, очисткой интернет истории и кэша известных приложений. Таким образом, быстродействие компьютера увеличивается. Существенные улучшения в производительности проявляются, только если очистка системы ни разу не выполнялась. В других случаях, эффект от применения очистки может быть незаметен.

Отчеты и журналы регистрации событий (Reports and logs)

Антивирусные программы имеют настраиваемую функцию ведения журнала регистрации событий, который содержит детализированную информацию обо всех событиях в системе и действиях компонентов антивируса. Такие журналы полезны, когда происходит инцидент с безопасностью компьютера. Пользователь имеет возможность просмотреть, что именно случилось и какое действие последовало. Логи фаервола могут быть использованы для выявления зараженных машин в локальной сети или сети Интернет и последующего добавления новых правил для фаервола.

Журналы компонента поведенческого контроля могут привлечь внимание пользователя к потенциально опасным приложениям в системе, о которых пользователь не догадывался. Как бы то ни было, для правильного трактования лога необходимо четкое понимание работы каждого компонента, ведущего лог. Отчеты являются более наглядными для пользователя, чем логи, и не требуют от пользователя дополнительных знаний для понимания. Отчеты накапливают все действия антивируса за определенный период без предоставления детальной информации.

Ведение журнала крайне необходимо для фиксации ошибок ПО. Чем более детализованная информация представлена вендору антивируса, тем быстрее разработчики смогут обнаружить и устранить ошибки.

По материалам Features of Modern Security Suites – Part 3. Перевод Comss.ru.