Построение системы антивирусной безопасности

 
Применение антивирусов для межсетевых экранов на сегодняшний день сводится к осуществлению фильтрации доступа  в Интернет при одновременной  проверке на вирусы проходящего трафика.

Осуществляемая такими продуктами антивирусная проверка сильно замедляет работу и имеет крайне не высокий уровень обнаружения, по этому в отсутвии необходимости фильтрации посещаемых пользователями веб-узлов применение таких продуктов является не целесообразным.

2. Как правило, защищают  файл-сервера, сервера баз данных и сервера систем коллективной работы, поскольку именно они содержат наиболее важную информацию. Антивирус не является заменой средствам резервного копирования информации, однако без него можно столкнуться с ситуацией, когда резервные копии заражены, а вирус активизируется спустя полгода с момента заражения.

3. Ну и напоследок  защищают рабочие станции, те  хоть и не содержат важной  информации, но защита может сильно  снизить время аварийного восстановления.

Фактически, антивирусной защите подлежат все компоненты банковской информационной системы, связанные с транспортировкой информации и/или ее хранением:

• Файл-серверы;
• Рабочие станции;
• Рабочие станции мобильных пользователей;
• Сервера резервного копирования;
• Сервера электронной почты;

Защита рабочих мест (в т.ч. мобильных пользователей) должна осуществляться антивирусными  средствами и средствами сетевого экранирования  рабочих станций.

Средства сетевого экранирования  призваны в первую очередь обеспечивать защиту мобильных пользователей при работе через Интернет, а также обеспечивать защиту рабочих станций ЛВС компании от внутренних нарушителей политики безопасности.

Основные особенности  сетевых экранов для рабочих  станций:

• Контролируют подключения в обе стороны
• Позволяют известным приложениям получить доступ в Интернет без вмешательства пользователя (autoconfig)
• Мастер конфигурирования на каждое приложение (только установленные приложения могут проявлять сетевую активность)
• Делают ПК невидимым в Интернет (прячет порты)
• Предотвращают известные хакерские атаки и троянские кони
• Извещают пользователя о попытках взлома
• Записывают информацию о подключениях в лог файл
• Предотвращают отправку данных, определённых как конфиденциальные от отправки без предварительного уведомления
• Не дают серверам получать информацию без ведома пользователя (cookies)

Последовательность мероприятий  по развертыванию системы антивирусной защиты

Развертывание системы  антивирусной защиты производится в  три этапа.

На первом этапе осуществляется комплекс оперативных мероприятий по перекрытию основных каналов распространения вирусов. Прежде всего необходимо защитить систему электронной почты (SMTP), путем развертывания средств для осуществления тотальной антивирусной проверки всех внутренних и внешних почтовых сообщений. Затем следует также защитить HTTP/FTP сервисы ЛВС путем развертывания средств для осуществления антивирусного мониторинга всего входящего и исходящего HTTP/FTP трафика.

Основными каналами распространения  вирусов в настоящее время  являются:

• электронная почта;
• HTTP/FTP сервисы, используемые для получения доступа к ресурсам ЛВС и сети Интернет;
• съемные носители информации (дискеты, CD-ROM и т. п.);
• файловые серверы ЛВС (UNIX/Windows/NetWare);
• системы коллективной работы (MS Exchange, Lotus Notes и т. п.).

На втором этапе осуществляется защита серверов ЛВС и рабочих мест пользователей, путем установки на них антивирусных средств (антивирусных сканеров и мониторов), выявления и лечения обнаруженных вирусов. Одновременно осуществляется установка и развертывание средств управления компонентами антивирусной защиты, а также создание карантинного сервера для хранения и анализа подозрительных файлов.

. Для решения поставленных  задач система антивирусной защиты  должна выполнять следующие основные  функции: 

• непрерывный антивирусный мониторинг внешнего и внутреннего SMTP/HTTP/FTP трафика;
• централизованный антивирусный мониторинг и регулярное сканирование файловых систем на рабочих местах пользователей, серверах ЛВС и серверах коллективной работы;
• регистрацию и оповещение о событиях, связанных с вирусными атаками;
• централизованное управление всеми компонентами антивирусной защиты;
• помещение подозрительных файлов и неизвестных вирусов, выявленных с использованием эвристических алгоритмов, на карантинный сервер для их последующего анализа.

На третьем этапе производится создание и утверждение организационно-распорядительных документов по предотвращению и ликвидации вирусных атак на ресурсы ЛВС.

Таким образом, представляется целесообразной следующая последовательность мероприятий по развертыванию системы антивирусной защиты.

Первый этап:

• Произвести установку антивирусных шлюзов для SMTP/HTTP/FTP трафика;
• Произвести установку антивирусных компонентов, предназначенных для защиты систем коллективной работы Lotus Notes/Domino и MS Exchange.

Второй этап:

• Централизованно произвести (сетевую) установку антивирусного ПО (сканеров и мониторов) на рабочих местах пользователей;
• Централизованно произвести (сетевую) установку антивирусного ПО на всех NT/NetWare серверах ЛВС;
• Произвести установку антивирусного ПО на UNIX/Windows NT/2000 серверах;
• Провести внедрение карантинного сервера и средств управления для мониторинга работы антивирусов на рабочих местах и серверах;
• Централизовано провести антивирусное сканирование всех рабочих мест и серверов.

Третий этап:

• Создать и утвердить регламент работы администратора по предотвращению и ликвидации вирусных атак на ресурсы корпоративной сети;
• Обязать администратора безопасности проводить регулярное (еженедельное) обновление БД антивирусных сигнатур;
• Периодически проводить антивирусное сканирование всех рабочих мест и серверов корпоративной сети (результаты сканирования должны анализироваться администратором безопасности).

Основные правила защиты

Для начала рассмотрим основные принципы безопасности, которые многократно  уменьшат вероятность попадания  вируса в сеть.

1. Должно быть четкое разграничение задач и доступа различных пользователей (групп пользователей) в сети. Так, лучше иметь выделенную директорию для обмена данными между всеми пользователями сети или использовать для этого внутренний почтовый сервер компании.
2. Непременное условие — наличие на сервере хорошей антивирусной программы, желательно резидентной. (При этом не рекомендуется использовать бета- и триал-версии программ — это может привести к печальным последствиям).
3. Регулярное (не реже 1 раза в неделю, а для общей директории — ежедневно) тестирование всего сервера на наличие вирусов всех типов с максимально возможными настройками.
4. Ограничение количества дисководов и внешних устройств ввода данных также очень хорошо помогает в борьбе с проникновением вирусов. Большинству сотрудников обычно не обязательно иметь дисковод, а данные они могут получить с сервера.
5. Полезно завести отдельный компьютер (не в сети) для того, чтобы первоначально на нем запускать новое непроверенное программное обеспечение. Этот же компьютер можно<span class="dash041e_0431_044b_0447_043d_044b_0439__Char" style=" fon