Системы отражения атак

Размещено на http://www.allbest.ru/

Системы отражения атак

отражение атака модуль программа

Введение

Первые системы обнаружения атак появились давно, начало их разработки связано с публикацией в 1980 году статьи «Computer Security Threat Monitoring and Surveillance» Джона Андерсона. С нее началось развитие систем обнаружения атак, хотя активно использовать их начали позже -- приблизительно в начале 1990-х, после осознания опасностей виртуального мира.

В русском названии таких систем есть некоторая путаница: дословно Intrusion Detection System переводится как «система обнаружения вторжений», и во многих источниках используется именно оно. Однако последствием атаки необязательно должно быть вторжение, хотя сам факт атаки будет также зафиксирован такой системой. Правильнее использовать слово «атака».

Традиционно СОА делятся на системы, защищающие отдельный узел (Host IDS), и сетевые (Network IDS), контролирующие сетевые пакеты. Существуют также гибридные СОА, сочетающие возможности обеих систем. На определенном этапе разработчики захотели не только обнаруживать атаки, но и останавливать их. Так появились системы остановки атак. Любая СОА состоит из датчиков, собирающих информацию, и механизма анализа и принятия решений. Датчики для обнаружения подозрительных событий анализируют журналы работы системы, системные вызовы, поведение приложений, целостность файлов и сетевые пакеты. В качестве критерия используются наборы сигнатур, хотя все более популярными становятся средства, реагирующие на аномалии.

Kaspersky Internet Security

Эта программа способна полностью защитить домашний компьютер.

Установка

На начальном этапе программа установки попробует связаться с сервером компании для проверки наличия обновлений. При отсутствии соединения с Интернетом некоторое время придется подождать. После принятия лицензионного соглашения предлагается выбрать один из двух вариантов установки:

Быстрая установка -- будут установлены все компоненты программы с параметрами работы по умолчанию;

Выборочная установка -- установка отдельных компонентов с возможностью предварительной настройки; данный режим рекомендуется для опытных пользователей.

Далее мастер проверит установленные программы и, если найдет несовместимые с KIS, выведет их список. Если вы продолжите установку, данные приложения будут удалены во избежание конфликтов. Если будут найдены конфигурационные файлы от предыдущей установки «Антивируса Касперского» или KIS, последует запрос на сохранение этих параметров. Если программы, мешающие работе KIS, удалялись, после этого, возможно, потребуется перезагрузка компьютера.

После установки программы запустится Мастер предварительной настройки. Если был выбран вариант Быстрая установка, мастер предложит активизировать продукт. После перезагрузки двойным щелчком на значке в Панели задач можно вызывать окно настройки параметров работы KIS (рис. 1).

Большая часть пунктов меню совпадает с настройками «Антивируса Касперского», однако в меню Защита есть несколько новых пунктов:

> Сетевой экран -- вывод статуса и быстрый доступ к настройкам режима работы встроенного межсетевого экрана, системы обнаружения вторжений, модулей Анти-Реклама и Анти-Банер, просмотр сетевой активности компьютера;

> Анти-Шпион -- вывод статуса работы и быстрый доступ к настройкам модулей Анти-Шпион, Анти-Фишинг, Анти-Дозвон и Защита конфиденциальных данных;

> Анти-Спам -- вывод статуса работы, запуск мастера обучения и быстрый доступ к настройкам модуля Анти-Спам;

> Родительский контроль -- вывод статуса работы, активизация и деактивизация и быстрый доступ к настройкам этого модуля.

Настройки параметров работы сетевого экрана

Для активизации сетевого экрана достаточно нажать ссылку Включить на соответствующей вкладке. Окно настройки параметров можно вызвать нажатием кнопки Настройка внизу окна и выбором соответствующего пункта или из соответствующего пункта меню Защита. Нажав ссылку Посмотреть текущую сетевую активность, вы отобразите количество активных приложений, использующих сеть, а также количество открытых соединений и портов.

В окне настроек модуля доступны несколько областей, в каждой из которых, установив соответствующий флажок, можно включить/отключить Сетевой экран полностью либо один из его компонентов -- систему фильтрации, систему обнаружения вторжений, Анти-Рекламу или Анти-Баннер. В области настройки брандмауэра имеется ползунок, используя который, можно выставить один из пяти уровней защиты:

Разрешать все -- разрешена любая сетевая активность без ограничений, соответствует отключению брандмауэра;

Минимальная защита -- разрешены все сетевые соединения, кроме запрещенных правилами;

Обучающий режим -- пользователь самостоятельно решает, какую сетевую активность разрешать или запрещать; при попытке получить доступ к сети приложения, для которого не создано правило, у пользователя запрашивается подтверждение и на основе ответа создается новое правило;

Максимальная защита -- все неразрешенные соединения блокируются;

Блокировать все -- все соединения блокируются, запрещен доступ к локальной сети и Интернету; необходимо использовать в случае обнаружения сетевых атак либо при работе в опасной сети.

Во время установки создаются правила для всех приложений, однако они не всегда оптимальны для конкретной системы, поэтому рекомендуется изменить уровень защиты с минимального, который установлен по умолчанию, на обучающий. К режиму максимальной защиты следует переходить только если вы уверены, что созданы все разрешающие правила. Однако после установки нового программного обеспечения следует снова вернуться в обучающий режим защиты. При работе системы в обучающем режиме пользователю выводится уведомление (рис. 5.3).

Оно содержит описание активности и информацию, необходимую для принятия решения: вид соединения (входящее, исходящее), протокол, приложение, удаленный IP-адрес и порт, локальный порт. На основании полученных данных можно выбрать нужное действие, нажав соответствующую кнопку -- Разрешить или Запретить. Выбор варианта Отключить режим обучения отключит этот режим работы модуля.

Если установлен флажок Создать правило, то на основании выбранного ответа формируется новое правило, и во время последующей сетевой активности этого приложения при совпадении параметров запроса программа не будет беспокоить пользователя. В раскрывающемся списке необходимо выбрать тип активности, к которому применимо выбранное действие. Доступно несколько вариантов:

> Любая активность -- любая сетевая активность этого приложения;

Выборочно -- конкретная активность, которую следует указать в окне создания правила;

Этот адрес -- активность приложения, удаленный адрес сетевого соединения которого совпадает с указанным; может быть полезна, если вы хотите ограничить работу в сети для выбранного приложения указанными адресами.

Можно также выбрать одну из предустановок, описывающих характер приложения: Почтовая программа, Браузер, Менеджер загрузки, FTP-клиент, Telnet-клиент или Синхронизатор часов.

Модуль обнаружения вторжения компонента Сетевой экран реагирует на активность, характерную для сетевых атак. При обнаружении попытки атаковать компьютер на экране появится соответствующее уведомление с указанием информации об атакующем компьютере: вид атаки, IP-адрес атакующего, протокол и сервис, который подвергся атаке, дата и время. При этом система блокирует IP-адрес атакующего компьютера на один час. Изменить время блокировки можно в области Система обнаружения вторжений в поле возле флажка Добавить атакующий компьютер в список блокирования на.

Настройка правил для приложений

Тоньше всего можно настроить работу модуля Сетевой экран с помощью правил. В поставку включен набор правил для наиболее известных приложений, сетевая активность которых проанализирована специалистами и которые имеют четкое определение -- полезная или опасная. Для одной программы можно создать несколько как разрешающих, так и запрещающих правил. В большинстве случаев для создания правил достаточно использовать обучающий режим и в диалоговом окне задавать условия, при которых программа будет получать доступ в сеть. Однако может возникнуть ситуация, когда потребуется отредактировать созданное правило, например, если был ошибочно блокирован доступ в сеть полезному приложению. Правила можно создавать самостоятельно. Чтобы перейти к окну редактирования правил, нажмите кнопку Настройка в области Система фильтрации. В появившемся окне перейдите на вкладку Правила для приложений.

Все правила на этой вкладке можно сгруппировать двумя способами. Если установлен флажок Группировать правила по приложениям, отображается список приложений, для которых имеются сформированные правила. Для каждой программы выводится следующая информация: имя и значок приложения, командная строка для запуска (если есть), корневой каталог, в котором расположен исполняемый файл приложения, и количество созданных для нее правил.

Дважды щелкнув кнопкой мыши на выбранном приложении, можно просмотреть и изменить список правил. Щелчок на правиле покажет его свойства: разрешено или запрещено, исходящий, входящий поток или оба направления, протокол, удаленный и локальный порт, удаленный IP-адрес и время суток, в течение которого действует правило. Дважды щелкнув на правиле или выбрав правило и нажав кнопку Изменить, вы получите доступ к окну редактирования правила, в котором можно изменить любой из указанных параметров. Нажав кнопку Добавить, можно самостоятельно создать новое правило. Порядок редактирования и создания правил напоминает редактирование правил в Outpost Firewall (см. соответствующий раздел).

Обратите внимание на кнопки Экспорт и Импорт: с их помощью можно быстро перенести сформированные правила на другие компьютеры, что удобно для быстрой настройки правил модуля Сетевой экран. Нажмите кнопку Экспорт и укажите расположение и имя файла, в который нужно сохранить настройки, после чего перенесите файл на другой компьютер, нажмите Импорт и выберите файл с сохраненными настройками.

Чтобы получать предупреждение или записывать в отчет срабатывание правила, необходимо установить флажки Показывать предупреждение и Записывать в отчет в окне Редактирование правила.

При снятом флажке Группировать правила по приложениям все правила будут показаны без группировки по имени приложения.

Если вы обнаружили, что приложение не может получить доступ в сеть, одной из причин может быть установка запрещающего правила в модуле Сетевой жран. Самым быстрым способом проверить это является временная приоста-ювка работы Сетевого экрана. Это можно сделать несколькими способами. Можно выбрать в окне настроек уровень защиты Разрешить все либо снять |»лажок Включить Сетевой экран и нажать кнопку Применить. Если после этого филожение будет работать нормально, значит, дело в запрещающем правиле. . ацию легко исправить: зайдите в окно настройки правил для приложений, выберите приложение и просмотрите все созданные для него правила, обращая собое внимание на запрещающие. В крайнем случае можно отметить приложение, щелкнув на нем кнопкой мыши, и нажать кнопку Удалить, чтобы удалить все созданные для него правила. Затем выберите обучающий режим безопасности и создавайте новые правила по мере необходимости.

Кроме Правила для приложений окно настройки Анти-Хакера содержит еще три вкладки. Вкладка Правила для пакетов похожа на описанную выше, только в ней можно задавать правила фильтрации для пакетов.

Записанные на этой вкладке правила действуют на более низком уровне, поэтому применяются независимо от приложения, которое генерирует или принимает их. При необходимости, например, глобально запретить доступ к некому ресурсу или сервису (локальному или удаленному) здесь следует указать необходимые параметры, тогда, сменив приложение, нельзя будет обойти запрет, созданный для конкретной программы. Для каждого правила фильтрации приводится следующая информация: имя правила, разрешающее или запрещающее, протокол передачи, направление пакета и параметры сетевого соединения, по которому передается пакет. Правило можно отключить, сняв соответствующий флажок.

Мастер найдет все сетевые интерфейсы, имеющиеся на компьютере, и определит для каждого политику безопасности, то есть степень доверия находящимся в этих зонах компьютерам. Список сетевых интерфейсов доступен на вкладке Зоны: здесь можно отредактировать список сетевых интерфейсов и изменить политику безопасности.

Если во время установки будут найдены не все интерфейсы, нажмите кнопку Найти для повторного поиска. Если это не поможет, следует нажать кнопку Добавить и в появившемся окне ввести имя, адрес подсети и сетевую маску. Степень доверия характеризуется статусом сети. Статус может принимать следующие значения:

Доверенная -- разрешены все соединения без ограничений;

Локальная сеть -- другим компьютерам разрешен доступ к локальным файлам и принтерам, разрешена отправка сообщений об ошибках (протокол ICMP), а режим невидимости по умолчанию выключен; сетевая активность приложений регулируется правилами;

Интернет -- запрещен доступ к файлам и принтерам и отправка ICMP-сооб-щений, режим невидимости включен; сетевая активность приложений регулируется правилами.

Для всех зон, кроме Интернета, можно изменить статус. Для этого необходимо щелкнуть на названии в области Описание. Зона Интернет всегда имеет статус Интернет, и изменить ее невозможно, поэтому при работе в Сети пользователь будет максимально защищен. Режим невидимости можно изменить несколькими способами, самый простой -- установка одноименного флажка.

На вкладке Дополнительно с помощью переключателя можно выбрать один из двух режимов работы:

> Максимальная совместимость (рекомендуется) -- в этом режиме Сетевой экран настроен оптимально для решения большинства повседневных задач, однако при этом возможно замедление времени реакции в некоторых сетевых играх;

> Максимальная скорость -- режим, обеспечивающий максимальную скорость сетевых игр, но в то же время возможны проблемы с совместимостью, которые можно частично решить, отключив режим невидимости.

Чтобы новые параметры, выбранные на вкладке Дополнительно, вступили в силу, следует перезагрузить компьютер.

В модуль Сетевой экран входят еще два компонента.

Анти-Реклама -- блокирует всплывающие окна, используемые для рекламирования продуктов или услуг и не несущие полезной нагрузки. При попытке открыть такое окно его вывод блокируется, а пользователю выводится предупреждение, в котором он может принять решение о блокировке или разрешении вывода. Корректно работает с модулем, блокирующим всплывающие окна в Microsoft Internet Explorer, который входит в состав пакета обновлений Service Pack 2 для Microsoft Windows ХР.

Анти-Баннер -- блокирует рекламную информацию, показываемую с помощью баннеров при отображении веб-страниц или встроенных в интерфейс программ, установленных на компьютере.

Всплывающие окна не всегда содержат рекламу, на некоторых сайтах таким образом показывается окно выбора файлов для загрузки либо более быстрого доступа или вывода некоторой информации. Чтобы модуль Анти-Реклама не блокировал такие окна, их необходимо внести в список доверенных. Для этого нажмите кнопку Доверенные адреса, которая расположена в области Блокирование всплывающих окон, затем нажмите кнопку Добавить и в появившемся окне введите адрес ресурса, всплывающие окна которого не должны блокироваться. При этом можно использовать маски. Например, http: //microsoft* определит все адреса, начинающие со слова microsoft, как доверенные. С помощью флажков, которые расположены в области Доверенная зона, можно определить узлы, входящие в доверенную зону Microsoft Internet Explorer и локальной сети, как доверенные.

В стандартную поставку компонента Анти-Баннер включен список шаблонов часто встречающихся баннеров. Нажав кнопку Настройка, расположенную в области Блокирование рекламных баннеров, вы можете самостоятельно задать список запрещенных и разрешенных баннеров. Появившееся окно содержит три вкладки.

На вкладке Общие размещен список баннеров, сформированных специалистами «Лаборатории Касперского». Этот список недоступен для редактирования, но вы можете отключить любое правило, сняв соответствующий флажок. Для анализа баннеров, не попадающих под маски стандартного списка, установите флажок. Использовать методы эвристического анализа -- загружаемые изображения будут анализироваться на предмет наличия специфических для баннеров признаков. На вкладках «Черный» список и «Белый» список указываются пользовательские маски для баннеров, которые необходимо блокировать и разрешать. Занести в список новую маску просто. Перейдите на нужную вкладку, нажмите кнопку Добавить и в появившемся окне введите полный адрес (URL) баннера либо шаблон. В последнем случае при открытии баннера Анти-Баннер будет искать в его адресе указанную последовательность символов. Заданные на этих вкладках адреса действуют только на отображение баннеров, поэтому можно указать адрес целого сайта, например http: //www. test. com/, и баннеры, принадлежащие этому сайту, будут блокироваться. Кнопки Экспорт и Импорт, расположенные на этих вкладках, помогут быстро перенести сформированные списки на другие компьютеры.

Модуль Анти-Шпион

Чтобы закончить рассказ о Kaspersky Internet Security, рассмотрим три оставшихся модуля: Анти-Шпион, Анти-Спам и Родительский контроль. Модуль Анти-Шпион позволяет защититься от навязчивой рекламы, выводимой в окне браузера в виде баннеров и всплывающих окон. Использование этого модуля дает возможность распознать известные способы мошенничества в Интернете, попытки кражи конфиденциальной информации (паролей, номеров кредитных карт), неавторизованного доступа в Интернет и несанкционированного пользования платными ресурсами.

Выбрав модуль Анти-Шпион в главном окне программы, вы получите общую статистику работы и текущий статус модуля в целом и его отдельных компонентов. Здесь же можно временно приостановить или остановить работу модуля, а также включить защиту, если она была отключена.

Щелкнув на ссылке Настройка, вы попадете в окно настройки модуля.

Все настройки в Kaspersky Internet Security однотипны, поэтому, освоив один компонент, найти настройки другого просто. Сняв флажок Включить Анти-Шпион и нажав кнопку Применить, можно отключить модуль. Анти-Шпион состоит из трех компонентов:

Анти-Фишинг -- защищает от фишинг-атак, отслеживая попытки открытия известных фишинг-сайтов: в состав Kaspersky Internet Security включена информация обо всех известных в настоящее время сайтах, которые используются для проведения такого рода атак; при обновлении сигнатур угроз этот список также обновляется;

Анти-Дозвон -- блокирует попытку установки модемных соединений с платными ресурсами Интернета;

Предотвращение передачи конфиденциальных данных -- распознает и предупреждает пользователя (в настройках по умолчанию) о попытке передачи конфиденциальных данных или попытке получения доступа к персональным данным или паролям.

Аналогично для модуля Анти-Дозвон: если вы хотите разрешать соединения по определенным номерам без запроса программы, добавьте их в список доверенных номеров. Для этого нажмите кнопку Доверенные номера и введите телефонный номер или шаблон. Чтобы временно убрать номер из списка, снимите соответствующий флажок, а если номер необходимо удалить совсем, выберите его с помощью кнопки мыши и нажмите кнопку Удалить.

Настройка модуля Анти-Спам

Удобно, что в поставке Kaspersky Internet Security содержится комплекс приложений, необходимых для полноценной защиты системы. Зарегистрировав почтовый ящик, вы вскоре обнаружите в нем письма, не предназначенные лично вам, для чего полезно наличие модуля Анти-Спам, который умеет обнаруживать такие послания.

Выбрав модуль Анти-Спам в главном окне программы, вы сможете получить информацию о статусе его работы и статистику проверенных с момента запуска сообщений и сообщений, распознанных как спам. Щелкнув на любом месте области Открыть отчет, можно получить более детальную информацию. Нажатие кнопки Настройка приведет к окну настройки работы модуля (рис. 5.9).

Все электронные сообщения, которые модуль распознал как спам, помечаются в поле Тема меткой [!! SPAM]. Сообщения, вероятно, являющиеся потенциальным спамом, помечаются как [?? Probable Spam]. Больше никаких операций Анти-Спам не производит и письма самостоятельно не удаляет, даже если они однозначно классифицированы как спам.

По умолчанию защита от спама включена. Чтобы ее отключить, снимите флажок Включить Анти-Спам, а если защиту нужно временно приостановить, воспользуйтесь кнопками в главном окне программы. Для удобства в приложении введены уровни агрессивности работы модуля -- нужный уровень выбирается с помощью ползунка, расположенного в одноименной области окна настройки. Возможен следующий выбор:

Разрешать все -- самый низкий уровень контроля: спамом признается только почта, которая содержит строки из «черного» списка фраз или отправитель которой включен в «черный» список;

Низкий -- более строгий уровень, в котором производится полный анализ, но уровень реакции механизмов анализа поступающих писем установлен ниже обычного, поэтому вероятность прохождения спама выше, хотя потери меньшие; рекомендуется использовать, если вы получаете много полезных писем, ошибочно принимаемых за спам;

Рекомендуемый -- уровень, устанавливаемый по умолчанию и оптимальный по настройкам; для более точного определения спама потребуется режим обучения;

Высокий -- уровень с более строгими порогами срабатывания механизмов определения, поэтому в спам могут попасть письма, таковым не являющие ся; письма анализируются на основании «белого» и «черного» списков и с при менением современных технологий фильтрации; рекомендуется, когда адрес получателя неизвестен спамерам;

> Блокировать все -- самый высокий уровень: только письма из «белого» списка будут проходить беспрепятственно, остальные будут помечаться как спам.

Можно указать параметры определения спама самостоятельно. Для этого нажмите кнопку Настройка в области Уровень агрессивности. В появившемся окне находятся четыре вкладки. Вкладки "Белый" список и "Черный" список схожи по настройкам, только прописанные в них параметры будут вызывать различную реакцию Анти-Спама. Все, что занесено в "Белый" список, однозначно будет относиться к нормальной почте, а то, что будет в "Черном" списке, укажет на спам. Каждая вкладка разделена на два блока. В верхней части записываются адреса электронной почты, внизу -- ключевые фразы. Адреса электронной почты могут заполняться вручную или при обучении модуля Анти-Спам. Чтобы вручную задать электронный адрес, письма с которого не будут рассматриваться как спам, перейдите на вкладку "Белый" список и установите флажок Я хочу получать письма от следующих отправителей, затем нажмите Добавить и в появившемся поле введите адрес. Можно вводить полный электронный адрес, к примеру vas j a@mail. ru, а можно использовать шаблоны. Например, шаблон *@mail. ru укажет Анти-Спаму, что все письма, пришедшие с сервера mail.ru, подпадают под правило.

Чтобы добавить строку, на основании которой письмо будет расценено как полезное, установите флажок Я хочу получать письма, содержащие следующие фразы, нажмите кнопку Добавить и введите фразу или шаблон. Можете договориться с друзьями, чтобы они всегда подписывали письма какой-либо фразой, которая занесена в "Белый" список, тогда письма, пришедшие от них, не попадут в спам.

Аналогично заполняются почтовые адреса и фразы на вкладке "Черный" список. Установите флажок Я не хочу получать письма от следующих отправителей для активизации фильтра по почтовому адресу. Для включения фильтрации по ключевым словам предназначен флажок Я не хочу получать письма, содержащие следующие фразы.

При занесении ключевой фразы требуется дополнительно указать соответствующий ей весовой коэффициент. Самому подобрать коэффициент сложно, если вы сомневаетесь, укажите значение 50 или воспользуйтесь имеющимися правилами как подсказкой. Письмо будет отнесено к спаму, если его суммарный коэффициент превысит определенное число. В отличие от «белого» списка, в «черный» разработчики занесли фразы, наиболее часто употребляемые спа-мерами.

Для распознавания спама модуль Анти-Спам использует различные технологии, которые можно включить и отключить на вкладке Распознавание спама.

В области Фильтры указывается, какие технологии задействовать для обнаружения спама:

самообучающийся алгоритм iBayes -- анализ текста почтового сообщения на предмет наличия фраз, относящихся к спаму;

технология GSG -- анализ изображений, помещенных в письмо: на основании сопоставления с уникальными графическими сигнатурами делается вывод о принадлежности изображения к графическому спаму;

технология PDB -- анализ заголовков: на основании набора эвристических правил делается предположение о принадлежности письма к спаму;

технология Recent Terms -- анализ текста сообщения на наличие фраз, типичных для спама; в качестве эталона используются базы, подготовленные специалистами «Лаборатории Касперского».

В областях Фактор спама и Фактор потенциального спама указывается коэффициент, при превышении которого письмо будет расценено как спам или потенциальный спам. По умолчанию выбраны оптимальные значения; используя ползунок, можно самостоятельно выставить необходимый уровень. Поэкспериментировав, вы найдете приемлемые параметры.

Вкладка Дополнительно позволяет указать дополнительные критерии, по которым будет определяться спам (неправильные параметры сообщения, наличие некоторых типов html-вставок и пр.). Необходимо установить соответствующий флажок и задать фактор спама в процентах. По умолчанию фактор спама во всех критериях равен 80 %, а письмо будет признано как спам, если сумма всех критериев будет равна 100 %. Если хотите, чтобы все письма, которые вам не адресованы, считались спамом, установите флажок Адресованные не мне, после чего нажмите кнопку Мои адреса, затем Добавить и введите все используемые вами почтовые адреса. Теперь при анализе нового сообщения будет проверен адрес получателя, и если адрес не совпадет ни с одним адресом списка, сообщению будет присвоен статус спама. Когда вы вернетесь в главное окно настроек Анти-Спама, в нем будет задан уровень агрессивности Пользовательский.

Обучение Анти-Спам

Чтобы повысить эффективность модуля Анти-Спам, необходимо обучить его, указывая, какие письма являются спамом, а какие -- обычной корреспонденцией. Для обучения используется несколько подходов. Например, чтобы адреса корреспондентов, с которыми вы общаетесь, автоматически заносились в «белый» список, нужно установить флажок Обучаться на исходящих письмах (он расположен в поле Обучение окна настройки модуля Анти-Спам). Для обучения будут использованы только первые 50 писем, затем обучение завершится. По окончании обучения следует уточнить «белый» список адресов, чтобы убедиться, что в нем находятся нужные записи.

В области Обучение расположена кнопка Мастер обучения. Нажав ее, вы в пошаговом режиме сможете обучить Анти-Спам, указывая папки почтового клиента, содержащие спам и обычные письма. Такое обучение рекомендуется произвести в самом начале работы. После вызова мастера обучения нужно пройти четыре шага.

Определение папок, содержащих полезную корреспонденцию.

Указание папок, в которых находится спам.

Автоматическое обучение Анти-Спам. Почтовые адреса отправителей полезной почты заносятся в «белый» список.

Сохранение результата работы мастера обучения. Здесь можно добавить результаты работы к старой базе либо заменить ее новой.

В целях экономии времени мастер обучает Анти-Спам только на 50 письмах в каждой папке. Чтобы алгоритм Байеса, используемый для распознавания спама, работал правильно, следует произвести обучение как минимум на 50 письмах полезной почты и 50 письмах спама.

У пользователя не всегда может быть столько писем, но это не проблема. Обучить Анти-Спам можно в процессе работы. Возможны два варианта обучения:

с использованием почтового клиента;

с использованием отчетов Анти-Спам.

Во время установки модуль Анти-Спам встраивается в следующие почтовые клиенты:

Microsoft Office Outlook -- на панели появляются кнопки Спам и Не Спам, а в окне, вызываемом командой меню Сервис > Параметры, вкладка Анти-Спам;

Microsoft Outlook Express -- в окне появляются кнопки Спам и Не Спам и кнопка Настройка;

The Bat! -- новые компоненты не появляются, но Анти-Спам реагирует на выбор пунктов Пометить как спам и Пометить как НЕ спам в меню Специальное.

Обучение с использованием отчетов просто. Выберите модуль Анти-Спам в главном окне программы и щелкните на области Открыть отчет. Заголовки всех писем отображаются на вкладке События открывшегося окна. Выделите с помощью кнопки мыши письмо, которое будет использовано для обучения Анти-Спама, нажмите кнопку Действия и выберите один из четырех вариантов: Отметить как спам, Отметить как не спам, Добавить в «белый» список или Добавить в «черный» список. После этого Анти-Спам будет обучаться. Обратите внимание, что при нехватке записей в базе данных в заголовке этого окна отобразится надпись, говорящая, сколько еще писем требуется для обучения модуля.

Если в окне настроек Анти-Спама установлен флажок Открывать Диспетчер писем при получении почты, вы получаете еще одну возможность регулирования поступающей почты. При соединении с почтовым сервером будет открываться Диспетчер писем, который позволяет просмотреть список сообщений на сервере без их загрузки на компьютер (рис. 5.11).

Здесь отображается информация, необходимая для принятия решения: отправитель, получатель, тема и размер сообщения. В столбце Причина может показываться комментарий модуля Анти-Спам.

По умолчанию Анти-Спам анализирует проходящие письма вне зависимости от установленного почтового клиента. Если в качестве последнего используется один из почтовых клиентов, перечисленных выше, такая двойная работа излишняя, поэтому стоит снять флажок Обрабатывать трафик P0P3/SMTP/IMAP, который находится в области Встраивание в систему. Установите его, только если используете отличную от перечисленных почтовую программу. Если интеграция с указанными почтовыми клиентами не требуется, снимите флажок Включить поддержку Microsoft Office Outlook/The Bat!.

Отказавшись от приема ненужных или подозрительных сообщений, можно не только сэкономить трафик, но и снизить вероятность загрузки на компьютер спама и вирусов. При выборе сообщения внизу отобразится его заголовок, содержащий дополнительную информацию об отправителе письма. Для удаления ненужного сообщения установите флажок напротив письма в столбце Удалить и нажмите кнопку Удалить выбранные. Если вы хотите, чтобы Диспетчер показывал только новые сообщения на сервере, проследите, чтобы был установлен флажок Показывать только новые сообщения.

Система безопасности Prevx1

В специальной литературе для обозначения новых неизвестных видов атак часто используется термин zero-day (0-day) attack.

На обучение проактивных систем уходит некоторое время, в течение которого решение о допуске программы принимает пользователь. Подобные системы сегодня задают все меньше вопросов, однако от пользователя требуется некий уровень понимания происходящего в системе -- хотя бы такой, чтобы появление нового процесса вызывало подозрение. Созданные профили будут известны только на одном компьютере, поэтому в случае атаки на другую машину обучение придется повторять сначала. Вероятность возникновения ошибки велика, особенно учитывая характерный для проактивных систем высокий процент ошибок.

Эта система только набирает популярность, однако оригинальность решения и эффективность делают ее достойной рассмотрения.

Принцип работы

Впервые прототип нового типа системы отражения атак был представлен общественности в феврале 2004 года и назывался Prevx Ноте. Уникального в представленной системе было много. В отличие от антивирусных систем, использующих для определения злонамеренных файлов сигнатуры, или некоторых систем, работающих со списком разрешенных приложений, в новой системе применялись правила, которые описывали поведение и средства контроля целостности программ. Причем в список попадали как заведомо хорошие, так и плохие программы, что позволяло быстро определить характер нового приложения или процесса на компьютере. Однако не это главное.

В системе используется единая база данных Community Watch. Она является наиболее мощным источником информации, определяющим существование, распространение и деятельность как благоприятного, так и злонамеренного программного обеспечения. Используя информацию, собранную в этой базе данных, можно проследить и проанализировать в реальном времени поведение и распространение обществом каждой программы. На каждом клиентском компьютере устанавливаются агенты безопасности, которые отслеживают ситуацию в защищаемой системе. При установке нового приложения либо появлении нового, неизвестного локальной базе процесса агент по Интернету отсылает запрос к центральной базе и на основании полученной информации делает вывод о ее благонадежности.

Если в центральной базе данных нет информации о новой программе, новый модуль заносится в нее и помечается как неизвестный, и пользователь предупреждается о возможном риске. В отличие от антивирусов, требующих некоторого времени для анализа специалистами, Community Watch в большинстве случаев способна самостоятельно определить характер программы, основываясь на поведенческих характеристиках. Для этого используется методика Four Axes of Evil, которая определяет характер программы по четырем составляющим: скрытность, поведение, происхождение и распространение. В результате создается ее описание, содержащее приблизительно 120 параметров, позволяющих однозначно идентифицировать эту программу в будущем, то есть если неизвестная базе утилита выполняет те же действия, что и известная зловредная программа, ее назначение очевидно. Если данных, собранных агентом, недостаточно для принятия однозначного решения, база данных может потребовать копию программы для проверки. По заявлению разработчиков, только небольшой процент случаев требует особого вмешательства специалистов.

При первом запуске база данных содержала информацию о миллионе событий, а через 20 месяцев в ней уже была информация о миллиарде. Такой принцип работы позволяет устранить ложные срабатывания, поэтому неудивительно, что вскоре появилась программа нового поколения -- Prevxl, тестирование которой началось с 16 июля 2005 года. Результат превзошел все ожидания: 100 тыс. разбросанных по всему миру компьютеров с установленными на них Prevxl оказались способными противостоять новым угрозам в реальном времени.

Сегодня оптимизированная база данных содержит более 10 млн уникальных событий и 220 тыс. вредных объектов. Ежедневно система автоматически обнаруживает и нейтрализует свыше 400 вредных приложений и около 10 тыс. программ различного назначения. Антивирусам не угнаться за такой производительностью. По статистике, приведенной на сайте, новый пользователь, подключившийся к Prevx 1, в 19 % случаев находит у себя в системе вредоносные программы. Prevx 1 может использоваться автономно, самостоятельно защищая компьютер, и совместно с другими продуктами, усиливающими ее действие брандмауэром, антивирусом и программами для поиска шпионских модулей.

Работа с Prevx CSI

Для установки Prevx потребуется компьютер, имеющий не менее 256 Мбайт оперативной памяти и процессор с частотой 600 Мгц, работающий под управлением Windows 2000/ХР/2003 и Vista. Это минимальные требования, для комфортной работы желательно использовать более современное оборудование. Разработчики поступили просто: наличие бесплатной версии привлекает к проекту новых пользователей, которые добавляют свои сигнатуры в базу данных сообщества и тестируют на своем оборудовании непроверенное программное обеспечение. Версию Free можно установить обычным образом на жесткий диск или на USB-устройство хранения информации. Единственное ограничение этой версии -- невозможность удаления найденных вредоносных файлов (производится только проверка компьютера). Зато ее можно производить любое количество раз для подстраховки, запуская вручную или по расписанию, и в случае обнаружения проблем принимать меры с помощью других утилит, описанных в данной книге.

Рис. 1. Консоль управления Prevx CSI

Установка Prevxl не вызывает сложностей, но для верификации требуется подключение к Интернету. Запустите исполняемый файл, подтвердите согласие с лицензией, установив флажок и нажав кнопку Continue (Продолжить). Начнется сканирование системной области, по окончании которого будет выведен результат (рис. 1).

Обратите внимание на сообщение после System Status. Если значок напротив окрашен в зеленый цвет и подписан Clean, это означает, что на компьютере не обнаружено вредоносных программ. Если значок красный и подпись Infected -- на компьютере найдены вредоносные программы и следует принять меры. Если на компьютере будет обнаружена неизвестная программа, значок окрасится в желтый предупреждающий цвет, в этом случае пользователь должен быть внимателен, так как это может быть вредоносная программа.

Prevx должен обновлять локальную базу по мере необходимости, если соединение производится через прокси-сервер, его настройки следует указать на вкладке Configure в поле Activate Proxy Support. Автоматическую проверку системы можно установить на вкладке Scheduler. Установите флажок Scan my system every и с помощью раскрывающихся списков, расположенных справа, укажите периодичность и время проверки. Можно выбрать ежедневную проверку (Day) или указать на один из дней недели. Чтобы проверка производилась, если компьютер был выключен, установите флажок If my computer is not powered is on at the scheduled time. Для проверки компьютера после загрузки системы установите Scan automatically on bootup.

Практическая часть

1. Изучите теоретическую часть.

2. Выполните настройку Kaspersky Internet Security на вашем компьютере.

3. Ответе на контрольные вопросы.

4. Оформите отчет.

Вопросы для контроля

Дайте классификацию СОА.

Опишите новые пункты меню Защита, характерные для KIS.

Перечислите пять уровней защиты для настройки брандмауэра.

Опишите назначение модулей Анти-Шпион, Анти-Спам и Родительский контроль.

Опишите принцип работы программы Prevx CSI.

Размещено на Allbest.ru

...