Забота о безопасности пользователей
Алексей Полунин, osp.ru
Практика показывает, что при выборе абонентом оператора широкополосного доступа главным критерием по-прежнему остается высокая скорость и надежная работа линии связи. Вполне возможно, что вскоре к двум требованиям добавится третье — безопасность доступа.
В последние годы целями киберпреступников зачастую становятся компьютеры домашних пользователей, а кроме того, изменились виды угроз и повысился уровень профессионализма авторов вредоносных кодов. Если прежде большинство новых вирусов писалось из хулиганских побуждений, то теперь практически весь вредоносный код создается для получения материальной выгоды.
Опасность в каждом клике
По степени распространенности угроз все без исключения производители средств информационной защиты ставят на первое место троянские программы. По словам Станислава Шевченко, заместителя директора по исследованиям и разработкам «Лаборатории Касперского», основная задача таких программ — превращение домашнего компьютера в зомби-машину, входящую в состав зараженной сети (ботнета).
На второе место по распространенности специалист компании Symantec Кирилл Керценбаум ставит сетевых червей, а на третье место — классические вирусы. При этом он отмечает, что в последние два года увеличивается число именно классических вирусов, которым еще недавно предрекали скорую кончину. Вообще же количество вредоносных программ растет ошеломляющими темпами. Только в 2008 году Symantec выпустила 60% сигнатур, созданных за более чем 20-летнюю историю ее существования.
Компания Dr.Web, анализируя активные вредоносные программы, акцентируется на любопытном факте: помимо новейших разработок в первую десятку входят вирусы, появившиеся много лет назад, например созданный в 2001 году Nimda. По мнению аналитиков Dr.Web, это означает, что количество компьютеров, не имеющих самых банальных средств защиты, еще очень велико.
Заметно изменились каналы проникновения злоумышленников на компьютеры пользователей. В первую очередь, активно задействуются социальные сети и поисковые системы. По сведениям Kerio, в 2008 году количество вредоносных программ, распространяемых через социальные сети, выросло в четыре раза.
Аналитики Cisco отмечают 90-процентный рост количества атак, исходящих из «добропорядочных» доменов. При этом уменьшается объем вредоносных программ, распространяемых через вложения электронной почты (за 2007—2008 годы на 50% по сравнению с 2005—2006 годами).
Для распространения вредоносного кода все активнее используется способ, получивший название «спамдекация». В его основе — применение механизмов поисковой оптимизации сайтов, позволяющих ресурсам киберпреступников занимать самые высокие позиции в выдаваемых поисковиками результатах. Специалисты Dr.Web считают ошибочным бытующее мнение о том, что такой вариант распространения угроз не характерен для Рунета. В связи с появлением большого количества поддельных Web-узлов в конце июня Банк России опубликовал на своем сайте список реальных Internet-адресов российских кредитных организаций.
По данным Symantec Security Response, самым популярным объектом атак через Internet являются домашние пользователи, и только на втором месте находятся финансовые учреждения. Такой выбор злоумышленников связан с тем, что уровень защиты среднестатистического домашнего компьютера очень низок, и для проникновения на него не приходится прикладывать много усилий.
По мнению Григория Васильева, технического директора ESET, степень опасности заражения той или иной вредоносной программой для каждого пользователя индивидуальна и зависит от того, какая информация является для него наиболее ценной. Так, многие не видят проблемы в том, что их компьютер может быть включен в состав ботнета и задействован для рассылки спама. Пользователей больше пугает перспектива потерять какую-то личную информацию, например фотографии или набранные в онлайновых играх очки.
Защита пользователя: способы и тенденции
Есть два сценария защиты конечного пользователя — собственными силами и с помощью оператора связи. На успех первого сценария рассчитывать не приходится, что подтверждает неутешительная статистика. Антивирусные программы и firewall используются повсеместно, но практика показывает, что они плохо справляются со своими задачами. Далеко не каждый пользователь Internet умеет настраивать и поддерживать сетевую защиту. Зачастую он вообще отключает средства защиты, поскольку они накладывают определенные ограничения на работу с приложениями и сервисами, вызывая у потребителя раздражение.
Выходом из ситуации может быть делегирование функций обеспечения сетевой безопасности сервис-провайдеру.
Вариантов организации защиты пользователей со стороны провайдеров — не так уж много. Все решения можно свести к двум основным схемам. Первая основана на предоставлении услуг класса SaaS (Soft as a Service), которые помогают абоненту избавиться от выполнения рутинных операций настройки антивирусного ПО. Вторая схема напоминает использование корпоративных средств сетевой безопасности, только ориентированных на очень большое число абонентов. В ее основе — централизованное проксирование всего входящего и исходящего трафика и получение «чистого» трафика. Этот подход не подразумевает установки на компьютере пользователя какого-либо специализированного программного обеспечения, что является несомненным достоинством.
Производители и их решения
Первая схема обеспечения сетевой защиты представлена двумя решениями, получившими наибольшее «хождение» на отечественном рынке. Это услуга AV-Desk компании Dr.Web и программа «Народный антивирус», выпущенная «Лабораторией Касперского».
Dr.Web активно продвигает среди операторов связи свою услугу обеспечения информационной безопасности. Сейчас этот сервис предлагают абонентам более сотни операторов, в том числе «Акадо», «Корбина» и «Эр-Телеком». В последней версии продукта присутствуют не только файловый монитор и сканер трафика, но и модули, контролирующие доступ пользователей к самым разным ресурсам — сменным носителям, флешкам, сайтам Internet.
Решение Dr.Web AV-Desk основано на архитектуре «клиент — сервер». Серверная часть системы размещается на стороне провайдера, а на компьютерах устанавливают специальные антивирусные клиенты. Контроль над их установкой и развертыванием информационной защиты сети, а также мониторинг состояния и обновления всех компонентов программы на клиентских ПК осуществляются централизованно, с консоли администратора. Система позволяет выявлять зоны риска и дает администратору всю необходимую информацию для нейтрализации вирусных атак.
«Лаборатория Касперского» предлагает операторам связи подключиться к ее программе “Народный антивирус” и получить возможность продавать абонентам подписку на услуги защиты от вредоносного кода. Пользователь загружает «Антивирус Касперского» или Kaspersky Internet Security и заказывает у провайдера код активации со сроком действия один, два или шесть месяцев. По данным разработчика, к программе уже присоединился ряд операторов, в том числе QWERTY и «Зебра Телеком».
Вариант защиты с использованием проксирования трафика пока не получил на отечественном рынке достаточного распространения. Однако опыт европейского и американского рынков свидетельствует о перспективности такого подхода.
Компания Aladdin предлагает операторам связи решение eSafe SecureSurfing, которое поддерживает защиту от угроз со стороны Internet и фильтрацию доступа к сайтам по их содержанию. Решение может масштабироваться до нескольких сотен тысяч абонентов и выполнять очистку почтового и Internet-трафика со скоростью канала подключения. Это обеспечивает пользователю прозрачный режим работы и отсутствие каких-либо действий с его стороны. Поддерживаются многоуровневая защита от шпионских атак, управление доступом к Internet-приложениям (ICQ, P2P, потоковые медиа), контроль над почтовыми сообщениями и удаление спама. Система позволяет полностью блокировать неавторизованные соединения, которые зачастую инициируются вредоносным кодом. При желании абоненты могут получать отчеты о работе всех модулей системы, относящейся к их ПК.
Для организации периметра безопасности операторской сети Cisco предлагает достаточно широкий спектр продуктов — от межсетевых экранов и антиспамовых средств защиты почты до специализированных продуктов для управления профилями абонентов, например Cisco Service Control Engine. В IronPort S660 Web Security Appliance на одной аппаратной платформе реализованы значительные функциональные возможности. Специализированный шлюз защиты, базирующийся на принципах прокси-сервера, обеспечивает мониторинг трафика уровня L4, может работать с разными потоковыми данными и поддерживает разнообразные варианты фильтрации трафика, в том числе на основе репутационных оценок сайтов.
«Лаборатория Касперского» имеет решение операторского класса «Антивирус Касперского для xSP». Этот продукт осуществляет антивирусную проверку данных и защищает пользователей от всех типов вредоносных программ в Internet. Он базируется на другой разработке, «Антивирус Касперского для прокси-серверов». Осуществляется антивирусная проверка данных и входящего, и исходящего трафика. В первом режиме запрашиваемые пользователем Web-страницы поступают на прокси-сервер, а затем передаются антивирусной программе для проверки. Если она прошла успешно, данные передаются абоненту. В противном случае пользователь получает уведомление о блокировании ресурса. Исходящий трафик тоже проверяется антивирусной программой и лишь затем передается в Сеть. Это позволяет не допустить распространения вредоносного кода, который мог попасть на компьютер.
Компания McAfee, начавшая этим летом официально работать в России, предлагает для сетей операторов связи решение McAfee Total Protection. Оно предназначено для защиты трафика Internet и электронной почты от вредоносного кода и представляет собой интегрированную систему защиты пользователей (антивирус, antispyware, firewall, систему Web-фильтрации и механизм сканирования уязвимостей). Решение состоит из трех частей — McAfee Web Gateway, McAfee Email Gateway и McAfee Network DLP Preven. Назначение первых двух компонентов понятно из их названий, а третий компонент создавался для предотвращения потерь данных в корпоративных сетях. Однако оператор с успехом может его использовать и для предотвращения распространения вредоносного кода с компьютеров пользователей.
Недавно стало известно, что McAfee объявила о начале работы сервиса Total Protection в виде услуги SaaS, локализованной для России. Сейчас этот сервис ориентирован на корпоративных клиентов, но вполне возможно, что следующим шагом станет его внедрение в сетях операторов связи.
Для организации защиты пользователей операторской сети в продуктовом портфеле компании Symantec имеется программно-аппаратное решение Symantec Web Gateway. Оно обеспечивает защиту трафика Internet по многим параметрам. Этот продукт расценивается аналитиками Gartner как одно из лучших в отрасли решений, обеспечивающих безопасную передачу данных через Internet-шлюз. В августе появилась его новая версия. Как заверяют специалисты Symantec, она характеризуется более широкими возможностями, нежели обычный антивирусный сканер для http- или FTP-трафика. Продукт поддерживает защиту разных видов Internet-данных, включая Р2Р и ICQ, разграничение доступа к сайтам определенного содержания, контроль над использованием сетевых приложений (ICQ, Skype, пиринговые клиенты). Он способен выявлять и блокировать компьютеры, ставшие «зомби-машинами».
Из продуктов компании Trend Micro для защиты пользователей на уровне операторской сети можно применять систему InterScan Web Security Suite. В ней использован принцип многоуровневой защиты от атак на уровне Internet-шлюза. Для защиты трафика продукт может использовать как локальную информацию, так и данные, получаемые от службы Web Reputation. Наряду с фильтрацией Internet-ресурсов реализована гибкая система контроля над Java-апплетами и элементами Active X на основе политик. В решении может быть задействована дополнительная функция автоматического устранения ущерба, нанесенного атакой злоумышленников, с помощью службы Damage Cleanup Services. Для централизованного управления безопасностью в пределах всей сети оператора предусмотрена интеграция с платформой Trend Micro Control Manager.