Kaspersky мониторинг сети где хранятся правила

Обновлено: 06.07.2024

Сегодня сложно представить область деятельности человека, в которой не использовались бы компьютеры. Десятки миллионов пользователей каждое утро включают компьютеры по всему миру. И в это же время миллионы ботов активизируются и уведомляют своих хозяев о готовности к выполнению их заданий. Примерно полгода назад мы все с помощью новостных агентств наблюдали за созданием ботнета, в который, по последним сведениям, было включено более 10 миллионов компьютеров по всему миру.

Bot - от английского «robot», net - от английского «network». Сеть роботов, миллионы компьютеров, объединённых в единую информационную систему гениальным хозяином. Владельцы компьютеров, находящихся в ботнетах, и не подозревают о том, что их компьютеры давно инфицированы и является частью мировой сети по распространению спама, атак на серверы и прочей незаконной деятельности. Проще всего понять порядок мощностей нынешних ботнетов на простом примере. 10 миллионов компьютеров получают задание с 12 часов UTC следующих суток делать один запрос в минуту любого сайта в Сети. В полдень следующего дня они создадут поток трафика в десятки гигабит в секунду. С таким потоком мусорного трафика не справится ни один хостер, ни один датацентр или любое специализированное оборудование. Такой поток будет означать использование всей пропускной способности каналов передачи данных и последствия этой атаки заметят все, а не только тот сайт, на который была направлена атака.

Этот пример слишком прямолинеен, демонстрирует лишь потенциальные возможности одного ботнета, а их сотни. Владельцы ботнетов сдают части своих мощностей в аренду, предлагая использовать их для проведения DDoS атак или рассылок спама. Один «небольшой» ботнет из миллиона компьютеров за сутки может разослать полтора миллиарда спам-писем или сделать недоступным практически любой сервер в Интернете.

Казалось бы, «ботнеты», «атаки», «DDoS» - это всё какие-то отдалённые от нас события, происходящие где-то и с кем-то, а не с нами. Но давайте посмотрим как, с помощью каких инструментов создаётся ботнет.

Где-то в Китае настраивается веб-сервер, содержащий всего одну страницу. На странице размещается специальным образом сформированный файл pdf, специальный JavaScript, видеоролик на Flash. При заходе на такую страницу, последовательно выполняется проверка возможности запуска в браузере посетителя того или иного объекта, размещённого на странице. Если такая возможность находится, а она будет найдена в большинстве случаев, то через уязвимость в браузер посетителю загружается и запускается на исполнение небольшой файл. Уже этот файл скачает с других серверов дополнительные модули и установит все части, необходимые для включения компьютера в ботнет. Посетитель же может увидеть ошибку браузера, после перезапуска которого он продолжит работу как и раньше, но с тем отличием, что теперь его компьютер является частью мирового ботнета и готов в любой момент начать работу в нём.

Как же заманить пользователя на такую страницу с установленными скриптами и вредоносными файлами? Здесь всё до безобразия просто и автоматизировано. Программисты ежедневно ищут новые уязвимости в широко используемых движках блогов, форумов, в других скриптах, например, в phpMyAdmin. Найдя так называемую «уязвимость нулевого дня», т.е. ранее никому неизвестную, программист пишет задание роботу, который сможет использовать её. Десятки таких роботов устанавливаются на серверах по всему миру, и каждый день методично обходят миллионов сайтов в интернете в поисках требуемой версии движка блога или скрипта. Самые продвинутые версии таких роботов могут использовать поисковые системы для быстрого нахождения требуемой версии. Достаточно в строке поиска ввести «CMSName 3.0.7» и поисковая машина выдаст тысячи ссылок на сайты с той версией движка, которая нужна роботу. Ему остаётся прочитать этот список и обойти его.

Найдя сайт с требуемой версией движка или скрипта, робот использует уязвимость, получает доступ к файловой системе сервера, проходит по ней и добавляет в тело каждой найденной html страницы так называемый «фрейм» или маленькое окно, в которое автоматически загружается та самая страница с китайского сервера. Теперь любой посетитель, зашедший на вполне уважаемый, надёжный и известный сайт, загрузит страницу с китайского сервера и станет частью ботнета. Совсем недавно новостные агентства информировали о быстрых массовых взломах сайтов, исчисляемых десятками тысяч. Если каждый такой сайт в среднем в сутки посещает 1000 человек, то количество заразившихся будет исчисляться миллионами.

Таким образом, сегодня в Сети сложилась такая ситуация, что даже ограничение количества посещаемых сайтов до нескольких весьма известных и уважаемых, не может гарантировать от заражения.

Если домашний пользователь подключён к интернету, как правило, через относительно медленные каналы связи, то корпоративные пользователи подключаются по очень быстрым, выделенным линиям. С одной стороны, обычный домашний пользователь, как правило, не имеет достаточной квалификации для обнаружения по косвенным признакам заражения, работает на нелегальной копии операционной системы, обновления в которой отключены во избежание блокирования после очередного обновления. Сумма этих факторов делает из таких пользователей достаточно лёгкую мишень для заражения. С другой стороны, создав эпидемию в локальной сети из 300 компьютеров, поставив такую сеть под свой контроль, атакующий получает в своё распоряжение мощный небольшой ботнет, подключенный к Интернету на скорости в 10-100 мегабит. При нерадивом системном администраторе, не озаботившимся вовремя созданием централизованной системы развёртывания обновлений операционных систем и программного обеспечения, не установившим централизованную систему антивирусной защиты и фильтрации трафика, такая локальная сеть становится рассадником спама и вирусов на несколько дней, до тех пор, пока администратор не заметит вирусную активность и не предпримет мер по её прекращению.

В этом обзоре мы рассмотрим один из инструментов, позволяющих полностью решить проблему заражения и включения в ботнеты локальных сетей любых размеров. Централизованное управление, правила, автоматическое обновление антивирусных баз и многое другое позволяет с помощью Kaspersky Open Space Security решить этот вопрос с минимальными затратами времени обслуживающего персонала, сведя стоимость владения решением к минимуму.

Следует чётко понимать, что одна система не способна полностью оградить от всех угроз. Должен быть предпринят комплекс мер по защите локальной сети. Например, все пользователи должны работать в Интернете только через корпоративный прокси с авторизацией. «Общаться» с серверами в Интернете по 25-му порту для отправки почты могут только почтовые серверы компании, но не любой пользователь. В локальной сети должен быть развёрнут сервер для автоматической установки обновлений на операционные системы и программное обеспечение пользователей без их на то согласия. И так далее. Одним из «кирпичей» этой системы и является Kaspersky Open Space Security.

Систему можно развернуть несколькими способами. В подробнейших руководствах рассмотрены способы как ручной установки компонентов системы, так и автоматической при помощи доменных политик или скриптов. Мы же рассмотрим вариант развёртывания системы в домене с одного сервера.

Установка Kaspersky Administration Kit

Сервер администрирования - основной компонент пакета, который осуществляет управление программами «Лаборатории Касперского».
Агент администрирования используется для связи между клиентскими компьютерами и сервером администрирования.
Сервер политик авторизует набор мандатов для Cisco NAC.
Компонент Поддержка мобильных устройств позволяет обеспечить совместную работу с Kaspersky Mobile Security Enterprise Edition.
Консоль администрирования - интерфейс для управления программами.

Для работы Kaspersky Administration Kit необходим Microsoft SQL Server, MySQL или SQL Express. При необходимости мастер установки может развернуть MySQL или Microsoft SQL Server 2005 Express Edition.

Для хранения и доступа по сети к обновлениям, будет создана папка общего доступа. Есть возможность выбрать произвольный номер порта для сервера администрирования. В качестве имени сервера администрирования необходимо выбрать между DNS или NetBIOS именами компьютера, на который устанавливается Kaspersky Administration Kit, или его IP адресом.

Мастер первоначальной настройки предложит указать файл ключа продукта, ввести код активации или сделать это позже. На ознакомление с возможностями всех продуктов отведено 30 дней, в течение которых они будут полнофункциональны.

Мастер опросит локальную сеть и предложит просмотреть список найденных им компьютеров.

По умолчанию предлагается выбрать между установкой антивируса для рабочих станций и серверов. При необходимости, можно нажать кнопку «Новый» и создать инсталляционный пакет другого продукта Лаборатории или произвольного приложения.

По умолчанию предлагается установить выбранный пакет при помощи Агента администрирования. Если предложенные настройки не менять, то выбранный пакет будет установлен на определённые ранее компьютеры сразу после запуска установки из мастера. Если назначить установку Агента администрирования через политики AD, то сначала при логоне пользователя будет установлен Агент администрирования, а затем уже его средствами сам пакет.

На следующем шаге мастер предложит указать файл лицензии, с которым будет развёрнут выбранный пакет на компьютеры пользователей. Если лицензию не добавлять, то Антивирус Касперского проработает 30 дней без ограничения функционала.

Удаление с клиентских компьютеров несовместимых программ

Если это необходимо, то можно включить удаление определённых программ с клиентского компьютера перед установкой Антивируса Касперского. Эта возможность значительно ускорит процесс развёртывания продукта, избавив администратора от необходимости вручную удалять с компьютеров в сети установленные ранее антивирусы.

Затем мастер предложит переместить выбранные для установки компьютеры в существующую группу («Управляемые компьютеры»), создать новую группу и переместить выбранные компьютеры в неё или не перемещать компьютеры в группы.

Перед началом развёртывания нужно учесть, что брандмауэр Windows не должен запрещать общий доступ к файлам и принтерам и должен быть отключен «Простой общий доступ к файлам» на всех компьютерах пользователей.

Окно Антивирус Касперского 6.0 для Windows Workstation на компьютере пользователя Окно консоли управления Kaspersky Administration Kit Начало работы мастера установки Антивируса для сервера Установка Антивирус Касперского для Windows Server выполнена

При помощи этой политики администратор может управлять всеми настройками Антивируса Касперского на управляемых компьютерах. Закрытый замок в правой верхней части каждой группы означает, что пользователю запрещено изменять эти настройки. При необходимости можно на некоторых группах настроек замок «открыть», после чего пользователь сможет изменить настройки антивируса на своём компьютере.

Политика применяется к группе компьютеров и её подгруппам. По умолчанию все компьютеры включены в группу «Управляемые компьютеры». Если это необходимо, можно создать подгруппы, разместить в них компьютеры, сгруппировав их по типам необходимых настроек безопасности, и создать для каждой группы свою политику.

Администратор может централизованно управлять настройками перехвата и проверки трафика, получаемого пользователем из Интернета. Антивирус проверит объекты на загружаемой странице, и если они безопасны, то отдаст их браузеру. В этой же группе настроек можно указать адреса доверенных сайтов и эти адреса автоматически распространятся сразу же на все компьютеры, к которым применена политика.

После того, как группа и политика создана, достаточно поместить в эту группу компьютер и политика будет применена к установленному на нём антивирусу.

Помимо всего прочего, с каждым компьютером с установленным агентом управления можно создавать туннель. Например, если на удалённом компьютере закрыт файрволом порт 3389, то можно создать туннель через агента администрирования и подключиться к порту 3389 на удалённом компьютере через указание порта на локальном компьютере.

Консоль управления Kaspersky Administration Kit предоставляет массу удобств при обслуживании большого количества пользователей и серверов с установленным Антивирусом Касперского. Здесь есть и отчёты о состоянии компьютеров, и инструменты для управления карантином на удалённых компьютерах, и настройка уведомлений о событиях. Сервер администрирования в зависимости от количества клиентов распределяет нагрузку на сеть во время обновления антивирусных баз, вводя небольшую задержку в получении обновлений для разных клиентов. С помощью вложенных групп компьютеров можно очень точно применять политики настройки антивирусов для конкретных отделов или пользователей. Всё это позволяет утверждать, что KOSS будет отличным выбором как для небольших компаний, так и для компаний с числом рабочих мест больше тысячи. Один администратор сможет обслуживать практически любое количество антивирусов, вовремя реагировать на возникающие угрозы и тем самым минимизировать продолжительность возможных простоев как в работе локальной сети в целом, так и каждого отдельного пользователя.

Итак, вы настроили безопасность вашей домашней сети. Что дальше?

Интернет еще никогда не был таким доступным. Не так давно настроить домашнюю сеть Wi-Fi без глубоких технических знаний было невозможно. Сегодня эта задача под силу даже непрофессионалу.

Но если что-то стало проще, это не значит, что оно стало безопаснее. Если вы регулярно читаете наш блог, то уже знаете, что любое подключение (к домашней или внешней сети) должно быть стабильным и безопасным.

Безопасность вашей сети в ваших руках. Чтобы защититься от вторжения, прежде всего измените имя сети и пароль, установленные по умолчанию, отключите удаленный доступ и выполните еще несколько простых действий.

Но как проверить, действительно ли все эти меры помогли и к вашему Wi-Fi не подключается кто-то посторонний? Это можно сделать с помощью Kaspersky Security Cloud — наш продукт позволяет отслеживать, какие устройства подключаются к вашей домашней сети.

Как Kaspersky Security Cloud защищает вашу сеть

При первом запуске последней версии нашей комплексной защиты для домашних пользователей Kaspersky Security Cloud программа автоматически просканирует и запомнит вашу сеть. В дальнейшем она будет не только защищать устройства, которые вы сами подключаете к домашней сети, но и отслеживать все новые подключения.

Карта домашней сети в Kaspersky Security Cloud

Вы можете запретить подключившемуся устройству доступ к сети, заблокировав его MAC-адрес в настройках роутера

После того как вы составите карту сети, оставив в ней только те устройства, которым доверяете, злоумышленники не смогут воспользоваться вашим подключением. Если кто-то попытается пробраться в вашу сеть, Kaspersky Security Cloud предупредит вас об этом, и вы сможете быстро заблокировать доступ постороннему устройству.

Если вы не хотите получать уведомления о подключении новых устройств, можно в любой момент отказаться от них. Для этого в уведомлении Windows-версии Kaspersky Security Cloud нужно нажать ссылку Отключить уведомления для этой сети. То же самое можно сделать в настройках приложения:

Откройте главное окно программы.
Нажмите значок сети в нижней части окна (он зависит от типа сети: проводной или беспроводной).
В разделе Устройства в моей сети нажмите значок меню (три точки).
Выберите пункт Отключить уведомления.

Точно так же в приложении можно проверить, правильно ли заданы параметры уведомлений.

Больше новых возможностей в Kaspersky Security Cloud

Как сказано выше, Kaspersky Security Cloud запоминает вашу сеть. А последняя версия приложения добавляет на карту даже проводные соединения. Хотя большинство современных гаджетов — смартфоны, планшеты, ноутбуки — используют Wi-Fi, не исключено, что у вас есть пара устройств, подключенных к роутеру кабелем.

Даже самый быстрый Wi-Fi не сравнится по скорости с проводным Ethernet-подключением. И если ваше устройство находится рядом с роутером, почему бы этим не воспользоваться? Во многих семьях подключенный к роутеру настольный компьютер становится центром домашней сети. Поэтому Kaspersky Security Cloud теперь отслеживает и проводные подключения.

Мы также добавили инструменты, которые помогут защитить устройства других пользователей. Так, члены вашей семьи смогут установить решение на свои гаджеты, отсканировав QR-код или перейдя по ссылке.

Кроме того, мы улучшили автоматическую проверку электронных адресов для предотвращения утечек данных. Функция проверки учетных записей была и в предыдущих версиях приложения: она проверяет, не попали ли данные, связанные с адресом электронной почты, в Сеть. Теперь пользоваться ей еще удобнее: во-первых, функция автоматически проверяет адреса, которые вы используете для входа в различные сервисы, а во-вторых, вы можете сами создать список адресов для проверки.

Функция проверки учетных записей предупредит, если данные, связанные с адресом электронной почты, утекли в Сеть

Защита домашней сети и не только

В наше время, когда все подключено ко всему, а киберпреступники готовы воспользоваться любой лазейкой — от шаблонных паролей до уязвимостей крупных сетей, какого-то простого рецепта безопасности, увы, не существует. Поэтому защиту домашней сети, как и другие задачи безопасности, лучше доверить надежному продукту.

Защитить вашу сеть помогут передовые технологии. Такие есть в нашем решении Kaspersky Security Cloud — оно позволит вам контролировать безопасность домашней сети, а заодно защитит от целого ряда других цифровых неприятностей.

Kaspersky Security Center-программное обеспечение Лаборатории Касперского, которое позволяет администрировать локальные сети организации. В частности добавлять устройства в политики, созданные и настроенные специально под политику информационной безопасности, используемой в организации.

Итак, чтобы добавить адрес, например 172.26.12.34, необходимо сделать следующие шаги (скрины кликабельны).

Выбираем нашу основную политику, в которую необходимо внести изменения

Клацаем 2 раза, чтобы зайти в Свойства Политики безопасности , затем выбираем Сетевой экран

По идее, если вам необходимо разрешить какой-то узел, то галочка у Сетевого экрана политики будет стоять. Заходим в Настройку и выбираем Сетевые пакетные правила

Затем нажимаем Добавить для создания своего сетевого правила, в котором можно будет закидывать необходимые для работы ip-ресурсы.

Основные настройки нового сетевого правила:

Советуем прочитать Почтовый клиент Mozilla Thunderbird. Особенности установки и настройки (в том числе для ИСОД МВД России)

Итак, кликнув кнопку Добавить , откроется окно с конкретным добавлением параметров в этом правиле, где обзываем наше соединение, и добавляем IP-адреса, которые необходимо разрешить. Всё сохраняем и наслаждаемся результатом.

C помощью эксперта «Лаборатории Касперского» разбираемся, какой набор инструментов должен иметь в своем арсенале современный специалист по ИБ. От каких угроз и с помощью каких технологий надо защищаться. Говорим о тенденциях в сфере ИБ, о механизмах работы некоторых продуктов «Лаборатории Касперского» и немного заглядываем в будущее.

Сегодня массовые атаки и различные «выбросы» в сеть уже воспринимаются как нечто обыденное, а купить вредонос в DarkNet или заказать DDOS можно недорого и без особых проблем. Как итог — появляются примеры, как школьники, заплатив небольшие деньги, «дидосят» электронный дневник.

С другой стороны, киберпреступники стали более избирательными и всесторонне исследуют цель, прежде чем целенаправленно атаковать ее.

У «Лаборатории Касперского» есть статистика: с 1986 по 2016 годы было разработано около 1 млн зловредов. За последние два года ситуация изменилась: еженедельно в базах фиксируется 2 млн новых зловредов массового поражения, которые выбрасываются в сеть.

Какие же инструменты приходят на помощь специалистам по безопасности, когда вариант «лучшая защита — это нападение» не уместен?

Капитанская вещь, но: для защиты рабочей станции как минимум необходимо использовать всем давно знакомый антивирус. Впрочем, благодаря политике Microsoft, он сейчас есть на каждой машине с Windows. В пик роста кибератак и удивительной находчивости хакеров многие считают, что антивирус работает лишь как плацебо: поставил его на машину и спи себе спокойно.

Ну а если какая-то зловреда таки просочится через такую «лжезащиту», восстановим машину из бэкапа у хороших админов он же всегда есть , поругаем создателя антивируса, еще пару дней плохого настроения от воспоминаний, и все проблемы уйдут. Правда, бывают случаи, когда зараженная машина наносит заметный ущерб коммерческой деятельности.

На сегодняшний момент классический антивирус, который сигнатурно проверяет файлы, действительно не эффективен. Злоумышленники стали активнее и умнее. Поэтому для защиты рабочих станций нужно использовать продукт, совмещающий в себе как классический антивирус, так и разнообразные варианты поиска вредоноса, например, по поведению.

Не стоит забывать о таких важных вещах, как мониторинг уязвимости в программах на всех машинах предприятия, антивирусные проверки файлов в оперативной памяти и на флешках, проверку почтового и веб-трафика.

Кроме того, очень полезна централизованная консоль управления, где можно мониторить все машины компании, видеть угрозы, вести статистику и выполнять задачи удаленного администрирования. Она просто необходима для распределенных организаций. У многих компаний есть соответствующие решения. В той же «Лаборатории Касперского» оно называется Kaspersky Endpoint Security для бизнеса.

Многие организации переводят свои мощности на виртуальные машины. В данном случае виртуальную среду тоже необходимо как-то защищать. Можно, конечно, поставить защиту на каждую такую машину, но так как обычно виртуалкам выделяется мало ресурсов, то хорошо бы строить защиту виртуальный среды с отдельной виртуальной машины. Выделенная машина обрабатывает все данные, а на рабочие виртуалки устанавливаться только агент, который не дает большой нагрузки.

Можно также использовать агентское решение, доступное только для VMware. В этом случае агент не устанавливается на виртуальную машину, а осуществляет защиту и проверяет машины на наличие угроз через гипервизор. Именно такая схема реализована в том же Kaspersky Security для виртуальных и облачных сред.

Все большую популярность набирают гибридные инфраструктуры: когда часть серверов в облаке и часть на земле. Для построения такой инфраструктуры можно использовать Microsoft Azure. Что касается защиты, то у «Лаборатории Касперского» есть подходящее решение — Kaspersky Cloud Security.

Я тучка, тучка, тучка, я вовсе не 0LzQtdC00LLQtdC00Yw=

Шифрование — важная часть информационной безопасности. Сотрудники компании для мобильности часто используют ноутбуки, которые можно потерять и легко украсть. Поэтому для защиты конфиденциальных данных необходимо шифровать не только конечные устройства, но и дисковое пространство, а также почтовый и веб-трафик, каналы связи. Для шифрования трафика можно использовать продукты от Cisco, OpenVPN, VipNet, Континента. У «Лаборатории Касперского» на этот случай есть Kaspersky Secure Mail Gateway, который помимо защитных функций (антивирус/антиспам/антифишинг), позволяет шифровать почтовый трафик и принимать только шифрованный трафик с валидным сертификатом.

Если злоумышленник пробрался во внутрь сети и на 443-й повесил ssh, а потом пошел на другую машину и с нее хочет подключится и выполнить вредоносные действия, то у него ничего не выйдет. В случае использования классического firewall — по 443 порту можно делать все, что хотите. В качестве open source варианта для создания firewall можно рассмотреть pfSense, который, кроме основных функций, предоставляет возможности по маршрутизации и балансировке трафика.

DDOS — штука неприятная. К тому же если конкуренты решили вывести ваш сайт из строя в самое неподходящее время, то атака может вылиться в большие потери.

Есть второй вариант работы, когда «Лаборатория Касперского», через средства мониторинга, контролирует назревающую DDoS-атаку и сообщает о ней заказчику, а заказчик принимает решение прогонять свой трафик в данный момент через центры очистки или нет.

В принципе, все названные выше решения позволяют защититься от 99% вредоносов, но всегда остается 1%, не значащийся в сигнатурных базах и созданный для одной конкретной атаки, которая может нанести большой ущерб. В той же «Лаборатории Касперского» разработали Kaspersky Anti Target Attack Platform. Это решение принимает на себя SPAN-трафик, который подается сетевому оборудованию, почтовый трафик, трафик с рабочих мест. Внутри платформы установлен антивирусный движок, который проверяет весь этот трафик и выдает антивирусные детекты. SPAN-трафик, в свою очередь, компонентом IDS проверяется на наличие аномалий в сетевом трафике.

Еще один компонент платформы — песочница — изолированная среда, в которой запускаются файлы и анализируется их поведение.

Если в песочницу попадает вирус, то он обычно скачивает свои дополнительные модули с командного центра, а платформа, проанализировав его поведение и сетевые взаимодействия, признает его вредоносным.

Читайте также: