Антивирусная правДА!TM

серада, 10 красавік 2024

В выпусках «Антивирусной правды» мы часто говорим о важности комплексной защиты устройств от вирусных угроз. Это касается не только компьютеров, работающих под управлением ОС Windows, — каждая операционная система требует особого подхода к обеспечению безопасности в виду определенных особенностей работы, архитектуры и назначения. При этом пользователи домашних устройств, которые чаще всего выбирают Windows или macOS, потенциально подвержены огромному числу цифровых угроз. И речь не только о возможном заражении вредоносным ПО, особенно в случае с ОС Windows, которая по этому показателю по-прежнему далеко впереди. Существуют и другие опасности — например, сетевое мошенничество, которое, к сожалению, неотделимо от интернета. С учетом того, что наша жизнь все больше переходит в онлайн, активность мошенников — настоящий бич современной цифровой среды.

Если же говорить о вирусных угрозах, то и в этом случае основным каналом их распространения является Глобальная сеть. Например, трояны, бэкдоры, шифровальщики и другие опасные программы часто замаскированы под полезное ПО, которое пользователь ищет на различных сайтах. Не стоит забывать и о том, что в интернете можно встретить множество ссылок на сайты, на которых распространяются зараженные исполняемые файлы или работают вредоносные скрипты.

Безусловно, хороший антивирус должен обезвреживать угрозы при их появлении на жестком диске или в оперативной памяти устройства вне зависимости от того, как именно вредоносный код попал на компьютер. Для этого применяется целый ряд технологий и методов обнаружения. Но в современных реалиях крайне важно иметь дополнительный эшелон защиты, направленный на обеспечение безопасности компьютера и пользователя при работе в сети. Поэтому важной задачей антивирусного ПО является контроль и фильтрация сетевого трафика, проходящего через защищаемый компьютер. В сегодняшнем материале мы поговорим о модуле SpIDer Gate, который входит в комплексный продукт Dr.Web Security Space для защиты компьютеров. В составе продуктов Dr.Web этот компонент также называется веб-антивирусом.

Что такое веб-антивирус?

SpIDer Gate присутствует в Dr.Web Security Space для ОС Windows, macOS и Linux. Несмотря на общую идею, во всех случаях некоторые особенности реализации и возможности модуля отличаются в виду принципиальных различий самих операционных систем. Ниже мы рассмотрим SpIDer Gate в контексте наиболее распространенной системы — Windows.

Веб-антивирус SpIDer Gate — это интернет-монитор, который обеспечивает проверку и фильтрацию веб-трафика. Трафиком в общем смысле является объем передаваемых по сети данных. Мы не будем вдаваться в технические подробности, однако поясним, что в этой статье будем говорить о трафике, передаваемом по протоколу HTTP и его защищенной версии HTTPS. HTTP (протокол передачи гипертекста) является сетевым протоколом верхнего уровня, который работает поверх стека протоколов TCP/IP. Различные программы используют разные протоколы для обмена информацией. Например, когда компьютер подключен к интернету, в его операционной системе обычно открыто множество сетевых соединений. Большинство из них работает незаметно для пользователя. Так, ОС время от времени подключается к нужным серверам для проверки и загрузки обновлений. Приложения также могут использовать интернет для самых разных целей: проверки подлинности лицензий, загрузки обновлений и файлов, отправки диагностических данных и статистики, телеметрии и т. п. Некоторые соединения работают «в открытую» — например, когда пользователь с помощью браузера посещает сайты в интернете. Именно протокол HTTP позволяет браузеру взаимодействовать с веб-сервером, получать и отображать содержимое страниц и загружать файлы. Помимо браузеров, многие приложения также осуществляют сетевое взаимодействие с использованием HTTP. Следует отметить, что веб-трафик составляет львиную долю обмена, который генерируется пользователями при работе в интернете.

Веб-антивирус SpIDer Gate в режиме реального времени осуществляет анализ такого трафика на предмет вредоносных объектов. При этом проверка данных не зависит от используемого браузера или приложения, равно как и от порта, через который проходит веб-трафик. В зависимости от настроек SpIDer Gate может проверять как входящий, так и исходящий трафик, а также данные, передаваемые по защищенному протоколу HTTPS. Вредоносные объекты и зараженные страницы автоматически блокируются до того, как они загружаются на компьютер, что значительно повышает защищенность устройства. Кроме того, SpIDer Gate отвечает за фильтрацию фишинговых ресурсов и сайтов, распространяющих вредоносные программы. Для этого используются данные из облачного сервиса и актуальных вирусных баз Dr.Web.

Как работает SpIDer Gate?

Компонент SpIDer Gate функционирует на базе службы Dr.Web Net filtering Service, которая также обеспечивает работу Родительского контроля и компонента Dr.Web SpIDer Mail. Эта служба является фильтром и подобно прокси-серверу пропускает через себя все сетевые соединения для проверки трафика. Постоянная фоновая работа службы и веб-антивируса SpIDer Gate в частности практически не сказывается на скорости работы компьютера и качестве интернет-соединения. Стоит отдельно сказать, что сам по себе Dr.Web Net filtering Service не потребляет сетевой трафик. Сторонние анализаторы и системы учета могут показывать большой расход трафика этой службой, но на самом деле передача данных инициирована другими приложениями — фильтр лишь выступает в роли посредника для проверки.

Но вернемся непосредственно к SpIDer Gate и веб-трафику. По умолчанию веб-антивирус проверяет только входящий HTTP-трафик. При необходимости можно добавить проверку исходящего трафика, а также включить проверку зашифрованных данных, передаваемых по защищенному протоколу HTTPS. Наши читатели помнят, что посмотреть зашифрованное содержимое обычным способом не получится. Как же тогда антивирусу сканировать и проверять такой трафик? В этом случае для обхода фундаментальных ограничений Dr.Web выступает в роли посредника между удаленным веб-сервером и компьютером, используя собственный корневой сертификат безопасности (подробнее о цифровых сертификатах и HTTPS мы писали в этой статье). Таким образом HTTPS-трафик остается защищенным от посторонних и при этом проверяется компонентом SpIDer Gate. Дополнительно отметим, что в этом режиме на сайтах, поддерживающих передачу по HTTPS, будет фигурировать сертификат Dr.Web, а не тот, который в действительности выдан сайту. Поэтому, если вы имеете полезную привычку время от времени проверять сертификаты сайтов в браузере и включили проверку защищенного трафика, не удивляйтесь наличию сертификата Dr.Web — так и должно быть. Кстати, подобным образом проверка работает и у других антивирусных вендоров.

Помимо антивирусной проверки передаваемых данных, SpIDer Gate осуществляет фильтрацию сайтов по URL. Доступ к сайтам, известным как источники распространения вредоносных программ, блокируется автоматически. Но в базах Dr.Web также находятся нерекомендуемые сайты, посещение которых тем или иным образом может навредить пользователю. По умолчанию доступ к этим сайтам также ограничен, однако пользователь может добавить нужный сайт в исключения либо на свой страх и риск отключить блокировку таких ресурсов. Заметим, что антивирусная проверка указанных сайтов будет работать в любом случае.

Как настроить SpIDer Gate?

С настройками по умолчанию веб-антивирус работает в оптимальном режиме. При этом пользователь может настроить компонент в зависимости от своих нужд. Так, включение проверки HTTPS-трафика повысит общую безопасность, однако в некоторых случаях для корректной работы того или иного приложения бывает необходимо импортировать в него цифровой сертификат «Доктор Веб» либо, в случае возникновения конфликтов, добавить приложение в исключения. Перед этим следует твердо убедиться в том, что исключаемая из проверки программа безопасна.

Проверка исходящего веб-трафика в обычных условиях может оказаться избыточна, поэтому по умолчанию эта опция выключена. Исходящий вредоносный трафик генерируется, если устройство уже заражено вредоносным ПО или является частью ботнета. Однако в этом случае задача по устранению угрозы ложится на остальные модули антивируса, которые должны превентивно отработать соответствующим образом. Проверка исходящего веб-трафика может понадобиться опытным пользователям, если компьютер работает в опасной с точки зрения вирусных угроз среде.

Довольно важной настройкой являются исключения — белый список приложений, веб-трафик которых будет исключаться из проверки. Однако мы не рекомендуем добавлять приложения в исключения без явной необходимости, в особенности те из них, которые не имеют валидной цифровой подписи (впрочем, даже наличие подписи также не является гарантией безопасности программы).

Как уже упоминалось выше, можно создать белый список сайтов, доступ к которым будет разрешен вне зависимости от настроек компонента. Если в SpIDer Gate включена опция Блокировать нерекомендуемые сайты, пользователь может разрешить доступ к определенным сайтам, добавив их в список исключений. При этом следует помнить, что политика в отношении нерекомендуемых сайтов схожа с детектированием нежелательного ПО, о котором мы писали в этой статье. Контроль доступа к таким ресурсам со стороны антивируса — способ дополнительной защиты пользователей.