52
Не определяет новые вредоносные ПО или модифицированные
известные вредоносные программы.
Анализ поведения программ основан на следующих принципах:
Анализ поведения программы – основывается на перехвате и анализе
всей активности программы в защищаемой системе, оценивает
обращение к объектам, попытки сетевых соединений, изменение
собственных прав и т.п. На основе типичных сценариев поведения
вредоносного ПО принимается решение о вредоносности данного ПО.
Эвристический анализ – заключается в поиске участков кода в
исследуемом объекте отвечающих за конкретные вредоносные действия.
Направлен на обнаружение ранее неизвестных вредоносных программ,
которые отсутствуют в сигнатурных базах. Недостаток большое
количество ложных срабатываний и затруднения в исправлении
зараженного объекта.
Эмуляция кода – заключается в запуске исследуемой программы в среде
эмуляции с целью отслеживания возможных вредоносных действий.
Преимуществом является снятие угрозы с реальных объектов
информационной системы, а недостатком требует значительных
ресурсов системы для реализации.
Запуск с ограниченными полномочиями – заключается в запуске
исследуемой программы в выделенной среде с ограничением прав
доступа, доступного дискового пространства и т.п. Направлен на
обнаружение ранее неизвестных вредоносных программ.
Виртуализация окружения – заключается в перехвате запросов
исследуемой программы на запись и записи в выделенную область
(буфер), очищаемое при завершении работы системы. Направлен на
53
обнаружение ранее неизвестных вредоносных программ. Недостаток
метода не защищает от чтения с диска.
В главе 1 мы выбрали требуемый класс защиты информации
необходимый для организации – 1Г. Так же мы установили, что уровень
защищенности персональных данных необходим не ниже 3 уровня.
Согласно требованиям к средствам антивирусной защиты утвержденным
приказом ФСТЭК №28 от 01.08.2012г. нам требуется профиль защиты
средств антивирусной защиты типа «В» четвертого класса защиты.
Сертифицируемые антивирусы, которые соответствуют данному профилю
защиты следующие:
Kaspersky Endpoint Security;
McAfee;
Avira Antivirus Pro;
Norton Security 22.16;
VIPRE Advanced Security;
Произведем анализ антивирусной защиты по следующим критериям:
Качество обнаружения вредоносных программ;
Стоимость;
Для тестирования качества обнаружения вредоносных программ
возьмем результаты тестов антивирусных программ нескольких лабораторий,
так же сравним воздействие антивирусных программ на работу системы и
персональных компьютеров пользователей.
AV-TEST GmbH является независимым исследовательским институтом
по информационной безопасности из Германии. На протяжении более 15 лет
54
эксперты из Магдебурга гарантировали качественное сравнение и
индивидуальные испытания практически всех актуальных на международном
уровне продуктов в области информационной безопасности.
Тестирование на защиту от 0-дневных атак, вредоносных программ из
интернета, включая веб-угрозы и угрозы электронной почты за январь-
февраль 2019г.:
Таблица 7 Эффективность обнаружения вредоносного ПО в процентах.
Антивирус
0-дневных
атак кол-во
образцов,
шт
Процент
обнаружения,
%
Вредоносное
ПО за последние
4 недели кол-во
образцов, шт
Процент
обнаружения,
%
Место в
рейтинге
KES
309
100
13668
100
1
McAfee
309
100
13668
100
1
Avira
309
100
13668
100
1
Norton
Security
309
100
13668
100
1
VIPRE
309
98,8
13668
100
2
Тестирование на влияние решений безопасности на типичные операции
при ежедневной работе стандартного персонального компьютера за январь-
февраль 2019г:
Таблица 8 Снижение производительности при работе антивируса в процентах.
Антивирус
Запуск 50
популярных
сайтов
Загрузка 20
часто
используемых
приложений
Установка 20
часто
используемых
приложений
Копирование
файлов
Место в
рейтинге
55
KES
47%
0
16%
1%
3
McAfee
5%
0
26%
0%
1
Avira
10%
1%
28%
7%
5
Norton
Security
6%
0
27%
0
2
VIPRE
6%
2%
27%
1%
4
Тестирование на влияние решений безопасности на удобство работы с
персонального компьютера (количество ложных срабатываний) за январь-
февраль 2019г:
Таблица 9 Количество ложных срабатываний при работе с антивирусом.
Антивирус
Блокировка
500
популярных
сайтов, шт
Ложное
обнаружени
е законного
ПО, шт.
Ложные
предупреждение
при установке
ПО, шт
Ложные
предупреждени
е при установке
ПО, шт.
Место
в
рейтинг
е
KES
0
1
0
0
2
McAfee
0
0
0
0
1
Avira
0
0
0
0
1
Norton
Security
0
0
0
0
1
VIPRE
0
3
0
0
3
В результаты проведения всех тестов сведем в итоговую таблицу:
56
Таблица 10 Итоговая таблица сравнения антивируса по AV-TEST GmbH
Антивирус
Место в
рейтинге
эффективность
обнаружения
вредоносного
ПО
Место в рейтинге
снижение
производительности
Место в
рейтинге
ложные
срабатывания
Итоговый
рейтинг
KES
1
3
2
3
McAfee
1
1
1
1
Avira
1
5
1
4
Norton
Security
1
2
1
2
VIPRE
2
4
3
5
В результате анализа и составления рейтинга выявлено, что отличной
эффективности обнаружения вредоносного ПО и низкой частоте ложных
срабатываний системы лучшими из представленных систем являются,
которые меньше всего влияют на систему и не уменьшают ее
производительность.
Следующая лаборатория это AV-Comparatives – это независимая
организация предлагающее систематическое тестирование ПО на
соответствие информационной безопасности и обладает одной из
крупнейшей в мире коллекцией образцов что позволяет создать реальную
среду для действительно точного тестирования.
Тестирование на защиту от 0-дневных атак, вредоносных программ из
интернета, включая веб-угрозы и угрозы электронной почты за март 2019г.:
57
Таблица 11 Эффективность обнаружения вредоносного ПО в процентах.
Антивирус
Скорость
обнаружения
в автономном
режиме
Скорость
обнаружения
онлайн
Вредоносное
ПО кол-во
образцов, шт
Процент
обнаружения,
%
Место в
рейтинге
KES
97,4
97,8
10970
99,88
4
McAfee
83,7
99,1
10970
99,90
2
Avira
95,8
99,9
10970
100
1
Norton
Security
95,8
98,9
10970
99,87
2
VIPRE
98,7
98,7
10970
99,99
3
Тестирование на влияние решений безопасности на удобство работы с
персонального компьютера (количество ложных срабатываний) за январь-
февраль 2019г:
Таблица 12 Количество ложных срабатываний при работе с антивирусом.
Антивирус
Вредоносное
ПО кол-во
образцов, шт
Ложное тревоги,
шт.
Процент
обнаружения, %
Место в
рейтинге
KES
10970
3
99,88
1
McAfee
10970
9
99,90
4
Avira
10970
4
100
2
Norton
Security
10970
17
99,87
5
58
VIPRE
10970
6
99,99
3
В результаты проведения всех тестов сведем в итоговую таблицу:
Таблица 13 Итоговая таблица сравнения антивируса по AV-Comparatives
Антивирус
Место в рейтинге
эффективность обнаружения
вредоносного ПО
Место в рейтинге
ложные срабатывания
Итоговый
рейтинг
KES
4
1
2
McAfee
2
4
3
Avira
1
2
1
Norton
Security
2
5
4
VIPRE
3
3
3
В результате анализа и составления рейтинга выявлено, что лучшими из
представленных систем являются системы с высокой эффективностью
обнаружения вредоносного ПО и низким количеством ложных
срабатываний.
Следующий параметр анализа является стоимость продукта и
сопровождение в процессе эксплуатации. Данные возьмем с официальных
сайтов производителей антивирусов.
Таблица 14 Таблица сравнения стоимости 1 лицензии
Антивирус
Стоимость лицензии в
руб./кол-во ПК
Стоимость 1 лицензии
Итоговый
рейтинг
KES
3900/5
780
4
59
McAfee
2699/10
26.99
3
Avira
-
-
1
Norton
Security
2599/10
25.99
2
VIPRE
3533/1
3533
5
В результате анализа стоимости выигрывает ПО распространяемое
бесплатно.
Итоговые результаты анализа сведены в таблицу:
Таблица 15 Итоговая таблица сравнения антивирусов
Антивирус
Рейтинг тестирования
лаборатории
AV-TEST GmbH
Рейтинг тестирования
лаборатории
AV-Comparatives
Рейтинг
стоимости
Итоговый
рейтинг
KES
3
2
4
4
McAfee
1
3
3
2
Avira
4
1
1
1
Norton
Security
2
4
2
3
VIPRE
5
3
5
5
Анализируя итоговую таблицу делаем вывод, что лидер рейтинга
антивирус «Avira» выигрывает по качеству и эффективности обнаружения
угроз а так же частоте ложных срабатываний, но имеет существенный
недостаток сильно снижает производительность работы персонального
компьютера. Это является критичным для работы сети крупного
предприятия.
60
Занявший второе место антивирус «McAfee» имеет отличную
эффективность обнаружение вредоносного ПО и достаточно не высокую
стоимость, но недостатком данного антивируса является достаточно высокий
процент ложного срабатывание при обнаружении вредоносного ПО.
Антивирус «Norton Security 22.16» имеет практически такую же
стоимость, как и антивирус «McAfee» но имеет худший результат по
ложному срабатыванию при определении вредоносного ПО. Высокий
процент ложного срабатывания увеличивает нагрузку на службу
информационной безопасности и создает неудобства при работе обычных
пользователей ПК.
Антивирус «Kaspersky Endpoint Security» имеет достаточно высокую
стоимость лицензии, сравнительно высокую эффективность обнаружение
вредоносного ПО и самый низкий процент ложного срабатывания при
обнаружении вредоносного ПО. Недостатком данного антивируса является
существенное снижение скорости загрузки популярных сайтов, но при работе
в локальной сети предприятия это неактуально. Поэтому антивирус
«Kaspersky Endpoint Security» является оптимальным решением для крупной
организации.
3.2 Системы обнаружения и предотвращение вторжений IDS/IPS
В данной части будет произведен анализ систем обнаружения и
предотвращения вторжений, произведем их сравнение и соответствие
требованиям согласно классу защищенности определенному ранее.
Основное назначение систем обнаружения и предотвращения атак это
выявление действий нарушителя не блокируемых другими средствами
61
обеспечения защиты информации и информирование администратора о таких
действиях. Задачи решаемые такими системами следующие:
Обнаружение признаков осуществляемых атак;
Обнаружение действий, которые могут быть частью подготовки к атаке;
Обнаружение предпосылок к реализации атак;
Своевременное информирование администратора безопасности об
обнаруженных явлениях в информационной системе.
Основное требование систем IDS/IPS максимальное автоматизирование
процесса обнаружения атак с минимальным участием персонала.
Обусловлено большим объемом обрабатываемой информации и требуется
высококвалифицированный персонал для анализа и принятия решений в
системе.
Системы IDS/IPS классифицируются по этапам реализации атаки:
Действующие до начала реализации атаки (системы анализа
защищенности);
Действующие в период реализации атаки («классические» системы
обнаружения атак, системы обнаружения вторжений);
Действующие после завершения атаки (системы анализа журналов
регистрации, системы контроля целостности).
Системы IDS/IPS классифицируются по направленности атаки:
Системы обнаружения атак на сеть в целом;
Системы обнаружения атак на объекты на конкретных узлах
информационной системы (на уровне ОС, на уровне прикладного ПО, на
уровне СУБД).