Защита системы от вирусной угрозы

В рамках лекции рассматриваются антивирусные системы на примере продуктов компании Microsoft

1. Типы информационных вирусов .
2. Основные типы антивирусных средств защиты - средства контроля целостности , антивирусные мониторы и сканеры , антивирусные шлюзы .
3. Типовая схема размещения антивирусных средств защиты.
4. Новые подходы к построению антивирусных средств защиты
5. Описание семейства продуктов Microsoft ForeFront
6. Преимущества Microsoft ForeFront перед другими антивирусными решениями

На сегодняшний день компьютерные вирусы остаются одним из наиболее обсуждаемых видов угроз . Более того именно с защиты от компьютерных вирусов обычно начинают создавать систему информационной безопасности компании. Однако, не смотря на то, что отрасль антивирусной безопасности существует уже более десяти лет, данный вид угроз остаётся одним из наиболее актуальных и опасных. Так, например, по данным многих научно-исследовательских центров в Европе и США, ежегодно увеличивается не только количество успешных вирусных атак , но и уровень ущерба , который наносится компаниям в результате использования злоумышленниками вредоносного кода .

В настоящее время во многих компаниях бытует распространённое мнение о том, что для эффективной защиты АС от вредоносного ПО достаточно установить антивирусные продукты на всех рабочих станциях и серверах, что автоматически обеспечит нужный уровень безопасности. Однако, к сожалению, практика показывает, что такой подход не позволяет в полной мере решить задачу защиты от вредоносного кода . Обусловлено это следующими основными причинами:

• подавляющее большинство антивирусных средств базируется на сигнатурных методах выявления вредоносного ПО, что не позволяет им обнаруживать новые виды вирусов , сигнатуры которых отсутствуют в их базах данных;
• в ряде случаев в организациях отсутствуют нормативно-методические документы, регламентирующие порядок работы с антивирусными средствами защиты. Это может приводить к возможным нарушениям правил эксплуатации , а именно - несвоевременному обновлению сигнатурных баз, отключению компонентов антивирусов , запуску программ с непроверенных информационных носителей и т.д.
• антивирусные средства защиты не позволяют выявлять и устранять уязвимости , на основе которых компьютерные вирусы могут проникать в АС предприятий;
• антивирусы не обладают функциональными возможностями, позволяющими ликвидировать возможные последствия вирусных атак ;
• персонал компании зачастую не осведомлён о возможных вирусных угрозах, вследствие чего допускаются непреднамеренные ошибки, приводящие вирусным атакам ;
• в большинстве случаев в компаниях используются антивирусные средства защиты одного производителя. Недостатком такого метода является высокий уровень зависимости от продукции этого производителя. Это означает, что в случае если по какой-то причине будет нарушена работоспособность антивирусного ядра или вендор не сможет своевременно обновить свою базу данных, то под угрозой вирусной эпидемии окажется вся инфраструктура компании.

Для того, чтобы избежать перечисленных выше недостатков рекомендуется использовать комплексный подход , предусматривающий возможность одновременного применения организационных и технических мер защиты от вирусных угроз .

Рассмотрим модель типовой автоматизированной системы , которая потенциально может быть подвержена вирусным атакам .

Автоматизированная система ( АС ), выступающая в качестве объекта защиты, может моделироваться в виде совокупности взаимодействующих узлов. В качестве узлов могут выступать рабочие станции пользователей, серверы или коммуникационное оборудование . В данной модели каждый узел АС представлен тремя уровнями:

1. уровнем аппаратного обеспечения . На этом уровне функционируют технические средства узла, такие как сетевые адаптеры , процессоры, микросхемы плат и др.;
2. уровнем общесистемного программного обеспечения, на котором функционирует операционная система узла и все её составные модули;
3. уровнем прикладного программного обеспечения. На этом уровне функционирует программное обеспечение (ПО), обеспечивающее решение прикладных задач, для которых предназначена АС .

На каждом из узлов АС могут храниться и обрабатываться информационные ресурсы, доступ к которым может осуществляться посредством локального или сетевого взаимодействия. Локальное взаимодействие осуществляется при помощи элементов управления , непосредственно подключённых к узлам АС (например, консоли, клавиатуры, мыши, внешних портов узла и т.д.). Сетевое взаимодействие реализуется путём обмена с узлом информацией по каналам связи. Такая сетевая передача данных может быть представлена в виде семиуровневой модели взаимодействия открытых систем (ВОС). Каждый уровень этой модели соответствует определенным функциям , которые должны быть выполнены для обеспечения сетевого взаимодействия (табл. 21.1).

Таблица 21.1. Функции семиуровневой модели взаимодействия открытых систем

Наименование уровня модели	Функции, которые реализуются на соответствующем уровне модели ВОС
Прикладной уровень	Реализуется программный интерфейс для доступа различных приложений к функциям передачи информации по каналам связи АС
Уровень представления	Определяется формат данных, которые будут передаваться между узлами АС по сети
Сеансовый уровень	Выполняются функции установления и закрытия логического соединения между узлами АС
Транспортный уровень	Реализуются функции управления сетевым соединением, по которому передаются данные между узлами АС
Сетевой уровень	Осуществляется управление сетевыми адресами узлов АС , а также обеспечивается фрагментация и сборка передаваемых пакетов данных
Канальный уровень	Обеспечивается преобразование данных в соответствующий формат физической среды передачи информации АС
Физический уровень	Обеспечивается передача информации через физическую среду передачи данных , в качестве которой могут выступать оптоволоконные кабели , экранированные витые пары , беспроводные каналы связи и др.

Помимо уровней модели ВОС, а также уровней аппаратного, общесистемного и прикладного ПО , в АС также присутствует уровень информационных ресурсов, на котором хранятся, обрабатываются и передаются данные АС . Типы и формат информационных ресурсов этого уровня определяются составом и конфигурацией используемого аппаратного и программного обеспечения АС . Так, например, при использовании серверов СУБД в качестве информационных ресурсов могут выступать таблицы базы данных , а при использовании Web -серверов такими ресурсами могут быть гипертекстовые документы.

С учётом рассмотренной выше модели ВОС и трёхуровневой модели узлов, АС может быть представлена в виде множества узлов, которые могут взаимодействовать между собой по каналам связи. На рис.21.1 показан пример структурной модели АС , состоящей из двух узлов. Далее рассмотрим вирусные угрозы, которые могут реализовываться на различных уровнях рассмотренной модели.

В современном мире, где Интернет уже является частью нашей повседневной жизни, а персональные компьютеры хранят наибольшую частью нашей личной информации, вопрос безопасности данных становится как никогда актуальным. Если вы не предпримите необходимые шаги для защиты своего устройства и данных, то будете подвержены повышенного риску атаки вредоносными программами, которые нацелены на кражу персональной информации и повреждение нормальной работоспособности компьютера.

Хотя бывают разные виды вредоносных программ, одно можно сказать наверняка – им не должно быть места на вашем компьютере. К счастью, существует множество инструментов для борьбы с различными угрозами, причем многие средства безопасности уже встроены в операционную систему Windows 10. Тем не менее грамотная стратегия безопасности не ограничивается установкой антивируса и надеждой на хороший исход. Наилучших результатов можно достичь за счет комбинации высокоэффективного программного обеспечения и специализированных знаний о том, как избежать потенциальных угроз.

В данном руководстве по Windows 10, мы рассмотрим девять советов, которые помогут защитить ваш стационарный компьютер, ноутбук, планшет или данные практически от любого типа вредоносных программ, включая вирусы, шифровальщики, Интернет-черви, трояны, шпионское ПО, рекламное ПО и другие зловреды.

Возможно, самый важный шаг, который вы можете предпринять для обеспечения безопасности своего устройства и данных – поддержание Windows 10 и установленного программного обеспечения в актуальном состоянии.

Компании-разработчики программных продуктов, такие как Microsoft, постоянно выпускают обновления для устранения известных уязвимостей, которые могут эксплуатироваться киберпреступниками.

Несмотря на то, что обновления Windows 10 загружаются и устанавливаются автоматически, вы всегда можете убедиться, что в вашей системе установлены последние обновления, перейдя на вкладку меню Параметры > Обновление и безопасность > Центр обновления Window s и нажав кнопку Проверка наличия обновлений.

Кроме того, важно периодически проверять и устанавливать обновления для установленного на вашем компьютере программного обеспечения. В Windows 10 приложения, приобретенные вами из магазина Microsoft, будут обновляться автоматически, как только появится новая версия. Однако, классические настольные приложения в большинстве случаев обновляться не будут, потому что в них используется другой механизм обновления. Всегда проверяйте официальный сайт разработчика, чтобы загружать и устанавливать обновления для программ.

Если ваше устройство работает под управлением Windows 10, это не означает, что на нем установлена последняя версия данной операционной системы.

Windows 10 изначально была запущена в 2015 году, и с тех пор Microsoft выпустила несколько крупных обновлений функций, добавив новый функционал и улучшения производительности, продуктивности и самое главное – улучшения безопасности.

Если вы хотите максимально защитить ваше устройство от вредоносного ПО, вы всегда должны использовать только последнюю версию Windows 10.

Новые версии Windows 10 доступны для установки бесплатно, и обычно процесс обновления проходит в автоматическом режиме. Тем не менее, если вы используете не самую актуальную версию, то можете обновиться вручную в том числе с помощью Центра обновления Windows или утилит Media Creation Tool и Помощник по обновлению Windows, которые позволяют принудительно запустить обновление или чистую установку новейшей версии.

Совет: чтобы узнать вашу версию Windows 10, нажмите сочетание Windows + R , введите фразу winver и нажмите ОК. Если показывается версия 1903, то вы используете May 2019 Update.

Антивирус является обязательным компонентом на каждом компьютере – он служит для обнаружения и удаления вредоносных программ, прежде чем они смогут скомпрометировать ваши файлы, повлиять на производительность или нарушить работоспособность вашего устройства.

Тем не менее, антивирус не относится к тому типу программ, которые вы устанавливаете один раз, а затем о них забываете. Вы должны регулярно обновлять антивирусное программное обеспечения для обеспечения эффективной защиты от новейших угроз, включая вирусы, Интернет-черви, шифровальщики и другие вредоносные модули.

Windows 10 поставляется уже со встроенным антивирусом – Защитник Windows является частью Центра безопасности и предлагает отличную защиту реального времени от вирусов, программ-вымогателей, шпионского ПО, червей, руткитов и троянов.

Если вы хотите получить дополнительную защиту, то вы можете изменить степень облачной защиты Защитника Windows в Windows 10.

Встроенного антивируса Windows 10 будет достаточно для большинства пользователей системы. Тем не менее, на рынке существует большое число сторонних решений безопасности, которые вы можете использовать. Некоторые из них распространяются бесплатно, а другие – на платной основе.

Если вы не знаете, какой антивирус выбрать, ознакомьтесь с результатами тестирования независимыми антивирусными лабораториями.

Если вы используете Защитник Windows, вы также можете добавить Malwarebytes Free в качестве дополнительного уровня защиты. Malwarebytes – популярное решение для защиты от вредоносных программ, которое может сканировать, обнаруживать и удалять самые вредоносные программы, которые уже инфицировали ваш ПК.

Malwarebytes – это бесплатный инструмент, и он может работать совместно со встроенным антивирусом Windows 10, но вам придется периодически запускать сканирования вручную. Платная версия Malwarebytes предлагает защиту реального времени, проверки по расписанию и многие другие дополнительные функции.

Хотя классические вирусы остаются одним из наиболее распространенных типов вредоносных программ, атаки троянами-шифровальщиками становятся очень популярными среди злоумышленников. Программы-вымогатели – еще один тип вредоносного ПО, нацеленный на шифрование личных файлов жертвы и требование выкупа для восстановления доступа к данным. Жертве предлагается заплатить в биткоинах или другой анонимной валюте, и никаких гарантий никто не дает.

Начиная с Fall Creators Update, Windows 10 получил функцию защиты от шифровальщиков, которая называется Контролируемый доступ к папкам. Данная функция не только предотвращает доступ шифровальщиков к вашим файлам, но и блокирует любой другой несанкционированный доступ со стороны вредоносных программ.

Вы можете воспользоваться нашим руководством, чтобы включить защиту от шифровальщиков в Windows 10. Стоит отметить, что “Контролируемый доступ к папкам” – это часть функции безопасности Exploit Guard Защитника Windows. Это означает, что она доступна только при использовании Защитника WIndows в качестве антивирусной защиты.

Скачать последнюю версию Kaspersky Anti-Ransomware можно на нашем сайте. Программа распространяется бесплатно.

Другой способ защитить ваш ПК, ноутбук или планшет от вредоносного ПО – использовать брандмауэр.

Брандмауэр или фаервол – это программный или аппаратный инструмент, который служит для блокировки вредоносных атак хакеров, червей, шифровальщиков, вирусом и других типов угроз, которые пытаются получить доступ к компьютеру из Интернета или локальной сети для последующей кражи информации.

На рынке представлено множество сторонних инструментов сетевой безопасности, но Windows 10 уже включает в себя очень эффективный межсетевой экран.

Брандмауэр Windows обычно включен по умолчанию, но важно убедиться, что он работает правильно. Перейдите в Центр безопасности Защитника Windows > Брандмауэр и безопасность сет и, и убедитесь, что около каждого типа подключения показывается статус “Брандмауэр включен”. В противном случае нажмите кнопку включить или выберите ваше текущее подключение и переведите переключатель брандмауэра в активное положение.

Если вы пользуетесь сторонним фаерволом, то изучите официальный сайт разработчика, чтобы узнать, как работать с программой и контролировать подключения.

Старайтесь избегать загрузки и установки приложений из неизвестных источников и загружайте программное обеспечение с официальных сайтов. По возможности загружайте приложения из Магазина Microsoft в Windows 10. Все программы на этой площадке проверены Microsoft и не содержат вредоносный код.

Если вы хотите поднять уровень безопасности, то можете включить функцию блокировки установки классических приложений не из Магазина Microsoft. Эта опция позволит не только заблокировать возможность получения приложений из недостоверных источников, но также остановит попытке потенциально опасных программ установится в систему автоматически без согласия пользователя.

В качестве альтернативы вы также можете использовать стандартную учетную запись пользователя вместо учетной записи администратора, чтобы предотвратить установку вредоносных программ с использованием повышенных привилегий.

Однако, если ваша учетная запись является единственной учетной записью администратора на компьютере, то вы не сможете сделать ее учетной записью стандартного пользователя. В первую очередь вам нужно будет создать новую учетную запись администратора, а затем вы сможете поменять тип исходной учетной записи на стандартную.

Используя ограниченную учетную запись, вы все равно сможете запускать приложения, но вы не сможете устанавливать новые программы. У вас получится изменить настройки системы, но вы не сможете делать нежелательные изменения для других учетных записей. Если задание требует прав администратора, вы получите запрос службы контроля учетных записей (UAC), и вы должны будете указать имя пользователя и пароль учетной записи администратора, чтобы выполнить задачу.

Один из лучших способов защиты вашего компьютера и файлов от вредоносных атак – регулярное создание резервных копий. Если беспокоитесь о повреждении и взломе личных данных, то должны создавать по меньшей мере две резервные копии – одну локальную (офлайн) копию и одну копию в облачном пространстве.

Ваша стратегия резервного копирования должна предусматривать создание полной резервной копии вашей системы и данных, которую можно хранить в локальном местоположении – например на локальном сетевом носителе (хранилище NAS) или на внешнем жестком диске. Данный тип резервной копии позволит восстановить данные после вредоносного заражения, повреждения основного носителя, отказов оборудования или других несчастных случаев.

Когда дело касается защиты данных, то слишком много резервных копий не бывает. Если у вас есть возможность создать резервную копию резервной копии и сохранить в альтернативном безопасном месте, то не стесняйтесь это делать.

После создания резервной копии, не забывайте отключить диск от основной системы и сохранить его в надежном месте или отключить от сети сетевое хранилище, на котором вы храните копии. Это связано с тем, что если накопитель останется в сети и будет доступен с вашего устройства, то вредоносное ПО все еще сможет добраться до него и заразить эти файлы.

Если вы используете Windows 10, то вам даже не нужно устанавливать стороннюю программу резервного копирования. В систему уже устроен инструмент создания образа системы, который позволяет сделать копию файлов, приложений, настроек и всей установки Windows.

История файлов – еще одна форма автономного резервного копирования, которую вы можете использовать для создания резервной копии всех ваших файлов локально.

В качестве альтернативы, если вы не используете большое количество файлов, то можете регулярно копировать и вставлять свои документы на USB-накопитель.

Рекомендуется делать полную резервную копию один раз в день, но, если ваши файлы не меняются очень часто, вам следует рассмотреть возможность их резервного копирования не реже одного раза в неделю. Если вы имеете дело с корпоративными данными, вы должны делать резервные копии по крайней мере один или два раза в день.

Облачное резервное копирование – один из лучших способов защитить ваши файлы от вредоносных программ, а также защититься от потери данных в результате случайного удаления, сбоя жесткого диска и стихийных бедствий.

Хотя вы можете использовать OneDrive для защиты ваших данных, использование сторонних онлайн-сервисов резервного копирования, в некоторых случаях является более подходящим решением. Единственным недостатком большинства служб облачного хранения является необходимость полного участия пользователя в процедуре восстановления. В любом случае вы можете создать полный образ системы с помощью встроенного средства Windows 10, а затем загрузить его в платный облачный сервис, например, в Google Backup and Sync или Яндекс.Диск.

Лучший инструмент для защиты данных и файлов – это вы сами. Как правило, устройство заражается вредоносными программами в результате действий пользователя, например, при нажатии на ссылку, открытии электронного письма или установки приложения из ненадежного источника.

При проверке электронной почты открывайте только те письма от отправителей, которых вы знаете, или от отправителей, которых вы можете идентифицировать. Все подозрительные письма удаляйте. Обычно вы можете быстро распознать спам-сообщения по большому числу ошибок и опечаток.

Вредоносные программы могут распространяться с помощью всплывающих окон, которые появляются на посещаемых сайтах. Если всплывающее окно не внушает доверие, не нажимайте изображение или ссылку, а просто закройте окно. Иногда специально созданные всплывающие окна не могут быть закрыты – в этом случае используйте блокировщики скриптов или просто перезагрузите устройство.

Используйте современные веб-браузеры, такие как Microsoft Edge, Google Chrome, Mozilla Firefox и Яндекс.Браузер. Эти веб-обозреватели всегда обновляются и обладают отличными функциями безопасности. Большинство из них могут предупредить вас о потенциальной проблеме безопасности и не дадут посетит небезопасный ресурс. Если вы получите предупреждение, не пытайтесь найти способ для его обхода, ведь для его показа должна быть веская причина.

Если вирус, интернет-червь, шифровальщик или другой тип зловреда все же смог обойти механизмы безопасности вашего ПК, первое что нужно вам сделать – отключить ваш компьютер от Интернета. Вы можете сделать это, выдернув кабель Ethernet, отключив Wi-Fi адаптер или отключив питание роутера – таким способом вы заблокируете распространение угрозы на другие устройстве.

Затем откройте Защитника Windows и используйте функцию автономного сканирования. Если у вас отсутствует контроль над ПК, то используйте другое устройство для записи загрузочной флешки c копией Windows Defender Offline.

Многие антивирусные программы поддерживают возможность автономного сканирования с помощью антивирусных загрузочных дисков. Если вы используете стороннее программное обеспечение безопасности, посетите официальный сайт разработчика, чтобы узнать, как выполнять автономное сканирование.

Если ни один из шагов не помог удалить вредоносное ПО, вы должны восстановить свою систему с использованием последней доступной резервной копии. В случае, если у вас есть только резервная копия ваших файлов, произведите чистую установку Windows 10. После установки вам нужно будет переустановить приложения, повторно применить настройки и восстановить файлы, используя резервные копии.

Наконец, если вы уже отчаялись и никак не можете удалить угрозу, а резервной копией тоже не запаслись, то настало время обратиться за квалифицированной помощью. И помните, что вы всегда можете проконсультироваться на нашем сайте, используя форму комментариев.

Аннотация

Последние несколько лет на рынке информационной безопасности остро встал вопрос защиты от автоматизированных направленных атак, однако в общем понимании направленная атака в первое время представлялась как результат продолжительной и профессиональной работы организованной группой киберпреступников с целью получения дорогостоящих критичных данных. В настоящее время на фоне развития технологий, популяризации open-source форумов (напр. Github, Reddit) и Darknet, предоставляющих исходные коды вредоносного ПО и пошагово описывающих действия по его модификации (для невозможности его детектирования сигнатурным анализом) и заражению хостов, реализация кибератак значительно упростилась. Для реализации успешной атаки, сопровождающейся пагубными последствиями для владельцев автоматизированных и информационных систем, достаточно неквалифицированного пользователя и энтузиазма в разборе предоставленного в сети Интернет / Darknet материала.

С развитием Ransomware появляются и средства противодействия им. В первую очередь это открытый проект No more Ransom! (www.nomoreransom.org), предоставляющий жертвам атак средства дешифрования данных (в случае вскрытия ключа шифрования), во вторую – специализированные open-source средства защиты от вирусов-шифровальщиков. Но и они либо анализируют поведение ПО по сигнатурам и не способны обнаружить неизвестный вирус, либо обеспечивают блокировку вредоносного ПО после его воздействия на систему (шифрования части данных). Специализированные Open-source решения применимы интернет-пользователями на личных / домашних устройствах, крупным организациям, обрабатывающим большие объемы информации, в том числе критичной, необходимо обеспечивать комплексную проактивную защиту от направленных атак.

Проактивная защита от направленных атак и Ransomware

Рассмотрим возможные векторы доступа к защищаемой информации, находящейся на сервере или автоматизированном рабочем месте пользователя:

• Воздействие на периметр локальной вычислительной сети из интернета возможно через:
• корпоративную электронную почту;
• веб-трафик, в том числе веб-почту;
• периметровый маршрутизатор / межсетевой экран;
• сторонние (некорпоративные) шлюзы доступа к интернету (модемы, смартфоны и т. д.);
• системы защищенного удаленного доступа.
• Воздействие на серверы, рабочие места пользователей по сети:
• загрузка вредоносных программ на конечные точки / серверы по запросу от них же;
• использование недокументированных возможностей (уязвимостей) системного/прикладного ПО;
• загрузка вредоносов по шифрованному VPN-каналу, неконтролируемому службами ИТ и ИБ;
• подключение к локальной сети нелегитимных устройств.
• Прямое воздействие на информацию на серверах, рабочих местах пользователей:
• подключение внешних носителей информации с вредоносом;
• разработка вредоносных программ прямо на конечной точке / сервере.

Для уменьшения вероятности реализации угрозы для каждого типа доступа к защищаемой информации необходимо обеспечивать выполнение комплекса организационно-технических мер по защите информации, перечень которых отражен на рисунке (см. Рисунок 1)

Рисунок 1. Проактивные меры защиты от направленных атак и Ransomware

К основным организационным мерам проактивной защиты от направленных атак и Ransomware относятся:

• Повышение осведомленности сотрудников в области ИБ.
  Необходимо регулярно проводить обучение сотрудников и информировать их о возможных угрозах ИБ. Минимальной и необходимой мерой является формирование принципов работы с файлами и почтой:
  o не открывать файлы с двойным расширением: настроить для пользователей отображение расширений, чтобы идентифицировать вредоносные файлы с двойными расширениями (например, 1СRecord.xlsx.scr);
  o не включать макросы в недоверенных документах Microsoft Office;
  o проверять адреса отправителей почтовых сообщений;
  o не открывать ссылки на веб-страницы, почтовые вложения от неизвестных отправителей.
• Оценка эффективности защиты как внутри организации, так и с привлечением внешних специалистов.
  Оценивать эффективность обучения персонала необходимо при помощи моделирования атак, как внутренних, так и с участием внешних специалистов — проводить тесты на проникновение, в т. ч. с использованием метода социальной инженерии.
• Регулярное обновление системного ПО (Patch Management).
  Для предотвращения атак вредоносного ПО на целевые системы через известные уязвимости необходимо обеспечить своевременное тестирование и установку обновлений системного и прикладного ПО с учетом приоритизации по степени критичности обновлений.
• Систематизация резервного копирования данных.
  Необходимо регулярно выполнять резервное копирование критически важных данных серверов информационных систем, систем хранения данных, рабочих мест пользователей (если предполагается хранение критичной информации). Резервные копии должны храниться на ленточных библиотеках системы хранения данных, на отчуждаемых носителях информации (при условии, что носитель информации не подключен постоянно к рабочей станции или серверу), а также в облачных системах резервирования данных, хранилищах.

Технические мероприятия проактивной защиты от направленных атак и Ransomware предпринимаются на уровне сети и на уровне хоста.

Дополнительно к вышеперечисленным мерам предотвратить направленную атаку в корпоративной сети поможет следующее:

• Обеспечение регулярного анализа защищенности ИТ-инфраструктуры — сканирование узлов сети для поиска известных уязвимостей в системном и прикладном ПО. Эта мера обеспечивает своевременное обнаружение уязвимостей, позволяет их устранить до момента их использования злоумышленниками. Также система анализа защищенности решает задачи по контролю сетевых устройств и устройств, подключенных к рабочим станциям пользователей (например, 4G-модем).
• Сбор и корреляция событий позволяет комплексно подойти к обнаружению вымогателей в сети на основе SIEM-систем, поскольку такой метод обеспечивает целостную картину ИТ-инфраструктуры компании. Эффективность SIEM заключается в обработке событий, которые отправляются с различных компонентов инфраструктуры, в том числе ИБ, на основе правил корреляции, что позволяет оперативно выявить потенциальные инциденты, связанные с распространением вируса-вымогателя.

Приоритезация мер защиты от вирусов-вымогателей

Надежная комплексная защита от направленных атак обеспечивается комплексом организационно-технических мер, которые ранжируются в следующие группы:

• Базовый набор мер, необходимый для применения всем организациям для защиты от направленных атак и вредоносов-вымогателей.
• Расширенный набор мер, применимый для средних и крупных организаций с высокой стоимостью обработки информации.
• Продвинутый набор мер, применимый для средних и крупных организаций с продвинутой ИТ- и ИБ-инфраструктурой и высокой стоимостью обрабатываемой информации.

Рисунок 2. Приоритизация мер защиты от трояна-вымогателя

Угроза заражения вирусом-вымогателем актуальна и для конечных пользователей Интернет, для которых также применимы отдельные меры по предотвращению заражения:

• своевременная установка обновлений системного ПО;
• использование антивирусов;
• своевременное обновление баз сигнатур антивирусов;
• использование доступных в свободном доступе средств защиты от вредоносных программ, шифрующих данные на компьютере: RansomFree, CryptoDrop, AntiRansomware tool for business, Cryptostalker и др. Установка средств защиты данного класса применима, если на компьютере хранятся критичные незарезервированные данные и не установлены надежные средства антивирусной защиты.

Меры защиты для мобильных устройств:

• Для корпоративного сектора:
  o использование систем класса Mobile Device Management (MDM), обеспечивающих контроль установки обновлений системного ПО, установки приложений, контроль наличия прав суперпользователя;
  o для защиты корпоративных данных на мобильных устройствах пользователя — системы класса Mobile Information Management (MIM), обеспечивающих хранение корпоративных данных в зашифрованном контейнере, изолированном от операционной системы мобильного устройства;
  o использование систем класса Mobile Threat Prevention, обеспечивающих контроль разрешений, предоставленных приложениям, поведенческий анализ мобильных приложений.
• Для конечных пользователей:
  o использование официальных магазинов для установки приложений;
  o своевременное обновление системного ПО;
  o исключение перехода по недоверенным ресурсам, установки недоверенных приложений и сервисов.

Выводы

Простота реализации и низкая стоимость затрат организации кибератак (Ransomware, DDoS, атаки на веб-приложения и пр.) приводит к увеличению числа киберпреступников при одновременном снижении среднего уровня технической осведомленности атакующего. В связи с этим резко увеличивается вероятность реализации угроз безопасности информации в корпоративном секторе и потребность в обеспечении комплексной защиты.