Перейти к содержанию
Steeng

Как узнать причину блокировки сайтов Касперским? Видимо никак.

Recommended Posts

Steeng

Добрый день!

Прошу прощения за объёмный текст, но эту глупую историю нужно описать полностью.

Так же отмечу, что начало этой истории можно найти в соседнем топике. Однако я решил сделать отдельный топик, поскольку накопилось много информации.

Итак, я представляю партнёрскую программу "PSC", мы работаем с развлекательными сайтами с оплатой по смс-подпискам. В отличии от большинства платных сайтов, принимающих смс-оплату, мы работаем честно: почти вся оплата происходит через сайты операторов сотовой связи с соблюдением всех установленных правил, мы фактически лишь предоставляем контент, который полностью соответствует описанию (плюс есть служба поддержки, система комментариев и т.д.). У нас достаточно много сайтов, среди которых сайт по авторским схемам оригами, по утренней зарядке и даже эротике. Несколько раз мы попадали под фильтр антивируса, поскольку работаем с смс-платежами и могли вызывать подозрение. Каждый раз мы обращались в лабораторию анализа фишинга и веб-контента, нас проверяли и оперативно снимали фильтры (отдельная благодарность за оперативные ответы), т.к. контент полностью соответствует описанию и соблюдаются все правила ОСС по оплате.

Около 3х месяцев назад все наши сайты были одновременно заблокированы. Причина: вредоносная ссылка. Причём были заблокированы даже те сайты, которые были в процессе разработки, на которых не было посетителей. Мы проверили все сайты на предмет взлома и каких-то вредоносных вставок или ещё чего-то, но ничего не нашли. Обратились уже в вирусную лабораторию (поскольку причина блокировки иная) через личный кабинет https://my.kaspersky.com/ru/, через неделю продублировали запрос через http://support.kaspersky.ru/content/helpdesk.html и на почту newvirus@kaspersky.com. В общем в течении более чем 2х месяцев мы пытались связаться с техподдержкой, чтобы узнать, за что конкретно были заблокированы сайты. Мы отправили боле 15 запросов, пытались дозвониться и даже создали общий запросы в Службу техподдержки, в котором получили следующее сообщение: "09.06.2012 [06:17] Ответ техподдержки: Уважаемый пользователь, Наши вирусные аналитики сообщили, что уже общаются с Вами напрямую. Пожалуйста, не дублируйте переписку через службу Технической поддержки..." Из этого ответа мы сделали вывод, что от вирусной лаборатории ответа о конкретной причине блокировки не будет. Просто заблокировали всё, без объяснений.

Спустя некоторое время один из наших партнёров скинул нам ссылку на топик на этом форуме: http://www.anti-malware.ru/forum/index.php...=22780&st=0

Там шла речь о том, что на наших веб-сайтах есть вирусы и была ссылка на пост иностранного вирусного аналитика Xylitol: http://www.xylibox.com/2012/05/paysitesclu...le-malware.html

Мы подумали, что каким-то образом сайты могли быть взломаны... поэтому связались с Xylitol, чтобы узнать подробности. Однако выяснилось, что он ошибся и в посте писал про другие (не наши) сайты на сторонних доменах, которые использовали элементы дизайна наших сайтов. А ссылку на нашу партнёрскую программы ему дал кто-то из посетителей блога. Мы на всякий случай уточнили, когда он видел сайты с элементами нашего дизайна, распространяющие вирусы. Оказалось, речь идёт вообще об августе 2011 года... тогда половина наших сайтов не существовало, а другая часть чистая, если верить копиям вебархива и бэкапам. Вобщем Xylitol нас успокоил, принёс извинения и поправил свой пост, но потом я обратил внимание, что один из вирусных аналитиков Лаборатории Каспеского (Юрий Паршин) так же писали на форуме, что наши сайты распространяют вирусы: http://www.anti-malware.ru/forum/index.php...st&p=155828

Я написал Юрию на форуме форуме касперского (forum.kaspersky.com) через личные сообщения и попросил помочь разобраться в ситуации и вспомнить, на каких наших сайтах и когда примерно они видел вредоносные ссылки или что-то ещё, что можно назвать вирусами. Нам это очень важно, т.к. если мы были взломаны... то в таком случаи у нас серьёзные проблемы. Под угрозой могут быть персональные данные наших партнёров и от сотрудничества с нами могут отказаться биллинг-компании, если вдруг на наших сайтах будут вирусы или что-то подобное. Отмечу, что обращение было исключительно в вежливой форме. Я прилагаю полный текст переписки с Юрием! Если вкратце, то Юрий сказал, что передал моё сообщение своему коллеге, который в отпуске и непонятно, когда вернётся. Я честно прождал месяц (больше ждать нет смысла, мне кажется) и попросил Юрия передать сообщение другому коллеге, который не в отпуске, или ответить на мой простой вопрос самостоятельно, тем более, что Юрий сам писал (см. топик по ссылке), что наши сайты распространяют "малвару", примерно в то же время сайты и были заблокированы. Следовательно он как минимум может быть в курсе ситуации, а как максимум именть отношение к блокировке сайтов (точно на знаю). Однако никакого ответа не последовало (все сообщения были прочитаны, согласно Message Tracker). Поэтому с просьбой помочь разобраться решил написать на форуме касперского, в соответствующем разделе: ссылка на топик. Топик был заблокировн.

Администратор этого форума Сергей Ильин посоветовал написать в отдел контроля качества (жалобная книга) Лаборатории Касперского. Запрос написали неделю назад, но надежды на получение ответа нет, с учётом вышеописанной истории попыток добиться ответа.

Поэтому пишу тут. Уважаемые участники форума, у меня к вам всего два вопроса:

1. Что происходит в вирусной лаборатории? Тотальное игнорирование вопросов о причине блокировки при обращении по официальным контактным данным и даже напрямую к сотрудникам, которые в курсе ситуации. Мне в голову приходят два варианта: либо это просто бардак в работе с запросами, либо какая-то финансовая заинтересованность в блокировке ресурсов (т.к. я не вижу причин замалчивать причину блокировки). Искренне надеюсь, что мы имеем дело с первой ситуацией.

2. Так как же добиться от сотрудников вирусной лаборатории ответ о КОНКРЕТНОЙ причине блокировки (если такая есть и сайты не были заблокированы за ошибочный пост в блоге)? Видел ли кто-то из сотрудников вредоносные ссылки на сайтах? Если да, то на каких и когда? (хотя с учётом вышеизложенного догадываюсь, что никаких вирусов не было) Полный список урлов, данные для входа на сайты и всё остальное готов предоставить в личку или по почте.

P.S. Мы хотим развивать свои сайты, некоторые из которых существуют по 2 года.

Отредактировал Steeng

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sww

1. Юра давал свое разрешение на публикацию личной переписки?

2. Вы очень классно закрасили email Юры, особенно в цитате :facepalm:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Steeng
1. Юра давал свое разрешение на публикацию личной переписки?

2. Вы очень классно закрасили email Юры, особенно в цитате

1. Я вежливо предупредил Юрия, что буду выносить историю на обсуждение на форуме (см. переписку), т.к. история зашла в тупик. Юрий проигнорировал это сообщение, как и некоторые предыдущие. Если Юрий попросит удалить историю переписки, я удалю. Но, ИМХО, в ней нет ничего такого, чего нельзя было бы показывать: основной объём сообщений мой. Тем более, что эта переписка весьма показательна для моей истории попыток общения со специалистами из вирлаба касперского.

2. Спасибо, что обратили внимание. Как будет возможность, попрошу модератора помочь заменить ссылку на поправленный вариант.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин
2. Так как же добиться от сотрудников вирусной лаборатории ответ о КОНКРЕТНОЙ причине блокировки (если такая есть и сайты не были заблокированы за ошибочный пост в блоге)?

Мне кажется, что человек вполне имеет на это право. Иначе получается, что "заблокировали без права на информацию".

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Steeng
Мне кажется, что человек вполне имеет на это право. Иначе получается, что "заблокировали без права на информацию".

Не знаю, совпадение это, или нет, но сегодня, после публикации поста здесь пришла отписка от вирусной лаборатории на один из последних запросов, в котором я просил сказать, на каких наших сайтах и когда были замечены вирусы, а также описал ситуацию с возможной ошибкой. Сообщение было следующего содержания: "Здравствуйте. Вы распространяли вредоносное ПО."

Судя по всему, вирусный аналитик, который получил мой запрос, даже не прочитал его.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин

Кстати, а есть какие-то нормы или правила, согласно которым сайты, где были замечены вредоносы, реабилитируются?

Просто может быть такая ситуация, что сайт был заражен или кто-то умышленно сделал подлянку. Потом собственник устранил заражение, убрал вредоносы. Что ему надо делать и есть ли какие-то четко описанные процедуры?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Юрий Паршин
Кстати, а есть какие-то нормы или правила, согласно которым сайты, где были замечены вредоносы, реабилитируются?

Просто может быть такая ситуация, что сайт был заражен или кто-то умышленно сделал подлянку. Потом собственник устранил заражение, убрал вредоносы. Что ему надо делать и есть ли какие-то четко описанные процедуры?

Здесь не такая ситуация.

Обыкновенная партнерка, распространяющая малвару. После того, как их банят, убирают малвару и начинают спамить в вирлабы. Если разбанить - малвара сразу возвращается на место.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Steeng
Здесь не такая ситуация.

Обыкновенная партнерка, распространяющая малвару. После того, как их банят, убирают малвару и начинают спамить в вирлабы. Если разбанить - малвара сразу возвращается на место.

Юрий, что это за бред? Я же написал вам больше месяца назад. Сайты были заблокированы более 3х месяцев назад, тогда же я написал первый раз в вирлаб. По вашему мы ждём 3 месяца, чтобы вновь начать вирусы распространять? Что за бред? Вы сами прекрасно знаете, что злоумышленники, распространяющие вирусы просто меняют домены каждые пол дня и им до вашего бана нет абсолютно никакого дела. У нас же некоторые сайты существую по 2 года, для каждого сайта разрабатывался или преобретался уникальный контент, дизайн и функционал (я дал вам тестовые данные для входа на сайты). Для того, чтобы "малвару" распространять раз в пол года?

Или вы написали эту глупость просто чтобы хоть как-то ответить и не выглядить глупо в этой ситуации?

P.S. Вы уже второй раз на этом форуме пишите, что мы распространяем "малвару". При этом не можете ответить на простой вопрос: на каких сайта и когда вы видели "малвару"? Хотите я вам помогу и пришлю ссылку на вебархив, или ещё какие-то сервисы хранящие копии сайтов? Или вы не отвечаете за то, что пишите? Я просто не понимаю, в чём проблема. Если вы боитесь, что я проигнорирую какие-то факты... ну продублируйте их Сергею Ильину, он явно "незаинтересованная сторона".

Просто может быть такая ситуация, что сайт был заражен или кто-то умышленно сделал подлянку. Потом собственник устранил заражение, убрал вредоносы. Что ему надо делать и есть ли какие-то четко описанные процедуры?

Конечно может, вы абсолютно правы. Более того такое часто бывает, особенно на популярных движках типа DLE и WordPress. Но:

1. Пока нет повода говорить о том, что нас могли взломать. После блокировки сайтов мы несколько раз проверили каждый файл на сервере, поставили на севрере антивирус clamav, чтобы следил за "активностью". Более того, мы проверили даже быкапы. Более того некоторые сайты есть в вебархиве, о чём я писал выше. И там чисто!

2. Я описал в первом посте ситуацию с вирусным аналитиком Xylitol, с поста которого всё началось, тут же, на форуме. Ну очевидно же, что это была ошибка. Он извинился, т.к. имел ввиду не наши домены, о чём и написал в блоге. Он признал ошибку, в отличаи Юрия, который продолжает утверждать, что мы распространяем "малвару", при том, что сам не видел вирусов на наших сайтах (иначе бы он сразу сказал, где и что видел).

Отредактировал Steeng

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Steeng

Кстати, Сергей, когда я искал прецеденты, наткнулся на топик: http://forum.kaspersky.com/index.php?showtopic=228792 Тут владелец сайта описывает именно ту ситуацию, о которой подумали вы. Ответ был тоже из серии "мы разблокируем, а вы вернёте вирусы". Только там действительно был факт взлома. А у нас - видимо нет.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Mr.Belyash

Бха-ха...Бэлые и пушистые.

Но мы то знаем (с)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
~Джон Доу~
Сергей Ильин посоветовал написать в отдел контроля качества (жалобная книга)

улыбнуло :)

"Здравствуйте. Вы распространяли вредоносное ПО."
и начинают спамить

Steeng, и это только начало, а далее типа этого: Здравствуйте. Вы распространяли никому не видемый самоуничтожающийся Flame, и начинают спамить: Они убили Кеннеди Джона Фицджеральдa Кенни Маккормикa!!!

"Как узнать причину блокировки сайтов Касперским?"

А причина проста как три копейки:

мы поставили на севрере антивирус clamav

(ключевое слово выделено и подчеркнуто из многабукаф незаинтересованной стороной)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Steeng
А причина проста как три копейки:

(ключевое слово выделено и подчеркнуто из многабукаф незаинтересованной стороной)

Хм... а что не так с clamav? Просто мы его поставили примерно неделю назад, когда пришла отписка о том, что мы распространяли вирусы. А сайты были заблокированы уже почти 4 месяца назад...

UPD. Даже на знаю, как это назвать. Продолжается необъяснимый беспредел... только что был заблокирован IP нашего сервера, со всеми нетронутыми сайтами, сервисами и службами. Я давно занимаюсь разработкой сайтов, видел сайты с локерами, видел партнёрки мошенические, подключающие в день десятки новых доменов, но я ни разу не видел, чтобы блокировался IP адрес. Я прямо сейчас могу насобирать пачку мошенических доменов-зеркал, на которые никак не реагирует антивирус.

Прошу совета: куда обратиться, чтобы остановить этот беспредел? Это уже не укладывается ни в какие рамка.

Какие вараинты нам пока пришли в голову... пока только поставить какую-то ежедневную стороннюю онлайн проверку на вирусы типа сертификата McafeeSecure, Comodo SiteInspector или Godaddy Website Protection. Просто я уже не знаю, как доказать аналитикам вирлаба, что мы не распространяем вирусы (забавно, конечно, что я доказываю невиновность, а не сотрудники вирлаба виновность). Может есть ещё что? У Каспера не нашёл подобных сервисов.

Хм... а что не так с clamav? Просто мы его поставили примерно неделю назад, когда пришла отписка о том, что мы распространяли вирусы. А сайты были заблокированы уже почти 4 месяца назад...

UPD. Даже на знаю, как это назвать. Продолжается необъяснимый беспредел... только что был заблокирован IP нашего сервера, со всеми нетронутыми сайтами, сервисами и службами. Я давно занимаюсь разработкой сайтов, видел сайты с локерами, видел партнёрки мошенические, подключающие в день десятки новых доменов, но я ни разу не видел, чтобы блокировался IP адрес. Я прямо сейчас могу насобирать пачку мошенических доменов-зеркал, на которые никак не реагирует антивирус. А у нас видимо что-то из ряда вон выходящее. или это реакция на пост такая?

Прошу совета: куда обратиться, чтобы остановить этот беспредел? Это уже не укладывается ни в какие рамка.

Какие вараинты нам пока пришли в голову... пока только поставить какую-то ежедневную стороннюю онлайн проверку на вирусы типа сертификата McafeeSecure, Comodo SiteInspector или Godaddy Website Protection. Просто я уже не знаю, как доказать аналитикам вирлаба, что мы не распространяем вирусы (забавно, конечно, что я доказываю невиновность, а не сотрудники вирлаба виновность). Может есть ещё что? У Каспера не нашёл подобных сервисов.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Юрий Паршин
Я прямо сейчас могу насобирать пачку мошенических доменов-зеркал, на которые никак не реагирует антивирус.

Соберите и отправьте по соответствующему адресу. Спасибо.

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
A.
Прошу совета: куда обратиться, чтобы остановить этот беспредел? Это уже не укладывается ни в какие рамка.

Просто я уже не знаю, как доказать аналитикам вирлаба, что мы не распространяем вирусы (забавно, конечно, что я доказываю невиновность, а не сотрудники вирлаба виновность). Может есть ещё что? У Каспера не нашёл подобных сервисов.

А почему вы решили что вам кто-то что-то должен ? К вам посетители не ходят ? Ну вот пусть сами делают выбор - ходить к вам или использовать антивирус.

Сто раз уже говорил - клиенты платят антивирусным компаниям деньги за то, что эти компании решают - от чего и как защищать клиента. Если клиента не устраивает как его защищают - он уходит к другой компании.

Мнение третьей стороны тут роли не играет.

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Steeng
Соберите и отправьте по соответствующему адресу. Спасибо.

Отправлял два раза. Ответа так же не было. Через неделю проверял, санкций не было.

Юрий, вы в двух топиках на этом форуме писали, что мы распространяем вирусы. Вы можете ответить на простой вопрос: на каких сайтах и когда вы видели вирусы? Какие? Я просто не понимаю, в чём проблема, почему так сложно ответить.

И куда потерялось письмо, которое вы отправили коллеге, который "в отпуске и непонятно, когда вернётся"?

А почему вы решили что вам кто-то что-то должен ? К вам посетители не ходят ? Ну вот пусть сами делают выбор - ходить к вам или использовать антивирус.

Рашн бизнес: никто никому ничего не должен? Ну вообще-то антивирус платный. У меня на стационарном компьютере стоит KIS 2012, за который я плачу деньги, как и партнёры, с которыми я работаю. И вы не правы, пользователи не могут сделать выбор. Каждый пользователь может добавить IP в исключения сетевого экрана? Даже если кто-то и умеет, делать это не будет.

Кроме того, вы не считаете, что "портить репутацию" и "мешать работе" плохо стыкуется с "Мнение третьей стороны тут роли не играет"? Приведу пример: вы открыли ресторан, а на входе у вас встал парень с табличкой "тут готовят крыс". Вы тоже себе скажете "это на моё дело, пусть посетители разбираются"?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
~Джон Доу~
Хм... а что не так с clamav? Просто мы его поставили примерно неделю назад, когда пришла отписка о том, что мы распространяли вирусы. А сайты были заблокированы уже почти 4 месяца назад...

А вот поставили бы 4,5 месяца назад, НЕ clamav (отгадайте с трёх раз ЧТО?), и не пришлось бы вопросы задавать: "на каких сайтах и когда вы видели "малвару"?" (ответ Вы не получите никогда, и не надейтесь, ибо не видели они, не видели, не видели - чего непонятно то?, но в маркетинговых ходах шарят)

Просто я уже не знаю, как доказать аналитикам вирлаба, что мы не распространяем вирусы

Пустое дело. Они и без Ваших доказательств это знают.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
A.
Рашн бизнес: никто никому ничего не должен? Ну вообще-то антивирус платный. У меня на стационарном компьютере стоит KIS 2012, за который я плачу деньги, как и партнёры, с которыми я работаю. И вы не правы, пользователи не могут сделать выбор. Каждый пользователь может добавить IP в исключения сетевого экрана? Даже если кто-то и умеет, делать это не будет.

Обращайтесь в саппорт, вам там расскажут как добавить IP в исключение. Ну или rtfm.

Кроме того, вы не считаете, что "портить репутацию" и "мешать работе" плохо стыкуется с "Мнение третьей стороны тут роли не играет"? Приведу пример: вы открыли ресторан, а на входе у вас встал парень с табличкой "тут готовят крыс". Вы тоже себе скажете "это на моё дело, пусть посетители разбираются"?

Этот парень с табличкой - вместе с клиентом пришел. Его платный телохранитель.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Юрий Паршин
Отправлял два раза. Ответа так же не было. Через неделю проверял, санкций не было.

С какого адреса и когда? С questions.psc@gmail.com за последний месяц таких писем не поступало.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин
Просто я уже не знаю, как доказать аналитикам вирлаба, что мы не распространяем вирусы (забавно, конечно, что я доказываю невиновность, а не сотрудники вирлаба виновность). Может есть ещё что? У Каспера не нашёл подобных сервисов.

Меня смущает эта практика "презумпции виновности". Т.е. получается все сайты опасны по определению, но до кого-то руки дошли, а до кого-то еще нет. И уже владелец сайтов должен получается доказывать, что у него нет вредоносов.

Это конечно крутая практика. Я понимаю куда все идет. Аверы постепенно облагают данькой владельцев сайтов. Как в лихие 90-е. Мол если хотите, чтобы вот точно у вас проблем не было, покупайте у нас McafeeSecure, Norton Seal, Comodo SiteInspector и т.п. Ну а если не хотите покупать, то всякое может быть ... в блеклисты попасть легко, а вот выйти сложно.

А если смотреть дальше, то это все приведет к убиению всех мелких и некоммерческих сайтов, они просто не смогут платить дань.

P.S. Вообще зря никто из антивирусных вендоров не формализовал процедуры блокировки и разблокировки сайтов. Это бы могло склонить на их сторону множество веб-мастеров. Можно ведь и владельцев оповещать о блокировке, данные владельцев доступны, через формы обратной связи можно всегда кинуть сообщение. А потом человек сам прийдет и купит McafeeSecure ;) И никакого насилия.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
VicVaLa

Steeng, а Вы подайте на них в суд! :facepalm:

Хочу прецедент!

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Valery Ledovskoy

Пересекается с темой блокировки сайтов по чёрным спискам на уровне государства после принятия одного из недавних законов.

Но развивать не буду - будет флейм :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
A.
Меня смущает эта практика "презумпции виновности". Т.е. получается все сайты опасны по определению, но до кого-то руки дошли, а до кого-то еще нет. И уже владелец сайтов должен получается доказывать, что у него нет вредоносов.

Это конечно крутая практика. Я понимаю куда все идет. Аверы постепенно облагают данькой владельцев сайтов. Как в лихие 90-е. Мол если хотите, чтобы вот точно у вас проблем не было, покупайте у нас McafeeSecure, Norton Seal, Comodo SiteInspector и т.п. Ну а если не хотите покупать, то всякое может быть ... в блеклисты попасть легко, а вот выйти сложно.

А если смотреть дальше, то это все приведет к убиению всех мелких и некоммерческих сайтов, они просто не смогут платить дань.

Давайте поплачем все вместе над тысячами невинно убиенных овечек, да

http://www.securelist.com/ru/blog/20776686..._chistka_Runeta

кто такие PCS - можно узнать на форуме searchengines.ru

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Steeng
С какого адреса и когда? С questions.psc@gmail.com за последний месяц таких писем не поступало.

Ну само собой нет, это ящик используется для решения вопросов, связанных с сайтами. Обязательно было постить адрес ящика? Можно ведь было хотя бы частично закрыть. Я же всю переписку сделал картинкой отдельной и ящик ваш замазал.

Отправил вам адрес, с которого были запросы.

Юрий, что происходит? Почему вы видите каждую букву не связанную с главным вопросом? Время посмотреть запросы, связанные с другими сайтами сразу же после публикации поста у вас есть, а уделить пару минут и написать, за какие вирусы наши сайты были заблокированы у вас нет на протяжении месяца?

А если смотреть дальше, то это все приведет к убиению всех мелких и некоммерческих сайтов, они просто не смогут платить дань.

Да мы-то какраз готовы платить за сервис мониторинга вирусов типа McafeeSecure. Нам скрывать нечего, я готов предоставить любую информацию, чтобы наш можно было проверить в любое время. Но понятно, что аналитикам вирлаба Касперского результаты проверки McafeeSecure не доказательство. При этом у самого Касперского нет чего-то подобного.

~Джон Доу~, мы посмотрели, под нашу ОС (FreeBSD 9) у Касперского нет решений. Есть вот такая штука, но под устаревшую версию ОС. Поэтому если это и вымогательство такое, то не понятно, чего от нас хотят.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Valery Ledovskoy
Steeng, а Вы подайте на них в суд! facepalm.gif

Кажется, на ЛК уже подавали по подобному поводу в суд. Не в России. Прецедента не получилось.

Защита говорила в сторону того, что антивирус - это программа, которая своими действиями выражает мнение конкретной компании.

В общем-то, защита ЛК в некотором роде права. Пользователь либо разделяет мнение экспертов определённой антивирусной компании, следует рекомендациям и не ходит на подобные сайты, или не разделяет, и пользуется антивирусом, которые его любимые сайты не блокирует.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
A.
Кажется, на ЛК уже подавали по подобному поводу в суд. Не в России. Прецедента не получилось.

Защита говорила в сторону того, что антивирус - это программа, которая своими действиями выражает мнение конкретной компании.

В общем-то, защита ЛК в некотором роде права. Пользователь либо разделяет мнение экспертов определённой антивирусной компании, следует рекомендациям и не ходит на подобные сайты, или не разделяет, и пользуется антивирусом, которые его любимые сайты не блокирует.

http://www.kaspersky.ru/news?id=207733014

Согласно этому решению, «Лаборатория Касперского», в соответствии с «Положением о безопасной гавани» (safe harbor provision) Закона «О соблюдении пристойности в коммуникациях» (Communications Decency Act) имеет право на иммунитет от судебного преследования по иску, поданному компанией Zango. Претензии Zango заключаются в том, что программное обеспечение «Лаборатории Касперского» создает помехи при использовании произведенных Zango программ.

Суд постановил, что «Лаборатория Касперского», которая классифицирует ПО, производимое компанией Zango, как вредоносное, и защищает от него пользователей, не несет ответственности за любые свои действия по производству и распространению технических средств, ограничивающих доступ программ Zango к ресурсам пользователей, поскольку «Лаборатория Касперского» считает продукцию истца «не вызывающей доверия».

...

Данное решение защищает право потребителя самостоятельно решать, какую информацию и программные продукты он использует на своем компьютере, а также право компаний-поставщиков антивирусного ПО определять и классифицировать некоторые программы как потенциально нежелательные и опасные для пользователей. Программные продукты «Лаборатории Касперского» предназначены именно для этого. Кроме того, пользователи могут настроить систему защиты таким образом, чтобы конкретные программы, которые они считают безопасными, не блокировались ни при каких условиях.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • AM_Bot
      NGFW (Next Generation Firewall) изменили парадигму оперативного контроля внешнего сетевого трафика, предоставив компаниям возможность отсекать пакеты данных из определённых источников, а также анализировать сами передаваемые данные, проверять их на наличие вредоносных сигнатур, ограничивать работу с нежелательными ресурсами. Рассматриваем функции современного межсетевого экрана на примере представителя систем этого класса UserGate Next Generation Firewall.   ВведениеФункциональные возможности UserGate Next Generation Firewall2.1. Фильтрация контента по правилам2.2. Анализ трафика2.3. Защита от DoS2.4. Контроль интернет-приложений2.5. Антивирус2.6. Реагирование2.7. Собственная ОС2.8. Варианты поставкиСценарии использования UserGate Next Generation Firewall3.1. Основные настройки UserGate Next Generation Firewall3.2. Создание политик3.3. Работа со сценариямиВыводыВведениеКлассические межсетевые экраны, или файрволы, предназначены для фильтрации трафика между двумя сегментами сети на основании относительно простых принципов. Получив пакет данных из внешнего, небезопасного, сегмента, межсетевой экран определяет возможность его дальнейшей передачи в локальную сеть на основании IP-адреса и порта источника либо назначения. Такое взаимодействие соответствует третьему, сетевому уровню модели OSI.Использование классического межсетевого экрана, строящего свою работу на списках запрещённых и разрешённых адресов, никак не защищает ото множества других угроз, связанных с сетевым трафиком. Такая система совершенно прозрачна для вредоносных программ, фишинговых писем, трафика связанного с определёнными приложениями и сервисами. Первоначальная концепция предполагала, что купированием этих угроз займутся инструменты информационной безопасности за файрволом: антивирусы, почтовые сканеры, системы предотвращения вторжений и другие средства.Такой подход таит в себе определённые проблемы. Сам факт попадания вредоносной нагрузки за периметр безопасности уже несёт определённые угрозы. При этом значительная часть векторов атаки сегодня вообще не связана с какими-либо нелегитимными инструментами, а базируется на действиях инсайдеров или использовании взломанных аккаунтов. Безусловно, и для таких угроз существуют отдельные средства безопасности, однако не лучше ли предотвращать атаки на рубежах доверенного сетевого окружения?Именно такую концепцию принесли на рынок межсетевые экраны нового поколения (Next Generation Firewall, NGFW). В отличие от классических файрволов, анализирующих только заголовок пакета, NGFW способны разбирать и его содержимое. Это значительно расширяет круг возможностей межсетевого экрана. Современные NGFW представляют собой многофункциональные комплексы сетевой защиты, поскольку могут иметь в своём составе самые разнообразные модули:антивирусы,системы обнаружения и предотвращения вторжений (IDPS),собственный прокси-сервер,средства контроля почтового трафика,инструменты морфологического анализа,средства защиты от DoS-атак.Одним из пионеров разработки межсетевых экранов нового поколения в России является компания UserGate, имеющая 13-летний опыт в этой сфере. Ключевые компетенции UserGate находятся именно в области разбора трафика, в том числе зашифрованного. Флагманский продукт вендора UserGate Next Generation Firewall является основой экосистемы корпоративной кибербезопасности и может служить хорошим примером полнофункционального межсетевого экрана, обеспечивающего комплексную защиту и фильтрацию трафика до его попадания в локальную сеть. В этом материале мы кратко рассмотрим основные возможности системы на примере версии 6, а также познакомимся с несколькими сценариями её использования.Функциональные возможности UserGate Next Generation FirewallНабор функциональных возможностей UserGate Next Generation Firewall охватывает разнообразные потребности в сфере защиты трафика и фильтрации контента. Гибкие механизмы настройки межсетевого экрана позволяют выстраивать сложные логические схемы обработки данных и в автоматическом режиме реагировать на потенциально опасные или нелегитимные действия. Кратко остановимся на наиболее важных аспектах работы UserGate Next Generation Firewall.Фильтрация контента по правиламФильтрование трафика в UserGate Next Generation Firewall основывается на механизме правил — по сути, политик безопасности, описывающих действия системы при наступлении тех или иных заданных условий. Правила фильтрации могут блокировать или, наоборот, разрешать движение данных в зависимости от их типа, источника, получателя, приложения, категории и других параметров. Правила могут применяться к одному или нескольким пользователям и выполняются последовательно, что даёт возможность строить гибкую систему обеспечения кибербезопасности и осуществлять контроль работы сотрудников.При помощи правил можно не только создавать белые и чёрные списки ресурсов, но и контролировать множество параметров передаваемых пакетов, например тип используемого браузера, наличие определённых словоформ или типов информации. Правила используются не только для фильтрации контента, но и в других функциональных блоках системы — межсетевом экране, подсистеме ограничения пропускной способности и пр.Анализ трафикаГлубокий разбор трафика является ключевой функцией NGFW, основным источником данных для других подсистем. UserGate Next Generation Firewall способен детально исследовать нагрузку каждого передаваемого пакета, «на лету» определяя потенциально небезопасное содержимое, а также триггеры, по которым активируются заранее заданные правила и сценарии. Помимо обычного трафика система расшифровывает и защищённые SSL пакеты, работая с протоколами HTTPS, SMTPS и POP3S. При этом сервер NGFW осуществляет подмену оригинального сертификата на собственный, отдавая на сторону пользователя по-прежнему защищённый контент.Защита от DoSОдним из механизмов безопасности в UserGate Next Generation Firewall является функция ограничения числа соединений, открытых одним пользователем. Так же как и многие другие элементы NGFW, она реализована при помощи механизма правил и сценариев, что позволяет гибко настраивать чувствительность системы в соответствии с особенностями конкретной компании. Ограничение на количество одновременно открытых пользователем сеансов обеспечивает эффективное противостояние возможным DoS-атакам (Denial of Service) через пользовательские или гостевые учётные записи.Контроль интернет-приложенийUserGate Next Generation Firewall работает с приложениями на седьмом уровне сетевого взаимодействия модели OSI. Система идентифицирует приложения и даёт администратору возможность ограничивать их использование. Например, NGFW способен полностью заблокировать работу мессенджеров, торрент-клиентов и других нежелательных программ. Собственная база обновляемых сигнатур позволяет помимо этого защищать локальную сеть от угроз связанных с теми программами, которые работают с интернетом.АнтивирусВ состав UserGate Next Generation Firewall входит потоковый антивирус, который может проверять внешний трафик на наличие вредоносных программ. Анализ ведётся при помощи собственной базы сигнатур, что обеспечивает достаточную надёжность и блокировку основных угроз до того, как данные пересекут контур безопасности. С другой стороны, использование лёгкого сигнатурного антивирусного ядра минимально нагружает систему, что даёт возможность, при необходимости, проверять весь трафик полностью. Антивирусная защита использует механизм правил безопасности NGFW.РеагированиеВ UserGate Next Generation Firewall встроена система предотвращения вторжений, которая способна в настоящем времени реагировать на атаки киберпреступников, эксплуатирующих известные уязвимости. UserGate Next Generation Firewall даёт администратору возможность создавать различные наборы сигнатур для защиты различных сервисов, а также формировать на базе универсального механизма правил собственные сценарии для каждого типа трафика. Это позволяет не только формировать реакции на кибератаки, но и контролировать вредоносную активность внутри сети.Собственная ОСВ основе UserGate Next Generation Firewall лежит оригинальная операционная система UGOS, оптимизированная для задач быстрой и эффективной обработки трафика. Платформа создана на базе дистрибутива Linux и не использует готовых комплексных модулей: все подсистемы безопасности разработаны программистами UserGate и не содержат стороннего кода. С одной стороны, это позволяет быстро адаптировать её под требования заказчика, а с другой — существенно снижает вероятность атак на систему с использованием общеизвестных уязвимостей.Варианты поставкиUserGate Next Generation Firewall может поставляться как в виде виртуального межсетевого экрана, развёрнутого на одном из гипервизоров (VMware, Hyper-V, Xen, KVM, OpenStack, VirtualBox, отечественные разработки), так и в виде программно-аппаратного комплекса, созданного UserGate. Производитель предлагает несколько вариантов исполнения таких NGFW, предназначенных для организаций разного масштаба — от компаний сегмента СМБ до крупных предприятий и дата-центров.Сценарии использования UserGate Next Generation FirewallОсновные настройки UserGate Next Generation FirewallПервоначальные настройки UserGate Next Generation Firewall не займут много времени и сводятся в общем случае к конфигурации портов для работы с интернетом и локальными ресурсами, добавлению DNS-серверов, определению доменных записей для страниц блокировки и авторизации, а также указанию параметров работы механизма SSL-фильтрации. Кратко рассмотрим каждое из этих действий.Задание параметров портов выполняется в секции «Сеть — Интерфейсы» раздела «Настройки» UserGate Next Generation Firewall. Здесь собраны все физические и виртуальные порты, имеющиеся в системе. Для каждого интерфейса можно выбрать тип («Layer 3» или «Mirror»), назначить ему определённую зону и указать профиль Netflow, который будет использоваться для отправки данных на коллектор, учитывающий сетевой трафик. Тут же задаётся тип IP-адреса порта — динамический, получаемый через DHCP, или заранее определённый, статический. При необходимости можно настроить работу DCHP Relay, который будет раздавать адреса со внешнего сервера устройствам своего сегмента сети. Рисунок 1. Настройка свойств порта в UserGate Next Generation Firewall Для настройки DNS-серверов необходимо выбрать пункт меню «Сеть — DNS» в разделе «Настройки», нажать кнопку «Добавить» и задать адрес соответствующего хоста. При необходимости UserGate Next Generation Firewall может перехватывать DNS-запросы пользователей и изменять их. Для этого следует задать параметры работы DNS-прокси. Важно, что для фильтрации DNS-запросов необходимо приобрести отдельный модуль и создать соответствующие правила. Рисунок 2. Раздел настройки DNS в UserGate Next Generation Firewall Авторизация неизвестных пользователей (не идентифицированных Windows или агентами терминальных серверов либо не имеющих явно указанного IP-адреса в свойствах) осуществляется в UserGate Next Generation Firewall при помощи перехватывающего портала. Применяются правила заданные администратором, однако для корректной работы сервиса следует настроить доменные имена страниц аутентификации, блокировки и выхода из системы. Этот шаг можно пропустить, если в качестве DNS-сервера используется сервер UserGate Next Generation Firewall. Если же применяется собственный DNS-сервер, то необходимо создать на нём три соответствующие A-записи и указать в них IP-адрес и порт подключения к локальной зоне.Корректная работа системы фильтрации контента UserGate Next Generation Firewall возможна только при настроенной инспекции данных передаваемых по шифрованным протоколам, таким как HTTPS, SMTPS или POP3S. Файрвол дешифровывает указанный трафик, после чего анализирует его на предмет наличия ограничений, заданных правилами. После дешифровки и анализа данные повторно кодируются при помощи собственного сертификата. Обязательно нужно добавить его в список доверенных корневых сертификатов, иначе браузеры пользовательских устройств будут сигнализировать о возможной подмене SSL-удостоверения. Рисунок 3. Раздел «Инспектирование SSL» в UserGate Next Generation Firewall Чтобы настроить режим проверки шифрованного трафика, необходимо перейти в пункт «Политики безопасности — Инспектирование SSL» раздела «Настройки» и добавить новое правило, описывающее процесс работы с SSL-трафиком. Для каждого трафика, среди прочего, можно задать:Пользователя, группу пользователей или тип пользователей, для которых применяется правило.Список доменов, чей трафик подлежит инспектированию.Списки IP-адресов источников и назначения трафика.Возможность блокировки внешних сертификатов, не вызывающих доверия (самоподписанных, отозванных, с истекшим сроком действия).Создание политикОсновным инструментом фильтрации контента в UserGate Next Generation Firewall являются правила, объединённые в политики безопасности. Это универсальный механизм, который может инициировать определённые действия системы по ряду заданных параметров. Файрвол анализирует трафик, после чего блокирует его (или, наоборот, разрешает передачу данных) при срабатывании одного из триггеров. Правила применяются последовательно, в соответствии с очерёдностью, установленной их списком. Такой подход даёт возможность гибко настраивать обработку данных по разным параметрам.Для создания нового правила необходимо выбрать пункт «Политики безопасности — Фильтрация контента», находящийся в разделе «Настройки». Каждая политика может выполнять одно из трёх действий:Блокировать доступ к веб-странице («Запретить»).Предоставить доступ к веб-странице («Разрешить»).Показать пользователю предупреждение о нежелательности посещения этой страницы («Предупредить»).Рисунок 4. Настройка правила фильтрации контента в UserGate Next Generation Firewall Частным случаем действия «Запретить» является проверка трафика встроенным антивирусом. Если в передаваемых данных будет обнаружена сигнатура вредоносной программы, содержащая её страница не будет открыта.После выбора действий необходимо указать одно или несколько условий, которые будут инициировать срабатывание правила. Каждое условие добавляется в правило через логическое «И», то есть правило выполняется только при срабатывании всех указанных в нём условий. Например, можно ограничить трафик определённой категории сайтов для определённого пользователя. При этом для всех остальных категорий передача данных этому пользователю будет разрешена. Ниже приведена краткая характеристика основных условий, доступных в правилах фильтрации контента UserGate Next Generation Firewall.Источник трафика: список IP-адресов или доменов, откуда идёт трафик. Разрешение доменных имён в IP-адреса производится каждые пять минут, а результат хранится в течение жизни DNS-записи.Назначение трафика: список IP-адресов или доменов, являющихся получателями трафика. Порядок работы системы с ними — такой же, как для источников.Пользователи или группы пользователей, для которых применяется правило. Допускается использование таких масок, как «Any» (любой пользователь), «Known» (известный, то есть идентифицированный, пользователь), «Unknown» (неидентифицированный пользователь).Категории электронных ресурсов. Трафик проверяется по крупнейшей базе электронных ресурсов, разбитых на более чем 70 категорий. Например, правило может срабатывать на социальные сети, порнографию, онлайн-казино и другие сайты. Администратор может переопределить категорию любого сайта. Для фильтрации по категориям необходима отдельная лицензия на базу данных UserGate URL Filtering.Списки URL: чёрные и белые. Администратор может создавать собственные списки или приобрести готовые.Тип контента. Данное условие срабатывает при передаче аудио, видео, исполняемых файлов и пр. Для описания видов контента используется формат MIME. Морфологические базы для проверки передаваемого контента на наличие определённых слов, словоформ и выражений.Кроме того, можно задавать время работы правила, значение User-Agent, HTTP-метод и рефереры открываемой страницы.Работа со сценариямиДля определённых типов правил можно использовать дополнительные условия, сценарии. Однако прежде чем перейти к описанию работы с ними, кратко остановимся на базовых свойствах правил межсетевого экрана и правил пропускной способности, где, собственно, и используются сценарии.Правила межсетевого экрана регулируют обработку транзитного трафика, проходящего через UserGate Next Generation Firewall. В качестве условий, при срабатывании которых система блокирует или, наоборот, разрешает передачу данных, могут выступать пользователи, сервисы, приложения, а также зоны и IP-адреса источника трафика или его назначения. Правила пропускной способности, основываясь на тех же параметрах, способны ограничивать канал передачи данных. Рисунок 5. Окно свойств правил межсетевого экрана в UserGate Next Generation Firewall Сценарии позволяют UserGate Next Generation Firewall реагировать не только на одномоментные события, но и на произошедшие за некоторый интервал времени — например, несколько попыток использования одного приложения. Для создания нового сценария необходимо нажать кнопку «Добавить» в меню «Политики безопасности — Сценарии» раздела «Настройки». Сценарий может действовать только для того пользователя, на котором он сработал, или распространяться на всех пользователей, указанных в правиле. Можно также задать срок работы сценария после его активации. После создания сценария его необходимо указать в том правиле, для которого он будет применяться. Рисунок 6. Окно настройки сценария в UserGate Next Generation Firewall В качестве условий сценария может выступать срабатывание системы обнаружения вторжений или появление следующих сущностей в трафике пользователя:URL заданных категорий.Вирусы.Приложения.Определённые типы контента.Пакеты данных, превышающие определённый размер.Количество сессий с одного IP-адреса, превышающее некоторое значение.Объём трафика за единицу времени, превышающий определённое значение.Доступность определённого ресурса.С таким перечнем удобно выстраивать логику регулирования трафика. Например, при помощи сценариев можно переключить сеть на работу с запасным шлюзом, в случае недоступности основного.ВыводыUserGate Next Generation Firewall представляет собой полнофункциональный комплекс защиты внешних периметров сети и управления сетевым трафиком. Система даёт возможность построить сложные сценарии обработки и анализа сетевых пакетов на основе универсальных политик безопасности. С её помощью специалисты по информационной безопасности могут фильтровать поступающие извне данные на основе вердиктов антивирусного ядра, морфологического анализа, информации о приложении и других параметров. Различные триггеры можно собирать в цепочки, связанные логическим «И» (условия в рамках одного правила), а также логическим «ИЛИ» (последовательность нескольких правил).Ещё одним средством кибербезопасности является система ограничения количества одновременных сеансов, что полезно для эффективного противодействия DoS-атакам. При этом простой фиксацией проблем возможности UserGate Next Generation Firewall не ограничиваются. Используя тот же механизм правил и сценариев, можно настроить варианты реагирования NGFW на определённые события в информационной безопасности или нелегитимную сетевую активность.Помимо защитных функций UserGate Next Generation Firewall предоставляет администратору возможность контролировать сетевую активность пользователей, запрещая работу с определёнными ресурсами или приложениями. Это важно не только для ИБ, поскольку позволяет отсекать нерабочую активность персонала — использование соцсетей, игровых платформ, торрентов. Дополнительно NGFW может ограничивать пропускную способность канала при достижении пользователем определённых объёмов трафика, а также переключаться между разными интернет-провайдерами при выполнении заданных условий.UserGate Next Generation Firewall занимает передовые позиции в секторе NGFW российского рынка информационной безопасности и может конкурировать с ведущими зарубежными аналогами. Компетенции компании UserGate в сфере анализа сетевого трафика позволили ей создать зрелый продукт, способный стать существенным препятствием для кибератак, универсальным инструментом первой необходимости, который сможет обезопасить компанию от большого числа инцидентов даже при частичной недоступности других инструментов информационной безопасности.Читать далее
    • Ego Dekker
      Домашние антивирусы для Windows были обновлены до версии 16.0.26.
    • demkd
      ---------------------------------------------------------
       4.13
      ---------------------------------------------------------
       o Добавлена поддержка Windows 10 2004 ADK для создания загрузочных дисков.
         (!) Это последний пакет Windows PE x86, все что старше это x64, в котором запуск 32-х битных приложений невозможен.
         Для создания дисков требуются установить следующие пакеты:
         o Три компонента из Windows ADK для Windows 10 версии 2004
           o средства развертывания
           o средства миграции (USMT)
           o набор средств оценки производительности Windows
         o Windows надстройка PE для ADK версии 2004
         (Скачать оба пакета можно в окне создания загрузочной флешки/ISO)
         (!)Если не удается установить Windows ADK с ошибкой "Could not acquire privileges; GLE=0x514"
            то следует запустить adksetup из под системной учетки, что можно сделать с помощью uVS, запущенного под LocalSystem.  o Исправлена ошибка, которая в очень редких случаях приводит к переполнению буфера при чтении строк из реестра.  
    • AM_Bot
      Ankey ASAP (Advanced Security Analytics Platform) предназначен для углублённого изучения событий по информационной безопасности с функциями поведенческого анализа. Программный комплекс получает данные от СЗИ и информационных систем, формирует контент для помощи в расследовании киберинцидентов и анализирует поведение пользователей и компонентов корпоративной сети. У продукта появились новые возможности, расскажем о них.    ВведениеИнтерфейс Ankey ASAPМодуль UEBA3.1. Анализатор терминальных команд3.2. Анализатор первых действий3.3. Анализатор базовой линии3.4. Работа анализаторов в действии3.5. Возможности по разработке собственного UEBA-контентаВыводыВведениеУвеличивающиеся риски целевых атак, новые требования регуляторов вместе с уходом иностранных вендоров с российского рынка заставили отечественные компании существенно пересмотреть подход к существующим внутри организаций средствам и методам обеспечения информационной безопасности. Не менее острой за прошедший год стала проблема определения и предотвращения инсайдерских атак. В некоторых случаях детектировать их имеющимися СЗИ представляется почти невозможным, так как во многих случаях это требует детального анализа пользовательского поведения внутри корпоративной сети, что, несомненно, влечёт за собой значительное увеличение затрат на обеспечение ИБ в организации. Одним из возможных решений проблемы можно назвать внедрение системы поведенческого анализа пользователей (UEBA).Ankey ASAP — программный комплекс, являющийся аналитической платформой кибербезопасности с функциями поведенческого анализа. Основываясь на данных, которые поставляются в систему в нормализованном виде из SIEM и иных средств защиты информации, Ankey ASAP анализирует поведение различных пользователей, устройств, других систем корпоративной сети с целью выявить признаки потенциальных киберугроз и целевых атак, а также злонамеренных действий инсайдеров. С момента последней публикации на Anti-Malware.ru статьи об Ankey ASAP платформа была комплексно переработана: от интерфейса до функциональных решений. Рассмотрим подробнее эти изменения.Интерфейс Ankey ASAPUX- / UI-дизайн системы претерпел комплексный рефакторинг, начиная от страницы аутентификации и заканчивая панелью визуализации инцидентов. Минимизация рабочей нагрузки на операторов системы (администраторов ИБ, аналитиков) путём частичного перекладывания ряда рабочих задач на платформу является одним из главных принципов при разработке системы. В этом Ankey ASAP помогают расширенные средства визуализации, навигации и работы со внутренним контентом. Рисунок 1. Панель визуализации инцидентов Удобная навигация между карточками позволяет легко ориентироваться во всех активах, а также связанных с инцидентами событиях. Система способна получать скоррелированные события изо внешних систем типа SIEM и выявлять ИБ-инциденты, происходящие в корпоративной сети, на основе алгоритмов поведенческого анализа. Благодаря средствам расширенной визуализации и обновлённым виджетам оператор платформы может выделить для себя наиболее значимые объекты анализа. В определении наиболее значимых инцидентов ему призваны помочь система гибкого скоринга и тесно связанная с ней система генерации уведомлений. Не стоит забывать и о постоянно растущем списке поддерживаемых системой источников.Модуль UEBAБыла существенно переработана функциональная часть Ankey ASAP. Изменения коснулись как отдельных компонентов архитектуры проекта, так и принципов работы ряда анализаторов, входящих в технологический блок UEBA-системы. О действующей функциональности этих анализаторов и пойдёт речь далее в статье. Рисунок 2. Подробные сведения об инцидентах Анализатор терминальных командЗа детектирование аномального поведения объектов наблюдения в Ankey ASAP отвечает ряд анализаторов, разделяемых по функциональному назначению. Одним из них является анализатор терминальных команд, призванный в первую очередь детектировать попытки реализации атак типа «Living-off-the-Land», то есть выявлять выполнение деструктивных терминальных команд при использовании легитимных или встроенных системных утилит (CMD, PowerShell, netcat и другие). На вход анализатора подаются события запуска процесса, а он по обученной заранее модели проводит классификацию: похоже это на LotL-атаку или нет. Рисунок 3. Принцип работы анализатора терминальных команд При сравнении методов работы существующих решений по безопасности следует особо отметить, что детектировать LotL-атаки возможно также и сигнатурными методами, однако там основой служат константные выражения в терминальных командах. Иначе говоря, для детектирования с помощью SIEM LotL-атаки с применением netcat необходимо, чтобы введённая команда содержала «nc» и некоторые определённые флаги. Переименовываем «netcat» в «моя секретная программа» — правила SIEM перестают работать; в ASAP же модель для классификации лишь немного потеряет в степени уверенности, что применяется именно netcat. Она также вынесет вердикт по оставшейся информации — например, по тем же самым флагам, которые были переданы в качестве аргументов.Анализатор первых действийГоворя о сигнатурных методах определения злонамеренной пользовательской активности, стоит также упомянуть, что рассматриваемые решения обычно позволяют детектировать уже реализованную угрозу. Однако одной из основных задач системы поведенческой аналитики является определение и пресечение потенциальной угрозы на более ранних этапах киберцепочки угроз (Cyber Kill Chain). Частично за выполнение этой задачи в Ankey ASAP отвечает анализатор первых действий сущностей. Внутренний контент платформы содержит в себе уже описанные аналитиками триггеры первых пользовательских действий, которые по всем своим признакам могут соответствовать легитимной модели поведения, однако их нетипичность применительно к определённым временным промежуткам свидетельствует об определённой степени «аномальности» подобного поведения.Такими триггерами могут быть:первое переключение пользователя в «root»;подключение к ИС нового съёмного носителя;обращение изо внутренней сети к новому внешнему хосту и др.Такие события вызывают в системе значительное изменение скоринга карточки анализируемого актива. Обо всех резких изменениях скоринга, а также о превышении определённого «безопасного» порога система сигнализирует соответствующими уведомлениями на информационной панели, что помогает оператору платформы своевременно реагировать и детектировать нетипичное для пользователя поведение.Анализатор базовой линииНа основе множества показателей, к которым относятся как собственное типичное поведение (например, учёт рабочего времени, проводимого конкретным пользователем за рабочим местом), так и признаки свойственные определённым группам сущностей (администратор, внешний нарушитель, вредоносные программы), анализатор формирует так называемые профили поведения для каждого объекта анализа. Так, любое отклонение поведения объекта от базового будет вызывать рост его скоринга в соответствии с описанной для данного сценария моделью.Анализатор позволяет предотвращать и детектировать инциденты в информационной безопасности, основываясь, например, на:нетипичном времени входа в систему;нетипичных операциях с сетевыми папками;нетипичных действиях по управлению политиками и др.Работа анализаторов в действииДля наглядности описания продемонстрируем работу анализаторов в одном из возможных сценариев. Находясь в разделе «Мониторинг» или «Инциденты», оператор платформы обнаруживает созданный системой инцидент о превышении скоринга для учётной записи «barbar». Рисунок 4. Раздел «Инциденты» в Ankey ASAP Перейдя к самой карточке учётной записи и установив фильтр по датам на интересующий нас временной промежуток, видим зафиксированные сигналы об аномальном поведении учётной записи, а также о начислении скоринга по каждому из них. Рисунок 5. Карточка инспектируемой учётной записи Обратимся к началу списка уведомлений, зарегистрированных для данной учётной записи. Рисунок 6. Список сгенерированных уведомлений для учётной записи Анализатор базовой линии фиксирует вход в нетипичное для данного пользователя время, о чём свидетельствует соответствующий сигнал. Затем уже следующий анализатор (первых действий) фиксирует просмотр и копирование содержимого сетевых папок, с которыми прежде пользователь не взаимодействовал. Уже на данном этапе система создаёт инцидент о резком росте скоринга в сутки (выше допустимых 100 баллов). Рисунок 7. Результат работы анализатора первых действий Двигаемся дальше: видим сгенерированное уведомление о попытке отправки архива через электронную почту. Инцидент, поступивший из SIEM, свидетельствует о том, что это действие было зарегистрировано DLP-системой, вследствие чего произошла блокировка отправки данных. Затем система отмечает подключение USB-накопителя, совершаемое впервые. Следующая за ним попытка копирования данных на съёмный носитель также зарегистрирована и блокирована DLP-системой. Больше никаких инцидентов от SIEM не поступало, поэтому можно посчитать, что отправка данных была успешно заблокирована.Однако, обращаясь к следующим сигналам, можно увидеть результат работы анализатора базовой линии: пользователь скопировал нетипичное для себя количество данных. Рисунок 8. Результат работы анализатора базовой линии Сразу за ним следует уведомление от анализатора терминальных команд. Видим, что пользователь всё же отправил данные во внешний репозиторий в обход DLP-защиты, применяя низкоуровневые механизмы взаимодействия (в данном случае — при помощи утилиты datasvcutil). DLP-система не регистрирует это событие, так как используемая утилита является штатной, что в данной ситуации эквивалентно «легитимной». Поскольку каждый сгенерированный системой сигнал вызывал своим появлением увеличение скоринга пользователя, Ankey ASAP создаёт инцидент по превышению скоринга, с чего и начинается расследование.Таким образом, в примерах из этого сценария мы можем разглядеть поведение типичного инсайдера. Анализируя события и инциденты в области безопасности раздельно, администратор ИБ может не получить полноценной картины проводимой атаки, особенно в тех случаях, когда злонамеренные действия пользователя сильно размыты во времени. Ситуация может быть осложнена тем, что некоторые СЗИ, использующие в своей работе сигнатурные методы обнаружения, порой упускают важный контекст из обрабатываемой информации, как, например, в описанном выше методе реализации LotL-атаки. Используемые в Ankey ASAP технологии машинного обучения, возможность подключения различных источников, аккумулирующий эффект скоринга способны значительно снизить подобные риски.Возможности по разработке собственного UEBA-контентаОтдельное внимание разработчики уделили созданию собственного внутреннего контента для платформы. Её функциональность может расширяться со стороны не только разработчика системы, но и пользователей. Для просмотра и редактирования существующего контента в платформе используется внутренний редактор конфигурационных правил. При необходимости администратор может править существующие модели, поставляемые вместе с платформой, а также на основе уже имеющихся создавать свои собственные. В этом разработчику контента способен помочь набор внутренних функций, используемых анализаторами. Все доступные функции подробно описаны в эксплуатационной документации.ВыводыИспользование платформ наподобие Ankey ASAP администраторами или аналитиками по ИБ способно значительно оптимизировать их рабочие процессы. Ankey ASAP помогает администратору выявлять аномальные или вредоносные действия пользователей или устройств: платформа может быть как инструментом активного мониторинга защищённости сети, так и конечной точкой аккумуляции всех сведений, которые необходимы для проведения расследований.В настоящее время активно ведётся работа по расширению уже имеющейся функциональности Ankey ASAP. Из планов на ближайшее будущее стоит выделить:поддержку новых источников данных, в частности — программного комплекса для мониторинга рабочего времени сотрудников StaffCop (ООО «Атом Безопасность»);расширение библиотеки анализаторов поведения;расширение имеющейся библиотеки виджетов панели мониторинга;реализацию отдельного дашборда по матрице MITRE ATT&CK;интеграцию с продуктами ООО «Газинформсервис» (линеек Ankey и Efros).Авторы:Андрей Шабалин, аналитик ИБ, компания «Газинформсервис»Расул Манкаев, инженер-аналитик, компания «Газинформсервис»Читать далее
    • AM_Bot
      Средство защиты информации «Блокхост-Сеть 4» комплексно и многофункционально обеспечивает безопасность информационных ресурсов рабочих станций и серверов, контролирует съёмные машинные носители информации, противодействует несанкционированному доступу.      ВведениеАрхитектура и системные требования «Блокхост-Сеть 4»Соответствие требованиям регуляторовФункциональные возможности «Блокхост-Сеть 4»4.1. Централизованное развёртывание клиентов и внешних пакетов4.2. Установка клиента «Блокхост-Сеть»4.3. Установка сторонних программ4.4. Построение иерархии серверов управления4.5. Общее описание политик4.6. Наследование политик в иерархии групп и серверовУправление политиками механизмов безопасности на примере контроля USB5.1. Разграничение доступа к USB-устройствам5.2. Формирование доверенного списка устройствУправление жизненным циклом токенов (смарт-карт) и сертификатов6.1. Жизненный цикл управления токенами и сертификатами6.1.1. Приостановка и возобновление использования токена6.1.2. Вывод токена из использования6.1.3. Изъятие токена6.1.4. Выпуск носителя для аутентификации по сертификату6.1.5. Удалённое управление токеном пользователя6.1.6. Двухфакторная аутентификация с сохранённым паролем6.1.7. Формирование актов выдачи / изъятия токенов6.1.8. Отображение информации о сертификатах6.1.9. Оповещение по почте6.1.10. Инициализация токеновСбор аудита по иерархии управления7.1. Архивирование событий аудита7.2. Сбор событий в SIEM головного сервераНовое в «Блокхост-Сеть 4»8.1. Централизованная установка клиентов управления в Linux-системах8.2. Аутентификация по паролю на токене (смарт-карте) в Linux-системах8.3. Аутентификация по сертификату на смарт-карте в Linux-системах8.4. Централизованное управление доверенной загрузкой8.4.1. Управление политиками механизмов безопасности8.4.2. Прямое управление до загрузки ОС8.4.3. Централизованный сбор аудитаВыводыВведениеСегодня вопросы обеспечения информационной безопасности становятся предметом особого внимания. На территории Российской Федерации операторы информационных систем давно обязаны блокировать попытки несанкционированного доступа к данным, а также на постоянной основе осуществлять мониторинг защищённости ИТ-инфраструктуры. При этом борьба с угрозами не может исчерпываться принятием только организационных мер. Для реализации технических мер характерно использование различных программных и программно-аппаратных средств. Средство защиты информации «Блокхост-Сеть 4» предназначено для защиты информационных ресурсов рабочих станций и серверов в соответствии с требованиями ФСТЭК России.Архитектура и системные требования «Блокхост-Сеть 4»Компоненты «Блокхост-Сеть 4» устанавливаются на компьютеры с процессорами архитектур x86 и AMD64 под управлением ОС Microsoft Windows 2008R2 / 7 / 8.1 / 2012 / 2012R2 / 10 / 2016 / 2019, Astra Linux SE («Смоленск»), «Альт 8 СП».В состав продукта входят консоль и сервер управления, клиент СЗИ, а также клиент аутентификации и управления.Сервер управления «Блокхост-Сеть 4» устанавливается на серверы безопасности под управлением ОС Windows. С сервера осуществляются централизованное развёртывание клиентов, управление настройками клиентов СЗИ и клиентов управления, выпуск средств двухфакторной аутентификации пользователей, в том числе с записью цифровых сертификатов, а также сбор сведений для аудита безопасности и их передача во внешние системы корреляции событий.Консоль устанавливается на рабочее место администратора (ОС Windows или Linux) и позволяет управлять всеми возможностями серверов безопасности.Клиент «Блокхост-Сеть 4» устанавливается на рабочие станции под управлением ОС Windows и реализует весь спектр функций безопасности продукта.Клиент аутентификации и управления устанавливается на рабочие станции с сертифицированными ОС Linux и обеспечивает двухфакторную аутентификацию и централизованное управление средством доверенной загрузки.Для двухфакторной идентификации и аутентификации пользователей поддерживаются персональные электронные идентификаторы eToken, ruToken, JaCarta, eSmart, Avest Token.Соответствие требованиям регуляторовСЗИ от НСД «Блокхост-Сеть 4» имеет сертификат № 4374 ФСТЭК России:5-й класс защищённости для средств вычислительной техники (СВТ) в соответствии с руководящим документом «Средства вычислительной техники. Защита от несанкционированного доступа к информации. Показатели защищённости от несанкционированного доступа к информации» (Гостехкомиссия России, 1992);4-й уровень доверия в соответствии с документом «Требования по безопасности информации, устанавливающие уровни доверия к средствам технической защиты информации и средствам обеспечения безопасности информационных технологий» (утверждён приказом ФСТЭК России от 02 июня 2020 г. № 76);4-й класс защиты в соответствии с методическим документом «Профиль защиты средств контроля подключения съёмных машинных носителей информации четвёртого класса защиты ИТ.СКН.П4.ПЗ» (ФСТЭК России, 2014).Продукт обеспечивает возможность защиты от несанкционированного доступа к информации для автоматизированных систем (АС) класса защищённости до 1Г включительно и позволяет выполнять требования приказов ФСТЭК России:№ 17 по защите государственных информационных систем (ГИС), для объектов до 1-го класса защищённости включительно;№ 21 по защите информационных систем персональных данных (ИСПДн), для объектов до 1-го уровня защищённости включительно;№ 31 по защите автоматизированных систем управления технологическим процессом (АСУ ТП), для объектов до 1-го класса защищённости включительно;№ 239 по защите значимых объектов критической информационной инфраструктуры (КИИ), для объектов до 1-й категории включительно.Функциональные возможности «Блокхост-Сеть 4»Ключевыми возможностями «Блокхост-Сеть 4» являются:Идентификация и аутентификация пользователей информационной системы при попытках входа на защищаемые станции под управлением служб каталогов Microsoft Active Directory, FreeIPA, Samba, ALD Pro.Контроль прав доступа пользователей к защищаемой информации на компьютерах.Контроль подключения и использования съёмных носителей на защищаемых компьютерах.Двухфакторная аутентификация пользователей информационной системы при входе на защищаемые станции с помощью USB-токенов и смарт-карт.Управление жизненным циклом двухфакторной аутентификации для поддерживаемых Windows- и Linux-систем, в том числе с использованием цифровых сертификатов.Централизованный выпуск цифровых сертификатов удостоверяющих центров Microsoft CA и Dogtag для двухфакторной аутентификации.Централизованное управление средством доверенной загрузки SafeNode System Loader.Централизованное развёртывание клиентов и внешних пакетовВ «Блокхост-Сеть 4» предусмотрена возможность централизованного развёртывания клиентов с сервера безопасности, для чего необходимо выполнить задачу на установку агентов развёртывания на защищаемые рабочие станции, а затем — на установку клиентов средства защиты. Рисунок 1. Создание задачи на изменение программы в «Блокхост-Сеть 4» Список рабочих станций для установки агентов развёртывания может быть сформирован поиском по IP-адресам, запросом из службы каталогов или по списку клиентов «Блокхост-Сеть», зарегистрированных на сервере СЗИ. Рисунок 2. Редактирование задач в «Блокхост-Сеть 4» Для установки агентов развёртывания требуется указать учётные записи пользователей с административными правами, от имени которых будет производиться установка.Для выбора удобного времени установки предусмотрена возможность задать параметры запуска с помощью планировщика. Рисунок 3. Выполнение задач в «Блокхост-Сеть 4» Задачи установки пакетов могут быть связаны и запускаться последовательно. Рисунок 4. Редактирование задач в «Блокхост-Сеть 4» Установка клиента «Блокхост-Сеть»Для инсталляции клиента «Блокхост-Сеть» уже создана одноимённая предустановленная задача. Рисунок 5. Установка клиента в «Блокхост-Сеть 4» Модули безопасности «Блокхост-Сеть 4» могут устанавливаться по отдельности, так что в задаче установки доступен выбор тех из них, которые нужны для защиты рабочих станций. Рисунок 6. Выбор модулей для установки на рабочие станции в «Блокхост-Сеть 4» Инсталляция клиента «Блокхост-Сеть» происходит на станции с установленным агентом. Рисунок 7. Добавление рабочих станций в список установки клиента в «Блокхост-Сеть 4» При формировании списка рабочих станций доступен экспорт / импорт, в т. ч. их перечня из другой задачи.В планировщике предусмотрена возможность управлять временем перезагрузки операционной системы после установки клиента. Рисунок 8. Вкладка «Перезагрузка системы» окна редактирования параметров задачи в «Блокхост-Сеть 4» Результаты выполнения задач установки отображаются на круговой диаграмме. Рисунок 9. Результат выполнения задачи в «Блокхост-Сеть 4» На случай неуспешной установки предусмотрена возможность просмотреть историю операций и автоматически получить системные журналы аудита с рабочих станций. Рисунок 10. Просмотр результатов выполнения задачи в «Блокхост-Сеть 4» Установка сторонних программПомимо инсталляции клиентов СЗИ доступна возможность создания задач по установке стороннего программного обеспечения на клиентские рабочие станции. Это могут быть, например, обновления и драйверы устройств. Также можно централизованно устанавливать средство доверенной загрузки SafeNode System Loader и выполнять скрипты на подконтрольных станциях.Построение иерархии серверов управленияОбщий принцип построения иерархии, содержащей головной и подчинённые серверы, а также клиентские рабочие станции, изображён на рисунке. Рисунок 11. Иерархия серверов в «Блокхост-Сеть 4» Вся иерархия серверов управления отображается в левой части «Менеджера иерархий». Доступны операции по созданию групп в иерархии, поиску клиентских рабочих станций. Рисунок 12. Отображение иерархии в «Блокхост-Сеть 4» Серверы «Блокхост-Сеть 4» могут быть включены в иерархию в качестве головного или родительского сервера. Рисунок 13. Построение иерархии серверов в «Блокхост-Сеть 4» Подключение подчинённого сервера позволяет применить политики как к его рабочим станциям, так и к серверу в целом.Подчинённые серверы в общем дереве менеджера иерархий отображаются наравне с рабочими станциями. Рисунок 14. Подчинённые серверы в «Блокхост-Сеть 4» Общее описание политикЦентрализованное управление осуществляется посредством политик.В СЗИ существует три типа политик: серверная (определяет параметры работы серверов), клиентская (определяет параметры работы клиентских машин) и политика SafeNode System Loader (позволяет централизованно управлять средством доверенной загрузки ОС, где установлен клиент «Блокхост-Сеть 4»). Рисунок 15. Отображение политик в интерфейсе «Блокхост-Сеть 4» Настройки и параметры политик корневой группы «Все компьютеры» оказывают влияние на все группы в иерархии, если установлено принудительное наследование или если в этих группах нет собственных политик.Любая политика, кроме корневой группы «Все компьютеры», может быть неактивной и не влиять на работу серверов или клиентских рабочих станций.Наследование политик в иерархии групп и серверовНа сервере управления реализована возможность принудительного наследования отдельных параметров или разделов политик родительских групп политиками нижестоящих групп.  Рисунок 16. Принудительное наследование параметров типа «флаг» в «Блокхост-Сеть 4» На иллюстрации выше символ открытого замка означает, что администраторам нижестоящих уровней иерархии можно изменять параметры или разделы. Закрытый замок на каком-либо параметре или разделе политики обозначает невозможность перезаписи параметра или раздела на всех нижестоящих уровнях иерархии.В случае принудительного наследования параметров политик типа «флаг» значение параметра политики станет идентичным тому значению, которое задано в политике верхнего уровня. Рисунок 17. Пример иерархии в «Блокхост-Сеть 4» Как видно, в «Клиентской политике 1» включён контроль установки или удаления программ, полученный из политики верхнего уровня.При наследовании списков «замок» может быть установлен как на весь список, так и на отдельные его элементы. Рисунок 18. Принудительное наследование после удаления элемента списка для текущей политики в «Блокхост-Сеть 4» Управление политиками механизмов безопасности на примере контроля USBВ «Блокхост-Сеть 4», как и во многих средствах защиты подобного класса, реализован механизм контроля устройств, предназначенный для разграничения доступа пользователей к отчуждаемым носителям информации, формирования списков разрешённых устройств на чтение / запись для пользователей или их групп, наследование списков которых также доступно в иерархии управления.Разграничение доступа к USB-устройствамВ политике контроля доступны для управления различные классы USB-устройств: съёмные USB-носители, WPD-устройства (телефоны, фотокамеры, музыкальные проигрыватели), адаптеры Wi-Fi и Bluetooth, смарт-карты и считыватели, клавиатуры, мыши и планшеты, а также прочие (не входящие ни в один из перечисленных классов). Рисунок 19. Разграничение доступа выбранного пользователя в «Блокхост-Сеть 4» Для накопителей и переносных устройств доступно разграничение по чтению и записи на уровне пользователей и их групп.Также возможно установить общий запрет или разрешение на доступ к выбранному классу устройств для всего сформированного списка пользователей (флаг «Доступ разрешён»).Для аудита предусмотрена возможность задать перечень фиксируемых событий. Рисунок 20. Настройка разграничения доступа к USB-устройствам в «Блокхост-Сеть 4» Можно организовать принудительное наследование параметров (установка «замка») всеми политиками, являющимися дочерними по отношению к текущей: для всего раздела USB-устройств, для общего запрета / разрешения на доступ к выбранному классу устройств, для пользователя в сформированном списке, а также для регистрируемых событий аудита.Формирование доверенного списка устройствНакопители и переносные устройства могут настраиваться индивидуально, путём формирования доверенного списка для выбранного пользователя или группы. Доступ к устройству из этого списка не зависит от ограничений, которые заданы для классов USB-устройств. Рисунок 21. Контроль устройств в «Блокхост-Сеть 4» Добавление в список разрешённых доступно для тех устройств, которые подключены к рабочей станции в настоящий момент (индикация зелёным цветом) или подключались к ней ранее. Рисунок 22. Добавление в список разрешённых устройств в «Блокхост-Сеть 4» Для разрешённых устройств доступно разграничение по типам доступа: чтение и запись. Рисунок 23. Разграничение доступа пользователей к выбранному устройству в «Блокхост-Сеть 4» Принудительное наследование параметров (установка «замка») всеми политиками, являющимися дочерними по отношению к текущей, также доступно для всего списка доверенных устройств или для каждого отдельно.Для простого формирования доверенного списка устройств предусмотрена возможность импорта из файла и экспорта в файл.Управление жизненным циклом токенов (смарт-карт) и сертификатовИспользование двухфакторной аутентификации позволяет существенно усилить защищённость информационной системы, но при большом количестве идентификационных устройств управление этой информационной системой начинает требовать всё больше ресурсов для их учёта и сопровождения.В «Блокхост-Сеть 4» есть опция управления жизненным циклом смарт-карт, USB-токенов и цифровых сертификатов инфраструктуры открытых ключей.Доступны следующие операции:Добавление токена (с возможностью инициализации).Назначение токена пользователю для учёта, а также для входа по паролю, сохранённому на токене, по управляемому сертификату, выпущенному на сервере СЗИ, или по стороннему сертификату.Приостановка / возобновление использования токена.Выведение токена из использования с отзывом записанных сертификатов.Изъятие токена и удаление связи с пользователем.Жизненный цикл управления токенами и сертификатамиПри подключении сервера управления к службе каталогов с развёрнутым центром сертификации (Microsoft AD и CA либо FreeIPA и Dogtag) можно централизованно выпускать управляемые сертификаты на USB-токены и смарт-карты пользователей.Токен с управляемым сертификатом может быть в следующих состояниях: «не зарегистрирован», «зарегистрирован», «используется», «выключен», «отозван». Перечень возможных действий с токеном определяется его состоянием. Рисунок 24. Жизненный цикл токена с выпуском управляемого сертификата Приостановка и возобновление использования токенаНазначенный пользователю токен можно временно отключить, например на время отпуска. Рисунок 25. Выключение токена в «Блокхост-Сеть 4» Приостановка и возобновление использования токена не требует его подключения к компьютеру.Вывод токена из использованияНазначенный пользователю токен выводится из использования в случае утери или неисправности. При этом все сертификаты, записанные на него, отзываются без возможности восстановления.Изъятие токенаПри изъятии токена его привязка к пользователю удаляется и он становится доступен для назначения другому сотруднику. Рисунок 26. Поиск устройств в «Блокхост-Сеть 4» Предусмотрена возможность аварийного изъятия токена, если по какой-либо причине не удаётся установить соединение с центром сертификации. При этом токен изымается без выполнения операции отзыва / временного отзыва сертификата для входа.Выпуск носителя для аутентификации по сертификатуНазначение токена пользователю для аутентификации на рабочих станциях заключается в привязке устройства к конкретному сотруднику, например, из окна токенов. Рисунок 27. Выпуск токена в «Блокхост-Сеть 4» Пользователю может принадлежать несколько токенов, но токен не может принадлежать нескольким пользователям. Рисунок 28. Шаги выпуска токена в «Блокхост-Сеть 4» Удалённое управление токеном пользователяДля USB-токенов и смарт-карт, которые подключены к рабочим местам пользователей, реализована возможность удалённого управления. Операция доступна при выборе рабочей станции через «Менеджер иерархий». Рисунок 29. Менеджер иерархий в «Блокхост-Сеть 4» Рисунок 30. Управление токенами в «Блокхост-Сеть 4» При удалённом управлении токенами администратору доступны следующие операции: назначение пользователю, приостановка и возобновление использования, вывод из использования, изъятие.При удалённом управлении токеном от пользователя потребуется ввести ПИН-код на своей рабочей станции. Рисунок 31. Запрос ПИН-кода пользователя администратором Операция будет завершена только после корректного ввода ПИН-кода токена.Двухфакторная аутентификация с сохранённым паролемПомимо аутентификации пользователя по смарт-карте и USB-токену с цифровым сертификатом в развёрнутой инфраструктуре открытых ключей «Блокхост-Сеть 4» позволяет обеспечить двухфакторную аутентификацию пользователей даже в том случае, если инфраструктура открытых ключей в локальной сети не развёрнута. Это делается за счёт использования сложного сгенерированного пароля, хранимого на токене.При первом входе с использованием токена с сохранённым паролем пользователю необходимо ввести ПИН-код к ключевому носителю и пароль. Последний будет заменён на сгенерированный средством защиты информации и сохранён на токен. Тогда вход пользователя в ОС будет доступен на клиентской рабочей станции только с предъявлением назначенного сотруднику токена и со вводом ПИН-кода. При этом доменные политики по смене пароля будут отрабатываться клиентом «Блокхост-Сеть 4» без участия пользователя. Рисунок 32. Назначение токена для безопасного входа по паролю в «Блокхост-Сеть 4» После успешного назначения токена для безопасного входа по паролю в карточке пользователя отобразится назначенное устройство. Рисунок 33. Отображение токена для учёта в карточке пользователя в «Блокхост-Сеть 4» Формирование актов выдачи / изъятия токенов Для документального сопровождения процессов передачи и изъятия USB-токенов в системе предусмотрена возможность автоматически формировать акты приёма-передачи токена, синхронизации, изъятия и удаления из системы, возврата, записи сертификата, удаления сертификата, уничтожения токена. Рисунок 34. Настройка шаблонов печати в «Блокхост-Сеть 4» Предусмотрен широкий перечень переменных для автоматизированного заполнения актов. При необходимости администратор может отредактировать предустановленные шаблоны актов, добавить или удалить автоматически заполняемые переменные. Рисунок 35. Отображение переменных-закладок в актах Отображение информации о сертификатахПосмотреть информацию о выданных токенах и сертификатах на них можно в карточке пользователя. Доступны управляемые сертификаты, выданные на сервере «Блокхост-Сеть 4» и используемые для входа пользователя в систему, а также наблюдаемые сертификаты, выданные сторонними средствами и применяемые для проставления электронной подписи в юридически значимом документообороте или для аутентификации при входе пользователя. Рисунок 36. Отображение сертификатов на токене в «Блокхост-Сеть 4» Предусмотрена индикация, указывающая администратору на появление нового сертификата на выбранном токене или удаление уже зарегистрированного в системе сертификата с токена. Рисунок 37. Информация о сертификатах на токене в «Блокхост-Сеть 4» По каждому сертификату можно получить информацию о назначении, владельце, удостоверяющем центре, выдавшем сертификат, состоянии, сроке действия.Оповещение по почтеДля контроля истекающих сертификатов пользователей предусмотрено оповещение администраторов и владельцев сертификатов о приближении срока окончания их действия. Рисунок 38. Настройки оповещений в «Блокхост-Сеть 4» Инициализация токеновПри добавлении токена можно выполнить инициализацию подключённого устройства, при которой все данные на нём удаляются. Это делается с использованием созданного заранее профиля инициализации или без него.При инициализации токена без использования профиля необходимо указать политики, которые будут действовать на устройстве. Рисунок 39. Инициализация токена в «Блокхост-Сеть 4» В случае использования готового профиля инициализации политики будут загружены из него. Рисунок 40. Добавление токена в «Блокхост-Сеть 4» Профили дают возможность настроить параметры инициализации для каждого типа устройств, поддерживаемого подсистемой жизненного цикла токенов. Рисунок 41. Профиль инициализации в «Блокхост-Сеть 4» Параметры профиля позволяют задать типовые ПИН-коды, параметры их ввода и политику их смены. Рисунок 42. Создание профиля в «Блокхост-Сеть 4» Рисунок 43. Политика ПИН-кода в «Блокхост-Сеть 4» Сбор аудита по иерархии управленияПолитика аудита позволяет сформировать список событий, которые нужно собирать по всей иерархии подчинённых серверов, и расписание их сбора.В подсистеме сбора событий администратору доступны:формирование сводного отчёта с информацией о состоянии клиентов, подключённых к серверам иерархии;сбор событий аудита с клиентов на сервер СЗИ;просмотр и фильтрация событий аудита, собранных с клиентских компьютеров на сервер;просмотр и фильтрация событий аудита напрямую из журнала клиентского компьютера;передача событий аудита вверх по иерархии серверов вплоть до головного сервера с последующей отправкой в SIEM-систему.В серверной политике администратор может выбрать события, которые будут собираться с подчинённых серверов или клиентских рабочих станций под управлением ОС Windows / Linux, включая произошедшие до запуска операционной системы на станциях с установленным средством доверенной загрузки, а также определить расписание сбора событий с клиентов и подчинённых серверов. Рисунок 44. Сбор событий в «Блокхост-Сеть 4» Архивирование событий аудитаДля долгосрочного хранения событий предусмотрена автоархивация. Система позволяет настроить время первого её запуска и интервал в днях, а также выбрать события для помещения в архив и действия над ними. Рисунок 45. Менеджер иерархий в «Блокхост-Сеть 4» Сбор событий в SIEM головного сервера«Блокхост-Сеть 4» позволяет передавать события аудита вверх по всей иерархии серверов управления и экспортировать их в SIEM-систему по протоколу CEF. Рисунок 46. Передача событий в «Блокхост-Сеть 4» Предусмотрена возможность выбора событий аудита для передачи в SIEM. Рисунок 47. Выбор типов событий для передачи в SIEM в «Блокхост-Сеть 4» Новое в «Блокхост-Сеть 4»Централизованная установка клиентов управления в Linux-системахЦентрализованная установка агента развёртывания и клиента «Блокхост-Сеть» с помощью подсистемы развёртывания СЗИ от НСД «Блокхост-Сеть 4» теперь доступна для ОС Astra Linux SE и «Альт 8 СП».Установка агента развёртывания на станции под управлением ОС Linux требует учётной записи и включённого SSH. Рисунок 48. Установка агентов развёртывания в «Блокхост-Сеть 4» В результате выполнения задачи на всех указанных в списке рабочих станциях под управлением ОС Linux будет установлен агент развёртывания. После этого на них уже можно будет установить клиенты «Блокхост-Сеть», для чего формируются пакет установки клиента и задача на установку программы. Рисунок 49. Установка программы в «Блокхост-Сеть 4» Клиент «Блокхост-Сеть» тоже будет установлен на всех указанных в списке рабочих станциях под управлением ОС Linux в результате выполнения соответствующей задачи.Аутентификация по паролю на токене (смарт-карте) в Linux-системахВ «Блокхост-Сеть 4» реализована возможность использования двухфакторной аутентификации с сохранением пароля пользователя на токене, доступная в доменах Microsoft AD, FreeIPA, ALD Pro и Samba DC AD, для Linux-систем по аналогии с Windows-клиентами. При первом входе пользователя с использованием аутентификации по паролю на токене «Блокхост-Сеть 4» потребует ввода пароля учётной записи и ПИН-кода к токену, в результате чего будет сгенерирован и записан на токен новый пароль. При последующих входах сотрудник предъявляет токен и вводит PIN-код, а пароль пользователя в операционной системе автоматически загружается с токена.Аутентификация по сертификату на смарт-карте в Linux-системахLinux-клиенты «Блокхост-Сеть 4» теперь могут проводить двухфакторную аутентификацию пользователей с использованием цифровых сертификатов.На сервере безопасности можно настроить централизованный выпуск сертификатов удостоверяющего центра Microsoft Certificate Authority для пользователей Microsoft Active Directory и сертификатов удостоверяющего центра Dogtag для пользователей FreeIPA. В обоих случаях потребуется служебная учётная запись, обладающая правами на выпуск сертификатов пользователей. Рисунок 50. Настройка центрального выпуска сертификатов в «Блокхост-Сеть 4» После подключения удостоверяющего центра появится возможность выпускать токен для входа по управляемому сертификату с помощью консоли управления.При аутентификации по сертификату на Linux-станциях пользователь подключает токен, содержащий выпущенный сертификат, и вводит ПИН-код токена. Остальные данные будут автоматически считаны с токена.Как и для Windows-станций, для Linux-клиентов доступен удалённый выпуск сертификатов на подключённые к рабочим станциям пользователей токены.Централизованное управление доверенной загрузкойС помощью подсистемы развёртывания СЗИ от НСД «Блокхост-Сеть 4» на клиентские рабочие станции можно централизованно установить средства доверенной загрузки SafeNode System Loader.Для установки SafeNode System Loader мастером создания пакетов формируются инсталляционные пакеты для ОС Windows (*.msi), Astra Linux SE (*.deb) и «Альт 8 СП» (*.rpm).Для подключения централизованного администрирования уже установленных экземпляров SafeNode System Loader предусмотрена задача взятия выбранных рабочих станций под управление.Управление политиками механизмов безопасностиПолитики SafeNode System Loader позволяют управлять параметрами механизмов безопасности средства доверенной загрузки, выполняемыми до запуска операционной системы. Можно устанавливать дополнительный этап аутентификации пользователей, управлять политиками пароля пользователя и администратора при прохождении аутентификации в SafeNode System Loader, а также параметрами контроля целостности аппаратной и программной конфигурации рабочей станции: объектов файловой системы, реестра ОС, аппаратных устройств ЭВМ, загрузочных секторов устройств хранения данных, переменных и драйверов UEFI. Рисунок 51. Изменение политик модуля SafeNodeSL в «Блокхост-Сеть 4» Рисунок 52. Контроль целостности в «Блокхост-Сеть 4» Рисунок 53. Изменение аппаратной среды в «Блокхост-Сеть 4» Прямое управление до загрузки ОСЕсть возможность удалённого управления разблокировкой пользователей на клиентских рабочих станциях.После удалённой разблокировки администратором пользователю будет доступен ввод данных в соответствии с назначенной политикой аутентификации.Централизованный сбор аудитаВ серверной политике предусмотрен раздел с параметрами сбора событий аудита, произошедших до загрузки операционной системы, со станций, которые защищены средством доверенной загрузки SafeNode System Loader. Рисунок 54. Сбор событий СДЗ в «Блокхост-Сеть 4» Выводы«Блокхост-Сеть 4» начиная с обновления 4.2 позволяет решать широкий класс задач на разных стадиях функционирования рабочих станций, начиная с централизованного управления доверенной загрузкой и контролем целостности загружаемой программной и аппаратной среды, обеспечения защиты при функционировании операционной системы, заканчивая управлением жизненным циклом двухфакторной аутентификации, в том числе в отсутствие инфраструктуры открытых ключей, как на платформе Windows, так и на сертифицированных отечественных операционных системах с ядром Linux, функционирующих в доменных структурах на основе Microsoft Active Directory, FreeIPA, ALD Pro, Samba AD DC.Достоинства:Сертифицировано ФСТЭК России, что позволяет использовать его для выполнения требований приказов ФСТЭК России № 17, № 21, № 31, № 239.Благодаря встроенной подсистеме развёртывания позволяет быстро внедрить как само СЗИ на ландшафте любой сложности с неограниченным числом серверов и рабочих станций, так и дополнительные программные компоненты сторонних разработчиков на рабочие станции.Обеспечивает для Linux- и Windows-клиентов единообразное управление двухфакторной аутентификацией и доверенной загрузкой.Осуществляет сбор событий аудита в крупных распределённых сетях по всей иерархии серверов безопасности и подчинённых рабочих станций, передаёт события аудита в системы корреляции для выявления инцидентов в безопасности.Позволяет управлять всей иерархией серверов безопасности подчинённых станций из единой консоли администрирования головного сервера.Недостатки:Нет возможности централизованно выпускать средства осуществления двухфакторной аутентификации с использованием криптоалгоритмов ГОСТ.Читать далее
×