Перейти к содержанию
OlegAndr

Что такое хороший тест антивируса?

Recommended Posts

OlegAndr

Ну давайте попробуем, коллеги подмогнут, я уверен.

Итак что такое хороший тест антивируса???

1. Он должен быть репрезентативным.

2. Он должен быть правильно проведен

3. Он должен быть проверяемым.

Что значит репрезентативным?

Вот например Лаборатория Касперского получает 125 000 уникальных семплов малвары в день. Что на этом фоне тест на основе 300 вирусов, на основе 1000 вирусов? Их можно все пропустить и все равно это будет укладываться в погрешность.

Я правда мат. статистику никогда не любил, но очевидно всякому что проверять надо на ГОРАЗДО большем числе файлов, чтобы иметь возможность делать выводы на основе этого.

Тесты коллекций которые проводятся лидерами сравнительного тестирования в мире - Av-Test.org, Av-Comparatives.org, VirusBuletein занимают ДНИ и количество семплов измеряется миллионами.

Небольшое количество семплов может быть оправдано только в случае если:

1. Измеряется способность ловить самый свежак - то есть семплы проверяются сразу при появлении их во каналах распространения - спам финишг рассылка и прочее. Тогда количество семплов будет измеряться десятками за день теста. Но это уже ограничение физическое - тестер не сможет обрабатывать больше без потери качества исследования. Также такие результаты всегда надо смотреть на более большом отрезке -месяц и больше.

2. Измеряется способность лечить сложные угрозы. - так как реально сложных угроз мало, то и количество исследуемых файлов может быть невелико, но тут уже результаты могут быть поставлены под сомнение.

Некоторые начинают учитывать распространенность семпла при подсчете результата. Например есть семплы которые стыдно не ловить - они например пол интернета заразили, а есть какое-то поделие васи которое он принес в школу и заразил петю, обидно конечно но не так опасно. Тут начинается целая история как эти данные собирать и учитывать.

Что значит правильно проведен?

Это значит что методология (страшное слово) должна не вызывать вопросов.

Например все файлы по которым проводится проверка должны быть действительно вредоносными.

Тест должен проводиться в условиях приближенных к реальным - на реальном железе (это важно для корректной работы всех систем антивиурса), с реальным доступом в интернет (это важно для работы облачных технологий), на реальных системах, актуальными версиями АВ-продуктов.

Файлы не только проверять на обнаружение но еще и запускать - т.к. многие технологии позволяют отследить вредоносную активность при запуске но не ругаться на файл пока он лежит на винте просто так.

Что значит должен быть проверяемым?

Это значит что коллекция по которой проводился тест, или, как минимум пропуски, должны быть доступны антивирусным лабораториям для проверки. Тут нет никаких предубеждений - все абсолютно тестовые лаборатории случается записывают в пропуски неработоспособные вирусы, либо не вредоносные файлы.

Например считать вредной чистую утилиту, которая кем-то где-то была интегрирована с вирусом, и с тех пор обнаруживается некоторыми несознательными АВ-лабораториями. Это случается постоянно, поэтому ВСЕ нормальные лаборатории прежде чем публиковать результаты предоставляют промахи для того чтобы АВ-вендоры могли подтвердить или опровергнуть вредоносность.

Самопальные Тестеры-энтузиасты которые говорят "я тут нашел свежей малвары и никто ее не ловит" сразу получают вопросы типа

1. Действительно ли это малвара и насколько она репрезентативна.

2. насколько она свежая (в принципе это неважно, чем старее тем больше шансов что она в базах, но были случаи когда проверялась дос-малвара, которая вообще не запускается на тех системах для которых предназначены современные антивирусы)

3. какой продукт ты тестировал

4. как ты тестировал

5. покажи, что именно не ловится и см пункт 1.

  • Upvote 11

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин
Тесты коллекций которые проводятся лидерами сравнительного тестирования в мире - Av-Test.org, Av-Comparatives.org, VirusBuletein занимают ДНИ и количество семплов измеряется миллионами.

Небольшое количество семплов может быть оправдано только в случае если:

Я бы заметил, что тесты на детект мертвых тушек файловыми сканерами себя принципиально исчерпали. При этой уже не имеет никакой роли сколько там самплов. Все равно мы имеем:

1. Братскую могилу тушек, которых уже нет в дикой природе здесь и сейчас. Они были когда-то там и их детект сейчас не говорит о качестве защиты.

2. Не учитывается работа множества технологий защиты, отличных от файлового сканирования. Тут и веб-фильтрация, и блокирование эксплойтов, HIPS и т.д.

3. Кто верифицирует самплы в коллекциях? Что это реально вредоносы. Эта проблема была актуальна даже 7-8 лет назад, когда цифры были совсем другие. Слышал много баек на тему мусора в коллкциях Av-Test.org, Av-Comparatives.org.

4. Происхождение больших коллекций. Не надо питать иллюзий, что кто-то из независимых тест-лабов способен собрать соизмеримое с вендорами кол-во самплов. Происхождение коллекций у проводящих такие тесты лабораторий - тайна за семью печатями. ;)

Поэтому принципиально считаю тесты на коллециях из N каких-то там файлов полным ацтоем незаслуживающим никакого внимания.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
military

OlegAndr,спасибо за интересную тему.

3. Кто верифицирует самплы в коллекциях? Что это реально вредоносы. Эта проблема была актуальна даже 7-8 лет назад, когда цифры были совсем другие.

Ежедневные коллекции с известных сайтов (virussign, malwares.safegroup ) частично решают эту проблему, например тем, что там отсутствуют дос вирусы?

Допустим мне интересно узнать детект файлового монитора у ряда АВ, то для отбора вирусов из коллекций сайтов приведенных выше, подойдет первоначальное сканирование определенным АВ, где файлы признанные 100% вредоносными, я отберу для дальнейшего сравнительного теста?

В итоге тест будет проведен на определенном кол-ве 100% вредоносных файлах, так будет правильнее?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Dmitriy K
Ежедневные коллекции с известных сайтов

Большое количество трэша/чистых файлов/кейгенов/адвар и прочего grayware

отсутствуют дос вирусы

Я бы так не говорил :D

Угрозы с префиксами win9x и макросы в этих помойках я так понимаю очень актуальны :)

где файлы признанные 100% вредоносными

Plz, дай гарантию, что это:

1) не фолс антивируса

2) файл не битый

3) актуальный вредонос

Поэтому все эти сканирования 10/100/1000/2000 неизвестных ошметков будут

полным ацтоем незаслуживающим никакого внимания

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
OlegAndr

Вообще тесты on-demand тушкопомоек себя действительно исчерпали.

В настоящее время самый правильный тест - это самая свежая малвара, а лучше даже живая вредоносная ссылка, которая, внимание military, проверяется на вредоносность на тестовой машине, а потом по этой ссылке ходят с машины защищенной антивирусом и смотрят результат.

То что называется RealWorld / Dynamic

Но тут опять же важна репрезентативность, а она будет страдать по причине малого числа семплов, как я говорил, смотреть только в перспективе когда наберется порядочно данных и то результаты будут плавать.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
military
Plz, дай гарантию

Dmitriy K, понимаю, гарантии быть не может. Если подобрать для этого дела антивирус с минимальными ложными срабатываниями? тот же MSE.

OlegAndr, согласен, что любой тест на сигнатурное обнаружение, будет однобоким, но стоит задача его провести. Где найти этой самой малвары по свежее или как ее "вытащить" из мегапаков?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
OlegAndr
Dmitriy K, понимаю, гарантии быть не может. Если подобрать для этого дела антивирус с минимальными ложными срабатываниями? тот же MSE.

OlegAndr, согласен, что любой тест на сигнатурное обнаружение, будет однобоким, но стоит задача его провести. Где найти этой самой малвары по свежее или как ее "вытащить" из мегапаков?

Ты не можешь ориентироваться на чужие вердикты, все равно есть риск ошибки. Правильнее руками проверить действия вредоноса на реальной (!) машине.

Ищут кто как, и это уже некоторое ноу-хау.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Dmitriy K
Dmitriy K, понимаю, гарантии быть не может. Если подобрать для этого дела антивирус с минимальными ложными срабатываниями? тот же MSE.

...

Где найти этой самой малвары по свежее или как ее "вытащить" из мегапаков?

Практической пользы нет, выборка - мизерная, какой смысл этим заниматься?

В этих и прочих "мегапаках" половина или больше - допотопный треш.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин
Plz, дай гарантию, что это:

1) не фолс антивируса

2) файл не битый

3) актуальный вредонос

Вот и по то же. Помойка непонятно кем и из чего составленная.

В настоящее время самый правильный тест - это самая свежая малвара, а лучше даже живая вредоносная ссылка, которая, внимание military, проверяется на вредоносность на тестовой машине, а потом по этой ссылке ходят с машины защищенной антивирусом и смотрят результат.

То что называется RealWorld / Dynamic

Но тут опять же важна репрезентативность, а она будет страдать по причине малого числа семплов, как я говорил, смотреть только в перспективе когда наберется порядочно данных и то результаты будут плавать.

Согласен. Для динамики надо брать многочисленную выборку, а это значит тестлаб попадает на кучу денег на построение фреймворка (железо, софт, своя разработка).

Но даже здесь еще никто не решил вопрос геотаргетинга вредоносных партнерок на базе TDS. Результаты одного и того же теста могут быть разными в разных странах. Ссылки разные, вредоносы разные.

согласен, что любой тест на сигнатурное обнаружение, будет однобоким, но стоит задача его провести. Где найти этой самой малвары по свежее или как ее "вытащить" из мегапаков?

Какой смысл в этом? Кем ставится такая задача?

Собирайте, анализируйте руками сами. Все прогоны сканерами - это полный бред.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
military
Помойка непонятно кем и из чего составленная.

Но ведь условия для всех одинаковые. 1000 файлов из которых пусть 100 или даже 200 файлов окажутся "чистыми " , и тогда их оставят все , а разницу покажет детект на оставшейся 100% малвари.

Какой смысл в этом? Кем ставится такая задача?

Мною :rolleyes:

Проактивные технологии, хипсы-шмипсы, это очень интересно, но не во всех АВ они работают как хотелось бы. Например dr.web , один из мощных АВ, один из лидеров на российском рынке, но если вредоносного файла нет в базе сигнатур, то на запуск реакции антивируса не будет. Поэтому считаю, что первым (где-то и последним )) эшелоном защиты антивируса (рассматриваю только антивирус, а не весь комплекс защиты) является сигнатурный детект.

Прошу прощения за нубские вопросы, но мне действительно хочется возможностями простого юзверя проводить приемлемые тесты, в данном случае на сигнатурный детект.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин
Но ведь условия для всех одинаковые. 1000 файлов из которых пусть 100 или даже 200 файлов окажутся "чистыми " , и тогда их оставят все , а разницу покажет детект на оставшейся 100% малвари.

Вы не понимаете главного, что в погоне за дешевыми регалиями в подобных тестах антивирусные вендоры детектят кучу всякого мусора, битых или вовсе чистых файлов. Стоит одному-двум задетектить чистый файл, как большинство также передерают детект. Поищите, на нашем форму полно таких тем было.

В итоге что вам покажет результат 98 из 100? Что антивирус хорошо детектит? А может то, что у него куча фалсов и бесполезных детектов "чтобы было"?

Совсем не случайно, что в таких тестах на файловых помойках чаще рулят вендоры второго и третьего эшелона, у которых несколько движков (перемножаются фалсы и ошибки) и нет даже своего вирлаба толком никакого.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Aleksandra
3. Он должен быть проверяемым.

Он должен быть прозрачным, тогда и будет проверяемым.

Что значит должен быть проверяемым?

Это значит что коллекция по которой проводился тест, или, как минимум пропуски, должны быть доступны антивирусным лабораториям для проверки.

Сумма хешей малвари которая использовалась при тестировании должна быть в паблике.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
military
А может то, что у него куча фалсов и бесполезных детектов "чтобы было"?

Вполне возможно. значит файлы должны быть заведомо только малварью.

Не совсем понятна Ваша цитата:

вендоры второго и третьего эшелона, у которых несколько движков (перемножаются фалсы и ошибки) и нет даже своего вирлаба толком никакого

Технически наверное их можно назвать вторым эшелоном, из-за отсутствия вирлаба. Все таки хочется быть уверенным, что с новым обновлением не наступят проблемы, как это было недавно с Эмсисофтом (Икарусом), хоть и очень быстро исправили.

Оценка данная Вами как "второй эшелон" основана на каких критериях? наверное не только отсутствием вирлаба?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин
Сумма хешей малвари которая использовалась при тестировании должна быть в паблике.

А что это даст? Вендоры и так могут получить хеши и даже самплы по запросу.

Технически наверное их можно назвать вторым эшелоном, из-за отсутствия вирлаба. Все таки хочется быть уверенным, что с новым обновлением не наступят проблемы, как это было недавно с Эмсисофтом (Икарусом), хоть и очень быстро исправили.

Оценка данная Вами как "второй эшелон" основана на каких критериях? наверное не только отсутствием вирлаба?

Под вторым эшелоном я имею в виду небольших вендоров, которые имеют скромные доли рынка в мировом масштабе, скромное кол-во инсталляций + скромные технологические возможности, включая свой вирлаб.

На рынке полно антивирусов, которые по сути представляют собой красочную упаковку с множеством этикеток чужих технологий. Например, тех же мультидвижковых продуктов полно сейчас. Велью от них в современных условиях - о-малое. Классические сигнатурные методы защиты быстро отмирают, можно хоть 10 движков поставить в ряд - только увеличится кол-во фалсов, а реальной защиты от новых угроз не добавится.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Aleksandra
А что это даст? Вендоры и так могут получить хеши и даже самплы по запросу.

Это даст прозрачность тесту, ну а на счет вендоров и так понятно.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
OlegAndr
Он должен быть прозрачным, тогда и будет проверяемым.

Сумма хешей малвари которая использовалась при тестировании должна быть в паблике.

Вообще-то не всем они нужны, и в публичный отчет их как правило не включают.... Но почему бы нет.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Milord
что в таких тестах на файловых помойках чаще рулят вендоры второго и третьего эшелона, у которых несколько движков (перемножаются фалсы и ошибки)

Ну как бы многодвижковые решения, можно наблюдать в первых рядах и в тестах проф тестовых лабораторий, они тоже пользуются файловыми помойками?) И вы совсем не допускаете возможности, что два антивирусных движка с минимальными фолсами и отличным детектом (а такие есть на западе) не дадут отличный продукт, который сможет конкурировать с решениями "первого эшелона") перегруженных новомодными технологиями, которые порой дают гораздо больше фолсы, чем недоработки вирлабов)

  • Like 1

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин
Ну как бы многодвижковые решения, можно наблюдать в первых рядах и в тестах проф тестовых лабораторий, они тоже пользуются файловыми помойками?) И вы совсем не допускаете возможности, что два антивирусных движка с минимальными фолсами и отличным детектом (а такие есть на западе) не дадут отличный продукт, который сможет конкурировать с решениями "первого эшелона") перегруженных новомодными технологиями, которые порой дают гораздо больше фолсы, чем недоработки вирлабов)

Я уже писал выше, что происхождение коллекций в так называемых вами проф. тестовых лабораториях (типа AV-Test.org или AV-Comparatives.org) никому не известно. Об этом можно только догадываться. Мусора там много, не однократно об этом слышал от вендоров, которые когда-то получали оттуда якобы пропуски. Поймите, когда разница в первой десятке 2-3%, то это как раз соответствует примерному уровню погрешности из-за ошибок в коллекции. Поэтому победа мультидвижкового продукта ровно ни о чем не говорит, ведь складываются еще и фолсы, а не только детект. А фолсы почти никто не проверяет нормально.

Более того, в погоне за детектом на этих вот тестовых коллекциях многие антивирусные компании стали детектить кучу мусора по принципу "лучше задетектить, чем объяснить почему НЕ детектим". Отсюда тупо идет гонка детектов ради самой гонки, к защите это не имеет никакого отношения. Это театр порочного круга: одни собирают непонятные коллекции, другие хотят быть крутыми на этой непонятной коллекции. А в подобной гонке особо рьяно участвуют как раз вендоры третьего эшелона. Им надо любой ценой показать свою всевдокрутизну. Для это начинаются массовые детекты всех помоек, любых упакованных объектов, любых подозрительных объектов. Некоторые даже "вредосноные" куки детектят :) Плюс передирают детекты у лидеров, так как своего вирлаба у них нет.

Про перегруженность новыми технологиями это вы классно сказали. Чего там париться, лучше сигнатур могут быть только сигнатуры. Все остальные технологии - маркетинговое фуфло и их в тестах просто вредно учитывать :) И не беда, что на дворе уже не начало 90-х, а кол-во новых самплов в сутки измеряется десятками тысяч.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
OlegAndr

Кто ворвался в мой тред и сломал его?

Вообще вы смотрите RAP который по замороженным базам, хотя Vb100 давно проводит более актуальные тесты с обновлениями и облаками.

Полез смотреть результаты последнего теста VB:

Response tests Day -7 Day -6 Day -5 Day -4 Day -3 Day -2 Day -1 Average

Kaspersky 87.53% 84.17% 91.67% 84.42% 87.40% 82.66% 89.58% 86.78%

G Data 86.76% 90.54% 92.77% 85.04% 86.18% 86.37% 80.95% 86.94%

TrustPort 74.04% 91.94% 84.04% 88.92% 80.40% 88.02% 87.50% 84.98%

100 раз правы те кто говорят что только сигнатурные тесты уже мало значат, и будут еще меньше значить

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
OlegAndr

Коллеги, by all means, давайте включать в тесты все продукты, которые хотят, правда еще лучше чтобы и те, которые не хотят, а то тут в соседней ветке недоумевают почему Dr Web отстаёт по тестам.

Другое дело, что чтобы протестить весь набор надо много сил и времени.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин

military, если возвращаться к тебе топика, но рассматривать его узко с точки зрения проверки качества защиты (т.е. детекта), то имеет смысл ориентировать только на динамические тесты (whole product tests или их еще называют RealWorld или Dynamic). Там проверяется суммартная эффективность всех технологий антивирусов. Мы делали такой тест довольно давно http://www.anti-malware.ru/antivirus_test_...-day_protection

Можно посмотреть более свежие тесты по такой методике от AV-Test.org или AV-Conparatives.org. Вот пример http://www.anti-malware.ru/forum/index.php?showtopic=20852

Как видите, там в топе совсем другие ребята, а не те, которые юзают пачками чужие движки не первой свежести.

ЗЫ GData поняв, что без своего вирлаба никак -- набрала людей. И это не единственный пример

Кстати ДА! И как говори мне их немцы, накачивают свое облако активно.

Хотя чему я удивляюсь - это ж АНТИМАЛВАР!!!

Признаться, Вас сюда в адвокаты антивирусным поделкам третьего эшелона никто и не звал. Трастпорт в руки и в пешое эротическое путешествие домой, шагом марш! :lol:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
OlegAndr

efim

Влез в тему по критериям тестов с темой о том что многодвижковые АВ лучше, похамил немного, вызвал обратную реакцию и удалился.

Сергей Ильин

Коллеги, а давайте напишем большими буквами на видном месте, при регистрации особенно, что на ресурсе много, РЕАЛЬНО МНОГО людей которые являются признанными экспертами в реальном мире, а не только в уютненьком интернетике, которые занимаются проблематикой МНОГО ЛЕТ, и которые органически не приемлют безаплелляционные наезды, хотя и готовы дискутировать на спорные темы, пусть часто слишком бурно. -)

Этого понимания кстати я так понимаю многим не хватает, как и мне когда я начал сюда ходить....

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин
Коллеги, а давайте напишем большими буквами на видном месте, при регистрации особенно, что на ресурсе много, РЕАЛЬНО МНОГО людей которые являются признанными экспертами в реальном мире, а не только в уютненьком интернетике, которые занимаются проблематикой МНОГО ЛЕТ, и которые органически не приемлют безаплелляционные наезды, хотя и готовы дискутировать на спорные темы, пусть часто слишком бурно. -)

Согласен, хорошее предложение! Можно добавить в правила форума даже.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Umnik

Тема разделена.

Прелести мультидвижковости тут: http://www.anti-malware.ru/forum/index.php?showtopic=23540

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
lolowin32

Добрый день, Сергей Ильин, прочитал Ваш пост, и оказался в непонятном недоумении от Ваших мыслей по поводу теста на основе сигнатурного анализа, Вы считаете что это бесполезно сканировать "Братскую могилу тушек", спешу заметить что при сканировании этой "братской могилы" многие антивирусы находят НЕ ВСЕ вредоносные программы из архива (заведомо знаю что все вредоносы), также понимаю что сканирование только по сигнатурным базам это не панацея, нужно создавать/совершенствовать различные сервисы (облачные технологии, пополнять базу фишинговых ссылок, совершенствовать эвристику), но так как Вы говорите что это бесполезно, в этом я с Вами полностью не согласен, я считаю что сканы основанные на сигнатурах, имеют право жить. Пополняя антивирусную базу мы увеличиваем процент обнаружения вредоносов (), а уж различные модули(firewall, web protection, mail protection) помогают предотвратить проникновение вредоносных программ в систему, ну а если по стечению обстоятельств вредонос попал, то сигнатурный анализ никто пока еще не отменял

Я смотрел много тестов на ютубе про скан основанный на сигнатурах, но еще пока никто не сделал адекватный тест, с показом всех настроек(да мало ли как настроен антивирус,может на пропуск всего, а может на максимум, никто ж этого не видит)

Так что я думаю что тут еще большой плацдарм для обсуждения

Обращаюсь к публике, кто заинтересован в этом вопросе, кидаем ссыли на адекватно построенные тесты, буду рад обсудить, выслушать аргументированные за и против,

Отредактировал lolowin32

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • Ego Dekker
      Домашние антивирусы для macOS были обновлены до версии 7.4.1200. В числе прочего добавлена поддержка macOS Sonoma (версия 14).
    • Ego Dekker
      Домашние антивирусы для Windows были обновлены до версии 16.2.15.
    • PR55.RP55
      Желательно чтобы uVS проверял записи защитника и помечал все файлы в исключениях как подозрительные. Если есть информация почему она не используется? https://forum.kasperskyclub.ru/uploads/monthly_2020_12/1607963082071-1990362701.thumb.jpg.fce65d13df469559a736960ab2de447a.jpg    
    • AM_Bot
      В обновлённом релизе корпоративного менеджера паролей «Пассворк 6.0» представлен ряд улучшений для более гибкой и комфортной совместной работы с паролями, оптимизированы пользовательский интерфейс и раздел настроек, усилена безопасность.      ВведениеКогда будет полезен менеджер паролей «Пассворк»Функциональные возможности «Пассворк»3.1. Сейфы и папки3.2. Работа с паролями3.3. Управление пользователями и безопасность3.4. Прочие возможности и особенностиНовые возможности «Пассворк 6.0»4.1. Ярлыки4.2. Безопасная отправка паролей4.3. Оптимизация работы с LDAP4.4. Управление настройками4.5. Прочие улучшенияВыводыВведениеЦифровизация жизни современного человека привносит в повседневность удобство и комфорт, экономит время. Множество различных веб-сервисов и приложений для работы, спорта, здоровья, шопинга и т. п. рано или поздно накапливаются у каждого пользователя, и наступает момент упорядочить хаос доступов в удобную структуру. А если речь заходит о бизнесе или госсекторе, то важнейшими атрибутами становятся безопасность и возможность коллективной работы с конфиденциальными данными.Настанет день, когда придётся задаться простым вопросом: где хранить сотни корпоративных паролей и как ими делиться с коллегами?Единственным на данный момент продуктом подобного типа, внесённым в реестр Минцифры России, является корпоративный менеджер паролей «Пассворк», который начал свой путь ещё в 2014 году и за прошедшее время завоевал симпатии сотен компаний.«Пассворк» упрощает совместную работу с доступами к корпоративным сервисам и обеспечивает при этом необходимую безопасность.Парольные данные в «Пассворк» зашифрованы, хранятся строго на серверах клиента, не выгружаются в облако и не передаются наружу. Отдел ИБ управляет правами пользователей, контролирует все действия с паролями и проводит аудит безопасности.Необходимые доступы к корпоративным ресурсам всегда находятся у сотрудника под рукой: «Пассворк» представлен не только в виде удобной веб-платформы, но и в качестве мобильного приложения (Android, iOS), а также расширения для браузера (поддерживаются Chrome, Firefox, Edge, Safari).Когда будет полезен менеджер паролей «Пассворк»Допустим, компанию покинул работник — службе безопасности необходимо знать, какие пароли к каким сервисам необходимо изменить. Если, наоборот, в компанию поступил новый человек, то необходимо оперативно выдать доступ к ресурсам с учётом рисков испытательного срока. Менеджер паролей для бизнеса «Пассворк» позволяет экономить время в рутинных делах, удобно организовывая безопасную работу с паролями в компании.Зачастую доступ к самым ценным данным есть у ограниченного круга сотрудников. В случае когда важный работник отдела не на связи, а логин и пароль к нужному ресурсу по той или иной причине находятся только у него, корпоративные данные рискуют оказаться заблокированными. «Пассворк» позволяет организовать контролируемый доступ к важным данным компании без задержек для бизнеса, при этом снижая риски в информационной безопасности.В случае роста компании и увеличения штата администраторов в «Пассворк» безопасно устроена совместная работа с базой паролей, что усиливает киберзащиту, исключая утечки данных из внешних облачных хранилищ.Рабочих сценариев, когда «Пассворк» экономит время и оказывается полезным, множество. Помимо корпоративной безопасности парольный менеджер ориентирован на удобство в рутинных задачах, что делает его важным инструментом сотрудников на каждый день.Предлагаем рассмотреть возможности и взглянуть на интересные решения актуальной на этот момент версии корпоративного менеджера паролей «Пассворк» — 6.0.Функциональные возможности «Пассворк»Сейфы и папкиИспользуя принцип защищённых контейнеров (сейфов), «Пассворк» хранит пароли в зашифрованном виде на сервере организации. Рисунок 1. Зашифрованное хранилище паролей (сейф) Сейф может содержать как пароли, так и вложенные папки. Папка тоже является контейнером и позволяет структурировать пароли в рамках сейфа, объединяя тематически схожие кодовые слова в удобные иерархические структуры.«Пассворк» поддерживает два типа сейфов: доступ в личный сейф есть только у его владельца, доступ к сейфам организации определяется политикой доступа.256-битный мастер-пароль ограничивает доступ к каждому сейфу и автоматически генерируется случайным образом при создании хранилища. Криптографический алгоритм (ГОСТ или AES-256, на выбор администратора) отвечает всем современным требованиям по безопасности. Рисунок 2. Импорт данных в сейф «Пассворк» Поддерживается возможность импортировать пароли в сейф из файлов CSV, JSON или в формате KeePass XML.Администратор может создать, переименовать, удалить сейф или просмотреть историю действий с ним, а также добавить или удалить пользователя, просмотреть права доступа к сейфу. Рисунок 3. Добавление пользователя в папку Ролевая модель позволяет удобно разграничить права доступа работников компании к сейфам на этапе добавления пользователя.Работа с паролямиПароли можно редактировать, копировать в буфер или отправлять другому пользователю системы. Есть история действий с паролями для отслеживания всех редакций. Рисунок 4. Добавление нового пароля в «Пассворк» При добавлении новых реквизитов доступа необходимо заполнить ряд стандартных полей, а также активировать дополнительные опции, если нужно — например, добавить поле для секрета двухфакторной аутентификации или указать тег для дополнительной категоризации.Нельзя не отметить, что разработчики удобно внедрили опцию генерации паролей в одноимённое поле. По щелчку можно быстро сгенерировать пароль с учётом всех требований по сложности и безопасности.История изменений пароля отображается на вкладке «История действий», рядом на вкладке «Редакции» можно откатиться к предыдущим версиям пароля.Поле «Поиск» позволит найти строки во всей базе с учётом прав доступа. Рисунок 5. Поиск по базе доступов в «Пассворк» Здесь же можно быстро отфильтровать данные по цветовым меткам или тегам.«Пассворк» позволяет безопасно поделиться паролем с конкретным сотрудником напрямую, отправив пароль в личные сообщения. Рисунок 6. Личные доступы в «Пассворк» У владельца сохраняется контроль над паролем, все изменения будут отображаться у всех сотрудников, с кем пользователь поделился данными.Также возможно безопасно передать пароль в виде URL любому человеку за пределы «Пассворк» (но в пределах периметра сети компании), создав одноразовую ссылку или ссылку со сроком жизни.Управление пользователями и безопасностьКак мы отметили выше, в «Пассворк» реализована гибкая ролевая модель: каждому пользователю назначаются определённые уровни доступа к паролям. Рисунок 7. Управление пользователями в «Пассворк» По каждому пользователю представлено своего рода досье: роль, сейфы, активные доступы, статус, настройки, последние действия. Здесь же можно деактивировать, отредактировать и удалить учётную запись, сбросить её пароль, настроить права и применить роль. В один щелчок деактивированный пользователь лишается доступа ко всем паролям организации.Для регистрации нового пользователя в системе администратор в ручном режиме создаёт новый аккаунт или генерирует ссылку-приглашение для самостоятельной регистрации, после которой потребуется подтверждение от администратора (лично или через специальный код). Рисунок 8. Панель безопасности в «Пассворк» В сводной панели администраторы могут обзорно оценить текущее состояние системы. «Пассворк» собирает все события и метаданные, которые связываются с паролями, и на базе анализа даёт заключения и рекомендации.Панель интерактивна, можно по наведению курсора получить подсказку о рисках и статусе, быстро внести необходимые изменения, по щелчку переходя в соответствующий раздел. Рисунок 9. История действий в «Пассворк» Полезная функция для проведения аудита безопасности или расследований — запись всех действий пользователей и администраторов в системе. История действий может быть экспортирована по протоколу Syslog в комплексы управления событиями (SIEM).Прочие возможности и особенностиОбзорно отметим наиболее важные особенности «Пассворк»:Устанавливается на локальные серверы, все данные шифруются, доступ и контроль осуществляет только заказчик.Гибкое управление пользователями и правами.Поддержка Active Directory / LDAP позволяет проводить авторизацию в среде «Пассворк» по соответствующему протоколу.Поддержка прикладного интерфейса (API) для более богатого обмена данными с инфраструктурой компании.Поддержка сквозного входа (SAML SSO) и двухфакторной аутентификации благоприятна для безопасности и экономит время.Открытый исходный код позволяет провести аудит на предмет уязвимостей или нелегитимных функций.Полностью российский продукт, входит в единый реестр российского ПО.Поддерживает кластеризацию и позволяет организовать отказоустойчивую инфраструктуру.Гибкое лицензирование удовлетворит потребности компании на любом этапе роста.Сертифицированный партнёр Astra Linux и «РЕД СОФТ».Простой интерфейс и быстрая интеграция в любую ИТ-инфраструктуру.Поддержка алгоритмов шифрования ГОСТ открывает возможности для внедрения «Пассворк» в государственном секторе и отвечает политике импортозамещения.Качественный портал с документацией и оперативная техподдержка.Расширение «Пассворк» для браузера является полноценным приложением для работы с паролями, которое включает в себя следующие функции: доступ ко всем паролям, автоматическое сохранение данных и заполнение форм аутентификации, добавление и редактирование паролей, поиск, генератор паролей, блокировка расширения ПИН-кодом. Рисунок 10. Вид мобильной версии менеджера паролей «Пассворк» Мобильная редакция «Пассворк» поддерживает все ключевые возможности настольной версии и гарантирует, что важные данные компании защищены и находятся всегда под рукой у сотрудника.Новые возможности «Пассворк 6.0»В «Пассворк 6.0» расширены возможности совместной работы с паролями, усилена безопасность действий администраторов, улучшено управление LDAP, добавлены новые уведомления и в целом оптимизирован интерфейс, что делает взаимодействие с программным комплексом ещё более удобным в повседневной корпоративной рутине.ЯрлыкиЕщё один способ быстро предоставить дополнительный доступ к паролю — создать ярлык. Теперь нет необходимости дублировать пароли в разных сейфах, достаточно создать несколько ярлыков в нужных директориях, и команда получит доступ к паролю. Рисунок 11. Дополнительный доступ к паролю через ярлык в «Пассворк» В случае смены пароля коллеги будут в курсе всех изменений: в зависимости от настроек ролевой модели пользователи имеют возможность просматривать или редактировать данные через ярлык.Безопасная отправка паролейТеперь, когда администратор выдаёт доступ к паролю (через «Входящие» или ярлык), пользователю предоставляется доступ непосредственно к кодовому слову без выдачи «частичного доступа» в сейф. Рисунок 12. Отправка пароля сотруднику в «Пассворк» Такой подход повышает общую безопасность системы и усиливает контроль доступа как к сейфам, так и к определённым паролям.Оптимизация работы с LDAPРазработчики изменили интерфейс раздела LDAP в «Пассворк» и переосмыслили логику управления пользователями: добавлять новые учётные записи посредством протокола LDAP стало проще и безопаснее, особенно если активировано клиентское шифрование.Теперь при первом входе в систему работник самостоятельно устанавливает мастер-пароль и после этого администратор подтверждает добавление нового пользователя. Рисунок 13. Добавление нового пользователя из LDAP в «Пассворк» Добавление новых пользователей из AD происходит через отдельное модальное окно, а зарегистрированные ранее представлены на вкладке «Пользователи». Все данные обновляются в фоновом режиме.Важно отметить, что «Пассворк 6.0» отображает больше данных о группах безопасности: те, которые связаны с ролями или не подгрузились после обновления, помечаются соответствующими тегами. Так администратор видит, что необходимо изменить настройки поиска или удалить группу из списка, плюс это даёт информацию о том, какие именно пользователи входят в состав каждой группы безопасности.Управление настройкамиВендор доработал раздел настроек: переосмыслил логику и привёл всё к единому визуальному стилю. Рисунок 14. Оптимизированные системные настройки в «Пассворк» В настройках системы на вкладке «Глобальные» все, у кого есть соответствующий уровень доступа к сейфу (права на редактирование и выше), могут создавать ссылки на пароли и отправлять их другим пользователям «Пассворк».В «Пассворк 6.0» любые изменения в настройках необходимо подтверждать для устранения рисков от случайных действий; для этого добавлены кнопки «Сохранить» и «Отменить изменения» в системных настройках.Также сотрудники теперь могут самостоятельно настроить индивидуальный тайм-аут для выхода из системы; администраторы задают только максимальную длительность сеанса при неактивности.Администраторы могут разрешить пользователям самостоятельно выбирать язык интерфейса.Прочие улучшенияВ контексте оптимизации интерфейса в «Пассворк 6.0» доработали перетаскивание: теперь система предлагает действия на выбор (переместить, копировать или создать ярлык). Рисунок 15. Улучшенный интерфейс при перетаскивании Также выделим из улучшений:Отдельные окна для доступа в сейф и дополнительного доступа. Информация о доступе теперь отображается в двух окнах: в одном — пользователи и роли, у которых есть доступ в сейф, в другом — доступ к паролям из сейфа через ярлыки, ссылки или отправленные пароли.Кнопки действий с паролем. Для оптимизации работы с паролем добавлена кнопка «Редактировать», а для дополнительного доступа к паролю — кнопки для ярлыка, ссылки или отправки лично пользователю.Дополнительные поля при импорте и экспорте паролей. «Пассворк 6.0» позволяет перенести не только логин и пароль, но и дополнительную информацию, которая хранится внутри карточки пароля.Новые уведомления. Администраторы теперь получают уведомления о новых неподтверждённых пользователях, а сотрудники — о новых паролях во «Входящих».Более полная информация о «Пассворк 6.0» представлена на официальном ресурсе вендора.Разработчик отмечает, что для обновления до версии 6.0 необходимо выполнить несколько шагов по инструкции: сначала обновиться до версии 5.4, пройти миграцию данных и подтвердить это на клиентском портале «Пассворк».ВыводыКорпоративный менеджер паролей «Пассворк» — программный комплекс от российского разработчика, минималистичный удобный продукт для безопасной совместной работы с паролями в компании.«Пассворк» функционирует на базе защищённых хранилищ (сейфы), которые могут содержать парольные данные от любых систем (веб-ресурс, сервер, приложение, накопитель и т. д.), файлы ключей или сертификатов.Браузерное расширение и мобильное приложение, удобная иерархическая структура, полная интеграция с Active Directory / LDAP, авторизация с помощью SSO и 2FA, собственный API, ролевая модель доступа и отслеживание действий сотрудников обеспечивают безопасность, гибкость и комфорт в рутинных процессах организации каждый день.Программный комплекс разворачивается на мощностях компании-заказчика, данные хранятся в зашифрованном виде согласно требованиям регуляторов (ГОСТ или AES-256), что в контексте импортозамещения последних лет добавляет платформе веса. Кроме того, «Пассворк» поставляется с открытым исходным кодом, зарегистрирован в реестре отечественного ПО, имеет гибкую схему лицензирования, которая подойдёт как крупной состоявшейся корпорации, так и начинающей свой путь компании.«Пассворк» востребован на рынке РФ, ему доверяет множество организаций с 2014 года, продукт постоянно развивается и растёт. В свежем релизе «Пассворк 6.0» оптимизирован интерфейс, совместная работа стала ещё более гибкой и удобной, переработаны и расширены настройки, усилены безопасность и контроль за действиями пользователей, что увеличивает возможности специалистов по безопасности при расследовании инцидентов и предотвращении утечек конфиденциальных данных. Всё это делает «Пассворк» важным инструментом в корпоративном арсенале для продуктивной и безопасной совместной работы с данными доступа.Читать далее
    • Ego Dekker
      Домашние антивирусы для macOS были обновлены до версии 6.11.414. Добавлена поддержка macOS Sonoma (версия 14).
×