Динамическая эшелонированная антивирусная защита

[Сергей Ильин 1537]

Коллеги, мы с Николаем выложили на ваш суд статью, описывающую концепцию нового сервиса Динамической Эшелонированной Антивирусной Защиты, разработанного в рамках проекта Anti-Malware.ru.

Данные сервис предполагает существенное снижение нагрузки на различные узлы сети предприятия или провайдера за счет оптимизации процедуры антивирусной проверки.

Статья находится в открытом доступе здесь

Динамическая эшелонированная антивирусная защита

Очень интересно ваше мнение по данному документу, примаются любые замечания или критика :-)

[headache 0]

Не совсем понятно, что имеется ввиду под "речь идет о запросе индекса у антивируса, установленного на соответствующем источнике сети, который осуществляет антивирусную проверку этих данных" - это какой-то протокол ? Как защищать его от сетевых атак связанных с "подменой" источника ?

Ведь скажем злоумышленику тогда достаточно будет "захватить" всего одну станцию и далее эпидемия внутри такой сети обеспечена, особенно странно (на мой взгляд) - это запрос такого индекса сервером у клиента (которому сервер ну никак не должен доверять).

[Николай Терещенко 0]

Для этого мы предложили использовать цифровую подпись, сформированную на ключах генерируемых при установки. Образовать некое подобие PKI для антивирусной системы, только со своими НО.

Помимо этого не предполагается передача индекса от пользователю к пользователю - это слишком накладно будет делать и вы правильно подметили - внутренний злоумышленник может натворить дел... А в остальных случаях, на корпоративном уровне злоумышленнику необходимо будет не только захватить какой-то из серверов но и подделать криптографическую цифровую подпись, а затем передать информацию, которую запрашивает сотрудник.

По формированию ЭЦП мы привели общие моменты в статье, на самом деле там достаточно много нюансов и подделать ее за короткий промежуток (несколько лет) пока невозможно.

[Сергей Ильин 1537]

Как защищать его от сетевых атак связанных с "подменой" источника ?

Это можно сказать один из ключевым и сложных моментов этого сервиса. Вполне возможно даже, что предложенный нами вариант с тем же PKI теоретически уязвим. Если на ваш взгляд это имеет место, поделитесь с нами, это будет очень ценно.

[headache 0]

Помимо этого не предполагается передача индекса от пользователю к пользователю - это слишком накладно будет делать и вы правильно подметили - внутренний злоумышленник может натворить дел...

Всё же я тогда не совсем понимаю принцип работы такой системы. Вы можете объяснить на вполне конкретном примере ?

Типичная ситуация: внутр. пользователь отправляет письмо по SMTP на внешний адрес через внутр. почтовый сервер.

Опишите пожалуйста (на уровне принципа) действия (имеется ввиду действия непосредственно связанные с ДЭАЗ):

- системы защиты на стороне пользователя (в момент отправки письма и возможно позднее);

- системы фильтрации на почтовом сервере.

Что и зачем они делают (без техн. подробностей на уровне принципа) ? Какого рода информацию и у кого запрашивают и т.п. ? Т.е. по шагам.

По формированию ЭЦП мы привели общие моменты в статье, на самом деле там достаточно много нюансов и подделать ее за короткий промежуток (несколько лет) пока невозможно.

Возможно я что-то не понимаю, но secret key для данного хоста тогда должен будет находится на пользовательской машине, поэтому прежде всего надо будет думать над его защитой, иначе ничего ломать не придется - просто будет использован оригинальный ключ. Исходить надо из позиции что злоумышленик знает как работает система, какими алгоритмами пользуется, какие протоколы использует.

[Николай Терещенко 0]

headache

По ЭЦП. Если вы обратитесь к ассиметричным системам, тогда поймете, что для проставления ЭЦП необходим свой секретный ключ. Для проверки ЭЦП необходим открытый ключ того, кто его поставил, плюс этот открытый ключ должен быть выпущен доверенным корневым центром.

Далее ИАЗ - Индекс антивирусной защиты.

Теперь по примеру. Правильнее будет рассмотреть вариант, когда извне пользователю приходит письмо.

Оно проверяется на уровне SMTP-шлюза, далее оно проверяется на уровне почтового сервера, а далее оно проверяется на уровне пользователя.

Итак, с применением данного сервиса:

1. Письмо проверяется на уровне SMTP-шлюза.

2. Далее SMTP-шлюз направляет письмо (вместе со своим ИАЗ) на почтовый сервер.

3. Почтовый сервер сравнивает свой ИАЗ и ИАЗ SMTP-шлюза если они равны или ИАЗ SMTP-шлюза выше, тогда почтовый сервер доверяет данному письму и не проверяет его (здесь мы уже получаем выигрыш).

4. Далее письмо отправляется пользователю.

5. Пользовательский антивирус также проверяет свой ИАЗ и почтового сервера и если они равны или ИАЗ почтового сервера выше, тогда пользователь доверяет данному письму и не проверяет его (здесь мы опять получаем выигрыш).

Вот примерно такая схема работы.

Конечно, это не детально проработанный сервис, особенно с технической точки зрения, но это попытка заложить первый кирпичик в новый путь развития антивирусов...

Как пример, вчера на конференции http://www.avconf.ru опять поднимался вопрос о том, что мощности компаний вынуждены работать на антивирусы...

Ведь представьте компания с количеством сотрудников превышающим 1000 человек (особенно если это телеком-компании с сотрудниками в 10 - 50 тысяч). Каждое письмо (если рассматривать почтовую систему) должно пройти проверку на уровне шлюза, затем на почтовом сервере, а затем на клиенте. Какие колоссальные затраты ...

PS Любые предложения по изменению построения сервиса, замечания и прочее принимаются. Давайте вместе постараемся выстроить концепцию которая м.б. в будущем позволит снизить не только затраты таких огромных компаний, но и будет пригодна для применения в компаниях малого и среднего бизнеса.

[headache 0]

По ЭЦП. Если вы обратитесь к ассиметричным системам, тогда поймете, что для проставления ЭЦП необходим свой секретный ключ

Немного знаком. Так я о чём и сказал ? Т.е. этот самый приватный ключ пользовательской системы защиты и должен быть "спрятан" на пользовательском хосте (а серверный на сервере). Вот его и придется защищать.

Теперь по примеру. Правильнее будет рассмотреть вариант, когда извне пользователю приходит письмо.

Это менее интересный вариант.

Оно проверяется на уровне SMTP-шлюза, далее оно проверяется на уровне почтового сервера, а далее оно проверяется на уровне пользователя.

А зачем иметь на SMTP-шлюзе антивирус, если с него всё равно вся почта попадет на почтовый сервер с антивирусом, где она и будет проверена ? Достаточно будет иметь всяких rbl-ей, да антиспамов (которые на внутреннем почтовом сервер наверное и не нужны).

2. Далее SMTP-шлюз направляет письмо (вместе со своим ИАЗ) на почтовый сервер.

В теле письма (в X-заголовках) ?

3. Почтовый сервер сравнивает свой ИАЗ и ИАЗ SMTP-шлюза если они равны или ИАЗ SMTP-шлюза выше, тогда почтовый сервер доверяет данному письму и не проверяет его (здесь мы уже получаем выигрыш).

Так-с, чтобы проверить ИАЗ smtp-шлюза, это ж надо будет

а) SMTP-шлюз должен будет сгенерить эл.подпись для ИАЗ

б) взять с сервера PKI публичный ключ SMTP-шлюза

в) проверить подпись

Имхо, эти 3 операции сопоставимы со временем проверки среднего письма (т.е. килобайт 20, 2-3 части text/plain; text/html; пара картинок, таблиц). Где выигрыш ? Ок, допустим публ.ключ smtp-шлюза можно хранить прямо на почт.сервере, а все пользовательские ключи ?

Теперь всё-таки позвольте вернуться к моему примеру - итак, допустим один из пользовательских хостов "взят". Секретный ключ соответственно имеется. Создаем письмо с вирусом и отправляем всем внутренним пользователям, снабдив его "правильным высоким ИАЗ" - письмо не будет проверено сервером и попадёт всем пользователям. Имеем полное заражение внутр. сети.

Как пример, вчера на конференции http://www.avconf.ru опять поднимался вопрос о том

Далековато, хотя наверняка было очень интересно.

Ведь представьте компания с количеством сотрудников превышающим 1000 человек (особенно если это телеком-компании с сотрудниками в 10 - 50 тысяч). Каждое письмо (если рассматривать почтовую систему) должно пройти проверку на уровне шлюза, затем на почтовом сервере, а затем на клиенте.

Не совсем понимаю всё-таки назначение антивируса на SMTP-шлюза в данном случае. Зачем ? Он полностью дублирует функции антивируса на почтовом сервере при этом не перекрывая никаких "новых" точек проникновения.

PS: Идея имхо может быть применена исключительно на уровне взаимодействий сервер-сервер (возможно даже вовлечь крупных провайдеров), сервер-шлюз, но имхо недопустима при взаимодействии с пользовательскими системами.

[Николай Терещенко 0]

По порядку:

Так я о чём и сказал ? Т.е. этот самый приватный ключ пользовательской системы защиты и должен быть "спрятан" на пользовательском хосте (а серверный на сервере). Вот его и придется защищать.

Конечно. На каждом из хостов есть данные, которые необходимо защищать от попыток НСД. Как это делать - это больше дело техники.

Это менее интересный вариант.

Ну почему же менее интересный вариант. Смотрели исследование почтовой системы из 800 пользователей? Там довольно интересно все получается.

А в чем интерес когда пользователь отправляет письмо? Что вы хотели бы изменить?

А зачем иметь на SMTP-шлюзе антивирус, если с него всё равно вся почта попадет на почтовый сервер с антивирусом, где она и будет проверена ? Достаточно будет иметь всяких rbl-ей, да антиспамов (которые на внутреннем почтовом сервер наверное и не нужны).

Для небольшой компании м.б. это и так. А есть мнение, что в любой системе должна быть отказоустойчивая конфигурация. Один из методов построить отказоустойчивую антивирусную защиту - эшелонированность.

В теле письма (в X-заголовках) передавать индекс?

Это технический момент. Можно и в теле письма. Если касаться http трафика, то тут пока еще нужно подумать. В принципе, для http - пока идея что бы антивирус как некий фаервол мог работать (в любом случае уже фаерволы в них встроенны). Т.е. есть http антивирусный шлюз, о котором знает антивирус на локальном компьютере (по средствам политик или настройке в центральной антивирусной консоли). Когда идет коннект по Http антивирус не "пускает" его, пока не получит ИАЗ от этого шлюза. ИАЗ у шлюза можно запрашивать периодически. Хотя этот вариант требует сильной доработки. Надо думать. :-)

Так-с, чтобы проверить ИАЗ smtp-шлюза, это ж надо будет

а) SMTP-шлюз должен будет сгенерить эл.подпись для ИАЗ

б) взять с сервера PKI публичный ключ SMTP-шлюза

в) проверить подпись

Имхо, эти 3 операции сопоставимы со временем проверки среднего письма (т.е. килобайт 20, 2-3 части text/plain; text/html; пара картинок, таблиц). Где выигрыш ? Ок, допустим публ.ключ smtp-шлюза можно хранить прямо на почт.сервере, а все пользовательские ключи ?

а) Да теперь я понял что вариант с абсолютным ИАЗ удобнее. Т.к. генерить необходимо его только один раз - в момент изменения параметров ИАЗ. Получил новую базу, сгенерил ИАЗ, подписал его и он готовый лежит к отправке.

б) Не надо его откуда-то брать. Ключи могут распространяться политиками (можно механизм распространения включить в центральную антивирусную консоль).

в) А проверка подписи - это куда быстрее, чем проверка даже среднего письма. Работа идет с байтами информации. ;-)

Теперь всё-таки позвольте вернуться к моему примеру - итак, допустим один из пользовательских хостов "взят". Секретный ключ соответственно имеется. Создаем письмо с вирусом и отправляем всем внутренним пользователям, снабдив его "правильным высоким ИАЗ" - письмо не будет проверено сервером и попадёт всем пользователям. Имеем полное заражение внутр. сети.

Изначально система планировалась таким образом, что бы не проверять ИАЗ сервером у пользователей, вот как раз именно по описанной вами причине.

Не совсем понимаю всё-таки назначение антивируса на SMTP-шлюза в данном случае. Зачем ? Он полностью дублирует функции антивируса на почтовом сервере при этом не перекрывая никаких "новых" точек проникновения.

Чуть выше это описал. Но тут каждый волен строить антивирусную защиту по своему.

PS: Идея имхо может быть применена исключительно на уровне взаимодействий сервер-сервер (возможно даже вовлечь крупных провайдеров), сервер-шлюз, но имхо недопустима при взаимодействии с пользовательскими системами.

Я думаю все же можно применить ее при взаимодействии сервер->пользователь, но не пользователь->сервер или пользователь<->пользователь. ИАЗ должен формироваться только на доверенном хосте.

[[email protected] 0]

headache

Для проверки ЭЦП необходим открытый ключ того, кто его поставил, плюс этот открытый ключ должен быть выпущен доверенным корневым центром.

бррр. у Вас легкая каша в голове. открытый ключ либо должен быть получен из доверенного источника по надежным каналами (если это возможно), либо продписан авторитетным центром сертификации открытые ключи которого широкоизвестны. есть схемы с certificate chain

[Николай Терещенко 0]

Это я должен вам сказать бррр... Это у вас легкая каша в голове уважаемый.

Ассиметричная криптография тем и хороша, что передача ключей может осуществляться по открытым каналам связи, в отличие от симметричной.

Если не верите мне, обратитесь к отцу криптографии Брюсу Шнаеру. ;-)

И я набрасывал общие моменты построения PKI для антивирусной системы. Если вы хотите пообщаться по построению PKI, тогда давайте в другую тему, а там и про CRL и OCSP и вообще по практике построения PKI можем поговорить.

[[email protected] 0]

Это я должен вам сказать бррр... Это у вас легкая каша в голове уважаемый.

Ассиметричная криптография тем и хороша, что передача ключей может осуществляться по открытым каналам связи, в отличие от симметричной.

несомненно может, при соблюдении второго варианта. открытому ключу полученному по открытым каналам - доверия нет, доверять ему можно только в случае наличия сертификата. речь о том что функция CA по генерации несущественна и к делу не относится, важно только наличие сертификата выданного довереным CA, подпись которого на сертификате открытого ключа мы можем проверить достоверно. остается вопрос в достоверности проверки - степени доверия RCA и софту

во многих банковских структурах сертификация ключей осуществляется их собственным сертификационным центром и по открытым каналам можно передать им только второй ключ, первый - только личным обменом дискетами

[headache 0]

На каждом из хостов есть данные, которые необходимо защищать от попыток НСД

Хм, это ведь будет важнейший объект ДАЭЗ - если его удасться прочитать атакующему - вся сеть в опасности, это куда более опасно, чем просто отключенный антивирус на этой станции в сети с классической АВ-защитой. При этом атакующему нужен минимально возможный доступ - чтение.

Ну почему же менее интересный вариант.

Потому что первым в цепи проверки будет шлюзсервер, который обычно на порядок сложнее атаковать, чем любой пользовательский хост. В моем сценарии, первым в цепи проверки будет пользовательский хост.

А есть мнение, что в любой системе должна быть отказоустойчивая конфигурация. Один из методов построить отказоустойчивую антивирусную защиту - эшелонированность.

Можно подробнее. Чем АВ на SMTP-шлюзе делает систему более отказоустойчивой, ведь это тот же самый АВ что и на почтовом сервере (исходя из принципа построения ДАЭЗ). Если бы он был от другого вендора, то было бы понятно.

headache писал(а):

В теле письма (в X-заголовках) передавать индекс?

Это технический момент.

Однако достаточно принципиальный, если индекс идёт вместе с данными это одно, если его надо получать отдельно - то это минус производительность, да и сложнее как в реализации (ассоциация письма и запроса ИАЗ), так и в защите (например ДоС через передачу заведомо "неправильных ИАЗ").

а) Да теперь я понял что вариант с абсолютным ИАЗ удобнее. Т.к. генерить необходимо его только один раз - в момент изменения параметров ИАЗ. Получил новую базу, сгенерил ИАЗ, подписал его и он готовый лежит к отправке.

Да, но зато если ИАЗ (точнее его ЭЦП) не зависят от проверенных данных (причем именно некоторой части данных(например "голова" исполняемых файлов), которую нельзя было бы безболезненно пристыковать к другим похожим данным, т.е. скажем пара заголовков письма не подойдут) - то ему грош цены, ибо он снифится и вставляется в инфицированное письмо.

Не надо его откуда-то брать. Ключи могут распространяться политиками (можно механизм распространения включить в центральную антивирусную консоль).

Это отдельный и очень объемный момент - распространение ключей, т.к. в отличие от шифрования, при ЭЦП получение открытого ключа - отдельная проблема (см. сообщения от john-а).

в) А проверка подписи - это куда быстрее, чем проверка даже среднего письма. Работа идет с байтами информации.

Это, кстати, очень спорно. В среднем письме обычно и проверять нечего особо - text/plain & text/html проверяются очень быстро, а крипто-алгоритмы подсчета ЭЦП очень таки тяжеловесны (в плане вычислений).

Изначально система планировалась таким образом, что бы не проверять ИАЗ сервером у пользователей, вот как раз именно по описанной вами причине.

Я думаю все же можно применить ее при взаимодействии сервер->пользователь, но не пользователь->сервер или пользователь<->пользователь.ИАЗ должен формироваться только на доверенном хосте.

Может я просто пропустил, но в статье я этого не увидел. А это достаточно принципиальный момент - т.к. защищенность всей системы обычно сильно связана с защищенностью наиболее слабого звена. Т.е. по большому счету ИАЗ, на мой взгляд, применим исключительно во взаимодействиях "сервер->пользователь" и "сервер-сервер".

Кстати о "сервер-сервер", такая концепция дала бы просто огромное преимущество, если ИАЗ был бы стандартизован и поддерживался всеми ведущими вендорами. При использовании ИАЗ во взаимодействиях провайдер (почты) - провайдер (почты) это было бы очень и очень выгодно. Но увы - как его стандартизовать ? Ведь каждый вендор будет кричать "мои базы 2-х часовой давности лучше ваших свежих".

[Михаил Кондрашин 55]

Не обежайтесь, но ерунда это все.

Опуская мелкие придирки, принципиальные моменты следующие:

1. Нет проблемы. Разумеется есть компании, в которых не хватает ресурсов для антивирусной проверки, но их меньшенство и они "бедные", а значит никого не интересуют. Более того, недостаток ресурсов, как правило, это RAM, а указанная схема не избавляет от необходимости загружать резидентный монитор.

90% операций, которые делает компьютер (когда он не простаивает!), это лишние действия, которые делаются "на всякий случай". Мы про них не знаем вот и спим крепко. Про антивирусную проверку на почтовом сервере, а потом на рабочей станции мы знаем, вот и обидно.

2. Антивирусная защита не сводится к проверке по базе сигнатур. Это только часть защиты. Что толку затевать это все, если остальные части не прооптимизируешь?

3. Индекс защищенности --- фикция.

4. В следствии первых пунктов, вендоры никогда не будут договариваться о чем-то подобном.

[broker 30]

Михаил Кондрашин

Как бы не грустно было, но я согласен.

АВТОРЫ

как я уже указывал дороже, и более затратно по ресурсам, обойдётся подписывать каждое письмо эцп.

Михаил Кондрашин

Нагрузки на сервера где установлены проверяющие антивирусные модули очень не большие.. и в основном это RAM..

ВЕРНО..

[kisttan 0]

НЕ согласен с Михаилом и Брокером.

Аргументы для Михаила:

Не стоит занижать значимость отдельно выбранного компонента - решение можно обобщить( у меня есть пару идей по этому поводу надеюсь скоро написать свою статью - в чем то пересекается). Михаил вы скатываетесь в софистику используя неверные препосылки - решение то хорошее и здравое предлагается и можно его доработать до технически обоснованного НО пока в данный момент оно НЕ В ПОЛНОЙ МЕРЕ ВОСТРЕБОВАНО РЫНКОМ С ТОЧКИ ЗРЕНИЯ МАРКЕТИНГА. - Для полного обоснованя заявлений на эту тему надо привлекать прямых представителей разработчика.

С Брокером не согласен потому что подпись и так в базах используется иначе как вы проверите их целостность если примете обновление в сеть.

Частично такой подход реализован в КАВ 6.0 правда для других целей.

По поводу размеров письма и подписей можно перейти на конкрентые цифры - подписи сейчас длины имеют до 2048 БИТ - покажите мне такое письмо короткое. Скорость вычисления высока, в некоторых случаях можно обойтись хешем - еще быстрее.

[Михаил Кондрашин 55]

Не стоит занижать значимость отдельно выбранного компонента - решение можно обобщить( у меня есть пару идей по этому поводу надеюсь скоро написать свою статью - в чем то пересекается).

Тогда и поговорим.

Михаил вы скатываетесь в софистику используя неверные препосылки - решение то хорошее и здравое предлагается и можно его доработать до технически обоснованного НО пока в данный момент оно НЕ В ПОЛНОЙ МЕРЕ ВОСТРЕБОВАНО РЫНКОМ С ТОЧКИ ЗРЕНИЯ МАРКЕТИНГА.

Не востребовано, значит и не нужно. Ничего не поделаешь. Все гораздо хуже. Оно уже не востребовано рынком. Когда антивирусная защита сводилась к только проверке по базе сигнатур, все это имело смысл. Теперь уже нет.

- Для полного обоснованя заявлений на эту тему надо привлекать прямых представителей разработчика.

Разработчики пусть читают сайт делают свои выводы сами. Для них и стараемся.

С Брокером не согласен потому что подпись и так в базах используется иначе как вы проверите их целостность если примете обновление в сеть.

Подпись на базе нужно проверять после обнорвления, а не для каждого файла/письма.

Частично такой подход реализован в КАВ 6.0 правда для других целей.

От сюда по подробнее. Как такая распределенная инфраструктура может быть реализованна а продукте, который обособленно защищает рабочую станцию?!

Если вы про iCheck/iStream, то нечно подобное есть и у других (в PC-cillin называется TurboScan, но специально не пиарится, так как традиционно PC-cillin не тормозит, как это делали 4-е версии KAV).

[Сергей Ильин 1537]

Частично такой подход реализован в КАВ 6.0 правда для других целей.

Там реализовано это в связке фаловый сервер - рабочая станция, подробностей пока никто не знает, но то что это будет - факт.

Грубо говоря, файл проверенный на сервере не будет проверяться на рабочей станции второй раз.

[broker 30]

Сергей Ильин[/b]

Николай Терещенко ]

6. Обеспечение достоверности индекса антивирусной защиты

В первую очередь, при организации передачи информации об антивирусной защите источника, необходимо обеспечить достоверность этих данных. Самый простой способ обеспечить доверенность передаваемого индекса антивирусной защиты – криптографически подписать данные. Для этого у источника должна быть возможность сформировать цифровую подпись (ЦП), а у получателя проверить ее. Технически – это можно организовать следующими способами:

При установке антивирусного комплекса, организуется генерация пар ключей ЦП для источника и получателя (при помощи, например, Open SSL);

Перед передачей индекса источник и получатель вырабатывают общий ключ, например по алгоритму Диффи-Хелмана (данную процедуру возможно выполнять через настраиваемый промежуток времени).

Далее на полученных ключах источник криптографически подписывает индекс антивирусной защиты – формирование хэша с тех данных, которые необходимо передать (индекс антивирусной защиты) и зашифрование полученного хэша (получение ЦП). ЦП передается вместе с индексом антивирусной защиты. Получатель осуществляет формирование хэша с полученного индекса и расшифрование переданного хэша, а затем их сравнение. Если все процедуры прошли успешно, это означает, что индекс антивирусной защиты передан именно от нашего источника и не был фальсифицирован в пути.

Не хочу особо спорить ИБО КАРМУ ПОРТИТЕ не особо приятно..

Но поясните, что написано в п 6.

Я так понимаю, что Индекс антивирусной защиты есть у каждого письма. Получается, если в компанию приходит 100000 сообщений в сутки не считая спама, то каждое письмо надо подписать, затем это всё передать.. затем это всё проверить.. При чём проверка ЭЦП должна производится на всём пути, постоянно и всегда (на стороне клиента). Представьте себе сколько почты пришедшей из вне, потом пересылается по компании.. Или если письмо дошло до конца, то потом его опять надо переподписывать???

В общем тут kisttan не надо путать приложение ЭЦП, и коллво раз её использования в МАСШТАБАХ КОМПАНИИ.

Добавлено спустя 3 минуты 12 секунд:

kisttan писал(а):

Частично такой подход реализован в КАВ 6.0 правда для других целей.

В чём ноу хау, тогда?? так и надо было писать..

Вообще если мы объективно обсуждаем проекты.. то прошу не обижаться..

Добавлено спустя 1 минуту 14 секунд:

Ну и как я говорил, полностью противоречит мультивендорному подходу. Хотя Кондрашин только ЗА!!!

[Сергей Ильин 1537]

. Представьте себе сколько почты пришедшей из вне, потом пересылается по компании..

Я понимаю, логика тут есть, нужно реально прикинуть, будет ли выигрыш в производительности, а если будет, то при каком объеме трафика. Может действительно получиться, что при значених меньше Х это будет не выгодно.

Вообще если мы объективно обсуждаем проекты.. то прошу не обижаться..

А какие обиды? Наоборот, мы для этого и выложили этот материал, чтобы его жестко критиковали, только так можно что-то стоящее сделать.

[headache 0]

. В следствии первых пунктов, вендоры никогда не будут договариваться о чем-то подобном.

Я бы перефразировал - "в следствии пункта 1, вендоры в обозримом будущем ..." - и тогда я полностью согласен, все что я писал с "бы" - это так пофантазировать

решение то хорошее и здравое предлагается и можно его доработать до технически обоснованного

Это-то как раз самое сложное. Это в теории всё красиво, а на практике ... я свои мысли изложил выше.

С Брокером не согласен потому что подпись и так в базах используется иначе как вы проверите их целостность если примете обновление в сеть.

Проверка подписи базы используется только во время перезагрузки, а тут предлагается генерить такую подпись на каждый проверенный файлписьмоhttp-запрос.

По поводу размеров письма и подписей можно перейти на конкрентые цифры - подписи сейчас длины имеют до 2048 БИТ - покажите мне такое письмо короткое. Скорость вычисления высока, в некоторых случаях можно обойтись хешем - еще быстрее.

Стоп, причем тут длина подписи ? Подпись надо считать от проверенных данных или хотя бы от значимой их части (как в iChecker). Т.о. всё будет зависеть от контента - уверен для e-mail это неэффективно (АВ-проверка будет сопоставима по скорости с проверкой подписи, но на подпись-то надо 2 действия (вместо одной проверки на получателе, на отправителе её надо делать всегда итак):

1. составить её на источнике данных.

2. проверить её на получателе.

Там реализовано это в связке фаловый сервер - рабочая станция, подробностей пока никто не знает, но то что это будет - факт.

Тут это может быть отправдано - сервер один, клиентов много, проверил-подписал один раз и готово. С почтой всё не так просто.

[Михаил Кондрашин 55]

Там реализовано это в связке фаловый сервер - рабочая станция, подробностей пока никто не знает, но то что это будет - факт.

Грубо говоря, файл проверенный на сервере не будет проверяться на рабочей станции второй раз.

Классно.

[Andrew 0]

Частично такой подход реализован в КАВ 6.0 правда для других целей.

Там реализовано это в связке фаловый сервер - рабочая станция, подробностей пока никто не знает, но то что это будет - факт.

Грубо говоря, файл проверенный на сервере не будет проверяться на рабочей станции второй раз.

Угу, так и есть - первый вариант этой схемы работы доступен в 311 сбоке wks, текущее ограничение - файловая система ntfs на машине, предоставляющей файл.

В отчете это видно как "пропущено по iswift"

[TiX 0]

Сборка 312 (на фтп), все смотрим на второй пункт и радуемся ж)

Добавлено:

==========

Общее

1) защита от "авто-кликеров" на кнопки "Разрешить"

2) реализован сетевой iSwift

WkS

3) При изменении хеша правило AH автоматически не срабатывает.

4) Отключены алерты о сетях и про изменение хеша.

5) Группу PDM:Application activity вернули в политики с одним чекбоксом "enable/disable".

6) RegMonitor и OfficeGuard - все галки внутри групп поставлены обратно, но сняты чекбоксы "enable/disable" на первом уровне настроек.

7) Доделан визард политики - 3 закладки: добавлена первая - со списком выбора компонент с чекбоксами "enable/disable" в списке (по аналогии с Reset'ом) и кнопкой "Настроить"

8) Доделаны визарды создания задач ODS и Updater

8) Задачу "Scan" убрали из списка задач

9) Задачу "Scan Quarantine" также убрали из списка

10) При сканировании карантина и списка тритов из АдминКита используем зашитые настройки "Лечить, если невозможно удалять"

11) Проверка start-up объектов на XP64

Fixed:

=======

Kaspersky Lab > Issues > Software Development > Kaspersky Anti-Virus 6.0

Issue Id Title

09499 PDM: предлогаю зазищать ветки реестра shellex в которых прописан KIS

09817 GUI: В Applic.Int.Ctrl. для Keylog.detec. не работает переключ с Allow на Alert

10202 Не загружается компьютер с HT и windows 2000 после установки KIS 6.0

10261 Reports: Поломались отчеты при выполнении задачи сканирования "Мой компьютер"

Kaspersky Lab > Issues > Software Development > Kaspersky Anti-Virus 6.0 WKS

Issue Id Title

05738 раз в 5 секунд процесс avp и netagent занимают 10, 50% процессорного времени

06278 настройки политики Network Settings не соответствуют настройкам продукта по умол

06292 Нет возможности просмотра карантина и бекапа через консоль администрирования

06984 В консоли AdminKit в объектах сканирования преобразуются пути введенные с %-ми

Kaspersky Lab > Issues > Software Development > Kaspersky Anti-Virus 6.0 FS

Issue Id Title

05557 Не удаляются ключи реестра, содержащие eicar

07619 Report: Incorrected reason

08226 Startup objects: При сканировании стартап обьектов не вылечены ключи реестра

[Сергей Ильин 1537]

2) реализован сетевой iSwift

Это круто, интересно до конца года рабочая станция и файловый сервер выйдут в релиз?

[TiX 0]

Должны... вроде как осенью