Сергей Ильин

Мифы об Антивирусе Касперского

В этой теме 21 сообщений

Предлагаю в этой ветке вспомнить и обсудить основные мифы, связанные с Антивирусом Касперского по аналогии с такой же вектой про Доктор Веб

http://www.anti-malware.ru/phpbb/viewtopic.php?p=5548

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Предлагаю в этой ветке вспомнить и обсудить основные мифы, связанные с Антивирусом Касперского по аналогии с такой же вектой про Доктор Веб

http://www.anti-malware.ru/phpbb/viewtopic.php?p=5548

1. KAV самый медленный антивирус в мире

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

2. Антивирус Касперского требует намного больше ресурсов, чем другие антивирусы

Антивирусы Касперского: разящий меч революций

http://www.morepc.ru/security/antivirus/av...0051.html?print

Легенда о мастерах Мурамаса и Масамунэ

Мастер Мурамаса делал самурайские мечи, беспощадно разившие врага. Мастер Масамунэ ковал мечи как оружие, которому вверяют свою жизнь. Чтобы сравнить лучшие клинки, их вонзили в дно лесного ручья. Осенние листья, что плыли по течению, должны были соприкоснуться с творениями великих мастеров, но, о чудо: те листья, которым выпала судьба дотронуться до меча мастера Мурамаса, оказывались рассеченными надвое. Другие же опавшие листья тихо проплывали мимо меча мастера Масамунэ, не касаясь его.

Питер Hортон делал антивирусы грозные, как разящий самурайский меч. Евгений Касперский делал антивирусы капитальные, как железобетонные сваи. Чтобы сравнить их, к той сети, где постоянно кишели вирусы, подключили два ПК с Windows XP Professional и антивирусами Нортона и Касперского. Все вирусы, что попались антивирусу Hортона, оказались уничтоженными. А машину с антивирусом Касперского вирусы обходили стороной, ведь при 100%-ной загрузке центрального процессора сетевой адаптер просто не успевает общаться с сетью...

Я слышал это раньше, только вместо Нортона был Игорь Данилов :lol:

Добавлено спустя 4 минуты 18 секунд:

Кстати вот тут есть комменты самого Е.К. на этот материал в журнале "Мир ПК на статью с тем же названием

http://www.anti-malware.ru/phpbb/viewtopic.php?t=301

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Не удержусь - 2 основных мифа почти любого продукта:

- он самый плохой в мире

- он самый лучший на свете

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

попробуйте каспеер 5 версии устанвоить на пне 2, там все и решится, я ставил маккафе хоме версию 2006, удивительно тормозов при проверки не наблюдал,

Добавлено спустя 6 минут 21 секунду:

для меня каспер будет всегда продукт для любителей халявы, так как само руководство с этим не как не борится, кстати вы видели крэк на макафе или бидефендер? нет, так как они научилсь делать подписку на сервере,

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Что *писатель из-за трудности обойти КАВ лучше "крякнет" комп,где стоит другой АВ.

Этот миф верен для "нормальных" дилетантов-*писателей,другие знают,что вместо 10-и старых дыр осталось 3 (всё это - пример),из которых всё равно достаточно одной.И к ним добавилось X новых.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Милый Инкогн, я знаю что вас все здесь любят и понимают.

Но я хожу сюда довольно редко и поэтому из дружеских побуждений, специально для меня - расшифруй друг, что ты имел в виду.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Привет, молодёжь :)

А как вам такой миф:

Те, кто хорошо пишут вирусы, узнали о том, как обойти все новые защиты КАВ6.0 задолго до его релиза, потому что активно принимали участие в бета-тестинге и забыли рассказать о результатах разрабам :)

Правда, смешной миф? ;)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Привет, молодёжь :)

А как вам такой миф:

Те, кто хорошо пишут вирусы, узнали о том, как обойти все новые защиты КАВ6.0 задолго до его релиза, потому что активно принимали участие в бета-тестинге и забыли рассказать о результатах разрабам :)

Правда, смешной миф? ;)

Ну и чё? =) Я вот тоже знаю, как обойти КИС можно. Только так же можно обойти и любой другой известный мне антивирус. Без исключения. Так что рейтинг КИС это никак не опускает.

Ни один вменяемый специалист по информационной безопасности не скажет, что цель антивируса - обеспечить непроходимую защиту. Встретишь такого специалиста - посмейтесь ему в лицо. Цель защиты сделать так, чтобы взломщику не захотелось с ней возиться. Например, потому что продукты конкурентов обойти проще. В большинстве случаев у атакующего нет никакой цели атаковать ИМЕННО конкретный комп (если только это не комп Пентагона, или атакующий - не script kiddie, желающий отомстить Пете за то, что этот свин увёл у него Машу...).

Выше кто-то написал, что это миф. Так вот, зря он так думает, имхо. Никто не любит лишней работы - ни начинающий хаЦкер, ни продвинутый. Знаешь, что мне сказал один знакомый, когда я ему описал самозащиту КИС? Он сказал: "ну и чё? Мало что ли вокруг серваков с Norton AV 2003, которого я убью через taskkill /f"?

А непроходимой защиты нет. И это открыто признают сами разработчики.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Хм, то бишь разрабатывать фичи нужно не для того, чтобы нельзя было обойти, а для того, чтобы убедить пользователя в том, что нельзя обойти?

А красивые мануалы пишутся для того, чтобы было что почитать перед сном, чтобы растянуть лицо в довольной улыбке и быстрее заснуть? Несмотря на то, что "один знакомый" знает, как сдуть одним дыханием этот красивый, но непрочный домик Пиф-Пифа?

Т.е. развод, получается?

И КАВ тоже открыто признаёт, что его защита, которая непроходима - лишь мультик для пользователя?

Супер :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Хм, то бишь разрабатывать фичи нужно не для того, чтобы нельзя было обойти, а для того, чтобы убедить пользователя в том, что нельзя обойти?

Я не это сказал. Я сказал, что разрабатывать фичи нужно для того, чтобы хакер посчитал НЕЦЕЛЕСООБРАЗНЫМ атаковать тебя. Это базовое правило информационной безопасности, преподаётся на первой лекции по соответствующему предмету в ВУЗе. Что такое НЕЦЕЛЕСООБРАЗНЫМ - это уже другой вопрос. Самый простой вариант (в данном случае мало применимый) - удачный взлом принесёт хакеру меньше денег, чем ему понадобится, чтобы тебя взломать. Гораздо более подходящий в нашем случае пример - хакеру гораздо быстрее и проще ломануть вместо твоего компа комп твоего соседа, влюблённого в другой антивирус. Вот и всё, что я сказал.

Ты же сам понимаешь, я думаю, что идеальной защиты создать попросту невозможно. Всегда, ВСЕГДА найдётся дыра или хотя-бы дырочка. Именно поэтому и существует приведённый выше принцип. Специалисты по безопасности решили остаться в нашей реальности, вместо того, чтобы отдаляться в теоретическую, как обычно делают академики =)

И КАВ тоже открыто признаёт, что его защита, которая непроходима - лишь мультик для пользователя?

Супер :)

Вот именно за это я уважаю разработчиков ЛК. Они НИКОГДА не говорили, что у них непроходимая защита. Я могу привести тебе линк на пост лично Евгения Касперского, который говорит, что непроходимой защиты не существует. Но это совсем не значит, что антивирус - бесполезная вещь. Его цель - СИЛЬНО ЗАТРУДНИТЬ (желательно сильнее, чем это делают конкуренты) проникновение на твой комп. Это отсеивает script kiddies, а опытных заставляет повышать стоимость своих троянов. Стоимость повышается - некоторые покупатели отсеиваются. Ну ты понял идею...=)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

"Я не это сказал. Я сказал, что разрабатывать фичи нужно для того, чтобы хакер посчитал НЕЦЕЛЕСООБРАЗНЫМ атаковать тебя. Это базовое правило информационной безопасности, преподаётся на первой лекции по соответствующему предмету в ВУЗе. Что такое НЕЦЕЛЕСООБРАЗНЫМ - это уже другой вопрос. Самый простой вариант (в данном случае мало применимый) - удачный взлом принесёт хакеру меньше денег, чем ему понадобится, чтобы тебя взломать. Гораздо более подходящий в нашем случае пример - хакеру гораздо быстрее и проще ломануть вместо твоего компа комп твоего соседа, влюблённого в другой антивирус. Вот и всё, что я сказал."

Тут согласен :)

"Ты же сам понимаешь, я думаю, что идеальной защиты создать попросту невозможно. Всегда, ВСЕГДА найдётся дыра или хотя-бы дырочка. Именно поэтому и существует приведённый выше принцип. Специалисты по безопасности решили остаться в нашей реальности, вместо того, чтобы отдаляться в теоретическую, как обычно делают академики =) "

"Вот именно за это я уважаю разработчиков ЛК. Они НИКОГДА не говорили, что у них непроходимая защита. Я могу привести тебе линк на пост лично Евгения Касперского, который говорит, что непроходимой защиты не существует. Но это совсем не значит, что антивирус - бесполезная вещь. Его цель - СИЛЬНО ЗАТРУДНИТЬ (желательно сильнее, чем это делают конкуренты) проникновение на твой комп."

Т.е. затруднить работу хакерам тем, что компьютер из-за работы антивируса будет медленнее сканироваться на наличие уязвимостей извне? ;)

Мне кажется, разработчики КАВа придумали одну реальность для пользователей, о другой знают сами, а третья реальность на самом деле :)

Но ту, которую они придумали для своих пользователей они холят и лелеят :)

Хотя я понял и ту мысль, что ты хотел сказать :)

" Это отсеивает script kiddies, а опытных заставляет повышать стоимость своих троянов. Стоимость повышается - некоторые покупатели отсеиваются. Ну ты понял идею...=)"

Т.е. КАВ повышает зарплату троянописателям? :)

Да уж, у всего есть две стороны медали :)

Ладно, пойду я покимарю.

Спасибо за интересный разговор :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Привет, молодёжь :)

А как вам такой миф:

Те, кто хорошо пишут вирусы, узнали о том, как обойти все новые защиты КАВ6.0 задолго до его релиза, потому что активно принимали участие в бета-тестинге и забыли рассказать о результатах разрабам :)

Правда, смешной миф? ;)

И тебе привет

Очень смешной. ;-)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Т.е. развод, получается?

И КАВ тоже открыто признаёт, что его защита, которая непроходима - лишь мультик для пользователя?

Нет, это не развод, человек покупая антивирус должен осозновать, что 100% защиты ему никто не гарантирует, это невозможно. Потому что сломать можно все, вопрос только во времени и деньгах, думаю тут никто спорить не будет.

Ясно, что если кто-то будет знать точно, что у вас на компе КАВ 6.0 и задастся целью сломать вас, то он это все равно сделает.

Вот именно за это я уважаю разработчиков ЛК. Они НИКОГДА не говорили, что у них непроходимая защита.

Да, ЛК открыто признают, что идеальной защиты нет.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Ну и чё? =) Я вот тоже знаю, как обойти КИС можно. Только так же можно обойти и любой другой известный мне антивирус. Без исключения. Так что рейтинг КИС это никак не опускает.

Ни один вменяемый специалист по информационной безопасности не скажет, что цель антивируса - обеспечить непроходимую защиту. Встретишь такого специалиста - посмейтесь ему в лицо. Цель защиты сделать так, чтобы взломщику не захотелось с ней возиться. Например, потому что продукты конкурентов обойти проще. В большинстве случаев у атакующего нет никакой цели атаковать ИМЕННО конкретный комп (если только это не комп Пентагона, или атакующий - не script kiddie, желающий отомстить Пете за то, что этот свин увёл у него Машу...).

Выше кто-то написал, что это миф. Так вот, зря он так думает, имхо. Никто не любит лишней работы - ни начинающий хаЦкер, ни продвинутый. Знаешь, что мне сказал один знакомый, когда я ему описал самозащиту КИС? Он сказал: "ну и чё? Мало что ли вокруг серваков с Norton AV 2003, которого я убью через taskkill /f"?

А непроходимой защиты нет. И это открыто признают сами разработчики.

Все верно, но, если я не ошибаюсь, Goudron как раз считает, что утверждение "бета-тестеры одновременно являются одновременного хакерами" следует относить к разряду мифов.

Добавлено спустя 7 минут 14 секунд:

Хм, то бишь разрабатывать фичи нужно не для того, чтобы нельзя было обойти, а для того, чтобы убедить пользователя в том, что нельзя обойти?

Конечно же нет.

А красивые мануалы пишутся для того, чтобы было что почитать перед сном, чтобы растянуть лицо в довольной улыбке и быстрее заснуть?

Мануалы пишут для того, что бы помочь пользователю освоить программу. Это, я думаю, Вы опровергать не будете.

Несмотря на то, что "один знакомый" знает, как сдуть одним дыханием этот красивый, но непрочный домик Пиф-Пифа?

Пробить можно, практтически любую защиту. Или Вы придерживаетесь другого мнения?

Т.е. развод, получается?
.

Не понимаю, на каком основании Вы делаете такой вывод.

И КАВ тоже открыто признаёт, что его защита, которая непроходима - лишь мультик для пользователя?

Супер :)

Вы явно утрируете.

Добавлено спустя 7 минут 27 секунд:

Т.е. развод, получается?

И КАВ тоже открыто признаёт, что его защита, которая непроходима - лишь мультик для пользователя?

Нет, это не развод, человек покупая антивирус должен осозновать, что 100% защиты ему никто не гарантирует, это невозможно. Потому что сломать можно все, вопрос только во времени и деньгах, думаю тут никто спорить не будет.

Ясно, что если кто-то будет знать точно, что у вас на компе КАВ 6.0 и задастся целью сломать вас, то он это все равно сделает.

Вот именно за это я уважаю разработчиков ЛК. Они НИКОГДА не говорили, что у них непроходимая защита.

Да, ЛК открыто признают, что идеальной защиты нет.

Согласен.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

"Вы явно утрируете."

Чтобы что-то понять, надо это разобрать на как можно более мелкие детальки :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Т.е. затруднить работу хакерам тем, что компьютер из-за работы антивируса будет медленнее сканироваться на наличие уязвимостей извне? ;)

Нет, затруднить работу хакерам проактивной и многоуровневой защитой. Сорри, что звучит как в рекламе =)

Мне кажется, разработчики КАВа придумали одну реальность для пользователей, о другой знают сами, а третья реальность на самом деле :)

Если кто-то что-то и придумал, то это маркетинг. Он, понятное дело, хочет продать продукт. И названия технологий придумывает покрасивее. И правильно делает, это его работа. Продвинутый же юзер будет конечно выбирать продукт не по названиям технологий, а по качеству работы продукта. Но это совсем не означает, что он при этом не выберет всё тот же продукт с красивыми названиями технологий =)

Т.е. КАВ повышает зарплату троянописателям? :)

Кстати, да! =) Только подумай как ВВП растёт от этой вечной войны вирусов с антивирусами! Лет десять назад вирусы бесплатно валялись в инете, антивирусы стояли далеко не у всех... А теперь в безопасность денег вкладывают больше, чем в любую другую отрасль IT, и при это трояны продаются по штуке баксов и выше. Ибо то, что просто валяется в сети, обычно ловится практически любым более-менее известным антивирусом... Селяви...

А с повышением стоимости трояна часть покупателей теряется, как ни крути. Вряд ли вышеупомянутый чувак купит троян за штуку баксов только ради мести Пете...=) Хотя общий ущерб от троянов всё равно растёт - просто выгода от удачной атаки гораздо выше, чем это было десять лет назад...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

"Кстати, да! =) Только подумай как ВВП растёт от этой вечной войны вирусов с антивирусами! Лет десять назад вирусы бесплатно валялись в инете, антивирусы стояли далеко не у всех... А теперь в безопасность денег вкладывают больше, чем в любую другую отрасль IT, и при это трояны продаются по штуке баксов и выше."

Супер :)

Интересные размышления, по мне :)

Борьба с наркобаронами обогащает наркобаронов :)

Борьба с вирусами обогащает вирусописателей :)

Борьба сторонников Касперыча и Дохтура обогащает обоих :)

Мир, дружба, жвачка :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Вам осталось только придти в выводу, что антивирусные компании сами пишут вирусы.

Кстати еще один миф вспонил: "Лаборатория Касперского так быстро реагирует на новые вирусы из-за близости к вирусописателям (читай она сама пишет вирусы"

Такую фигню приходится читать почти на кажом форуме по безопасности :D

P.S. Только не надо вспоминать про статью в прессе, про тока как якобы в ЛК ФСБ нашла комп с исходинками вирусов :lol:

Так дата была 1-е апреля, а то некоторые с пеной у рта мне пересказывали ее как истинный факт :-)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Гость
Эта тема закрыта для публикации ответов.
Anti-Malware.ru Вконтакте   Anti-Malware.ru в Facebook   Anti-Malware.ru в Twitter   Anti-Malware.ru в LinkedIn   RSS
  • Сообщения

    • ViktorFazz
      я себе недавно построил тоже)))
    • AM_Bot
      В статье рассказано о возможностях системы StaffCop Enterprise 4.1 в части аналитики поведения пользователей и выявления аномалий. StaffCop Enterprise — это специализированный продукт с функциями UEBA, DLP и SIEM. Он предназначен для решения комплекса задач по защите от утечек информации, расследования инцидентов внутри организации, контроля бизнес-процессов и мониторинга использования рабочего времени сотрудниками.   ВведениеСбор данныхСтатистический анализИнтеллектуальный анализ. Автоматический детектор аномалийПредупреждение и расследованиеДополнительные возможности StaffCopВыводы  ВведениеОдна из основных, самых серьезных угроз для бизнеса сегодня — это утечки конфиденциальной информации. Как правило, источниками таких угроз являются недобросовестные сотрудники компаний — инсайдеры. Инсайдером может стать абсолютно любой сотрудник: и молодой сисадмин, и сотрудница бухгалтерии. Мотивы у них могут быть совершенно различные: подкуп со стороны конкурентов или заинтересованных лиц, шантаж, личная выгода и многое другое.Традиционно для защиты от утечек применяются системы класса DLP. Но чем сложнее и изощреннее становятся методы атак, тем сложнее DLP-решениям контролировать потенциальные каналы утечек. Классический алгоритм выявления инсайдеров и предотвращения утечек (настроить правило контроля/блокировки — получить уведомление об утечке) работает уже не так эффективно: выявить утечку данных сложно и долго, если, например, «слив» произошел через разрешенные каналы (USB-носители, мессенджеры) и пользователь при этом имел санкционированный доступ к ресурсам.Одним из новых, но достаточно эффективных методов детектирования инсайдеров стал анализ поведения пользователей и выявление аномалий в их поведении. Подход подразумевает, что необычная активность, не соответствующая стандартному профилю, может более точно указывать на потенциальные инциденты информационной безопасности. По классификации Gartner, этот класс решений называется User and Entity Behavior Analytics (UEBA). Это новый тренд, активно набирающий обороты на рынке информационной безопасности. Решения этого класса анализируют образцы поведения пользователей, применяя специализированные алгоритмы и статистический анализ для детектирования значительных аномалий в поведении, указывающих на потенциальные угрозы. Таким образом, UEBA призваны заблаговременно обнаружить и предупредить об отклонениях в поведении.StaffCop Enterprise, о котором мы подробно поговорим в этой статье, — это специализированный продукт с функциями UEBA, DLP и SIEM. Он помогает решать комплекс задач по предотвращению утечек информации, расследованию инцидентов, если таковые произошли, а также контролировать бизнес-процессы и то, как рабочее временя используется сотрудниками. Сбор данныхИнформационная безопасность складывается из двух взаимодополняющих частей: предупреждение и расследование инцидентов. Оба механизма работают быстро и эффективно благодаря архитектуре StaffCop: агенты на рабочих станциях собирают информацию (события), а вся обработка происходит на выделенном сервере.Каждый тип события имеет свой набор измерений, по которым события разных типов могут быть связаны между собой. Каждое событие имеет стандартный набор измерений — данные о компьютере, пользователе, дате и времени, а также собственные атрибуты характерных для данных событий. Например, события типа «почта» имеют дополнительные измерения — данные о приложении, атрибуты, специфичные для диалогов: направление (входящие/исходящие), отправитель, получатель, формат сообщения, канал общения, участники переписки. Рисунок 1. Контроль каналов утечки информации Типы событий в StaffCop Enterprise:время активности — данные о наличии активности;ввод с клавиатуры;вход/выход из системы;посещение сайтов;операции с файлами;сеть — события, связанные с сетевыми подключениями, содержат информацию об IP-адресе подключения и сокете;снимок экрана;снимок с веб-камеры;запись с микрофона;внешние диски — данные об операциях со съемными USB-накопителями;установка ПО — факты установок и деинсталляции программного обеспечения;буфер обмена;интернет-пейджер;почта;перехваченный файл;устройства — данные о подключении и отключении USB-устройств, в том числе тех, которые не являются накопителями;активность — данные, собранные при помощи модуля контроля присутствия на рабочем месте;системный лог — используется для хранения логов агента при отладке;печать документов. Статистический анализВ основе StaffCop Enterprise лежит технология комплексного многомерного анализа данных OLAP, которая позволяет строить многомерные отчеты «на лету» и обрабатывать огромные объемы данных за секунды.Давайте рассмотрим несколько примеров, как в StaffCop можно анализировать поведение пользователей и быстро выявлять их опасные действия на основе статистики с помощью конструктора отчетов, различных таблиц и графиков.Поиск и расследование аномалий на примере файловых операцийЗадача: проанализировать операции копирования файлов с участием съемных носителей. Найдем отклонения от нормального поведения и всплески активности, узнаем, кто это был, что и когда было скопировано.Самым наглядным способом будет построить линейный график количества событий копирования файлов на съемные носители.  Сделать это очень просто — указать интересующий интервал времени, в конструкторе отчетов ограничить набор данных по измерениям «операции копирования», «тип диска: Removable» и выбрать вид отображения «Линейный график». Рисунок 2. Линейный график количества событий копирования файлов Невооруженным взглядом видно значительное превышение фактов копирования файлов в один из дней. При нажатии на вершину графика можно перейти к списку всех операций копирования в этот день.Для детализации данных можно просто кликнуть на нужный узел графика. На картинке ниже мы «провалились» глубже и визуализировали полученные данные с помощью гистограммы, разбив в конструкторе данные по пользователям. Рисунок 3. Детализация данных: гистограмма Если вы предпочитаете числовые значения графическому представлению можно воспользоваться таблицами. Рисунок 4. Визуализация отчета: числовые значения Стоит отметить, что все графики и таблицы имеют собственный конструктор для быстрой детализации и уточнения данных. Рисунок 5. На тепловой диаграмме можно оценить интенсивность и время всех операций исследуемого пользователя В нашем случае пользователь непрерывно копировал файлы с 11:15 до 13:37. В просмотрщике событий легко догадаться, что это исходные коды одного из дистрибутивов Linux, которые были скопированы с жесткого диска на флэш-накопитель Kingston DataTraveler 2.0 USB Device. Рисунок 6. Детализация события в StaffCop Enterprise Таким образом можно быстро и эффективно находить нетипичную активность пользователей или программ. Такие действия применимы практически к любым видам событий.Опасные действия чаще всего возникают при спонтанной активизации:обращения к личной почте;сетевая активность приложений;подключение съемных USB-устройств: флэшек, телефонов и т. п.;использование принтера;активность во внерабочее время. Интеллектуальный анализ. Автоматический детектор аномалийДля того чтобы упростить работу сотрудника службы безопасности для аналитики действий пользователей и выявления отклонений в StaffCop реализован автоматический детектор аномалий. Он анализирует поведение пользователя за выбранный период времени и показывает отклонения от нормального поведения. Рисунок 7. Автоматический детектор аномалий в StaffCop Enterprise Например, каждый сотрудник ежедневно использует одни и те же приложения примерно одинаковое число раз. Если число операций многократно превышает стандартное значение, то StaffCop Enterprise выдает такое событие за аномальное поведение, что может являться потенциальной угрозой.Поиск и расследование аномалий на примере копирования в облакоРабочая инструкция офицера безопасности предприятия может включать различный набор инструкций. В этом примере одной из таких еженедельных рутинных задач является проверка фактов копирования файлов в облачные сервисы.Детектор аномалий позволяет в автоматическом режиме находить отклонения от стандартного поведения пользователей. Для того чтобы эта функция корректно работала, необходимо задать представительный промежуток времени, чтобы система смогла построить паттерны поведения и найти в них отклонения от нормы. Поэтому выбираем 30-дневный период. Рисунок 8. Выбор временного периода для запуска Детектора аномалий Чтобы запустить Детектор аномалий, необходимо нажать соответствующую опцию в выпадающем меню Отчеты. Рисунок 9. Запуск «Детектор аномалий» в StaffCop Enterprise В появившемся отчете находим, что пользователь Oksana в семь раз превысила свою же норму копирования файлов в облачный сервис Dropbox.com. Рисунок 10. Отчет по аномалиям в StaffCop Enterprise Простой комбинацией фильтров в Конструкторе располагаем данные в отчете таким образом, чтобы название считанного с жесткого диска файла появлялось в таблице операций рядом с именем передаваемого в облачный сервис файла. Рисунок 11. В отчете StaffCop Enterprise видно, кто, когда и какие файлы передавал за периметр сети На приведенном скриншоте видно, что в 12:58:28 12 сентября 2017 г. файл «Технико-коммерческое предложение StaffCop Enterprise.docx» был считан с жестокого диска компьютера пользователя Oksana, а в следующую секунду (12:58:29) этот же файл был передан в облачный сервис.Вывод: при помощи Детектора аномалий, встроенного в StaffCop Enterprise 4.1, возможно выявлять инциденты автоматически. Предупреждение и расследованиеДля предупреждения угроз StaffCop имеет емкую библиотеку встроенных фильтров и предоставляет широкие возможности для построения собственных: это может быть ключевая фраза, файл или любое другое событие на компьютере пользователя.Кроме того, в системе предусмотрены также исключающие фильтры (анти-фильтры) — можно исключить из выборки заведомо неинтересные события. Таким образом, возможно коррелировать и фильтровать любые события, содержащиеся в базе данных. Рисунок 12. Исключающие фильтры (анти-фильтры) в StaffCop Enterprise 4.1 Способ оповещения о сработавшем фильтре можно настроить в зависимости от срочности: отправкой сообщения на электронную почту офицера ИБ или уведомлением в панели администратора StaffCop. Дополнительные возможности StaffCopStaffCop Enterprise позволяет также легко контролировать дисциплину сотрудников, выявлять блокирующие факторы и расследовать причины их появления:Учет рабочего времени сотрудников в онлайн-режиме (табель учета рабочего времени, детализированные отчеты о рабочем времени каждого сотрудника).Контроль присутствия на рабочем месте.Снимки экрана.Просмотр удаленного рабочего стола и удаленное управление.Подключение к рабочему столу пользователя осуществляется прямо из консоли администратора в браузере, при желании можно захватить управление компьютером. Рисунок 13. Удаленное подключение к рабочему столу сотрудника компании ВыводыStaffCop Enterprise представляет собой мощный набор инструментов для анализа событий и информации, что позволяет оценивать и контролировать продуктивность сотрудников за компьютерами, быстро и точно расследовать инциденты информационной безопасности внутри предприятия, а также решить широкий спектр задач, связанных с ИБ-аналитикой. С помощью StaffCop Enterprise можно контролировать критичные информационные ресурсы на предмет подозрительной активности и нетипичного поведения.Система имеет гибкую настройку фильтров и оповещений, поэтому возможную утечку или вторжение удается обнаружить на ранней стадии, чем существенно сократить последствия. Глобальная система записи всех возможных событий позволяет в случае произошедшего инцидента быстро добраться до источника утечки и точно назвать время, автора и объем утраченной информации. Тепловые карты активности, графы взаимодействий сотрудников и движения информации, настраиваемые графики событий, предустановленные и пользовательские фильтры — все это помогает отследить любой сценарий поведения. Для анализа не нужно обладать специальными знаниями: достаточно понимать, что ищешь, и просто выбирать поля в форме.Таким образом, StaffCop Enterprise позволяет сократить время, требуемое как на обнаружение реальной угрозы, так и на дальнейшее расследование инцидентов с критичными данными. Читать далее
    • Valeron
      Кто делает ставки на футбол, посоветуйте букмекера? 
    • Valeron
      Нужно уметь работать на дому)
    • Valeron