Антивирусная защита компьютерной сети

Основы построения локальной компьютерной сети

Для организации полноценной и эффективной работы локальной компьютерной сети, необходимо, чтобы компьютеры в ней:

Целесообразность выделения под каждую из перечисленных задач отдельного компьютера или даже нескольких компьютеров целиком и полностью зависит от размера локальной сети, выполняемых функций и интенсивности трафика по каждому из направлений обмена информацией.

Большинство существующих сегодня в мире компьютерных сетей - это сети среднего масштаба, имеющие в своем составе один шлюз, который отвечает за связь с Интернет, один почтовый сервер, принимающий и пересылающий электронные письма, несколько сетевых серверов и десятки рабочих станций. На рисунке 9.1 изображена упрощенная схема такой типовой локальной сети.

Каждый элемент локальной компьютерной сети можно охарактеризовать списком доступных для него способов обмена информацией и в соответствии с этими данными разделить все компьютеры на такие сегменты:

Естественно, рабочие станции также могут принимать электронную почту, однако фактически они ее копируют либо с почтового сервера, либо со шлюзаТо, откуда пользователь получает электронную корреспонденцию, зависит от расположения почтового сервера, на котором расположен его почтовый ящик. Если это корпоративный сервер электронной почты, который принадлежит данной локальной сети - то с этого сервера, если же имеется в виду публичный почтовый сервер - то напрямую через шлюз, что можно приравнять к внутрисетевому обмену данными.

Мобильные носители в явном виде здесь не рассматриваются, поскольку они предназначены как для работы в подключенном к сети состоянии, так и в автономном режиме. С этой точки зрения их можно рассматривать как рабочие станции, которые особо интенсивно обмениваются данными с внешними источниками при помощи не внутрисетевых технологий связи.

Уровни антивирусной защиты

Для инфицирования системы вирусом необходимо наличие каналов связи с другими компьютерами. Причем чем их больше и чем менее они защищены, тем выше вероятность заражения. Таким образом, архитектура системы антивирусной защиты сильно зависит от функции рассматриваемого компьютера, а именно от присутствующих у него каналов связи с окружающим миром. Поскольку именно по этим характеристикам выше было введено разделение сети на сегменты, то удобно выделить и соответствующие уровни антивирусной защиты:

В этой классификации на каждый почтовый сервер могут быть установлены одновременно программы, реализующие уровень защиты рабочих станций и сетевых серверов и программы, относящиеся к уровню защиты почтовых серверовЭто происходит потому, что почтовый сервер, кроме выполнения функций по обработке почты, является и обычным компьютером в сети. Обычно он относится к серверам, а не рабочим станциям, поскольку большинство серверных почтовых программ требуют установки серверной же операционной системы. Аналогично дело обстоит и со шлюзами - программное обеспечение уровня рабочих станций и сетевых серверов и уровня защиты шлюзов.

Уровень защиты рабочих станций и сетевых серверов

Уровень защиты рабочих станций и сетевых серверов - самый обширный. Он охватывает все компьютеры локальной сети и служит самым последним оплотом на пути проникновения вредоносных программ. Даже если где-то в системе антивирусной защиты случился прокол и одна машина все же оказалась заражена, установленные на остальных компьютерах антивирусные программы должны предотвратить дальнейшее распространение эпидемии по сети. На этом уровне используются антивирусные комплексы для защиты рабочих станций и сетевых серверов.

Защита рабочих станций и сетевых серверов ответственна в первую очередь за чистоту файловой системы каждого из компьютеров сети. Следовательно, она в обязательном порядке должна содержать постоянную проверку как механизм предотвращения заражения системы вирусами, проверку по требованию - процедуру для тщательной ревизии рассматриваемой машины и нейтрализации проникших на нее вредоносных программ, и модуль для поддержания вирусных сигнатур в актуальном состоянии. Дополнительно, для рабочих станций накладывается требование к наличию процедур проверки почтовых сообщений.

Наличие десятков, сотен, а иногда и тысяч компьютеров, объединенных в одну локальную сеть требует немалых затрат для администрирования каждого из них. Для того чтобы это было по силам сделать сравнительно малочисленной группе администраторов, применяются различные специальные программы и утилиты для централизованного удаленного управления. С их помощью администратор может не вставая из-за своего компьютера одновременно управлять и настраивать программы на удаленных компьютерах и подчиненных ему других элементах сети.

Следовательно, к антивирусному комплексу для защиты рабочих станций и сетевых серверов предъявляется дополнительное требование - наличие в его составе программного средства для удаленного централизованного управления локальными приложениями.

Уровень защиты почты

Защита почты - это вторая ступень в антивирусной защите сети. Она служит для уменьшения нагрузки и увеличения надежности системы защиты рабочих станций и сетевых серверов. Дополнительно антивирусная проверка почты, а именно исходящей корреспонденции, в случае одиночного вирусного инцидента внутри сети послужит преградой для распространения этого вируса на другие, внешние, компьютеры. В системе защиты этого уровня используется комплекс для защиты почтовых систем.

В общем случае почтовым сервером называется компьютер, на котором установлена и успешно функционирует программа по обработке почты. Почтовый сервер относится к серверной группе, а не к рабочим станциям. Это объясняется тем, что его главное предназначение состоит в обеспечении работы почтовой системы, а не в решении локальных прикладных задач. Таким образом, почтовый сервер фактически представляет собой хранилище информации (электронных писем) для других сетевых пользователей.

Почтовая программа или агент пересылки сообщенийВ литературе иногда используется английский термин MTA - аббревиатура от англ. Mail Transfer Agent (агент пересылки сообщений) осуществляет передачу электронных писем от одного компьютера к другому. Обычно это происходит в такой последовательности: компьютер отправителя, который находится во внутренней сети, связывается с почтовой программой на сервере и пересылает ей письмо. Далее почтовый сервер выделяет из письма адрес получателя и производит дальнейшее перенаправление - в Интернет или обратно в локальную сеть другому пользователю из нее. Аналогично происходит и обратная пересылка: на сервер приходит извне письмо, адресованное пользователю, имеющему на нем почтовый ящик. После этого через свой почтовый агент пользователь уведомляется, что у него в ящике появилось новое сообщение. Если он захочет его получить, то почтовый агент связывается с сервером и копирует файлы письма на машину пользователя. Таким образом, на сервере образуется очередь из еще не отосланных и еще неполученных писем, а также полностью или частично хранится входящая корреспонденция.

Следовательно, антивирусная проверка должна включать в себя как проверку всех проходящих через почтовую программу потоков, так и хранилища электронных писем.

Поэтому антивирусный комплекс для защиты почты должен содержать:

Уровень защиты шлюзов

В большинстве случаев антивирусная защита на уровне шлюза играет вспомогательную роль в общей системе антивирусной безопасности сети. Это происходит потому, что задача такого антивирусного комплекса - только проверка поступающей извне информации на наличие в ней вредоносных программ. Однако даже если вирус проникнет сквозь шлюз, заразить ни один компьютер ему не удастся: его перехватит антивирус на локальной машине, а в случае инфицированного почтового сообщения - он будет остановлен еще на почтовом сервере.

Однако такой сценарий реализуется только при исправно и бесперебойно работающей системе антивирусной защиты сети, в частности на уровне защиты рабочих станций и сетевых серверов. На практике же часто встречаются сбои. Причем чем больше локальная сеть, тем больше вероятность, что такой инцидент может случиться. Несмотря на то, что распределенная система защиты рабочих станций и сетевых серверов не даст в любом случае такому вирусу распространиться далее по сети и он будет локализован на одной инфицированной машине, это все равно не очень хорошо, потому что на ней тоже могут храниться очень важные документы и при отсутствии защиты шлюза вирус сможет, например, произвести несанкционированную рассылку или позволить злоумышленнику похитить конфиденциальную информацию.

Поэтому антивирусная защита шлюза позволяет существенно увеличить надежность антивирусной защиты в целом.

Дополнительно, в случае вирусной эпидемии в Интернет, именно система защиты шлюза прореагирует и уведомит администратора первой, что позволит ему оперативно принять меры по повышению уровня защиты, например, провести срочное внеочередное обновление антивирусных баз или даже отключить отдельные особо важные или секретные компьютеры от сети.

По определению шлюз - это компьютер с установленной программой, реализующий механизм передачи данных от одной сети к другой. Обычно под этим подразумевается переход локальная сеть - сеть Интернет и все за редким обоснованным исключением компьютеры сети связываются с Интернет только через шлюз.

Основной функционал шлюза состоит в передаче запросов от одного сегмента, в другой. Например, если внутреннему пользователю нужно загрузить информацию с внешнего веб-сайта, он направляет соответствующий запрос на шлюз, который на основе этих данных запрашивает удаленный веб-сервер, получает с него требуемую информацию и передает ее пользователю. Шлюз также может работать и в обратном направлении - когда веб-сайт находится внутри локальной сети, а запрос идет от внешнего пользователя. В случае корпоративной электронной почты в роли пользователя выступает почтовый сервер.

Аналогично защите почты, на уровне защиты шлюза используется антивирусный комплекс для защиты шлюзов. Он отвечает только за проверку проходящих через него данных, а за чистоту файловой системы ответственен комплекс по защите сетевых серверов. Поэтому программный комплекс для защиты шлюзов должен содержать только фильтры для проходящих через него потоков. Обычно это HTTPHTTP (от англ. Hypertext Transfer Protocol - протокол передачи гипертекста) - это стандарт, определяющий алгоритм передачи информации в различных форматах. Это самый распространенный на сегодняшний день протокол, FTPFTP (от англ. File Transfer Protocol - протокол передачи файлов) определяет механизм передачи файлов в компьютерных сетях. FTP является один из старейших протоколов, он был предложен в 1971 году, в то время как HTTP - только в 1990 и SMTPSMTP (от англ. Simple Mail Transfer Protocol - простой протокол передач и почты) - это сетевой протокол, предназначенный для передачи электронных сообщений.

Централизованное управление антивирусной защитой

Как уже упоминалось выше, для локальной сети, насчитывающей десятки или больше компьютеров, использование системы удаленного централизованного управления антивирусной защитой оказывается очень полезным. Она позволяет администратору не вставая из-за своего рабочего места обслуживать все входящие в его ведение рабочие станции и сетевые сервера: удаленно настраивать политики антивирусной безопасности, запускать проверку объектов на наличие в них вирусов, включать или выключать постоянную защиту, централизованно обновлять антивирусные базы, разрешать или запрещать пользователям самим менять какие-либо настройки, в том числе позволять или не позволять им видеть, что на компьютере вообще установлен и работает антивирус. Однако главное преимущество использования такой системы - это возможность тотального контроля за вирусной активностью и состоянием антивирусной защиты в сети, быстрого обнаружения и оперативного устранения всех вирусных инцидентов.

Логическая сеть

Ситуация, когда один администратор управляет антивирусной защитой всех без исключения входящих в локальную сеть компьютеров, встречается очень редко. Это происходит потому, что обычно есть ряд машин, содержащих особо конфиденциальную информацию и нуждающихся в индивидуальном подходе (например, личный компьютер директора) или целые отделы, не имеющими физической связи с остальной локальной сетью (обычно так устроены финансовые и другие департаменты, работающие с секретными данными).

Поэтому в отношении системы удаленного администрирования употребляется термин логической сети, под которым понимается группа компьютеров, управление антивирусной защитой которых может вестись из одного источника.

Таким образом, если в организации, которой принадлежит локальная сеть, есть несколько связанных только через Интернет филиалов, то управление антивирусной защитой может осуществляться полностью централизованно одним администратором или же может быть разбито на отдельные сегменты. Часто в больших компаниях можно встретить смешанный вариант - вся локальная сеть разбита на связанные между собой подсети разных масштабов и за каждой из них следит отдельный человек, но существует главный администратор, который может со своего рабочего места в любой момент вмешаться в работу своих подчиненных и взять управление на себя.

Компоненты

Система удаленного централизованного управления обычно состоит из таких отдельных программных компонентов:

На рисунке 9.3 представлена схема взаимодействия перечисленных компонентов, а на рисунке 9.4 - схема сбора и передачи на хранение серверу администрирования данных о состоянии антивирусной защиты.

Приведенная схема реализована в большинстве популярных антивирусных комплексов, однако существуют программы, которые немного иначе распределяют функции среди своих компонентов. Однако общий алгоритм работы системы удаленного централизованного управления остается таким же.