Проактивная система защиты Safe’n'Sec

Проактивная система защиты Safe’n'Sec


Российская компания StarForce (http://www.star-force.ru/) известна одноименным механизмом защиты дисков от нелегального копирования. Ее новая разработка Safe’n'Sec (http://www.safensoft.ru/), представленная в ноябре 2004 года, сразу получила признание, а журнал PC Magazine/RE назвал ее антивирусом месяца. Safe’n'Sec не относится к антивирусам, а принадлежит к классу систем проактивной защиты, которые анализируют подозрительное поведение пользователя или программы.

Для малых и средних предприятий, а также индивидуального, в том числе домашнего, использования предназначены версии Personal и Pro. Версии Business и Enterprise, обладающие дополнительными возможностями по защите компьютеров корпоративной сети предприятий различного уровня от вредоносного ПО, вторжений в сеть и инсайдеров, для домашнего компьютера излишни (хотя, например, их модуль Timing, представляющий собой систему контроля активности сотрудника и учета рабочего времени, будет полезен для отслеживания времени, проведенного за компьютером ребенком).

Продукт Safe’n'Sec доступен в нескольких вариантах. Самым простым является Safe’n'Sec Pro Персональный – стандартная разработка, обеспечивающая проактивную защиту компьютера, отслеживающая поведение вредоносных программ и осуществляющая их блокировку, защищает компьютер от небезопасных действий начинающих пользователей. Версия Safe’n'Sec Pro Deluxe кроме этого обеспечивает защиту от руткитов и лечит инфицированные файлы. Существуют также комбинированные решения. Safe’n'Sec Pro Deluxe + Elcom soft system recovery дополнительно к возможностям варианта Deluxe содержит модуль Elcomsoft system recovery (ESR), который предоставляет возможность доступа в Windows с нужными привилегиями в случае утери пароля или если учетная запись случайно заблокирована. Вариант Safe’n'Sec Pro + Антивирус Dr.Web – расширенная версия, имеющая дополнительный антивирусный движок Dr.Web, который позволяет обнаруживать известные на данный момент вирусы. Версия Safe’n'Sec Pro Deluxe + AdsCleaner представляет собой систему блокировки рекламы и обеспечения комфортной и безопасной работы пользователя в Интернете, в том числе очищая в конце работы следы активности. Вариант Safe’n'Sec Personal + Anti-Spyware – расширенная версия, дополнительно имеющая сканер Anti-Spyware Module, который позволяет обнаруживать известные программы-шпионы. Safe’n'Sec Персональный + Outpost Firewall Pro, кроме контроля программ, работающих на компьютере, следит за сетевым трафиком компьютера и делает его невидимым для хакеров.

В основе технологии Safe’n'Sec лежит перехват системных вызовов на уровне операционной системы. Основу продукта составляет модуль System Interceptor, который загружается одним из первых и перехватывает все системные вызовы любых приложений. Это позволяет обнаруживать комбинированные атаки, предотвращать попытки внести изменения в системный реестр или состояние сервисов операционной системы, получить доступ к регистрационным данным пользователя и пр. Механизм принятия решения Safe’n'Sec действует на основе правил, которые учитывают все возможные последовательности действий, классифицируемых как вредоносные.

Примечание

Основная идея Safe’n'Sec состоит в том, что данные поражаются не вирусом, а в результате выполнения им вредоносных действий.

После обнаружения подозрительного приложения Safe’n'Sec самостоятельно принимает решение о его вредоносности и уведомляет пользователя, который должен определить, что с ним делать (разрешить или заблокировать). Для упрощения решения доступна история активности, по которой можно подробно изучить последовательность действий, выполненных приложением. Дополнительно из консоли можно получить доступ к списку запрещенных и доверенных приложений, который можно здесь же отредактировать.

На момент написания данной книги актуальной была версия 2.5. Для примера установим Safe’n'Sec, имеющую в составе антивирусный модуль. Недавно мне попался очередной тест, в результате которого проактивная система обнаружила больше вирусов, чем антивирусный модуль. Версия с антивирусным модулем представляет собой компромисс и понравится пользователям, которые пока не доверяют новому методу защиты, но которым надоели бесконечные обновления антивирусных баз.

Установка заключается в запуске исполняемого файла. Наилучшим вариантом является инсталляция на чистую систему. В этом случае по мере установки новых приложений вы будете постепенно заполнять внутреннюю базу Safe’n'Sec, хотя это не критично. Сам процесс прост, достаточно нажимать кнопку Далее, оставляя значения, предлагаемые по умолчанию. Если устанавливается комплексное решение, необходимо отметить флажками нужные компоненты. На четвертом шаге вас попросят выбрать интерфейс.

Выбор типа интерфейса


Оставьте все как есть (Простой интерфейс (для большинства пользователей)): позже вы сможете перейти к расширенному варианту; он выдает много технической информации, справиться с которой может не каждый пользователь. Safe’n'Sec также может контролировать сетевую активность приложений. Если вы используете межсетевой экран, флажок Контролировать сетевую активность приложений лучше не устанавливать.

В последнем окне мастера установите флажок Запустить Safe’n'Sec Assistant. Установка завершена.

При первом запуске инициализируется внутренняя база приложений. Это может занять некоторое время, затем появится окно Safe’n'Sec Pro+Anti-Virus Assistant.

Ассистент Safe’n'Sec


В пошаговом режиме вам предложат указать лицензионный ключ продукта (при работе с пробной версией этот шаг можно пропустить, нажав кнопку Далее), установить имеющиеся обновления антивирусных баз и запустить полную проверку системы на вирусы. В последнем окне появится список всех установленных на компьютере приложений – следует указать их статус (известное или неизвестное). Если вы доверяете программе, установкой флажка возле него можно убрать его из списка контролируемых Safe’n'Sec. Нажатием ссылки Добавить можно вручную занести приложение в список, указав путь к исполняемому файлу. Это может понадобиться, если приложение не найдено в автоматическом режиме, например не требует инсталляции для работы. Если в список внесены изменения, не забудьте нажать ссылку Применить. Закончив работу с ассистентом, следует нажать кнопку Закрыть – в области уведомлений появится значок Safe’n'Sec в виде носорога.

Примечание

Если вы сомневаетесь в некоторых настройках, оставьте значение, предложенное по умолчанию, – при необходимости его можно будет изменить.

Работа с программой происходит в окне Консоли управления, которое можно открыть, выбрав соответствующий пункт в меню Пуск либо дважды щелкнув кнопкой мыши на значке в области уведомлений.

Окно Консоли управления можно разделить на две части. Слева расположены ссылки на функции защиты и настройки, справа отображаются статус работы и статистика. Цcopy;елчок на любом пункте в обеих частях приведет к появлению дополнительной информации или выполнению указанного действия.

Консоль управления


Проверить файлы с помощью встроенного антивируса можно двумя способами:

• щелкнуть правой кнопкой мыши на значке файла или папки и из контекстного меню выбрать пункт Поиск вирусов;

• щелкнуть на ссылке Поиск вирусов в левой части Консоли управления.

Программа проста в использовании и в большинстве случаев функционирует в фоновом режиме, не мешая пользователю работать. Если известное приложение пытается выполнить разрешенное действие, то пользователь просто информируется о происходящем.

Информация о запуске известного приложения


Если активность приложения расценена как опасная и ситуация требует решения пользователя, появится соответствующее уведомление.

Запрос на выполнение подозрительного действия


В таком случае необходимо Разрешить или Заблокировать дальнейшее выполнение программы. Если такое сообщение появляется вне зависимости от действий пользователя, то действие можно считать подозрительным и блокировать.

Вернемся к Консоли управления Safe’n'Sec. Чтобы просмотреть список активных процессов, следует щелкнуть на ссылке Процессы и приложения в области Статус. В зависимости от зоны выполнения процессы разбиты на группы. После установки их две: Доверенные приложения и Настраиваемые приложения. Для каждого процесса приведена следующая информация: его имя, производитель программного обеспечения, в состав которого включен активный процесс, краткое описание и сетевая активность в данный момент. Если выделить процесс и щелкнуть на кнопке Свойства, появится окно с дополнительной информацией. На вкладке Процесс выведены данные, о которых говорилось выше. Цcopy;елкнув на ссылке Соединения, вы можете просмотреть список открытых сетевых соединений, здесь можно узнать IP-адреса (локальный и удаленный), номер порта и состояние соединения.

При щелчке правой кнопкой мыши на строке процесса появляется контекстное меню, с помощью которого его можно переместить в ограниченную или защищенную зону, заблокировать, удалить с компьютера, убрать или добавить в список доверенных приложений.

Если нужного приложения в списке нет, для его занесения в список нажмите кнопку Добавить и укажите исполняемый файл.

Политика контроля активности приложений действует на основе правил. Если приложение известно, то правила его работы уже созданы. В противном случае это должен сделать пользователь. В Safe’n'Sec используются правила двух видов: общие (действуют для всех приложений) и частные (применяются к конкретной программе).

Совет

Список известных приложений желательно периодически обновлять. Для этого достаточно щелкнуть в окне Консоли управления на пункте Обновление программы – запустится обновление политики контроля активности и список известных приложений, модулей программы и антивирусных баз.

Новое правило можно создать из трех позиций:

• из списка активных процессов;

• из перечня контролируемых приложений (список доступен только в расширенном варианте интерфейса);

• из уведомления об опасной активности.

Первые две позиции требуют подготовки пользователя и анализа работы приложений. Самым простым является третий вариант. Пользователь занимается привычной работой, а при обнаружении опасной деятельности какоголибо приложения Safe’n'Sec самостоятельно принимает решение и сообщает об этом. Пользователю остается только определить, что делать с такой программой.

Защита всех данных осуществляется в соответствии с политикой контроля активности, определяющей, какие действия и в какой последовательности нужно считать вредоносными. Имеются три политики – жесткая, строгая и доверительная. Чтобы изменить действующую политику, следует щелкнуть в окне Консоли управления на ссылке Настройка, а затем на ссылке Контроль активности.

Изменение политики контроля активности


Устанавливая переключатель в области Режим защиты, включите или отключите контроль активности приложений. Установка флажка Режим обучения разрешит автоматическую регистрацию активности неизвестных Safe’n'Sec приложений. Его рекомендуется использовать сразу после установки.

Обратите внимание на параметры в области Дополнительные действия. Если установить флажок Разрешить и не контролировать приложение, то после принятия решения при возникновении подобной ситуации программа не будет беспокоить пользователя. Установка флажка Заблокировать и запретить выполнение приведет к блокированию только текущего действия, а при установке флажка Заблокировать и завершить приложение будет закрыто приложение, вызвавшее процесс, который пытался выполнить опасное действие.

Если у вас установлен расширенный интерфейс, то в этом окне появится кнопка Дополнительно, нажав которую вы получите доступ к еще нескольким параметрам. На вкладке Области контроля установкой соответствующих флажков активизируется контроль активности приложений с системными файлами, системным реестром, взаимодействие процессов, сетевая активность и контроль выполнения приложений. На вкладке Режим обучения настраивается продолжительность обучения (количество дней после обнаружения неизвестной активности), оповещения пользователя и ведение журнала активности нового приложения.

Для тестирования работоспособности вместе с программой поставляется утилита snstest.exe, которая имитирует занесение данных в системный реестр, попытку записи и удаления из системного каталога.

Полезные статьи

Комментарии и пинги к записи запрещены.

Комментарии закрыты.

data-title= src=