Overview del sottosistema Antivirus
L'implementazione di una difesa contro i virus deve iniziare pensando
al modo con cui si vuole proteggere la rete. Definire quelli che
possono essere i punti di entrata dei virus, come distribuire e
aggiornare il software da installare e le modalità di
configurazione, rappresentano un approccio strutturato che
comporterà una riduzione dei tempi riflettendosi pesantemente
sui costi di gestione della rete informatica aziendale, annullando o
limitando preventivamente I crash informatici generati da infezioni
virali. Esistono in genere diversi punti da proteggere:
- Virus che entrano nella rete dalle connessioni Internet dirette;
- Virus che entrano nella rete dal gateway Internet;
- Virus che entrano nella rete dai Floppy Disk, CDRom;
- Virus che si diffondono tramite i GroupWare servers;
- Virus che si diffondono tramite i FileServers;
- Virus che si diffondono tramite la rete;
Tutti i diversi punti di entrata e percorsi di diffusione sono
contemplati nella soluzione Network Associates che offre anche
facilità di gestione (alerting centralizzato, aggiornamento
automatico di motori e DAT files) attraverso l'implementazione della
Management Edition Console.
Implementazione a livello Workstation
La protezione della rete inizia dalle Workstations. Si rammenti che:
- Per prevenire il diffondersi delle infezioni è
essenziale che l'individuazione di queste avvenga non appena stanno per
essere introdotte nella rete e in questo caso dalle Workstations. Nella
maggioranza dei casi le infezioni arrivano da questo livello tramite
Floppy disk, CDRom, connessioni via modem. Una rapida ed adeguata
risposta limiterà le minacce alla rete.
- Una
Workstation infetta può trasmettere infezioni e dati corrotti al
server, che ne sarà danneggiato e condividerà il problema
sulla rete con tutte le altre Workstations. In alcuni casi anche i
backup potranno essere danneggiati.
L'invio di posta verso altri reparti, dipartimenti e/o uffici
periferici corredati di attachment infetti, possono danneggiare con
contagi esponenziali non solo ambienti interni ma anche quelli esterni.
La protezione On Access delle Workstations previene il danno diretto
evitando operazioni di ripristino che richiedano tempo; in genere
l'ambito dell'infezione è limitato quando questa è
identificata e bloccata in fase di ingresso.
La soluzione Network Associates per le Workstations è denominata
VirusScan ed è disponibile per le piattaforme Win95, Win98,
Win2000, WinNT, OS/2
Presentazione dei prodotti antivirus NAI
VIRUS SCAN SECURITY SUITE:
- VirusScan Multipiattaforma (protezione PC per Dos, Windows 9x, NT
WorkStation, Windows 2000 e ambienti Unix e Linux) - NetShield (protezione server per Windows NT Server, Windows
2000 server, Novell NetWare (3x; 4x e 5)) - Management Edition installa, aggiorna, configura l' antivirus sulla rete
- Enterprise SecureCast aggiornamenti automatici tramite Internet
Tutti i prodotti antivirus della NAI si compongono di due moduli distinti:
- Motore antivirus: è il programma che esegue le azioni di scansione dei file e di riconoscimento dei virus
-
Database delle signature (o file DAT): insieme di file che contiene le
informazioni utilizzate dal motore di ricerca per trovare e rimuovere i
virus. Ovviamente entrambi i componenti sono necessari. Come regola
generale, è sempre necessario avere la versione del file DAT
più recente. Per certi tipi di virus, in particolare i
macrovirus, è però necessario avere anche il motore
appropriato, perché l'algoritmo di rimozione è talmente
complesso da richiedere di essere implementato direttamente nel motore.
Indistintamente sia Virus Scan Security Suite che Total Virus Defense hanno:
1 Protezione del client
2 Protezione dei server
3 Mail: protezione sul client
4 Internet: protezione sul client
5 Gestione centralizzata
1. Protezione del client
Il modulo per la protezione del client si chiama VirusScan. Esiste una versione di VirusScan per tutte le piattaforme client:
Dos, Windows 9x, Windows NT WorkStation, Windows 2000 Professional, OS/2, Linux
A seconda della piattaforma VirusScan ha delle minime varianti. In
questo prodotto sono riconoscibili tre sottomoduli principali:
- Startup control: modulo che all'accensione del sistema
esegue una serie di controlli su alcune aree critiche del sistema
stesso (memoria, area di boot, file di sistema)
- On Access
Monitor (VShield): verifica che i file a cui l'utente accede non
contengano virus. Per non appesantire eccessivamente l'elaborazione, in
genere tale controllo è "limitato" ai file eseguibili, alle DLL
e simili e ai file che possono contenere macrovirus (file di Office 97)
-
On Demand Scanner (Scan): proprio per cercare i virus in file che
VShield non controlla esiste il sottomodulo Scan. Invocato
esplicitamente dall'utente, controlla tutti i file contenuti nelle
unità indicate dall'utente stesso. È lo strumento
principale per il controllo dei file contenuti nei dischetti.
- Tutti
i prodotti per il mondo Windows includono la possibilità di
creare dei task e di schedularli, cioè di impostare una serie di
controlli utilizzando VirusScan e di farli eseguire ad orari prefissati
senza l'intervento da parte dell'utente.
- Lo Scheduler di
VirusScan (chiamato Console in alcune versioni) permette di creare
questi task e di impostare gli orari in cui devono essere eseguiti.
Sempre in queste versioni esistono due task particolari: il task di
'autoupdate' e di 'autoupgrade'. Questi due task, anch'essi
schedulabili, permettono all'utente di indicare un percorso FTP o un
path UNC in cui sono contenute le nuove versioni dei file DAT o del
motore di ricerca. In questo modo il client autonomamente aggiorna sia
i file DAT sia il motore di ricerca.
È inoltre incluso un sottomodulo per il controllo del traffico
da Internet: delle sue caratteristiche parleremo più avanti.
2. Protezione dei server e della rete
Nel caso in
cui i client siano collegati ad un server, un'altra possibile via di
ingresso per i virus nel sistema diventano i collegamenti di rete. Se i
client sono tutti protetti da VirusScan, i virus possono entrare da
dischi o cd-rom inseriti direttamente sul server. Il modulo che viene installato sui server si chiama NetShield, ed
è disponibile per i sistemi server più diffusi,
cioè Windows NT Server, Novell NetWare (3x,4x e 5) e ambienti
Unix. NetShield per Windows NT Server, Windows 2000 ha funzioni molto simili
a quelle di VirusScan: anche qui esistono moduli per il controllo 'On
Access' e 'On Demand'. La sostanziale differenza consiste nella
gestione intelligente degli allarmi che provengono dalle macchine in
rete. È infatti possibile indicare negli antivirus client verso quale
macchina server (o NT Workstation) mandare gli allarmi da attivare nel
momento in cui viene trovato un virus. Una volta che la segnalazione
raggiunge la macchina server, a questa può essere associata
un'azione utile per avvisare l'amministratore. In particolare è
possibile:
- Salvare i messaggi su file
- Far apparire un dialog box a video
- Far apparire un messaggio nell'event log della macchina interessata
- Inviare una mail ad un utente specificato
- Inviare un avviso su un pager
- Mandare un SMNP trap
- Generare un evento DMI
- Mandare un messaggio in stampa
3. Mail: protezione sul client
Nel caso in cui si
utilizzi un sistema di posta elettronica, sia per lo scambio di
messaggi solo tra le macchine interne sia con macchine esterne,
è possibile diffondere virus all'interno della rete tramite
attach di posta elettronica. In realtà, se la posta scambiata è solo interna, e se
tutte le macchine client sono protette da VirusScan, non è
possibile aggiungere un file ad una mail senza che il modulo 'On
Demand' se ne accorga. Quindi diventa impossibile diffondere virus in
questo modo. Se però la posta può provenire da macchine esterne alla
organizzazione o da macchine non protette da VirusScan, allora è
necessario verificare che questa non contenga Virus. Gli attach di posta elettronica, infatti, non passano tramite il file
system controllato da VirusScan, ma tramite altri protocolli. Se il
file viene salvato prima di essere aperto, allora VirusScan entra in
azione, viceversa se il file viene "aperto" direttamente dalla mail non
è possibile che venga intercettato da VirusScan.
Il controllo di posta elettronica e' integrato con VirusScan per
Windows 95 e 98. Tale prodotto è in grado di integrarsi con
programmi che utilizzano sia le MAPI (e che si collegano al server di
posta quindi tramite client quali Outlook 97/98, o Lotus CC:Mail) o con
protocollo POP3 (Outlook Express, Eudora, Pegasus Mail, ecc.).
Nel primo caso, il prodotto si collega direttamente al server
utilizzando le credenziali dell'utente definite tramite l'icona Mail
nel Pannello di Controllo. Collegandosi al server, vengono scanditi
direttamente in loco gli attach, ancora prima che l'utente abbia aperto
la mail. Nel secondo caso, il programma intercetta le chiamate ad una specifica
API di Windows che si occupa del salvataggio di file allegati in
documenti. In questo modo viene anche scongiurato il caso in cui tenti
di aprire direttamente un file in attach aggirando la protezione di
VirusScan. Nel caso di VirusScan per NT il software e' in grado di eseguire questi
controlli anche senza avere un modulo di supporto specifico.
4. Internet: protezione sul client
Se il computer
che si utilizza è collegato ad Internet, oltre al pericolo
connesso all'uso di posta elettronica, esiste un pericolo legato anche
alla navigazione via browser.
Lo stesso meccanismo di aggiramento del controllo di VirusScan
(apertura diretta di un file tramite browser senza passare da un
salvataggio preventivo su disco) potrebbe infatti permettere la
diffusione di virus nella nostra rete.
Anche in questo caso, VirusScan permette di effettuare il controllo su questi file. Ma oltre al pericolo che nasce dallo scaricamento di file infetti vi
è anche il pericolo legato all'esecuzione sulle macchine di
programmi che rendono Internet attivo, cioè alle applet Java e
ai controlli ActiveX. Un pericolo sottovalutato, ma che conta ormai
parecchie applet Java definite ostili e un numero consistente di
controlli ActiveX pericolosi.
5. gestione centralizzata: Management Edition
Questo nuovo software permette all'amministratore un controllo completo sulla propria rete. Diverse le funzioni disponibili:
· Distribuzione software da una postazione centralizzata
· Configurazione remota dell'antivirus
· Gestione centralizzata degli allarmi, riportati
all'amministratore via mail, smnp traps, scrittura nell'event log, ecc.
· Analisi dello stato di una macchina
· Gestione di repository distribuiti per alleggerire il traffico in rete
· Possibilità di gestire versioni in lingue differenti
Il programma si compone di tre parti distinte:
- Una console di gestione, da cui è possibile controllare e monitorare tutte le macchine della rete
- Un Management server, su cui sono in funzione gli agenti che si collegano ai client
-
Un repository server, che contiene gli aggiornamenti passati poi ai
client. È possibile creare dei repository server mirror che
contengono copie dei programmi da aggiornare. Tali repository hanno lo
scopo di minimizzare il traffico di rete su collegamenti a bassa
velocità, in modo da trasferire i dati su questi link solo una
volta rendendoli poi disponibili alle macchine appartenenti alla stessa
sottorete.
All'interno del software è possibile definire degli antivirus
domain, insiemi di macchine che rispondono ad un'unica configurazione e
a cui si applicano le stesse politiche di gestione/amministrazione.
All'interno dei domain è possibile creare più sottogruppi
di macchine membri che rispondono a criteri di gestione differenti, e
che in particolare prendono gli aggiornamenti da uno dei repository
mirror indicati.
La Management Console installata sul server o su
una workstation, permette di configurare ed installare il software su
ogni macchina nel dominio antivirus. Deve essere montata su una
macchina NT. Se installata su un file server, può essere
utilizzata da più macchine.
La Management Edition si appoggia completamente ai meccanismi di
sicurezza e di gestione offerti dai domini Windows NT. Tutte le
macchine quindi accessibili dalle Risorse di Rete di Windows NT sono
accessibili tramite Management Edition
Il prodotto permette di amministrare da un unico punto le macchine
della rete, tramite una semplice interfaccia drag and drop. E'
possibile verificare immediatamente lo stato di una macchina, potendo
addirittura procedere alla rimozione di un virus da remoto, senza
necessità di portarsi sulla macchina o di mappare un disco
remoto come locale.
Le funzioni di reporting permettono di sapere immediatamente:
- Che versioni del software sono installate sulla macchina
- Quali macchina hanno configurazioni standard o specifiche
- Quando la macchina e' stata controllato con VirusScan e con quale risultato
- È
inoltre possibile schedulare dalla console il controllo con VirusScan
sulle macchine remote, in modo da tenere sotto controllo regolarmente
lo stato di tutta la vostra rete
|
