Doctor Web, Tutti i diritti riservati.

Transcript

1

2 Doctor Web, Tutti i diritti riservati. Materiali, riportati in questo documento, sono di proprietà di "Doctor Web" e si possono utilizzare esclusivamente per uso personale dell'acquirente del prodotto. Nessuna parte di tale può essere copiata, riprodotta su una risorsa di rete o trasmessa per canali di comunicazione o via mass media o utilizzata in altro modo oltre uso personale, se non facendo riferimento alla fonte. MARCHI Dr.Web, SpIDer Mail, SpIDer Guard, CureIt!, CureNet!, AV-Desk e il logotipo Dr.WEB sono marchi commerciali registrati di "Doctor Web" in Russia e/o in altri paesi. Altri marchi commerciali registrati, logotipi o denominazioni delle società, nominati nel presente documento, sono di proprietà dei loro titolari. LIMITAZIONE DI RESPONSABILITÀ "Doctor Web" e i suoi fornitori sono in ogni caso esenti di qualsiasi responsabilità per errori e/o omissioni, presenti nel presente documento, e per danni (diretti o indiretti, incluso un profitto perso) causati da essi all'acquirente del prodotto. Dr.Web per Mac OS X Server Version Manuale dell'amministratore Doctor Web, Sede centrale in Russia Russia, Mosca, via 3 Yamskogo Polya, tenuta 2, edificio 12A Sito web: Telefono: +7 (495) Le informazioni sulle sedi rappresentative si trovano sul sito ufficiale dell azienda.

3 Doctor Web Doctor Web è uno sviluppatore russo di sistemi di sicurezza informatica. Doctor Web offre valide soluzioni di protezione antivirus e antispam per enti pubblici, aziende e utenti privati. I programmi antivirali della famiglia Dr.Web vengono sviluppati a partire dal 1992, sempre raggiungono i migliori risultati nel rilevamento di malware e corrispondono agli standard internazionali di sicurezza. I certificati e premi conferiti ai prodotti Dr.Web provano il loro avanzato grado di affidabilità. Gli utenti di Dr.Web si trovano in diverse parti del mondo. Ringraziamo i nostri utenti per la fiducia che hanno nelle soluzioni della famiglia Dr.Web!

4 4 Sommario Segni convenzionali e abbreviazioni Capitolo 1. Introduzione Sul programma Dr.Web Anti-virus Componenti e funzioni principali Capitolo 2. Installazione e rimozione Requisiti di sistema Installazione e rimozione di Dr.Web Anti-virus Capitolo 3. Concessione delle licenze File della chiave di licenza Gestore licenze Registrazione della licenza Capitolo 4. Funzioni principali Avviare e concludere il funzionamento di Dr.Web Anti-virus Aggiornamento dei database dei virus Protezione continua contro i virus Scansionare il sistema a richiesta Neutralizzare le minacce Scansione del traffico HTTP e controllo dell'accesso alle risorse di Internet Consulare la guida Capitolo 5. Funzioni aggiuntive Quarantena Configurare le azioni automatiche Escludere file dalla scansione Avvisi Privilegi di amministratore Uso ottimale della batteria Modalità di funzionamento Ripristinare le impostazioni di default Allegati Allegato A. Tipi di minacce informatiche Allegato B. Rimozione delle minacce informatiche Allegato C. Protezione antivirus centralizzata Allegato D. Combinazioni tasti

5 5 Allegato E. Supporto tecnico Indice analitico 39 38

6 Segni convenzionali e abbreviazioni 6 Segni convenzionali e abbreviazioni Questo manuale utilizza le seguenti segnalazioni: Segno Parole in grassetto Parole in verde e in grassetto Parole in verde sottolineate Parole in corsivo MAIUSCOLO Segno meno ("-") Segno esclamativo Commento Nomi degli elementi dell'interfaccia grafica ed esempi dell'input che deve essere eseguito esattamente come è scritto nel manuale. Denominazioni dei prodotti e dei componenti di Doctor Web. Riferimenti incrociati a capitoli del documento o collegamenti ipertestuali alle risorse interne. Termini e testo sostituito (riportato invece delle informazioni che devono essere inserite dall'utente). In caso di esempi dell'input a riga di comando, parole in corsivo indicano i valori dei parametri. Nomi dei tasti della tastiera. Significa che alcuni tasti della tastiera devono essere premuti contemporaneamente. Per esempio, la scrittura COMMAND-Q significa che è necessario premere il tasto Q tenendo premuto il tasto COMMAND. Avviso di eventuali situazioni di errori, nonché dei momenti importanti, a cui particolarmente prestare attenzione. Nel manuale si usano le seguenti abbreviazioni: OS operational system (sistema operativo).

7 Capitolo 1. Introduzione 7 Capitolo 1. Introduzione Vi ringraziamo per aver scelto Dr.Web per Mac OS X Server (di seguito Dr.Web Anti-virus). L'applicazione assicura una valida protezione da diversi tipi di minacce informatiche utilizzando le tecnologie più progredite di rilevamento e di neutralizzazione. Questo manuale è progettato per aiutare gli amministratori dei server Mac OS X Server a installare e a utilizzare Dr.Web Anti-virus. Sul programma Dr.Web Anti-virus Dr.Web Anti-virus è progettato per aiutare gli amministratori dei server Mac OS X Server a proteggere postazioni contro i virus e contro gli altri tipi di minacce. I componenti principali del programma (nucleo antivirus e database dei virus) sono estremamente efficienti e consumano poche risorse del computer; inoltre, sono cross-platform perciò il team di Doctor Web può creare ottime soluzioni antivirus per diversi sistemi operativi (SO). I componenti di Dr.Web Anti-virus vengono aggiornati continuamente, i database virali vengono completati con nuove definizioni dei virus, e tutto questo assicura una protezione a un livello più moderno. Per una protezione addizionale contro i virus sconosciuti si usa l'analisi euristica.

8 Capitolo 1. Introduzione 8 Componenti e funzioni principali Dr.Web Anti-virus consiste nei seguenti componenti, ciascuno dei quali svolge determinate funzioni: Componente SpIDer Guard SpIDer Gate Scanner Quarantena Modulo di aggiornamento Gestore licenze Funzione È un componente antivirus residente nella memoria che controlla in tempo reale tutti i file usati. Modulo di scansione antivirus del traffico HTTP e di controllo dell'accesso alle risorse di Internet. È il componente principale per il rilevamento dei virus che può eseguire: una scansione del sistema rapida, completa o personalizzata a richiesta dell'utente; una neutralizzazione delle minacce trovate (Cura, Eliminazione, Spostamento in quarantena; l'utente può selezionare manualmente un'azione necessaria o può impostare che l'azione assegnata al dato tipo di minaccia nelle impostazioni dell'antivirus si applichi automaticamente). È una cartella speciale che si usa per isolare file infetti e altre minacce affinché non possano causare un danno al sistema. Questo componente si usa per aggiornare i database dei virus e gli altri componenti dell'antivirus tramite Internet. Questo componente si usa per gestire le licenze: consente di guardare le informazioni sulla licenza corrente, di rinnovarla o di ottenere una licenza nuova. Le impostazioni utili e flessibili di Dr.Web Anti-virus consentono di configurare avvisi sonori e da schermo di vari eventi, azioni automatiche applicate dall'antivirus alle minacce rilevate, intervalli di aggiornamenti dei database virali, nonché di creare una lista di file e cartelle da escludere dalla scansione.

9 Capitolo 2. Installazione e rimozione 9 Capitolo 2. Installazione e rimozione Dr.Web Anti-virus viene fornito come l'immagine disco montata (drweb-1003-mac.dmg). Questo file si trova su un disco di distribuzione del prodotto. Inoltre, può essere scaricato dal sito ufficiale di Doctor Web all'indirizzo Dr.Web Anti-virus non è compatibile con gli altri programmi antivirus. Un'installazione di due antivirus sullo stesso computer potrebbe provocare errori nel sistema e portare a una perdita dei dati importanti. Per questa ragione prima di installare Dr.Web Anti-virus è necessario rimuovere la sua versione precedente o un altro antivirus installato. Requisiti di sistema Dr.Web Anti-virus si può usare su un computer gestito dal sistema operativo Mac OS X 10.7 o superiore. Gli altri requisiti della configurazione coincidono con quelli dei sistemi operativi corrispondenti. Installazione e rimozione di Dr.Web Anti-virus Dr.Web Anti-virus viene fornito come l'immagine disco montata (drweb-1003-mac.dmg). Installare l'applicazione 1. Se necessario, fare doppio clic sull'immagine disco drweb-1003-mac.dmg per collegarla. 2. Si apre il Contratto di licenza che l'utente deve leggere e accettare per continuare l'installazione. 3. Trascinare il file dell'applicazione dall'immagine disco nella cartella Applicazioni sul Mac. Rimuovere l'applicazione Per rimuovere Dr.Web Anti-virus, basta spostare l'applicazione nel Cestino. Se necessario, immettere il nome e la password dell'account amministratore nella finestra di dialogo corrispondente.

10 Capitolo 3. Concessione delle licenze 10 Capitolo 3. Concessione delle licenze Per il funzionamento di Dr.Web Anti-virus a lungo termine, è richiesta una licenza. Le licenze possono essere acquistate insieme al prodotto e anche sul sito della società Doctor Web. La licenza consente di utilizzare a pieno tutte le possibilità del prodotto durante l'intero periodo di validità. La licenza regola i diritti dell'utente in conformità al contratto di licenza. Per registrare una licenza, per rinnovarla dopo la scadenza o per acquistare una licenza nuova, si usa un componente speciale - Gestore licenze. Si raccomanda di registrare o di ottenere una licenza subito dopo l'installazione dell'applicazione perché questo è necessario per aggiornare l'antivirus e per attivare le funzioni della protezione continua contro i virus e della scansione del Mac a richiesta. Se prima di acquistare una licenza si vuole provare il prodotto, si può attivare il periodo di prova, durante il quale sono disponibili le piene funzioni dei componenti principali per un tempo limitato. Il periodo di prova può essere attivato sullo stesso computer non più spesso di una volta all'anno. Per scoprire le possibilità di Dr.Web Anti-virus, si può attivare il periodo di prova: di 3 mesi. Per fare questo, è necessario registrarsi sul sito della società Doctor Web e ottenere un numero di serie; di 1 mese, in questo caso non è richiesto un numero di serie e non è necessario fornire le informazioni di registrazione. File della chiave di licenza Il tipo di licenza è determinato da un file speciale, chiamato file della chiave. Il file della chiave contiene, in particolare, le seguenti informazioni: elenco dei componenti che l'utente può utilizzare; periodo in cui l'utente può utilizzare l'antivirus; altre limitazioni (in particolare, numero di utenti che possono utilizzare l'antivirus). File della chiave di Dr.Web Anti-virus è valido a seguenti condizioni: il periodo di validità non è scaduto; la chiave copre tutte i moduli del programma; l'integrità della chiave non è violata. A violazione di qualsiasi condizione, il file della chiave diventa non valido e Dr.Web Anti-virus non neutralizza più programmi dannosi e fa passare messaggi di posta senza controllo. L'estensione del file della chiave è.key; si può ottenere un file della chiave registrando la licenza al primo avvio di Dr.Web Anti-virus tramite il componente Gestore licenze. I parametri del file della chiave che regolano i diritti dell'utente sono in conformità al Contratto utente. Il file della chiave include anche le informazioni sull'utente e sul venditore dell'antivirus. Si consiglia di conservare il file della chiave fino alla scadenza della licenza o fino alla fine del periodo di prova. Il file della chiave ottenuto per attivare il periodo di prova può essere utilizzato soltanto sul computer da cui l'utente si è registrato.

11 Capitolo 3. Concessione delle licenze 11 Gestore licenze Per aprile il Gestore licenze, selezionare la voce Gestore licenze dal menu dell'applicazione (barra del menu nella parte superiore del desktop) oppure nella finestra principale dell'applicazione fare clic sulla sezione delle informazioni licenza. La finestra del Gestore licenze contiene le informazioni sullo stato della licenza corrente. Per registrare una nuova licenza di Dr.Web Anti-virus o per rinnovarne una esistente, cliccare sul pulsante Ottenere nuova licenza. Registrazione della licenza Dopo l'installazione, è necessario registrare Dr.Web Anti-virus. La registrazione conferma che l'utente è un utente legittimo dell'antivirus con tutti i diritti, nonché attiva le funzioni dell'aggiornamento dell'antivirus, della protezione continua contro i virus e della scansione a richiesta. La finestra di registrazione compare automaticamente quando l'utente avvia Dr.Web Anti-virus per la prima volta. Inoltre, l'utente può avviare la registrazione nella finestra Gestore licenze facendo clic sul pulsante Ottenere nuova licenza. Attivare una licenza 1. Se si ha un numero di serie da utilizzare per attivare la licenza oppure il periodo di prova di 3 mesi, al primo passo della registrazione guidata fare clic su Attivare licenza. 2. Immettere il numero di serie e cliccare su Avanti. Se viene attivato il periodo di prova, andare al passo Se si ha una licenza precedente, indicarne il numero di serie o il file della chiave. Selezionare l'opzione corrispondente e quindi immettere il numero di serie o trascinare il file della chiave nell'area circondata da linea punteggiata (o fare clic su quest'area per selezionare il file). Se si già usava Dr.Web Anti-virus e si registra una licenza nuova, il tempo di licenza viene prolungato di 150 giorni addizionali. Se si registra una chiave di rinnovo per rinnovare una licenza precedente, ma non si indicano i dati della registrazione precedente, il tempo di licenza viene ridotto di 150 giorni. Cliccare su Avanti. 4. Per ottenere il file della chiave, immettere le informazioni personali (nome, cognome, patronimico, indirizzo ). Tutti questi campi sono obbligatori. Se si vogliono ricevere per le notizie sul prodotto, spuntare il flag corrispondente. Cliccare su Avanti. 5. Il file della chiave verrà ottenuto ed installato sul Mac. Generalmente, questa procedura non richiede la partecipazione dell'utente. Se l'attivazione è terminata con successo, viene visualizzata una notifica corrispondente e viene specificata la scadenza della licenza o del periodo di prova. Fare clic sul pulsante Fine. Se l'attivazione non è stata eseguita, viene visualizzato un messaggio di errore. Attivare il periodo di prova Se si vogliono soltanto provare le funzioni di Dr.Web Anti-virus, selezionare l'opzione Ottenere demo tramite la quale si possono scoprire le possibilità di Dr.Web Anti-virus. Attivare un periodo di prova: di 3 mesi. Per fare questo, è necessario registrarsi sul sito e ottenere un numero di serie da utilizzare per attivare il periodo di prova;

12 Capitolo 3. Concessione delle licenze 12 In seguito alla compilazione del questionario, all'indirizzo indicato dall'utente verrà spedito un numero di serie da utilizzare per attivare il periodo di prova di 3 mesi. di 1 mese, in questo caso non è richiesto un numero di serie e non è necessario fornire le informazioni di registrazione. In questo caso, il file della chiave corrispondente viene scaricato ed installato in modo automatico. Comprare una licenza Se non si ha un numero di serie, al primo passo della procedura guidata di registrazione selezionare Comprare licenza e passare al negozio online di Doctor Web. Si raccomanda di conservare il file della chiave di licenza fino alla scadenza. Se il prodotto viene reinstallato o se viene installato su più computer, si può usare il file della chiave ricevuto alla prima registrazione. Installare un file della chiave disponibile 1. Al primo passo della procedura guidata di registrazione, selezionare l'opzione Altri tipi di attivazione. 2. Se si ha già un file della chiave di licenza o un file di configurazione che consente di connettersi a una rete antivirus e di utilizzare la modalità di protezione centralizzata, trascinare il file nell'area circondata da linea punteggiata o fare clic su quest'area per selezionare il file. 3. Per registrare la licenza, cliccare su Avanti. Generalmente, questa procedura non richiede la partecipazione dell'utente. Registrarsi di nuovo Se il file della chiave è perso, potrebbe essere necessario ripetere la registrazione. In caso di attivazione ripetuta della licenza o del periodo di prova, viene rilasciato lo stesso file della chiave che è stato rilasciato in precedenza, a patto che non sia scaduto. Il periodo di prova di 3 mesi può essere riattivato soltanto sul computer da cui è stata effettuata la registrazione. Il numero di richieste del file della chiave è limitato, ovvero è possibile registrarsi non più di venticinque volte utilizzando lo stesso numero di serie. Se il numero di richieste massimo è stato superato, il file della chiave non viene spedito all'utente. In questo caso, contattare il servizio di supporto tecnico (nella richiesta descrivere la situazione nel dettaglio, indicare le informazioni personali fornite per la registrazione, nonché il numero di serie). Il servizio di supporto tecnico invierà un file della chiave all'utente per .

13 Capitolo 4. Funzioni principali 13 Capitolo 4. Funzioni principali Alle funzioni principali di Dr.Web Anti-virus si accede dalla finestra principale del programma (vedi figura sotto) che consiste nelle seguenti sezioni usate per gestire l'antivirus e per accedere alle sue funzioni: Sezione Gestione Minacce Il mio Dr.Web Descrizione In questa sezione l'utente può: attivare/disattivare la protezione continua contro i virus; attivare/disattivare la scansione del traffico web; conoscere le informazioni sull'ultima scansione del sistema eseguita e avviare una scansione del sistema rapida o completa, nonché controllare singoli file e cartelle; conoscere le informazioni sull'ultimo aggiornamento dei database virali e se necessario avviare un aggiornamento manualmente; conoscere le informazioni sulla licenza corrente e se necessario avviare il Gestore licenze; passare alle sezioni Minacce e Il mio Dr.Web. In questa sezione l'utente può guardare l'elenco delle minacce rilevate dalla scansione, applicare ad esse azioni per neutralizzarle, nonché passare alla Quarantena per guardare e gestire i suoi contenuti. In questa sezione l'utente può conoscere le notizie dell'azienda Doctor Web, le promozioni in corso e le ultime informazioni sui virus, nonché può passare alla pagina personale dell'utente sul sito ufficiale dell'azienda Doctor Web. Su questa pagina sono disponibili le informazioni sulla licenza, il numero di record nei database dei virus e la data dell'ultimo aggiornamento database; è possibile rinnovare la licenza, fare una domanda al servizio di supporto tecnico e fare altre azioni ancora.

14 Capitolo 4. Funzioni principali 14 Figura 1. Finestra principale del programma. Avviare e concludere il funzionamento di Dr.Web Anti-virus Avviare l'antivirus Per avviare Dr.Web Anti-virus, eseguire una delle seguenti azioni: aprire la cartella Applicazioni nel Finder e avviare l'applicazione Dr.Web for Mac OS X; chiamare il Launchpad e avviare l'applicazione Dr.Web for Mac OS X. All'avvio, l'applicazione verifica le impostazioni di aggiornamento e, se necessario, scarica gli aggiornamenti dei componenti e dei database dei virus. Al primo avvio dell'applicazione, inizia il processo di aggiornamento con il download dei database dei virus che potrebbe richiedere un lungo tempo. Concludere il funzionamento dell'antivirus Per concludere il funzionamento di Dr.Web Anti-virus, eseguire una delle seguenti azioni: selezionare la voce Esci da Dr.Web for Mac OS X dal menu dell'applicazione (la barra del menu nella parte superiore del desktop); premere e tenere premuta l'icona dell'applicazione nel Dock, quindi selezionare Esci dal menu; premere la combinazione dei tasti COMMAND-Q sulla tastiera.

15 Capitolo 4. Funzioni principali 15 Il componente SpIDer Guard rimane attivo anche dopo la conclusione del funzionamento di Dr.Web Anti-virus. È un monitor antivirus residente che controlla in tempo reale ogni file in uso. Aggiornamento dei database dei virus Per rilevare oggetti malevoli, gli antivirus della società Doctor Web utilizzano database speciali Dr.Web che contengono informazioni su tutti i malware conosciuti. Siccome ogni giorno appaiono nuove minacce informatiche, i database devono essere aggiornati a cadenze regolari. Tale aggiornamento consente di rilevare malware prima sconosciuti e di impedirne la propagazione, nonché in alcuni casi possono curare i file infetti che prima erano incurabili. Inoltre, si perfezionano di continuo gli algoritmi antivirus realizzati come eseguibili e librerie. L'uso degli antivirus Dr.Web accumula l'esperienza sulla base della quale si correggono errori scoperti nei programmi, si aggiornano la guida e la documentazione degli antivirus. Doctor Web distribuisce gli aggiornamenti dei database dei virus e degli algoritmi di programma tramite un sistema speciale basato su Internet. L'aggiornamento dei database virali e degli altri componenti di Dr.Web Anti-virus garantisce che la protezione del Mac risponda a tutti i requisiti moderni e sia pronta ad affrontare nuove minacce. L'aggiornamento viene eseguito da un componente speciale, chiamato Modulo di aggiornamento. Prima di cominciare a utilizzare Dr.Web Anti-virus per la prima volta, è necessario aggiornare i database dei virus allo stato corrente. In seguito gli aggiornamenti si scaricheranno e si installeranno con una periodicità che viene impostata nelle preferenze dell'applicazione. Configurare l'intervallo dell'aggiornamento dei database virali 1. Nel menu dell'applicazione cliccare su Preferenze e passare alla scheda Aggiornamento. 2. Se necessario, cambiare l'intervallo di scaricamento degli aggiornamenti. Protezione continua contro i virus La protezione antivirus continua viene assicurata dal componente SpIDer Guard. Il componente controlla in tempo reale i processi in esecuzione sul Mac e tutti i file a cui accedono l'utente e i programmi in esecuzione. Questo componente viene avviato subito dopo l'installazione e la registrazione di Dr.Web Anti-virus. Una volta rilevate minacce, SpIDer Guard visualizza un avviso sullo schermo e applica alla minaccia un azione definita nelle impostazioni dell'antivirus. Attivare e disattivare SpIDer Guard Per sospendere o riattivare il componente SpIDer Guard, eseguire una delle seguenti azioni: Attivare/disattivare l'opzione SpIDer Guard nella sezione Gestione della finestra principale dell'applicazione (vedi Figura 1); Fare clic sull'icona di Dr.Web Anti-virus nella barra dei menu che appare nella parte superiore dello schermo e selezionare la voce corrispondente. Soltanto gli utenti con i privilegi di amministratore possono disattivare SpIDer Guard. Se SpIDer Guard è disattivato, si deve agire con estrema cautela! Mentre la protezione continua rimane disattivata, evitare di connettersi a Internet e di accedere a file su dispositivi non controllati dallo Scanner.

16 Capitolo 4. Funzioni principali 16 Scansionare il sistema a richiesta Dr.Web Anti-virus esegue scansioni del file system a richiesta rilevando minacce che si nascondono nel sistema. Per mantenere la sicurezza del computer, è necessario eseguire scansioni tramite Dr.Web Anti-virus a cadenze regolari. La scansione consuma risorse del processore, il che potrebbe esaurire la carica della batteria. Sui computer portatili si consiglia di eseguire una scansione quando il computer è alimentato dalla rete elettrica. Avviare la scansione del sistema 1. Nella finestra principale di Dr.Web Anti-virus scegliere la modalità di scansione: Scansione rapida per controllare velocemente le parti più vulnerabili del sistema. Scansione completa per controllare l'intero file system. Inoltre, si possono utilizzare le combinazioni dei tasti CONTROL-COMMAND-E e CONTROL- COMMAND-F della tastiera per avviare rispettivamente la scansione rapida e quella completa. 2. Per controllare singoli file e cartelle, trascinare i file e le cartelle da controllare sulla finestra principale dell'antivirus o fare clic sull'area circondata da linea punteggiata che si trova nella parte sinistra della finestra principale dell'applicazione per aprire la finestra della scelta degli oggetti da controllare. Nell'elenco degli oggetti che si è aperto, indicare i file e le cartelle da controllare: per aggiungere un oggetto all'elenco, cliccare sul pulsante trascinare l'oggetto nell'elenco; sotto l'elenco degli oggetti o per rimuovere un oggetto dall'elenco, selezionare l'oggetto e cliccare sul pulsante l'oggetto oltre i confini della finestra dell'applicazione. Cliccare sul pulsante Avvia scansione per iniziare la scansione degli oggetti selezionati. Avviare la scansione di singoli file tramite menu contestuale o trascinare Per avviare la scansione di un file o di una cartella con file inclusi, selezionare l'opzione Scansionare con Dr.Web dal menu contestuale dell'icona del file o della cartella (sul Desktop o nel Finder). All'avvio della scansione la finestra principale cambia sulla finestra dei risultati (vedi figura sotto). Durante la scansione questa finestra visualizza le seguenti informazioni: ora di avvio scansione numero di oggetti controllati tempo mancante alla fine scansione numero di minacce rilevate nome dell'oggetto che si sta controllando. La parte inferiore della finestra contiene un breve report con le statistiche della sessione corrente di scansione. Si può sospendere o interrompere la scansione cliccando sui pulsanti di gestione Pausa e Stop.

17 Capitolo 4. Funzioni principali 17 Figura 2. Finestra dei risultati scansione. La scansione potrebbe saltare alcuni file, per esempio, se sono danneggiati o protetti da password. Se vi sono archivi compressi nell'elenco dei file saltati, decomprimere gli archivi prima della scansione. Dr.Web Anti-virus potrebbe richiedere i privilegi di amministratore per accedere alle aree critiche del disco fisso e per controllarle. Affinché Dr.Web Anti-virus abbia sempre i privilegi di amministratore, eseguire le seguenti azioni: Premere i tasti COMMAND-SHIFT-A della tastiera e quindi inserire la password di amministratore. Fare clic sull'icona a forma di lucchetto nella parte inferiore della finestra e quindi inserire la password di amministratore. Neutralizzare le minacce Per neutralizzare le minacce, configurare le azioni automatiche dell'antivirus o applicare le azioni manualmente alle minacce rilevate. Per guardare l'elenco delle minacce e per applicare ad esse le azioni di neutralizzazione, passare alla scheda Minacce nella finestra principale dell'applicazione (vedi figura sotto).

18 Capitolo 4. Funzioni principali 18 Guardare le informazioni sulle minacce Figura 3. Scheda Minacce. 1. Per guardare l'elenco delle minacce rilevate, aprire la sezione Minacce. Nella barra di stato nella parte inferiore della finestra, vengono mostrati il numero totale delle minacce rilevate e la dimensione complessiva delle stesse, nonché il numero e la dimensione degli oggetti selezionati. 2. Per guardare le informazioni di una minaccia, cliccare sul pulsante o fare doppio clic su questa minaccia. 3. Per informarsi di questo tipo di minaccia sul sito della società Doctor Web, cliccare sul pulsante a sinistra del nome minaccia nella finestra delle informazioni dettagliate di questa minaccia. Trattare gli oggetti malevoli 1. Aprire la sezione Minacce. 2. Per applicare a una minaccia l'azione indicata nelle impostazioni dell'antivirus per il dato tipo di minaccia, cliccare sul pulsante con quest'azione sotto la minaccia. Per scegliere un'altra azione da applicare alla minaccia, cliccare sulla freccia sul pulsante con l'azione raccomandata nella finestra delle informazioni dettagliate di questa minaccia. 3. Per applicare un'azione a più minacce, selezionare le minacce (tenendo premuto il tasto SHIFT), dopo di che selezionare un'azione dalla sezione Azioni del menu principale dell'applicazione o dal menu contestuale che si apre cliccando con il tasto destro del mouse sull'elenco minacce. 4. Per neutralizzare insieme tutte le minacce rilevate, cliccare sul pulsante Neutralizzare tutte. Alle minacce verranno applicate le azioni indicate nelle impostazioni dell'antivirus per i tipi di minaccia corrispondenti. Inoltre, per applicare le azioni di neutralizzazione, si possono utilizzare le combinazioni dei tasti della tastiera.

19 Capitolo 4. Funzioni principali 19 Scansione del traffico HTTP e controllo dell'accesso alle risorse di Internet La scansione antivirus del traffico web viene eseguita dal componente SpIDer Gate. SpIDer Gate controlla il traffico HTTP in arrivo e impedisce la trasmissione di oggetti che contengono minacce alla sicurezza. Il protocollo HTTP viene utilizzato dai browser, dai download manager e da molte altre applicazioni che scambiano dati con server web, cioè utilizzano la rete Internet. Inoltre, SpIDer Gate consente di controllare l'accesso alle risorse di Internet e di proteggere in questo modo l'utente contro la visualizzazione di siti web indesiderati (siti dedicati alla violenza, ai giochi d'azzardo ecc.). Questo componente si avvia subito dopo l'installazione e la registrazione di Dr.Web Anti-virus. Altre applicazioni di scansione traffico web e di controllo dell'accesso a risorse web potrebbero non funzionare correttamente, se è attivato SpIDer Gate. Attivare e disattivare SpIDer Gate Per sospendere o riattivare il componente SpIDer Gate, eseguire una delle seguenti azioni: Attivare/disattivare l'opzione SpIDer Gate nella sezione Gestione della finestra principale dell'applicazione (vedi Figura 1); Fare clic sull'icona di Dr.Web Anti-virus nella barra dei menu che appare nella parte superiore dello schermo e selezionare la voce corrispondente. Soltanto gli utenti con i privilegi di amministratore possono disattivare SpIDer Gate. Configurare la scansione del traffico HTTP Con le impostazioni predefinite, SpIDer Gate blocca gli oggetti ricevuti via rete che contengono programmi malevoli. Si possono selezionare i tipi di programmi malevoli da bloccare, configurare le azioni da applicare agli oggetti che non è stato possibile controllare, nonché definire il tempo massimo di scansione di un file. Per fare questo, eseguire le seguenti azioni: 1. Nel menu dell'applicazione fare clic su Preferenze e aprire la scheda SpIDer Gate. Soltanto gli utenti con i privilegi di amministratore possono modificare le impostazioni del componente SpIDer Gate. Se necessario, fare clic sull'icona a forma di lucchetto nella parte inferiore della scheda delle impostazioni ed inserire il login e la password di amministratore. 2. Fare clic sul pulsante Avanzate. 3. Selezionare i tipi di programmi malevoli di cui si desidera bloccare la trasmissione. 4. Definire il tempo massimo di scansione di un file. 5. Di default, viene bloccata la trasmissione degli oggetti di cui la scansione non è riuscita. Se si desidera consentire la trasmissione di questi oggetti, togliere il flag Bloccare oggetti non controllati. 6. Per salvare le modifiche apportate, cliccare su OK. Configurare l'accesso alle risorse di Internet Oltre alla scansione antivirus del traffico HTTP, di default SpIDer Gate impedisce l'accesso agli URL aggiunti ai database in seguito a una richiesta del detentore del copyright e anche l'accesso ai siti sconsigliati. Queste funzioni possono essere disattivate nella scheda SpIDer Gate delle impostazioni di

20 Capitolo 4. Funzioni principali 20 Dr.Web Anti-virus. Si possono selezionare le categorie di siti web, l'accesso alle quali deve essere bloccato, e inoltre si possono creare le white e black list degli indirizzi web per consentire o impedire automaticamente l'accesso a determinati siti a prescindere dalle altre impostazioni di SpIDer Gate. Le impostazioni predefinite di SpIDer Gate sono ottimali nella maggior parte dei casi di trattamento, è sconsigliabile cambiarle senza necessità. Per configurare i parametri dell'accesso alle risorse di Internet, eseguire le seguenti azioni: 1. Nel menu dell'applicazione fare clic su Preferenze e aprire la scheda SpIDer Gate. Soltanto gli utenti con i privilegi di amministratore possono modificare le impostazioni del componente SpIDer Gate. Se necessario, fare clic sull'icona a forma di lucchetto nella parte inferiore della scheda delle impostazioni ed inserire il login e la password di amministratore. 2. Selezionare le categorie di siti, l'accesso alle quali deve essere bloccato. 3. Per creare una white list e una black list degli indirizzi di siti web, fare clic sul pulsante Liste bianca e nera. Di default le liste sono vuote. Se necessario, si possono aggiungere degli indirizzi di siti web alle liste bianca e nera. Fare clic sul pulsante che si trova sotto la lista corrispondente e immettere un nome di dominio o una parte di nome di dominio del sito web, l'accesso al quale si vuole consentire o vietare: per aggiungere alla lista un determinato sito, immettere il suo indirizzo completo (per esempio, Questo record determina l'accesso a tutte le risorse che si trovano su questo sito; per configurare l'accesso ai siti web, i cui indirizzi contengono un determinato testo, immettere questo testo nel campo. Esempio: se si immette il testo example, questo record determina l'accesso agli indirizzi example.com, example.test.com, test.com/example, test.example222.it ecc.; per configurare l'accesso a un determinato dominio, riportare il nome del dominio con il carattere ".". Questo record determina l'accesso a tutte le risorse che si trovano su questo dominio. Se indicando il dominio si usa il carattere "/", la parte della sottostringa a sinistra del carattere "/" è considerata nome di dominio, mentre le parti a destra del carattere "/" sono considerate parte dell'indirizzo consentito su questo dominio. Esempio: se viene immesso il testo example.com/ test, vengono elaborati tali indirizzi come example.com/test11, template.example.com/ test22 ecc. Per rimuovere i siti web dalla black o white list, selezionarli nell'elenco corrispondente e fare clic sul pulsante o trascinarli oltre i confini della finestra di configurazione del programma. 4. Per salvare le modifiche apportate, fare clic su OK.

21 Capitolo 4. Funzioni principali 21 Consulare la guida Per consultare la guida all'antivirus, usare Aiuto Dr.Web a cui si può accedere tramite il programma di visualizzazione Apple Help. Per chiamare Aiuto Dr.Web, nella parte superiore del desktop dal menu Aiuto selezionare la voce Aiuto Dr.Web o digitare la parola cercata nel campo corrispondente. Se Lei non riesce a risolvere il problema o a trovare la risposta a una domanda riguardante Dr.Web Anti-virus, si avvalga del supporto tecnico.

22 Capitolo 5. Funzioni aggiuntive 22 Capitolo 5. Funzioni aggiuntive Le funzioni aggiuntive di Dr.Web Anti-virus consentono di impostare parametri ottimali di protezione a seconda delle esigenze dell'utente. Quarantena La quarantena consente di isolare dal resto del sistema una minaccia se l'oggetto infetto serve ancora ma non può essere curato (con un successivo aggiornamento dell'applicazione, potrebbe arrivare il metodo per curarlo poiché i metodi di cura si perfezionano di continuo). Per motivi di riservatezza, una cartella di quarantena separata si crea per ciascun utente. Pertanto, se Lei ha cambiato alla modalità di lavoro con i privilegi di amministratore, le minacce rilevate verrano spostate nella quarantena dell'amministratore e non saranno disponibili nella quarantena degli utenti. Per guardare e gestire l'elenco degli oggetti spostati in quarantena, aprire la scheda Quarantena nella sezione Minacce (vedi figura sotto). Nella barra di stato nella parte inferiore della finestra, vengono mostrati il numero totale e la dimensione complessiva delle minacce, nonché il numero e la dimensione degli oggetti selezionati. Figura 4. Elenco degli oggetti spostati in quarantena. Guardare le informazioni sugli oggetti in quarantena 1. Per guardare le informazioni su un oggetto in quarantena, cliccare sul pulsante oppure fare doppio clic su quest'oggetto.

23 Capitolo 5. Funzioni aggiuntive Per leggere le informazioni sui tipi di minacce che l'oggetto selezionato presumibilmente contiene, nella finestra con le informazioni dettagliate sull'oggetto cliccare sul pulsante a sinistra del nome oggetto. Come risultato, si apre una pagina del sito dell'azienda Doctor Web contenente le informazioni su questo tipo di minaccia. Trattare gli oggetti in quarantena 1. Per applicare a un oggetto in quarantena l'azione raccomandata, cliccare sul pulsante con quest'azione sotto l'oggetto. Per scegliere un'altra azione da applicare all'oggetto, cliccare sulla freccia sul pulsante con l'azione raccomandata nella finestra delle informazioni dettagliate di questa minaccia. Si può scegliere una delle seguenti azioni: Eliminare eliminare il file definitivamente dal file system; Curare cercare di curare il file; Ripristinare trasferire il file da quarantena nel posto da cui è stato spostato in quarantena; Ripristinare in selezionare un percorso secondo il quale trasferire il file ripristinato da quarantena. 2. Per applicare un'azione a più oggetti insieme, selezionare gli oggetti (tenendo premuto il tasto SHIFT), dopo di che selezionare un'azione dalla sezione Azioni del menu principale dell'applicazione o dal menu contestuale che si apre cliccando con il tasto destro del mouse sull'elenco minacce. Inoltre, per applicare le azioni agli oggetti in quarantena, si possono utilizzare le combinazioni dei tasti della tastiera. Configurare le azioni automatiche Si possono configurare le azioni che si applicano automaticamente a diversi tipi di minacce informatiche, se non vi è una necessità di selezionare le azioni manualmente. Si possono configurare le azioni diverse per lo Scanner e per il componente SpIDer Guard. Configurare la reazione automatica dell'antivirus 1. Per configurare le azioni che i componenti di Dr.Web Anti-virus devono applicare in maniera automatica, eseguire una delle seguenti operazioni: per configurare la reazione dello Scanner, nel menu dell'applicazione cliccare su Preferenze e passare alla scheda Scanner; per configurare la reazione del componente SpIDer Guard, nel menu dell'applicazione cliccare su Preferenze e passare alla scheda SpIDer Guard. 2. Se necessario, cambiare le azioni automatiche da applicare agli oggetti infetti, incurabili e sospetti. 3. Cliccare sul pulsante Altre per definire le azioni da applicare ai programmi malevoli (adware, dialer, joke, hacktool e riskware). 4. Le azioni definite nelle impostazioni di SpIDer Guard verranno applicate automaticamente alle minacce rilevate da questo componente. Affinché anche lo Scanner applichi automaticamente le azioni di neutralizzazione durante le scansioni, spuntare il flag Applicare azioni automaticamente nella sezione delle impostazioni dello Scanner. 5. Cliccare sul pulsante Avanzate per configurare il controllo degli oggetti compositi (cioè archivi compressi e file di ) e per definire il tempo massimo di controllo di un file. Tenere presente che se è abilitato il controllo degli archivi compressi e dei file di e se il tempo di controllo di un singolo file è più lungo, questo potrebbe portare al rallentamento del Mac.

24 Capitolo 5. Funzioni aggiuntive 24 Le azioni impostate come predefinite sono ottimali nella maggior parte dei casi di trattamento minacce, è sconsigliabile cambiarle senza necessità. Di default, le impostazioni del componente SpIDer Guard sono bloccate per impedire agli utenti senza privilegi di amministratore di modificare queste impostazioni. Per sbloccare le impostazioni, fare clic sull'icona a forma di lucchetto nella parte inferiore della scheda di configurazione del componente SpIDer Guard e inserire il login e la password di amministratore. Escludere file dalla scansione Se necessario, si può creare una lista dei file e delle cartelle da escludere dalla scansione. Le liste delle esclusioni si creano separatamente per lo Scanner e per il componente SpIDer Guard. Configurare la lista delle esclusioni 1. Nel menu dell'applicazione cliccare su Preferenze e aprire la scheda Esclusioni. 2. Selezionare i flag SpIDer Guard e/o Scanner a destra degli oggetti nella lista delle esclusioni per escludere gli oggetti dai controlli eseguiti dal rispettivo componente. 3. Se necessario, modificare la lista delle esclusioni: per aggiungere un oggetto alla lista delle esclusioni, cliccare sul pulsante desiderato o trascinarlo nella lista. e indicare l'oggetto per rimuovere oggetti dalla lista delle esclusioni, selezionarli nella lista e cliccare sul pulsante o trascinarli oltre i confini della finestra dell'applicazione. Di default tutte le cartelle di quarantena sono aggiunte a entrambe le liste delle esclusioni. Queste cartelle servono per isolare oggetti pericolosi e l'accesso alle stesse è impedito perciò non vi è alcuna necessità di controllarle. Le impostazioni predefinite delle esclusioni sono ottimali nella maggior parte dei casi di trattamento, è sconsigliabile cambiarle senza necessità. Di default, le impostazioni del componente SpIDer Guard sono bloccate per impedire agli utenti senza privilegi di amministratore di modificare queste impostazioni. Per sbloccare le impostazioni, fare clic sull'icona a forma di lucchetto nella parte inferiore della scheda di configurazione del componente SpIDer Guard e inserire il login e la password di amministratore. Avvisi Si possono impostare avvisi di vari eventi che potrebbero accadere durante il funzionamento di Dr.Web Anti-virus, nella scheda Principali delle impostazioni dell'applicazione. L'applicazione fornisce la possibilità di utilizzare i seguenti tipi di avvisi: avvisi visualizzati sullo schermo; segnali sonori. Di default, le impostazioni degli avvisi sono bloccate per impedire agli utenti senza privilegi di amministratore di modificare queste impostazioni. Per sbloccare le impostazioni, fare clic sull'icona a forma di lucchetto nella parte inferiore della scheda di configurazione e inserire il login e la password di amministratore.

25 Capitolo 5. Funzioni aggiuntive 25 Configurare gli avvisi sonori Di default gli avvisi sonori sono attivati. Per attivare o disattivare gli avvisi sonori, spuntare o togliere il flag Suoni di eventi nella scheda Principali delle impostazioni dell'applicazione. Configurare gli avvisi visualizzati sullo schermo 1. Di default gli avvisi visualizzati sullo schermo sono attivati. Per attivare o disattivare gli avvisi visualizzati sullo schermo, spuntare o togliere il flag Utilizzare avvisi nella scheda Principali delle impostazioni dell'applicazione. 2. Scegliere sistemi di avvisi: Dr.Web (impostato di default) Sistema (avvisi del sistema Mac OS X) Growl 3. Per gli avvisi di Dr.Web, sono disponibili parametri addizionali che si possono definire cliccando sul pulsante Configurare: indicare la durata di visualizzazione avvisi sullo schermo; scegliere l'area dello schermo in cui si visualizzeranno gli avvisi. Per salvare le modifiche apportate, cliccare su OK. Privilegi di amministratore Dr.Web Anti-virus potrebbe richiedere i privilegi di amministratore per accedere alle aree critiche del disco fisso e per controllarle. Per avviare la scansione da amministratore, eseguire le seguenti azioni: 1. Nel menu dell'applicazione cliccare su Preferenze e passare alla scheda Principali. 2. Per permettere a Dr.Web Anti-virus di funzionare sempre con i privilegi di amministratore, spuntare il flag Avviare la scansione con i privilegi di amministratore. Sarà necessario inserire il login e la password di amministratore prima dell'inizio di una scansione (rapida, completa o personalizzata). Uso ottimale della batteria Di default la scansione si sospende se il Mac passa all'alimentazione dalla batteria in modo da evitare un esaurimento veloce della carica della batteria. Dr.Web Anti-virus visualizza un avviso corrispondente che consente di continuare la scansione. Si può disattivare l'opzione che sospende la scansione se il computer passa all'alimentazione dalla batteria, per fare questo eseguire le seguenti azioni: 1. Nel menu dell'applicazione cliccare su Preferenze e passare alla scheda Principali. 2. Se non si vuole che la scansione si sospenda quando il computer passa all'alimentazione dalla batteria, togliere il flag Sospendere la scansione se il computer passa all'alimentazione da batteria.

26 Capitolo 5. Funzioni aggiuntive 26 Modalità di funzionamento Se necessario, Lei può collegare Dr.Web Anti-virus alla rete antivirale della Sua azienda o del Suo provider di servizi Internet. Per utilizzare l'antivirus in tale modalità centralizzata, non è necessario installare qualche altro modulo di programma, né rimuovere Dr.Web Anti-virus installato. Di default, le impostazioni della modalità di funzionamento di Dr.Web Anti-virus sono bloccate per impedire agli utenti senza privilegi di amministratore di modificare queste impostazioni. Per sbloccare le impostazioni, fare clic sull'icona a forma di lucchetto nella parte inferiore della scheda di configurazione della modalità di funzionamento e inserire il login e la password di amministratore. Nella modalità di protezione centralizzata, è impedita la possibilità di avviare e di configurare manualmente gli aggiornamenti. Inoltre, alcune impostazioni di Dr.Web Anti-virus, in particolare le possibilità di gestione della protezione continua e della scansione del sistema a richiesta potrebbero essere modificate o bloccate in conformità ai criteri di sicurezza dell'azienda o in conformità all'elenco dei servizi pagati. Il file della chiave che permette all'antivirus di funzionare nella modalità centralizzata si riceve automaticamente dal server di protezione centralizzata, mentre la chiave di licenza personale non si usa. Configurare la modalità di protezione centralizzata 1. Mettersi in contatto con l'amministratore della rete antivirale dell'azienda o dell'isp per ottenere un file della chiave pubblica e i parametri di connessione al server di protezione centralizzata. 2. Nel menu dell'applicazione cliccare su Preferenze e selezionare la sezione Modalità. 3. Per aderire alla rete antivirale dell'azienda o al servizio antivirus fornito dall'isp, spuntare il flag Attivare la modalità di protezione centralizzata. Nella modalità di protezione centralizzata, è impedita la possibilità di avviare e di configurare manualmente gli aggiornamenti. Inoltre, alcune impostazioni di Dr.Web Anti-virus, in particolare le possibilità di gestione della protezione continua e della scansione del sistema a richiesta potrebbero essere modificate o bloccate in conformità ai criteri di sicurezza dell'azienda o in conformità all'elenco dei servizi pagati. Il file della chiave che permette all'antivirus di funzionare nella modalità centralizzata si riceve automaticamente dal server di protezione centralizzata, mentre la chiave di licenza personale non si usa. Nella modalità di protezione centralizzata, la scansione del computer può essere avviata manualmente dall'utente o automaticamente dal server secondo un calendario. 4. Quando viene attivata la modalità di funzionamento centralizzata, si ripristinano gli ultimi parametri di connessione al server. Se si connette al server per la prima volta o se i parametri di connessione sono cambiati, eseguire le seguenti azioni: Le impostazioni della connessione al server di protezione antivirus centralizzata si trovano nel file install.cfg che viene fornito dall'amministratore della rete antivirus. Per utilizzare il file: 1. Nel Gestore licenze premere il link Altri tipi di attivazione. 2. Trascinare il file con le impostazioni nella finestra che si è aperta oppure fare clic sull'area circondata da linea punteggiata per aprire una finestra di dialogo per selezionare il file. Dopo che il file è stato associato, i campi di input dei parametri di connessione al server vengono compilati in automatico. indicare l'indirizzo IP del server di protezione centralizzata fornito dall'amministratore della rete antivirale; indicare una porta da utilizzare per la connessione al server;

27 Capitolo 5. Funzioni aggiuntive 27 trascinare il file della chiave pubblica nella finestra di configurazione o fare doppio clic sull'area della chiave pubblica per selezionare il file dalla finestra standard di scelta; indicare i parametri addizionali per l'autenticazione della postazione: l'identificatore della postazione (attribuito al computer per la registrazione sul server) e la password. I valori dei parametri si salvano tramite la funzione Keychain perciò quando si connetterà al server per la prossima volta, non sarà necessario inserirli di nuovo. A seconda delle impostazioni dell'autenticazione delle postazioni sul server di protezione centralizzata, la postazione potrebbe essere connessa in una delle seguenti modalità: come postazione nuova (nuovo arrivo). In questo caso potrebbe essere necessario confermare la postazione sul server (l'identificatore e la password della postazione verranno creati automaticamente), oppure la postazione verrà autenticata automaticamente se sono definite le impostazioni corrispondenti sul server; se la postazione è già creata sul server, cioè le sono stati assegnati un identificatore e una password, alla connessione al server la postazione verrà autenticata automaticamente a prescindere dalle impostazioni del server. Per sapere come connettere le postazioni al server di protezione antivirale, consultare i manuali dell'amministratore di Pannello di controllo Dr.Web e di Dr.Web AV-Desk. Configurare la modalità di funzionamento autonomo 1. Nel menu dell'applicazione cliccare su Preferenze e selezionare la sezione Modalità. 2. Per passare alla modalità autonoma dell'antivirus, togliere il flag Attivare la modalità di protezione centralizzata. Con l'attivazione della modalità autonoma, si ripristinano tutte le impostazioni dell'antivirus definite prima del passaggio alla modalità centralizzata oppure le impostazioni predefinite. Inoltre, si recupera l'accesso a tutte le funzioni di Dr.Web Anti-virus. 3. Per funzionare nella modalità autonoma, l'antivirus richiede un file della chiave personale valido. In questa modalità non si può usare la chiave ricevuta automaticamente dal server di protezione centralizzata. Se necessario, si può ottenere o aggiornare il file della chiave personale tramite il Gestore licenze. Ripristinare le impostazioni di default Se dopo aver configurato Dr.Web Anti-virus Lei ha difficoltà con l'utilizzo del programma, può ripristinare le impostazioni modificate ai loro valori di default. Di default, l'opzione di ripristino impostazioni è bloccata per impedire agli utenti senza privilegi di amministratore di servirsi di quest'opzione. Per sbloccare l'opzione, fare clic sull'icona a forma di lucchetto nella parte inferiore della scheda di configurazione e inserire il login e la password di amministratore. 1. Nel menu dell'applicazione cliccare su Preferenze e passare alla scheda Principali. 2. Cliccare sul pulsante Ripristina i valori di default. Confermare di voler ripristinare le impostazioni predefinite dell'applicazione cliccando sul pulsante Ripristina nella finestra corrispondente.

28 Allegati 28 Allegati Allegato A. Tipi di minacce informatiche In questa classificazione il termine "minaccia informatica" significa qualsiasi programma che indirettamente o immediatamente può causare danno al computer, alla rete, alle informazioni o ai diritti dell'utente (cioè programmi malevoli e altri programmi indesiderati). In senso più ampio, il termine "minaccia informatica" può significare qualsiasi minaccia potenziale alla sicurezza del computer o della rete (cioè una vulnerabilità che potrebbe essere sfruttata dagli hacker per eseguire attacchi). Tutti i tipi di malware descritti sotto potrebbero mettere a rischio le informazioni o la privacy dell'utente. Di solito, non vengono categorizzati come minacce i programmi che non cercano di nascondersi nel sistema (per esempio, alcuni programmi per l'invio dello spam o per l'analisi dei dati trasmessi via rete), però in determinate condizioni tali programmi potrebbero causare danno all'utente. Nel prodotti e nella documentazione Doctor Web le minacce informatiche sono ordinate in due categorie secondo il grado di gravità del pericolo: Minacce principali. Sono minacce informatiche classiche che possono eseguire diverse azioni dannose e illegali nel sistema (cancellazione e furto di informazioni importanti, danneggiamento di funzioni di una rete ecc.). Questo tipo di minacce informatiche include programmi che tradizionalmente si chiamano malevoli (virus, worm e trojan). Minacce minori. Sono minacce informatiche ritenute meno pericolose rispetto alle minacce principali, ciononostante potrebbero essere utilizzate da terzi per eseguire azioni dannose. Inoltre, la presenza delle minacce minori nel sistema è un certo segno del basso livello di protezione. Questo tipo di programmi è chiamato programmi indesiderabili. Alle minacce minori appartengono gli adware, i dialer, gli joke, i riskware e gli hacktool. Minacce principali Virus informatici Un virus informatico può incorporare il proprio codice eseguibile in altri programmi, cioè li infetta. Doctor Web classifica i virus secondo il tipo di file infetto: i file virus infettano i file del sistema operativo (di solito, eseguibili e librerie dinamiche) e diventano attivi se il file contaminato viene usato; i macro virus infettano documenti di Microsoft Office (e di altri programmi che utilizzano macro scritte, per esempio, in Visual Basic). Le macro sono programmi incorporati scritti in un linguaggio di programmazione che possono avviarsi in determinate condizioni (per esempio, in Microsoft Word le macro possono avviarsi all'avvio, alla chiusura o al salvataggio di un documento); gli script virus si scrivono in un linguaggio di scripting; nella maggior parte dei casi infettano altri file di script (per esempio, file del sistema operativo). Possono infettare anche altri tipi di file che supportano l'esecuzione di script sfruttando script vulnerabili di applicazioni web; i boot virus infettano i settori di avvio di dischi e di partizioni, nonché i Master Boot Record dei dischi rigidi. Occupano poca memoria e rimangono pronti a eseguire le proprie funzioni fino a quando il sistema operativo non verrà riavviato o chiuso. La maggior parte dei virus può resistere al rilevamento. Gli autori dei virus migliorano tali metodi di resistenza dunque gli antivirus devono trovare sempre nuovi modi per superare la resistenza. I virus si possono classificare per tipo di resistenza al rilevamento:

29 Allegati 29 virus cifrati criptano il proprio codice per ogni nuova infezione per ostacolare il rilevamento in file, memoria o settori di avvio. Ogni copia di tale virus contiene soltanto un frammento comune (la procedura di decifratura) che può essere utilizzato come la firma antivirale; virus polimorfici utilizzano, oltre alla cifratura del codice, una procedura di decifratura che cambia in ciascuna copia nuova del virus, quindi per tale virus non esistono firme antivirali; stealth virus (virus invisibili) vengono mascherati per nascondere la presenza in oggetti contaminati. Prima di infettare un oggetto, il virus registra le proprietà dell'oggetto e in seguito fornisce questi dati obsoleti quando il sistema operativo o un programma cerca file modificati. Inoltre, i virus possono essere classificati secondo il linguaggio in cui sono scritti (la maggior parte si scrive in assembly, linguaggi di programmazione di altro livello, linguaggi di scripting ecc.), nonché secondo il sistema operativo bersaglio. Worm Recentemente i worm sono diventati molto più diffusi dei virus e di altri malware. Così come i virus, i worm possono creare copie di se stessi, però i worm non infettano altri oggetti. Un worm penetra sul computer dalla rete (comunemente come un allegato a un' o tramite Internet) e invia le proprie copie attive su altri computer. La propagazione di un worm potrebbe essere lanciata da azioni eseguite dall'utente o potrebbe iniziare automaticamente. I worm non sempre consistono da un singolo file (il corpo del worm). Molti worm hanno la cosiddetta parte di infezione (codice shell) che si carica nella memoria operativa del computer e poi scarica dalla rete il corpo del worm stesso sotto forma di un file eseguibile. Fino a quando il corpo del worm non è presente nel sistema, si può eliminare il worm riavviando il computer (al riavvio la memoria operativa si svuota). Se il corpo del worm è già presente nel sistema operativo, soltanto un antivirus può eliminare il worm. Propagandosi intensamente, i worm possono mettere fuori servizio intere reti anche quando non hanno alcun payload (cioè non causano un danno diretto al sistema). Doctor Web classifica i worm secondo il modo (ambiente) di propagazione: i worm di rete si propagano tramite diversi protocolli di rete e protocolli di trasferimento file; i worm di si propagano tramite protocolli di (POP3, SMTP ecc.); i worm di chat si propagano tramite programmi di messaggistica istantanea (ICQ, IM, IRC ecc.). Trojan Questi programmi malevoli non sono in grado di riprodursi da soli. I trojan sostituiscono furtivamente qualche programma che si avvia spesso e svolgono (o imitano) le funzioni di tale programma e nello stesso tempo eseguono azioni dannose (danneggiano e rimuovono dati, divulgano informazioni riservate ecc.). Utilizzando i trojan i malintenzionati possono servirsi del computer infetto, per esempio, per causare danni a terzi. Questi programmi hanno funzioni dannose e mimetiche simili a quelle dei virus e persino potrebbero essere moduli dei virus. Tuttavia, di solito, i trojan si propagano come eseguibili separati (si collocano su file server, si registrano su supporti di informazione o si inviano in allegati a ); i trojan vengono lanciati dall'utente o da un processo del sistema. Non è facile classificare i trojan poiché spesso vengono propagati dai virus e dai worm e poiché alcune azioni dannose, che anche altri malware possono eseguire, vengono attribuite solo ai trojan. Di seguito è riportato un elenco di alcuni tipi di trojan secondo la classificazione Doctor Web: i backdoor sono programmi che consentono di ottenere un accesso privilegiato al sistema aggirando le funzioni di concessione accesso e di protezione. I backdoor non infettano i file; invece si scrivono nel registro alterando le chiavi; i rootkit intercettano le funzioni del sistema operativo per celare la propria presenza nel sistema. Inoltre, i rootkit possono nascondere processi di altri programmi, nonché diverse chiavi del registro,

30 Allegati 30 cartelle e file. I rootkit si propagano come programmi indipendenti o come componenti dentro altri programmi malevoli. I rootkit possono essere divisi in due tipi secondo il principio di funzionamento: i rootkit che funzionano in modalità utente (intercettano le funzioni di librerie della modalità utente) (User Mode Rootkits (UMR)) e i rootkit che funzionano in modalità nucleo (intercettano le funzioni a livello del nucleo del sistema, il che rende più difficili il rilevamento e la neutralizzazione di questi malware (Kernel Mode Rootkits (KMR)); i keylogger si usano per raccogliere informazioni che l'utente digita sulla tastiera. Lo scopo è rubare informazioni sensibili (per esempio, password, login, numero di carta bancaria ecc.); i trojan clicker ridefiniscono i collegamenti quando vengono cliccati e reindirizzano l'utente su determinati siti web (probabilmente malevoli). Di solito, lo scopo di reindirizzamento è aumentare le visite sul sito per i fini di pubblicità oppure organizzare attacchi DDoS; i trojan proxy consentono al malintenzionato di accedere a Internet in modo anonimo attraverso il computer della vittima. Oltre a quelle enumerate, i trojan possono eseguire altre funzioni malevole, per esempio, cambiare la pagina iniziale nel browser o rimuovere determinati file. Tuttavia, tali azioni si possono eseguire anche da altri malware (per esempio, dai virus e worm). Minacce minori Hacktool Lo scopo degli hacktool è aiutare l'hacker. Il tipo più comune di tali programmi sono gli scanner delle porte che consentono di scoprire vulnerabilità dei firewall e di altri componenti di protezione del computer. Oltre agli hacker, questi strumenti vengono utilizzati anche dagli amministratori per controllare la sicurezza dei loro reti. Come hacktool talvolta vengono classificati anche i programmi che utilizzano il social engineering. Adware Generalmente, gli adware sono un codice di programma incorporato in un software gratuito che visualizza pubblicità quando viene utilizzato. Tuttavia, tale codice si propaga anche di nascosto tramite altri programmi malevoli e una volta arrivato sul computer mostra pubblicità, per esempio, nel browser. Spesso gli adware usano dati raccolti da spyware. Joke Questi programmi malevoli, come gli adware, non causano al sistema alcun danno immediato. Di solito, gli joke generano avvisi di errori che in realtà non vi sono e minacciano di eseguire azioni che potrebbero danneggiare i dati. Lo scopo è spaventare o molestare l'utente. Dialer Sono programmi che scansionano un intervallo di numeri telefonici per trovare uno a cui risponde il modem. Una volta trovato tale numero, i malintenzionati lo usano per aumentare la bolletta del telefono o per aderire l'utente a sua insaputa a qualche servizio di costo elevato. Riskware Tali programmi non vengono creati per causare danni, ma potrebbero comunque essere pericolosi. Come riskware, vengono categorizzati non solo i programmi che potrebbero danneggiare o rimuovere casualmente i dati, ma anche quelli che potrebbero essere sfruttati dagli hacker o da altri malware per causare danno al sistema. La categoria dei riskware include diversi programmi di comunicazione e di amministrazione su remoto, server FTP ecc. Oggetti sospetti Come oggetti sospetti, vengono classificate le minacce potenziali rilevate tramite l'analisi euristica. Tali oggetti potrebbero essere una minaccia informatica (probabilmente non ancora conosciuta dagli esperti

31 Allegati 31 della sicurezza informatica) o potrebbero essere file innocui in caso di falso positivo dell'antivirus. Si raccomanda di spedire oggetti sospetti per analisi al Laboratorio dei virus di Doctor Web.

32 Allegati 32 Allegato B. Rimozione delle minacce informatiche Esistono più metodi di rilevamento e di rimozione delle minacce informatiche. Molti dei metodi sono inclusi nei prodotti Dr.Web che hanno impostazioni utili e flessibili e assicurano una protezione affidabile e completa dei computer e delle reti. Metodi di rilevamento Ricerca per checksum delle firme antivirali Questo metodo è una variante dell'analisi basata sulle firme antivirali. Una firma antivirale è una sequenza continua finita dei byte che corrisponde in modo univoco a una minaccia informatica. Se l'antivirus trova una firma antivirale nel codice di un programma controllato, vuol dire che ha rilevato una minaccia. Durante la ricerca per checksum delle firme antivirali, vengono comparati i checksum e non le firme antivirali stesse perciò è possibile ridurre notevolmente la dimensione dei database dei virus mantenendo l'affidabilità del tradizionale metodo di analisi delle firme antivirali. Emulazione dell'esecuzione Il metodo di emulazione dell'esecuzione di un programma si usa per rilevare virus polimorfici e cifrati quando la ricerca per checksum delle firme antivirali non è applicabile o è ostacolata a causa di impossibilità di costruire firme antivirali affidabili. Con questo metodo, l'esecuzione del programma analizzato si imita tramite un emulatore cioè un modello di programmazione del processore (anche, in parte, del computer e del sistema operativo). L'emulatore usa un'area della memoria protetta (buffer di emulazione), e le istruzioni non si trasmettono al processore centrale per un'esecuzione effettiva. Se il programma elaborato dall'emulatore è infetto, come risultato dell'emulazione, il corpo del virus sarà decifrato e quindi sarà possibile rilevarlo con il metodo di ricerca per checksum delle firme antivirali. Analisi euristica L'analisi euristica si usa per rilevare minacce nuove sconosciute, non ancora incluse nei database dei virus. Con questo metodo si determina se in un oggetto siano presenti proprietà (caratteri) tipiche dei virus. Ad ogni carattere viene attribuito un valore, cioè un numero che determina il grado di rilevanza (o di gravità) di questo carattere. Il valore può essere positivo se il carattere indica la presenza di un codice dannoso o può essere negativo se il carattere non appartiene alle minacce informatiche. Se la somma dei valori di tutti i caratteri rilevati in un oggetto supera un determinato numero, l'analizzatore euristico conclude che l'oggetto potrebbe essere una minaccia e lo definisce come sospetto. Così come qualsiasi altro sistema di verifica ipotesi in condizioni incerte, l'analizzatore euristico potrebbe sbagliare: cioè saltare una minaccia sconosciuta o produrre un falso positivo. Origins Tracing Origins Tracing è un algoritmo di rilevamento di minacce sconosciute, non basato sulle firme antivirali, creato dagli specialisti di Doctor Web e utilizzato solo nei prodotti Dr.Web. Completa i tradizionali metodi di analisi euristica e di analisi delle firme antivirali e consente di rilevare minacce sconosciute con un grado elevato di probabilità. Ai nomi delle minacce rilevate tramite Origins Tracing si aggiunge il postfisso.origin.

33 Allegati 33 Azioni Nei prodotti Dr.Web, è possibile applicare a oggetti rilevati determinate azioni che neutralizzano minacce informatiche. L'utente può usare le azioni predefinite che si applicano automaticamente a diversi tipi di minacce, può impostare altre azioni o selezionare l'azione desiderata da applicare a un oggetto rilevato. Di seguito sono enumerate le azioni disponibili. Curare. Quest'azione è applicabile soltanto alle minacce principali (virus, worm e trojan). Con quest'azione si elimina il codice dannoso dentro gli oggetti infetti e, se possibile, si ripristinano la struttura e le funzioni degli oggetti. Un oggetto potrebbe essere composto da solo codice dannoso senza alcune informazioni utili (per esempio, i trojan o le copie funzionali dei worm sono tali oggetti), dunque in tale caso curare vuol dire eliminare l'oggetto stesso per intero. Non tutti gli oggetti infetti possono essere guariti, ma gli algoritmi di cura sono in continua evoluzione. Quarantena (spostare in quarantena). Tramite quest'azione un oggetto rilevato viene spostato in una cartella speciale, isolata dal resto del sistema. Si può applicare quest'azione quando non è possibile curare l'oggetto o quando l'oggetto è categorizzato come sospetto. Si raccomanda di spedire tali oggetti per analisi al Laboratorio dei virus di Doctor Web; Eliminare. Questa è l'azione più efficace che possa essere applicata a una minaccia informatica. Tramite quest'azione si elimina definitivamente l'intero oggetto infetto (o i contenuti dello stesso). Talvolta l'eliminazione potrebbe essere applicata anche agli oggetti per cui è stata selezionata l'azione Curare. Tale "cura mediante eliminazione" si applica se il file è composto da solo codice dannoso senza alcune informazioni utili (per esempio, curare un worm vuol dire eliminare tutte le sue copie funzionali). Rinominare. Con quest'azione l'estensione del nome file viene modificata in conformità a un template prestabilito (di default, il primo carattere dell'estensione viene sostituito con il carattere "#"); è opportuno applicare quest'azione ai file degli altri sistemi operativi (per esempio, di MS-DOS o della famiglia Microsoft Windows ) che l'analisi euristica ha classificato come file sospetti. La rinominazione rende impossibili un avvio accidentale dei moduli eseguibili in questi sistemi e uno scaricamento dei file Word o Excel senza un controllo e in questo modo previene l'eventuale infezione e un'ulteriore propagazione del virus; Trascurare (Saltare). è applicabile soltanto alle minacce minori (adware, dialer, joke, riskware e hacktool). In questo caso, non si eseguono alcune azioni con la minaccia rilevata, e l'utente non viene avvisato del rilevamento. Informare. Non si applica alcun'azione all'oggetto rilevato, però le informazioni sulla minaccia rilevata si visualizzano comunque nella tabella risultati della scansione.

34 Allegati 34 Allegato C. Protezione antivirus centralizzata Le soluzioni Doctor Web per l'organizzazione di una protezione antivirus centralizzata consentono di automatizzare e di facilitare la configurazione e la gestione della sicurezza dei computer uniti in una struttura logica (per esempio, computer di un'azienda situati sia dentro che fuori della rete locale). I computer da proteggere vengono uniti in una rete antivirale, la cui sicurezza viene controllata e gestita da parte degli amministratori tramite un server centrale. La protezione centralizzata garantisce un alto livello di sicurezza del computer e richiede pochi sforzi da parte dell'utente. Interazione dei componenti della rete antivirale Le soluzioni Doctor Web per la protezione antivirus centralizzata hanno un'architettura client-server (vedi figura sotto). I computer dell'azienda o degli utenti del service provider vengono protetti contro le minacce alla sicurezza e contro di spam tramite i componenti antivirus locali (cioè tramite i client, in questo caso Dr.Web Anti-virus) che provvedono alla protezione antivirale e facilitano la connessione al server di protezione centralizzata. I componenti di protezione locali vengono aggiornati e configurati tramite il server centrale. Tutti i comandi e dati della rete antivirale anche passano attraverso il server centrale. I dati trasmessi tra i computer protetti e il server antivirale potrebbero essere molti perciò è prevista la possibilità di compressione dati. La possibilità di cifrare i dati al trasferimento permette di evitare la divulgazione di informazioni preziose e la sostituzione furtiva dei programmi caricati sui computer protetti. Il server di protezione centralizzata scarica tutti gli aggiornamenti necessari dal Sistema di aggiornamento globale Dr.Web. Il server di protezione centralizzata modifica la configurazione dei componenti antivirus locali e invia comandi secondo le istruzioni degli amministratori della rete antivirale. Gli amministratori gestiscono la configurazione del server centrale e formano la rete antivirale (in particolare, autorizzano la connessione di una postazione alla rete) e se necessario impostano alcuni componenti antivirus locali.

35 Allegati 35 Figura 5. Struttura logica della rete antivirale. I componenti antivirus locali non sono compatibili né con i software antivirus di altre aziende, né con le soluzioni antivirus Dr.Web che non supportano la modalità di protezione centralizzata (per esempio, Dr.Web Anti-virus versione 5.0). Se due programmi antivirus sono installati su un computer, questo può portare al guasto del sistema e alla perdita di informazioni importanti. Soluzioni per la protezione centralizzata Dr.Web Enterprise Security Suite Dr.Web Enterprise Security Suite è una soluzione antivirus composita ideata per reti aziendali che provvede a una protezione affidabile sia delle postazioni che dei file server e mail server contro qualsiasi genere di minacce informatiche; è adatta per le aziende di qualsiasi grandezza. Inoltre, questa soluzione fornisce diversi strumenti per gli amministratori della rete aziendale da utilizzare per monitorare e gestire i componenti antivirus installati, tra cui deployment, aggiornamento dei database dei virus Dr.Web e dei moduli di programma, monitoraggio dello stato della rete, avvisi di eventi virali e raccolta delle informazioni statistiche. Servizio di Internet Dr.Web AV-Desk Dr.Web AV-Desk è un servizio innovativo Doctor Web rivolto ai service provider. Tramite questo servizio, i provider possono fornire ai loro utenti (sia privati che aziende) servizi di protezione da virus, spam e da altre minacce informatiche. Per usufruire del servizio, l'utente deve abbonarsi a un pacchetto di tariffa per il tempo desiderato. I servizi si forniscono online.