Sistemi di Antivirus CEFRIEL. Politecnico di Milano. Consorzio per la Formazione e la Ricerca in Ingegneria dell Informazione. Politecnico di Milano

Transcript

1 Consorzio per la Formazione e la Ricerca in Ingegneria dell Informazione Politecnico di Milano Sistemi di Antivirus CEFRIEL Politecnico di Milano

2 Antivirus I sistemi di antivirus sono dei software che ci aiutano nella scoperta e nella cancellazione di codice maligni che potrebbero creare problemi alle macchine Evidenziano la presenza di: Virus Trojan horse Backdoors Vbscript e Javascript pericolosi - 2 -

3 Controllo lato client/server Sul mercato esistono vari vendor di sistemi di antivirus, tutti simili nell azione di prevenzione dei problemi prima descritti E possibile effettuare un controllo su un client oppure su un server centrale - 3 -

4 Concetto di scansione Bisogna capire la reale esigenza del singolo oppure della realtà aziendale in cui ci si trova L attività di controllo su una macchina delle presenza di virus è detta scansione - 4 -

5 Case study: home user Prendiamo ad esempio un home user che ha interesse a proteggere i dati sensibili presenti sul suo pc Una volta installato il software, è necessario configurarlo in maniera opportuna per evitare perdite di tempo successive Ricordiamo che i software antivirus di ultima generazione, agiscono pesantemente sulle performance di una macchina Ci devono essere dei requisiti hardware ben definiti (es. RAM ) - 5 -

6 Controlli possibili Su un client, il software controlla le seguenti situazioni: Traffico in uscita dalla macchina Traffico in ingresso Mail in arrivo sulla propria macchina - 6 -

7 Controllo in real-time Il controllo avviene in modo tale che il PC filtri tutto il contenuto di una macchina in real-time, avvalendosi di un database di firme di virus (trojan o backdoors) Se il file controllato contiene del codice maligno, viene identificato come virus - 7 -

8 Il database di virus: DAT Ovviamente, BISOGNA MANTENERE AGGIORNATO IL DATABASE DI FIRME Solitamente le case produttrici rilasciano ogni 5-7 giorni una nuova release del database di virus - 8 -

9 Antivirus: come agisce Solitamente, quando viene rilevata la presenza di un virus, il PC si può comportare in questo modo: Cancellare il file Notificare la presenza del virus Rinominare il file Posizionare il file in quarantena - 9 -

10 Tipi di file da controllare La configurazione del client può essere fatta in questo modo: Scanning dei file con estensioni conosciute Scanning di tutti i file del sistema

11 Controllo limitato Per non stressare troppo una macchina è possibile controllare solo i file che risiedono stabilmente nel PC e quelli che vengono copiati da altre macchine o da internet Tralasciare il controllo dei file che dalla nostra macchina escono può sensibilemente migliorare le performance di una macchina

12 Scan-on on-demand e background scanning Solitamente in un sistema antivirus su un client compaiono due applicativi: Una console di scan-on-demand Un processo in background sempre running che controlla continuamente i file

13 Compatibilità con altre applicazioni Attenzione: controllare sempre la compatibilità delle applicazioni installate sul PC con il software antivirus della macchina

14 Controllo antivirus su un server Nel caso in cui, nella nostra azienda/scuola disponiamo di alcuni file server, è opportuno studiare un metodo per proteggere i file di quelle macchine Essendo macchine sensibili, la scelta e la configurazione del software deve essere precisa e accurata

15 File server o mail server? Il software antivirus installato su un server può controllare: Il file system Le caselle di posta (se c è un software di gestione della posta)

16 Controllo sul file system di un server Nel caso in cui volessimo proteggere un server, o meglio, il file system di un server, configuriamo il nostro antivirus in modo tale che vengano bloccati ALL ACCESSO della macchina i file virati E possibile configurare un check automatico del database dei virus in modo tale che il controllo sia preciso

17 Protezione del file system Nel momento in cui si tenterà di copiare un file all interno di una directory del server, il software rileverà la presenza di un virus notificando l accaduto all amministratore Esistono varie modalità di notifica che a breve vedremo

18 Ottimizzazione del traffico di rete Anche in questi casi è importante avere il database di firme dei virus (DAT), aggiornato all ultima versione Nel caso in cui avessimo 3 server che hanno bisogno di protezione da virus, è possibile configurare il tutto in modo che: Server A scarichi il DAT dei virus dal sito del vendor Server B e C, si aggiornino automaticamente puntando alla directory condivisa del Server A Tutti i client possono aggiornarsi attraverso uno dei server sopracitati

19 Controllo su un server di posta Se abbiamo a disposizione un server di posta, dove sono configurate le mailbox degli insegnanti e degli studenti, è opportuno lavorare in maniera centralizzata E nostra intenzione configurare il software antivirus in modo tale che il controllo sia fatto dal server di posta, anzichè dal client

20 Vantaggi di un controllo centralizzato Il vantaggio di un architettura di questo tipo è che sui client non c è bisogno di installare la funzionalità di scanning, in quanto il controllo viene effettuato in maniera centralizzata da una o più macchine server

21 Scopo dell antivirus sul server di posta (1) Lo scopo dell antivirus installato su un server è quello di far pervenire al client il messaggio, con la notifica che la mail ERA virata, e il contenuto è stato pulito Mail virata CONTROLLO Server di posta con antivirus Mail ripulita

22 Scopo dell antivirus sul server di posta (2) Appena il messaggio arriva, il server di posta dovrebbe identificare il destinatario, e porre la mail all interno della sua casella personale PRIMA di farla entrare nell Information Store del server, viene controllata e successivamente spedita

23 Scopo dell antivirus sul server di posta (3) La stessa procedura avviene per le mail che vengono spedite dal client verso l esterno Il controllo, riassumendo avviene: All arrivo della mail Prima di aprire una connessione sulla porta TCP 25 per spedire il messaggio

24 Azioni legate all attività di scanning E possibile configurare un azione di risposta in relazione alla constatazione di un virus presente su una macchina Se si tratta di un file o mail server è possibile: Generare un messaggio di tipo Messenger Service che avverta della presenza del virus Spedire una ad un indirizzo ben definito, con annotato il tipo di virus, il mittente e i destinatario del messaggio

25 Console di amministrazione di un antivirus Solitamente le console di amministrazione di un software antivirus su un server di posta sono assolutamente intuitive e facili da gestire

26 Antivirus in Windows 2000 In Windows 2000, l installazione di un software antivirus, crea un numero N di servizi che partiranno all avvio della macchina e che si occupano di varie operazioni: Update della versione Scanning on demand Background scanning Management console Controllare sempre che i servizi in questione siano running

27 The end...buon lavoro!