«РУКОВОДСТВО АДМИНИСТРАТОРА АНТИВИРУС КАСПЕРСКОГО 6.0 ДЛЯ WINDOWS SERVERS ENTERPRISE EDITION Руководство администратора ЗАО Лаборатория Касперского Тел., факс: +7 (495) 797-8700, +7 (495) 645-7939, +7 (495) 956-7000 ...»
-- [ Страница 3 ] --
вы можете сами загружать их с веб-сайта «Лаборатории Касперского». Вы можете настроить уведомление администратора о событии Доступны плановые обновления модулей Антивируса, в котором будет содержаться адрес страницы нашего сайта, с которой вы Обновление баз и программных модулей Антивируса сможете загрузить плановые обновления (подробнее о настройке уведомлений читайте в п. 15.2 на стр. 237).
Нажмите на кнопку ОК, чтобы сохранить изменения.
10.5.3. Настройка параметров задачи Копирование обновлений Чтобы настроить параметры задачи Копирование обновлений:
В дереве консоли выберите узел Обновление.
Откройте контекстное меню на задаче Копирование обновлений и выберите команду Свойства.
В диалоговом окне Свойства: Копирование обновлений (см.
рис. 63) укажите источник обновления и параметры соединения с ним (см. инструкцию в п. 10.5.1 на стр. 158).
Рисунок 63. Диалоговое окно Свойства: Копирование обновлений, закладка На закладке Общие укажите состав обновлений, которые будут скопированы в указанную папку (подробнее о параметре читайте в Укажите локальную или сетевую папку, в которой Антивирус сохранит загруженные обновления (подробнее о параметре читайте в Нажмите на кнопку ОК, чтобы сохранить изменения.
10.6. Статистика задач обновления Пока выполняется задача обновления, вы можете просматривать в реальном времени информацию об объеме данных, полученных с момента запуска задачи по текущий момент, – статистику задачи.
Информация в диалоговом окне Статистика будет доступна, если вы приостановите задачу. После завершения или остановки задачи вы сможете просмотреть эту информацию в подробном отчете о событиях в задаче (см. п. 13.2.4 на стр. 209).
Чтобы просмотреть статистику задачи обновления:
В дереве консоли разверните узел Обновление.
Откройте контекстное меню на нужной задаче обновления и выберите команду Просмотреть статистику.
В диалоговом окне Статус выполнения задачи задач Обновление баз приложения и Копирование обновлений отображается объем данных, загруженных Антивирусом на текущий момент (Полученные данные).
В диалоговом окне Статус выполнения задачи Обновление модулей приложения отображается следующая информация:
Полученные данные Общий объем полученных данных Доступно критических Количество критических обновлений, доступных Доступно плановых Количество плановых обновлений, доступных Ошибок применения Если значение этого поля отличается от нуля, обновлений обновление не было применено. Вы можете просмотреть название обновления, при применении которого возникла ошибка, в подробном Антивирус Касперского 6.0 для Windows Servers Enterprise Edition 10.7. Откат обновления баз Антивируса Антивирус, перед тем, как применять обновления баз, создает резервные копии баз, используемых ранее. Если обновление прервалось или завершилось с ошибкой, Антивирус автоматически возвращается к использованию баз с предыдущими установленными обновлениями.
Если после обновления баз у вас возникнут проблемы, вы можете откатить базы до предыдущих установленных обновлений, запустив задачу Откат обновления баз.
10.8. Откат обновления программных модулей Перед тем как применять обновления программных модулей, Антивирус создает резервные копии модулей, используемых в текущий момент. Если обновление модулей прервалось или завершилось с ошибкой, Антивирус автоматически возвращается к использованию модулей с последними установленными обновлениями.
Вы можете вручную откатить программные модули до предыдущих установленных обновлений.
Чтобы откатить программные модули, используйте компонент панели управления Microsoft Windows Установка и удаление программ.
ГЛАВА 11. ИЗОЛИРОВАНИЕ
ПОДОЗРИТЕЛЬНЫХ
ОБЪЕКТОВ.
ИСПОЛЬЗОВАНИЕ
КАРАНТИНА
В этой главе содержится следующая информация:
просмотр объектов на карантине, сортировка и фильтрация объектов (см. п. 11.2 на стр. 170);
проверка объектов на карантине (по требованию или автоматически, после каждого обновления баз) (см. п. 11.3 на стр. 175);
восстановление объектов из карантина (см. п. 11.4 на стр. 177);
помещение объектов на карантин вручную (см. п. 11.5 на стр. 181);
удаление объектов из карантина (см. п. 11.6 на стр. 182);
отправка подозрительных объектов из карантина на исследование в «Лабораторию Касперского» (см. п. 11.7 на стр. 183);
настройка параметров карантина (см. п. 11.8 на стр. 185);
статистика карантина (см. п. 11.9 на стр. 187).
Параметры карантина описаны в п. A.6 на стр. 438.
11.1. Об изолировании подозрительных объектов Антивирус изолирует объекты, которые он признает подозрительными, помещая их на карантин – перенося из исходного местоположения в специальную папку, в которой в целях безопасности они хранятся в зашифрованАнтивирус Касперского 6.0 для Windows Servers Enterprise Edition ном виде (подробнее о том, как Антивирус признает объекты подозрительными, читайте в п. 1.1.3 на стр. 20).
11.2. Просмотр объектов на карантине Вы можете просматривать объекты на карантине в узле Карантин консоли Антивируса.
Чтобы просмотреть объекты на карантине, в дереве консоли выберите узел Карантин (см. рис. 64).
Чтобы найти нужный объект в списке объектов на карантине, вы можете отсортировать объекты (см. п. 11.2.1 на стр. 173) или отфильтровать их (см. п. 11.2.2 на стр. 173).
Рисунок 64. Информация об объектах на карантине в узле Карантин В панели результатов отображается следующая информация о каждом объекте на карантине:
Объект Имя объекта, помещенного на карантин Результат Статус объекта на карантине; может иметь следующие Зараженный. Объект признан зараженным – обнаружено полное совпадение участка кода объекта с объект на карантин вручную, но при проверке карантина использованием обновленных баз Антивирус как подозрительный или вы поместили объект на карантин вручную, но при проверке карантина с применением обновленных баз Антивирус признал объект Помещен пользователем. Объект помещен на карантин пользователем.
Антивирус Касперского 6.0 для Windows Servers Enterprise Edition Уровень Уровень опасности показывает, насколько объект опаопасности сен для сервера Уровень опасности зависит от типа угрозы в объекте и может принимать следующие значения (подробнее о Высокий. Объект может содержать угрозу типа сетевые черви, классические вирусы, троянские программы или угрозу неопределенного типа (этот тип включает новые вирусы, на текущий момент не причисленные ни к одному из известных типов);
Средний. Объект может содержать угрозу типа прочие вредоносные программы, программы-рекламы или программы порнографического содержания;
Низкий. Объект может содержать угрозу типа потенциально опасные программы;
Тип угрозы Тип угрозы по классификации «Лаборатории Касперского»; входит в полное название угрозы, которое возвращает Антивирус, признав объект подозрительным или Имя угрозы Имя угрозы по классификации «Лаборатории Касперского», входит в полное название угрозы в объекте, которое возвращает Антивирус, признав объект подозрительным или зараженным Вы можете просмотреть полное название угрозы, обнаруженной в объекте, в подробном отчете о выполнении Дата Дата помещения объекта на карантин помещения Исходный путь Полный путь к исходному местоположению объекта, например, к папке, из которой объект был перенесен в папку карантина, файлу в составе архива или pstфайлу в почтовой базе Размер Размер объекта Имя В этом столбце отображаются следующие данные:
пользователя с правами которой к объекту обращалось приложение, когда Антивирус перехватил этот объект;
если объект был помещен на карантин пользователем вручную – имя учетной записи этого пользователя.
11.2.1. Сортировка объектов на По умолчанию объекты в списке объектов на карантине отсортированы по дате помещения в обратном хронологическом порядке. Чтобы найти нужный объект, вы можете отсортировать объекты по содержимому столбцов с информацией об объектах. Результат сортировки сохранится, если вы покинете и снова откроете узел Карантин или если вы закроете консоль Антивируса с сохранением в msc-файл и снова откроете ее из этого файла.
Чтобы отсортировать объекты:
В дереве консоли выберите узел Карантин.
В панели результатов щелкните на заголовке столбца, по содержимому которого вы хотите отсортировать объекты в списке.
11.2.2. Фильтрация объектов в карантине Чтобы найти нужный объект на карантине, вы можете отфильтровать объеты в списке – отобразить только те объекты, которые удовлетворяют заданным вами критериям фильтрации (фильтрам). Результат фильтрации сохранится, если вы покинете и снова откроете узел Карантин или если вы закроете консоль Антивируса с сохранением в msc-файл и снова откроете ее из этого файла.
Чтобы задать один или несколько фильтров:
В дереве консоли откройте контекстное меню на узле Карантин и Откроется диалоговое окно Параметры фильтра (см. рис. 65).
а) В списке Название поля выберите поле, с которым будет б) В списке Оператор выберите условие фильтрации. Условия фильтрации в списке могут быть различными в зависимости от того, какое значение вы выберите в списке Название поля.
в) В поле Значение поля введите или выберите в списке значение фильтра.
Добавленный фильтр отобразится в списке фильтров в окне Параметры фильтра. Повторите эти действия для каждого фильтра, который вы хотите добавить. Если вы зададите несколько фильтров, то они объединятся по логическому «И».
Чтобы удалить фильтр, в списке фильтров выберите фильтр, который вы хотите удалить, и нажмите на кнопку Удалить.
Чтобы отредактировать фильтр, выберите фильтр в списке в диалоговом окне Параметры фильтра, затем измените нужные значения в полях Название поля, Оператор или Значение поля и нажмите на кнопку Заменить.
После того как вы добавите все фильтры, нажмите на кнопку Применить.
Чтобы снова отобразить все объекты в списке объектов на карантине, в дереве консоли откройте контекстное меню на узле Карантин и выберите команду Снять фильтр.
11.3. Проверка объектов на карантине. Параметры задачи По умолчанию после каждого обновления баз Антивирус выполняет системную задачу Проверка объектов на карантине. Параметры задачи приводятся в таблице 8. Вы не можете их изменять.
Вы можете изменять расписание задачи Проверка объектов на карантине или запускать ее вручную.
Проверив объекты на карантине после обновления баз, Антивирус может признать некоторые из них незараженными: статус таких объектов изменится на Ложное срабатывание. Другие объекты Антивирус может признать зараженными и выполнить над ними действия, указанные параметрами задачи проверки по требованию Проверка объектов на карантине:
лечить, если невозможно, удалить.
Таблица 8. Параметры задачи Проверка объектов на карантине объектов на карантине Параметры безопасности Единые для всей области проверки; их Таблица 9. Параметры безопасности в задаче Проверка объектов на карантине (см. п. A.3.2 на стр. 400) ненных объектов (см. п. A.3. на стр. 402) Действие над зараженными Лечить, удалять, если лечение невозможно объектами (см. п. A.3.5 на стр. 404) объектами (см. п. A.3.6 на стр. 407) (см. п. A.3.8 на стр. 411) стр. 412) проверки объекта (см. п. A.3. на стр. 414) объекта (см. п. A.3.11 на стр. 415) потоков файловой системы (NTFS) (см. п. A.3.2 на стр. 400) (см. п. A.3.2 на стр. 400) er (см. п. A.3.12 на 416) (см. п. A.3.13 на стр. 417) Проверка составных объектов Архивы* (см. п. A.3.4 на стр. 403) 11.4. Восстановление объектов из карантина Антивирус помещает подозрительные объекты в папку карантина в зашифрованном виде, чтобы предохранить защищаемый сервер от их возможного вредоносного действия.
Вы можете восстановить любой объект из карантина. Это может потребоваться в следующих случаях:
если после проверки карантина с применением обновленных баз статус объекта изменился на Ложное срабатывание или Вылечен;
если вы считаете объект безопасным для сервера и хотите его использовать. Чтобы Антивирус не изолировал этот объект при последующих проверках, вы можете исключить объект из обработки в задаче Постоянная защита файлов и задачах проверки по требованию. Для этого укажите объект в качестве значения параметра безопасности Исключение объектов (по имени файла) (см. п. A.3.8 на стр. 411) или Исключение угроз (см. п. A.3. При восстановлении объекта вы можете выбрать, где будет сохранен восстановленный объект: в исходном местоположении (по умолчанию), в специальной папке для восстановления на защищаемом сервере или в указанной вами папке на компьютере, на котором установлена консоль Антивируса, или на другом компьютере в сети.
Папка для восстановления предназначена для хранения восстановленных объектов на защищаемом сервере. Вы можете установить для ее проверки специальные параметры безопасности. Путь к этой папке задается параметрами карантина (см. п. 11.8 на стр. 185).
Внимание!
Восстановление объектов из карантина может привести к заражению компьютера.
Примечание Если объект, помещенный на карантин, входит в составной объект (например, в архив), Антивирус не включает его снова составной объект при восстановлении, а сохраняет отдельно, в указанной папке.
Вы можете восстановить объект, сохранив его копию в папке карантина, чтобы использовать ее в дальнейшем, например, чтобы еще раз проверить объект после обновления баз.
Вы можете восстановить один или несколько объектов.
Чтобы восстановить объекты из карантина:
В дереве консоли выберите узел Карантин.
В панели результатов выполните одно из следующих действий:
чтобы восстановить один объект, откройте контекстное меню на объекте, который вы хотите восстановить, и выберите команду Восстановить;
чтобы восстановить несколько объектов, выберите нужные объекты, используя клавишу или клавишу, затем откройте контекстное меню на одном из выбранных объектов и Рисунок 66. Диалоговое окно Восстановление объекта В диалоговом окне Восстановление объекта для каждого из выбранных объектов укажите папку, в которой будет сохранен восстановленный объект (имя объекта отображается в поле Объект в верхней части диалогового окна; если вы выбрали несколько объектов, то отображается имя первого объекта в списке выбранных).
Выполните одно из следующих действий:
чтобы восстановить объект в исходное местоположение, выберите Восстановить в исходную папку на сервере или в чтобы восстановить объект в папку, которую вы задали в качестве папки для восстановления в параметрах карантина (см. п. A.6.4 на стр. 441), выберите Восстановить в серверную папку для восстановления по умолчанию;
чтобы сохранить объект в другую папку на компьютере, на котором установлена консоль Антивируса, или в сетевую папку, выберите Восстановить в папку на локальном компьютере или сетевом ресурсе, а затем выберите нужную папку или Если вы хотите сохранить копию объекта в папке карантина после его восстановления, снимите флажок Удалять объекты из карантина после восстановления.
Чтобы применить указанные условия восстановления к остальным выбранным объектам, установите флажок Применить ко всем Все выбранные объекты будут восстановлены и сохранены в указанное вами местоположение: если вы выбрали Восстановить в исходную папку на сервере или указанную сетевую папку, каждый из объектов будет сохранен в свое исходное местоположение;
если вы выбрали Восстановить в серверную папку для восстановления по умолчанию или Восстановить в папку на локальном компьютере или сетевом ресурсе – все объекты будут сохранены в одну указанную папку.
Антивирус начнет восстанавливать первый из выбранных вами Если объект с таким именем уже существует в указанном местоположении, то откроется диалоговое окно Объект с таким именем Рисунок 67. Диалоговое окно Объект с таким именем существует а) Выберите одно из следующих действий Антивируса:
Заменить, чтобы сохранить восстановленный объект вмеo Переименовать, чтобы сохранить восстановленный объo Переименовать, добавив суффикс, чтобы переименоo вать объект, добавив к имени его файла суффикс. Введите б) Если вы выбрали несколько объектов для восстановления, то, чтобы применить выбранное действие Заменить или Переименовать, добавив суффикс к остальным выбранным объектам, установите флажок Применить ко всем объектам.
(Если вы указали Переименовать, то флажок Применить ко Объект будет восстановлен; информация об операции восстановления будет зарегистрирована в журнале системного аудита.
Если вы не выбрали вариант Применить ко всем выбранным объектам в диалоговом окне Восстановление объекта, то диалоговое окно Восстановление объекта откроется снова. В нем вы сможете указать местоположение, в которое будет восстановлен следующий выбранный объект (см. шаг 3 этой инструкции).
11.5. Помещение файлов на карантин Вы можете вручную помещать файлы на карантин.
Чтобы поместить файлы на карантин:
В дереве консоли откройте контекстное меню на узле Карантин и выберите команду Добавить.
В диалоговом окне Открыть выберите файлы на диске, которые вы хотите поместить на карантин, и нажмите на кнопку ОК.
Если файлы, которые вы хотите поместить на карантин, хранятся в одной папке, то в диалоговом окне Открыть вы можете выбрать несколько файлов, используя клавишу или клавишу.
Антивирус поместит выбранный файл (файлы) на карантин.
В диалоговом окне с названием первого выбранного файла выполните следующее действие (если вы хотите применить действие ко Антивирус Касперского 6.0 для Windows Servers Enterprise Edition всем выбранным файлам, установите флажок Применить к всем чтобы сохранить файл в исходном местоположении, нажмите чтобы удалить файл из исходного местоположения, нажмите 11.6. Удаление объектов из карантина Согласно параметрам задачи Проверка объектов на карантине (см. п. 11.3 на стр. 175), Антивирус автоматически удаляет из папки карантина объекты, статус которых при проверке карантина с использованием обновленных баз изменился на Зараженный и которые Антивирусу не удалось вылечить. Остальные объекты Антивирус не удаляет.
Вы можете вручную удалить из карантина один или несколько объектов.
Чтобы удалить из карантина один или несколько объектов:
В дереве консоли выберите узел Карантин.
Выполните одно из следующих действий:
чтобы удалить один объект, откройте контекстное меню на объекте, который вы хотите удалить, и выберите команду Удалить;
чтобы удалить несколько объектов, выберите нужные объекты в списке, используя клавишу или клавишу, затем откройте контекстное меню на любом из выбранных объектов и В диалоговом окне Подтверждение нажмите на кнопку Да, чтобы 11.7. Отправка подозрительных объектов на исследование в «Лабораторию Касперского»
Если поведение какого-нибудь файла дает вам основание подозревать в нем наличие угрозы, а Антивирус признает этот файл незараженным, то, возможно, вы встретились с новой, неизвестной угрозой, алгоритм лечения которой еще не добавлен в базы. Вы можете отправить этот файл на исследование в «Лабораторию Касперского». Вирусные аналитики «Лаборатории Касперского» проанализируют его и, если обнаружат в нем новую угрозу, добавят идентифицирующую ее запись и алгоритм лечения в базы.
Возможно, когда вы вновь проверите объект после обновления баз, Антивирус признает его зараженным и ему удастся его вылечить. Вы сможете не только сохранить объект, но и предотвратить вирусную эпидемию.
Вы можете отправлять на исследование только файлы из карантина. В нем они хранятся в зашифрованном виде, и при пересылке не будут удалены антивирусным приложением, установленном на почтовом сервере.
Вы можете отправить на исследование файл на карантине, которому Антивирус присвоил статус Подозрительный или Предупреждение. Вы не можете отправить на исследование файл на карантине, которому Антивирус присвоил статус Зараженный. Подробнее о том, как Антивирус находит угрозы в объектах, читайте в п. 1.1.3 на стр. 20.
Примечание Вы не можете отправить объект из карантина на исследование в «Лабораторию Касперского» после окончания срока действия ключа.
Чтобы отправить файл на исследование в «Лабораторию Касперского»:
Если файл не находится на карантине, предварительно поместите его на карантин (см. п. 11.5 на стр. 181).
В узле Карантин, в списке объектов на карантине, откройте контекстное меню на файле, который вы хотите отправить на исследование в «Лабораторию Касперского», и выберите команду Отправить Если на компьютере, на котором установлена консоль Антивируса, настроен почтовый клиент, будет создано новое электронное сообщение. Просмотрите его, а затем нажмите на кнопку Отправить.
Поле Получатель сообщения содержит электронный адрес «Лаборатории Касперского» [email protected]. Поле Тема содержит текст «Объект карантина».
Тело сообщения содержит текст «Файл будет отправлен в «Лабораторию Касперского» для исследования». В тело сообщения вы можете включить любую дополнительную информацию о файле:
почему он показался вам подозрительным, как он себя ведет или В сообщение вложен архив.cab. Он содержит файл.klq с зашифрованным объектом, файл.txt с информацией, собранной Антивирусом об объекте, а также файл Sysinfo.txt, который содержит следующую информацию об Антивирусе и операционной системе на сервере:
название и версию операционной системы;
дату выпуска последних установленных обновлений баз;
Эта информация нужна вирусным аналитикам «Лаборатории Касперского», чтобы быстрее и эффективнее проанализировать файл.
Однако, если вы не хотите передавать ее, вы можете удалить Если почтовый клиент не настроен на компьютере, на котором установлена консоль Антивируса, откроется мастер подключения к интернету Microsoft Windows. Вы можете выполнить следующие следуя инструкциям мастера подключения к интернету создать новую учетную запись и отправить файл с этого компьютера;
«