system antymalware

System antymalware to zestaw mechanizmów wykrywających i blokujących szkodliwe oprogramowanie w korespondencji.

Jak działa system antymalware w korespondencji

System antymalware to zestaw mechanizmów analizujących wiadomości e-mail oraz ich załączniki i odnośniki w celu wykrywania szkodliwego oprogramowania. Ochrona może działać na serwerze pocztowym, w bramie pocztowej albo lokalnie w programie używanym do odbierania wiadomości. Analizowany jest nie tylko tekst wiadomości, lecz także struktura pliku MIME, nazwy załączników, typy deklarowane przez nagłówki, rzeczywisty format danych oraz zawartość elementów osadzonych w treści.

Podstawą wykrywania może być sygnatura, czyli rozpoznawalny wzorzec związany z konkretnym plikiem lub rodziną zagrożeń. Stosuje się także analizę heurystyczną, która ocenia cechy wskazujące na próbę uruchomienia szkodliwego kodu, oraz analizę behawioralną wykonywaną w kontrolowanym środowisku. Uzupełnieniem są reguły reputacyjne, ocena adresu nadawcy, domeny, adresu URL i wyniku wcześniejszych obserwacji. Żadna pojedyncza metoda nie daje pełnego obrazu, dlatego współczesne systemy łączą kilka niezależnych sygnałów.

Załączniki, linki i zawartość aktywna

Wiadomość może stanowić zagrożenie nawet wtedy, gdy nie zawiera klasycznego pliku wykonywalnego. Ryzyko mogą powodować dokumenty z aktywną zawartością, skrypty, archiwa, pliki skrótów, dokumenty HTML oraz pliki wykorzystujące podatność w aplikacji otwierającej. System antymalware sprawdza rozszerzenie i format załącznika, ponieważ sama nazwa pliku nie zawsze odpowiada jego rzeczywistej zawartości. Przykładowo plik przedstawiany jako dokument może mieć strukturę umożliwiającą uruchomienie innego rodzaju kodu.

Oddzielnej kontroli wymagają odnośniki umieszczone w wiadomości. Filtr może porównywać adres z bazami znanych domen, sprawdzać przekierowania i analizować zgodność domeny widocznej dla odbiorcy z adresem zapisanym w kodzie HTML. Wykrywanie złośliwego linku nie zawsze jest możliwe podczas pierwszego skanowania, ponieważ strona może zmienić zawartość później. Z tego powodu niektóre systemy ponownie oceniają adres przy kliknięciu albo wyświetlają ostrzeżenie przed otwarciem strony.

Wynik skanowania i obsługa podejrzanej wiadomości

Po analizie wiadomość może zostać dostarczona, oznaczona ostrzeżeniem, przeniesiona do kwarantanny albo odrzucona. Kwarantanna izoluje podejrzany obiekt od zwykłej skrzynki odbiorczej i pozwala na jego dodatkową ocenę. Ostateczne działanie zależy od konfiguracji ochrony, rodzaju wykrycia oraz poziomu pewności. System może również usunąć sam załącznik, pozostawiając tekst wiadomości, albo zablokować całą wiadomość.

Wynik skanowania warto interpretować razem z informacjami diagnostycznymi: nazwą reguły, rodzajem wykrycia, czasem analizy, identyfikatorem wiadomości oraz informacją o zastosowanej bazie sygnatur. Fałszywie dodatni wynik oznacza uznanie bezpiecznego elementu za zagrożenie, natomiast fałszywie ujemny wynik oznacza przepuszczenie szkodliwej zawartości. Przy ocenie problemu sprawdza się więc, czy aktualizacje mechanizmu ochrony zostały pobrane, czy błąd dotyczył pojedynczej wiadomości oraz czy załącznik był otwierany poza chronionym środowiskiem.

Antymalware jako element diagnostyki komputera

Nieprawidłowe działanie ochrony może objawiać się opóźnionym odbieraniem poczty, blokowaniem bezpiecznych załączników, komunikatami o niedostępnej bazie sygnatur albo konfliktem z innym programem zabezpieczającym. Diagnostyka obejmuje wtedy sprawdzenie stanu usługi ochronnej, daty ostatniej aktualizacji, ustawień skanowania poczty, rozszerzeń programu pocztowego oraz dzienników zdarzeń. Istotne jest także rozróżnienie między problemem samego systemu antymalware a błędem połączenia z serwerem pocztowym lub uszkodzeniem profilu użytkownika.

Warszawskie Pogotowie Komputerowe wykonuje profesjonalną naprawę laptopów, komputerów PC i ich podzespołów, w tym diagnostykę problemów z oprogramowaniem zabezpieczającym oraz odbieraniem podejrzanych wiadomości. Podczas pracy można ustalić, czy przyczyną jest nieaktualny mechanizm ochrony, błędna konfiguracja, konflikt programów, uszkodzenie systemu lub rzeczywiste zagrożenie w komputerze. Takie rozpoznanie pozwala dobrać dalsze działania bez pochopnego usuwania wiadomości, aplikacji albo plików potrzebnych do analizy.