در آنتیویروس سازمانی، همه کلاینتها و سرورهای شبکه از یک کنسول مرکزی آپدیت، پایش و گزارش میشوند. کانفیگ سرور ESET، کسپرسکی، Bitdefender و پادویش را با معیارهایی مثل آپدیت آفلاین و شرایط فعالسازی از ایران مقایسه میکند، کنسول را نصب میکند و Agentها را با Group Policy روی سیستمها مستقر میکند.
آنتیویروس تککاربره گزارشی به جایی نمیفرستد و آلودگی یک سیستم معمولاً وقتی معلوم میشود که کاربر شکایت کند. کنسول مرکزی وضعیت آپدیت، تهدیدهای شناساییشده و سیستمهای بدون محافظت را در یک صفحه نشان میدهد.
اسکن فایلهای دیتابیس، لاگ تراکنشها و صف ایمیل دیسک را درگیر میکند و گاهی فایلها را قفل میکند. استثناها را طبق مستندات سازنده و نقش هر سرور تعریف میکنیم و محافظت روی بقیه فایلها فعال میماند.
در ایران دو چیز آپدیت و فعالسازی را مختل میکند: محدودیتهای تحریمی بعضی سازندگان خارجی و شبکههایی که به اینترنت دسترسی ندارند. Mirror محلی مشکل دوم را حل میکند. برای مشکل اول باید محصولی انتخاب شود که لایسنس و آپدیتش از مسیر قانونی در دسترس باشد.
آنتیویروس باید بعد از نصب هم روی همه سیستمها فعال و بهروز بماند و وضعیتش از کنسول دیده شود. کار ما از انتخاب محصول شروع میشود و به تحویل هشدارها و مستندات میرسد.
پیش از انتخاب محصول، این موارد را در شبکه شما بررسی میکنیم.
پالیسیها، گروهها و گزارش همه Agentها روی کنسول نگهداری میشود، پس خود کنسول هم امنسازی میشود و بکاپ دارد.
نصب دستی روی دهها سیستم معمولاً چند سیستم را بیمحافظت باقی میگذارد. نگهداری خود دامنه و Group Policy بخشی از مدیریت ویندوز سرور است.
سرور دیتابیس و میل سرور با پالیسی کلاینتها اسکن نمیشوند. فیلتر ایمیل جداگانه در راهاندازی میل سرور تنظیم میشود.
در شبکه ایزوله یا شبکهای که اینترنتش محدود است، Agentها آپدیت را از یک سرور داخلی میگیرند.
ماژولهای محافظتی را فعال میکنیم و هشدارها را طوری تنظیم میکنیم که به دست مسئول شبکه برسند.
آنتیویروس سازمانی برای شبکهای است که آنقدر سیستم دارد که دیگر نمیشود وضعیت هر کدام را جداگانه چک کرد. کنسول مرکزی پالیسیها را یکجا اعمال میکند، آپدیت را از یک نقطه توزیع میکند و نشان میدهد کدام سیستم Agent ندارد یا آپدیتش عقب مانده است. مشکلاتی که چند ماه بعد از نصب پیدا میشوند، معمولاً به انتخاب محصول، روش استقرار Agent یا مسیر آپدیت برمیگردند. هر کدام از اینها را در ادامه جدا توضیح دادهایم.
در انتخاب محصول، شرایط شبکه از نام برند مهمتر است. اول ببینید شبکه به اینترنت دسترسی دارد یا نه، چون در شبکه ایزوله محصولی که آپدیت آفلاین ندارد، بعد از نصب دیگر بهروز نمیشود. بعد سرورهای لینوکس را بشمارید: ESET و کسپرسکی محصول مخصوص سرور لینوکس دارند و GravityZone هم Agent لینوکس دارد، اما پوشش سرور لینوکس در پادویش را باید پیش از انتخاب از سازنده استعلام کرد. نیاز به EDR، کنترل دستگاه و گزارش ممیزی هم محدوده محصول را مشخص میکند.
در ایران معیار دیگری هم به فهرست اضافه میشود: لایسنس و آپدیت محصول باید از مسیر قانونی در دسترس باشد. سیاست صادرات ESET ایران را جزو کشورهای تحریمشده میداند و شرایط لایسنس Bitdefender هم کشورهای تحریمشده، از جمله ایران، را مستثنا میکند. وضعیت فروش و فعالسازی کسپرسکی را باید هنگام تصمیمگیری بررسی کرد. پادویش محصول داخلی است و فعالسازی آنلاین و آفلاین دارد. پرسشهای مربوط به تهیه لایسنس را در صفحه لایسنس سازمانی مطرح کنید، چون این خدمت فقط استقرار و پیکربندی را در بر میگیرد.
پیش از نصب Agent، سیستمها را در Active Directory بر اساس نقش گروهبندی کنید. سرورهای دیتابیس، میل سرور و میزبانهای Hyper-V پالیسی جدا میخواهند و اگر در همان OU کلاینتها بمانند، پالیسی کلاینت روی آنها هم اعمال میشود. آنتیویروس قبلی هم باید پیش از نصب محصول جدید کامل حذف شود. دو موتور اسکن روی یک سیستم معمولاً به کندی شدید، قفل شدن فایلها یا از کار افتادن یکی از دو محصول میرسد. ساختار OU و GPO را در راهنمای Active Directory در ویندوز سرور توضیح دادهایم. ترتیبی که در استقرار دنبال میکنیم این است:
گروه آزمایشی بهتر است چند کلاینت معمولی و دستکم یک سرور غیرحیاتی داشته باشد تا اثر پالیسی هم روی کار روزانه کاربران و هم روی سرویسها دیده شود. اگر Agent در یک روز روی همه سیستمها نصب شود و پالیسی ایرادی داشته باشد، کل شبکه همزمان درگیر میشود.
وقتی SQL Server یا Exchange بعد از نصب آنتیویروس کند میشود، اولین واکنش معمولاً خاموش کردن محافظت روی همان سرور است و مهمترین سرور شبکه بیمحافظت میماند. مایکروسافت برای SQL Server و Exchange فهرست فایلها، پوشهها و پردازشهایی را که باید از اسکن مستثنا شوند منتشر کرده است و استثنا باید به همان فهرست محدود بماند. نرمافزار بکاپ و فایلهای دیسک ماشینهای مجازی Hyper-V هم استثناهای خودشان را دارند. استثنایی که یک درایو کامل را کنار میگذارد، جایی را بیمحافظت میکند که مهاجم هم میتواند فایلش را همانجا بگذارد. فیلتر اسپم و پیوستهای مخرب ایمیل هم کار میل سرور است و در راهاندازی میل سرور تنظیم میشود.
در شبکهای که به اینترنت وصل نیست، سیستمی با دسترسی به اینترنت آپدیتها را دریافت میکند، آپدیتها به سرور داخلی منتقل میشوند و Agentها از همانجا آپدیت میگیرند. در ESET این کار با Mirror Tool و ESET Bridge انجام میشود، در کسپرسکی با مخزن آپدیت Kaspersky Security Center و نقاط توزیع، در GravityZone با نقش Relay و در پادویش با آپدیت آفلاین یا سرور بالادستی. در شبکهای که اینترنت دارد هم مخزن داخلی به کار میآید، چون دهها Agent آپدیت را جداگانه از اینترنت دانلود نمیکنند.
ضعف مسیر آفلاین این است که به کار دستی وابسته است. اگر کسی آپدیتها را منتقل نکند، Agentها بدون خطای آشکار روی امضاهای قدیمی میمانند. هشدار کنسول برای سیستمهایی که آپدیتشان عقب مانده، این وضعیت را پیش از آلودگی نشان میدهد.
رمز تنظیمات Agent را فعال کنید. بدون آن، هر کسی که دسترسی مدیر محلی سیستم را دارد، از جمله مهاجمی که آن دسترسی را گرفته، میتواند Agent را حذف کند یا محافظت را خاموش کند.
تعداد کلاینتها و سرورها، تعداد شعب و وجود Active Directory زمان استقرار را تعیین میکنند. در شبکهای که دامنه ندارد، Agent باید از خود کنسول یا دستی نصب شود و کار کندتر پیش میرود. حذف آنتیویروس قبلی، نیاز به Mirror آفلاین و تعداد نقشهای سروری که استثنای جدا میخواهند هم زمان کار را بیشتر میکنند. هزینه لایسنس از هزینه استقرار جداست و قیمت استقرار پس از نیازسنجی اعلام میشود.
انتخاب به شبکه شما بستگی دارد. این معیارها را در نیازسنجی بررسی میکنیم و چون شرایط محصولات تغییر میکند، پیش از هر تصمیم با نسخه جاری هر محصول تطبیق میدهیم.
| معیار | ESET PROTECT | Kaspersky Security Center | Bitdefender GravityZone | پادویش |
|---|---|---|---|---|
| کنسول مرکزی داخل شبکه | ESET PROTECT On-Prem روی ویندوز یا لینوکس | نسخه ویندوز و نسخه لینوکس | ماشین مجازی داخل شبکه یا کنسول ابری | کنسول مدیریتی داخل شبکه با ساختار چندسطحی |
| آپدیت محلی و آفلاین | Mirror Tool و ESET Bridge | مخزن آپدیت سرور مدیریت و نقاط توزیع | نقش Relay | آپدیت آنلاین، آفلاین و از سرور بالادستی |
| سرورهای لینوکس | محصول مخصوص سرور لینوکس دارد | محصول مخصوص لینوکس دارد | Agent لینوکس دارد | پیش از انتخاب از سازنده استعلام شود |
| پشتیبانی فارسی | از طریق فروشندگان داخلی و متغیر | از طریق فروشندگان داخلی و متغیر | از طریق فروشندگان داخلی و متغیر | سازنده ایرانی با مستندات فارسی |
| فعالسازی و آپدیت از ایران | سیاست صادرات سازنده ایران را جزو کشورهای تحریمشده میداند | وضعیت فروش و فعالسازی هنگام تصمیمگیری بررسی شود | شرایط لایسنس سازنده، کشورهای تحریمشده از جمله ایران را مستثنا میکند | محصول داخلی با فعالسازی آنلاین و آفلاین |
آنتیویروس بدافزارهای شناختهشده و رفتارهای مشکوک را متوقف میکند، اما رمز ضعیف Remote Desktop، سرور وصلهنشده یا بکاپی را که در دسترس مهاجم است جبران نمیکند. مهاجمی که دسترسی مدیر شبکه را گرفته باشد، میتواند آنتیویروس را هم غیرفعال کند. به همین دلیل لایههای زیر هم کنار آن لازماند.
وضعیت فعلی را با اسکن امنیت سرور میسنجیم و پورتهای باز، دسترسیهای اضافه و وصلههای عقبافتاده را در امنسازی سرور میبندیم.
اگر باجافزار از همه لایهها عبور کند، نسخه پشتیبانی که مهاجم به آن دسترسی ندارد داده را برمیگرداند. طراحی چنین بکاپی در بکاپ و بازیابی بحران انجام میشود.
اگر سیستمها آلوده یا رمزگذاری شدهاند، نصب آنتیویروس جدید مشکل را حل نمیکند. اول باید رفع هک و مالور یا بازیابی از باجافزار انجام شود.
تعداد و نوع سیستمها، سرورهای حساس، دسترسی به اینترنت، آنتیویروس فعلی و ساختار Active Directory را بررسی میکنیم.
محصول، محل کنسول، روش آپدیت، گروهبندی سیستمها و پالیسیها را مکتوب میکنیم و تعداد لایسنس لازم را مشخص میکنیم.
کنسول را نصب میکنیم و Agent را اول روی یک گروه آزمایشی و بعد روی بقیه سیستمها مستقر میکنیم. در این مرحله اثر استثناها روی سرورها سنجیده میشود.
گزارش پوشش سیستمها، مستندات پالیسیها، هشدارهای تنظیمشده و راهنمای کار با کنسول را تحویل میگیرید.
گاهی چند ماه بعد از نصب، بخشی از سیستمها Agent ندارند، آپدیت چند سیستم متوقف شده و کسی گزارش کنسول را نمیخواند. گروهبندی، هشدارها و مستندات را طوری تنظیم میکنیم که تیم شما این وضعیت را در کنسول ببیند. بررسی اولیه از طریق تلگرام رایگان است.
با چند محصول کار میکنیم و آپدیت آفلاین، پوشش لینوکس و شرایط فعالسازی هر کدام را کنار هم میگذاریم.
استقرار آنتیویروس بخشی از خدمات DevOps و امنیت ماست و سرورهای لینوکسی را هم در مدیریت سرور لینوکس پوشش میدهیم.
نصب دامنه را در آموزش نصب Active Directory و سختسازی لینوکس را در راهنمای امنیت لینوکس توضیح دادهایم.
پیشنیاز استقرار Agent آنتیویروس با Group Policy.
آموزشآشنایی با OU و GPO برای گروهبندی سیستمها در کنسول.
آموزشلایههای امنیتی سرور لینوکس که آنتیویروس جایگزینشان نیست.
آنتیویروس سازمانی همه سیستمهای شبکه را از یک کنسول مرکزی مدیریت میکند. در نسخه خانگی هر سیستم تنظیمات و گزارش خودش را دارد. در نسخه سازمانی پالیسیها یکجا اعمال میشوند، آپدیت از سرور داخلی توزیع میشود و سیستمهای آلوده یا محافظتنشده در یک گزارش دیده میشوند.
محصولی که برای همه شبکهها بهترین باشد وجود ندارد و انتخاب به شرایط شبکه شما بستگی دارد. در شبکه با اینترنت محدود آپدیت آفلاین مهمترین معیار است و اگر سرور لینوکس دارید، پوشش لینوکس. اگر فعالسازی و آپدیت از ایران نگرانی اصلی است، محصول داخلی مثل پادویش گزینه جدی است. ESET، کسپرسکی و Bitdefender هم کنسول مرکزی کامل دارند، اما شرایط صادرات و لایسنس ESET و Bitdefender ایران را مستثنا میکند. پس از نیازسنجی، مقایسه مکتوب تحویل میدهیم.
بله، اما با پالیسی مخصوص سرور. مایکروسافت برای SQL Server و Exchange فهرست فایلها، پوشهها و پردازشهایی را که باید از اسکن مستثنا شوند منتشر کرده است. این استثناها را اعمال میکنیم تا دیتابیس و صف ایمیل کند یا قفل نشوند.
با یک مخزن آپدیت داخلی. آپدیتها روی سیستمی که به اینترنت دسترسی دارد دریافت و به شبکه ایزوله منتقل میشوند، مثلاً با ESET Mirror Tool، مخزن Kaspersky Security Center یا آپدیت آفلاین پادویش. Agentها آپدیت را از همان سرور داخلی میگیرند.
فعالسازی، آپدیت و پشتیبانی رسمی بعضی محصولات خارجی از ایران ممکن است محدود شود. سیاست صادرات ESET و شرایط لایسنس Bitdefender ایران را جزو کشورهای تحریمشده میدانند. پیش از هر تصمیم مسیر لایسنس و آپدیت را بررسی میکنیم و محصول داخلی را هم در مقایسه میآوریم.
آنتیویروس بدافزار را بر اساس امضا و رفتار شناسایی و متوقف میکند و EDR رویدادهای سیستم را ثبت میکند تا مسیر حمله قابل بررسی و پاسخگویی باشد. هیچکدام بهتنها جلوی باجافزار را کامل نمیگیرد. کنار آنها امنسازی سرورها، محدود کردن دسترسیها و بکاپ جدا از شبکه لازم است.
هزینه دو بخش جدا دارد: لایسنس و استقرار. هزینه لایسنس به برند، تعداد کلاینت و سرور و مدت اشتراک بستگی دارد و پرسشهای تهیه آن در لایسنس سازمانی بررسی میشود. هزینه استقرار به تعداد شعب، نیاز به Mirror آفلاین، حذف آنتیویروس قبلی و پیچیدگی پالیسیها وابسته است. برای استعلام قیمت استقرار، شرایط شبکه را در تلگرام بفرستید.
تعداد کلاینتها و سرورها، آنتیویروس فعلی و وضعیت اینترنت شبکه را در تلگرام بنویسید تا گزینههای مناسب را مقایسه کنیم.
