Как работает механизм проверки Антивирусом файла, скачиваемого по FTP? Может ли пользователь получить вирус?

К разделу "Настройки"

Чтобы понять, в каких случаях клиент ISA Server'а может получить зараженный файл, необходимо подробно рассмотреть процесс получения и проверки Антивирусом файла, скачиваемого ISA Server'ом по FTP.

Этот процесс состоит из из таких этапов:

1. Клиент запрашивает файл.
   
   
2. ISA Server загружает данные с удаленного сервера и отдает их FTP-фильтру Антивируса Касперского (частями).
   
   
3. Начиная с определенного момента Антивирус Касперского начинает отдавать клиенту непроверенные данные кусками по 8 Kb (ожидая в то время дозагрузки всего файла с удаленного сервера). 
   
   Причем, в любой момент времени клиенту не может быть отдано данных больше, чем количество уже загруженных данных с удаленного сервера на машину с Антивирусом минус размер порции данных, заданной в настройках Антивируса (параметр Количество данных, полученных сервером до того, как первый пакет с данными отправляется клиенту).
   
   Если с учетом этого требования Антивирус не может выделить очередные 8 Kb для отправки клиенту, ему ничего не отдается до тех пор, пока с удаленного сервера не будут загруженные новые данные в объеме, достаточном для выполнения указанного требования. 
   
   
4. После получения всех данных с удаленного сервера файл отправляется на проверку. 
   
   
5. По результатам проверки возможны такие варианты:
   • если файл получил вердикт "незараженный", то оставшиеся данные с максимально возможной скоростью передаются клиенту.
     
     
   • если файл получил вердикт "зараженный", то соединение прерывается. В этом случае возникает ситуация, когда Антивирус передавал данные клиенту, и в них оказался вирус. 
     
     
   • за время, отведенное на сканирование (time-out сканирования), файл не был проверен. Тогда объект отдается клиенту с вердиктом "незараженный".
     
     

Таким образом, клиент может получить вирус в двух случаях: 

• за время ожидания загрузки файла с удаленного сервера и его проверки клиенту передалась значительная часть файла, содержащего вирус. Так как файл не был передан целиком, то без специальных действий со стороны пользователя он не сможет активироваться (это будет либо кусок файла в кеше браузера, либо файл временныый файл download manager'а, и т.п.).
  
  
• проверка файла заняла слишком большое время, и объект клиенту был отправлен без проверки. Это будет в точности файл, переданный удаленным сервером в ответ на запрос клиента, как если бы файл загружался в обход Антивируса. 

Очевидно, упомянутые сценарии могут реализоваться в случае большого суммарного времени проверки объекта, которое складывается из времени загрузки объекта с удаленного сервера на машину с ISA Server и из времени проверки файла. Первая часть касается больших файлов и медленных соединений, вторая - в основном составных объектов (архивы). 

Пользователь антивируса для ISA Server может снизить вероятность реализации описанных сценариев практически до нуля изменением следующих настроек Антивируса:

Количество данных, полученных сервером до того, как первый пакет с данными отправляется клиенту (закладка FTP) - этим параметром можно увеличивать порог, до достижения которого Антивирус ни при каких условиях не будет отдавать данные клиенту. 

Максимальное время сканирования (закладка Настройки) - увеличением этого параметра можно уменьшить вероятность передачи объекта клиенту без проверки (из-за истечения time-out'а проверки). Однако, при выставлении максимального значения этого параметра велика вероятность отключения клиента по истечению срока его ожидания.

Важно понимать, что такая схема обработки и преждевременной передачи данных клиенту принята во избежание ситуации, когда клиент разорвет соединение из-за истечения своего time-out'а, ожидая пока файл будет полностью скачен и проверен на вирусы.

Информация из статьи применима к программе:

• Антивирус Касперского 5.6 для ISA Server 2004/2006 Standard Edition
• Антивирус Касперского 5.6 для ISA Server 2004/2006 Enterprise Edition
• Антивирус Касперского 5.5 для ISA Server 2004 Standard Edition
• Антивирус Касперского 5.5 для ISA Server 2004 Enterprise Edition