Защита от веб-угроз

Компонент Защита от веб-угроз предотвращает загрузку вредоносных файлов из интернета, а также блокирует соединение с вредоносными и фишинговыми веб-сайтами. Компонент обеспечивает защиту компьютера с помощью антивирусных баз, облачной службы Kaspersky Security Network и эвристического анализа.

Как работает Защита от веб-угроз

При установке Kaspersky Endpoint Security приложение добавляет самоподписной сертификат – Kaspersky Anti-Virus Personal Root Certificate. Приложение помещает этот сертификат в локальное хранилище доверенных сертификатов (/etc/ssl/certs) и в хранилище сертификатов браузеров. Приложение проверяет наличие сертификата при каждом запуске. Если сертификат был удален, приложение восстанавливает сертификат автоматически.

1. Перехват исходящего соединения

   Стороннее приложение (например, браузер) инициирует соединение с сервером. Kaspersky Endpoint Security подменяет сертификат сервера собственным сертификатом, подписанным Kaspersky Anti-Virus Personal Root Certificate. Далее приложение перехватывает ключ шифрования и расшифровывает сеанс связи. Kaspersky Endpoint Security делает это незаметно для пользователя, так как Kaspersky Anti-Virus Personal Root Certificate расположен в хранилище доверенных сертификатов.

2. Проверка сетевого трафика

   Защита от веб-угроз проверяет трафик с помощью следующих технологий:

   • Антивирусные базы
   • Облачные службы Kaspersky Security Network
   • Эвристический анализ – технология позволяет выявлять угрозы, которые еще не внесены в базы данных "Лаборатории Касперского".
3. Завершение проверки

   Если веб-сайт относится к категории вредоносных или фишинговых, Kaspersky Endpoint Security выполняет действие, заданное в параметрах компонента Защита от веб-угроз: блокирует соединение или показывает предупреждение.

Настройка Защиты от веб-угроз

1. Настройте правила сетевого экрана ОС

   Если в системе настроены свои сетевые правила или правила firewalld с Drop-политиками, то для корректной работы приложения вам нужно добавить правило для разрешения входящих соединений локального устройства (loopback).

   Пример команды для iptables:

   iptables -A INPUT -i lo -j ACCEPT

2. Выберите режим перехвата сетевого трафика

   При получении сетевых пакетов Защита от веб-угроз извлекает данные для проверки на наличие угроз. Для перехвата сетевого трафика доступны следующие режимы:

   • eBPF.
   • iptables (по умолчанию).

   Выбор режима перехвата сетевого трафика зависит от инфраструктуры организации. Для закрытого периметра рекомендуем использовать eBPF. В остальных случаях используйте iptables.

   Рекомендуем разделить устройства по режиму перехвата сетевого трафика в разные группы администрирования.

3. Настройте политику проверки сертификатов

   Защита от веб-угроз по умолчанию расшифровывает и проверяет сетевой трафик, передаваемый по защищенным соединениям. При этом компонент может использовать интернет для проверки и загрузки недостающих цепочек, необходимых для проверки сертификата. Если устройство не имеет прямого выхода в интернет, вам нужно выбрать локальный способ проверки сертификатов приложением (без использования интернета) или использовать прокси-сервер для доступа в интернет.

   В политику проверки сертификатов также входят следующие параметры:

   • доступ к веб-сайтам с недоверенным сертификатом;
   • доступ к веб-сайтам с ошибкой проверки сертификата.

   Kaspersky Endpoint Security по умолчанию разрешает переход на домен с недоверенным сертификатом и добавляет домен с ошибкой проверки сертификата в исключения. Ошибки проверки сертификатов могут возникать при работе, например, с банковскими приложениями или облачными хранилищами. Домены, к которым принадлежат эти сервисы, могут отклонить Kaspersky Anti-Virus Personal Root Certificate. Вы можете настроить собственную политику проверки сертификатов.

4. Добавьте доверенные сертификаты

   Если ваша организация использует частные Центры сертификации для выпуска сертификатов для внутренних серверов, Kaspersky Endpoint Security может блокировать доступ к веб-ресурсам из-за ошибок проверки сертификатов. Добавьте эти сертификаты в список доверенных, чтобы исключить веб-ресурсы из проверки зашифрованных соединений.

5. В настройках Защиты от веб-угроз выберите действие Информировать

   По умолчанию Защита от веб-угроз выключена. Рекомендуем включить Защиту от веб-угроз, в качестве действия при обнаружении угрозы выбрать Информировать и проверить доступ ко всем корпоративным ресурсам. Kaspersky Endpoint Security будет разрешать доступ ко всем веб-сайтам и записывать в журнал информацию об обнаруженных угрозах.

6. Соберите статистику веб-сайтов, которые Защита от веб-угроз считает небезопасными

   Вы можете получить статистику веб-сайтов, которые Защита от веб-угроз считает небезопасными, с помощью отчетов.

7. Добавьте доверенные веб-адреса

   После анализа отчетов о работе Защиты от веб-угроз добавьте веб-адреса, содержанию которых вы доверяете, в список доверенных. Если с помощью списка доверенных веб-адресов не удается разрешить конфликт сетевого взаимодействия Kaspersky Endpoint Security и сторонних приложений, вы можете использовать разрешающую цепочку правил kesl_bypass. Цепочка kesl_bypass – это специальный список правил, который приложение Kaspersky Endpoint Security создает в таблице mangle сетевого экрана операционной системы (iptables/ip6tables).

8. В настройках Защиты от веб-угроз выберите действие Блокировать

   Включите блокировку зараженных объектов в веб-трафике.

Особенности и ограничения

• Приложение проверяет входящий трафик для TCP-портов и использует для перехвата соединений порт 9879 на localhost. Если порт 9879 занят, то приложение для перехвата соединений автоматически выбирает любой свободный порт.
• Включение или выключение приложения, а также включение или выключение компонентов Защита от веб-угроз и Защита от сетевых угроз приводит к разрыву соединений в перехватываемых портах.
• Kaspersky Endpoint Security проверяет HTTP- и HTTPS-трафик. Kaspersky Endpoint Security проверяет URL- и IP-адреса.
• Приложение поддерживает следующие исполняемые файлы браузеров, в том числе и snap-формата:
  • chrome;
  • chromium;
  • chromium-browser;
  • firefox;
  • firefox-esr;
  • google-chrome;
  • opera;
  • yandex-browser;
• Если пользователь пытается открыть вредоносный сайт, то приложение выполняет следующие действия:
  • HTTP. Приложение блокирует доступ и показывает предупреждение.
  • HTTPS. Приложение блокирует доступ, браузер показывает страницу с ошибкой.
• Удаление сертификатов приложения может привести к некорректной работе компонента Защита от веб-угроз.

Полезные статьи

Что делать с предупреждением "‎Переход на домен с недоверенным сертификатом"