Создание профиля Антивируса

Файловый антивирус не сможет обрабатывать трафик HTTP(S) и почтовый трафик, если на устройстве Kaspersky NGFW не выделены отдельные ядра CPU для задач антивирусных проверок. Поскольку в конфигурации Kaspersky NGFW по умолчанию отдельные ядра CPU для задач антивирусных проверок не выделены, для полноценной работы Файлового антивируса вам необходимо настроить нужное количество ядер общего назначения в соответствии с инструкциями в статье Настройка количества ядер CPU для асинхронных задач безопасности и управления.
Учтите, что изменение количества ядер общего назначения невозможно на устройствах, входящих в отказоустойчивый кластер. В этом случае вам необходимо сначала выполнить разборку отказоустойчивого кластера, затем изменить количество ядер на всех нужных устройствах и перезагрузить их, после чего пересобрать кластер.

Чтобы создать профиль Антивируса:

1. В главном меню Консоли Open Single Management Platform перейдите в раздел Приложения и сервисы → NGFW.
2. Перейдите на вкладку Объекты и выберите Профили безопасности → Антивирус.
3. В верхней части рабочей области нажмите на кнопку Создать.

   Откроется окно создания профиля Антивируса. По умолчанию откроется вкладка Общее.

4. В поле Название введите название нового профиля.

   Название профиля должно быть уникальным в списке профилей. Максимальная длина – 128 символов.

5. При необходимости в поле Описание введите произвольное описание профиля.

   Максимальная длина – 1024 символа.

6. При необходимости включите запись в журнал событий безопасности с помощью переключателя Запись в журнал.

   Если запись в журнал включена, то при попытке посещения вредоносного веб-ресурса событие записывается в журнал событий безопасности Антивируса в SIEM-системе. Если запись в журнал выключена, то никакие события не создаются и не сохраняются.

   В блоке Протоколы и действия с помощью переключателя включите протокол (HTTP, SMTP, POP3, IMAP) по которому будет выполняться проверка.

   Перечисленные протоколы включают также зашифрованные версии. Чтобы проверялся зашифрованный трафик, включите проверку зашифрованных соединений.

   Если вы выключаете антивирусную проверку для протокола, Kaspersky NGFW сбрасывает действие для этого протокола на значение по умолчанию и блокирует изменение действия до повторного включения переключателя.

7. После выбора протокола назначьте действие, которое должно выполняться при обнаружении в TCP-трафике вредоносных объектов или при попытке доступа к URL из списка скомпрометированных:
   • Разрешать – разрешать доступ к веб-ресурсу.
   • Показывать блокирующую страницу – блокировать доступ к веб-ресурсу и выводить поясняющий текст с описанием ошибки и рекомендациями по дальнейшим действиям (например, о необходимости обратиться к системному администратору).

     При первом посещении веб-ресурса, содержащего вредоносный объект, доступ блокируется и пакеты установленной сессии отбрасываются. При повторном посещении в течение одного часа того же веб-ресурса показывается блокирующая страница с поясняющим текстом.

     Это действие доступно только для протокола HTTP.

   • Блокировать – блокировать доступ к веб-ресурсу. Поясняющее сообщение при этом не отображается.
   • Сбросить соединение в обе стороны – блокировать доступ к веб-ресурсу и отправлять TCP RST в сторону клиента и в сторону сервера для TCP-сессий. Информационное сообщение при этом не отображается.
8. На вкладке Файловый антивирус настройте параметры проверки объектов, обнаруженных на посещаемых пользователем страницах:
   • Если требуется проверять объекты, обнаруженные в трафике, не только по локальной базе, но и с помощью облачной службы, установите переключатель Искать объекты в KSN в положение Вкл.
   • Если требуется заблокировать возможность частичного скачивания файлов по протоколу HTTP, установите переключатель Блокировать частичное скачивание файлов в положение Вкл.

     Файлы, скачиваемые частями в нескольких сессиях, могут обойти проверку профилями Антивируса. При заблокированной возможности частичного скачивания Kaspersky NGFW блокирует запросы HTTP Range, и файлы отправляются и проверяются только целиком. Это может снизить потенциальный риск необнаружения вредоносных программ.

   • Если требуется проверять объекты, обнаруженные в трафике, на основе их хеш-значений, включите переключатель Потоковый антивирус.

     Потоковый антивирус проверяет хеш объекта в списках облачных служб, только если этот хеш отсутствует в локальных базах.

   • Если требуется проверять объекты, обнаруженные в трафике, на наличие вредоносных программ, включите переключатель Объектный антивирус.

     При включении объектного антивируса вы можете настроить его параметры:

     • Если требуется отправлять сканируемые файлы на проверку в Kaspersky Anti Targeted Attack Platform (далее KATA), установите переключатель Отправлять объекты в KATA в положение Вкл.

       Для работы этого параметра требуется настроить интеграцию Kaspersky NGFW с KATA.

       При первом обнаружении ранее неизвестного файла Kaspersky NGFW разрешает его прохождение без ожидания анализа со стороны KATA. Если по результатам анализа файл признан вредоносным, он будет заблокирован при повторном появлении. Это сделано для предотвращения задержек в обработке трафика, поскольку анализ новых объектов может занять значительное время.

     • В поле Максимальный размер файла для сканирования (МБ) укажите максимальный размер файлов, которые должны обрабатываться объектным антивирусом. Файлы, размер которых превышает указанное значение, будут игнорироваться. Значение этого параметра также определяет максимальный размер файлов, отправляемых на ICAP-сервер. Допустимые значения – от 1 до 100, значение по умолчанию – 10.
     • Если требуется отправлять сканируемые файлы на проверку в DLP-системы, установите переключатель Отправлять объекты в ICAP в положение Вкл
9. На вкладке Проверка репутации URL-адресов настройте параметры проверки трафика по списку скомпрометированных URL-адресов:
   • Если требуется проверять трафик не только по локальной базе, но и по спискам адресов из облачной службы, установите переключатель Искать объекты в KSN в положение Вкл.
   • Если требуется дополнительная проверка адресов на принадлежность к рекламным URL- или IP-адресам, установите переключатель Рекламные URL в положение Вкл.
   • Если требуется дополнительная проверка адресов на принадлежность к прочим URL, не включенным ни в одну категорию, установите переключатель Другой URL в положение Вкл.
10. При необходимости на вкладке Исключения URL добавьте URL-адреса, маски URL-адресов или IP-адреса, которые нужно исключить из проверки Антивируса при применении этого профиля:
    • Если вы хотите добавить новый адрес в список исключений, нажмите на кнопку Создать и в появившемся поле введите значение для URL-адреса, маски или IP-адреса.

      Запись добавится в таблицу.

    • Если вы хотите удалить ранее созданное исключение, выберите соответствующую запись в таблице и нажмите на кнопку Удалить.
    • Если вы хотите, чтобы при применении профиля события доступа к адресам из списка исключений регистрировались в журнале событий безопасности, установите переключатель Запись в журнал в положение Вкл.
11. Сохраните профиль, нажав на кнопку Создать.

Созданный профиль появится в списке профилей Антивируса.