Kaspersky Anti-Virus 6.0 for Windows Workstation

Transcription

1 Kaspersky Anti-Virus 6.0 for Windows Workstation Usage interne et exclusif des personnels et collaborateurs commerciaux

2 Sommaire 1 Introduction Antivirus Fichiers Antivirus Courrier Antivirus Internet Défense Proactive Anti-Escroc Anti-Hacker Anti-Spam Nouveaux services

3 1 Introduction Ce document présente les nouveautés de Kaspersky Anti-Virus 6.0 for Windows Workstation. Chaque module d'application fait l'objet d'une section différente, décrivant les nouvelles fonctions et les nouveaux services disponibles, avec les avantages pour l'utilisateur ou l'administrateur du système. Pendant l'installation, l'administrateur peut choisir les modules suivants : Antivirus Fichiers Antivirus Courrier Défense Proactive Anti-Escroc Anti-Hacker Anti-Spam. Sur l'interface, chacun des modules d'application possède un onglet différent. Les sections finales du document décrivent les fonctions d'analyse à la demande et les services livrés avec le produit. 3

4 2 Antivirus Fichiers Kaspersky Anti-Virus 6.0 for Windows Workstation inclut un module de protection du système de fichiers de l'ordinateur, spécialisé contre les programmes malveillants. Ce module, lancé au démarrage du système, s'exécute en mémoire et analyse en permanence tous les fichiers ouverts, enregistrés ou exécutés par l'utilisateur ou par d'autres programmes. Ce nouveau système de protection antivirus permet à l'utilisateur de préciser quelles sont les zones de l'ordinateur qui doivent faire l'objet d'une analyse à la demande. Les objets individuels (autrement dit, les fichiers, les catalogues, les disques et les dispositifs de stockage amovibles) peuvent désormais être analysés séparément, mais l'utilisateur peut aussi demander une analyse complète de l'ordinateur. Les tâches d'analyse à la demande réduisent les risques de propagation d'un code malveillant qui se trouverait déjà dans l'ordinateur. Technologies iswift et ichecker d'accélération de l'analyse Mode d'accès à la demande Nouvel algorithme d'analyse des objets composés Restauration du système après une infection Analyse des zones critiques du système La première fois qu'une analyse à la demande est exécutée, tous les objets sont examinés par le programme. Par la suite, l'analyse ne prendra en compte que les nouveaux fichiers et les fichiers modifiés. Ces technologies d'accélération multiplient plusieurs fois les prestations du logiciel. Le moniteur antivirus propose au choix plusieurs modes de fonctionnement. L'administrateur ou l'utilisateur qui souhaitent éviter la répétition inutile de l'examen du même objet, par les tâches d'analyses, a le choix entre quatre modes de fonctionnement. Mode intelligent. Le programme surveille le nombre, le type et l'ordre des opérations exécutées par un objet, afin d'évaluer la nécessité d'un examen. Pendant votre travail sur un document de Microsoft Office, par exemple, le programme analyse les fichiers uniquement lorsque ceux-ci sont ouverts ou fermés, ce qui est suffisant pour détecter une infection. Toutes les autres opérations transitoires sur le fichier, comme sa conversion ou son enregistrement, ne déclenchent pas son analyse. À l'accès ou à la modification. À l'accès. À l'exécution. En évitant de cette manière les analyses répétées ou superflues, cette solution accélère le rendement du système. L'analyse des objets composés contenant des structures complexes (par exemple, des fichiers comprimés ou des bases de messagerie) a été optimisée en termes de temps et de consommation des ressources. Après avoir détecté et éliminé un objet malveillant, le programme efface également toutes ses traces dans les fichiers système et dans le Registre, pour éviter tout problème futur au niveau du système d'exploitation. Cette tâche se charge d'analyser toutes les parties du système d'exploitation les plus vulnérables aux infections. L'examen des objets de démarrage, par exemple, contribue à éviter l'exécution de virus au moment où le système démarre, et permet de détecter la présence de processus cachés (les «rootkits»). 4

5 Protection par autodéfense Normalement, un fichier utilisé par une application n'est pas disponible pour les autres applications. Certains programmes malveillants imitent ainsi le comportement d'une application autorisée afin d'empêcher que le logiciel antivirus ne puisse accéder à certains fichiers. Suspension de l'analyse Pendant les périodes de forte activité utilisateur, l'application antivirus réduit sa consommation des ressources système. L'analyse se poursuit alors en arrière-plan, pour ne pas entraver le travail de l'utilisateur dans d'autres applications. Quatre modes de conclusion de l'analyse Désinfection et des secteurs de chargement sur le disque dur et sur les disques amovibles L'administrateur peut décider dans quel régime l'ordinateur basculera une fois l'analyse terminée, parmi quatre choix possibles : redémarrage, mise en attente, mise en veille prolongée ou arrêt du système. Par exemple, après avoir effectué l'analyse à distance d'un poste de travail, l'administrateur peut placer l'ordinateur en attente pour faire des économies d'énergie. En cas d'infection des secteurs d'amorçage du disque dur ou de disques amovibles, leur restauration est possible à partir de copies saines préalablement sauvegardées. Si cette sauvegarde n'a pas été effectuée, l'administrateur peut tout simplement utiliser une version standard des secteurs d'amorçage. Grâce à la fonction d'alias, l'administrateur peut lancer une tâche d'analyse sous une autre identité (normalement celle qui possède tous les privilèges Choix du compte utilisateur administrateur). Cette solution est nécessaire car normalement pour l'analyse l'administrateur ne peut pas opérer sur la plupart des postes de travail en utilisant des comptes d'utilisateurs, qui en général ne disposent pas d'un accès complet à tous les fichiers de l'ordinateur. Technologie Loginshow (affichage du logo) Bouton Pause de l'analyse antivirus Le logo Kaspersky Lab s'affiche sur le bureau de l'utilisateur dès le démarrage de l'ordinateur. Cette icône signale à l'utilisateur que son ordinateur est protégé en permanence. Il est possible de suspendre à tout moment (et de reprendre dès que nécessaire) l'analyse antivirus, pour éviter que le programme ne répète inutilement l'examen de certains objets. 5

6 3 Antivirus Courrier Kaspersky Anti-Virus 6.0 for Windows Workstation inclut un module d'analyse des messages entrants et sortants, à la recherche d'objets dangereux. Il est lancé au démarrage du système d'exploitation et reste en e xécution en mémoire, pour analyser tous les messages transmis en utilisant les protocoles POP3, SMTP, IMAP, MAPI et NNTP, ainsi que le mode SSL des protocoles POP3 et IMAP. Sécurisation du trafic IMAP, MAPI, NNTP, SMTP et POP3 L'analyse antivirus concerne le trafic utilisant les protocoles de messagerie les plus fréquents, afin d'assurer la sécurisation intégrale du courrier. Plug-ins pour Microsoft Un complément logiciel («plug-in») permet à Microsoft Outlook d'analyser et Outlook de désinfecter le contenu des bases de messagerie. Filtre des pièces jointes Indication des ports de messagerie à analyser Les programmes malveillants se propagent souvent par le moyen de pièces jointes et certains fichiers sont plus susceptibles que d'autres de causer des dommages. Par exemple, pour réduire le risque d'infection, l'administrateur peut interdire les formats de fichiers exécutables (.exe) ou configurer le programme pour que ces fichiers soient renommés, afin d'éviter leur exécution automatique au moment d'ouvrir le courrier. L'administrateur ou l'utilisateur peuvent ordonner l'analyse de ports de messagerie supplémentaires. C'est un avantage important dans le cas de réseaux utilisant par défaut des protocoles non sécurisés par défaut pour l'échange de messages utilisateurs. 6

7 4 Antivirus Internet Pour sécuriser le trafic interne, Kaspersky Anti-Virus 6.0 for Windows Workstation inclut le composant Anti- Virus Web. Ce module sécurise tout le trafic HTTP et évite l'exécution de scripts dangereux par les ordinateurs. 2 Analyse du trafic HTTP Technologie SafeStream Détection de scripts dangereux Indication des ports HTTP à analyser L'analyse au vol du trafic HTTP permet de bloquer les fichiers infectés avant qu'ils ne soient enregistrés sur le disque local de l'ordinateur. La technologie SafeStream permet aux administrateurs d'ajuster le degré de sévérité de l'analyse pour adapter celle-ci aux besoins du réseau concerné : 1. L'analyse des flux emploie des bases de données contenant uniquement les signatures des programmes malveillants les plus communs, au profit d'une navigation Internet plus rapide, sans compromettre la sécurité. 2. L'analyse par tampon fait appel à des bases de données contenant toutes les signatures de programmes malveillants ce qui réduit le risque d'infection au minimum. Cependant, cette option peut ralentir le temps de téléchargement des pages Web. Il est également possible de créer des listes d'adresses de confiance, dont le trafic est exclu de l'analyse. L'application surveille le lancement, par l'utilisateur, de scripts Java et Visual Basic, afin de protéger l'ordinateur contre les virus de script. Ces virus se téléchargent automatiquement dans l'ordinateur quand l'utilisateur visite un site infecté. Kaspersky Anti-Virus 6.0 for Windows Workstation empêche l'exécution de ce type de scripts et alerte l'utilisateur. L'administrateur ou l'utilisateur peuvent signaler des ports HTTP supplémentaires pour leur analyse. Il s'agit d'une caractéristique essentielle pour des utilisateurs travaillant dans des applications qui se connectent à Internet à travers des ports non sécurisés par défaut. 7

8 5 Défense Proactive Kaspersky Anti-Virus 6.0 for Windows Workstation combine les dernières technologies proactives pour assurer une protection maximale contre les logiciels malveillants. L'application analyse tous les processus du système et prévient les utilisateurs de l'exécution d'un processus dangereux, suspect ou caché (les «rootkits»). En outre, le logiciel mémorise les altérations du système de fichiers ou du Registre système, de f açon à pouvoir annuler les modifications dangereuses et restaurer les fichiers endommagés. Détection de l'exécution non autorisée du navigateur Contrôle des tentatives d'insertion de code Détection de processus cachés («rootkits») Contrôle détournements interception des par Détection de valeurs suspectes dans le Registre système Blocage des modifications suspectes du Registre Analyse des macros VBA Détection de vers de messagerie Sélection d'applications de confiance Annulation des changements suspects Toutes les tentatives de lancement du navigateur Web avec des paramètres utilisables par des programmes malveillants (pour transmettre par exemple des données confidentielles à des cyber-criminels) sont bloquées. De nombreux programmes malveillants se dissimulent derrière l'activité de processus d'applications légitimes comme le Bloc-notes, Internet Explorer, etc. Le module contrôle toutes les tentatives d'insertion de code de programmation à l'intérieur des processus dépendant d'autres applications. La technologie anti-rootkit détecte tous les processus cachés dans le système. Le but de ces processus cachés est de dissimuler à l'utilisateur l'existence de fichiers, de dossiers, de clés du Registre, l'exécution de programmes, de services ou de pilotes, ainsi que les connexions ou l'activité du réseau. Le module empêche les tentatives de d'interception des bibliothèques de liens dynamiques au niveau des processus actifs dans le système. Cette technique est utilisée pour récupérer des mots de passe ou d'autres informations saisies au clavier. Le programme évite les tentatives de création, dans le Registre, de clés masquées n'appartenant à aucun logiciel autorisé (c'est à dire, non visibles avec regedit). Les tentatives de modification des clés du Registre système sont surveillées. Cette technique est souvent utilisée par les Chevaux de Troie pour prendre le contrôle de l'ordinateur et compromettre l'intégrité des ressources système. Le logiciel analyse les macros Visual Basic for Application. Dès qu'une macro est exécutée, le logiciel prévient l'utilisateur de la découverte d'une commande de macro. L'utilisateur peut alors la terminer, interrompre son exécution ou autoriser la macro à continuer. Les tentatives de diffusion de vers réseau par voie de publipostage sont déjouées, en évitant ainsi que l'infection d'un seul ordinateur ne se propage. L'administrateur peut créer des listes de fichiers ou d'applications à exclure de la surveillance antivirus par le logiciel. On peut inclure, par exemple, des programmes responsables des copies de sauvegarde sur disque, ou les applications utilisant des bases de données, qui ne sont pas susceptibles de manipuler des contenus dangereux. La défense proactive des modules surveille tous les changements suspects dans le système et si un processus adopte un comportement dangereux, elle est capable non seulement de supprimer le programme malveillant, mais aussi d'annuler toutes les modifications et toutes les traces de son activité. Cette technologie peut être également utilisée pour restaurer des données encodées par des logiciels comme GPCode. 8

9 6 Anti-Escroc Le module Anti-Escroc protège les utilisateurs contre les tentatives de cyber-escroquerie («phishing») au moyen d'une base de données contenant les adresses URL de faux sites Web. Il bloque les fenêtres et bandeaux publicitaires, qui sont bien plus qu'une source d'irritation, car ils permettent de véhiculer des logiciels malveillants. Protection contre les escroqueries Blocage des fenêtres indépendantes Blocage des bandeaux publicitaires Protection contre les numéroteurs automatiques Grâce à la mise à jour d'une base de données contenant les adresses URL de sites Web utilisés pour les escroqueries, l'application parvient à prévenir les utilisateurs quand ils se connectent à des sites frauduleux. Toutes les fenêtres indépendantes qui ne figurent pas dans la liste de confiance de l'utilisateur sont bloquées automatiquement. Pour empêcher l'exécution de bandeaux publicitaires, le logiciel fait appel à une base de données pré-installée contenant les listes noires et blanches de l'utilisateur. Les utilisateurs des navigateurs Internet Explorer ou Opera peuvent ajouter facilement les adresses URL des bandeaux publicitaires à leurs listes noires. Cette caractéristique permet de contrer l'usage non autorisé du modem de l'utilisateur. Les cyber-criminels utilisent le modem pour appeler des numéros surtaxés ou transcontinentaux, facturés à l'utilisateur sans sa connaissance. 9

10 7 Anti-Hacker Kaspersky Anti-Virus 6.0 for Windows Workstation est équipé d'un pare-feu d'une nouvelle génération, équipé muni de technologies de détection et de prévention des intrusions (IDS/IPS). L'application protège tous les types de réseau, y compris les réseaux WiFi. Le module dispose d'une base de données contenant des règles pour les 250 applications les plus répandues. Mode Avec état Modes de fonctionnement des différents types de réseau Règles pour 250 applications usuelles Modèles de règles Règles applications polyvalentes pour Exportation et importation de règles Protection contre les attaques réseau (IDS/IPS) Protection réseaux WiFi des Le pare-feu de Kaspersky Anti-Virus 6.0 for Windows Workstation incorpore les toutes dernières technologies de contrôle du trafic réseau. Le mode Avec état («Stateful»), par opposition au mode Sans état («Stateless»), surveille étroitement l'état et la nature des connexions Internet, il garantit un filtrage performant du trafic Web et une vitesse accrue des applications dans leur ensemble. Quand l'ordinateur se connecte sur un nouveau réseau (à domicile, dans un hôtel, dans un aéroport), le logiciel demande à l'utilisateur de préciser le type de réseau (Internet, Intranet, réseau de confiance), afin de sélectionner un mode de fonctionnement approprié. L'application gère une liste avec tous les réseaux déjà utilisés, de sorte que l'utilisateur peut choisir d'activer ou de désactiver le Mode furtif séparément sur chacun des réseaux. Le logiciel est livré avec des règles prédéfinies autorisant l'accès aux ressources du réseau local ou Internet à 250 des applications les plus répandues communes, comme Microsoft Outlook et Internet Explorer. Cette caractéristique est très commode, car le logiciel a seulement besoin d'interroger l'utilisateur en cas de comportement inhabituel de l'application, ou lorsque celle-ci est utilisée pour des tâches non prévues dans les règles. L'Assistant de configuration dresse l'inventaire de tous les produits logiciels installés dans l'ordinateur et génère la liste des applications utilisées sur le réseau. Des règles pour chacune de ces applications sont créées à partir de modèles livrés avec l application. La flexibilité des paramètres permet aux administrateurs de configurer des règles pour des applications réseau composées de modules multiples et qui recouvrent un large éventail de fonctions. Les applications de ce type comprennent Macromedia Flash ou Mozilla Suite. Il est possible d'enregistrer les règles du pare-feu pour les réutiliser plus tard, pour les exporter ou pour les importer. Les technologies IDS et IPS (systèmes de détection et de prévention des intrusions, respectivement) permettent de contrôler tout type d'activité permettant de soupçonner une attaque en provenance du réseau, et de bloquer pendant une heure les connexions des ordinateurs qui en sont à l'origine. L'utilisateur reçoit un message d'alerte le prévenant de la tentative d'attaque, avec des informations sur l'ordinateur attaquant. L'utilisateur ou l'administrateur ont accès à des listes d'ordinateurs bloqués et peuvent ainsi bannir les connexions de n'importe quel ordinateur dans la liste, s'ils le jugent nécessaire. Le pare-feu de Kaspersky Anti-Virus 6.0 for Windows Workstation sécurise les ordinateurs de n'importe quel type de réseau, y compris ceux qui utilisent des connexions WiFi (sans fil). Surveillance de Le logiciel peut informer de la durée d'activité d'une connexion et de la proportion l'activité réseau du trafic associé sur chaque ordinateur, pendant la session courante. 10

11 8 Anti-Spam Kaspersky Anti-Virus 6.0 for Windows Workstation protège à la fois contre le courrier indésirable («spam», pourriel) et les tentatives d'escroquerie («phishing»). Son filtre anti-pourriel intègre les méthodes de filtrage les plus pointues pour arriver à des résultats de haute qualité : analyse des en-têtes des messages, listes noires et listes blanches d'adresses et de vocabulaire ainsi que l'algorithme Bayes d'auto-apprentissage. Plus important encore, le filtre est capable d'identifier les images indésirables. Analyse des protocoles SMTP, POP3 et IMAP4 Plug-ins pour Microsoft Outlook et pour Microsoft Outlook Express Liste blanche et liste noire d'expéditeurs Liste noire et liste blanche de vocabulaire Algorithme Bayes d'auto-apprentissage Assistant d'autoapprentissage sur les bases de Microsoft Outlook et de Microsoft Outlook Express Configuration de la sévérité du filtre antipourriel Analyse des images Analyse des en-têtes de messages Le logiciel prend en charge un certain nombre d'options de traitement du courrier indésirable : suppression, stockage temporaire dans le dossier SPAM ou renvoi du message vers la boîte de réception de l'utilisateur, en insérant la note «Spam!» dans le champ Objet. Les compléments («plug-ins») anti-pourriel pour Microsoft Outlook et Microsoft Outlook Express permettent aux utilisateurs de classer des messages comme indésirables en cliquant sur les boutons appropriés qui sont ajoutés aux outils de leur client de messagerie. L'utilisateur peut ajouter les adresses des expéditeurs aux listes blanche et noire d'adresses. Les adresses de messages présentes dans la liste noire sont toujours considérées comme indésirables, tandis que celles de la liste d'adresses de confiance sont toujours distribuées à leur destinataire. L'utilisateur peut également ajouter des mots et des phrases dans des listes de vocabulaire à bannir (les messages contenant ces mots ou ces phrases sont toujours classés indésirables) ou de vocabulaire autorisé (ces messages ne sont pas considérés comme indésirables). Il est également possible d'attribuer un score à chaque mot ou phrase indésirables : c'est ainsi que le mot «Viagra», par exemple, se verra probablement attribuer un score de rejet plus élevé que les mots «vacances en Chypre». Les messages contenant de mots associés à un score de rejet très élevé seront alors considérés comme indésirables. Les algorithmes d'auto-apprentissage sont une forme d'intelligence artificielle capable d'apprendre à identifier correctement les messages indésirables dans la boîte de réception, après un bref entraînement (sur une cinquantaine de ces messages). Lors de sa première utilisation, il faut fournir au logiciel deux échantillons composés de 50 messages indésirables et de 50 messages amicaux. L'application effectue une analyse des textes et génère des règles de filtrage pour les messages futurs. Un Assistant d'auto-apprentissage a été spécialement conçu pour simplifier l'entraînement dans le cas de Microsoft Outlook et Microsoft Outlook Express. L'Assistant demande à l'utilisateur de lui indiquer le modèle de client de messagerie qu'il utilise, et les différentes boîtes de réception contenant les messages amicaux ou indésirables. L'application permet aux administrateurs d'établir cinq niveaux de sévérité du filtre anti-pourriel, chacun d'eux s'appuyant sur une sélection différente d'outils d'analyse des messages -- le niveau le plus sévère utilisant quant à lui la panoplie la plus complète. La dernière solution anti-pourriel de Kaspersky Lab est capable de filtrer les images indésirables. Le logiciel procède à l'examen préalable des en-têtes de messages, avant de les télécharger dans l'ordinateur. L'adresse de l'expéditeur est comparée aux listes noire et blanche, l'origine du message est contrôlée, et la présence (ou l'absence) d'adresses dans les champs «De» et «À» est également prise en compte. 11

12 Protection contre les escroqueries Tous les messages provenant d'adresses figurant dans la base d'adresses et de liens URL indésirables sont automatiquement considérés indésirables. 9Nouveaux services Administration centralisée Technologie iswift Assistant configuration Configuration notifications de des Technologies liées à l'économie d'énergie et au rendement Autodéfense Conservation des bases et des clés de licence Outils de création d'un disque de secours Installation sur des ordinateurs infectés Petites mises à jour Kaspersky Administration Kit offre des outils d'administration permettant de gérer des applications à distance par le réseau, de manière centralisée. Toutes les versions 6.0 des applications Kaspersky Lab utilisent la technologie iswift, qui évite au logiciel d'avoir à analyser plusieurs fois les mêmes fichiers de l'ordinateur, sans nécessité. Un bon exemple de l'amélioration apportée par la technologie iswift au rendement du système est celui d'un réseau où Kaspersky Anti-Virus est installé à la fois sur le serveur et sur les postes de travail. Après avoir analysé un fichier sur le serveur, iswift s'assure que ce même fichier ne sera pas une seconde fois analysé sur le poste de travail. Naturellement, le temps d'analyse est réduit d'autant et les fichiers sont distribués aux utilisateurs dans un délai minimum. Cet outil permet à l'administrateur de configurer tous les paramètres essentiels de l application au moment de son installation : différents niveaux de sécurité, planification des mises à jour et des analyses de l'ordinateur, etc. L'administrateur peut ajuster les paramètres de suivi des événements sur le réseau (par exemple, la détection d' un virus ou un conflit dans le système), décider du moment et de la méthode d'envoi de notifications et activer des alertes sonores. Quand le niveau des batteries de l'ordinateur portable tombe en dessous d'un seuil critique (défini par l'utilisateur), la solution antivirus ne lance plus les tâches qui consomment trop de ressources, telles que l'analyse à la demande, les mises à jour des bases antivirus, etc. Cette nouvelle technologie rend plus difficile, pour les programmes malveillants, de lutter contre la protection antivirus, en déjouant leurs tentatives pour arrêter le travail des tâches antivirus ou pour supprimer le logiciel de la liste des objets de démarrage. Quand l'administrateur ou l'utilisateur désinstallent l application, les clés de licence et les bases antivirus sont préservées, en vue d'une utilisation future. L'application peut créer une image du disque de démarrage (un disque de secours) qui permettra de restaurer le système après l'attaque d'un virus ou une défaillance du système. Ce service fait appel aux logiciels Microsoft Windows PE et Bart PE Builder. Les utilisateurs doivent avoir installé la distribution de Microsoft Windows XP avec Service Pack 2 pour profiter de cette technologie. Ce composant rend possible l'installation de la solution antivirus, même sur des ordinateurs dont la mémoire système contient déjà des programmes malveillants en activité. Les mises à jour des bases antivirus ont été réduites de taille. Le volume des mises à jour incrémentales n'atteint pas plus d'une dizaine de kilo-octets. 12