如何評估、比較和實施企業級反病毒軟件？
譯文【51CTO.COM 獨家翻譯】反病毒軟件問世有些年頭了，幾乎與軟件病毒的歷史一樣久遠。但由于個人電腦環境面臨種類日益繁多的威脅，企業級反病毒軟件市場出現了兩大潮流：
1、不僅限于基于特征的防護。惡意軟件在不斷增加和變化，因而安全廠商不可能單單使用特征來識別和防范一個個威脅。賽門鐵克公司在年初曾宣布，自從它在2007年開始跟蹤惡意代碼威脅以來，總共檢測出了幾乎170萬個威脅，這表明惡意代碼特征猛增了265%。
除了特征外，安全廠商現在還使用另外的技術，比如應用程序控制（又叫白名單）和主機入侵防護系統（HIPS，又叫啟發法）；前一種技術只允許授權代碼可以運行，后一種技術可監控代碼的行為。要是行為偏離"正常"，HIPS就認為代碼是可疑或惡意的，因而阻止代碼運行。HIPS可以采用執行前模式、運行時模式，或同時采用兩種模式。
2、功能增強了。許多企業級反病毒軟件廠商增強了獨立工具的功能，使其成為不但能防范惡意軟件，還能防范黑客和數據丟失的套件。
企業戰略集團（ESG）的分析師John Oltsik說："總的潮流是，端點處的安全軟件變得更龐大、功能更全面。"他表示，具體來講，反病毒、反間諜軟件和防火墻軟件正在與端點安全操作、數據丟失預防和全盤加密融合起來。弗雷斯特研究公司的分析師Natalie Lambert補充說，廠商通常提供的另一項功能是網絡訪問控制。她表示，這些工具可以根據客戶端符合安全政策的情況，控制其對網絡的訪問。
在一些情況下，廠商們還在把安全產品與操作功能融合起來，比如補丁及配置管理、端點配置和備份等功能。Oltsik說："大型廠商會單單銷售安全產品，但它們在說服客戶，應作為一個整體來管理安全產品。"他表示，這個理念會漸漸得到接受。他說："眼下，安全產品和技術比IT部門所處的階段要領先兩年。"
下面是比較和使用企業級反病毒軟件時應考慮的幾個要點。
企業級反病毒軟件的須知事項
要考慮套件的優勢。據Lambert聲稱，反病毒軟件的主要差異在于廠商們捆綁到客戶端安全套件當中的功能。由于用戶面臨各種各樣的挑戰：惡意代碼、數據丟失以及連接到企業網絡的不安全機器，他們越來越希望一下子克服這些挑戰，而不是借助多個單點產品。Lambert說："機器上多安裝一個產品，其運行速度會變得更慢，增加需要管理的另一個控制臺，還增加了許可證和需要購買的其他東西。既然能從一家廠商地方買到功能更多、價格又比較便宜的產品，為什么要三番五次地活受罪？"
一家大型包裝食品制造商的信息安全主管認同這個說法。他表示，正因為趨勢科技公司增添了安全功能和特性，比如客戶端防火墻管理和間諜軟件清除功能，所以他公司才得以減少需要管理的安全產品的數量。他部門以前有五六個控制臺來管理安全產品，現在減少到了兩個。
明尼阿波利斯市市場營銷公司CMS Direct的高級網絡工程師Michael Bell很看重下面這一點：安全廠商Sophos將許多安全層集成到一個軟件包中；實際上，他盼望Sophos能集成客戶端防火墻，目前這種防火墻作為一個獨立模塊來提供。
不要接受差勁性能。眾所周知，反病毒軟件要消耗大量資源，不過如今一些廠商在性能方面很重視。據Bell聲稱，比如說，Sophos就使用檢索等技術，減少資源密集型掃描的次數。
能源企業NuStar Energy的基礎設施系統經理Robert Amos使用微軟Forefront后，也發現性能較以前的系統有了改進。他表示，他用過的許多企業級反病毒產品存在嚴重的性能問題，但Forefront每六小時執行一次掃描；Amos說，該產品在運行時，自己并非總是注意到它。
要調查白名單功能。白名單或應用程序控制是一種新興功能；Lambert表示，這項功能比HIPS更勝一籌，因為除了監測活動外，它還能阻止惡意軟件在系統上運行。借助白名單功能，管理員就可以為其環境制作一份授權應用程序的名單，不允許未經授權的軟件運行。
Oltsik表示，白名單存在的問題是，在Web 2.0環境下，人們經常下載新軟件，無論是為了用于辦公還是個人使用。白名單在固定的職能部門（如訂單錄入部門或呼叫中心）也許很好用，但如果你的人員經常與外部的合作伙伴或者進行市場調研的營銷人員聯系，"你會沒完沒了地接到試圖下載但下載不了的人打來的電話，"他說。"問題在于，你在實際執行時想要多嚴格。"
要研究其他新興的客戶端安全工具。據Lambert聲稱，除了白名單外，另外還有四種新興工具可用于端點防護，因為它們能消除更復雜的威脅。這些工具包括：設備控制，讓管理員可以針對可接受的設備制定政策，規定個人電腦可以訪問或不可以訪問哪些設備；全盤加密，機器關機后可對硬盤進行加密；文件加密，當用戶把單個文件保存到指定位置時，可以保護文件；以及數據泄露防護，可以監控和執行數據使用政策。她表示，購買這些工具的企業通常不到三成，但安全經理們應該開始試用一下。
不要對HIPS感到絕望。Lambert表示，雖然HIPS解決方案仍不成熟，誤報率又很高，但仍應該將它們與反惡意軟件解決方案結合起來使用。她認為應用程序控制技術最終會取代HIPS，但HIPS在保護機器免受緩沖器溢出之類的問題方面還是會很有用。
Sophos的掃描引擎提供了內置的HIPS功能，CMS Direct公司的Bell對此很高興。他使用該功能來阻止用戶下載可能不需要的應用程序，比如廣告軟件。他表示，你可以選擇收到警報，然后使用集中式政策管理功能，準許或阻止使用被標記的應用程序，而不是說系統不加區別地自動阻止行為可疑的應用程序。
要考慮信譽服務。為了把其環境中的其他工具換成趨勢科技提供的功能，那家包裝食品公司在測試這家安全廠商的信譽服務功能，看看能不能取代目前使用的URL過濾工具。信譽服務的工作機理是，檢查用戶試圖訪問的每一個網絡地址；要是發現該地址在已知惡意網站的名單里面，就阻止訪問。
要重視易用性。誰也沒有多余的資源投入到安全上，因而易用性成了一個重要問題。這意味著廠商們更加關注儀表板（dashboard）以及更容易的報告、管理和部署等機制。
所用產品的集中管理和一目了然的儀表板給Bell留下了深刻的印象，因為一旦客戶機沒有遵守安全政策，馬上就能看出來。Bell表示，他之所以沒有使用以前那款軟件的儀表板功能，是因為之前的儀表板看不大懂；用戶有時會反映他們已有30天沒有更新了。他說："短短五分鐘內，你就能看到每個人都更新好了。"
同樣，那家食品制造商的主管表示，高級的報告模塊簡化了向高級經理報告網絡防護方面的情況。以前要是向上司匯報，需要手動整理多份報告。如今報告機制實現了自動化，報告會發布到內聯網上。
要考慮多個掃描引擎。沒有哪個掃描引擎是完美無缺的，這就是為什么有些廠商（如微軟和賽門鐵克）在開始使用多個掃描引擎，以便提高成功逮住惡意軟件的概率。伯頓集團的分析師Dan Blum說："不同引擎存在不同盲區。"
Amos說，有了Forefront的多個掃描引擎，好比選擇兩家公司的不同掃描功能，把兩者裝在一臺機器上。他說："即使一方檢測惡意軟件的能力比另一方稍微遜色，你也得到了雙重保護。"他打算部署四個不同的軟件代理來用于掃描。
要考慮軟件即服務。正如其他產品領域一樣，許多廠商在把一些反病毒功能作為一項服務來提供，比如反惡意軟件、信譽服務、特征更新和報告等功能。這可能更具成本效益；據Blum聲稱，雖然大企業可能會將大部分功能留在內部，但用戶可以采取一種混合模式：對集中的員工隊伍使用內部部署型系統，而對邊遠辦事處的用戶使用軟件即服務（SaaS）。
在一些情況下，廠商們在使用軟件和服務相結合的混合模式，以提供額外或增強的功能，比如多個掃描引擎或信譽數據庫。Blum說："這種方法所提供的安全功能比單單一張光盤豐富多了。"
要有零日攻擊策略。如今的系統存在一大軟肋，那就是防范零日攻擊的本領比較弱。Blum說："當典型的安全軟件包遇到一種以前沒見過的新型惡意軟件時，檢測不出的概率相當高，高達50%。"
那家包裝食品公司通過桌面鎖定策略來緩解這個問題。該公司基于這樣的前提：大多數惡意軟件是通過企圖寫入到注冊、系統文件夾或驅動盤根目錄來搞破壞的，于是對桌面進行了配置，阻止這種行為。
不要忘了惡意軟件清除功能。檢測病毒是一回事，清理病毒造成的危害又是另一回事。Bell當初之所以選擇Sophos，一個主要原因就是在使用趨勢科技、邁克菲和賽門鐵克等其他安全系統的幾年間，他總是注意到：Sophos每回搶在其他廠商之前提供清除工具。實際上，他在過去幾年里被一種病毒感染了兩次后（該病毒導致他公司的個人電腦發送垃圾郵件），使用Sophos的工具徹底清除了該病毒。他說："這種防護效果成了我們公司后來決定改用Sophos的一個重大因素。"他表示，他目前使用的系統卻識別不出這種病毒。
同樣，Amos表示，Forefront的清理和清除功能勝過他以前使用的系統。他說："以前的系統雖然會通知我，但清除不了，因為被感染的是打開的文件或系統文件，而它沒法對這種文件進行處理。"這需要桌面安全小組在安全模式下啟動機器，然后在注冊表手動清除相關條目或刪除文件。他表示，有了Forefront，沒必要干這個活了，為桌面安全小組節省了人力。
要認真考慮成本。由于桌面端安全需求越來越大，用戶在想方設法降低成本。據Lambert聲稱，同類中最佳的客戶端安全工具（如反惡意軟件工具）單機版的平均零售價是40美元（全盤加密等其他工具高達80美元）。
控制成本的一個辦法是用一套系統來保護盡可能多的對象。比如說，那家食品公司減少了需要管理的安全控制臺的數量，從而降低了總體擁有成本。
Amos使用Forefront后，每年能節省35000美元的成本，這主要是由于微軟的許可政策發生了變化。他公司一直使用Forefront來保護SharePoint和Exchange，但是即使他在考慮用于個人電腦環境的新反病毒軟件時，也沒有考慮到Forefront這款軟件。那主要是因為個人電腦環境和服務器環境通過不同的基礎設施來加以管理。他之所以找一家新的反病毒軟件廠商，初衷主要是為了降低每臺機器的成本。不過，任何新產品都需要對目前的基礎設施收集特征、進行報告的方式進行全盤的重新設計，主要是由于這家公司的環境非常分散--公司總部外頭有100個辦事處。
后來Amos在與微軟工作人員聊起來時意外得知：按企業許可協議規定，這家公司可以將Forefront用于其工作站，根本不用另外付費。現在，Amos使用一款標準化的工具，就能針對所有系統進行保護、監控和報告。他說："我們人手很少，一個人要干幾份活，所以他們對單單一款應用軟件越熟悉，就能越有效地利用這個資源。"他表示，Forefront還與活動目錄集成起來，因而很容易將軟件分發到新機器上。
來源：http://www.csoonline.com/article/499041/how-to-evaluate-compare-and-implement-enterprise-antivirus
【51CTO.com獨家譯稿，非經授權謝絕轉載！合作媒體轉載請注明原文出處及出處！】
【編輯推薦】
