Антивирус: зачем нужен и почему его недостаточно
Антивирус привыкли считать универсальным щитом: поставил — и можно не думать о безопасности. А на самом деле это всего один из слоёв защиты — важный, но далеко не единственный. Разберём, что антивирус ловит, чего не ловит в принципе, какой выбрать и почему им нужно управлять централизованно.
«У нас же антивирус стоит»
В голове у многих простая картинка: антивирус — это щит, который ловит всё плохое. Поставил — и можно не думать. Но проблема в том, что это не так.
Когда заходит разговор про безопасность, чаще всего слышишь одно и то же: «у нас антивирус стоит, мы защищены». И на этом обсуждение заканчивается — раз есть антивирус, значит, тема закрыта.
А потом приходит шифровальщик. Антивирус его пропускает, файлы зашифрованы, бэкапов нет, компания стоит. И первая реакция: «как так? У нас же антивирус стоял!» Стоял. Просто антивирус — это не тот волшебный щит, каким его представляют.
Давайте честно разберёмся: почему антивирус не даёт стопроцентной защиты, почему без него всё равно нельзя, какой выбрать и какое место он занимает в нормальной системе безопасности.
Антивирус — не вся безопасность
Подход «есть антивирус — значит, защищены» опасен тем, что подменяет всю безопасность одной программой. И закрывает разговор там, где он только должен начинаться.
В голове у многих антивирус — это универсальный щит: поставил — и дальше можно не думать. Но на практике такая картина рушится на первом же шифровальщике, который прошёл мимо: файлы зашифрованы, бэкапов нет, работа встала.
Ниже — почему антивирус не ловит всё, от каких угроз он не защищает вообще, какой выбрать для российской компании и почему им нужно управлять централизованно, а не «поставить и забыть».
Почему антивирус не ловит всё
Казалось бы, ловить вредоносов — его единственная работа. Почему же он их пропускает?
А дело в том, что авторы вредоносов прекрасно знают про антивирусы и делают всё, чтобы те на них не реагировали. Получается бесконечная гонка:
И так по кругу, без конца. Поэтому защита всегда немного догоняет: большинство известных угроз антивирус ловит, но не все. А рассчитывать, что он поймает абсолютно всё, — наивно.
Почему антивирус не ловит всё
Ловить вредоносов — это постоянная гонка с теми, кто пишет их специально под обход защиты. И поймать в такой гонке абсолютно всё невозможно.
Авторы вредоносов прекрасно знают про антивирусы и пишут свои программы так, чтобы те на них не реагировали. Получается бесконечная гонка, в которой защита всегда немного позади:
Итог: известные угрозы антивирус ловит хорошо, а вот свежие и сделанные под конкретную атаку — далеко не всегда. Так что рассчитывать, что он поймает всё, нельзя.
От чего антивирус не защищает вообще
Это даже важнее, чем пропущенные вирусы. Есть целый класс угроз, против которых антивирус бессилен в принципе — и именно через них чаще всего и заходят.
Сотрудник сам ввёл пароль
Пришло письмо со ссылкой на поддельный сайт, человек перешёл и сам ввёл свой пароль. Никакого вируса нет — сотрудник добровольно отдал данные. И антивирусу тут нечего ловить.
В мессенджере написал «директор»
«Директор» в мессенджере просит срочно перевести деньги или прислать данные. Это социальная инженерия, обман человека, а не программа. И антивирус тут совершенно ни при чём.
Через RDP подобрали пароль
Сервер с удалённым рабочим столом открыт в интернет, бот подобрал пароль admin и зашёл. А для антивируса это обычный вход обычного пользователя — он может вообще не среагировать.
Дыра в софте, который не обновляли
В старой необновлённой программе нашли уязвимость и воспользовались ей. Тут нет никакого «вируса» — атака идёт через дыру в самой легальной программе. И антивирус такое часто пропускает. Об этом — отдельная глава.
Антивирус защищает от вредоносных программ. Но не от слабых паролей, не от открытых портов, не от необученных сотрудников и не от мошенников в мессенджерах. А ведь именно через эти дыры чаще всего и заходят.
Класс угроз, вне зоны антивируса
Кроме пропущенных вирусов есть целый класс атак, против которых антивирус не работает в принципе — и именно через них чаще всего и заходят.
Компрометация учётных данных
Сотрудник переходит по ссылке на поддельный сайт и сам вводит логин и пароль. Вируса нет — человек добровольно отдал данные. Антивирусу тут просто нечего ловить.
Атака на человека
Сообщение от имени руководителя в мессенджере: срочно переведи деньги, пришли данные. Это обман человека, а не программа — антивирус тут вообще ни при чём.
Брутфорс через открытый RDP
Открытый в интернет RDP, бот подобрал слабый пароль и зашёл. Для системы это обычный вход обычного пользователя — антивирус не видит здесь угрозы.
Эксплуатация незакрытой дыры
Использование известной дыры в необновлённой программе (эксплойт). Атака идёт через легальную программу с уязвимостью, а не через вирусный файл — это лечится обновлениями, а не антивирусом (об этом отдельная глава).
Антивирус отвечает за вредоносные программы. А слабые пароли, открытые наружу сервисы, необученные сотрудники, обман по телефону и незакрытые уязвимости — всё это вне его зоны. И именно отсюда приходит большая часть успешных взломов.
Антивирус — это как презерватив
Не даёт стопроцентной гарантии. Но с ним однозначно лучше, чем без него.
Без антивируса вы открыты вообще для всего. С антивирусом большинство типовых угроз отсекается автоматически. Но рассчитывать только на него и больше ни о чём не думать — это примерно как надеяться на одно средство защиты и игнорировать вообще всё остальное.
Антивирус — это часть комплексной системы безопасности. Важная часть. Но именно часть, а не вся система.
Защита есть, но не абсолютная
Антивирус снижает риск, но не убирает его полностью. И не заменяет всё остальное.
Аналогия простая: антивирус — как презерватив. Стопроцентной гарантии не даёт, но с ним однозначно лучше, чем без него. Без антивируса вы открыты для всего подряд, с ним типовые угрозы отсекаются сами. А вот полагаться только на него — значит махнуть рукой на все остальные слои защиты.
Правильная картина такая: антивирус обязателен, но это один из слоёв общей системы безопасности, а не вся она целиком.
Какой антивирус ставить
Антивирусов много, но для российской компании выбор довольно простой — и дело тут вовсе не в патриотизме.
Какой антивирус выбрать
Смотреть стоит не на громкость бренда. Важно другое: насколько быстро антивирус реагирует на угрозы, актуальные именно для России, и доступны ли лицензии и поддержка.
Антивирус не должен жить сам по себе
Важный момент, который многие упускают: в компании антивирус не должен просто стоять на каждом компьютере по отдельности. Им нужно управлять централизованно.
А разница между «антивирус просто стоит» и «антивирусом управляют из единой консоли» на практике выглядит так:
Антивирус сам по себе
- На одном компьютере работает, на другом сотрудник отключил «потому что тормозит»
- Где-то базы не обновлялись три месяца — и никто не знает
- На части машин антивируса вообще нет — забыли поставить после переустановки
- Угрозу нашли на одном ПК — остальные об этом не узнают
- Реальное состояние защиты — загадка до первой беды
Антивирус под единой консолью
- Видно сразу: где работает, где отключён, где не обновлён
- Обновление баз и политики — на все машины централизованно
- Новый компьютер — агент ставится и сразу под контролем
- Сработала угроза — видно где и когда, можно среагировать
- Состояние всего парка — на одном экране
Домен для этого не обязателен — консоль настраивается и без него. И у Kaspersky, и у Dr.Web она есть. А если в компании больше пяти компьютеров, централизованное управление стоит настраивать сразу — иначе уследить за парком уже не получится.
Централизованное управление
Антивирус без единой консоли — это просто набор установок, про которые непонятно, работают ли они. И управляемость тут не менее важна, чем сам факт, что антивирус стоит.
Разница между «просто наставили антивирусы по компьютерам» и «управляем из единой консоли» на практике выглядит так:
Без централизованного управления
- Защита выборочно отключена пользователями («тормозит»)
- Рассинхрон версий баз, устаревание на части узлов
- Узлы без агента после переустановки ОС
- События срабатываний не агрегируются — нет видимости
- Фактическое состояние парка неизвестно
С единой консолью
- Инвентаризация агентов и статус баз в реальном времени
- Централизованная раздача обновлений и политик
- Авторазвёртывание агента на новые узлы
- Агрегация событий, контроль отключений
- Единая точка наблюдаемости по всему парку
Домен для этого не нужен — консоль работает и без него (с доменом просто удобнее). Но когда компьютеров больше пяти, без централизованного управления уследить за состоянием защиты уже не выйдет.
Антивирус — одна из стен крепости
Крепость — это не одна стена. Антивирус добавляет важный слой защиты, но работает только вместе с остальными.
Антивирус — один из слоёв
Защита работает слоями: по отдельности ни один не спасает, эффект даёт только всё вместе. Антивирус — обязательный слой, но не единственный.
Наши принципы — применительно к антивирусу
Антивирус — это те же четыре принципа, просто в разрезе защиты от вредоносов.
Четыре принципа — применительно к антивирусу
Антивирус как управляемый слой защиты — через те же четыре принципа.
«А что насчёт …?»
Вопросы про антивирус, которые задают чаще всего.
Нет, и это как раз тот случай, когда бесплатное хуже, чем встроенное. Бесплатные антивирусы часто сами ведут себя как нежелательный софт: показывают рекламу, подсовывают лишние программы, собирают и продают данные о пользователе. А защита у них при этом так себе.
Если выбор стоит между бесплатным антивирусом и встроенным Windows Defender — берите Defender, он лучше. А для компании правильный вариант — нормальный платный Kaspersky или Dr.Web с централизованным управлением.
И ещё важный момент: бесплатных антивирусов с централизованным управлением не бывает. Единая консоль, из которой видно состояние всех компьютеров, — это всегда часть платного продукта. А без такой консоли в компании антивирус превращается в набор разрозненных установок, за которыми никто не следит.
Это миф. Вредоносов под macOS и Linux действительно меньше, чем под Windows, но они есть — и их становится больше. Полностью безопасной системы просто не бывает.
Плюс важный момент: даже если сама машина не пострадает, она может стать переносчиком — например, переслать заражённый файл коллегам на Windows. А на серверах Linux (особенно файловых и почтовых) антивирус прямо уместен — он ловит вредоносов, которые сами по себе Linux не вредят, но летят дальше к пользователям.
Начнём с тормозов. Заметное замедление от антивируса — это история примерно пятнадцатилетней давности: старое железо, медленные жёсткие диски, и антивирус действительно ощущался. А на любом средненьком современном компьютере с SSD присутствие антивируса, даже Kaspersky, практически незаметно.
Теперь про «не стопроцентно эффективен». Да, стопроцентной защиты антивирус не даёт — мы про это говорили выше. Но это не повод его убирать: без него большинство типовых угроз, которые он отсекает автоматически, пойдут прямо к вам. Отключить антивирус — значит сознательно подставить свою сеть под риск.
Поэтому если тормоза реально заметны — правильный вывод не «убрать антивирус». Правильный вывод — «подумать про апгрейд компьютера». А ослаблять защиту ради скорости — плохой размен.
Отдельная история — тяжёлые базы 1С и серверы баз данных: там проверка каждого файла на лету действительно мешает, и для таких папок делают точечные исключения. Но это аккуратная настройка под конкретные задачи, которую делает администратор, — а не полное отключение защиты «потому что мешает».
Нужен и там, и там, но с умом. На рабочих станциях — обычная защита. На сервере — с правильно настроенными исключениями, чтобы не убить производительность (например, для баз 1С и СУБД).
Отдельно полезен антивирус на файловом сервере: он проверяет файлы, которыми обмениваются сотрудники, и помогает не разносить заразу по всей сети. Сервер без защиты — это центральная точка, через которую заражение расходится на всех.
Нет. Антивирус может обнаружить и удалить само тело шифровальщика — саму вредоносную программу. Но уже зашифрованные файлы это не расшифрует: они так и останутся заблокированными.
Вернуть данные после шифровальщика реально только из резервной копии — поэтому нормальные бэкапы важнее любого антивируса в этом сценарии. Как их правильно делать — разбирали в главе про резервное копирование.
Были отличными продуктами, но есть практическая проблема. С 2022 года западные вендоры (ESET, Norton / Symantec, Avast, Bitdefender и другие) прекратили продажу новых лицензий в России. Старые ещё работают, но купить новую лицензию и рассчитывать на стабильные обновления и поддержку уже нельзя.
И даже если достать лицензию обходными путями — есть нюанс важнее доступности. Западные антивирусы хуже реагируют на вредоносов, типичных именно для российского сегмента: такие угрозы попадают в их базы медленнее, чем у Kaspersky или Dr.Web, которые ближе к этому рынку и видят их первыми.
Для российской компании это означает риск: антивирус, который завтра может перестать обновляться, — это ненадёжная защита. Поэтому для российской компании сейчас практичнее Kaspersky или Dr.Web — они доступны, поддерживаются и быстрее реагируют на актуальные для нас угрозы.
Частые вопросы и уточнения
Что чаще всего уточняют по антивирусной защите.
Нет. Бесплатные антивирусы часто сами ведут себя почти как нежелательный софт: суют рекламу, доставляют в нагрузку лишние программы, собирают и продают данные о пользователе. А защита у них при этом так себе.
Если выбирать между бесплатным антивирусом и встроенным Defender — берите Defender, он лучше. А для компании нормальный вариант — платный Kaspersky или Dr.Web с централизованным управлением.
И главное: у бесплатных антивирусов не бывает централизованного управления. Единая консоль, где видно состояние всех машин, — это всегда часть платного продукта. Без неё на парке компьютеров антивирус превращается в набор разрозненных установок, за которыми никто не следит.
Это миф. Вредоносов под macOS и Linux и правда меньше, чем под Windows, но они есть, и их становится больше. Плюс даже если самой машине вирус не страшен, она легко станет переносчиком — перешлёт заражённый файл коллегам на Windows.
На Linux-серверах (файловых, почтовых шлюзах) антивирус как раз полезен — он ловит заразу, которая самому Linux не вредит, но летит дальше к пользователям на Windows.
Про тормоза: сегодня это в большинстве случаев уже не так. Заметно тормозил антивирус лет пятнадцать назад — на старом железе с медленными HDD. А на нормальном современном компьютере с SSD антивирус, даже Kaspersky, в обычной работе почти не чувствуется.
А то, что он ловит не всё, — не повод его сносить. Большинство типовых угроз он отсекает сам, и если его убрать, весь этот поток пойдёт прямо к вам. Отключать защиту ради скорости — значит сознательно подставлять сеть под удар.
Так что если антивирус реально тормозит — правильнее подумать про апгрейд компьютера, в первую очередь поставить SSD. А сносить защиту — это не выход: скорость лечится железом.
Отдельная история — тяжёлые базы 1С и СУБД: там проверка каждого файла на лету реально мешает, поэтому для таких папок делают точечные исключения. Но это аккуратная настройка под конкретные задачи, которую делает админ, — а не полное отключение антивируса пользователем «потому что мешает».
Нужен и там, и там. На рабочих станциях — как обычно. На сервере — с правильными исключениями для баз 1С и СУБД, чтобы не ронять производительность.
На файловом сервере антивирус ещё и работает как фильтр: проверяет файлы, которыми обмениваются сотрудники, и помогает не разносить заразу по всей сети.
Нет. Сам шифровальщик антивирус найти и удалить может, но на уже зашифрованные файлы это никак не повлияет — без ключа расшифровать их нельзя.
Вернуть данные после шифровальщика реально только из бэкапа (лучше всего — если есть копия, до которой шифровальщик не дотянется). В этом случае бэкап важнее антивируса — подробно разбирали в главе про резервное копирование.
Сами по себе это сильные продукты, но есть практическая загвоздка. С 2022 года западные вендоры (ESET, Norton / Symantec, Avast, Bitdefender и другие) прекратили продавать новые лицензии в России. Старые ещё работают, но купить новую и рассчитывать на стабильные обновления и поддержку уже нельзя.
И даже если достать лицензию обходными путями — остаётся нюанс важнее доступности: на вредоносов, типичных именно для России, западные антивирусы реагируют медленнее. Такие угрозы попадают в их базы позже, чем у Kaspersky или Dr.Web, которые ближе к нашему рынку и видят их первыми.
А антивирус, который завтра может перестать обновляться, — это ненадёжно. Поэтому для российской компании практичный выбор — Kaspersky или Dr.Web: доступны, поддерживаются и быстрее закрывают угрозы, актуальные именно для нас.
Настроим нормальную антивирусную защиту
Подберём и развернём антивирус под вашу инфраструктуру (Kaspersky / Dr.Web), настроим централизованную консоль, разберёмся с исключениями для 1С и серверов и встроим антивирус в нормальную систему безопасности — вместе с паролями, бэкапами и всем остальным.
Антивирус как управляемый слой
Развернём лицензионный Kaspersky / Dr.Web с централизованной консолью, политиками и контролем состояния парка, настроим исключения для 1С и СУБД без потери производительности и встроим антивирус в общую систему защиты: пароли и 2FA, VPN, сегментация сети, резервное копирование.