В четверг около десяти утра Ирина, бухгалтер компании на тридцать человек, открыла письмо от поставщика. Тема была рабочей — «Акт сверки за октябрь», — адрес выглядел знакомым, а во вложении лежал файл с именем документа. Она открыла его, потому что делала так много раз и ни разу об этом не пожалела.

Первые полминуты ничего не происходило. Потом документ не открылся, а имена файлов на рабочем столе начали меняться: к привычным названиям добавлялся набор букв. Следом закрылась программа, в которой Ирина вела проводки, и открылась записка с требованием денег за ключ. Она позвонила Сергею, который отвечает за компьютеры и приходит дважды в неделю. Он сказал обычное: выдерните сетевой кабель и больше ничего не нажимайте.

К обеду выяснилось, что пострадала не только её машина: шифровальщик добрался до общей папки на сервере, где лежали счета, договоры и база. Спасла ночная копия на отдельном носителе — к вечеру файлы вернули. В тот день ничего дороже этой копии в фирме не было.

На следующее утро руководитель сказал Сергею фразу, которую в такой ситуации произносят почти всегда: «Надо купить хороший антивирус». Желание понятное, и глупого в нём нет. Проблема в том, что фраза описывает покупку, а не задачу, — и если начать с покупки, можно честно потратить деньги и получить тот же четверг ещё раз.

Что на самом деле произошло в бухгалтерии

Никто не взламывал компьютер Ирины. Не было ни подбора пароля, ни дыры в сервере, ни злоумышленника, который сидит в тёмной комнате и выбирает фирму. Был файл, который сотрудник запустил сам, потому что он выглядел как документ; для системы это обычный процесс, запущенный с его правами и с его доступом к общим папкам.

Такие происшествия почти всегда проходят через три точки, где беду можно остановить. Первая — до запуска: письмо не доходит или вложение не открывается по правилу. Вторая — в момент запуска: защита видит действия программы и останавливает их. Третья — после: кто-то замечает неладное и отключает машину от сети раньше, чем процесс дойдёт до сервера. В истории Ирины не сработала ни одна.

Первую точку закрывает правило почты или запрет запускать вложения напрямую, но такого правила не было. Фильтр отсеивал спам, однако письмо от «поставщика» на спам не походило: оно походило на работу, а работу люди открывают. Вторая точка была прикрыта только на бумаге: антивирус стоял, но на нескольких машинах его отключили, потому что он замедлял бухгалтерскую программу, где-то базы были старыми, а на файловом сервере защиты не было вовсе.

Третья точка подвела по той же причине. Шифровальщика заметила Ирина, а не система: пока она звонила и искала кабель, процесс успел пройти по сохранённым сетевым дискам. Ручная реакция опаздывает, потому что человек узнаёт о проблеме последним.

Из этого разбора следует неприятный вывод. Фирме не хватало не антивируса — антивирус был. Не хватало управления: того, что видит состояние всех машин, не даёт выключить защиту и позволяет отреагировать за секунды, а не за минуты. И не хватало человека, который отвечает за это не «когда придёт», а постоянно.

Поэтому просьба «купить хороший антивирус» содержит три разные задачи: чтобы опасное не запускалось, чтобы кто-то видел, что происходит на всех машинах, и чтобы было кому нажать «изолировать». Сравнивать средства имеет смысл только по тому, какие из этих задач они закрывают и кто их обслуживает. Начнём с первой — с того, как программа понимает, что перед ней враг.

Как антивирус узнаёт, что перед ним враг

Антивирус не «понимает» злонамеренность. Он узнаёт её по признакам, и от того, какие это признаки, зависит, что он поймает, а что пропустит. Признаков исторически три, и у каждого своя слепота.

Самый старый — сигнатура: фрагмент кода или хеш уже известной вредоносной программы. Это быстро и почти без ошибок, если файл совпал с базой. Но совпасть он может только с тем, что уже нашли и описали, а программа, собранная утром под конкретную фирму, в базе отсутствует. Обновления баз — необходимое условие, но не гарантия: сигнатуры плохо ловят новые шифровальщики.

Второй способ — эвристика: поиск не совпадения, а сходства. Упакованный код, попытки скрыться от наблюдения, странная последовательность системных вызовов — всё это повышает оценку риска. Эвристика ловит варианты известного, но ошибается чаще: «похоже на вредоносное» и «является вредоносным» — разные утверждения, и между ними лежит цена ложного срабатывания.

Третий способ — поведенческий контроль, и он единственный, у кого есть шанс в истории Ирины. Он не спрашивает, знаком ли файл, а смотрит, что программа делает: массово переименовывает файлы, удаляет теневые копии, лезет в сетевые папки. Шифрование — это действие, и его можно заметить по действию, даже если сам файл новый. Но заметить не значит успеть: механизм должен быть включён, настроен и иметь право вмешаться.

Дальше начинается разница, которую редко обсуждают при покупке. Одно дело — сообщить о находке, другое — заблокировать файл, третье — остановить запущенный процесс, четвёртое — изолировать машину от сети. Обычный антивирус уверенно делает первые два; на третьем и четвёртом ему нужна либо автоматика, настроенная под сценарий, либо человек, который примет решение.

Казалось бы, включить поведенческий контроль построже — и всё. Здесь есть проблема: слишком чувствительный порог останавливает бухгалтерию на обычных операциях, слишком мягкий пропускает шифровальщика. Настройка под конкретные программы — работа, которая не заканчивается в день установки, а каждое исключение, добавленное, чтобы «не мешало», расширяет область, где защита не смотрит.

Поэтому вопрос «какой антивирус лучше» не имеет ответа сам по себе. Ответ появляется вместе со вторым вопросом: что мы будем делать, когда он сработает, и кто это будет делать. На него отвечает другой класс средств.

Почему EDR — не «антивирус побольше»

EDR, то есть обнаружение и реагирование на конечных точках, часто представляют улучшенным антивирусом: мол, база больше, ловит лучше. Это не так. Разница не в количестве известных образцов, а в том, что EDR помнит и умеет.

Антивирус отвечает на вопрос «можно ли это запускать». EDR — на вопрос «что произошло»: какой процесс что запустил, какие файлы трогал, куда ходил по сети, под какой учётной записью. Он ведёт журнал и позволяет восстановить цепочку — например, от письма до общей папки на сервере.

Из этой памяти вырастает реакция. Машину можно изолировать из консоли, не бегая к столу; процесс — остановить; собрать следы и найти другие компьютеры, где происходило то же самое. В истории Ирины это сэкономило бы как раз те минуты, которых не хватило.

Но здесь начинается ограничение. EDR не решает сам: он показывает, а решает человек. События нужно читать, отличать шум от атаки, понимать, что изолировать и когда возвращать в сеть. Без этого EDR — дорогой журнал, который исправно пишется и никем не открывается.

Важно. EDR отвечает на вопрос «что произошло», но не на вопрос «кто будет этим заниматься». Без второго ответа первый не стоит ничего.

Это звучит просто, пока не спросишь, кто посмотрит журнал в субботу в два часа ночи. В компании на тридцать человек дежурного нет: Сергей приходит дважды в неделю и занят всем подряд — от касс до резервных копий. EDR «в руки» такому специалисту купить можно, но пользоваться им будет некогда.

Отсюда третий вариант: сервис, где мониторинг и первичный разбор берёт на себя поставщик. Вы покупаете не программу, а процесс: кто-то смотрит события, звонит при срабатывании и действует по согласованному регламенту. Для фирмы без своего специалиста это часто разумнее, но и здесь есть условия. Такой формат обычно называют managed-сервисом.

Их надо обсудить до договора. Кто получает доступ к событиям с ваших машин, что может с ними делать и какие действия разрешены без согласования. Отдельно — как приходит оповещение ночью, что входит в стоимость и кто внутри фирмы остаётся владельцем процесса.

Возражение напрашивается: значит, EDR и сервис всегда лучше? Нет. Если задача — не пустить известную заразу, видеть состояние машин и не заводить отдельную службу, антивирус с централизованным управлением закрывает её проще и дешевле. Классы средств — не лестница, где следующая ступень выше, а разные ответы на разные вопросы, и любой из них разбивается о бытовую вещь: тридцать компьютеров, каждый со своей жизнью.

Почему тридцать компьютеров без управления превращаются в зоопарк

Когда антивирус ставят по одному на каждую машину и на этом останавливаются, получается не система, а тридцать отдельных историй. На одной защита обновляется, на другой нет; на третьей её отключили, потому что она мешала; на четвёртой истекла лицензия, и никто не заметил; версии и настройки у всех разные, а пароль знает или один человек, или все подряд. Это не халатность сотрудника, а следствие: у него нет инструмента, которым видно тридцать состояний сразу. О проблеме он узнаёт, когда что-то уже сломалось. Зоопарк и есть ситуация, в которой одинаковые продукты ведут себя по-разному и никто не может сказать, как именно.

Централизованное управление — не «красивый интерфейс для начальства». Это единая политика: что проверяется, что блокируется, какие исключения разрешены и кем. Это видимость: кто обновился, у кого защита выключена, где были срабатывания. И третье — возможность действовать удалённо: изолировать компьютер, запустить проверку, обновить базы, не вставая из-за стола, и запретить отключать защиту без пароля.

Отдельная история — исключения. Защита блокирует бухгалтерскую программу, счёт не выставляется, работа стоит; у бухгалтера один выход — попросить отключить защиту совсем, и фирма теряет то, за что платила. Правильный выход другой: узкое исключение по конкретному файлу или папке, с записью в журнале, сроком и ответственным. Но так можно поступить только там, где есть консоль и правила.

С ложными срабатываниями связана нагрузка, которую при выборе почти не считают. Каждое ложное — звонок, разбор, решение, объяснение; когда их много, специалист перестаёт реагировать всерьёз, и настоящий сигнал тонет в шуме. На пилоте измеряют не число «пойманных вирусов», а время за неделю и количество ошибок на рабочих программах. Описание продукта на этот вопрос не отвечает: у всех в описании всё хорошо, поэтому следующий шаг — пилот.

Что показывает пилот

Демонстрация показывает, как продукт выглядит. Пилот показывает, как он живёт в вашей фирме. Разница видна на второй неделе, когда проходят первые впечатления: то оборудование не поддерживается, то обновления не доходят, то защита мешает обычной операции.

Две-четыре недели — разумный срок, но только если включить в пилот самые неудобные машины, а не те, где всё новое и чистое. Хотя бы бухгалтерию со старой программой, склад без интернета, ноутбук, который месяцами не подключается к сети, и файловый сервер с общими папками. На новых компьютерах пилот подтвердит то, что и так написано в рекламе.

Смотреть стоит на то, что не входит в список функций. Сколько ложных срабатываний приходится на ваши программы и сколько времени уходит на разбор. Насколько замедлилась работа на той самой бухгалтерской программе. Доходят ли обновления и как быстро. Понятна ли консоль человеку, который не занимается безопасностью профессионально. Работает ли изоляция, когда до машины нужно добраться из другого города.

Совместимость — то, что редко проверяют всерьёз и о чём потом жалеют. Старая операционная система на бухгалтерском компьютере, кассовое оборудование, отраслевая программа со своим форматом, виртуальные машины, терминалы. Несовместимость выясняется в первый рабочий день после покупки, когда выбор уже сделан; на пилоте она стоит одного неприятного разговора.

Отдельно — обновления и работа без интернета. Базы должны доставляться регулярно, а машинам, не подключённым к сети, нужен локальный сервер обновлений, иначе защита устаревает в первый же день. Стоит проверить, что происходит, когда компьютер неделю был выключен, и как ведёт себя защита, если недоступен облачный сервис поставщика: часть продуктов в этом случае слабеет.

Сертификация — тема, где ошибаются в обе стороны: одни покупают лишнее, другие пропускают обязательное. Если компания обрабатывает персональные данные, работает с государственным заказом или попадает в категории, где законодательство прямо требует применять сертифицированные средства защиты, обычный корпоративный продукт может не подойти. Проверять это нужно по конкретным требованиям, которые к вам относятся, и лучше с юристом, а не по надписи на коробке. Для фирмы на тридцать человек это часто не главный критерий, но иногда он становится решающим.

Дальше — общая стоимость владения, и здесь лицензия оказывается меньшей частью суммы. Внедрение и настройка, обучение, часы администратора — не разовые, а постоянные. Продление часто дороже первого года; смена продукта через два года — снова внедрение; если защита требует более новой операционной системы, придётся менять и её. Дешёвая лицензия, которая отнимает два часа в день, в пересчёте на год дороже.

Критерии выбора удобно сформулировать не списком возможностей, а вопросами. Ловит ли средство ваши реальные сценарии, а не абстрактные угрозы. Сколько ложных срабатываний даёт на ваших программах и сколько времени в неделю требует.

Следующий слой вопросов — управляемость и реакция. Видно ли из одной консоли состояние всех машин, можно ли быстро изолировать компьютер, кто отвечает на звонки и как быстро. Отдельно стоит выяснить, что будет при продлении и работает ли всё это без интернета. Средство, хорошо отвечающее на эти вопросы, обычно и оказывается правильным.

Иногда разумный ответ — не покупать отдельный продукт. Если машин немного, все обновляются, критичных данных мало и есть человек, который раз в неделю смотрит состояние защиты, встроенных средств может хватить. Это не «бесплатно, значит плохо»: встроенная защита бывает аккуратной. Вопрос в том, кто ею управляет и видит ли он общую картину; с появлением общих папок и серверов проблема перестаёт быть в наличии защиты.

В истории Ирины пилот отсеял двух кандидатов. Первый блокировал бухгалтерскую программу так, что счёт нельзя было выставить, — это выяснилось на третий день. Второй требовал столько ручной настройки, что Сергей честно сказал: он не будет этим заниматься. Выбрали третий: не самый сильный по описанию, но с понятной консолью, поведенческим контролем, локальным сервером обновлений и внятной работой с исключениями. К нему добавили мониторинг в нерабочее время, назначили владельца и записали, что делать в первые часы.

Что изменилось бы в тот четверг? Массовое переименование, скорее всего, остановилось бы на первой машине; консоль показала бы, где это происходит; машину изолировали бы, не дожидаясь звонка. Оговорка обязательна: гарантии нет — если порог настроен слабо или процесс выглядит для системы законно, защита промолчит. Поэтому рядом с любым средством нужны копии и план действий.

Главная мысль

Средство защиты выбирают не по списку функций, а по задаче и по тому, кто с ним будет работать. В этой истории задача звучала не «купить антивирус», а «сделать так, чтобы письмо от поставщика не превращалось в утро без файлов». У такой задачи две половины: обнаружить и отреагировать, и вторая половина почти всегда человеческая.

Поэтому таблица возможностей — последнее, на что стоит смотреть. Сначала — какие сценарии вы закрываете, кто смотрит на срабатывания, что происходит ночью и в отпуске, сколько часов в неделю это требует. Классы средств — антивирус, EDR, сервис — отвечают на разные вопросы, и ни один из них не «всегда лучше»: разница в том, кто и как им пользуется.

Для фирмы на тридцать человек разумный ответ часто выглядит скучно: управляемый антивирус с поведенческим контролем и одной консолью, узкие исключения вместо отключений, копии, до которых не дотянется шифровальщик, назначенный ответственный и короткий план на первые часы. Скучно — не значит плохо. Плохо — когда защита есть, а сделать с ней некому.

Продолжить стоит с трёх материалов, которые смотрят на ту же задачу с другой стороны. Резервные копии объясняют, как сделать копию, до которой не доберётся шифровальщик. Первые 24 часа после инцидента описывают порядок действий, когда беда уже случилась, а словарь объясняет термины, встретившиеся по дороге.