Чи потрібен ще антивірус, коли працює VPN?

Почніть із завантаження, яке ви збираєтеся запустити. Ви відкрили сторінку, файл потрапив до теки завантажень, і питання в тому, який із двох ваших продуктів безпеки на нього подивився. Тунель переніс байти; щось на пристрої має вирішити, чи безпечно виконувати цей файл. Це різні завдання, які виконують різні компоненти.

Пройти один файл швидше, ніж порівнювати списки функцій, тож простежте його від кліку до запиту на встановлення.

Почніть із того, що переносить тунель

Коли ви запитуєте файл через VPN, клієнт шифрує ваш трафік і надсилає його до кінцевої точки, яка передає його далі до сайту. Сайт повертає байти, що повертаються тим самим шляхом. Тунель ніколи не відкриває архів, не перевіряє інсталятор і не питає, що робитиме виконуваний файл, бо це не робота транспорту.

Шифрування під час передавання вирішує вужчу проблему: воно зберігає вміст читабельним лише для кінцевих точок цього з'єднання. Шкідливий файл залишається шкідливим файлом навіть після ідеально зашифрованої подорожі. Якщо сайт, що його розміщує, і є нападником, тунель захищає завантаження нападника від спостереження, а не вас від корисного навантаження.

Перевірте, куди прямує ваш трафік, перш ніж довіряти завантаженню. Сторінка, схожа на сайт постачальника, може бути рекламою або схожим доменом, і тунель передасть це так само вірно.

Де шкідливе програмне забезпечення щодо тунелю

Шкідливе програмне забезпечення має десь виконуватися. Інсталятор із трояном працює з вашими правами, і після запуску може читати файли до того, як застосунок їх зашифрує, або після того, як він їх розшифрує, що повністю виводить його з поля зору тунелю. Тунель може захистити подальший шлях витоку, але не може запобігти крадіжці, що сталася до того, як жоден пакет залишив пристрій.

Тому захист кінцевої точки існує як окремий контроль. Він перевіряє файли в стані спокою після завантаження, спостерігає за поведінкою процесів і блокує відомі злі індикатори, із звичним застереженням, що виявлення залежить від підписів, евристики, хмарних запитів і конфігурації. Жоден сканер не розпізнає все, тому резервні копії, гігієна облікових записів й обережні завантаження досі мають вагу.

Відкрийте список завантажень браузера й подивіться на справжнє ім'я та джерело файлу, перш ніж щось запускати. Подвійні розширення, архіви з виконуваним файлом і інсталятори, отримані через ланцюжок перенаправлень, — усе це видно в той момент, і ніщо з цього не вимагає від вас міркувань про криптографію.

Прочитайте список функцій продукту, який ви встановили

Деякі комплекти поєднують клієнт тунелю, фільтр шкідливих доменів і локальний сканер в одному інсталяторі. Це продукт, що комбінує інструменти, а не доказ, що один інструмент виконує роботу іншого. Прочитайте, який компонент що робить, перш ніж скасувати підписку або видалити сканер, який ще щось робить.

Фільтр доменів — це те, що найчастіше плутають із захистом кінцевої точки. Він блокує розв'язання імен для відомих злих доменів, що може зупинити завантаження до його початку, і він нічого не робить із файлом, який уже на диску. Локальний сканер читає файл; віддалений фільтр ніколи його не бачить. Звичайний профіль тунелю, імпортований у загальний клієнт, не містить жодної з цих функцій.

Перевірки дозволів розташовані на тому самому рівні, що й рішення про завантаження. Якщо інсталятор просить права адміністратора, щоб змінити налаштування мережі, цей запит варто прочитати, і те, що завантаження було зашифроване, не робить його безпечнішим.

Вирішіть конфлікт, не вимикаючи захист

Коли два продукти заважають один одному, визначте, який рівень не спрацював, перш ніж додавати виняток. Інсталятор у карантині, тунель, що не встановлюється, і відхилений сертифікат — це три різні події з трьома різними рішеннями, і лише третя має стосунок до криптографії.

Get-MpComputerStatus | Select-Object AntivirusEnabled, RealTimeProtectionEnabled
Get-MpThreatDetection | Select-Object -Last 5
Get-NetConnectionProfile | Select-Object Name, InterfaceAlias

Не давайте виняток цілій теці завантажень лише для того, щоб запустився один файл налаштування. Там, де машиною керують, адміністратор вирішує, чи заслуговує один перевірений компонент вузького винятку, і все, що ви послабили, відновлюється після завершення тесту. Якщо зміна не пояснила збій, поверніть її, а не залишайте пристрій слабшим, ніж знайшли.

Жоден із продуктів не замінює інший. Тунель опікується шляхом і адресою, яку бачить далека сторона, захист кінцевої точки опікується файлом і його поведінкою, а поширені запитання Microsoft про антивірусне та антишкідливе програмне забезпечення — розумна відправна точка для того, що має покривати другий.