Utilización Programa Antivirus y Consejos

Se presenta una lista de recomendaciones para combatir de forma eficaz la amenaza de los virus y otros programas dañinos:

1. Configuración de los cortafuegos para filtrar puertos que utilizan determinados troyanos y gusanos.
2. Configuración robusta de cada equipo informático: desactivación de servicios innecesarios, cambios de contraseñas por defecto del fabricante, etc.
3. Utilización de un Programa Antivirus permanente actualizado, que se encuentre siempre activo en el equipo informático. Para ello, conviene adquirir este producto a una empresa que ofrezca un buen soporte técnico a sus clientes, con servicios de alerta y una respuesta urgente ante nuevos virus.
4. Comprobación de ficheros y de mensajes de correo electrónico antes de abrirlos: en este sentido, conviene recordar que hoy en día cualquier mensaje de correo puede contener código dañino, aunque no incluya ficheros adjuntos.
5. Bloqueo de los mensajes de correo que incluyan ficheros ejecutables con determinadas extensiones (como “.txt.exe” o “.htm.exe”), ubicándolos en una carpeta que actúe a modo de “cuarentena”, para que puedan ser revisados posteriormente por los responsables de la red informática.
6. Comprobación de pendrives y otros dispositivos de almacenamiento que entren y salgan de cada equipo informático.
7. Análisis de los contenidos de los ficheros comprimidos.
8. Revisión de las copias de seguridad, ya que éstas podrían incluir ficheros infectados. Así, después de haber sufrido un ataque de virus u otros programas dañinos, convendría realizar nuevas copias de seguridad, una vez que los sistemas hayan sido desinfectados.
9. Detección de “rootkits” mediante programas específicos, como CHKROOTKIT, que se encarga de comprobar la integridad de los principales ficheros del sistema
10. Los usuarios deberían ser instruidos para desconfiar de los mensajes de correo inesperados o que provengan de una fuente poco habitual.
11. Evitar la descarga de programas de páginas web poco fiables. Asimismo, se deben rechazar ficheros no solicitados en chats, grupos de noticias o foros. También conviene comprobar la integridad del software que se descarga de Internet, mediante algoritmos de digestión como SHA o MD5, que generan la huella digital del fichero en cuestión.
12. Mantenerse alerta ante acciones sospechosas de posibles virus: ralentización del sistema, nuevas entradas en la lista de tareas del sistema operativo, aumento del tamaño de los archivos, aviso de activación de macros en documentos de Word u hojas de cálculo, etc.
13. En una red informática conviene actuar con rapidez para identificar y aislar los equipos infectados, ya que la propagación de los virus puede afectar a muchos más equipos en poco tiempo, provocando una auténtica “epidemia de red”. Por este motivo, convendría adoptar las siguientes medidas en caso de infección:

• Revisión de todos los equipos mediante el software antivirus.
• Revisión de los registros de “logs” de los servidores, cortafuegos, y Sistemas de Detección de Intrusos (IDS) para detectar qué equipos pueden estar realizando actividades sospechosas en la red.
• Escaneado de puertos para detectar posibles troyanos que se hayan podido instalar en equipos de la red.
• Prestar especial atención a los equipos que han sido desconectados temporalmente o que hayan sido retirados de la red por sus usuarios: éste podría ser el caso, por ejemplo, de un equipo portátil infectado con el virus que se lleva un empleado para su casa o para otra oficina, y que al regresar a la red de la organización podría volver a reproducir la infección.
• Instalación de dispositivos hardware especializados en la detección, seguimiento y control de “epidemias de red”.

4. Limitación de la instalación de programas en los equipos del entorno corporativo: una organización necesita utilizar software corporativo, no cualquier programa que los usuarios quieran instalar en sus equipe trabajo (descargándolos de Internet o copiándolos desde el CD-ROM una revista, por citar dos de los casos más habituales).
5. Formación y sensibilización de los usuarios, quienes deberían aplicar: medidas de seguridad adecuadas en sus equipos domésticos para reducir el riesgo de introducir nuevos virus en los equipos de trabajo.
6. Mantenimiento en “cuarentena” de todos los ficheros sospechosos. Para ello, se podría utilizar un equipo aislado, en el que se puedan realizar las comprobaciones de ficheros u otros soportes (pendrives, CDs…) que pudieran incluir algún contenido dañino. Asimismo, este equipo podría ser utilizado para la instalación de copias de programas de dudosa procedencia, a fin de estudiar su comportamiento en este sistema antes de autorizar su instalación en otros equipos de la red de la organización.
7. Utilización de certificados digitales en los programas y contenidos activos (macros de documentos, scripts en páginas web). Con la utilización de estos certificados es posible firmar digitalmente las aplicaciones corporativas de un sistema, impidiendo la ejecución de software no corporativo o de software corporativo que haya podido ser modificado. Así, por ejemplo, la tecnología “Authenticode” de Microsoft (para Windows 2000/XP) permite firmar digitalmente los distintos programas y aplicaciones:

• Drivers que tienen que estar verificados por Microsoft.
• Documentos de Microsoft Office con macros certificadas.
• Componentes ActiveX que tienen que estar firmados para ser instalados desde Internet, etcétera.

Para combatir la amenaza que representan los virus y otros programas dañinos pasa por la utilización de un programa antivirus convenientemente actualizado y configurado.

Este programa antivirus debería estar instalado en todos los equipos y estaciones de trabajo dentro de la red de la organización, para poder prevenir de este modo las vías tradicionales de contagio (inserción de pendrives o CDs con ficheros infectados), teniendo en cuenta, además, que el usuario final es vulnerable frente a engaños y ataques de “Ingeniería Social”.

Por otra parte, las empresas suelen adoptar también soluciones perimetrales, mediante la instalación de un programa antivirus en un servidor proxy que controle la conexión corporativa a Internet, en un servidor de correo o en un dispositivo que filtre todo el tráfico entrante y saliente de la red corporativa.

Por supuesto, la eficacia de estos programas antivirus dependerá en buena medida de una actualización permanente con los ficheros de “firmas” de nuevos virus, así como del soporte proporcionado por la empresa desarrolladora del programa instalado.

En el funcionamiento de un programa antivirus se distinguen dos bloques o módulos principales:

• Módulo de Control
• Módulo de Respuesta

Módulo de Control, encargado de las siguientes funciones:

• Seguimiento de la actividad en el sistema informático.
• Protección preventiva del sistema.
• Detección de códigos malignos.
• Configuración del funcionamiento del programa antivirus.

Módulo de Respuesta, responsable de las siguientes tareas:

• Generación de alarmas y registro de incidencias.
• Bloqueo de servicios y programas sospechosos.
• Desinfección de programas y documentos infectados (“file cleaning”).

Por otra parte, los programas antivirus suelen combinar distintas estrategias de detección de los códigos malignos:

Escáner a demanda basado en el reconocimiento de “firmas” (secuencias de código) de códigos malignos, utilizando para ello una base de datos de virus conocidos. El problema de esta alternativa es que el continuo crecimiento de la base de datos de virus (en algunos casos ya supera las 100.000 firmas de códigos malignos) puede afectar al rendimiento del sistema, ya que el antivirus consume cada vez mayores recursos, a medida que se va actualizando su base de datos.

Monitor residente, que permite ofrecer una protección en tiempo real, analizando cualquier archivo antes de que sea utilizado (copiar, ejecutar, instalar) o al ser descargado de Internet. Sin embargo, esta alternativa presenta el inconveniente de una mayor carga del sistema, así como de ocasionar posibles interferencias con otros servicios instalados, ya que el antivirus se encarga de interceptar y monitorizar todas las llamadas al sistema y la gestión de interrupciones en el equipo informático.

Análisis heurístico (basado en la “experiencia”), que permite detectar virus nuevos al reconocer código con un comportamiento sospechoso. En este caso, el problema podrían venir a consecuencia de la aparición de falsos positivos, es decir, de ficheros legítimos que puedan ser detectados como virus por el programa antivirus.

Comprobación de la integridad de los archivos del sistema (estrategia de “integrity checking”, también conocida como “vacunación” de ficheros): en este caso el programa antivirus se encarga de generar una base de datos con una suma de control o código de integridad de cada archivo del sistema, para de este modo poder detectar y alertar al usuario de cualquier cambio en el tamaño de los archivos. Sin embargo, hay que tener en cuenta que algunos virus ya tienen en cuenta esta posibilidad y tratan de engañar al sistema ofreciendo información falsa sobre el tamaño y el código de comprobación del fichero infectado.

Análisis del comportamiento, tratando de detectar todas las acciones sospechosas o potencialmente peligrosas que se realicen en el sistema informático: escribir en el sector de arranque del disco duro, modificar un fichero ejecutable…

En los últimos años se han presentado en el mercado distintas soluciones globales contra las amenazas de seguridad y los códigos dañinos, constituidas por dispositivos que integran varios servicios como el programa antivirus, el filtrado de contenidos, un Sistema de Detección de Intrusiones (IDS), un cortafuegos para la seguridad perimetral y un servidor VPN para crear túneles seguros y habilitar las conexiones remotas.

Además, estos dispositivos (“appliances”), que se instalan en el punto de conexión de la red corporativa de la empresa con el exterior, cuentan con un servicio de actualización y mantenimiento remoto por parte del fabricante. Entre ellos podríamos citar Symantec Gateway Security, Panda GateDefender, Mcafee Foundstone o TrendMicro IWSA (InterScan Web Security Appliance).

Estos dispositivos de seguridad integrados (“todo-en-uno”) incorporan, en sus últimas versiones, avanzados filtros de contenidos, protección contra programas espía (“spyware”), filtros “anti-spam, protección contra intentos de estafas como el “phishing”, protección proactiva contra agujeros de seguridad detectados en navegadores y lectores de correo electrónico, etcétera.

Además, ante la proliferación alcanzada por los distintos tipos de virus y códigos maliciosos y su rápida propagación a través de las redes de ordenadores, también se han presentado aplicaciones antivirus específicas para otros dispositivos y equipos informáticos, como podrían ser los cajeros automáticos, teléfonos móviles o electrodomésticos.

Las empresas especializadas en la creación de antivirus y otras herramientas para detectar y erradicar los códigos dañinos constituyeron en mayo de 2008 la AMTSO (Anti Malware Testing Standars Organization), con el objetivo de crear un foro para la discusión de temas relacionados con los test de productos “anti-malware”, así como para facilitar el desarrollo de estándares objetivos y guías de buenas prácticas para los test de productos “anti-malware”.

Estrategias de detección de los códigos malignos:

• Escanear a demanda basado en el reconocimiento de firmas (secuencias de código) de códigos malignos, utilizando para ello una base de datos de virus conocidos.
• Monitor residente, que permite ofrecer una protección en tiempo real, analizando cualquier archivo antes de que sea utilizado.
• Análisis heurístico (basado en la experiencia), que permite detectar virus nuevos al reconocer código con un comportamiento sospechoso.
• Comprobación de la integridad de los archivos de sistema (estrategia de «integrity checking», también conocida como «vacunación de ficheros».
• Análisis de comportamiento, tratando de detectar todas las acciones sospechosas o potencialmente peligrosas que se realicen en el sistema informático.