El mundo de antivirus

viernes, 17 de febrero de 2017

En la edición «Quién toma la decisión sobre spam» mencionamos que el filtrado del correo a nivel de estaciones de trabajo no funciona siempre al 100%, aunque es muy eficaz (según nuestra valoración, Dr.Web detecta un 98% de mensajes no deseados). Lo que pasa es que el antispam funciona a base del conocimiento de analistas sobre spam. Y estos, a su vez, transmiten este conocimiento al Antispam Dr.Web instalado en el PC del usuario junto con las actualizaciones.

¿Se puede filtrar prácticamente el 100% del spam?

«El que se levanta temprano, recibe spam»: con mucha frecuencia la primera persona que llega al trabajo se infecta al abrir un correo matutino, y a los que llegan más tarde no les pasa nada porque reciben actualizaciones del antivirus que ya se había enterado de las nuevas amenazas. Lo mismo pasa con antispam: los usuarios reciben spam ya conocido para los analistas antes de recibir las actualizaciones.

Se puede deshacerse del spam recibido antes de actualizar el antivirus y no marcado como spam solo manualmente. Los cambios en el correo ya recibido con los medios del antivirus no es una tarea muy fácil y el escaneo de los mensajes ya recibidos no se realiza en los antivirus para la protección de las estaciones de trabajo porque puede borrar los mensajes abiertos de la pantalla.

¿Qué hacer? Se puede resolverlo, pero no siempre. Vamos a ver cómo funciona antispam en los servidores de correo, donde los mensajes se procesan antes de ser llegar a nuestro correo. Por supuesto, si su administrador de sistemas o proveedor de Internet tienen antispam instalado en sus servidores.

Lo primero que hay que saber siempre es que el antispam en el servidor de correo siempre es un complemento (un módulo conectado al servidor de correo). Siempre se instala en el servidor de correo ya existente. Esto está bien y mal a la vez. Está bien porque el producto para servidores suele ser más sencillo – por ejemplo, no debe resolver problemas de recepción y envío de mensajes que no cumplen con los estándares — es la tarea del servidor de correo.

Vamos a ver un ejemplo más sencillo. Muchas veces habíamos instalado complementos para nuestro navegador que dejaban de funcionar en la nueva versión del mismo. En mi PC esta situación surge cada semana, se trata del complemento Sharebutton para Pinterest (aquí puede consultarse la página de Dr.Web en Pinterest).

En caso de servidores de correo, pasa lo mismo. Sin distinción del servidor de correo usado – MS Exchange, Domino, Postfix (son muchos) – los módulos instalados pueden trabajar con servidores de correo solo por reglas (interfaces de programación) de servidores de correo. Y estas reglas pueden cambiarse, no siempre para lo mejor.

Vamos a ver la documentación de Dr.Web para MS Exchange. ¿Por qué este producto? Solo porque es popular entre los clientes de Doctor Web.

Cabe destacar que para las tres opciones de integración se indican varios listados de versiones del servidor de correo – y es posible que en la siguiente versión el modo de integración pueda ser cambiado.

Pero vamos a volver a la funcionalidad de las soluciones antivirus para servidores de correo. La interfaz de programación restringe sus posibilidades. Sin distinción del vendedor que ofrece la solución para MS Exchange, la funcionalidad básica será la misma. El servidor de correo recibe el mensaje, realiza las verificaciones internas para comprobar la conformidad con los estándares determinados y lo pasa al complemento. El complemento comprueba los datos recibidos y decide si el mensaje recibido es spam, si contiene virus. Al recibir la respuesta, el servidor de correo, en función de la configuración existente, realiza algunas acciones con el mensaje (lo reenvía por dirección determinada, lo borra, notifica al remitente, etc

Las ventajas de uso del antispam en el servidor de correo son evidentes:

• El escaneo se realiza más rápido
• Los recursos de estaciones de trabajo no se consumen
• Permite reducir la posibilidad de una situación cuando el usuario puede hacer clic sobre un enlace e infectar su equipo./li>

Peor, así mismo, por causa de restricciones de servidores de correo, las posibilidades de todos los complementos se restringen. Así, por ejemplo, en caso de MS Exchange la mayoría de las soluciones pueden filtrar el tráfico de correo en busca de programas nocivos y spam, usando un conjunto de tecnologías muy restringido.

«Resulta que el servidor de correo por sus posibilidades de filtrado de spam es similar a una estación de trabajo. En este caso, ¿para qué se necesita?» — así piensan algunos administradores y no usan antispam ni antivirus en sus servidores de correo.

Se equivocan BASTANTE al opinar así sobre el sistema de filtrado del tráfico de correo. Pero es otra historia.