Веб-антивирус — модуль проактивной защиты, регулярно сканирующий файлы сайта на предмет изменений и подозрительного кода. Разберём, что он реально делает, когда его стоит включать и на что он не способен, чтобы не полагаться на него как на единственную меру защиты.
Что сканирует веб-антивирус
Модуль периодически проверяет файлы сайта на совпадение с сигнатурами известного вредоносного кода (веб-шеллы, бэкдоры, внедрённые скрипты для рассылки спама или майнинга) и фиксирует изменения файлов относительно предыдущего сканирования — появление нового файла или изменение существующего в неожиданном месте помечается как повод для проверки администратором.
Расписание сканирования
Периодичность сканирования настраивается в разделе Проактивная защита → Веб-антивирус — сканирование запускается либо по расписанию агентом (требует настроенного cron, как и остальные агенты Битрикса), либо вручную по запросу администратора. Для проектов с высоким риском (публично доступная форма загрузки файлов, множество сторонних модулей) чаще полезно более частое расписание, чем для простого сайта-визитки с минимальной поверхностью атаки.
Нужна помощь с Битрикс?
Реакция на найденную угрозу
При обнаружении подозрительного файла модуль может уведомить администратора и, в зависимости от настроек, автоматически поместить файл в карантин — перемещение с сохранением возможности восстановления, если находка окажется ложным срабатыванием. Автоматическое немедленное удаление без карантина рискованно: ложное срабатывание на легитимный, но необычно написанный код проекта может сломать функциональность сайта без возможности быстрого отката.
Ограничения: не панацея от всех угроз
Веб-антивирус эффективен против известных сигнатур вредоносного кода, но не заменяет полноценную защиту от уязвимостей в самом приложении — SQL-инъекций, XSS, небезопасной обработки загружаемых файлов. Он обнаруживает уже произошедшую компрометацию файловой системы постфактум, а не предотвращает саму атаку заранее — для этого нужны отдельные меры вроде своевременных обновлений, проактивной защиты от инъекций и корректных прав доступа к файлам.
Ложные срабатывания на кастомный код
Нестандартный, но легитимный код проекта (особенно код, динамически формирующий или выполняющий строки, что иногда используется в легитимных сценариях, хоть и не рекомендуется) может ошибочно совпасть с сигнатурой вредоносного кода — такая находка требует ручной проверки администратором, а не автоматического удаления без разбора, поскольку не каждое срабатывание сканера реально означает компрометацию.
Влияние на производительность сервера
Полное сканирование файловой структуры сайта, особенно
на проектах с большим объёмом файлов в каталоге upload/,
создаёт заметную нагрузку на сервер во время выполнения —
расписание сканирования стоит настраивать на периоды минимальной
посещаемости сайта, а не в часы пиковой нагрузки, чтобы не
создавать дополнительную конкуренцию за ресурсы сервера
с обслуживанием реальных посетителей.
Веб-антивирус как часть комплексной защиты
Полноценная защита сайта складывается из нескольких мер — своевременных обновлений системы (разобранных отдельно), правильных прав доступа к файлам, защиты от перебора паролей, а веб-антивирус — дополнительный слой, обнаруживающий уже свершившуюся компрометацию файлов постфактум. Ни одна из этих мер не заменяет остальные — полагаться исключительно на веб-антивирус как единственную защиту сайта означает игнорировать превентивные меры, которые предотвращают саму атаку, а не только обнаруживают её последствия.
Частые ошибки
- Веб-антивирус считается достаточной защитой сам по себе. Не заменяет своевременные обновления и защиту от уязвимостей на уровне приложения.
- Найденный файл удаляется автоматически без карантина. Риск сломать легитимную, но нестандартно написанную функциональность при ложном срабатывании.
- Расписание сканирования установлено на часы пиковой посещаемости. Дополнительная нагрузка накладывается на обслуживание реальных посетителей.
Итог
Веб-антивирус обнаруживает уже произошедшие изменения файлов и известный вредоносный код постфактум — полезный дополнительный слой защиты, но не замена превентивным мерам вроде своевременных обновлений и защиты от уязвимостей на уровне приложения. Настройка карантина вместо автоматического удаления и расписание сканирования в часы низкой посещаемости снижают риск как ложных срабатываний, так и лишней нагрузки на сервер.