Por que fazer um alinhamento com seu antivírus é uma etapa importante da instalação do nosso produto?

Já tem alguns anos que os antivírus evoluíram para sair da detecção de binários evasivos previamente cadastrados para um controle mais geral partindo de analises comportamentais, deixando para o cliente a responsabilidade de autorizar ou não programas que fazem uso de determinados recursos do sistema operacional, existem “apis” que todos os desenvolvedores utilizam como por exemplo ler o conteúdo digitado, analisar a atividade dos programas rodados no sistema, quem está acessando qual arquivo, entre tantas outras, essas “apis” podem tanto ser usadas pelos componentes originais do sistema operacional quanto software de terceiros, e agora todos esses acessos específicos são monitorados pelos antivírus, no qual quando feitos são considerados evasivos e geram avisos ou até mesmo bloqueios por parte dos antivírus.

Pela natureza da nossa solução, ela faz uso de todas essas apis de monitoramento, pois o objetivo do nosso produto é levar de forma analítica e documental tudo que acontece no computador, tanto a nível de hardware, software e uso do usuário, essas análises são usadas tanto para medir a produtividade dos usuários, quando analisar a segurança do sistema.

É importante manter uma harmonia entre a nossa solução e outras soluções instaladas com finalidade de proteger o sistema, portanto ambas as soluções devem trabalhar em conjunto, para isso basta declarar dentro do antivírus essa relação harmoniosa e complementar.

Por isso nos mantemos uma parceria com os principais antivírus do mercado, tentando reduzir essas detecções que são caracterizadas como “falsos positivos” adicionado nossa solução em listas brancas, porém nem todos os antivírus têm essa possibilidade.

Com isso caso você tenha problema ao instalar o nosso agente, a forma mais segura de instalar em alguns casos é pausar o antivírus e fazer a instalação, e dependendo do antivírus pode ser preciso adicionar nossos agentes nas listas de exclusão do seu antivírus, processo que apenas o usuário pode fazer.

Nossa solução existe a mais de 20 anos, e hoje está instalada em mais de 100 milhões de computadores ao redor do mundo, antivírus corporativos pode ser criado exclusões e adições de “hash” de forma global, evitando qualquer problema na instalação de toda a rede, mas antivírus pessoais que possuem controle local, dependem da intervenção do usuário.

Cenários negativos que podem surgir na instalação

1. Antívirus impede que nosso “agente” seja instalado: Durante o processo de instalação na última etapa vai ser sinalizado que não foi possível instalar, o antivírus bloqueia os arquivos e os remove logo que são gravados em disco, nenhum impacto ao computador, para resolver, pause o antivírus antes da instalação e após retorno o antivírus;
2. Agente instalou, mas em uma atualização do antivírus ele removeu o agente: você precisa instalar novamente o agente, isso pode ser visualizado dentro dos logs do antivírus bem como dentro da nossa solução vai ser sinalizado que aquele agente não se comunica com o servidor a x dias;
3. Agente instalou mas não consegue enviar dados: o antivírus pode estar bloqueando as portas usadas para o agente se comunicar com o servidor, para resolver isso é importante dizer ao antivírus que a solução pode acessar os recursos do sistema, cada antivírus tem uma forma de fazer isso, mas normalmente basta selecionar o binário dizendo que ele não deve ser bloqueado e monitorado (wwtask.exe e awtask.exe) e todo o conteúdo da pasta (“Instalação Windows”\NetworkClient).

Glossário

• Apis – Conjunto de comandos internos do sistema que dão acesso a recursos, normalmente utilizados por qualquer desenvolvedor de sistema;
• Hash = Número único para identificar um binário, cada binário/arquivo do sistema tem um hash diferente;
• Instalação Windows – Deve ser substituído pelo caminho da sua instalação do Windows, que normalmente é algo como “C:\Windows”;
• Falso positivo – é quando o antivírus erra na detecção, acusando de forma errônea que um determinado arquivo é um vírus ou trojan que nada tem a ver com ele, baseado no comportamento ele associa uma ação com outro caso reportado, hoje em dia com os antivírus rodando muito apertados no sistema, isso é bem comum, ajuda se for reportado aos antivírus a detecção errônea, que podem ser corrigidas em uma próxima versão;