Антивирусный модуль MaxPatrol EPP — архитектура, функциональность и сценарии реагирования

Долгое время в линейке продуктов Positive Technologies отсутствовало собственное решение класса EPP (Endpoint Protection Platform) — базовой антивирусной защиты, предназначенной для предотвращения массовых атак.

Компания фокусировалась на расследовании сложных инцидентов с помощью MaxPatrol EDR, однако эксперты отмечали, что около 70% атак по-прежнему осуществляется с использованием классического вредоносного ПО — вирусов, шифровальщиков, троянов и стилеров. Применять тяжелый EDR-агент для борьбы с массовыми угрозами нерационально как с технической, так и с экономической точки зрения.

Ситуация изменилась в феврале 2025 года, когда Positive Technologies приобрела долю в белорусской компании «ВирусБлокада» — разработчике известного антивирусного движка VBA32. Уже в октябре того же года на конференции Positive Security Day была представлена альфа-версия MaxPatrol EPP, а в декабре 2025 года продукт перешел в стадию коммерческой бета-версии.

Прежде чем переходить к функциональным особенностям, важно понять, на чем построен антивирусный движок.

Positive Technologies не стала создавать решение «с нуля», а использовала стратегию технологического ускорения.

Наследие VBA32 и собственная антивирусная лаборатория

Исходный код антивирусного движка был приобретен у компании «ВирусБлокада», которая занимается разработкой в этой сфере с середины 1990-х годов.
Однако MaxPatrol EPP — это не ребрендинг старого продукта, а глубокая интеграция технологий в современную архитектуру. Разработчики взяли ядро движка и органически объединили его с агентом MaxPatrol EDR, добавив централизованное управление, поддержку российских ОС и современные методы эмуляции.

С момента создания лаборатории количество записей в антивирусной базе выросло на 25%, что позволило обеспечить покрытие нового и ранее неизвестного инструментария злоумышленников.

Место в экосистеме: EPP + EDR на одном агенте

Одно из главных преимуществ — возможность использовать MaxPatrol EPP как самостоятельное решение или в связке с MaxPatrol EDR. В обоих случаях на конечное устройство устанавливается единый агент, что исключает конфликты и снижает нагрузку на ресурсы.

Логика разделения такова:

Компании могут начать с установки EPP для выполнения требований регуляторов (о чем мы поговорим ниже), а по мере роста зрелости SOC подключить модуль EDR без замены агента.

Поддерживаемые операционные системы

Альфа-версия продукта работала под управлением Windows и двух российских ОС — Astra Linux (Debian-семейство) и РЕД ОС (Red Hat-семейство). В планах разработчиков — расширение списка до 25 и более операционных систем, включая различные дистрибутивы Linux и их минорные версии.

Это критически важно для компаний, которые проходят импортозамещение и нуждаются в единой антивирусной защите на гетерогенной инфраструктуре.

Теперь перейдем к детальному разбору режимов сканирования, которые реализованы в MaxPatrol EPP. Все они управляются через единую консоль, а администратор может гибко настраивать исключения, глубину проверки и пороги нагрузки на систему.

Антивирусное сканирование в режиме реального времени

Это основа превентивной защиты. Агент MaxPatrol EPP перехватывает операции доступа к файлам в момент их записи на диск, копирования или запуска. Сканирование происходит синхронно: процесс блокируется до тех пор, пока антивирусный движок не вынесет вердикт.

Если файл признан вредоносным, антивирусный модуль блокирует действия с зараженным файлом и может лечить зараженные файлы (данные автоматические действия настраиваются в конфигурации модуля), а в центральную консоль отправляется детализированное событие. Такой подход позволяет остановить шифровальщика или троян еще до того, как он начнет свою деструктивную деятельность.

Антивирусное сканирование по расписанию

Администратор может настроить плановые проверки узлов — полные (все файлы на конечном устройстве и объекты в оперативной памяти) или быстрые (важные системные файлы, выбранные экспертами Positive Technologies).
В настройках указываются периодичность запуска проверки (каждую неделю или по месяцам), время в часовом поясе агента, исключения для проверок, а также максимальный размер проверяемых файлов.

Ключевая особенность — оптимизация потребления ресурсов. Быструю проверку можно запланировать на будние дни, а полную на выходные, чтобы проверка не влияла на работу бизнес-критичных приложений в дневное время.

Антивирусное сканирование по запросу из контекстного меню объекта

Этот сценарий предназначен для конечных пользователей и администраторов, которым нужно точечно проверить подозрительный файл или папку. Достаточно нажать правой кнопкой мыши на объект в проводнике Windows или файловом менеджере Linux и выбрать соответствующий пункт — запустится сканирование с выводом результата в виде уведомления.

Такая возможность особенно полезна для «продвинутых» пользователей, которые получили файл по почте или с внешнего носителя и хотят убедиться в его безопасности до открытия.

При массовом запуске проверки через контекстное меню система учитывает лимиты на размер файлов, чтобы избежать зависаний интерфейса.

Антивирусное сканирование объекта по запросу из интерфейса продукта

Через веб-интерфейс MaxPatrol EPP специалист по информационной безопасности может удаленно запустить проверку конкретного файла на любом хосте, где установлен агент.

Этот режим востребован при расследовании инцидентов: аналитик видит подозрительный артефакт (например, файл в TEMP-папке с необычным именем) и может инициировать его внеочередную проверку, не дожидаясь планового сканирования и не требуя действий от пользователя. Результат проверки отображается прямо в консоли, а при необходимости запускаются сценарии реагирования.

Антивирусное сканирование архивов

Антивирусный движок способен рекурсивно «разворачивать» и анализировать содержимое архивов популярных форматов (ARJ, CAB, RAR, ZIP, GZ, ISO, JAR, TAR, BZ2, XZ, ZIPX, ICE, LHA). Это важно, так как злоумышленники часто упаковывают вредоносные файлы в архивы, чтобы обойти поверхностные проверки на шлюзах.

Для поддержания производительности администратор может задать ограничения:

• максимальный размер проверяемых файлов;
• исключения для проверок.

Это защищает от атак типа «zip-бомба», когда небольшой архив при распаковке занимает терабайты дискового пространства и вызывает отказ в обслуживании.

Технологии обнаружения: сигнатурный анализ и эмуляция

Хотя это не отдельный режим сканирования, важно упомянуть, что в каждом из перечисленных режимов MaxPatrol EPP использует комбинацию методов:

Именно эмуляция позволяет обнаруживать «шифровальщиков», которые используют упаковщики и обфускацию для обхода классических сигнатур.

Несмотря на высокий уровень автоматизации, MaxPatrol EPP предоставляет аналитику полный контроль над процессом ликвидации угроз.
Ручное реагирование востребовано в случаях, когда автоматические действия могут нарушить работу критичного ПО, либо когда требуется углубленное расследование инцидента, выходящее за рамки типовых сценариев.

Перемещение в карантин и удаление файлов

Специалист по ИБ, работая в консоли управления, может вручную отправить копию подозрительного объекта в карантин — изолированное хранилище, где файл хранится в зашифрованном виде и не может быть запущен.

После помещения в карантин возможны следующие действия:

• Восстановление — если файл оказался ложноположительным срабатыванием.
• Окончательное удаление— если вердикт подтвердился.

Карантин также используется для сбора образцов ВПО: аналитик может забрать файл из карантина для последующей отправки в песочницу или проверки с помощью  YARA- правил.

Завершение процессов или дерева процессов

Если вредоносная активность уже началась (например, процесс шифрует файлы в реальном времени), ручное завершение процесса через консоль позволяет остановить атаку в моменте, не дожидаясь перезагрузки системы.

В консоли отображается дерево процессов, и аналитик может завершить не только сам вредоносный процесс, но и его родительские процессы (например, скрипт, запущенный из PowerShell).

Сетевая изоляция зараженного узла

При обнаружении сложной угрозы, которую антивирус не может просто «вылечить», администратор вручную может изолировать хост от сети. Это предотвращает горизонтальное перемещение атакующего и дает время на расследование без риска распространения инфекции на соседние узлы.

Изоляция может быть полной (отключаются все сетевые адаптеры) или частичной (сохраняется связь с сервером агентов и адресами из списка исключений).

При полной изоляции нужно указать период, на который узел будет изолирован. При частичной — можно указать период изоляции или выбрать вариант изоляции до снятия вручную.

Чтобы вручную снять частичную изоляцию необходимо выбрать агент и в блоке реагировать выбрать действие «снять частичную изоляцию».

Выполнение консольных команд на конечном устройстве через веб-интерфейс

Одной из наиболее востребованных функций ручного реагирования является возможность удаленного выполнения произвольных команд в командной строке (PowerShell или Bash) непосредственно через веб-интерфейс консоли управления MaxPatrol EPP.

Аналитик выбирает в интерфейсе зараженный или подозрительный хост, переходит в раздел запуска командной оболочки и вводит команду в специальное поле.

Агент на конечном устройстве получает команду, выполняет ее в контексте системы от имени системной учетной записи и возвращает вывод обратно в веб-интерфейс в реальном времени.

Запуск углубленного анализа в PT Sandbox

Если антивирус заподозрил угрозу, но не уверен в ней, аналитик может в один клик отправить подозрительный файл в PT Sandbox — изолированную среду для динамического анализа. Песочница выполнит файл, отследит все его действия (сетевые подключения, изменения в реестре, попытки самоуничтожения) и вернет вердикт.

Это ручное действие не нагружает конечное устройство, так как анализ происходит на мощностях песочницы, а не на агенте.

MaxPatrol EPP спроектирован так, чтобы минимизировать время простоя системы и человеческий фактор. Автоматическое реагирование основано на правилах, которые администратор может настраивать под свои бизнес-процессы.

Автоматическая блокировка, завершение процесса и удаление файла

Это «классический» сценарий работы антивируса. Если движок PT AV (на основе сигнатур, эмуляции или эвристики) определяет вредоносный код, он автоматически:

Это предотвращает шифрование файлов или кражу данных в момент атаки. Важно, что все эти действия происходят без участия человека, за доли секунды.

Сетевая изоляция узла

В отличие от ручной изоляции, администратор может настроить автоматическую изоляцию узла при обнаружении определенного типа угроз.

Например, если антивирус находит на устройстве программу-шифровальщик с высоким уровнем достоверности, агент может автоматически отключить сетевые интерфейсы, чтобы инфекция не распространилась на файловые серверы и соседние рабочие станции.

Правила изоляции гибкие: можно указать, при каких вердиктах (Malware, PUA, Suspicious) и для каких категорий устройств (серверы баз данных, рабочие станции бухгалтерии) срабатывает автоизоляция.

Автоматическая отправка телеметрии в EDR и SIEM

Данные о заблокированных угрозах не просто логируются локально, а автоматически передаются в движок корреляции MaxPatrol EDR (если он развернут) и в SIEM-систем.

Это позволяет:

• Выявлять цепочки атак, где один компонент был пойман антивирусом, а другой ведет себя подозрительно, но не является вредоносным с точки зрения сигнатур.
• Обогащать контекст инцидента данными о том, какие файлы были заблокированы и на каких хостах.
• Строить аналитику по эффективности антивирусной защиты в масштабах всей организации.

Автоматическое обновление антивирусных баз

Созданная антивирусная лаборатория Positive Technologies обеспечивает регулярный выпуск обновлений сигнатурных баз. Агенты MaxPatrol EPP автоматически загружают и применяют эти обновления, без необходимости перезагрузки системы или остановки сканирования.

Антивирусные базы на агенте обновляются инкрементально. Это позволяет снизить нагрузку на канал связи между сервером и агентами. Кроме того, на конечных устройствах реализовано оповещение об отсутствии и устаревании антивирусных баз.

Самозащита агента

Хотя это не реакция на угрозу, а превентивный механизм, важно упомянуть: MaxPatrol EPP включает встроенную систему самозащиты.

Она предотвращает остановку или удаление агента даже при наличии у злоумышленника административных прав или привилегированного доступа к системе. Это означает, что, получив контроль над устройством, атакующий не сможет просто «выключить антивирус» — ему придется сначала преодолеть драйверы защиты, что значительно усложняет атаку.

Для российских организаций, особенно работающих в сегменте КИИ, ГИС и сферы обработки персональных данных, выбор антивирусного решения — это не только техническая, но и юридическая задача. Максимально жесткие требования предъявляют ФСТЭК России, Банк России и регуляторы в области импортозамещения.

MaxPatrol EPP изначально разрабатывался с учетом этих требований: от архитектуры до планируемых сертификатов ФСТЭК по классам защиты.

Соответствие ФСТЭК и требованиям КИИ

Одна из ключевых причин, по которой компании внедряют MaxPatrol EPP, — необходимость соответствовать требованиям российских регуляторов.

Решение разрабатывается с учетом:

• Приказа ФСТЭК России № 239 (САВЗ — средства антивирусной защиты) для объектов КИИ 1-й категории.
• Приказа ФСТЭК России № 117 для обеспечения защиты ГИС.
• Стандарта ГОСТ Р 57 580 для финансового сектора.

Поскольку Positive Technologies намерена сертифицировать продукт во ФСТЭК, компании, использующие MaxPatrol EPP, смогут закрыть требование о наличии «сертифицированного антивируса от российского вендора», что особенно важно для госсектора и КИИ.

Бесплатный период для клиентов EDR

Компания Positive Technologies объявила, что в течение полугода с момента коммерческого запуска MaxPatrol EPP будет бесплатен для действующих клиентов MaxPatrol EDR.

Это позволяет организациям, уже использующим EDR для борьбы с целевыми атаками, «дополнить» защиту антивирусным модулем без дополнительных затрат.

Планы развития: контроль приложений и защита от шифровальщиков

На момент коммерческого запуска базовый функционал антивирусного сканирования уже реализован.

В ближайших планах разработки (на 2026 год и далее) — модули:

Запуск MaxPatrol EPP стал логичным завершением формирования полной линейки защиты конечных устройств от Positive Technologies.

Компания больше не предлагает клиентам дилемму «либо EDR против целевых атак, либо антивирус против массовых» — теперь оба уровня доступны в рамках единого агента и единой экосистемы.

Ключевые выводы:

Для компаний, которые только выстраивают свою защиту, MaxPatrol EPP становится надежным «первым рубежом», а для зрелых организаций — недостающим звеном в пазле комплексной безопасности конечных устройств.

Что дальше? Если ваш бизнес уже сталкивался с массовыми атаками или вы планируете проходить аттестацию по требованиям ФСТЭК — стоит рассмотреть пилотное внедрение MaxPatrol EPP.