САНТИ: открытый бесплатный антивирус для сайтов
Игорь Митрофанов, создатель веб-антивируса САНТИ, рассказал ЦП о том, в чем заключается ценность его разработки, почему система доступна бесплатно и чем она отличается от традиционных решений.
[caption id="" align="alignnone" width="1280"]
Игорь Митрофанов[/caption]
Алекс Пеганов: Игорь, привет, можете в двух словах рассказать - для кого этот продукт? И как он функционирует?
Игорь Митрофанов: Добрый день, да конечно, сейчас разложу всё по полочкам. САНТИ — антивирус для сайтов, который устанавливается на сайт и мониторит целостность его данных. Этот проект создан прежде всего для сайтов и компаний, которые не могут себе позволить содержать постоянного сотрудника для мониторинга сайтов и поддержки его безопасности: это сайты-визитки большинства компаний, любительские блоги, различные тематические сайты и т.д.
Многие из этих сайтов создаются на бесплатных CMS, и годами не обновляются, в то время как уязвимость таких сайтов растет, и их начинают периодически взламывать.
АП: Расскажите о механизме работы. Как он проверяет "целостность данных"? Для инсталляции нужно внести изменения в cron, и тогда ваши php-скрипты будут запускаться раз в 10 минут и проверять - не произошло ли чего-то с файлами? Можете немного поподробнее?
ИМ: Всё ёще проще, САНТИ создавался так, чтобы человек, не имеющий глубоких технических познаний, смог его установить и использовать (настройку CRON я отношу к таковым, установка в БД - тоже сложно), и второе - САНТИ не вмешивается в работу сайта, соответственно, и не пытается перехватывать sql-инъекции, - возможно, в более профессиональных версиях появится эта функция.
САНТИ - набор скриптов, который надо просто записать на сайт в любую свою папку, дальше пройти диалог простых настроек и пользоваться. Первое: автопилоты - это инструменты для автоматического мониторинга - изменений файлов, изменений в БД, состояния в поисковой системе, отношения к сайту со стороны антивирусов. Чтобы включить автопилот, надо просто указать, как часто делать проверку, и щёлкнуть тумблер "включить". Никакой крон настраивать не надо - мы используем свой крон для автозапуска. Тем, кто захочет настроить свой крон, будет предоставлена такая возможность уже в следующей редакции.
САНТИ не перехватывает попытки взлома. Методов на сегодня тысячи, в том числе и SQL инъекции и банальная кража пароля от FTP, от них не защититься, если не провести полный аудит безопасности сайта. САНТИ позволяет узнать о взломе и вовремя починить.
Зачастую сайты месяцам заражены - посетители страдают от вирусов, сайт попадает в бан поисковиков, в бан хостера за рассылку спама. С САНТИ это исключается. Автопилот проверки целостности данных сканирует все файлы сайта и сравнивает их с прошлым состоянием по размеру файла, контрольной сумме, дате изменения, правам - если что-то отличается, он уведомляет пользователя об изменении и говорит точно, в каком файле это произошло.
АП: Как вы решаете такой тонкий момент - есть сайт с миллионом посещений в месяц, например, мы. И есть никому не известный антивирус САНТИ. Что может заставить меня поставить себе кучу каких-то неизвестных скриптов? Без детального код-ревью или без хорошей репутации вас не поставит ни один бизнес?
ИМ: Да, я это понимаю и активно формирую вокруг проекта команду и сообщество. Цель - сделать решение достойным и безопасным, получить максимум отзывов и надежных партнеров, всё идет удачно. В ближайших планах - подготовить сборку для Битрикс Маркета, их аудит скриптов перед публикацией в Маркет достаточно тщательный, и при положительном результате будет служить подтверждением качества САНТИ. Второе: большинство веб-мастеров, обслуживающих вышеупомянутые сайты, сегодня используют вместо одного скрипта десяток сторонних скриптов, которые далеки от совершенства, но нет лучше.
САНТИ приближается к версии 1.0, и никакое код-ревью нас не будет пугать. Свежая новость — проект пустили в BizSpark, правда, ещё я не понял, что с этим делать
АП: А есть что-то у традиционных компаний-производителей антивирусов? Касперский, Симантек итд?
ИМ: Нет, их рынок - это персональные компьютеры или серверы, они лишь блокируют доступ к уже взломанным сайтам, спустя месяцы после заражения. Тем самым сайты теряют из-за них драгоценный трафик. Самому сайту они ничем помочь не могут, тем более бесплатно.
АП: Вы хотите сказать, что вы первый придумали какое-то решение для защиты вебмастеров от взлома и других хаков? Не очень верится, если честно.
ИМ: Нет, я не первый. В среде вебмастеров вертится сотня скриптиков, которые так или иначе помогают им держать живыми сайты. И я такие писал и публиковал у себя в блоге, ими пользуются, они в сумме помогают так же, как и САНТИ, — но это огромный пакет разных скриптиков, иначе их не назвать. Идеи витают в воздухе, натыкался в текущем месяце на концептуально похожее решение, появившееся месяц назад, только в нем реализовано 20% задуманного в САНТИ, и он уже сегодня стоит денег за использование
САНТИ объединил в одном много видов и способов защиты сайта, и в списке на реализацию ещё десяток: это и поиск по сигнатурам, и проверка слива трафика на сторонние сайты, и автооткат файлов и т.д. и т.п. Также в антивирусе собраны инструменты для вебмастеров, которые будут полезны при ремонте и настройке сайта - это и блокировка сайта в один клик, и новости уязвимостей с разрешения securitylab, и конструкторы ftpaccess файлов, генераторы паролей и т.д.
АП: Я не нашел на сайте цены. Это все бесплатно, что ли?
ИМ: Да.
АП: А в чем для вас интерес? Логично же, что если вы не зарабатываете на этом, то вы внедряете какие-то вредоносные скрипты. Другого объяснения просто нет.
ИМ: Монетизация возможна и будет, это будет фримиум. Первое - в САНТИ внедрен он-лайн консультант, консалтинг и помощь специалиста в лечении сайта будут умеренно платными. САНТИ умеет уведомлять по СМС и E-mail, СМС - платные, САНТИ умеет работать с бекапингом сайта на сервер и в различные облака (Dropbox, Ya.Disk и т.д.) - облака сверх бесплатного тарифа платные. Также планируется в будущем создать сборки для хостинг-провайдеров, они будут платными. Но основной функционал антивируса и сам антивирус для пользователей платным не станет.
АП: Понял. А есть какие-то примеры использования твоего скрипта на крупных сайтах? Или пользователи сейчас будут играть роль бета-тестеров?
ИМ: Сейчас идет бета-тестирование, крупные сайты в пример не приведу, т.к. они всё-таки не являются целевой для сегодняшнего решения аудиторией, взламывают в основном тысячи мелких сайтов с посещалкой до 30k в месяц, их легче поломать. Установок на небольшие сайты много, но я сомневаюсь, что они хотели бы что бы я показывал их. Что касается интерфейса - его весь можно прям сейчас пощелкать тут.
АП: У вас написано, что вы ищете $60к - на что вам эти деньги? Вообще, можете про ваш опыт рассказать?
ИМ: Активного поиска инвестиций не ведем, и на Спарке эта сумма появилась недавно, когда я изучал функционал сайта. Однако, сумма не из воздуха, на сегодня есть острая необходимость в команде разработчиков в помощь мне, в офисе, в локализаторах, сумма сложилась из необходимых затрат для получения САНТИ версии 1.0 - мультиязычной системы со всеми задуманными плюшками. Опыта запуска подобных стартапов не было, всю жизнь провел в среде разработки сайтов заказчикам, на аудите безопасности и руководстве производственными отделами и отделами по развитию. В настоящее время совладелец и технический директор Веб-студии в городе Саратов.
АП: А можете еще немного о себе рассказать - что у вас за бэкграунд?
ИМ: За спиной у меня 15 лет разработки десктопного софта и интернет-сайтов, можно сказать, с детства, до 19 лет параллельно увлечениям и учебе администировал сервера университета, с 19 ти лет занялся бизнесом по созданию сайтов и разработке ПО, одновременно развивал до 2010 года компанию по спутниковой телефонии и интернету. От избытка свободного времени 2 года преподавал информационные технологии в техническом университете.
В 2010 году сделал паузу в бизнесе на перезагрузку в поисках идей и команды. Работал руководителем отдела развития и автоматизации в крупной российской компании по выдаче ЭЦП, ушел оттуда с двумя замдиректорами и открыл в партнерстве с ними компанию по разработке и сопровождению сайтов, чем по сей день и занимаюсь.
АП: Понажимал там, не смог понять - есть ли такая штука, как бэкап в клауд?
ИМ: Мы сейчас это делаем вручную и это конечно неудобно. Да есть, на сегодня автоматический бекапинг файлов сайта поддерживается для выгрузки на Яндекс.Диск в виде архива файлов, из фидбека от пользователей САНТИ вынес в ToDo ещё создание выгрузки бекапа на Dropbox, Google Drive. В ближайшем релизе САНТИ появится бекап и у БД сайта.
АП: В целом я думаю, что у вас все получится. Мне кажется, что это хорошая штука, но ее конечно вам нужно переупаковать. Плюс, по-моему такого хватает на Западе.
ИМ: Переупаковка думаю произойдет, когда пойму, как. Над проектом САНТИ тружусь сам, так как не нашел поддержки на проект среди партнеров.
[caption id="" align="alignnone" width="1280"]
Игорь Митрофанов[/caption]Алекс Пеганов: Игорь, привет, можете в двух словах рассказать - для кого этот продукт? И как он функционирует?
Игорь Митрофанов: Добрый день, да конечно, сейчас разложу всё по полочкам. САНТИ — антивирус для сайтов, который устанавливается на сайт и мониторит целостность его данных. Этот проект создан прежде всего для сайтов и компаний, которые не могут себе позволить содержать постоянного сотрудника для мониторинга сайтов и поддержки его безопасности: это сайты-визитки большинства компаний, любительские блоги, различные тематические сайты и т.д.
Многие из этих сайтов создаются на бесплатных CMS, и годами не обновляются, в то время как уязвимость таких сайтов растет, и их начинают периодически взламывать.
АП: Расскажите о механизме работы. Как он проверяет "целостность данных"? Для инсталляции нужно внести изменения в cron, и тогда ваши php-скрипты будут запускаться раз в 10 минут и проверять - не произошло ли чего-то с файлами? Можете немного поподробнее?
ИМ: Всё ёще проще, САНТИ создавался так, чтобы человек, не имеющий глубоких технических познаний, смог его установить и использовать (настройку CRON я отношу к таковым, установка в БД - тоже сложно), и второе - САНТИ не вмешивается в работу сайта, соответственно, и не пытается перехватывать sql-инъекции, - возможно, в более профессиональных версиях появится эта функция.
САНТИ - набор скриптов, который надо просто записать на сайт в любую свою папку, дальше пройти диалог простых настроек и пользоваться. Первое: автопилоты - это инструменты для автоматического мониторинга - изменений файлов, изменений в БД, состояния в поисковой системе, отношения к сайту со стороны антивирусов. Чтобы включить автопилот, надо просто указать, как часто делать проверку, и щёлкнуть тумблер "включить". Никакой крон настраивать не надо - мы используем свой крон для автозапуска. Тем, кто захочет настроить свой крон, будет предоставлена такая возможность уже в следующей редакции.
САНТИ не перехватывает попытки взлома. Методов на сегодня тысячи, в том числе и SQL инъекции и банальная кража пароля от FTP, от них не защититься, если не провести полный аудит безопасности сайта. САНТИ позволяет узнать о взломе и вовремя починить.
Зачастую сайты месяцам заражены - посетители страдают от вирусов, сайт попадает в бан поисковиков, в бан хостера за рассылку спама. С САНТИ это исключается. Автопилот проверки целостности данных сканирует все файлы сайта и сравнивает их с прошлым состоянием по размеру файла, контрольной сумме, дате изменения, правам - если что-то отличается, он уведомляет пользователя об изменении и говорит точно, в каком файле это произошло.
АП: Как вы решаете такой тонкий момент - есть сайт с миллионом посещений в месяц, например, мы. И есть никому не известный антивирус САНТИ. Что может заставить меня поставить себе кучу каких-то неизвестных скриптов? Без детального код-ревью или без хорошей репутации вас не поставит ни один бизнес?
ИМ: Да, я это понимаю и активно формирую вокруг проекта команду и сообщество. Цель - сделать решение достойным и безопасным, получить максимум отзывов и надежных партнеров, всё идет удачно. В ближайших планах - подготовить сборку для Битрикс Маркета, их аудит скриптов перед публикацией в Маркет достаточно тщательный, и при положительном результате будет служить подтверждением качества САНТИ. Второе: большинство веб-мастеров, обслуживающих вышеупомянутые сайты, сегодня используют вместо одного скрипта десяток сторонних скриптов, которые далеки от совершенства, но нет лучше.
САНТИ приближается к версии 1.0, и никакое код-ревью нас не будет пугать. Свежая новость — проект пустили в BizSpark, правда, ещё я не понял, что с этим делать
АП: А есть что-то у традиционных компаний-производителей антивирусов? Касперский, Симантек итд?
ИМ: Нет, их рынок - это персональные компьютеры или серверы, они лишь блокируют доступ к уже взломанным сайтам, спустя месяцы после заражения. Тем самым сайты теряют из-за них драгоценный трафик. Самому сайту они ничем помочь не могут, тем более бесплатно.
АП: Вы хотите сказать, что вы первый придумали какое-то решение для защиты вебмастеров от взлома и других хаков? Не очень верится, если честно.
ИМ: Нет, я не первый. В среде вебмастеров вертится сотня скриптиков, которые так или иначе помогают им держать живыми сайты. И я такие писал и публиковал у себя в блоге, ими пользуются, они в сумме помогают так же, как и САНТИ, — но это огромный пакет разных скриптиков, иначе их не назвать. Идеи витают в воздухе, натыкался в текущем месяце на концептуально похожее решение, появившееся месяц назад, только в нем реализовано 20% задуманного в САНТИ, и он уже сегодня стоит денег за использование
САНТИ объединил в одном много видов и способов защиты сайта, и в списке на реализацию ещё десяток: это и поиск по сигнатурам, и проверка слива трафика на сторонние сайты, и автооткат файлов и т.д. и т.п. Также в антивирусе собраны инструменты для вебмастеров, которые будут полезны при ремонте и настройке сайта - это и блокировка сайта в один клик, и новости уязвимостей с разрешения securitylab, и конструкторы ftpaccess файлов, генераторы паролей и т.д.
АП: Я не нашел на сайте цены. Это все бесплатно, что ли?
ИМ: Да.
АП: А в чем для вас интерес? Логично же, что если вы не зарабатываете на этом, то вы внедряете какие-то вредоносные скрипты. Другого объяснения просто нет.
ИМ: Монетизация возможна и будет, это будет фримиум. Первое - в САНТИ внедрен он-лайн консультант, консалтинг и помощь специалиста в лечении сайта будут умеренно платными. САНТИ умеет уведомлять по СМС и E-mail, СМС - платные, САНТИ умеет работать с бекапингом сайта на сервер и в различные облака (Dropbox, Ya.Disk и т.д.) - облака сверх бесплатного тарифа платные. Также планируется в будущем создать сборки для хостинг-провайдеров, они будут платными. Но основной функционал антивируса и сам антивирус для пользователей платным не станет.
АП: Понял. А есть какие-то примеры использования твоего скрипта на крупных сайтах? Или пользователи сейчас будут играть роль бета-тестеров?
ИМ: Сейчас идет бета-тестирование, крупные сайты в пример не приведу, т.к. они всё-таки не являются целевой для сегодняшнего решения аудиторией, взламывают в основном тысячи мелких сайтов с посещалкой до 30k в месяц, их легче поломать. Установок на небольшие сайты много, но я сомневаюсь, что они хотели бы что бы я показывал их. Что касается интерфейса - его весь можно прям сейчас пощелкать тут.
АП: У вас написано, что вы ищете $60к - на что вам эти деньги? Вообще, можете про ваш опыт рассказать?
ИМ: Активного поиска инвестиций не ведем, и на Спарке эта сумма появилась недавно, когда я изучал функционал сайта. Однако, сумма не из воздуха, на сегодня есть острая необходимость в команде разработчиков в помощь мне, в офисе, в локализаторах, сумма сложилась из необходимых затрат для получения САНТИ версии 1.0 - мультиязычной системы со всеми задуманными плюшками. Опыта запуска подобных стартапов не было, всю жизнь провел в среде разработки сайтов заказчикам, на аудите безопасности и руководстве производственными отделами и отделами по развитию. В настоящее время совладелец и технический директор Веб-студии в городе Саратов.
АП: А можете еще немного о себе рассказать - что у вас за бэкграунд?
ИМ: За спиной у меня 15 лет разработки десктопного софта и интернет-сайтов, можно сказать, с детства, до 19 лет параллельно увлечениям и учебе администировал сервера университета, с 19 ти лет занялся бизнесом по созданию сайтов и разработке ПО, одновременно развивал до 2010 года компанию по спутниковой телефонии и интернету. От избытка свободного времени 2 года преподавал информационные технологии в техническом университете.
В 2010 году сделал паузу в бизнесе на перезагрузку в поисках идей и команды. Работал руководителем отдела развития и автоматизации в крупной российской компании по выдаче ЭЦП, ушел оттуда с двумя замдиректорами и открыл в партнерстве с ними компанию по разработке и сопровождению сайтов, чем по сей день и занимаюсь.
АП: Понажимал там, не смог понять - есть ли такая штука, как бэкап в клауд?
ИМ: Мы сейчас это делаем вручную и это конечно неудобно. Да есть, на сегодня автоматический бекапинг файлов сайта поддерживается для выгрузки на Яндекс.Диск в виде архива файлов, из фидбека от пользователей САНТИ вынес в ToDo ещё создание выгрузки бекапа на Dropbox, Google Drive. В ближайшем релизе САНТИ появится бекап и у БД сайта.
АП: В целом я думаю, что у вас все получится. Мне кажется, что это хорошая штука, но ее конечно вам нужно переупаковать. Плюс, по-моему такого хватает на Западе.
ИМ: Переупаковка думаю произойдет, когда пойму, как. Над проектом САНТИ тружусь сам, так как не нашел поддержки на проект среди партнеров.