Скорость реакции антивирусного монитора на атаку шифровальщика может варьироваться от 10 мс до 3 секунд в зависимости от типа файловой системы, что при скорости записи современного NVMe-накопителя в 3500 МБ/с означает потерю от нескольких сотен мегабайт до гигабайт данных до момента блокировки процесса.
NTFS и проблема задержки I/O-фильтра
В NTFS антивирусные решения работают через драйверы фильтра (File System Minifilters). Основная проблема здесь — возникновение «бутылочного горлышка» при анализе массового переименования файлов, что типично для LockBit или Conti. В среднем, проверка каждого обращения к файлу добавляет 2-5% задержки к операциям ввода-вывода, но при атаке шифровальщика объем операций возрастает в 50-100 раз, вызывая каскадное зависание системы.
Кейс: на томе 2 ТБ с NTFS при запуске шифровальщика, который меняет расширение файлов на .encrypted, антивирус с медленным механизмом поведенческого анализа может «зависнуть» на этапе проверки первого 100-200 файлов, пропуская критически важные документы. Экспертный вывод: для NTFS критически важен выбор ПО с поддержкой аппаратного ускорения анализа и минимальным временем отклика драйвера фильтра.
ReFS: преимущества зеркалирования и риски мониторинга
ReFS (Resilient File System) оптимизирована под большие объемы данных и серверные нагрузки, используя механизм Copy-on-Write (CoW). Это дает преимущество: антивирусы, интегрированные с механизмами снимков ReFS, могут фиксировать изменения блоков данных быстрее, чем в NTFS. Однако из-за специфики архитектуры некоторые старые антивирусные движки работают с ReFS в режиме эмуляции, что снижает скорость обнаружения аномалий на 15-20%.
Пример: использование ReFS в связке с современным EDR-решением позволяет сократить окно уязвимости до 50-100 мс за счет отслеживания метаданных тома. Экспертный вывод: ReFS — лучший выбор для хранилищ данных, но только при условии использования ПО, имеющего нативную поддержку этой системы, иначе вы получите ложное чувство безопасности при фактическом замедлении мониторинга.
exFAT: слепая зона антивирусного контроля
exFAT лишена журналирования и расширенных атрибутов безопасности, что делает её «слепой зоной» для многих продвинутых функций защиты. В то время как в NTFS антивирус может отследить попытку модификации теневых копий, в exFAT такие механизмы отсутствуют. Скорость шифрования на exFAT выше на 10-12% из-за отсутствия избыточных проверок ФС, что играет на руку злоумышленнику.
Мини-кейс: при подключении внешнего диска exFAT шифровальщик уничтожает данные в 1.2 раза быстрее, чем на NTFS, а антивирусный монитор реагирует с задержкой в 1.5-2 секунды, так как не может опираться на системные события журнала. Экспертный вывод: хранение бэкапов на exFAT недопустимо; используйте NTFS или ReFS, чтобы антивирус мог эффективно применять механизмы защиты от атак на теневые копии (VSS) и инструменты восстановления системы.
Матрица совместимости и производительности ПО
Эффективность защиты зависит от того, как антивирус взаимодействует с VFS (Virtual File System). В сегменте Enterprise-решений стоимость лицензии варьируется от $30 до $120 за узел в год, при этом разница в защите NTFS и ReFS может достигать 40% по метрике Time-to-Detect (TTD). Среднее время обнаружения атаки на NTFS составляет 0.5–1.2 сек, на ReFS — 0.3–0.8 сек, на exFAT — от 2 сек и выше.
Сравнение: бюджетный антивирус (до $20/год) часто игнорирует специфику ReFS, работая в режиме общего сканера, тогда как премиальный EDR анализирует изменения в реальном времени через API файловой системы. Экспертный вывод: переплата за Enterprise-лицензию оправдана для систем с ReFS и NTFS, так как это сокращает объем безвозвратно потерянных данных в первые секунды атаки на 60-80%.
Вывод
Мой вердикт: для критической инфраструктуры используйте связку ReFS + EDR с нативной поддержкой CoW — это дает минимальный TTD и максимальный шанс остановить шифрование на первых 10-50 файлах. Полностью исключите exFAT для хранения рабочих данных, так как она лишает антивирус ключевых инструментов контроля. Начинайте с аудита типов ФС на всех узлах сети, затем внедряйте ПО, которое поддерживает анализ метаданных конкретно под ваши системы, избегая универсальных «бесплатных» сканеров, которые работают только с потоком данных, а не с событиями ФС.