К настоящему времени накоплен значительный опыт борьбы с компьютерными вирусами, разработаны антивирусные программы, известны меры защиты программ и данных. Происходит постоянное совершенствование, развитие антивирусных средств, которые в короткий срок с момента обнаружения вируса - от недели до месяца - оказываются способными справиться с вновь появляющимися вирусами.
Создание антивирусных программ начинается с обнаружения вируса по аномалиям в работе компьютера. После этого вирус тщательно изучается, выделяется его сигнатура - последовательность байтов, которая полностью характеризует программу вируса (наиболее важные и характерные участки кода), выясняется механизм работы вируса, способы заражения. Полученная информация позволяет разработать способы обнаружения вируса в памяти компьютера и на магнитных дисках, а также алгоритмы обезвреживания вируса (если возможно, удаления вирусного кода из файлов - «лечения»).
Известные ныне антивирусные программы можно разделить на несколько типов.
Детекторы. Их назначение - лишь обнаружить вирус. Детекторы вирусов могут сравнивать загрузочные сектора дискет с известными загрузочными секторами, формируемыми операционными системами различных версий, и таким образом обнаружить загрузочные вирусы или выполнять сканирование файлов на магнитных дисках с целью обнаружения сигнатур известных вирусов. Такие программы в чистом виде в настоящее время редки.
Фаги. Фаг - это программа, которая способна не только обнаружить, но и уничтожить вирус, т.е. удалить его код из зараженных программ и восстановить их работоспособность (если возможно). Известнейшим в России фагом является Aidstest , созданный Д.Н.Лозинским. Одна из последних версий обнаруживает более 8000 вирусов. Aidstest для своего нормального функционирования требует, чтобы в памяти не было резидентных антивирусов, блокирующих запись в программные файлы, поэтому их следует выгрузить, либо, указав опцию выгрузки самой резидентной программе, либо воспользоваться соответствующей утилитой.
Очень мощным и эффективным антивирусом является фаг Dr Web (созданный И.Даниловым). Детектор этого фага не просто сканирует файлы в поисках одной из известных вирусных сигнатур. Для нахождения вирусов Dr Web использует программу эмуляцию процессора, т.е. он моделирует выполнение остальных файлов с помощью программной модели микропроцессора I-8086 и тем самым создает среду для проявления вирусов и их размножения. Таким образом, программа Dr Web может бороться не только с полиморфными вирусами, но и вирусам, которые только еще могут появиться в перспективе.
Dr Web 4.33 являются:
Установка. Вначале Dr Web честно предупреждает, что не собирается уживаться с другими антивирусными приложениями и просит убедиться в отсутствии таковых на компьютере. В противном случае совместная работа может привести к «непредсказуемым последствиям». Далее выбирается «Выборочную» или «Обычную» (рекомендуемую) установку и приступают к изучению представленных основных компонентов:
Интерфейс и работа. В глаза бросается отсутствие согласованности в вопросе интерфейса между модулями антивируса, что создает дополнительный визуальный дискомфорт при и так не слишком дружелюбном доступе к компонентам Dr Web . Большое количество всевозможных настроек явно не рассчитано на начинающего пользователя, однако довольно подробная справка в доступной форме объяснит назначение тех или иных интересующих вас параметров. Доступ к центральному модулю Dr Web - сканер для Windows - осуществляется не через трей, а только через «Пуск».
Обновление доступно как через Интернет, так и с помощью прокси-серверов, что при небольших размерах сигнатур представляет Dr Web весьма привлекательным вариантом для средних и крупных компьютерных сетей.
Задать параметры проверки системы, порядок обновления и настройку условий работы каждого модуля Dr Web можно с помощью удобного инструмента «Планировщик», который позволяет создать слаженную систему защиты из «конструктора» компонентов Dr Web .
В итоге мы получаем нетребовательную к ресурсам компьютера, достаточно несложную (при ближайшем рассмотрении) целостную защиту компьютера от всевозможных угроз, чьи возможности по противодействию вредоносным приложениям однозначно перевешивают единственный недостаток, выраженный «разношерстным» интерфейсом модулей Dr Web .
Ревизоры. Программа-ревизор контролирует возможные пути распространения программ-вирусов и заражения компьютеров. Программы-ревизоры относятся к самым надежным средствам защиты от вирусов и должны входить в арсенал каждого пользователя. Ревизоры являются единственным средством, позволяющим следить за целостностью и изменениями файлов и системных областей магнитных дисков. Наиболее известна в России программа-ревизор ADinf , разработанная Д.Мостовым.
Сторожа. Сторож - это резидентная программа, постоянно находящаяся в памяти компьютера, контролирующая операции компьютера, связанная с изменением информации на магнитных дисках, и предупреждающая пользователя о них. В состав операционной системы MS DOS, начиная с версии 6.0, входит сторож VSAFE. Однако, из-за того, что обычные программы выполняют операции, похожие на те, что делают вирусы, пользователи обычно не используют сторожа, так как постоянные предупреждения мешают работе.
Сканеры - основной элемент любого антивируса, осуществляет, если можно так выразиться, пассивную защиту. По запросу пользователя или заданному распорядку производит проверку файлов в выбранной области системы. Вредоносные объекты выявляет путем поиска и сравнения программного кода вируса. Примеры программных кодов содержатся в заранее установленных сигнатурах (наборах, характерных последовательностей байтов для известных вирусов). В первую очередь к недостаткам данных программ относится беззащитность перед вирусами, не имеющими постоянного программного кода и способными видоизменяться при сохранении основных функций. Также сканеры не могут противостоять разновидностям одного и того же вируса, что требует от пользователя постоянного обновления антивирусных баз. Однако наиболее уязвимое место этого инструмента - неспособность обнаруживать новые и неизвестные вирусы, что особенно актуально, когда посредством e-mail новоявленная угроза способна заразить тысячи компьютеров по всему миру за считаные часы;
Мониторы - в совокупности со сканерами образуют базовую защиту компьютера. На основе имеющихся сигнатур проводят проверку текущих процессов в режиме реального времени. Осуществляют предварительную проверку при попытке просмотра или запуска файла. Различают файловые мониторы, мониторы для почтовых клиентов (MS Outlook, Lotus Notes, Pegasus, The Bat и другие, использующие протоколы POP3, IMAP, NNTP и SMTP) и специальные мониторы для отдельных приложений. Как правило, последние представлены модулями проверки файлов Microsoft Office. Основное их достоинство - способность обнаруживать вирусы на самой ранней стадии активности;
Вакцины. Так называются антивирусные программы, ведущие себя подобно вирусам, но не наносящие вреда. Вакцины предохраняют файлы от изменений и способны не только обнаружить факт заражения, но и в некоторых случаях «вылечить» пораженные вирусами файлы. В настоящее время антивирусные программы-вакцины широко не применяются, так как в прошлые годы некоторыми некорректно работающими вакцинами был нанесен ущерб многим пользователям.
Помимо программных средств защиты от вирусов существуют и специальные дополнительные устройства, обеспечивающие надежную защиту определенных разделов винчестера. Примером такого рода устройств является плата Sheriff (разработанная Ю.Фоминым). Несмотря на кажущееся обилие программных антивирусных средств, даже все вместе они не обеспечивают полной защиты программ и данных, не дают 100%-ной гарантии от воздействия вирусных программ. Только комплексные профилактические меры защиты обеспечивают надежную защиту от возможной потери информации. В комплекс таких мер входит:
При неаккуратной работе с антивирусными программами можно не только переносить с ними вирусы, но и вместо лечения файлов безнадежно их испортить. Полезно иметь хотя бы общее представление о том, что могут и чего не могут компьютерные вирусы, об их жизненном цикле, о важнейших методах защиты.
Любой современный антивирусный продукт - это не только набор отдельных технологий детектирования, но и сложная система защиты, построенная на собственном понимании антивирусной компанией того, как нужно обеспечивать безопасность от вредоносных программ. При этом принятые многие годы назад архитектурные и технические решения серьезно ограничивают возможности изменять соотношение проактивных и реактивных методов защиты. Например, в антивирусной системе Eset NOD32 используются как эвристические, так и сигнатурные методы борьбы с вредоносным кодом, но роли между этими двумя технологиями распределяются не так, как в других антивирусах: в то время как большинство антивирусов отталкивается от сигнатурных методов, дополняя их эвристиками, у Eset NOD32 все наоборот. Основным способом противостояния вредоносным программам здесь являются так называемые расширенные эвристики (Advanced Heuristics), представляющие собой сочетание эмуляции, эвристик, алгоритмического анализа и сигнатурного метода. В итоге расширенные эвристики Eset NOD32 позволяют проактивно детектировать почти 90% всех угроз, а остальные устраняются сигнатурными методами. Надежность такого подхода подтверждается результатами независимых тестирований.
Основными функциональными особенностями Esest NOD32 являются:
Установка предложена в трех режимах: «Типичный» (для большинства пользователей), «Расширенный» (частичная настройка устанавливаемых компонентов) и «Эксперт» (полностью настраиваемая установка). Сразу же предлагается указать, используете ли вы прокси-сервер, а также запрашиваются некоторые настройки будущих обновлений. Кроме того, NOD32 заранее интересуется, желаете ли вы использовать «двунаправленную систему своевременного обнаружения» - функция передачи лаборатории Eset подозрительных объектов, найденных на компьютере. Все компоненты защиты при желании будут предложены к установке с подробным описанием поэтапно.
Для защиты системы вниманию пользователя предложены следующие модули:
Интерфейс и работа . Пользователи домашних сетей сразу же мысленно сравнят интерфейс NOD32 с популярным сетевым сканером Netlook - антивирус использует схожую структуру доступа к компонентам. Интерфейс NOD32 организован максимально эргономично и эффективно. Основные пункты меню содержат подзаголовки, которые в свою очередь открывают справа от основного окна область работы с выбранным модулем или компонентом. Каждый подпункт (кроме сканера NOD32 ) предлагает подробнейшую настройку, которая подойдет скорее специалисту или администратору, нежели рядовому пользователю. Тем не менее, при желании разобраться во всех тонкостях модулей NOD32 вам будет предложена справка, наглядно демонстрирующая и объясняющая назначение настроек.
Обновление - одна из сильных сторон NOD32 . Первоначально на выбор предложены целых 3 сервера с возможностью последующего добавления адресов. Также поддерживаются локальные обновления с сетевых ресурсов. Присутствует возможность создания дискет или CD с обновлениями. Обновление происходит каждые несколько часов.
Антивирус Касперского Personal. Антивирус Касперского Personal предназначен для антивирусной защиты персональных компьютеров, работающих под управлением операционных систем Windows 98/ME, 2000/NT/XP, от всех известных видов вирусов, включая потенциально опасное программное обеспечение. Программа осуществляет постоянный контроль всех источников проникновения вирусов - электронной почты, Интернета, дискет, компакт-дисков и т.д. Уникальная система эвристического анализа данных эффективно нейтрализует неизвестные вирусы. Можно выделить следующие варианты работы программы (они могут использоваться как отдельно, так и в совокупности):
Антивирус Касперского Personal теперь не проверяет повторно те объекты, которые были проанализированы во время предыдущей проверки и с тех пор не изменились, не только при постоянной защите, но и при проверке по требованию. Такая организация работы заметно повышает скорость работы программы.
Программа создает надежный барьер на пути проникновения вирусов через электронную почту. Антивирус Касперского Personal автоматически осуществляет проверку и лечение всей входящей и исходящей почтовые корреспонденции по протоколам POP3 и SMTP и эффективно обнаруживает вирусы в почтовых базах.
Программа поддерживает более семисот форматов архивированных и сжатых файлов и обеспечивает автоматическую антивирусную проверку их содержимого, а также удаление вредоносного кода из архивных файлов формата ZIP, CAB, RAR, ARJ, LHA и ICE.
Простота настройки программы осуществляется за счет возможности выбора одного из трех предопределенных уровней: Максимальная защита, Рекомендуемая защита и Максимальная скорость.
Обновления антивирусных баз осуществляется каждый час, при этом обеспечивается их гарантированная доставка при разрыве или смене соединений с Интернетом.
В состав Антивируса Касперского включен специальный компонент, обеспечивающий защиту файловой системы компьютера от заражения, - Файловый Антивирус. Он запускается при старте операционной системы, постоянно находится в оперативной памяти компьютера и проверяет все открываемые, сохраняемые и запускаемые вами или программами файлы.
По умолчанию Файловый Антивирус проверяет ТОЛЬКО НОВЫЕ или ИЗМЕНЕННЫЕ ФАЙЛЫ, то есть файлы, которые добавились или изменились со времени последнего обращения к ним. Это возможно благодаря применению новых технологий iChecker и iSwift. Для реализации технологий используется таблица контрольных сумм файлов. Процесс проверки файла выполняется по следующему алгоритму:
Процесс проверки включает следующие действия:
Помимо обеспечения защиты ваших данных программа обладает дополнительными сервисами, расширяющими возможности работы с Антивирусом Касперского.
В процессе работы программа помещает некоторые объекты в специальные хранилища. Цель, которая при этом преследуется, - обеспечить максимальную защиту данных с минимальными потерями.
Резервное хранилище содержит копии объектов, которые были изменены или удалены в результате работы Антивируса Касперского. Если какой-либо объект содержал важную для вас информацию, которую не удалось полностью сохранить в процессе антивирусной обработки, вы всегда сможете восстановить объект из его резервной копии.
Карантин содержит возможно зараженные объекты, которые не удалось обработать с помощью текущей версии сигнатур угроз.
Часть сервисов направлена на помощь в работе с программой, например.
Сервис Служба технической поддержки обеспечивает всестороннюю помощь в работе с Антивирусом Касперского. Эксперты Лаборатории Касперского постарались включить все возможные способы обеспечения поддержки: on-line поддержка, форум вопросов и предложений от пользователей программы и т.д.
Сервис уведомлений о событиях помогает настраивать оповещение пользователей о важных моментах в работе Антивируса Касперского. Это могут быть как события информационного характера, так и ошибки, которые требуют безотлагательного устранения, и знать о них крайне важно.
Сервис самозащиты программы и ограничения доступа к работе с ней обеспечивает защиту собственных файлов программы от изменения и повреждения со стороны злоумышленников, запрещает внешнее управление сервисами программы, а также вводит разграничение прав других пользователей вашего компьютера на выполнение некоторых действий с Антивирусом Касперского. Например, изменение уровня защиты может значительно повлиять на безопасность информации на вашем компьютере.
Сервис управления лицензионными ключами позволяет получать подробную информацию об используемой лицензии, производить активацию вашей копии программы, а также осуществлять управление файлами лицензионных ключей.
Создание диска аварийного восстановления позволит восстановить работоспособность компьютера на уровне, предшествующем заражению. Это особенно полезно в ситуации, когда после повреждения вредоносным кодом системных файлов невозможно произвести загрузку операционной системы компьютера.
Также предоставляется возможность изменять внешний вид Антивируса Касперского и настраивать параметры текущего интерфейса программы.
Антивирусная утилита AVZ.
Антивирусная утилита AVZ является инструментом для исследования и восстановления системы, и предназначена для автоматического или ручного поиска и удаления:
Утилита является прямым аналогом программ Trojan Hunter и LavaSoft Ad-aware 6. Первичной задачей программы является удаление AdWare, SpyWare и троянских программ.
Сразу следует отметить, что программы категорий SpyWare, AdWare по определению не являются вирусами или троянскими программами. Они шпионят за пользователем и загружают информацию и программный код на пораженный компьютер в основном из маркетинговых соображений (т.е. передаваемая информация не содержит критических данных - паролей, номеров кредитных карт и т.п., а загружаемая информация является рекламой или обновлениями). Однако очень часто грань между SpyWare и троянской программой достаточно условна и точная классификация затруднительна.
Особенностью программы AVZ является возможность настройки реакции программы на каждую из категорий вредоносных программы - например, можно задать режим уничтожения найденных вирусов и троянских программ, но заблокировать удаление AdWare.
Другой особенностью AVZ являются многочисленные эвристические проверки системы, не основанные на механизме поиска по сигнатурам - это поиск RootKit, клавиатурных шпионов, различных Backdoor по базе типовых портов TCP/UDP. Подобные методы поиска позволяют находить новые разновидности вредоносных программ.
Кроме типового для программ данного класса поиска файлов по сигнатурам в AVZ встроена база с цифровыми подписями десятков тысяч системных файлов. Применение данной базы позволяет уменьшить количество ложных срабатываний эвристики и позволяет решать ряд задач. В частности, в системе поиска файлов есть фильтр для исключения известных файлов из результатов поиска, в диспетчере запущенных процессов и настроек SPI производится цветовое выделение известных процессов, при добавлении файлов в карантин производится блокировка добавления известных AVZ безопасных файлов.
Как показывает практика, очень часто программа типа SpyWare может быть классифицирована как AdWare и наоборот (причины просты - целью шпионажа в большинстве случаев является целевая реклама). Для таких случаев в классификации введена обобщающая категория Spy, которая грубо может трактоваться как AdWare+SpyWare. Термин Spy переводится как «шпион», «тайный агент», «следить», «подглядывать». Этот термин достаточно хорошо подходит к программам подобного класса.
Ограничения программы:
Бесплатными антивирусными программами и комплексными пакетами являются: AVG, Avast!, Comodo Internet Security и т.д.
Платными являются: все продукты от лаборатории Касперского, Dr. Web, Agnitum Outpost Firewall и т.д.
Различают следующие виды антивирусных программ:
Программы-фаги (сканеры);
Программы-ревизоры (CRC-сканеры);
Программы-блокировщики;
Программы-иммунизаторы.
Программы-фаги (сканеры) используют для обнаружения вирусов метод сравнения с эталоном, метод эвристического анализа и некоторые другие методы. Программы-фаги осуществляют поиск характерной для конкретного вируса маски путем сканирования в оперативной памяти и в файлах и при обнаружении выдают соответствующее сообщение. Программы-фаги не только находят зараженные вирусами файлы, но и «лечат» их, т. е. удаляют из файла тело программы-вируса, возвращая файлы в исходное состояние. В начале работы программы-фаги сканируют оперативную память, обнаруживают вирусы и уничтожают их и только затем переходят к «лечению» файлов. Среди фагов выделяют полифаги - программы-фаги, предназначенные для поиска и уничтожения большого числа вирусов.
Программы-фаги можно разделить на две категории - универсальные и специализированные сканеры. Универсальные сканеры рассчитаны на поиск и обезвреживание всех типов вирусов вне зависимости от ОС, на работу в которой рассчитан сканер. Специализированные сканеры предназначены для обезвреживания ограниченного числа вирусов или только одного их класса, например макровирусов. Специализированные сканеры, рассчитанные только на макровирусы, оказываются более удобным и надежным решением для защиты систем документооборота в средах MS Word и MS Excel.
Программы-фаги делятся также на резидентные мониторы, производящие сканирование «на лету», и нерезидентные сканеры, обеспечивающие проверку системы только по запросу. Резидентные мониторы обеспечивают более надежную защиту системы, поскольку они немедленно реагируют на появление вируса, в то время как нерезидентный сканер способен опознать вирус только во время своего очередного запуска.
К достоинствам программ-фагов всех типов относится их универсальность. К недостаткам следует отнести относительно небольшую скорость поиска вирусов и относительно большие размеры антивирусных баз.
Наиболее известные программы-фаги: Aidstest, Scan, Norton AntiVirus, Doctor Web. Учитывая, что постоянно появляются новые вирусы, программы-фаги быстро устаревают, и требуется регулярное обновление версий.
Программы-ревизоры (CRC-сканеры) используют для поиска вирусов метод обнаружения изменений. Принцип работы CRC-сканеров основан на подсчете CRC-сумм (кодов циклического контроля) для присутствующих на диске файлов/системных секторов. Эти CRC-суммы, а также некоторая другая информация (длины файлов, даты их последней модификации и др.) затем сохраняются в БД антивируса. При последующем запуске CRC-сканеры сверяют данные, содержащиеся в БД, с реально подсчитанными значениями. Если информация о файле, записанная в БД, не совпадает с реальными значениями, то CRC-сканеры сигнализируют о том, что файл был изменен или заражен вирусом. Как правило, сравнение состояний производят сразу после загрузки ОС.
CRC-сканеры, использующие алгоритмы анти-стелс, являются довольно мощным средством против вирусов: практически 100 % вирусов оказываются обнаруженными почти сразу после их появления на компьютере. Однако у CRC-сканеров имеется недостаток, заметно снижающий их эффективность: они не могут определить вирус в новых файлах (в электронной почте, на дискетах, в файлах, восстанавливаемых из backup или при распаковке файлов из архива), поскольку в их БД отсутствует информация об этих файлах.
К числу CRC-сканеров относится широко распространенная в России программа ADinf (Advanced Diskinfoscope) и ревизор AVP Inspector. Вместе с ADinf применяется лечащий модуль ADinf Cure Module (ADinfExt), который использует собранную ранее информацию о файлах для их восстановления после поражения неизвестными вирусами. В состав ревизора AVP Inspector также входит лечащий модуль, способный удалять вирусы.
Программы-блокировщики реализуют метод антивирусного мониторинга. Антивирусные блокировщики - это резидентные программы, перехватывающие «вирусо-опасные» ситуации и сообщающие об этом пользователю. К «вирусо-опасным» ситуациям относятся вызовы, которые характерны для вирусов в моменты их размножения (вызовы на открытие для записи в выполняемые файлы, запись в загрузочные секторы дисков или MBR винчестера, попытки программ остаться резидентно и т. п.).
При попытке какой-либо программы произвести указанные действия блокировщик посылает пользователю сообщение и предлагает запретить соответствующее действие. К достоинствам блокировщиков относится их способность обнаруживать и останавливать вирус на самой ранней стадии его размножения, что бывает особенно полезно в случаях, когда регулярно появляется давно известный вирус. Однако они не «лечат» файлы и диски. Для уничтожения вирусов требуется применять другие программы, например фаги. К недостаткам блокировщиков можно отнести существование путей обхода их защиты и их «назойливость» (например, они постоянно выдают предупреждение о любой попытке копирования исполняемого файла).
Следует отметить, что созданы антивирусные блокировщики, выполненные в виде аппаратных компонентов компьютера. Наиболее распространенной является встроенная в BIOS защита от записи в MBR винчестера.
Программы-иммунизаторы - это программы, предотвращающие заражение файлов. Иммунизаторы делятся на два типа:
· иммунизаторы, сообщающие о заражении,
· и иммунизаторы, блокирующие заражение каким-либо типом вируса.
Иммунизаторы первого типа обычно записываются в конец файлов и при запуске файла каждый раз проверяют его на изменение. У таких иммунизаторов имеется один серьезный недостаток - они не могут обнаружить заражение стелс-вирусом. Поэтому этот тип иммунизаторов практически не используются в настоящее время.
Иммунизатор второго типа защищает систему от поражения вирусом определенного вида. Он модифицирует программу или диск таким образом, чтобы это не отражалось на их работе, вирус при этом воспринимает их зараженными и поэтому не внедряется. Такой тип иммунизации не может быть универсальным, поскольку нельзя иммунизировать файлы от всех известных вирусов. Однако в качестве полумеры подобные иммунизаторы могут вполне надежно защитить компьютер от нового неизвестного вируса вплоть до того момента, когда он будет определяться антивирусными сканерами.
По всей видимости, создатели первых компьютеров никогда не могли бы предположить, что со временем появятся угрозы безопасности самой системе и пользовательским данным, хранящимся в памяти устройств. Но… они появились, что вызвало необходимость создания действенных средств защиты, которые позже получили название «антивирусные программы». Список наиболее известных и мощных пакетов будет представлен ниже. А пока остановимся на понимании того, что же собой представляют компьютерные вирусы, и как их можно выявить, изолировать или удалить.
Итак, что же собой представляют вирусные угрозы и средства борьбы с ними? Если посмотреть на те далекие времена, когда компьютерные технологии только начинали развиваться, как правило, вирусы представляли собой исполняемые файлы (.exe, .bat и т. д.), запуск которых активировал встроенные коды и команды, позволявшие наносить ущерб компьютерным системам.
В отличие от современных вирусных апплетов, они работали исключительно только после активации соответствующих файлов самим пользователем, а их действия в основном были направлены на нарушение работы операционной системы. Таким образом, изначально антивирусы защищали только систему, но не информацию.
Сегодня такие угрозы встречаются все реже. Приоритетом для вирусов становится шпионская деятельность, кража конфиденциальных данных, Впрочем, в категорию вирусов попадают и разного рода рекламные модули, которые могут активизироваться в системе и вызывать неудобство работы, скажем, в сети Интернет.
Собственно, и пути проникновения угроз в компьютерные системы изменились достаточно сильно. Большей частью это связано с интернетом. Реже можно встретить вирусы на съемных носителях. Однако и поведение их тоже очень сильно отличается от того, что было раньше. Они могут маскироваться под официальные программы или системные службы, проникать в систему под видом стандартных библиотек, содержащих исполняемые коды, создавать собственные копии и т. д.
После активации отследить такие действия очень сложно, поэтому и рекомендуется установить антивирусную программу, независимо от того, связан ли пользователь с интернетом. Последствия могут быть самыми катастрофическими, например, пропажа денег с карточного счета. Такая как логины и пароли доступа к финансовым службам или секретным разработкам, сейчас востребована как никогда. Как тут не вспомнить известное выражение о том, что тот, кто владеет информацией, владеет миром?
Само собой разумеется, что вирусы и антивирусная защита связаны между собой очень тесно. Вот только главная проблема состоит в том, что вирусы всегда на шаг впереди защитного ПО. Неудивительно, ведь сегодня они в интернете растут как грибы после дождя, а разработчики средств противодействия таким угрозам попросту не успевают за ними.
Чего только стоят недавно появившиеся вирусы-шифровальщики, которые при проникновении на компьютеры моментально зашифровывают пользовательскую информацию при помощи 1024-битных алгоритмов, хотя антивирусные лаборатории только-только подошли к возможности противодействия 128-битному шифрованию. Но методы прогнозирования тут тоже есть.
Итак, что мы имеем на сегодняшний день? Как считается, наиболее распространенными на современном этапе развития компьютерных технологий являются следующие типы вирусов:
По типу работы их разделяют на резидентные и нерезидентные. Разница только в том, что может оставаться в памяти машины после завершения работы связанного с ним приложения или службы, а нерезидентный функционирует исключительно только в период действия программы.
И это только малая часть того, что должны уметь обнаруживать и обезвреживать антивирусные программы. Это, к сожалению, для многих простейших бесплатных пакетов оказывается, мягко говоря, задачей непосильной. Но для полного понимания всего, что связано с антивирусным ПО, для начала разберемся в принципах его работы и методов определения существующих или потенциальных угроз.
Прежде всего отметим, что большинство сегодня известных антивирусных приложений опираются на так называемые базы сигнатур вирусов. Иными словами, это данные, которые содержат примеры структур таких угроз и выводы о поведении их в зараженной системе.
Такие базы обновляются чуть ли не ежечасно и в самих антивирусных пакетах, и на удаленных серверах разработчиков. Во втором случае это связано с появлением новых угроз. Огромным плюсом таких баз является то, что на основе имеющихся результатов анализа можно достаточно просто определять и новые потенциально опасные элементы, которые в базах сигнатур отсутствуют. Таким образом, можно сказать, что антивирусные программы - это целые комплексы, состоящие из основных программных пакетов, баз вирусов и средств взаимодействия между ними.
Если говорить о методологии, которая применяется в определении угроз, одно из первых мест занимает сигнатурный анализ, который заключается в сравнении структур файлов вируса с имеющимися шаблонными или ранее определенными схемами, что неразрывно связано с эвристическим анализом.
Для выявления потенциальных угроз это вещь просто незаменимая, хотя 100-процентной гарантии определения угрозы для современных вирусов нет.
Еще одна технология, которую используют практически все известные на сегодня защитные пакеты (например, антивирус «Доктор Веб», «Касперский» и многие другие), состоит в определении угрозы на основе ее структурного вида и поведения в системе.
Она имеет три ответвления: эвристический и поведенческий анализ и метод сравнения контрольных сумм файлов (чаще всего применяется для выявления вирусов, способных маскироваться под системные службы и безобидные программы). Тут вам и сравнение встроенных кодов, и анализ воздействия на систему, и многое другое.
Но самым мощным средством, как считается, является сравнение контрольных сумм, что позволяет выявить потенциальную угрозу в 99,9% случаев из 100.
Одним из методов прогнозирования в определении потенциальных угроз можно назвать проактивную защиту. Такие модули имеются в большинстве антивирусных программ. Но насчет целесообразности ее применения существует два диаметрально противоположных мнения.
С одной стороны, вроде бы и можно определить потенциально небезопасную программу или файл на основе сигнатурного и вероятностного анализа. Но с другой - при таком подходе очень часто проявляется ложное срабатывание даже с блокированием легитимных приложений и программ. Тем не менее, как часть общей технологии, такая методика применяется практически повсеместно.
Теперь, пожалуй, перейдем к антивирусным программам непосредственно. Само собой разумеется, охватить их все не получится, поэтому ограничимся наиболее известными и мощными и рассмотрим антивирусные компьютерные программы, включающие в себя и коммерческое, и бесплатное ПО.
Среди всего этого огромного количества отдельно можно выделить следующие пакеты:
Естественно, здесь можно найти три типа программ:
Говоря о разных типах приложений, стоит отметить, что разница между ними состоит не только в том, что за одни нужно платить или активировать их, а за другие нет. Суть гораздо глубже. К примеру, пробный антивирус, как правило, работает всего 30 дней и предоставляет пользователю возможность оценить все его возможности. Но по истечении этого срока он может либо отключаться полностью, либо блокировать некоторые важные защитные модули.
Понятно, что после отключения ни о какой защите и речи быть не может. Но во втором случае пользователь, грубо говоря, получает такой себе облегченный (Lite) антивирус, бесплатная версия которого не имеет полноценного набора для определения угроз и обладает только самым необходимым для выявления и нейтрализации вирусов либо в уже зараженной системе, либо на стадии их проникновения. Но, как показывает практика, такие сканеры способны пропускать не только потенциально опасные программы, скрипты или апплеты, но и иногда даже не распознают уже существующие вирусы.
Что касается обновления, во всех пакетах эти процессы полностью автоматизированы. При этом происходит и апдейт базы данных сигнатур, и модулей самой программы (особенно часто это касается коммерческих продуктов).
Однако для некоторых программ можно использовать и специальные свободно распространяемые ключи, которые активируют абсолютно все функции пакета на некий определенный срок. Например, по такому принципу работают пакеты NOD32, ESET Smart Security, программы «Лаборатории Касперского» и многие другие. Достаточно просто ввести специальный логин и пароль, чтобы программа заработала в полную силу. Иногда может понадобиться преобразование таких данных в код лицензии. Но эта проблема решается при помощи официальных сайтов разработчика, где вся операция занимает пару секунд.
Как видно из всего вышесказанного, антивирусные программы - это достаточно сложные системы, причем не локального характера, а состоящие из множества модулей, между которыми должно обеспечиваться непосредственное взаимодействие (базы сигнатур, модули программы, сканеры, файрволлы, анализаторы, «доктора» для удаления вредоносных кодов из зараженных объектов и т. д.).
Что же касается выбора, безусловно, для полной комплексной защиты не рекомендуется использовать примитивные программы или бесплатные версии коммерческих продуктов, которые подходят только для домашней установки, да и то только при условии, что с такого терминала не осуществляется выход в Интернет. Ну а для целых компьютерных систем с разветвленными локальными подключениями, вне всякого сомнения, придется покупать официальные лицензионные релизы такого ПО. Зато потом, если не полностью, то, по крайней мере, в очень большой мере можно быть уверенным в безопасности и системы, и данных, в ней хранящихся.
На сегодняшний день перечень доступных антивирусных программ весьма обширен. Они различаются как по цене (от весьма дорогих до абсолютно бесплатных), так и по своим функциональным возможностям. Наиболее мощные (и, как правило, более дорогие) антивирусные программы представляют собой пакеты специализированных утилит , способных при совместном их использовании поставить заслон практически любому виду вредоносных программ.
Типовой перечень функций, которые способны выполнять антивирусные программы:
Сканирование памяти и содержимого дисков по расписанию;
Сканирование памяти компьютера, а также записываемых и читаемых файлов в реальном режиме времени с помощью резидентного модуля;
Выборочное сканирование файлов с измененными атрибутами;
Распознавание поведения, характерного для компьютерных вирусов;
Блокировка и/или удаление выявленных вирусов;
Восстановление зараженных информационных объектов;
Принудительная проверка подключенных к корпоративной сети компьютеров;
Удаленное обновление антивирусного программного обеспечения и баз данных с информацией о вирусах, в том числе автоматическое обновление баз данных по вирусам через Интернет;
Фильтрация трафика Интернета на предмет выявления вирусов в передаваемых программах и документах;
Выявление потенциально опасных Jаvа-апплетов и модулей АсtivеХ;
Ведение протоколов, содержащих информацию о событиях, касающихся антивирусной защиты.
К наиболее мощным и популярным на сегодняшний день в России антивирусным пакетам относятся:
- Dосtоr Wеb (в документации часто именуется более кратко - Dr Wеb) программа российской компании;
- Антивирус Касперского (в документации именуется более кратко - АVР) разработка еще одной российской фирмы
Nоrtоn АntiVirus корпорации Simаntес;
МсАfее VirusScаn компании Nеtwоrk Аssосiаtеs;
Раndа АntiVirus.
Nоd32 АntiVirus.
Популярность перечисленных выше пакетов обусловлена прежде всего тем, что в них реализован комплексный подход к борьбе с вредоносными программами. То есть, установив такой пакет вы избавляетесь от необходимости использовать какие-либо дополнительные антивирусные средства.
Последние версии антивирусных пакетов содержат в своем составе также средства борьбы с вредоносными программами, проникающими из сети (в первую очередь из Интернета). Так какие же, собственно, существуют технологии выявления и нейтрализации компьютерных вирусов?
Специалисты в области антивирусной защиты выделяют пять типов антивирусов реализующих соответствующие технологии: сканеры, мониторы, ревизоры изменений, иммунизаторы и поведенческие блокираторы.
Сканер
Принцип работы антивирусного сканера состоит в том, что он просматривает файлы, оперативную память и загрузочные секторы дисков на предмет наличия вирусных масок, то есть уникального программного кода вируса. Вирусные маски (описания) известных вирусов содержатся в антивирусной базе данных сканера, и если он встречает программный код, совпадающий с одним из этих описаний, то выдает сообщение об обнаружении соответствующего вируса.
Программы-детекторы
Программы-детекторы обеспечивают поиск и обнаружение вирусов в оперативной памяти, на внешних носителях, и при обнаружении выдают соответствующее сообщение. Различают детекторы универсальные и специализированные. Универсальные детекторы в своей работе используют проверку неизменности файлов путем подсчета и сравнения с эталоном контрольной суммы. Недостаток универсальных детекторов связан с невозможностью определения причин искажения файлов.
Специализированные детекторы выполняют поиск известных вирусов по их сигнатуре (повторяющемуся участку кода). Недостаток таких детекторов состоит в том, что они неспособны обнаруживать все известные вирусы. Детектор, позволяющий обнаруживать несколько вирусов, называют полидетектором. Недостатком таких антивирусных программ является то, что они могут находить только те вирусы, которые известны разработчикам таких программ.
Программы-доктора (фаги)
Программы-доктора не только находят зараженные вирусами файлы, но и «лечат» их, т.е. удаляют из файла тело программы вируса, возвращая файлы в исходное состояние. В начале своей работы фаги ищут вирусы в оперативной памяти, уничтожая их, и только затем переходят к "лечению" файлов. Среди фагов выделяют полифаги , т.е. программы-доктора, предназначенные для поиска и уничтожения большого количества вирусов.
Т.к. постоянно появляются новые вирусы, программы-детекторы и программы-доктора быстро устаревают, и требуется регулярное обновление их версий.
Программы-ревизоры
Программы-ревизоры относятся к самым надежным средствам защиты от вирусов. Ревизоры запоминают исходное состояние программ, каталогов и системных областей диска тогда, когда компьютер не заражен вирусом, а затем по желанию пользователя или периодически сравнивают текущее состояние с исходным. Обнаруженные изменения выводятся на экран видеомонитора. Как правило, сравнение состояний производят сразу после загрузки операционной системы. При сравнении проверяются длина файла, код циклического контроля (контрольная сумма файла), дата и время модификации, другие параметры.
Программы-ревизоры имеют достаточно развитые алгоритмы, обнаруживают стелс- вирусы и могут даже отличить изменения версии проверяемой программы от изменений внесенных вирусом.
Программы-филътры (сторожа)
Программы-фильтры представляют собой небольшие резидентные программы, предназначенные для обнаружения подозрительных действий при работе компьютера, характерных для вирусов.
Такими действиями могут являться:
Попытки коррекции файлов с расширениями СОМ и ЕХЕ;
Изменения атрибутов файлов;
Прямая запись на диск по абсолютному адресу;
Запись в загрузочные сектора диска;
При попытке какой-либо программы произвести указанные действия «сторож» посылает пользователю сообщение и предлагает запретить или разрешить соответствующее действие. Программы-фильтры весьма полезны, так как способны обнаружить вирус на самой ранней стадии его существования до размножения. Однако они не "лечат" файлы и диски. Для уничтожения вирусов требуются другие программы, например фаги. К недостаткам программ-сторожей можно отнести их назойливость (например, они постоянно выдают предупреждение о любой попытке копирования исполняемого файла), а также возможные конфликты с другим ПО.
Вакцины (иммунизаторы)
Вакцины - это резидентные программы, предотвращающие заражение файлов. Вакцины применяют, если отсутствуют программы-доктора, "лечащие" этот вирус. Вакцинация возможна только от известных вирусов. Вакцина модифицирует программу или диск таким образом, чтобы это не отражалось на работе, а вирус будет воспринимать их зараженными и поэтому не внедрится. В настоящее время программы-вакцины имеют ограниченное применение. Существенным недостатком таких программ является их ограниченные возможности по предотвращению заражения от большого числа разнообразных вирусов.
1. Признаки заражения компьютера?
2. Косвенные признаки заражения компьютера?
3. Действия при появлении признаков заражения вредоносной программой?
4. Источники компьютерных вирусов?
5. Глобальные сети и электронная почта как источник компьютерных вирусов?
6. Электронные конференции как источник компьютерных вирусов?
7. Локальные сети как источник компьютерных вирусов?
8. Пиратское программное обеспечение как источник компьютерных вирусов?
9. Компьютеры общего пользования как источник компьютерных вирусов?
10. Ремонтные службы как источник компьютерных вирусов?
11. Основные правила защиты от компьютерных вирусов?
12. Антивирусные программы?
13. Виды антивирусных программ?
14. Типовой перечень функций, которые способны выполнять антивирусные программы?
15. К наиболее мощным и популярным на сегодняшний день в России антивирусным пакетам относятся?
16. Принцип работы антивирусного сканера?
17. Принцип работы антивирусных программ-детекторов?
18. Принцип работы антивирусных программ-докторов (фагов)?
19. Принцип работы антивирусных программ-ревизоров?
20. Принцип работы антивирусных программ-фильтров (сторожей)?
21. Принцип работы вакцинаторов (иммунизаторов)?
