Антивирусы. Основные виды и выполняемые задачи. Антивирусные программы (10) - Реферат Найти антивирусные программы и их характеристики
блокираторы
Сегодня выделяются 5 основных типов антивирусных программ: сканеры, мониторы, ревизоры изменений, иммунизаторы и поведенческие блокираторы. Некоторые из них практически вышли из употребления в связи с низкой эффективностью, другие еще не используются достаточно широко.Сканеры
Антивирусные сканеры – пионеры антивирусного движения, впервые появившиеся на свет практически одновременно с самими компьютерными вирусами. Принцип их работы заключается в поиске в файлах, памяти, и загрузочных секторах вирусных масок, т.е. уникального программного кода вируса. Вирусные маски (описания) известных вирусов содержатся в антивирусной базе данных и если сканер встречает программный код, совпадающий с одним из этих описаний, то он выдает сообщение об обнаружении соответствующего вируса.Здесь возникает первая проблема, потому что малейшие модификации вируса могут сделать его невидимым для сканера: программный код не будет полностью совпадать с описанием в базе данных. К примеру, существует много вариантов вируса "Чернобыль", и почти для каждого из них антивирусным кампаниям приходилось выпускать отдельное обновление антивирусной базы данных. Другим аспектом данной проблемы являются т.н. полиморфные вирусы, т.е. вирусы, не имеющие постоянного программного кода: заражая очередной файл, они при помощи шифрования самостоятельно изменяют свой вид, при этом сохраняя свою функциональность.
Привязанность сканеров к антивирусным базам означает вторую проблему: время между появлением вируса и выходом соответствующего обновления пользователь оставался практически незащищенным от атак новых вирусов. К счастью, сейчас скорость доставки противоядия сведена до минимума, в некоторых случаях исчисляясь минутами. Но и вирусы не стоят на месте: при помощи электронной почты они могут распространиться по всему миру за считанные секунды! Таким образом, даже современную скорость разработки и доставки защиты от новых вирусов нельзя считать достаточной. Именно поэтому еще в начале 90-х, эксперты придумали и внедрили в сканеры оригинальный способ обнаружения неизвестных вирусов – эвристический анализатор, т.е. анализ последовательности команд в проверяемом объекте, аккумуляция статистики и принятие решения о возможности присутствия в нем неизвестного компьютерного вируса. Однако, данный метод характеризуется наличием ложных срабатываний, недостаточно высоким уровнем надежности и отсутствием гарантии эффективного удаления обнаруженных вирусов. Для борьбы же с полиморфными вирусами были изобретены другие приемы: алгоритмические языки, описывающие все возможные варианты кода и системы автоматической дешифрации кода (эмуляторы).
Наконец, третья проблема: антивирусный сканер проверяет файлы, только когда пользователь “попросит” его это сделать, т.е. запустит программу. Это требует постоянного внимания и концентрации. Очень часто пользователи забывают проверить сомнительный файл, загруженный, например, из Интернет и, в результате, собственноручно заражают свой компьютер. Таким образом, сканер способен определить факт заражения постфактум, т.е. уже после того, как в системе появится вирус.
К другим недостаткам сканеров следуют отнести их большой размер, что определяется необходимостью "таскать" с собой антивирусную базу данных, требовательность к системным ресурсам и небольшая скорость поиска вирусов. Несмотря на это, не стоит забывать важное преимущество сканеров: они способны блокировать распространение Internet-червей, эффективно удалять вирусы из зараженных файлов и загрузочных секторов диска и восстанавливать их работоспособность. Безусловно, последнее возможно, только если вирус не уничтожил оригинальное содержимое зараженного объекта.
Мониторы
Развитие аппаратных возможностей компьютеров и появление более совершенных операционных систем сделало возможным разработку второго вида антивирусных программ - антивирусных мониторов. На данный момент различаются три основных типа: файловые мониторы, мониторы для почтовых программ и мониторы для специальных приложений.По своей сути все они являются разновидностью сканеров, которые постоянно находятся в памяти компьютера и осуществляют автоматическую проверку всех используемых файлов в масштабе реального времени. Современные мониторы осуществляют проверку в момент открытия и закрытия программы. Таким образом, исключается возможность запуска ранее инфицированных файлов и заражения файла резидентным вирусом.
Для включения антивирусной защиты, пользователю достаточно загрузить монитор при запуске операционной системы или приложения. Как правило, это делает сам антивирусный пакет в процессе его установки следующими способами:
Добавляет инструкцию запуска монитора в каталог автоматически исполняемых программ или в соответствующее поле системного реестра
- регистрирует монитор как системный сервис, который запускается вне зависимости от имени пользователя
- интегрирует монитор в почтовую программу или другое приложение.
Благодаря фоновому режиму работы антивирусные мониторы позволяют пользователю не обременять себя заботой о ручном сканировании каждого нового файла: антивирусная проверка будет осуществлена автоматически. В случае обнаружения вредоносной программы, монитор, в зависимости от настроек, вылечит файл, заблокирует его выполнение или изолирует, переместив в специальную карантинную директорию для дальнейшего исследования.
Файловые мониторы являются наиболее распространенной разновидностью этого типа антивирусных программ. Они работают как часть операционной системы, в масштабе реального времени проверяя все используемые объекты, вне зависимости от их происхождения и принадлежности какому-либо приложению. Процедура работы файловых мониторов основана на перехвате и антивирусной фильтрации потока данных в т.н. точке входа операционной системы. Если в объекте, поступившем на точку входа, не обнаружено вредоносных программ, то он передается на выполнение. В обратном случае, объект, по описанному выше сценарию, лечится, блокируется или изолируется. Файловые мониторы широко используются как на рабочих станциях, так и на файловых серверах и серверах приложений. В случае их применения на сервере необходимо убедиться, что монитор поддерживает многопоточность обработки файлов, т.е. способен проверять одновременно много файлов. Иначе это может негативно сказаться на быстродействии как сервера так и сети в целом.
Мониторы для почтовых программ представляют собой антивирусные модули, интегрирующиеся в программы обработки электронной почты – как серверные, так и клиентские. По сути дела, они становятся неотъемлемой частью программы и при поступлении нового письма автоматически проверяют его. В отличие от файловых мониторов они требуют меньше системных ресурсов и гораздо более устойчивы, так как возможность системного конфликта на уровне приложения существенно меньше, нежели на уровне операционной системы. В дополнение к этому "почтовые" мониторы проверяют все входящие и исходящие сообщения сразу же после их получения или отправления. Файловые мониторы способны распознать вредоносный код только когда пользователь попробует его запустить. Кроме того, антивирусный модуль способен не только обнаруживать, но и успешно лечить все участки зараженных сообщений: прикрепленные файлы, другие сообщения любого уровня вложенности, внедренные OLE объекты и само тело письма. Такой комплексный подход не дает вирусам шансов «укрыться» ни в одном из участков письма. Мониторы для специальных приложений также обеспечивают фоновую проверку объектов, но только в рамках приложения, для которого они предназначены. Наглядным примером могут быть антивирусные мониторы для MS Office 2000. Подобно своим "почтовым" "коллегам" они интегрируются в программу и находятся в памяти компьютера во время ее работы. Эти мониторы также в масштабе реального времени контролируют все используемые файлы и сообщают об обнаруженных вирусах. По сравнению с антивирусными сканерами мониторы предоставляют пользователям больше удобств в работе с компьютерами, полностью автоматизируя процесс проверки системных ресурсов. К другим их достоинствам стоит отнести способность обнаружить, локализовать и блокировать вирус на самой ранней стадии его размножения, что, кстати, бывает очень полезно в случаях, когда давно известный вирус постоянно "выползает неизвестно откуда". Однако, мониторы также требуют наличия громоздких антивирусных баз данных. Помимо этого, они отличаются более низкой степенью устойчивости работы, что определяет предпочтение многими системными администраторами регулярным проверкам серверных ресурсов сканерами, нежели постоянное использование мониторов.
Ревизоры изменений
Третья разновидность антивирусов – ревизоры изменений (integrity checkers). Эта технология защиты основана на том факте, что вирусы являются обычными компьютерными программами, имеющими способность тайно создавать новые или внедряться в уже существующие объекты (файлы, загрузочные секторы). Иными словами, они оставляют следы в файловой системе, которые затем можно отследить и выявить факт присутствия вредоносной программы.Принцип работы ревизоров изменений основан на снятии оригинальных “отпечатков” (CRC-сумм) с файлов, системных секторов и системного реестра. Эти “отпечатки” сохраняются в базе данных. При следующем запуске ревизор сверяет “отпечатки” с их оригиналами и сообщает пользователю о произошедших изменениях, отдельно выделяя вирусоподобные и другие, не подозрительные, изменения.
В 1990 году первые вирусы-невидимки (stealth) Frodo и Whale чуть было не поставили под сомнение эффективность этого типа антивирусов. Технология работы вирусов-невидимок основывается на сокрытии своего присутствия в системе при помощи подстановки в случае попытки проверки зараженных файлов и загрузочных секторов антивирусными программами их "чистых" вариантов. Такие вирусы перехватывают прерывания обращения к диску и, при обнаружении попытки запустить или прочитать зараженный объект, подставляют его незараженную копию. Несмотря на это, ревизоры "научились" обращаться к дискам непосредственно через драйвер дисковой подсистемы IOS (супервизор ввода-вывода), минуя системные прерывания, что позволило им успешно обнаруживать даже вирусы-невидимки.
К достоинствам наиболее продвинутых ревизоров изменений стоит отнести исключительно высокую скорость работы, низкие требования к аппаратной части компьютера, высокий процент восстановления файлов и загрузочных секторов, поврежденных вирусами, в том числе неизвестными. Их подход к лечению зараженных объектов основывается не на знании как выглядит вирус, а на знании как выглядит "чистый" файл или сектор: все, что "портит чистоту" рассматривается как изменение, достойное внимания ревизора, который способен вернуть объект к исходному состоянию. Именно поэтому ревизоры не требуют громоздкой антивирусной базы данных, довольствуясь лишь описаниями способов внедрения вирусов, которые занимают, в зависимости от продукта, всего от 300 до 500 килобайт. Зная эти способы, программа может быстро и эффективно удалить вирус вне зависимости от того, где находится его код: начале, середине, конце или же вообще разбросан в виде небольших кусков по всему зараженному объекту. У ревизоров изменений тоже есть свои недостатки. Во-первых, они не способны поймать вирус в момент его появления в системе, а делают это лишь через некоторое время, уже после того, как вирус разошелся по компьютеру. Во-вторых, они не могут определить вирус в новых файлах (в электронной почте, на дискетах, в файлах, восстанавливаемых из резервной копии или при распаковке файлов из архива), поскольку в их базах данных отсутствует информация об этих файлах. Этим пользуются некоторые вирусы, которые используют эту “слабость” ревизоров и заражают только вновь создаваемые файлы, оставаясь, таким образом, невидимыми для этих антивирусных программ. В-третьих, ревизоры требуют регулярного запуска – чем чаще это будет происходить, тем надежнее будет контроль над вирусной активностью.
Иммунизаторы
Необходимо также упомянуть такую разновидность антивирусных программ, как иммунизаторы. Они делятся на два вида: иммунизаторы, сообщающие о заражении, и иммунизаторы, блокирующие заражение каким-либо типом вируса. Первые обычно записываются в конец файлов (по принципу файлового вируса) и при запуске файла каждый раз проверяют его на изменение. Недостаток у таких иммунизаторов всего один, но он принципиален: абсолютная неспособность обнаружить заражение вирусами-невидимками, принцип маскировки которых описан выше. Второй тип иммунизаторов защищает систему от поражения каким-либо определенным вирусом. Файлы модифицируются таким образом, что вирус принимает их за уже зараженные. Например, чтобы предотвратить заражение COM-файла вирусом Jerusalem достаточно дописать в его конец строку MSDos. Для защиты от резидентного вируса в память компьютера заносится программа, имитирующая копию вируса. При запуске вирус натыкается на нее и считает, что система уже заражена. Второй тип иммунизации не может быть признан универсальным, поскольку нельзя иммунизировать файлы от всех известных вирусов: у каждого из них свои приемы определения зараженности файлов. Кроме того, многие вирусы не проверяют файлы на предмет присутствия в них своей копии. Несмотря на это, подобные иммунизаторы в качестве полумеры могут вполне надежно защитить компьютер от нового неизвестного вируса вплоть до того момента, когда он будет определяться антивирусными сканерами. Из-за описанных выше недостатков иммунизаторы не получили большого распространения и в настоящее время практически не используются. Поведенческие блокираторыВсе перечисленные выше типы антивирусов не решают главной проблемы – защиты от неизвестных вирусов. Таким образом, компьютерные системы оказываются беззащитны перед ними до тех пор, пока антивирусные компании не разработают противоядия. Иногда на это требуется до нескольких недель. Все это время компании по всему миру имеют реальную “возможность” потерять важнейшие данные, от которых зависит будущее их бизнеса или результаты многолетних трудов. Однозначно ответить на вопрос “что же делать с неизвестными вирусами?” нам предстоит лишь в новом тысячелетии. Однако уже сейчас можно сделать прогноз относительно наиболее перспективных путей развития антивирусного программного обеспечения. На наш взгляд, таким направлением станут т.н. поведенческие блокираторы. Именно они имеют реальную возможность со 100% гарантией противостоять атакам новых вирусов. Что такое поведенческий блокиратор? Это резидентная программа, которая перехватывает различные события и в случае "подозрительных" действий (действий, которые может производить вирус или другая вредоносная программа), запрещает это действие или запрашивает разрешение у пользователя. Иными словами, блокиратор совершает не поиск уникального программного кода вируса (как это делают сканеры и мониторы), не сравнивает файлы с их оригиналами (наподобие ревизоров изменений), а отслеживает и нейтрализует вредоносные программы по их характерным действиям. Идея блокираторов не нова. Они появились достаточно давно, однако эти антивирусные программы не получили широкого распространения из-за сложности настройки, требующей от пользователей глубоких знаний в области компьютеров. Несмотря на это, технология неплохо прижилась на других направлениях информационной защиты. Например, хорошо известный стандарт Java, разработанный компанией Sun, обеспечивал каждой выполняемой Java-программе строго ограниченное виртуальное пространство (набор разрешенных действий), которое предотвращало все попытки программ выполнить запрещенные инструкции (например, удаление файлов), которые, по мнению пользователя слишком подозрительны и представляют угрозу безопасности его данных.
Давайте рассмотрим подробнее достоинства и недостатки поведенческих блокираторов. Теоретически, блокиратор может предотвратить распространение любого как известного, так и неизвестного вируса, предупреждая пользователя до того, как вирус заразит другие файлы или нанесет какой-либо вред компьютеру. Но вирусоподобные действия может производить и сама операционная система или полезные утилиты. Здесь стоит провести грань между двумя типами блокираторов: файловыми блокираторами и блокираторами для приложений.
Файловый поведенческий блокиратор не может самостоятельно определить - кто же выполняет подозрительное действие - вирус, операционная система или какая-либо утилита и вынужден спрашивать подтверждения у пользователя. Т.е. в конечном счете решение зачастую принимает пользователь, который должен обладать достаточными знаниями и опытом, чтобы дать правильный ответ. В противном случае операционная система или утилита не сможет произвести требуемое действие, либо вирус проникнет в систему. Именно по этой причине блокираторы и не стали популярными: их достоинства зачастую становились их недостатками, они казались слишком навязчивыми своими запросами и пользователи просто удаляли эти программы. К сожалению, ситуацию сможет исправить лишь изобретение искусственного интеллекта, который сможет самостоятельно разобраться в причинах того или иного подозрительного действия.
Блокираторы для специализированных приложений имеют гораздо больше шансов получить широкое распространение, поскольку круг их компетенции четко ограничен структурой конкретного приложения. Это значит, что под зоркий глаз блокиратора попадает строго ограниченное количество действий, которые могут совершать программы, созданные для данного приложения.
Наиболее показательный пример – Microsoft Office и проблема защиты от макро-вирусов. Если рассматривать программы, написанные на наиболее распространенном макроязыке VBA (Visual Basic for Application), то тут можно с очень большой долей вероятности отличить вредоносные действия от полезных.
Благодаря проведенному анализу макро-вирусов в процессе моделирования их поведения, можно определить наиболее часто встречающиеся последовательности их действий. Это позволяет внедрить в программу новую, высокоинтеллектуальную систему фильтрации действий макросов и с высокой долей достоверности безошибочно выявлять и предотвращать те из них, которые представляют собой потенциальную опасность. Именно благодаря этому поведенческий блокиратор для MS Office не столь "навязчив" как его файловые "коллеги". Но, задавая меньше вопросов пользователю, программа не стала менее надежной. Используя его, пользователь практически на 100% защищен от макро вирусов, как известных, таки и еще не написанных.
Блокиратор перехватывает и блокирует выполнение даже многоплатформенных макро-вирусов, т.е. способных работать сразу в нескольких приложениях. Он одинаково надежно предотвращает действие вирусов в таких приложениях как Word, Excel, Access, PowerPoint, Project и даже приложениях, использующих язык VBA, но не входящих в состав пакета Microsoft Office – Visio, AutoCAD и др. Программа контролирует работу макросов с внешними приложениями, в т.ч. с почтовыми программами. Тем самым полностью исключается возможность распространения макро-вирусов через электронную почту. Использование поведенческого блокиратора для MS Office избавляет пользователя от вечной головной боли по поводу загрузки и подключения новых обновлений антивирусной базы для защиты от новых макро-вирусов, потому что любой новый макро-вирус уже по определению будет перехватываться программой. Это означает, что ликвидируется наиболее опасный отрезок времени между появлением вируса и антивируса. Однажды установленный, он надежно защитит компьютер от макро-вирусов вплоть до выхода новой версии языка программирования VBA с реализацией новых функций, которые могут использоваться для написания вирусов.
Главной целью поведенческих блокираторов является решение проблемы обнаружения и предотвращения распространения макро-вирусов. Однако, по определению, он не предназначен для их удаления. Именно поэтому его необходимо использовать совместно с антивирусным сканером, который будет способен успешно уничтожить вирус. Блокиратор позволит безопасно переждать период между обнаружением нового вируса и выпуском обновления антивирусной базы для сканера, не прибегая к остановке работы компьютерных систем из-за боязни навсегда потерять ценные данные или серьезно повредить аппаратную часть компьютера.
Мы прогнозируем, что с развитием компьютерных технологий, особенно в области разработки элементов искусственного интеллекта, значение, эффективность и простота использования блокираторов (в т.ч. файловых) будут стремительно возрастать. Именно этот тип антивирусных программ в ближайшее время станет основным средством антивирусной защиты, обеспечивая ее наиболее ответственный передний край – блокировку проникновения и распространения новых, ранее неизвестных вирусов.
Обзор типов антивирусных программ был бы не совсем полным, если бы мы не упомянули о лучшем способе их использования. Наши рекомендации предельно просты: лучшим вариантом может быть продуманная комбинация всех описанных выше способов. Следуя хорошо известной поговорке, советующей не класть все яйца в одну корзину, мы рекомендуем не полагаться целиком и полностью на сканеры или мониторы. У каждого вида антивирусных программ есть свои достоинства и недостатки. В совокупности они удачно компенсируют друг друга повышая степень защиты как домашнего компьютера, так и гетерогенной сети мирового масштаба.
Пользователь современного персонального компьютера имеет свободный доступ ко всем ресурсам машины. Именно это открыло возможность для существования опасности, которая получила название компьютерного вируса.
Компьютерным вирусом называется специально написанная программа, способная самопроизвольно присоединяться к другим программам, создавать свои копии и внедрять их в файлы, системные области компьютера и в вычислительные сети с целью нарушения работы программ, порчи файлов и каталогов, создания всевозможных помех в работе на компьютере. В зависимости от среды обитания вирусы можно разделить на сетевые, файловые, загрузочные, файлово-загрузочные, макровирусы и троянские программы.
- Сетевые вирусы распространяются по различным компьютерным сетям.
- Файловые вирусы внедряются главным образом в исполняемые модули. Файловые вирусы могут внедряться и в другие типы файлов, но, как правило, записанные в таких файлах, они никогда не получают управление и, следовательно, теряют способность к размножению.
- Загрузочные вирусы внедряются в загрузочный сектор диска (Boot-сектор) или в сектор, содержащий программу загрузки системного диска (Master Boot Record).
- Файлово-загрузочные вирусы заражают как файлы, так и загрузочные секторы дисков.
- Макровирусы написаны на языках высокого уровня и поражают файлы документов приложений, которые имеют встроенные языки автоматизации (макроязыки), такие, например, как приложения семейства Microsoft Office.
- Троянские программы , маскируясь под полезные программы, являются источником заражения компьютера вирусами.
Для обнаружения, удаления и защиты от компьютерных вирусов разработано несколько видов специальных программ, которые позволяют обнаруживать и уничтожать вирусы. Такие программы называются антивирусными. Различают следующие виды антивирусных программ :
- - программы-детекторы;
- - программы-доктора, или фаги;
- - программы-ревизоры;
- - программы-фильтры;
- - программы-вакцины, или иммунизаторы.
Программы-детекторы осуществляют поиск характерной для конкретного вируса сигнатуры в оперативной памяти и в файлах и при обнаружении выдают соответствующее сообщение. Недостатком таких антивирусных программ является то, что они могут находить только те вирусы, которые известны разработчикам таких программ.
Программы-доктора , или фаги, а также программы-вакцины не только находят зараженные вирусами файлы, но и «лечат» их, т. е. удаляют из файла тело программы-вируса, возвращая файлы в исходное состояние. В начале своей работы фаги ищут вирусы в оперативной памяти, уничтожая их, и только затем переходят к «лечению» файлов. Среди фагов выделяют полифаги , т. е. программы-доктора, предназначенные для поиска н уничтожения большого количества вирусов. Наиболее известные из них: Kaspersky Antivirus, Norton AntiVirus, Doctor Web.
В связи с тем, что постоянно появляются новые вирусы, программы-детекторы и программы-доктора быстро устаревают, и требуется регулярное обновление версий.
Программы-ревизоры относятся к самым надежным средствам защиты от вирусов. Ревизоры запоминают исходное состояние программ, каталогов и системных областей диска тогда, когда компьютер не заражен вирусом, а затем периодически или по желанию пользователя сравнивают текущее состояние с исходным. Обнаруженные изменения выводятся на экран монитора. Как правило, сравнение состояний производят сразу после загрузки операционной системы. При сравнении проверяются длина файла, код циклического контроля (контрольная сумма файла), дата и время модификации, другие параметры. Программы-ревизоры имеют достаточно развитые алгоритмы, обнаруживают стелс-вирусы и могут даже отличить изменения версии проверяемой программы от изменений, внесенных вирусом. К числу программ-ревизоров относится широко распространенная программа Kaspersky Monitor.
Программы-фильтры или «сторожа» представляют собой небольшие резидентные программы, предназначенные для обнаружения подозрительных действий при работе компьютера, характерных для вирусов. Такими действиями могут являться:
- - попытки коррекции файлов с расширениями СОМ. ЕХЕ;
- - изменение атрибутов файла;
- - прямая запись на диск по абсолютному адресу;
- - запись в загрузочные секторы диска;
При попытке какой-либо программы произвести указанные действия «сторож» посылает пользователю сообщение и предлагает запретить или разрешить соответствующее действие. Программы-фильтры весьма полезны. так как способны обнаружить вирус на самой ранней стадии его существования, до размножения. Однако они не «лечат» файлы и диски.
Для уничтожения вирусов требуется применить другие программы, например фаги. К недостаткам программ-сторожей можно отнести их «назойливость» (например, они постоянно выдают предупреждение о любой попытке копирования исполняемого файла), а также возможные конфликты с другим программным обеспечением.
Вакцины или иммунизаторы — это резидентные программы. предотвращающие заражение файлов. Вакцины применяют, если отсутствуют программы-доктора, «лечащие» этот вирус. Вакцинация возможна только от известных вирусов. Вакцина модифицирует программу или диск таким образом, чтобы это не отражалось на их работе, а вирус будет воспринимать их зараженными и поэтому не внедрится. В настоящее время программы-вакцины имеют ограниченное применение.
Своевременное обнаружение зараженных вирусами файлов и дисков, полное уничтожение обнаруженных вирусов на каждом компьютере позволяют избежать распространения вирусной эпидемии на другие компьютеры.
На сегодняшний день перечень доступных антивирусных программ весьма обширен. Они различаются как по цене (от весьма дорогих до абсолютно бесплатных), так и по своим функциональным возможностям. Наиболее мощные (и, как правило, более дорогие) антивирусные программы представляют собой пакеты специализированных утилит , способных при совместном их использовании поставить заслон практически любому виду вредоносных программ.
Типовой перечень функций, которые способны выполнять антивирусные программы:
Сканирование памяти и содержимого дисков по расписанию;
Сканирование памяти компьютера, а также записываемых и читаемых файлов в реальном режиме времени с помощью резидентного модуля;
Выборочное сканирование файлов с измененными атрибутами;
Распознавание поведения, характерного для компьютерных вирусов;
Блокировка и/или удаление выявленных вирусов;
Восстановление зараженных информационных объектов;
Принудительная проверка подключенных к корпоративной сети компьютеров;
Удаленное обновление антивирусного программного обеспечения и баз данных с информацией о вирусах, в том числе автоматическое обновление баз данных по вирусам через Интернет;
Фильтрация трафика Интернета на предмет выявления вирусов в передаваемых программах и документах;
Выявление потенциально опасных Jаvа-апплетов и модулей АсtivеХ;
Ведение протоколов, содержащих информацию о событиях, касающихся антивирусной защиты.
К наиболее мощным и популярным на сегодняшний день в России антивирусным пакетам относятся:
- Dосtоr Wеb (в документации часто именуется более кратко - Dr Wеb) программа российской компании;
- Антивирус Касперского (в документации именуется более кратко - АVР) разработка еще одной российской фирмы
Nоrtоn АntiVirus корпорации Simаntес;
МсАfее VirusScаn компании Nеtwоrk Аssосiаtеs;
Раndа АntiVirus.
Nоd32 АntiVirus.
Популярность перечисленных выше пакетов обусловлена прежде всего тем, что в них реализован комплексный подход к борьбе с вредоносными программами. То есть, установив такой пакет вы избавляетесь от необходимости использовать какие-либо дополнительные антивирусные средства.
Последние версии антивирусных пакетов содержат в своем составе также средства борьбы с вредоносными программами, проникающими из сети (в первую очередь из Интернета). Так какие же, собственно, существуют технологии выявления и нейтрализации компьютерных вирусов?
Специалисты в области антивирусной защиты выделяют пять типов антивирусов реализующих соответствующие технологии: сканеры, мониторы, ревизоры изменений, иммунизаторы и поведенческие блокираторы.
Сканер
Принцип работы антивирусного сканера состоит в том, что он просматривает файлы, оперативную память и загрузочные секторы дисков на предмет наличия вирусных масок, то есть уникального программного кода вируса. Вирусные маски (описания) известных вирусов содержатся в антивирусной базе данных сканера, и если он встречает программный код, совпадающий с одним из этих описаний, то выдает сообщение об обнаружении соответствующего вируса.
Программы-детекторы
Программы-детекторы обеспечивают поиск и обнаружение вирусов в оперативной памяти, на внешних носителях, и при обнаружении выдают соответствующее сообщение. Различают детекторы универсальные и специализированные. Универсальные детекторы в своей работе используют проверку неизменности файлов путем подсчета и сравнения с эталоном контрольной суммы. Недостаток универсальных детекторов связан с невозможностью определения причин искажения файлов.
Специализированные детекторы выполняют поиск известных вирусов по их сигнатуре (повторяющемуся участку кода). Недостаток таких детекторов состоит в том, что они неспособны обнаруживать все известные вирусы. Детектор, позволяющий обнаруживать несколько вирусов, называют полидетектором. Недостатком таких антивирусных программ является то, что они могут находить только те вирусы, которые известны разработчикам таких программ.
Программы-доктора (фаги)
Программы-доктора не только находят зараженные вирусами файлы, но и «лечат» их, т.е. удаляют из файла тело программы вируса, возвращая файлы в исходное состояние. В начале своей работы фаги ищут вирусы в оперативной памяти, уничтожая их, и только затем переходят к "лечению" файлов. Среди фагов выделяют полифаги , т.е. программы-доктора, предназначенные для поиска и уничтожения большого количества вирусов.
Т.к. постоянно появляются новые вирусы, программы-детекторы и программы-доктора быстро устаревают, и требуется регулярное обновление их версий.
Программы-ревизоры
Программы-ревизоры относятся к самым надежным средствам защиты от вирусов. Ревизоры запоминают исходное состояние программ, каталогов и системных областей диска тогда, когда компьютер не заражен вирусом, а затем по желанию пользователя или периодически сравнивают текущее состояние с исходным. Обнаруженные изменения выводятся на экран видеомонитора. Как правило, сравнение состояний производят сразу после загрузки операционной системы. При сравнении проверяются длина файла, код циклического контроля (контрольная сумма файла), дата и время модификации, другие параметры.
Программы-ревизоры имеют достаточно развитые алгоритмы, обнаруживают стелс- вирусы и могут даже отличить изменения версии проверяемой программы от изменений внесенных вирусом.
Программы-филътры (сторожа)
Программы-фильтры представляют собой небольшие резидентные программы, предназначенные для обнаружения подозрительных действий при работе компьютера, характерных для вирусов.
Такими действиями могут являться:
Попытки коррекции файлов с расширениями СОМ и ЕХЕ;
Изменения атрибутов файлов;
Прямая запись на диск по абсолютному адресу;
Запись в загрузочные сектора диска;
При попытке какой-либо программы произвести указанные действия «сторож» посылает пользователю сообщение и предлагает запретить или разрешить соответствующее действие. Программы-фильтры весьма полезны, так как способны обнаружить вирус на самой ранней стадии его существования до размножения. Однако они не "лечат" файлы и диски. Для уничтожения вирусов требуются другие программы, например фаги. К недостаткам программ-сторожей можно отнести их назойливость (например, они постоянно выдают предупреждение о любой попытке копирования исполняемого файла), а также возможные конфликты с другим ПО.
Вакцины (иммунизаторы)
Вакцины - это резидентные программы, предотвращающие заражение файлов. Вакцины применяют, если отсутствуют программы-доктора, "лечащие" этот вирус. Вакцинация возможна только от известных вирусов. Вакцина модифицирует программу или диск таким образом, чтобы это не отражалось на работе, а вирус будет воспринимать их зараженными и поэтому не внедрится. В настоящее время программы-вакцины имеют ограниченное применение. Существенным недостатком таких программ является их ограниченные возможности по предотвращению заражения от большого числа разнообразных вирусов.
1. Признаки заражения компьютера?
2. Косвенные признаки заражения компьютера?
3. Действия при появлении признаков заражения вредоносной программой?
4. Источники компьютерных вирусов?
5. Глобальные сети и электронная почта как источник компьютерных вирусов?
6. Электронные конференции как источник компьютерных вирусов?
7. Локальные сети как источник компьютерных вирусов?
8. Пиратское программное обеспечение как источник компьютерных вирусов?
9. Компьютеры общего пользования как источник компьютерных вирусов?
10. Ремонтные службы как источник компьютерных вирусов?
11. Основные правила защиты от компьютерных вирусов?
12. Антивирусные программы?
13. Виды антивирусных программ?
14. Типовой перечень функций, которые способны выполнять антивирусные программы?
15. К наиболее мощным и популярным на сегодняшний день в России антивирусным пакетам относятся?
16. Принцип работы антивирусного сканера?
17. Принцип работы антивирусных программ-детекторов?
18. Принцип работы антивирусных программ-докторов (фагов)?
19. Принцип работы антивирусных программ-ревизоров?
20. Принцип работы антивирусных программ-фильтров (сторожей)?
21. Принцип работы вакцинаторов (иммунизаторов)?
Урок "Антивирусные программы"При заражении компьютера вирусом важно его обнаружить. Для этого следует знать об основных признаках проявления вирусов:
Прекращение работы или
неправильная работа ранее успешно функционировавших программ:
- медленная работа компьютера
- невозможность загрузки операционной системы
- исчезновение файлов и каталогов или искажение их содержимого
- изменение даты и времени модификации файлов
- изменение размеров файлов
- неожиданное значительное увеличение количества файлов на диске
- существенное уменьшение размера свободной оперативной памяти
- вывод на экран непредусмотренных сообщений или изображений
- подача непредусмотренных звуковых сигналов
- частые зависания и сбои в работе компьютера
Для защиты от вирусов можно использовать:
v общие средства защиты информации, которые полезны также и как страховка от физической порчи дисков, неправильно работающих программ или ошибочных действий пользователя;
v профилактические меры, позволяющие уменьшить вероятность заражения вирусом;
v специализированные программы для защиты от вирусов.
Общие средства защиты информации полезны не только для защиты от вирусов:
- копирование информации - создание копий файлов и системных областей дисков;
- разграничение доступа предотвращает несанкционированное использование информации, в частности, защиту от изменений программ и данных вирусами, неправильно работающими программами и ошибочными действиями пользователей.
Профилактические меры
v Не использовать сомнительные диски и другие носители информации
v Ограничить доступ к файлам программ, устанавливая для них, когда возможно, статус «только для чтения»
v При работе в сети, по возможности, не вызывайте программы из памяти других компьютеров.
v Храните программы и данные в архивах на дисках и в разных подкаталогах жесткого диска.
v Не копируйте программы для собственных нужд со случайных копий.
v Обязательно иметь антивирусную программу
Специализированные программы для защиты от вирусов
Антивирусные программы позволяют произвести защиту, обнаружение и удаление компьютерных вирусов. Все специализированные программы для защиты от вирусов можно разделить на несколько видов:
Ø детекторы,
Ø доктора (фаги),
Ø ревизоры,
Ø доктора-ревизоры,
Ø фильтры и вакцины (иммунизаторы).
ПРОГРАММЫ-ДЕТЕКТОРЫ позволяют обнаруживать файлы, зараженные одним из нескольких известных вирусов. Эти программы проверяют, имеется ли в файлах на указанном пользователем диске специфическая для данного вируса комбинация байтов. При ее обнаружении в каком-либо файле на экран выводится соответствующее сообщение. Многие детекторы имеют режимы лечения или уничтожения зараженных файлов.
Следует подчеркнуть, что программы-детекторы могут обнаруживать только те вирусы, которые ей "известны". Некоторые программы-детекторы могут настраивать на новые типы вирусов, им необходимо лишь указать комбинации байтов, присущие этим вирусам. Тем не менее, невозможно разработать такую программу, которая могла бы обнаруживать любой заранее неизвестный вирус.
Таким образом, из того, что программа не опознается детекторами как зараженная, не следует, что она здорова - в ней могут сидеть какой-нибудь новый вирус или слегка модифицированная версия старого вируса, неизвестные программам-детекторам.
Большинство программ-детекторов имеют функцию "доктора", т.е. они пытаются вернуть зараженные файлы или области диска в их исходное состояние. Те файлы, которые не удалось восстановить, как правило, делаются неработоспособными или удаляются.
Dr.Web программа была создана в 1994 г. И. А. Даниловым и относится к классу детекторов-докторов, имеет так называемый "эвристический анализатор" - алгоритм, позволяющий обнаруживать неизвестные вирусы. "Лечебная паутина", как переводится с английского название программы, стала ответом отечественных программистов на нашествие самомодифицирующихся вирусов-мутантов. Последние, при размножении, модифицируют свое тело так, что не остается ни одной характерной цепочки байт, присутствовавшей в исходной версии вируса.
В пользу этой программы говорит тот факт, что крупную лицензию (на 2000 компьютеров) приобрело Главное управление информационных ресурсов при Президенте РФ, а второй по величине покупатель "паутины" - "Инкомбанк".
Aidstest - программа была изобретена ее в 1988 году Д.Н. Лозинским и является детектором-доктором. Программа Aidstest предназначена для исправления программ, зараженных обычными (неполиморфными) вирусами, не меняющими свой код. Это ограничение вызвано тем, что поиск вирусов этой программой ведется по опознавательным кодам. Зато при этом достигается очень высокая скорость проверки файлов.
РЕВИЗОРЫ имеют две стадии работы. Сначала они запоминают сведения о состоянии программ и системных областей дисков (загрузочного сектора и сектора с таблицей разбиения жесткого диска). Предполагается, что в этот момент программы и системные области дисков не заражены. После этого с помощью программы-ревизора можно в любой момент сравнить состояние программ и системных областей дисков с исходным. О выявленных несоответствиях сообщается пользователю.
ADinf (Advanced Diskinfoscope) относится к классу программ-ревизоров. Эта программа была создана Д. Ю. Мостовым в 1991 г.
Антивирус имеет высокую скорость работы, способен с успехом противостоять вирусам, находящимся в памяти. Он позволяет контролировать диск, читая его по секторам через BIOS и не используя системные прерывания DOS, которые может перехватить вирус.
Для лечения заражённых файлов применяется модуль ADinf Cure Module, не входящий в пакет ADinf и поставляющийся отдельно. Принцип работы модуля - сохранение небольшой базы данных, описывающей контролируемые файлы. Работая совместно, эти программы позволяют обнаружить и удалить около 97% файловых вирусов и 100% вирусов в загрузочном секторе. К примеру, нашумевший вирус SatanBug был легко обнаружен, и заражённые им файлы автоматически восстановлены. Причем, даже те пользователи, которые приобрели ADinf и ADinf Cure Module за несколько месяцев до появления этого вируса, смогли без труда от него избавиться.
AVP (Anti - Virus Protection ) программа сочетает в себе и детектор, и доктор, и ревизор, и даже имеет некоторые функции резидентного фильтра (запрет записи в файлы с атрибутом READ ONLY). Антивирусный набор, являющийся расширенной версией известного антивирусного комплекта «Доктор Касперский». В процессе работы программы производится тестирование на неизвестные вирусы. Также в комплект входит резидентная программа, отслеживающая подозрительные действия, совершаемые на компьютере, и дающая возможность просматривать карту памяти. Специальный набор утилит помогает обнаруживать новые вирусы и разбираться в них.
Антивирус может лечить как известные, так и неизвестные вирусы, причем о способе лечения последних программе может сообщить сам пользователь. К тому же AVP может лечить самомодифицирующиеся и Stealth-вирусы (невидимки).
Norton Antivirus - антивирусный пакет относится к средствам типа «установил и забыл». Все необходимые параметры конфигурации и плановые мероприятия (проверка диска, проверка новых и модифицированных программ, запуск Windows-утилиты Auto-Protect, проверка boot-сектора диска A: перед перезагрузкой) устанавливаются по умолчанию. Программа сканирования диска существует для DOS и Windows. В числе прочих Norton AntiVirus обнаруживает и уничтожает даже полиморфные вирусы, а также успешно реагирует на вирусоподобную активность и борется с неизвестными вирусами.
ФИЛЬТРЫ или СТОРОЖА или МОНИТОРЫ , которые располагаются резидентно в оперативной памяти компьютера и перехватывают те обращения к операционной системе, которые используются вирусами для размножения и нанесения вреда, и сообщают о них пользователя. Пользователь может разрешить или запретить выполнение соответствующей операции.
Некоторые программы-фильтры не "ловят" подозрительные действия, а проверяют вызываемые на выполнение программы, на наличие вирусов. Это вызывает замедление работы компьютера.
Однако преимущества использования программ-фильтров весьма значительны – они позволяют обнаружить многие вирусы на самой ранней стадии, когда вирус еще не успел размножиться и что-либо испортить. Тем самым можно свести убытки от вируса к минимуму.
ВАКЦИНЫ , или ИММУНИЗАТОРЫ , модифицируют программы и диски таким образом, что это не отражается на работе программ, но тот вирус, от которого производится вакцинация, считает эти программы или диски уже зараженными. Эти программы крайне неэффективны. Отслеживают потенциально опасные операции, выдавая пользователю соответствующий запрос на разрешение/запрещение операции.
Недостатки антивирусных программ
Ø Ни одна из существующих антивирусных технологий не может обеспечить полной защиты от вирусов.
Ø Антивирусная программа забирает часть вычислительных ресурсов системы, нагружая центральный процессор и жёсткий диск. Особенно это может быть заметно на слабых компьютерах. Замедление в фоновом режиме работы может достигать 380 %.
Ø Антивирусные программы могут видеть угрозу там, где её нет (ложные срабатывания).
Ø Антивирусные программы загружают обновления из Интернета, тем самым расходуя трафик.
Ø Различные методы шифрования и упаковки вредоносных программ делают даже известные вирусы не обнаруживаемыми антивирусным программным обеспечением. Для обнаружения этих «замаскированных» вирусов требуется мощный механизм распаковки, который может дешифровать файлы перед их проверкой. Однако во многих антивирусных программах эта возможность отсутствует и, в связи с этим, часто невозможно обнаружить зашифрованные вирусы.
Существует большое количество платных и бесплатных антивирусных программ. Можно выделить следующие популярные торговые марки:
Итак, что же такое антивирус? Почему-то многие считают, что антивирус может обнаружить любой вирус, то есть, запустив антивирусную программу, можно быть абсолютно уверенным в их надежности. Такая точка зрения не совсем верна.
Дело в том, что антивирус - это тоже программа, конечно, написанная профессионалом. Но эти программы способны распознавать и уничтожать только известные вирусы. То есть антивирус против конкретного вируса может быть написан только в том случае, когда у программиста есть в наличии хотя бы один экземпляр этого вируса. Вот и идет эта бесконечная война между авторами вирусов и антивирусов, правда, первых в нашей стране почему-то всегда больше, чем вторых.
Но и у создателей антивирусов есть преимущество! Дело в том, что существует большое количество вирусов, алгоритм которых практически скопирован с алгоритма других вирусов. Как правило, такие вариации создают непрофессиональные программисты, которые по каким-то причинам решили написать вирус. Для борьбы с такими "копиями" придумано новое оружие - эвристические анализаторы. С их помощью антивирус способен находить подобные аналоги известных вирусов, сообщая пользователю, что у него, похоже, завелся вирус. Естественно, надежность эвристического анализатора не 100%, но все же его коэффициент полезного действия больше 0,5.
Таким образом, в этой информационной войне, как, впрочем, и в любой другой, остаются сильнейшие. Вирусы, которые не распознаются антивирусными детекторами, способны написать только наиболее опытные и квалифицированные программисты.
Для обнаружения, удаления и защиты от компьютерных вирусов разработано несколько видов специальных программ, которые позволяют обнаруживать и уничтожать вирусы. Такие программы называются антивирусными.
Данные программы можно классифицировать по пяти основным группам: фильтры, детекторы, ревизоры, доктора (фаги) и вакцинаторы (иммунизаторы).
Антивирусы-фильтры или «сторожа» - это резидентные программы, которые оповещают пользователя обо всех попытках какой-либо программы записаться на диск, а уж тем более отформатировать его, а также о других подозрительных действиях. При этом выводится запрос о разрешении или запрещении данного действия. Принцип работы этих программ основан на перехвате соответствующих векторов прерываний. К преимуществу программ этого класса по сравнению с программами-детекторами можно отнести универсальность по отношению, как к известным, так и неизвестным вирусам, тогда как детекторы пишутся под конкретные, известные на данный момент программисту виды. Однако, программы-фильтры не могут отслеживать вирусы, обращающиеся непосредственно к BIOS, а также BOOT-вирусы, активизирующиеся ещё до запуска антивируса, в начальной стадии загрузки DOS. К недостаткам также можно отнести частую выдачу запросов на осуществление какой-либо операции.
Наибольшее распространение в нашей стране получили программы-детекторы, а вернее программы, объединяющие в себе детектор и доктор. Наиболее известные представители этого класса - Aidstest, Doctor Web, MicroSoft AntiVirus. Антивирусы-детекторы рассчитаны на конкретные вирусы и основаны на сравнении последовательности кодов содержащихся в теле вируса с кодами проверяемых программ. Многие программы-детекторы позволяют также «лечить» зараженные файлы или диски, удаляя из них вирусы (разумеется, лечение поддерживается только для вирусов, известных программе-детектору). Такие программы нужно регулярно обновлять, так как они быстро устаревают и не могут обнаруживать новые виды вирусов.
Ревизоры - это программы, которые анализируют текущее состояние файлов и системных областей диска и сравнивают его с информацией, сохранённой ранее в одном из файлов данных ревизора. При этом проверяется состояние BOOT-сектора, таблицы FAT, а также длина файлов, их время создания, атрибуты, контрольная сумма. Анализируя сообщения программы-ревизора, пользователь может решить, чем вызваны изменения: вирусом или нет. Программы - ревизоры относятся к самым надежным средствам защиты от вирусов.
К последней группе относятся самые неэффективные антивирусы - вакцинаторы - это резидентные программы, предотвращающие заражение файлов. Вакцины применяют, если отсутствуют программы-доктора, «лечащие» этот вирус. Вакцинация возможна только от известных вирусов. Вакцина модифицирует программу или диск таким образом, чтобы это не отражалось на их работе, а вирус будет воспринимать их зараженными и поэтому не внедрится. В настоящее время программы-вакцины имеют ограниченное применение.
В нашей стране особую популярность приобрели антивирусные программы, совмещающие в себе функции детекторов и докторов. Самой известной из них является программа AIDSTEST Д.Н. Лозинского. Одна из последних версий обнаруживает более 1500 вирусов.
Программа Aidstest предназначена для исправления программ, зараженных обычными вирусами, не меняющими свой код.
Недостатки программы Aidstest: не распознает обычные вирусы; не снабжена эвристическим анализатором, позволяющим находить неизвестные ей вирусы; не умеет проверять и лечить файлы в архивах; не распознает вирусы в программах, обработанных упаковщиками исполнимых файлов типа EXEPACK, DIET, PKLITE и т.д.
Достоинства Aidstest: легка в использовании; работает очень быстро; распознает значительную часть вирусов; хорошо интегрирована с программой-ревизором Adinf; работает практически на любом компьютере.
В последнее время стремительно растет популярность другой антивирусной программы - Doctor Web, которую предлагает фирма «Диалог-Наука». Эта программа была создана в 1994 г. И.А. Даниловым. Dr.Web так же, как и Aidstest относится к классу детекторов - докторов, но в отличие от последнего имеет так называемый "эвристический анализатор" - алгоритм, позволяющий обнаруживать неизвестные вирусы.
В отличие от Aidstest, программа Dr.Web: распознает полиморфные вирусы; снабжена эвристическим анализатором; умеет проверять и лечить файлы в архивах; позволяет тестировать файлы, вакцинированные CPAV, а также упакованные LZEXE, PKLITE, DIET.
AVSP (Anti-Virus Software Protection)
Интересным программным продуктом является антивирус AVSP. Эта программа сочетает в себе и детектор, и доктор, и ревизор, и даже имеет некоторые функции резидентного фильтра (запрет записи в файлы с атрибутом READ ONLY). Антивирус может лечить как известные, так и неизвестные вирусы, причем о способе лечения последних программе может сообщить сам пользователь. К тому же AVSP может лечить самомодифицирующиеся и Stealth-вирусы (невидимки).
ADINF (Advanced Diskinfoscope)
ADinf относится к классу программ-ревизоров. Эта программа была создана Д. Ю. Мостовым в 1991 г.
Работа программ основана на регулярном отслеживании изменений, происходящих на жестких дисках. В случае появления вируса, ADinf обнаруживает его по тем модификациям, которые он выполняет в файловой системе и/или загрузочном секторе диска и информирует об этом пользователя. ADinf особенно эффективен для обнаружения новых вирусов, противоядие для которых еще не придумано.
Полезные свойства ADinf не ограничиваются только лишь борьбой с вирусами. По сути ADinf является системой, позволяющей следить за сохранностью информации на дисках и обнаруживать любые, даже малозаметные изменения в файловой системе, а именно, изменения системных областей, изменения файлов, создание и удаление каталогов, создание, удаление, переименование и перемещение файлов из каталога в каталог.
Norton AntiVirus
Антивирус разработанный компанией Symantec Corporation. Один из наиболее известных и популярных антивирусов. Процент распознавания вирусов очень высокий (близок к 100%). В программе используется механизм, который позволяет распознавать новые неизвестные вирусы. Norton AntiVirus обезвреживает все виды вирусов, защищает компьютер во время работы в интернете, проверяет электронную почту и загружаемые из сети файлы. Антивирус Norton AntiVirus может по требованию пользователя просканировать все локальные диски, включая дискеты и CD, на наличие вирусов в файлах. Кроме того, в программе Norton AntiVirus реализована защита от шпионских модулей (spyware). Недостатком данной программы является сложность настройки (хотя базовые настройки изменять, практически не требуется).
AVP (AntiViral Toolkit Pro)
Данная программа была создана ЗАО «Лаборатория Касперского». AVP обладает одним из самых совершенных механизмов обнаружения вирусов. Сегодня AVP практически ни в чем не уступает западным аналогам.
AVP предоставляет пользователям максимум сервиса - возможность обновления антивирусных баз через Интернет, возможность задания параметров автоматического сканирования и лечения зараженных файлов. Обновления на сайте AVP появляются практически еженедельно, а база данных включает описания уже почти 40 тысяч вирусов.