Четвертая мера безопасности: антивирус и антишпионское программное обеспечение

Каждый скачанный вами файл из ин­тернета должен рассматриваться вами как потенциальный носитель вредо­носного ПО, даже если этот файл на первый взгляд был скачан из надеж­ного источника. Зараженный файл сам по себе неопасен, т.к. вирус может активироваться только тогда, когда вы запустите зараженный файл на испол­нение. Поэтому перед запуском любой новый файл следует проверять антиви­русом. Это актуально не только по отношению к файлам, полученным из интернета, но и скопированными на ваш компьютер из любых других внешних источников (CD, DVD, дискеты, flash, домашняя локальная сеть и т.д.).

Несмотря на свое историческое название, все современные полноценные антивирусы способны обнаруживать и лечить/удалять не только вирусы, но и практически все ос­тальные виды зловредного ПО. Однако специализированные утилиты (антируткиты, анти-spyware и пр.) на данном историческом этапе способны решать свою задачу несколько лучше универсального антивируса (мы рассмотрим лучшие из специализированных программ ниже).

Вот самые основные требования, предъявляемые к современному антивирусу:

н аличие резидентного монитора (альтернативные названия: резидентный сторож, резидентная защита). Это компонент антивирусного ПО, который посто­янно находится в оперативной памяти компьютера и сканирует в режиме реального времени все файлы, с которыми осуществляет взаимодействие пользователь, опе­рационная система или другие программы.

Вы должны знать, что существует два режима работы антивируса:

Режим сканера — это основной режим. В этом режиме пользователь просто указывает антивирусу файлы, которые нужно проверить, тот их сканирует, выдает отчет и на этом заканчивает свою работу.

Режим резидентного монитора — в этом режиме антивирус работает постоянно в оперативной памяти, пока работает операционная система, и налету проверяет все файлы, с которыми осуществляются какие-нибудь действия в системе (запуск, открытие, копирование и т. п.). В случае обнаружения зловредного ПО резидент­ный монитор блокирует зараженный файл, чтобы предотвратить заражение ком­пьютера, и выдает на экран предупреждение.

Все антивирусы способны работать в режиме сканера, но в режиме резидентного монитора могут работать только антивирусы, снабженные резидентным монито­ром. Сам я часто отключаю резидентный монитор своего антивируса (как он от­ключается, будет рассказано далее), т.к. мне часто приходится экспериментировать с вредоносными программами, а резидентный монитор препятствует этому. Кроме того, резидентный монитор немного замедляет работу компьютера. Но я ни в коем случае не призываю вас отключать резидентный монитор.

Частое обновление антивирусных баз. Чтобы понять, зачем нужно частое об­новление антивирусной базы, нужно знать принцип работы антивируса. Анти­вирус стандартно ищет вредоносное ПО по так называемым сигнатурам, т.е. по некоторым уникальным последовательностям данных. Например, в простейшем виде сигнатура некоторого вируса может выглядеть как ряд байтов (в шестнадцатеричном виде): 5А 66 97 В5 00 7 D. Если антивирус обнаружит такую сигнатуру в каком-нибудь файле, то он сделает вывод о его заражении. Однако та­ким способом антивирус может находить только известное ему вредоносное ПО, т.е. для которого имеется сигнатура в его базе данных. По статистике буквально каждый час появляется какое-нибудь новое вредоносное ПО, поэтому производи­тели антивирусов постоянно пополняют базы данных своих антивирусов новы­ми сигнатурами. Самые лучшие производители антивирусов делают обновления ежечасно. Если вы не будете обновлять базу данных антивируса, то антивирус в режиме сканера не сможет обнаружить самые свежие зловредные программы. Пол­ноценные антивирусы периодически выполняют обновления антивирусных баз в автоматическом режиме.

Эвристический анализатор (heuristic). Это компонент антивируса, предназна­ченный для детектирования вредоносного ПО для которого нет соответствующих сигнатур в базе данных антивируса. Другими словами эвристические анализаторы предназначены для поиска неизвестного вредоносного ПО. Эвристический анали­затор исследует код файла и, если обнаруживает функции присущие вредоносному ПО, то выдает предупреждение. Разумеется, возможен небольшой процент ложных срабатываний. Эвристический анализатор, несомненно, является полезным средс­твом, однако многие современные вредоносные программы умеют обходить эвристический анализатор (для этого существуют десятки различных методов "обмана"), поэтому эвристический анализ используется лишь как дополнение к обычному ска­нированию (по сигнатурам) для более эффективного обнаружения вредоносного ПО. В последние годы эвристический анализ получил логическое развитие, в результате которого появилась так называемая проактивная (превентивная) защита. Проактивная защита, также как и эвристический анализатор, предназначена для обнаруже­ния неизвестного вредоносного ПО, но включает гораздо более сложные проверки: мониторинг системного реестра, контроль целостности критических файлов и пр. На момент написания книги проактивная защита находилась в зачаточном состоянии, но за ней, несомненно, будущее, и наряду сигнатурным сканированием и эвристическим анализатором наличие проактивной защиты в полноценных антивирусах будет обяза­тельным условием. Важно также понимать, что проактивная защита не отменяет эв­ристический анализатор, хотя бы потому, что проактивная защита способна работать только в режиме резидентного монитора, а эвристический анализатор, как в режиме резидентного монитора, так и в режиме обычного сканера.

Проверка файлов в архивах. Все полноценные современные антивирусы умеют проверять файлы в архивах, созданных популярными архиваторами: ZIP (PKZIP, WinZIP), RAR/WinRAR, ARJ/WinARJ, ACE/WinACE и др. Разумеется, такая про­верка возможна только незашифрованных архивов (на которых не установлен па­ролью. Если антивирус не умеет проверять файлы в архивах, то поль­зователь вынужден будет предварительно разархивировать архивы и только после этого передавать извлеченные файлы на проверку антивирусу.

Несмотря на эту полезную функцию, в особо важных слу­чаях необходимо проверять файлы именно после извлечения из архива, т.к. антивирус может не знать самые современные и экзотические методы сжатия.

В настоящее время существует много коммерческих фирм-производителей антивиру­сов. Самыми популярными и одними из лучших не только в России, но и в мире коммерческими антивирусами, являются отечественные Dr. Web (http://www.drweb. com) и Антивирус Касперского (http://www.kaspersky.ru).

Существуют бесплатные пол­нофункциональные антивирусы.

Дата добавления: 2014-01-20