Антивирусные методы и программные средства

Другие каналы распространения вредоносных программ

Локальные сети

Локальные сети также представляют собой путь быстрого заражения. Если не при­нимать необходимых мер защиты, то зараженная рабочая станция при входе в ло­кальную сеть заражает один или несколько служебных файлов на сервере. В каче­стве таких файлов могут выступать служебный файл LOGIN.COM, Excel-таблицы и стандартные документы-шаблоны, применяемые в фирме. Пользователи при вхо­де в эту сеть запускают зараженные файлы с сервера, и в результате вирус получа­ет доступ на компьютеры пользователей.

Одним из серьезных каналов распространения вирусов являются пиратские копии программного обеспечения. Часто нелегальные копии на дискетах и компакт-дисках содержат файлы, зараженные разнообразными типами вирусов. К источникам рас­пространения вирусов следует также отнести электронные конференции и файл-серверы FTP и BBS. Часто авторы вирусов закладывают зараженные файлы сразу на несколько файл-серверов ITP/BBS или рассылают одновременно по нескольким электронным конференциям, причем зараженные файлы обычно маскируют под новые версии программных продуктов и даже антивирусов. Компьютеры, установленные в учебных заведениях и интернет-центрах и работающие в режиме общего пользо­вания, также могут легко оказаться источниками распространения вирусов. Если один из таких компьютеров оказался зараженным вирусом с дискеты очередного пользователя, тогда дискеты и всех остальных пользователей, работающих на этом компьютере, окажутся зараженными.

По мере развития компьютерных технологий совершенствуются и компьютер­ные вирусы, приспосабливаясь к новым для себя сферам обитания. В любой мо­мент может появиться компьютерный вирус, «троянская» программа или червь нового, неизвестного ранее типа, либо известного типа, но нацеленного на новое компьютерное оборудование. Новые вирусы могут использовать неизвестные или не существовавшие ранее каналы распространения, а также новые технологии вне­дрения в компьютерные системы. Чтобы исключить угрозу вирусного заражения, системный администратор корпоративной сети должен не только внедрять мето­дики антивирусной защиты, но и постоянно отслеживать новости в мире компью­терных вирусов.

Для защиты от компьютерных вирусов могут использоваться следующие методы и средства:

– общие методы и средства защиты информации;

– специализированные программы для защиты от вирусов;

– профилактические меры, позволяющие уменьшить вероятность заражения вирусами.

Общие средства защиты информации полезны не только для защиты от виру­сов. Они используются также как страховка от физической порчи дисков, непра­вильно работающих программ или ошибочных действий пользователя.

Существует две основных разновидности этих средств:

– средства копирования информации; применяются для создания копий фай­лов и системных областей дисков;

– средства разграничения доступа; предотвращают несанкционированное ис­пользование информации, в частности обеспечивают защиту от изменений программ и данных вирусами, неправильно работающими программами и ошибочными действиями пользователей.

При заражении компьютера вирусом важно его обнаружить. К внешним призна­кам проявления деятельности вирусов можно отнести следующие:

– вывод на экран непредусмотренных сообщений или изображений;

– подача непредусмотренных звуковых сигналов;

– изменение даты и времени модификации файлов;

–исчезновение файлов и каталогов или искажение их содержимого;

– частые зависания и сбои в работе компьютера;

– медленная работа компьютера;

– невозможность загрузки операционной системы;

– существенное уменьшение размера свободной оперативной памяти;

– прекращение работы или неправильная работа ранее успешно функциониро­вавших программ;

– изменение размеров файлов;

– неожиданное значительное увеличение количества файлов на диске.

Однако следует заметить, что перечисленные выше явления необязательно вы­зываются действиями вируса, они могут быть следствием и других причин. По­этому правильная диагностика состояния компьютера всегда затруднена и обычно требует привлечения специализированных программ.

Для обнаружения и защиты от компьютерных вирусов разработано несколько ви­дов специальных программ, которые позволяют обнаруживать и уничтожать ком­пьютерные вирусы. Такие программы называются антивирусными. Практически все антивирусные программы обеспечивают автоматическое восстановление зара­женных программ и загрузочных секторов. Антивирусные программы используют различные методы обнаружения вирусов.

К основным методам обнаружения компьютерных вирусов можно отнести следующие:

– метод сравнения с эталоном;

– эвристический анализ;

– антивирусный мониторинг;

– метод обнаружения изменений;

– встраивание антивирусов в BIOS компьютера и др. [85].

Метод сравнения с эталоном. Самый простой метод обнаружения заключа­ется в том, что для поиска известных вирусов используются так называемые маски. Маской вируса является некоторая постоянная последовательность кода, специфичная для этого конкретного вируса. Антивирусная программа последо­вательно просматривает (сканирует) проверяемые файлы в поиске масок изве­стных вирусов. Антивирусные сканеры способны найти только уже известные вирусы, для которых определена маска. Если вирус не содержит постоянной маски или длина этой маски недостаточно велика, то используются другие методы. Применение простых сканеров не защищает компьютер от проникнове­ния новых вирусов. Для шифрующихся и полиморфных вирусов, способных пол­ностью изменять свой код при заражении новой программы или загрузочного сектора, невозможно выделить маску, поэтому антивирусные сканеры их не об­наруживают.

Эвристический анализ. Для тою чтобы размножаться, компьютерный вирус дол­жен совершать какие-то конкретные действия: копирование в память, запись в сек­тора и т.д. Эвристический анализатор (который является частью антивирусного ядра) содержит список таких действий и проверяет программы и загрузочные секторы дисков и дискет, пытаясь обнаружить в них код, характерный для виру­сов. Эвристический анализатор может обнаружить, например, что проверяемая программа устанавливает резидентный модуль в памяти или записывает данные в исполняемый файл программы. Обнаружив зараженный файл, анализатор обычно выводит сообщение на экране монитора и делает запись в собствен­ном или системном журнале. В зависимости от настроек антивирус может также направлять сообщение об обнаруженном вирусе администратору сети. Эвристи­ческий анализ позволяет обнаруживать неизвестные ранее вирусы. Первый эв­ристический анализатор появился в начале 90-х годов прошлого века. Практически все современные антивирусные программы реализуют собственные методы эври­стического анализа. В качестве примера такой программы можно указать сканер McAffee VirusScan.

Антивирусный мониторинг. Суть данного метода состоит в том, что в памяти компьютера постоянно находится антивирусная программа, осуществляющая мо­ниторинг всех подозрительных действий, выполняемых другими программами. Антивирусный мониторинг позволяет проверять все запускаемые программы, со­здаваемые, открываемые и сохраняемые документы, файлы программ и докумен­тов, полученные через Интернет или скопированные на жесткий диск с дискеты либо компакт-диска. Антивирусный монитор сообщит пользователю, если какая-либо программа попытается выполнить потенциально опасное действие. Пример такой программы - сторож Spider Guard, который входит в комплект сканера Dr. Web и выполняет функции антивирусного монитора.

Метод обнаружения изменений. При реализации метода обнаружения измене­ний антивирусные программы, называемые ревизорами диска, запоминают пред­варительно характеристики всех областей диска, которые могут подвергнуться на­падению, а затем периодически проверяют их. Заражая компьютер, вирус изменяет содержимое жесткого диска: например, дописывает свой код в файл программы или документа, добавляет вызов программы-вируса в файл AUTOEXEC.BAT, из­меняет загрузочный сектор, создаст файл-спутник. При сопоставлении значений характеристик областей диска антивирусная программа может обнаружить изме­нения, сделанные как известным, так и неизвестным вирусом.

Встраивание антивирусов в BIOS компьютера. В системные платы компьюте­ров тоже встраивают простейшие средства защиты от вирусов. Эти средства по­зволяют контролировать все обращения к главной загрузочной записи жестких дисков, а также к загрузочным секторам дисков и дискет. Если какая-либо про­грамма пытается изменить содержимое загрузочных секторов, срабатывает защита и пользователь получает соответствующее предупреждение. Однако эта защита не очень надежна. Известны вирусы, которые пытаются отключить антивирусный контроль BIOS, изменяя некоторые ячейки в энергонезависимой памяти (CMOS-памяти) компьютера.

Дата добавления: 2014-01-07