Какие действия могут выполнять антивирусные программы

Какие действия могут выполнять антивирусные программы

При заражении компьютера вирусом важно его обнаружить. Для этого следует знать об основных признаках проявления вирусов:

— прекращение работы или неправильная работа ранее успешно функционировавших программ:
— медленная работа компьютера
— невозможность загрузки операционной системы
— исчезновение файлов и каталогов или искажение их содержимого
— изменение даты и времени модификации файлов
— изменение размеров файлов
— неожиданное значительное увеличение количества файлов на диске
— существенное уменьшение размера свободной оперативной памяти
— вывод на экран непредусмотренных сообщений или изображений
— подача непредусмотренных звуковых сигналов
— частые зависания и сбои в работе компьютера

Для защиты от вирусов можно использовать:

v общие средства защиты информации, которые полезны также и как страховка от физической порчи дисков, неправильно работающих программ или ошибочных действий пользователя;

v профилактические меры, позволяющие уменьшить вероятность заражения вирусом;

v специализированные программы для защиты от вирусов.

Общие средства защиты информации полезны не только для защиты от вирусов:

1. копирование информации — создание копий файлов и системных областей дисков;
2. разграничение доступа предотвращает несанкционированное использование информации, в частности, защиту от изменений программ и данных вирусами, неправильно работающими программами и ошибочными действиями пользователей.

v Не использовать сомнительные диски и другие носители информации

v Ограничить доступ к файлам программ, устанавливая для них, когда возможно, статус «только для чтения»

v При работе в сети, по возможности, не вызывайте программы из памяти других компьютеров.

v Храните программы и данные в архивах на дисках и в разных подкаталогах жесткого диска.

v Не копируйте программы для собственных нужд со случайных копий.

v Обязательно иметь антивирусную программу

Специализированные программы для защиты от вирусов

Антивирусные программы позволяют произвести защиту, обнаружение и удаление компьютерных вирусов. Все специализированные программы для защиты от вирусов можно разделить на несколько видов:

Ø фильтры и вакцины (иммунизаторы).

ПРОГРАММЫ-ДЕТЕКТОРЫ позволяют обнаруживать файлы, зараженные одним из нескольких известных вирусов. Эти программы проверяют, имеется ли в файлах на указанном пользователем диске специфическая для данного вируса комбинация байтов. При ее обнаружении в каком-либо файле на экран выводится соответствующее сообщение. Многие детекторы имеют режимы лечения или уничтожения зараженных файлов.

Следует подчеркнуть, что программы-детекторы могут обнаруживать только те вирусы, которые ей «известны». Некоторые программы-детекторы могут настраивать на новые типы вирусов, им необходимо лишь указать комбинации байтов, присущие этим вирусам. Тем не менее, невозможно разработать такую программу, которая могла бы обнаруживать любой заранее неизвестный вирус.

Таким образом, из того, что программа не опознается детекторами как зараженная, не следует, что она здорова — в ней могут сидеть какой-нибудь новый вирус или слегка модифицированная версия старого вируса, неизвестные программам-детекторам.

Большинство программ-детекторов имеют функцию «доктора», т.е. они пытаются вернуть зараженные файлы или области диска в их исходное состояние. Те файлы, которые не удалось восстановить, как правило, делаются неработоспособными или удаляются.

Dr.Web программа была создана в 1994 г. И. А. Даниловым и относится к классу детекторов-докторов, имеет так называемый «эвристический анализатор» — алгоритм, позволяющий обнаруживать неизвестные вирусы. «Лечебная паутина», как переводится с английского название программы, стала ответом отечественных программистов на нашествие самомодифицирующихся вирусов-мутантов. Последние, при размножении, модифицируют свое тело так, что не остается ни одной характерной цепочки байт, присутствовавшей в исходной версии вируса.

В пользу этой программы говорит тот факт, что крупную лицензию (на 2000 компьютеров) приобрело Главное управление информационных ресурсов при Президенте РФ, а второй по величине покупатель «паутины» — «Инкомбанк».

Aidstest — программа была изобретена ее в 1988 году Д.Н. Лозинским и является детектором-доктором. Программа Aidstest предназначена для исправления программ, зараженных обычными (неполиморфными) вирусами, не меняющими свой код. Это ограничение вызвано тем, что поиск вирусов этой программой ведется по опознавательным кодам. Зато при этом достигается очень высокая скорость проверки файлов.

РЕВИЗОРЫ имеют две стадии работы. Сначала они запоминают сведения о состоянии программ и системных областей дисков (загрузочного сектора и сектора с таблицей разбиения жесткого диска). Предполагается, что в этот момент программы и системные области дисков не заражены. После этого с помощью программы-ревизора можно в любой момент сравнить состояние программ и системных областей дисков с исходным. О выявленных несоответствиях сообщается пользователю.

ADinf (Advanced Diskinfoscope) относится к классу программ-ревизоров. Эта программа была создана Д. Ю. Мостовым в 1991 г.

Антивирус имеет высокую скорость работы, способен с успехом противостоять вирусам, находящимся в памяти. Он позволяет контролировать диск, читая его по секторам через BIOS и не используя системные прерывания DOS, которые может перехватить вирус.

Для лечения заражённых файлов применяется модуль ADinf Cure Module, не входящий в пакет ADinf и поставляющийся отдельно. Принцип работы модуля — сохранение небольшой базы данных, описывающей контролируемые файлы. Работая совместно, эти программы позволяют обнаружить и удалить около 97% файловых вирусов и 100% вирусов в загрузочном секторе. К примеру, нашумевший вирус SatanBug был легко обнаружен, и заражённые им файлы автоматически восстановлены. Причем, даже те пользователи, которые приобрели ADinf и ADinf Cure Module за несколько месяцев до появления этого вируса, смогли без труда от него избавиться.

AVP ( Anti — Virus Protection ) программа сочетает в себе и детектор, и доктор, и ревизор, и даже имеет некоторые функции резидентного фильтра (запрет записи в файлы с атрибутом READ ONLY). Антивирусный набор, являющийся расширенной версией известного антивирусного комплекта «Доктор Касперский». В процессе работы программы производится тестирование на неизвестные вирусы. Также в комплект входит резидентная программа, отслеживающая подозрительные действия, совершаемые на компьютере, и дающая возможность просматривать карту памяти. Специальный набор утилит помогает обнаруживать новые вирусы и разбираться в них.

Антивирус может лечить как известные, так и неизвестные вирусы, причем о способе лечения последних программе может сообщить сам пользователь. К тому же AVP может лечить самомодифицирующиеся и Stealth-вирусы (невидимки).

Norton Antivirus — антивирусный пакет относится к средствам типа «установил и забыл». Все необходимые параметры конфигурации и плановые мероприятия (проверка диска, проверка новых и модифицированных программ, запуск Windows-утилиты Auto-Protect, проверка boot-сектора диска A: перед перезагрузкой) устанавливаются по умолчанию. Программа сканирования диска существует для DOS и Windows. В числе прочих Norton AntiVirus обнаруживает и уничтожает даже полиморфные вирусы, а также успешно реагирует на вирусоподобную активность и борется с неизвестными вирусами.

ФИЛЬТРЫ или СТОРОЖА или МОНИТОРЫ , которые располагаются резидентно в оперативной памяти компьютера и перехватывают те обращения к операционной системе, которые используются вирусами для размножения и нанесения вреда, и сообщают о них пользователя. Пользователь может разрешить или запретить выполнение соответствующей операции.

Некоторые программы-фильтры не «ловят» подозрительные действия, а проверяют вызываемые на выполнение программы, на наличие вирусов. Это вызывает замедление работы компьютера.

Однако преимущества использования программ-фильтров весьма значительны – они позволяют обнаружить многие вирусы на самой ранней стадии, когда вирус еще не успел размножиться и что-либо испортить. Тем самым можно свести убытки от вируса к минимуму.

ВАКЦИНЫ , или ИММУНИЗАТОРЫ , модифицируют программы и диски таким образом, что это не отражается на работе программ, но тот вирус, от которого производится вакцинация, считает эти программы или диски уже зараженными. Эти программы крайне неэффективны. Отслеживают потенциально опасные операции, выдавая пользователю соответствующий запрос на разрешение/запрещение операции.

Недостатки антивирусных программ

Ø Ни одна из существующих антивирусных технологий не может обеспечить полной защиты от вирусов.

Ø Антивирусная программа забирает часть вычислительных ресурсов системы, нагружая центральный процессор и жёсткий диск. Особенно это может быть заметно на слабых компьютерах. Замедление в фоновом режиме работы может достигать 380 %.

Ø Антивирусные программы могут видеть угрозу там, где её нет (ложные срабатывания).

Ø Антивирусные программы загружают обновления из Интернета, тем самым расходуя трафик.

Ø Различные методы шифрования и упаковки вредоносных программ делают даже известные вирусы не обнаруживаемыми антивирусным программным обеспечением. Для обнаружения этих «замаскированных» вирусов требуется мощный механизм распаковки, который может дешифровать файлы перед их проверкой. Однако во многих антивирусных программах эта возможность отсутствует и, в связи с этим, часто невозможно обнаружить зашифрованные вирусы.

Существует большое количество платных и бесплатных антивирусных программ. Можно выделить следующие популярные торговые марки:

Лекция 13. Вирусы и антивирусные программы

13.1. Что такое компьютерный вирус

Программа, внутри которой находится вирус, называется зараженной (инфицированной) . Когда инфицированная программа начинает работу, то сначала управление получает вирус. Вирус заражает другие программы, а также выполняет запланированные деструктивные действия. Для маскировки вирус активизируется не всегда, а лишь при выполнении определенных условий (время, действие). После того, как вирус выполнит нужные ему действия, он передает управление той программе, в которой он находится.

Подобно настоящим вирусам, компьютерные вирусы прячутся, размножаются и ищут возможность перейти на другие ЭВМ.

13.2. Какой вред наносят вирусы

Различные вирусы выполняют различные деструктивные действия :

• выводят на экран мешающие текстовые сообщения;
• создают звуковые эффекты;
• создают видео эффекты;
• замедляют работу ЭВМ, постепенно уменьшают объем оперативной памяти;
• увеличивают износ оборудования;
• вызывают отказ отдельных устройств, зависание или перезагрузку компьютера и крах работы всей ЭВМ;
• имитируют повторяющиеся ошибки работы операционной системы;
• уничтожают FAT-таблицу, форматируют жесткий диск, стирают BIOS, стирают или изменяют установки в CMOS, стирают секторы на диске, уничтожают или искажают данные, стирают антивирусные программы;
• осуществляют научный, технический, промышленный и финансовый шпионаж;
• выводят из строя системы защиты информации, дают злоумышленникам тайный доступ к вычислительной машине;
• делают незаконные отчисления с каждой финансовой операции и т.д.;

Главная опасность самовоспроизводящихся кодов заключается в том, что программы-вирусы начинают жить собственной жизнью, практически не зависящей от разработчика программы. Так же, как в цепной реакции в ядерном реакторе, запущенный процесс трудно остановить.

13.3.Что показывает на вирусное заражение

Основные симптомы вирусного заражения ЭВМ следующие:

• замедление работы некоторых программ;
• увеличение размеров файлов;
• появление не существовавших ранее файлов;
• уменьшение объема доступной оперативной памяти;
• появление сбоев в работе операционной системы;
• запись информации на диски в моменты, когда этого не должно происходить.

13.4.Какие бывают вирусы

Рассмотрим основные виды вирусов . Существует большое число различных классификаций вирусов:

• по среде обитания:
  • сетевые вирусы, распространяемые различными компьютерными сетями;
  • файловые — инфицируют исполняемые файлы, имеющие расширение exe и com. К этому же классу относятся и макровирусы , написанные с помощью макрокоманд. Они заражают неисполняемые файлы (в Word, Excel);
  • загрузочные — внедряются в загрузочный сектор диска или в сектор, содержащий программу загрузки системного диска. Некоторые вирусы записываются в свободные секторы диска, помечая их в FAT-таблице как плохие;
  • загрузочно-файловые — интегрируют черты последних двух групп;

• по способу заражения (активизации):
  • резидентный вирус логически можно разделить на две части — инсталятор и резидентный модуль . При запуске инфицированной программы управление получает инсталятор, который выпоняет следующие действия:
    1. размещает резидентный модуль вируса в ОЗУ и выполняет операции, необходимые для того, чтобы последний хранился в ней постоянно;
    2. подменяет некоторые обработчики прерываний, чтобы резидентный модуль мог получать управление при возникновении определенных событий.

  • нерезидентный вирусы не заражают оперативную память и проявляют свою активность лишь однократно при запуске инфицированной программы;

• по степени опасности:
  • не опасные — звуковые и видеоэффекты;
  • опасные — уничтожают часть файлов на диске;
  • очень опасные — самостоятельно форматируют жесткий диск;

• по особенностям алгоритма:
  • компаньон-вирусы не изменяют файлы. Алгоритм их работы состоит в том, что они создают для exe-файлов новые файлы-спутники (дубликаты), имеющие то же имя, но с расширением com. (com-файл обнаруживается первым, а затем вирус запускает exe-файл);
  • паразитические — при распространении своих копий обязательно изменяют содержимое дисковых секторов или файлов (все вирусы кроме компаньонов и червей);
  • черви (репликаторы) — аналогично компаньонам не изменяют файлы и секторы диска. Они проникают в компьютер по сети, вычисляют сетевые адреса других компьютеров и рассылают по этих адресам свои копии. Черви уменьшают пропускную способность сети, замедляют работу серверов;
  • невидимки (стелс) — используют набор средств для маскировки своего присутствия в ЭВМ. Их трудно обнаружить, т.к. они перехватывают обращения ОС к пораженным файлам или секторам и подставляют незараженные участки файлов;
  • полиморфики (призраки, мутанты) — шифруют собственное тело различными способами. Их трудно обнаружить, т.к. их копии практически не содержат полностью совпадающих участков кода;
  • троянская программа — маскируется под полезную или интересную программу, выполняя во время своего функционирования еще и разрушительную работу или собирает на компьютере информацию, не подлежащую разглашению. В отличие от вирусов, троянские программы не обладают свойством самовоспроизводства.

• по целостности:
  • монолитные — программа представляет единый блок;
  • распределенные — программа разделена на части. Эти части содержат инструкции, которые указывают как собрать их воедино, чтобы воссоздать вирус.

13.5. Что такое антивирусная программа

Для борьбы с вирусами разрабатываются антивирусные программы .

Различают следующие виды:

• программы-детекторы рассчитаны на обнаружение конкретных, заранее известных программе вирусов и основаны на сравнении характерной последовательности байтов (сигнатур), содержащихся в теле вируса, с байтами проверяемых программ. Программы-детекторы снабжаются блоками эвристического анализа. В этом режиме делается попытка обнаружить новые или неизвестные вирусы по характерным для всех вирусов кодовым последовательностям.
• программы-дезинфекторы (фаги) не только находят зараженные файлы, но и лечат их, удаляя из файла тело программы-вируса. В России получили широкое распространение детекторы, одновременно выполняющие функции дезинфекторов: AVP, Aidstest, DoctorWeb.
• программы-ревизоры анализируют текущее состояние файлов и системных областей диска и сравнивают его с информацией, сохраненной ранее в одном из файлов ревизора. При этом проверяется состояние загрузочного сектора, FAT-таблицы, а также длина файлов, их время создания, атрибуты, контрольные суммы. (ADinf)
• программы-фильтры (мониторы) оповещают пользователя обо всех попытках какой-либо программы выполнить подозрительные действия. Фильтры контролируют обновление программных файлов и системной области диска, форматирование диска, резидентное размещение программ в ОЗУ.

13.6. Как защитить компьютер от вирусов

Рассмотрим основные меры по защите ЭВМ от заражения вирусами:

• Необходимо оснастить ЭВМ современными антивирусными программами и постоянно обновлять их версии.
• При работе в сети обязательно должна быть установлена программа-фильтр.
• Перед считыванием с дискет информации, записанной на других ЭВМ, следует всегда проверять эти дискеты на наличие вирусов.
• При переносе файлов в архивированном виде необходимо их проверять сразу же после разархивации.
• При работе на других компьютерах необходимо защищать свои дискеты от записи.
• Делать архивные копии ценной информации на других носителях.
• Не оставлять дискету в дисководе при включении или перезагрузке ЭВМ, это может привести к заражению загрузочными вирусами.
• Получив электронное письмо, к которому приложен исполняемый файл, не следует запускать этот файл без предварительной проверки.
• Необходимо иметь аварийную загрузочную дискету, с которой можно будет загрузиться, если система откажется сделать это обычным образом

Принципы работы антивируса

Антивирус – программа, ищущая вирусы, трояны, червей, бэкдоры и прочее нежелательное ПО на компьютере пользователя. Как правило антивирусы разрабатываются для семейства ОС Windows, что как бы намекает на следующие особенности этой операционки: а) большую распространенность, б) большую уязвимость к атакам, в) большую перспективность рынка антивирусов из-за высокой коммерциализации (а Windows – в большинстве релизов платная ОС) и г) увы, малую компьютерную грамотность её пользователей.

Антивирусы бывают платные и бесплатные. Подробно о плюсах и минусах обоих категорий мы говорить здесь не будем, замечу только лишь, что все не так однозначно, как может показаться на первый взгляд.

Если посмотреть со стороны на работу антивируса, его самого можно легко принять за вирус, но только со знаком плюс. Методы работы антивируса – слежение за сетевым трафиком, прослушивание портов, контроль служб, модификация и удаление файлов, сбор статистики и отправка данных разработчику ПО, изрядное потребление вычислительных мощностей… Разве что вывода из строя оборудования не хватает! Разумеется, все это направлено во благо пользователя и во имя сохранения его данных, но общая картина по меньшей мере любопытна. Кстати, именно из-за этой особенности крайне не рекомендуется устанавливать на одну машину сразу два антивируса. Мало того, что это без танцев с бубном редко кому удастся, так и последствия их совместной «работы» могут быть самыми причудливыми, вплоть до летальных для ОС.

В массовом сознании накрепко засел миф, что многие вирусы созданы самими антивирусными компаниями, точки над «i» в этом вопросе расставит неплохая статья здесь.

Разные антивирусы по-разному борются с вредоносным ПО. Все антивирусы могут обнаруживать вирусы, но, к сожалению, не все эффективно лечить. В состав антивируса могут входить несколько модулей, в зависимости от релиза и того, на что способна контора-разработчик антивируса. Модули могут быть следующие: модуль поиска нежелательного ПО, модуль анализа подозрительного поведения программ (эвристический модуль), карантинный модуль для изоляции подозрительных файлов, модуль обновлений – для поддержания актуальности новым угрозам, модуль «исцеления» зараженных файлов, брандмауэр, он же файрвол, и некоторые другие.

Антивирус не является панацеей! Это один из множества «бойцов», брошенных в бой с угрозами безопасности в бесконечной войне за информацию, причем не самый сильный. Никакой антивирус не дает 100% защиты в силу особенностей его функционирования.

К сожалению, большая часть работы антивируса направлена на устранение последствий «негигиеничной» рискованной, а иногда, увы, попросту неграмотной работы пользователя в Интернете, с внешними носителями данных и неизвестными приложениями.

Основные методы борьбы с вирусами

Сигнатурный метод обнаружения

Наверняка вы встречались с сообщениями антивируса, например, Антивируса Касперского, о том, что антивирусные базы устарели и их необходимо обновить. О каких базах идет речь?

Антивирусная лаборатория – разработчик антивируса – выявляет вирус, анализирует его, и выявляет так называемую сигнатуру. Сигнатура вируса (сигнатура атаки) – особый цифровой признак вредоносной программы, по которому её можно «узнать» и однозначно определить. Эти сигнатуры вносятся в базу данных, чье обновление регулярно скачивает пользователь вручную или по расписанию. Сообщение от антивируса об устаревании базы вирусов сигнализирует об ослаблении защиты и повышении вероятности подхватить какой-нибудь «свежак».

Достоинства этого метода:

1. Отработанная надежность. Метод применяется давно и с успехом, можно сказать что это основной метод обнаружения вируса.
2. Высокое быстродействие.

Недостатки:

1. Проблема лавинообразного увеличения сигнатур. Виноваты и рост количества новых вирусов и способность видоизменяться у «старых». В итоге базы сигнатур вырастают до неприличных размеров, так что теряется второе достоинство метода. Ситуацию разрешают путем особых оптимизаций, когда одна сигнатура описывает сразу множество вирусов, однако при этом возникает проблема ложных срабатываний, что уменьшает первое достоинство.
2. Проблема выявления новых вирусов. Считается, что сами пользователи вносят слишком маленький вклад в увеличение базы данных вирусов. То есть обнаружение новых вирусов – это как будто бы проблема разработчиков антивируса, что с одной стороны кажется справедливым, с другой является нарушением принципа «безопасность – дело каждого». Во многих антивирусах встроена функция «отправить на проверку», которой следует невозбранно пользоваться. Основные методы решения проблемы – это взаимный обмен информацией с другими антивирусными конторами, эвристический, (то есть интеллектуальный, использующих особый алгоритм) поиск вирусов в Интернете, быстрая реакция во время эпидемий и сознательность системных инженеров, анализирующих подозрительную активность в сети.

Эвристические методы обнаружения

Многие антивирусные программы содержат в себе модуль так называемого эвристического поиска вредоносных программ. Суть метода в анализе поведения всех запускаемых программ. Если в процессе работы системы вдруг обнаруживается «подозрительное» поведение приложения, то есть программа вдруг начинает делать то, что раньше не делала, то срабатывает тревога и эвристический модуль сообщает пользователю о потенциальной угрозе.

Достоинства метода:

1. Весьма перспективное направление, в будущем возможности эвристического модуля возрастут и компьютер и информация будут лучше защищены от неожиданных и новейших угроз.
2. Эвристический модуль может реагировать на угрозы, информации о которых нет в базе сигнатур.

Недостатки метода:

1. Ложное срабатывание на безопасные события. В итоге пользователь может в раздражении отключить эвристический модуль, уменьшив защиту.
2. Из-за особенностей работы эвристического модуля есть проблема излишнего потребления вычислительных мощностей. Попросту говоря, антивирус сжирает всю память и процессор, в итоге не то что в игры не поиграешь, в Word`е толком не поработаешь. Итог тот же – отключение модуля и уменьшение защиты.

Брандмауэр или файрвол

Брандмауэр предназначен для защиты от сетевых угроз – из локальной сети и Интернета.

Этот модуль далеко не всегда входит в стандартный набор антивируса, зачастую брандмауэр разрабатывается, поставляется и продается как отдельная программа.

Многие программы для соединения с удаленными компьютерами или серверами могут использовать небезопасные методы, оставляя «дырки» и уязвимости для проникновения извне.

Суть работы брандмауэра в контроле как входящего, так и исходящего трафика путем ограничения возможности устанавливать соединения с определенными удаленными ресурсами. Самый наглядный метод защиты – белые и черные списки сетевых ресурсов.

«Черный» список сетевых ресурсов – это список, например, сайтов, куда заходить нельзя, а «белый» список – это список ресурсов, куда только и можно заходить. Как нетрудно заметить, метод белого списка значительно более безопасен, но и сильно ограничивает возможности пользователя и программ.

Достоинства брандмауэра:

1. Настройки брандмауэра позволяют обеспечить возможность сетевого взаимодействия только с проверенными ресурсами, отсекая все потенциально опасные и непроверенные.
2. Может быть установлен на сетевом шлюзе локальной сети, то есть на сервере, «раздающем» доступ в Интернет компьютерам, например, школы, при этом не тратя вычислительные ресурсы пользовательских машин.

Недостатки брандмауэра:

1. Недостаток брандмауэра логически вытекает из его достоинства: для качественной настройки файрвола требуются хорошие знания сетевых протоколов и особенностей работы сетевых приложений. Брандмауэр, работающий с настройками «по умолчанию» мало от чего способен защитить.

Антивирусные программы

Обеспечения

Обнаружение и нейтрализация вредоносного программного

Антивирусные программы являются основным и наиболее эффективным средством защиты от вредоносного программного обеспечения. Хорошая антивирусная программа должна удовлетворять ряду требований, к основным из которых относятся:

1) способность надежно обнаруживать все распространенные типы опасных вредоносных программ;

2) способность выполнять лечение инфицированных объектов;

3) удобство в использовании;

4) скорость и стабильность работы;

5) способность выполнять сканирование объектов «по запросу»;

6) способность выполнять сканирование «на лету» – постоянный в реальном времени мониторинг объектов, к которым происходит обращение (открытие, запуск и т. п.);

7) оперативность выпуска обновлений антивируса при появлении новых видов вредоносных программ;

8) способность эвристического анализа;

9) способность надежно детектировать вредоносный код в электронных почтовых сообщениях;

10) существование версий антивирусного ПО для различных платформ и для серверов.

Хорошая антивирусная программа должна не только обеспечивать минимально возможную вероятность пропуска вредоносного кода, но и давать малый процент ложных срабатываний – ошибочных решений об инфицировании объекта, который в действительности зараженным не является. Приведенные требования являются противоречивыми и трудно

реализуемыми, особенно когда выполняется эвристический анализ.

Возможность сканирования «на лету» реализуется, если антивирусная программа резидентно находится в памяти компьютера и принудительно

проверяет объекты в автоматическом режиме без запроса пользователя. Это

позволяет предотвратить инфицирование компьютера, в частности, при копировании на него зараженных файлов.

В зависимости от принципа действия можно указать несколько

разновидностей антивирусных программ:

Антивирусный сканер – антивирусная программа, осуществляющая

поиск известных вирусов по маске вируса путем сканирования файлов,

секторов и системной памяти. Такие программы иногда называют

Сигнатурой вируса называется уникальная последовательность кода,

специфическая для данного конкретного вируса и однозначно его идентифицирующая. Сигнатура может быть сплошной или разреженной. В

случае разреженной сигнатуры между уникальными постоянными для данного вируса байтами кода могут находиться другие байты, нехарактерные

для этого вируса. Поиск по маске вируса и есть поиск по разреженной сигнатуре. Таким образом, маской вируса называется специфическая для

данного конкретного вируса разреженная сигнатура, по которой ведется

Так как программы-детекторы выявляют вирусы путем поиска характерных для вирусов участков кода (сигнатур), которые записаны в

антивирусной базе программы, то известные вирусы обнаруживаются надежно, хотя процесс сканирования может занимать значительное время.

Полиморфные вирусы могут не содержать ни одного постоянного участка кода и простым сигнатурным поиском не могут быть выявлены.

Обнаружение полиморфик-вирусов требует использования специальных

методик, наиболее известной из которых является эмуляция процессора,

«заставляющая» вирус выполнить расшифровку его тела, после чего вирус

может быть обнаружен с помощью сигнатурного поиска.

Для выявления новых, ранее не наблюдавшихся видов и разновидностей вредоносных программ, сигнатуры которых отсутствуют в

антивирусной базе, сканеры могут использовать алгоритмы эвристического

Эвристический анализ в антивирусных программах − анализ объектов

с целью выявления в них последовательностей команд, возможно присущих

вредоносной программе. Решение эвристического анализатора носит вероятностный характер, возможен и пропуск вредоносного кода, и «ложная тревога», причем стремление повысить вероятность обнаружения вредоносных программ неизбежно приводит к увеличению ошибочного детектирования несуществующего в действительности вредоносного кода. Несмотря на возможные ошибочные решения, эвристический анализ позволяет существенно повысить эффективность работы антивирусного сканера как по обнаружению новых видов вирусов, так и полиморфик-вирусов и вирус генераторов. Полиморфик-вирусы, которые не имеют постоянных сигнатур, эвристический анализатор может выявить по присущим им характерным алгоритмам. Вирус-генераторы, представляющие собой специализированные библиотеки, позволяющие конструировать вирусы с изменяющейся сигнатурой, могут детектироваться по вызовам внешних процедур.

Антивирусные сканеры являются наиболее универсальными и весьма

эффективными антивирусными программами. Как правило, антивирусные сканеры способны не только обнаруживать вредоносные программы, но и лечить зараженные объекты, хотя, конечно, лечение возможно не во всех случаях. Для надежного выявления новых вирусов и других вредоносных программ необходимо выполнять регулярное пополнение антивирусной базы

сканера. Недостатком антивирусных сканеров является низкое быстродействие, обусловленное временными затратами, необходимыми на

просмотр антивирусных баз.

CRC-сканер − антивирусная программа-ревизор, осуществляющая выявление вирусов по изменению ранее подсчитанных и запомненных CRC-

сумм (контрольных сумм) файлов и системных секторов, а также других параметров файлов, которыми могут являться размер файла, дата и время создания или модификации и т. п.). При обнаружении несоответствий программа-ревизор выдает сообщение пользователю, который анализируя это сообщение, должен принять решение, чем обусловлены выявленные изменения − наличием вируса или другими причинами.

Достоинством CRC-сканеров является способность выявлять даже трудно детектируемые стелс-вирусы. Недостатком CRC-сканеров является неспособность обнаруживать вирусы в новых или восстанавливаемых из

резервных копий файлах, в сообщениях электронной почты, а также в момент внедрения вируса в компьютер. Также CRC-сканеры не могут выявлять вирусы, которые запрограммированы заражать только вновь создаваемые файлы.

Антивирусный монитор – резидентная антивирусная программа, выявляющая вредоносные программы по характерным для них действиям. К

действиям, которые перехватывает антивирусный монитор (еще называемый

антивирусом-фильтром), относятся вызовы на открытие для записи в выполняемые файлы, запись в загрузочные секторы дисков, попытки

программ остаться в памяти резидентно и другие действия, специфичные для

размножающихся и активирующихся вирусов [7]. Достоинством антивирусных мониторов является способность выявлять вирусы, в том числе прежде неизвестные, на ранней стадии размножения, недостатком –

множество возможностей нейтрализации монитора и большое число ложных

срабатываний. Антивирусные мониторы используются крайне редко, причем

обычно в составе аппаратных компонентов компьютеров, например, как антивирусная защита BIOS.

Иммунизатор − антивирусная программа, блокирующая заражение определенным типом вируса путем модификации файлов, придающей им признаки заражения. Это обеспечивает защиту, но только от определенного

вируса, так как вирус сочтет, что эти файлы уже инфицированы им ранее.

Существует разновидность иммунизаторов, которые записываются в конец

файла и при запуске файла проверяют его на изменение, что позволяет выявлять вирусное заражение файла. Антивирусы-иммунизаторы не способны выявлять стелс-вирусы, а защиту могут обеспечить лишь от немногих типов вирусов, что обусловливает их крайне низкую эффективность

Проверка файлов с помощью разных антивирусных программ позволяет повысить надежность обнаружения вредоносных программ, но как правило, на одном компьютере может быть установлена только одна мощная антивирусная программа, в противном случае возможно нарушение работы

системы вследствие конфликта антивирусных программ. В то же время часто

возможна установка и одновременная корректная работа в одной системе

антивирусной, антитроянской и антишпионской программ, а также межсетевого экрана. Повышение надежности обнаружения вредоносных

программ возможно путем выполнения проверки подозрительных файлов на

разных компьютерах с установленными на них разными антивирусными программами. Такая мера может способствовать не только более эффективному детектированию вредоносных программ, но и уменьшению

вероятности ошибочного решения о наличии вредоносной программы, когда

в действительности ее нет. К числу хорошо зарекомендовавших себя антивирусных программ относятся Антивирус Касперского Personal Pro,

Kaspersky Intrnet Security и другие разработки Лаборатории Касперского

(www.kaspersky.ru), антивирусная программа DrWeb Игоря Данилова (www.drweb.ru), антивирусные программы корпораций Symantec (www.symantec.com), McAfee (www.mcafee.com), Panda (www.pandasoftware.com).

Не нашли то, что искали? Воспользуйтесь поиском:

Лучшие изречения: Сдача сессии и защита диплома — страшная бессонница, которая потом кажется страшным сном. 9235 — | 7438 — или читать все.