14.5. Меры и средства защиты от компьютерных вирусов

Среди комплекса мер и средств защиты, применяемых для противодействия компьютерным вирусам и другим типам вредоносных программ, можно выделить следующие виды:

1. Юридические меры защиты от компьютерных вирусов.

Для успешной борьбы с распространением вирусов и других типов вредоносных программ в нашей стране необходимо совершенствовать отечественное законодательство в этой области.

2. Административные и организационные меры защиты от компьютерных вирусов. На современном этапе являются более действенными. Они заключаются в составлении четких планов профилактических мероприятий и планов действия на случай возникновения заражений. В подразделениях предприятий и организаций, связанных с эксплуатацией программного обеспечения, должны применяться жесткие административные и организационные меры для предупреждения заражения вирусами.

Возможны следующие способы проникновения вируса или другого типа вредоносной программы в эксплуатируемую систему:

• вирус или другая вредоносная программа поступает вместе с программным обеспечением, предназначенным для последующего использования в работе;

• вирус или другой тип вредоносной программы поступает в систему при приеме сообщений по сети;

• вирус или другая вредоносная программа приносятся персоналом

• с программами, не относящимися к эксплуатируемой системе;

• вирус или другой тип вредоносной программы преднамеренно создаются обслуживающим персоналом.

• Источник вируса легко выявляется, если в эксплуатируемой информационной системе производится разграничение доступа пользователей к привилегированным функциям и оборудованию, присутствуют надежные средства регистрации процесса всего технологического цикла, включая регистрацию внутримашинных процессов. Особенно важными являются меры разграничения доступа в вычислительных сетях.

3. Программно-аппаратные меры защиты основаны на использовании программных антивирусных средств и специальных аппаратных средств (специальных плат), с помощью которых производится контроль зараженности вычислительной системы, контроль доступа, шифрование данных и регистрация попыток обращения к данным.

Наиболее часто в информационных системах используются два метода защиты от вирусов с помощью использования специального программного обеспечения:

1. Применение «иммуностойких» программных средств, защищенных от возможности несанкционированной модификации (разграничение доступа, методы самоконтроля и самовосстановления).

2. Применение специальных антивирусных программных средств, осуществляющих:

• - постоянный контроль возникновения отклонений в деятельности прикладных программ;

• - периодическую проверку наличия других возможных следов вирусной активности (например, обнаружение нарушений целостности программного обеспечения);

• - входной контроль новых программ и файлов перед их использованием (по характерным признакам наличия в их теле вирусных образований).

Защита от вирусов должна быть элементом политики безопасности организации, которую понимают и соблюдают все пользователи системы.

Для того чтобы сформулировать главные принципы антивирусной политики безопасности, необходимо вспомнить основные моменты, относящиеся к вирусной атаке.

1. Вирусная атака состоит из двух фаз - фаза заражения и фаза распространения (и, возможно, выполнения деструктивных действий).

2. Современные вирусы часто распространяются не только с помощью исполняемых файлов, но и с помощью файлов-документов популярных программ.

3. Современные вирусы при атаке часто используют возможности Интернет.

Очевидно, что лучший способ борьбы с атакой - предотвращение. Решение этой задачи предусматривает ряд действий.

1. Необходимо соответствующим образом сконфигурировать антивирусное программное обеспечение. Для этого произвести следующие установки антивируса:

• сканирование в режиме реального времени, в фоновом или аналогичном режиме, должно быть разрешено;

• при старте системы должны сканироваться память, загрузочный сектор и системные файлы;

• своевременно обновлять вирусные базы данных;

• желательно сканировать все типы файлов или как минимум *.com, *.exe файлы, а также файлы типа *.vbs, *.shs, *.ocx;

• установить аудит всех действий антивирусных программ.

2. Использовать только лицензионное программное обеспечение. Программное обеспечение, полученное из неизвестного источника, может быть зараженно.

3. Ограничить набор программ, которые пользователь способен установить в системе (посторонние программы могут быть заражены вирусами или служить причиной успеха других атак). Особо следует обратить внимание на различные сервисы Интернет и, в первую очередь, на программы передачи сообщений, такие как IRC, ICQ, Microsoft Chat (они могут передавать файлы и служить источником заражения системы).

4. Желательно устранить известные уязвимости в используемом программном обеспечении (они обычно публикуются в списках рассылки Internet, а также на специальных сайтах). В качестве источника информации об уязвимостях можно порекомендовать базу данных на сайте www.securityfocus.com.

5. Контролировать использование накопителей. В идеале вся информация, содержащаяся на носителях, должна быть проверена на наличие вирусов до того, как к ней будет осуществлен доступ со стороны пользователей вычислительной системы.

6. Разработать политику обработки электронной почты (как составной элемент политики безопасности). Сообщения электронной почты - один из самых популярных и быстрых способов распространения вирусов. Для защиты от проникновения вирусов через сообщения электронной почты каждый пользователь системы должен:

• никогда не открывать сразу почтовое вложение в пришедшем ему сообщении, а сохранять его в определенном "карантинном" каталоге;

• если отправитель неизвестен, сообщение с вложением может быть удалено, но даже когда отправитель известен, сообщение может содержать вирус, поэтому общее правило формулируется следующим образом: никогда не открывать почтовых вложений, которые не были запрошены или о которых не было уведомления от отправителя;

• перед открытием вложения обязательно проверить его с помощью антивирусного программного обеспечения;

• если после выполнения всех этих процедур остались сомнения, стоит связаться с отправителем и выяснить у него информацию о посланном вложении;

• устранить возможные уязвимости в клиентском почтовом программном обеспечении.

7. Разработать политику безопасности приложений (особенно если в организации используется семейство продуктов Microsoft Office), обрабатывающих документы с интерпретируемыми языками (как составной элемент политики безопасности).

Что делать, если заражение уже произошло?

Первый шаг при обнаружении атаки на систему - идентификация. Для успешной идентификации атаки необходимо наличие загрузочного диска, создаваемого при установке системы, и осуществление загрузки системы с его помощью.

Если атака идентифицируется антивирусом, проблема решается фактически моментально. Но, если вы имеете дело с неизвестным вирусом, во многих случаях критичным является время, за которое была идентифицирована атака. Поэтому большое значение имеет способность пользователя быстро обнаружить вирусную атаку (признаками могут служить массовая рассылка почты, уничтожение файлов и т.д.). Сложность идентификации часто зависит от сложности самой атаки. На данном этапе желательно установить как минимум следующие признаки: сам факт атаки, ее тип (сетевая или локальная) и источник происхождения.

Вне зависимости от типа операционной системы необходимо обращать внимание на следующую активность в системе:

• целостность программного обеспечения, используемого для обнаружения нарушителя;

• целостность критичных для безопасности системы программ и данных;

• операции в системе и сетевой трафик.

Если вы смогли определить факт вирусного заражения неизвестным вирусом (или у вас есть такие небезосновательные подозрения), то желательно обратиться к производителю используемого антивирусного программного обеспечения.

И, наконец, необходимо провести анализ последствий вирусной атаки. Если в вашей системе обрабатывались какие-то ценные данные, то настоятельно рекомендуется иметь их резервную копию. Для этого в организации должны быть разработаны правила резервного копирования. К сожалению, если резервная копия отсутствует, данные могут быть утеряны (это уже зависит не от вас, а от злоумышленника, написавшего вирус).

После оценки ущерба нужно устранить причины, приведшие к проникновению вируса в систему с использованием способов, описанных выше.

В любом случае необходимо помнить: наличие адекватных средств защиты и дисциплины их применения позволяет если не избежать вирусной атаки, то, по крайней мере, минимизировать ее последствия.

В целях защиты информационной технологии от компьютерных вирусов необходимо соблюдать следующие правила:

Правило первое. Следует осторожно относиться к программам и документам, полученным из глобальных сетей. Перед тем, как запустить файл на выполнение или открыть документ, базу данных и прочее, необходимо в обязательном порядке проверить их на наличие вирусов.

Правило второе. Для уменьшения риска заразить файл на сервере локальной вычислительной сети следует активно использовать стандартные возможности защиты сетей:

• ограничение прав пользователей;

• установку атрибутов «только для чтения» или «только на запуск» для выполняемых файлов;

• скрытие (закрытие) важных разделов диска и директорий.

В локальных вычислительных сетях следует использовать специализированные антивирусные средства, проверяющие все файлы, к которым идет обращение. Если это по каким-либо причинам невозможно, необходимо регулярно проверять сервер обычными антивирусными средствами. Необходимо также перед тем, как запустить новое программное обеспечение, проверить его на тестовом персональном компьютере , не подключенном к общей сети.

Правило третье. Следует приобретать дистрибутивные копии программных продуктов у официальных поставщиков. При этом значительно снижается вероятность заражения.

Правило четвертое. Следует хранить дистрибутивные копии программного обеспечения (в том числе копии операционной системы), причем копии желательно хранить на защищенных от записи машинных носителях.

Следует пользоваться только хорошо зарекомендовавшими себя источниками программного обеспечения.

Правило пятое. Не следует запускать непроверенные файлы, в том числе полученные из компьютерной сети. Желательно использовать только программы, полученные из надежных источников. Перед запуском новых программ обязательно следует проверять их одним или несколькими антивирусными средствами.

Правило шестое. Необходимо пользоваться утилитами проверки целостности информации. Такие утилиты сохраняют в специальных базах данных информацию о системных областях дисков (или целиком системные области) и информацию о файлах. Следует периодически сравнивать информацию, хранящуюся в подобной базе данных, с информацией , записанной на винчестере. Любое несоответствие может служить сигналом о появлении вируса.

Правило седьмое. Следует периодически сохранять на внешнем носителе файлы, с которыми ведется работа.

Для эффективности защиты информации от компьютерных вирусов необходимо использовать комплекс всех известных способов и средств, выполняя мероприятия непрерывно.