28)Антивирусные средства.

Для защиты от проникновения вирусов необходимо проводить меро­приятия, исключающие заражение программ и данных компьютерной сис­темы. Основными источниками проникновения вирусов являются коммуни­кационные сети и съемные носители информации. Для исключения проник­новения вирусов через коммуникационную сеть необходимо осущест­влять автоматический входной контроль всех данных, поступающих по сети, кото­рый выполняется сетевым экраном (брандмауэром), принимающим па­кеты из сети только от надежных источников. Рекомендуется проверять всю элек­тронную почту на наличие вирусов, а почту, полученную от неизвестных ис­точников, удалять не читая. Для исключения проникновения вирусов через съемные носители необходимо ограничить число пользователей, которые мо­гут записывать на жесткий диск файлы и запускать программы со съемных носителей (обычно это право дается только администратору системы). В обя­зательном порядке при подключении съемного носителя его следует про­ве­рять специальной антивирусной программой.

Для обнаружения и удаления компьютерных вирусов разработано много различных программ, которые позволяют обнаруживать их и уничтожать («ле­чить» зараженные ресурсы). Антивирусные программы, выявляю­щие известные компью­терные ви­русы, на­зываются сканерами или детекто­рами. Эти программы проверяют, имеется ли в файлах на указанном пользо­вателем диске специфическая для данного вируса комбинация байтов (выяв­ляют компьютерный вирус по уникальному фрагменту программного кода - «сиг­натуры ви­руса»). При этом про­граммы, включающие функции восста­новле­ния заражен­ных файлов, называют фагами и полифагами (по­следние служат для об­на­ру­жения и уничтожения большого количества разнообраз­ных виру­сов). При­мером сканера-полифага является знакомая программа Aidstest. Сканеры принято разделять на:

• транзитные, периодически запускаемые для выявления и ликвидации виру­сов, т.е. «сканирование по запросу» («on-demand»);

• резидентные (постоянно находящиеся в оперативной па­мяти), проверяю­щие за­данные области памяти системы при возникновении некоторых со­бы­тий (на­при­мер, проверка файла при его копировании или переиме­нова­нии). Эти про­граммы осущест­вляют так называемое «сканирование на лету» - посто­ян­ную проверку на вирусы объек­тов, к ко­торым происхо­дит обращение. В этом ре­жиме антивирус посто­янно активен, он присут­ствует в памяти «резидентно» и про­веряет объ­екты без за­проса пользователя.

Недостатком сканеров является то, что они позво­ляют обнаружить из­вест­ные ви­русы (для их эффективной работы надо оперативно попол­нять базу данных сканирования). Некоторые вирусы (например, му­танты) видо­изме­няют свой про­граммный код. Это затрудняет или исклю­чает воз­мож­ность об­наружения вирусов методом скани­рования.

Наиболее эффективным методом выявления и лик­видации неизвестных виру­сов является контроль целостно­сти системы (обнаружение изменений). Данный ме­тод заключа­ется в проверке и сравнении текущих параметров вы­числитель­ной сис­темы с эталонным, соответствующим ее незараженно­му со­стоянию. Для реализации указанных функций используются програм­мы, на­зы­ваемые ревизорами. Работа ре­визора состоит из двух этапов: фиксирова­ние эталонных характеристик вычисли­тельной системы (в основном диска) и пе­риодическое сравнение их с те­кущими ха­рактеристиками (к ним отно­сятся: контрольная сумма, длина, время, ат­рибут «только для чтения» файлов, де­рево каталогов, сбойные класте­ры, за­грузоч­ные сектора дисков). Ревизоры, как и сканеры, делятся на транзитные и рези­дентные.

К недос­таткам ревизоров (в первую очередь резидентных) от­носят соз­давае­мые ими всякие неудобства в работе пользователя (многие изме­нения пара­метров системы, например, могут быть вызваны не вирусами, а рабо­той систем­ных программ или дейст­виями пользователя-програм­миста). Ре­ви­зоры обеспечи­вают высокий уро­вень выявления неиз­вестных компьютер­ных ви­русов, однако они не всегда обеспечи­вают корректное лечение зара­жен­ных файлов (примером ре­визора явля­ется программа ADinf фир­мы «Диа­лог­Наука»).

Разновидностью контроля целостности системы является ме­тод про­грамм­ного самоконтроля, именуемый вакцинацией (антивирусные про­граммы вакцины). Идея метода состоит в модифи­кации за­щищаемой про­граммы таким образом, что это не отража­ется на ее ра­боте, но ви­рус, от ко­торого производится вакцина­ция, считает ее уже зара­жен­ной и не внедря­ется.

Помимо статистических методов контроля целостности, для выявле­ния неиз­вестных и маскирующихся вирусов используют­ся эвристические ме­тоды. Они по­зволяют выявить (по характерным для вирусов кодовым по­сле­дователь­ностям, оп­ределенным в базе знаний системы) неизвестные ви­русы. Про­граммный мо­дуль, реализующий эвристический метод обнару­же­ния виру­сов, называют эвристическим анализатором (примером сканера с эв­ри­стиче­ским анализатором является про­грамма DrWeb фирмы «Диа­лог­Наука»). К не­дос­таткам эвристических анализаторов можно отнести ложные срабатывания и пропуск вирусов. Соотношение указанных ошибок зависит от уровня эври­стики. Понятно, что если для обнаруженного эври­стическим ана­лизато­ром компьютерного вируса сигнатура в базе данных сканирова­ния от­сутствует, то лечение зараженных данных может быть не­корректным.

Блокировка проявления ви­русов предназначена для защиты от деструк­тив­ных действий и размножения компьютерных вирусов, которым удалось преодо­леть первые два уровня защиты (поиск и уничтожение из­вестных и не­извест­ных виру­сов). Методы блокировки основаны на перехвате характер­ных для вирусов функ­ций. Известны два вида указан­ных антивирус­ных сред­ства:

• программы-фильтры;

• аппаратные средства контроля.

Программы-фильтры (называемые также резидентными сто­рожами и мо­ниторами) постоянно находятся в оперативной па­мяти и перехватывают за­данные прерывания с целью контроля подозрительных действий. При этом они могут бло­кировать «опасные» действия или выдавать запрос пользова­телю (как и ревизоры, фильтры часто создают определенные неудобства в работе поль­зователя).

Встроенные аппаратные средства ПК обеспечивают контроль модифи­кации системного загрузчика и таблицы разделов жест­кого диска, находя­щихся в главном загрузочном секторе диска. Включение указанных возмож­ностей в ПК осуществля­ется с помощью программы Setup, расположенной в ПЗУ.

Наиболее полная защита от вирусов может быть обеспечена с помо­щью специ­аль­ных контроллеров аппаратной защиты. Такой контроллер подключа­ется к ISA-шине ПК и на аппаратном уров­не контролирует все об­ращения к дисковой подсис­теме компью­тера. Это не позволяет вирусам мас­кировать себя. Контроллер может быть сконфигурирован так, чтобы контро­лировать отдель­ные файлы, логические разделы, «опасные» опера­ции и т.д. Примером специ­альных контроллеров аппарат­ной за­щиты явля­ется плата Sheriff предприятия Фом-Софт.

Одним из наиболее популярных у российских пользователей (и распро­страненных) антивирусных средств является сис­тема AVP, соз­данная в Рос­сии «Лабораторией Касперского», первоначально представлявшая тандем двух программ: сканера и ревизора. В настоя­щее время AVP пре­тер­пела су­щественные усовершенствова­ния и включает все основные элементы анти­вирусной программной защиты компьютера и ло­каль­ной сети (неодно­кратно вхо­дила в тройку наилучших в мире антиви­русных про­дуктов поиска и уда­ления ком­пьютерных вирусов в автономном компьютере). Сис­тема AVP со­четает уникальную функциональность, добротный пользовательский интер­фейс и высокий уровень защиты от вирусов. Она охватывает все возможные источники проникновения вирусной угрозы – съемные и постоянные файло­вые носители, электронную почту и Интернет. Использование «Антивируса Касперского» обеспечивает полное восстановление работоспособности сис­темы при вирусной атаке.

Весьма популярным также является антивирусный пакет Doctor Web для Windows 2000/XP, который представляет собой комбинацию антивирусного сканера Doctor Web (одного из самых совершенных в мире эвристических анализаторов) и резидентного сторожа Spider Guard (интегрированного в ОС компьютера). Этот пакет (в сочетании с ежедневно обновляющимися вирус­ными базами), является надежной защитой от вирусов всех классов.