Типичные возможности

• фильтрация доступа к заведомо незащищенным службам;

• препятствование получению закрытой информации из защищенной подсети, а также внедрению в защищенную подсеть ложных данных с помощью уязвимых служб;

• контроль доступа к узлам сети;

• может регистрировать все попытки доступа как извне, так и из внутренней сети, что позволяет вести учёт использования доступа в Интернет отдельными узлами сети;

• регламентирование порядка доступа к сети;

• уведомление о подозрительной деятельности, попытках зондирования или атаки на узлы сети или сам экран;

Вследствие защитных ограничений могут быть заблокированы некоторые необходимые пользователю службы, такие как Telnet, FTP, SMB, NFS, и так далее. Поэтому настройка файрвола требует участия специалиста по сетевой безопасности. В противном случае вред от неправильного конфигурирования может превысить пользу.

Так же следует отметить, что использование файрвола увеличивает время отклика и снижает пропускную способность, поскольку фильтрация происходит не мгновенно.

Проблемы, не решаемые файрволом

Межсетевой экран сам по себе не панацея от всех угроз для сети. В частности, он:

• не защищает узлы сети от проникновения через «люки» (англ. back doors) или уязвимости ПО;

• не обеспечивает защиту от многих внутренних угроз, в первую очередь — утечки данных;

• не защищает от загрузки пользователями вредоносных программ, в том числе вирусов;

Для решения последних двух проблем используются соответствующие дополнительные средства, в частности, антивирусы. Обычно они подключаются к файрволу и пропускают через себя соответствующую часть сетевого трафика, работая как прозрачный для прочих сетевых узлов прокси, или же получают с файрвола копию всех пересылаемых данных. Однако такой анализ требует значительных аппаратных ресурсов, поэтому обычно проводится на каждом узле сети самостоятельно.

9. Основные аспекты развития вредоносных программ.

10. Классы вредоносных программ: вредоносное ПО.

По основному определению, вредоносные программы предназначены для получения несанкционированного доступа к информации, в обход существующих правил разграничения доступа.

Корпорация Microsoft трактует термин «вредоносная программа» следующим образом: «Вредоносная программа (malware) — это сокращение от „malicious software“, обычно используемое как общепринятый термин для обозначения любого программного обеспечения, специально созданного для того, чтобы причинять ущерб отдельному компьютеру, серверу, или компьютерной сети, независимо от того, является ли оно вирусом, шпионской программой и т. д.»

Классификация вредоносных программ

У каждой компании-разработчика антивирусного программного обеспечения существует собственная корпоративная классификация и номенклатура вредоносных программ. Приведённая в этой статье классификация основана на номенклатуре «Лаборатории Касперского».

• Помехи в работе заражённого компьютера: начиная от открытия-закрытия поддона CD-ROM и заканчивая уничтожением данных и поломкой аппаратного обеспечения. Поломками известен, в частности, Win32.CIH.

  • Блокировка антивирусных сайтов, антивирусного ПО и административных функций ОС с целью усложнить лечение.

  • Саботирование промышленных процессов, управляемых компьютером (этом известен червь Stuxnet).

• Инсталляция другого вредоносного ПО.

  • Загрузка из сети (downloader).

  • Распаковка другой вредоносной программы, уже содержащейся внутри файла (dropper).

• Кража, мошенничество, вымогательство и шпионаж за пользователем. Для кражи может применяться сканирование жёсткого диска, регистрация нажатий клавиш (Keylogger) и перенаправление пользователя на поддельные сайты, в точности повторяющие исходные ресурсы.

  • Похищение данных, представляющих ценность или тайну.

  • Кража аккаунтов различных служб (электронной почты, мессенджеров, игровых серверов…). Аккаунты применяются для рассылки спама. Также через электронную почту зачастую можно заполучить пароли от других аккаунтов, а виртуальное имущество в MMOG — продать.

  • Кража аккаунтов платёжных систем.

  • Блокировка компьютера, шифрование файлов пользователя с целью шантажа и вымогательства денежных средств (см. Ransomware). В большинстве случаев после оплаты компьютер или не разблокируется, или вскоре блокируется второй раз.

  • Использование телефонного модема для совершения дорогостоящих звонков, что влечёт за собой значительные суммы в телефонных счетах.

  • Платное ПО, имитирующее, например, антивирус, но ничего полезного не делающее (fraudware или scareware). Также бывали случаи, когда продавали ClamAV под собственным брендом; подчас дороже, чем антивирус Касперского.

• Прочая незаконная деятельность:

  • Получение несанкционированного (и/или дарового) доступа к ресурсам самого компьютера или третьим ресурсам, доступным через него, в том числе прямое управление компьютером (так называемый backdoor).

  • Организация на компьютере открытых релеев и общедоступных прокси-серверов.

  • Заражённый компьютер (в составе ботнета) может быть использован для проведения DDoS-атак.

  • Сбор адресов электронной почты и распространение спама, в том числе в составе ботнета.

  • Накрутка электронных голосований, щелчков по рекламным баннерам.

  • Генерация монет платёжной системы Bitcoin.

  • Причинение вреда здоровью человека. Например:

    • Показ на экране компьютера изображений, опасных для слабонервных людей. Например, если человек страдает от светочувствительной эпилепсии, мерцание света и большой контраст могут вызывать припадки.

• Файлы, не являющиеся истинно вредоносными, но в большинстве случаев нежелательные:

  • Шуточное ПО, делающее какие-либо беспокоящие пользователя вещи.

  • Adware — программное обеспечение, показывающее рекламу.

  • Spyware — программное обеспечение, посылающее через интернет не санкционированную пользователем информацию.

  • «Отравленные» документы, дестабилизирующие ПО, открывающее их (например, архив размером меньше мегабайта может содержать гигабайты данных и надолго «завесить» архиватор).

  • Программы удалённого администрирования могут применяться как для того, чтобы дистанционно решать проблемы с компьютером, так и для неблаговидных целей.

  • Руткит нужен, чтобы скрывать другое вредоносное ПО от посторонних глаз.

  • Иногда вредоносное ПО для собственного «жизнеобеспечения» устанавливает дополнительные утилиты: IRC-клиенты^[4], программные маршрутизаторы^[5], открытые библиотеки перехвата клавиатуры…^[6] Такое ПО вредоносным не является, но из-за того, что за ним часто стоит истинно вредоносная программа, детектируется антивирусами. Бывает даже, что вредоносным является только скрипт из одной строчки, а остальные программы вполне легитимны.^[7]