Geum.ru

В. Н. Ясенев Информационная безопасность в экономических системах

Вид материалаУчебное пособие

Содержание


3.4 Защита от компьютерных вирусов
Программы ревизоры
Подобный материал:
1   ...   5   6   7   8   9   10   11   12   ...   34

3.4 Защита от компьютерных вирусов


Антивирусы – самый действенный способ борьбы с вирусами. Чтобы противостоять нашествию компьютерных вирусов, необходимо выбрать правильную защиту от них. Одним из способов защиты от вирусов является резервное копирование. Поэтому если вы желаете сохранить свои данные – своевременно производите резервное копирование, В случае потери данных, система может быть восстановлена. Другим способом защиты является правильный выбор программного антивирусного средства. Сейчас на рынке программного обеспечения представлен достаточно широкий спектр программ для лечения вирусов. Однако не стоит успокаиваться, даже имея какой-либо программный продукт. Появляются все новые и новые вирусы, и это требует периодического обновления антивирусного пакета.

Для защиты от вирусов можно использовать:
  • общие средства защиты информации, которые полезны также и как страховка от порчи дисков, неправильно работающих программ или ошибочных действий пользователя;
  • профилактические меры, позволяющие уменьшить вероятность заражения вирусов;
  • специальные программы для защиты от вирусов.

Общие средства защиты информации полезны не только для защиты от вирусов. Имеются две основные разновидности этих средств:
  • копирование информации – создание копий файлов и системных областей диска;
  • средства разграничения доступа предотвращает несанкционированное использование информации, в частности, защиту от изменений программ и данных вирусами, неправильно работающими программами и ошибочными действиями пользователя.

Общие средства защиты информации очень важны для защиты от вирусов, все же их недостаточно. Необходимо и применение специализированных программ для защиты от вирусов. Эти программы можно разделить на три группы:

«сканеры» – антивирусные программы, которые наиболее полно и надежно определяют присутствие вируса, а затем лечат зараженные объекты, удаляя из них тело вируса и восстанавливая объект в первоначальное состояние. Эти программы имеют в своих базах данных от 6000 до 15000 масок вирусов плюс мощный эвристический механизм, который позволяет им находить неизвестные вирусы, вышедшие намного позже, чем сами антивирусные программы;

«ревизоры» – антивирусные программы, которые не имеют в своей базе масок вирусов; они их просто не знают. Но в своей базе данных они хранят наиболее полную информацию о файлах, хранящихся на данном компьютере или локальной сети. Их задача обнаружить вирус, а уже лечением пусть занимаются программы – «сканеры»;

«мониторы» – антивирусные программы, находящиеся в памяти и контролирующие все процессы, происходящие на компьютере. Эти программы не слишком популярны.

Можно привести и более детальную классификацию антивирусных программ:

Детекторы позволяют обнаруживать файлы, зараженные одним из нескольких известных вирусов. Эти программы проверяют, имеется ли в файлах на указанном пользователем диске специфическая для данного вируса комбинация байтов. При ее обнаружении в каком-либо файле па экран выводится соответствующее сообщение.

Многие детекторы имеют режимы лечения или уничтожения зараженных файлов.

Следует подчеркнуть, что программы-детекторы могут обнаруживать только те вирусы, которые ей "известны". Программа Scan McAfee Associates и Aidstest позволяют обнаруживать около 1000, но всего их более пяти тысяч! Некоторые программы-детекторы, например Norton AntiVirus или AVSP, могут настраивать на новые типы вирусов, им необходимо лишь указать комбинации байтов, присущие этим вирусам. Тем не менее, невозможно разработать такую программу, которая могла бы обнаруживать любой заранее неизвестный вирус.

Таким образом, из того, что программа не опознается детекторами как зараженная, не следует, что она здорова – в ней могут сидеть какой-нибудь новый вирус или слегка модифицированная версия старого вируса, неизвестные программам-детекторам.

Большинство программ-детекторов имеют функцию «доктора», т.е. пытаются вернуть зараженные файлы или области диска в их исходное состояние. Те файлы, которые не удалось восстановить, как правило, делаются неработоспособными или удаляются.

Большинство программ-докторов умеют «лечить» только от некоторого фиксированного набора вирусов, поэтому они быстро устаревают. По некоторые программы могут обучаться не только способам обнаружения, но и способам лечения новых вирусов.

Программы ревизоры имеют две стадии работы. Сначала они запоминают сведения о состоянии программ и системных областей диском (загрузочного сектора и сектора с таблицей разбиения жесткого диска). Предполагается, что в этот момент программы и системные области дисков не заражены. После этого с помощью программы-ревизора можно в любой момент сравнить состояние программ и системных областей дисков с исходным. О выявленных несоответствиях сообщается пользователю.

В последнее время появились очень полезные гибриды ревизоров и докторов, т.е. Доктора-ревизоры – программы, которые не только обнаруживают изменения в файлах и системных областях дисков, но и могут в случае изменении автоматически вернуть их в исходное состояние. Такие программы могут быть гораздо более универсальными, чем программы-доктора, поскольку при лечении они используют заранее сохраненную информацию о состоянии файлов и областей дисков. Это позволяет им вылечивать файлы даже от тех вирусов, которые не были созданы на момент написания программы.

Но они могут лечить не от всех вирусов, а только от тех, которые использую «стандартные», известные на момент написания программы, механизмы заражения файлов.

Существуют также Программы-фильтры, которые располагаются резидентно в оперативной памяти компьютера и перехватывают те обращения к операционной системе, которые используются вирусами для размножения и нанесения вреда, и сообщают о них пользователя. Пользователь может разрешить или запретить выполнение соответствующей операции.

Некоторые программы-фильтры не «ловят» подозрительные действия, а проверяют вызываемые на выполнение программы на наличие вирусов. Это вызывает замедление работы компьютера.

Однако преимущества использования программ-фильтров весьма значительны – они позволяют обнаружить многие вирусы на самой ранней стадии, когда вирус еще не успел размножиться и что-либо испортить. Тем самым можно свести убытки от вируса к минимуму.

Программы-вакцины, или Иммунизаторы, модифицируют программы и диски таким образом, что это не отражается на работе программ, но тот вирус, от которого производится вакцинация, считает эти программы или диски уже зараженными. Эти программы крайне неэффективны.

Если первые вирусы, появившиеся на заре компьютерной эры, распространялись в основном через дискеты с программами, то сегодня они используют преимущественно Всемирную паутину. Причем шанс «подхватить инфекцию» есть не только при выкачивании мегабайтов данных, но и при обычном посещении web-страниц. Но слишком многие завсегдатаи Интернета не озабочены своей безопасностью. Между тем, никогда не следует забывать: чтобы обезопасить себя от вирусной инфекции необходимо придерживаться элементарнейших правил компьютерной гигиены.

В отличие от других стран, где ведущую роль играют глобальные поставщики антивирусов, в России преобладают отечественные разработчики и, прежде всего, «Лаборатория Касперского».

В Приложении № 7 представлена «Сводная таблица известных антивирусных программ» и их характеристики.

На российском рынке антивирусных программ работают три компании: «Лаборатория Касперского», Symantec и «Диалог - Наука».

Наибольшую популярность завоевал пакет AVP, разработанный лабораторией антивирусных систем Касперского. Это универсальный продукт, имеющий версии под самые различные операционные системы.

Антивирус Касперского (AVP) использует все современные типы антивирусной защиты: антивирусные сканнеры, мониторы, поведенческие блокираторы и ревизоры изменений. Различные версии продукта поддерживают все популярные операционные системы, почтовые шлюзы, межсетевые экраны (firewalls), web-серверы. Система позволяет контролировать все возможные пути проникновения вирусов на компьютер пользователя, включая Интернет, электронную почту и мобильные носители круга задач обеспечения безопасности, и обладает рядом специфических свойств.

Концепция AVP позволяет легко и регулярно обновлять антивирусные программы, путем замены антивирусных баз – набора файлов с расширением .AVC, которые на сегодняшний день позволяют обнаруживать и удалять более 50000 вирусов. Обновления к антивирусным базам выходят и доступны с сервера Лаборатории Касперского ежедневно.

Прежде чем переходить к описанию конкретных программных продуктов, предназначенных для защиты компьютеров от вирусов, хотелось бы отметить, что данную проблему нельзя рассматривать в отрыве от общей стратегии информационной безопасности. Здесь весьма уместно провести аналогии с традиционной медициной. Действительно, антивирусное программное обеспечение является лекарством, однако самый лучший способ быть здоровым – это избежать заражения. С этой точки зрения крайне важным является построение комплексной системы, которая бы позволила бы минимизировать возможные пути проникновения вирусов во внутреннюю сеть компании. Это тем более важно, что любое антивирусное программное обеспечение обеспечивает 100% лечение только уже известных вирусов. В то время как новые модификации и, особенно, новые типы вирусов с очень большой вероятностью остаются незамеченными. Частично данная проблема решается при помощи программ для контроля над целостностью данных (типа Kaspersky Inspector), однако они, как правило, лишь констатируют факт несанкционированного изменения файлов, а лечение возможно лишь после появления новых версий антивирусов.

Можно выделить основные источники проникновения вирусов в компьютерную сеть корпорации:
  • с гибких носителей;
  • с компакт- дисков;
  • почты Internet;
  • файлов, которые приходят из Internet;
  • с рабочих станций;
  • почты Intranet.

Компьютерный вирус, как правило, представляет собой некую программу, способную самостоятель­но размножаться и которая в большинстве случаев снабжена соответствующими механизмами для рас­пространения своих копий на другие компьютеры че­рез Интернет или по локальной сети. В качестве «довеска» вирус часто (но не всегда!) несёт в себе опре­делённые деструктивные функции, причём разные его модификации могут совершать самые разнообразные действия на заражённом компьютере. Иногда вирус просто в бешеном темпе размножается, рассылая себя по всем электронным адресам, какие только сможет обнаружить в компьютере «жертвы». При всей кажущейся безобидности таких действий послед­ствия могут оказаться катастрофическими из-за воз­росшей в сотни раз нагрузки на сеть и почтовые серверы. К сожалению, намного чаще компьютерный вирус производит те или иные разрушительные дей­ствия: портит или стирает документы, разрушает программы, выводит из строя операционную систе­му. Отдельные особо «злобные» разновидности даже выводят из строя аппаратную часть компьютера, принося тем самым значительные убытки.

Чаще всего программа-вирус существует в виде файла, который требуется запустить, или неко­ей добавки к документу, который необходимо от­крыть. Некоторые последние «модели» вирусов вообще физически (т. е. в виде файлов) как бы не существуют: в компьютер передаются по сети определённые данные, которые из-за ошибок в программном обеспечении (так называемых дыр в защите) загружаются в оперативную память и начинают исполняться, как обычная программа, со своим «центром управления» в оперативной па­мяти компьютера. При этом не создаётся никаких файлов и на жёсткий диск ничего не записывается.

Напомним в очередной раз некоторые аксиомы обращения с файлами (документами), получаемы­ми на съёмном носителе (дискета, диск CIJ-RO1 и т. п.) или по электронной почте.
  • Даже просмотр содержимого вставленной в дисковод дискеты может вызвать заражение компьютера так называемым Boot-вирусом, находящимся в загрузочном секторе дискеты. Сегодня вирусы такого типа в мире встречаются не часто (программы и документы всё реже передаются на дискетах), однако в России иногда всплывают вирусы и двух-, и пятилетней «свежести». Соответственно любые приносимые дискеты, диски должны обязательно проверяться антивирусной программой.
  • Не стоит спешить сразу открывать файл, полученный по электронной почте даже от знакомого адресата, но с необычным текстом письма, и тем более уж от незнакомого. Многие современные вирусы умеют сами себя рассылать по всем адресам из адресной книги (найденной в очередном компьютере), вставляя при этом в письмо определённый текст. Создатели вирусов справедливо полагают, что, получив письмо типа «Посмотри, какую замечательную картинку я нашёл в сети!» от хорошо известного корреспондента, человек, не задумываясь, щёлкнет мышкой по прикреплённому файлу. Вполне возможно, что одновременно с запуском программы, заражающей компьютер, вам действительно покажут картинку.
  • Следует воздерживаться от «украшательства» своего компьютера всякими с виду безвредными «развлекалочками» (с гуляющими по экрану овечками, распускающимися цветочками, красочными фейерверками и т. п.) – такие небольшие забавные программки часто пишутся для того, чтобы замаскировать вирус. Воистину волк в овечьей шкуре! Например, по России уже второй год ходит небольшая программа под названием «Новорусские Windows» – многие её поставили и через неделю-две удалили, не подозре­вая о том, что вирус уже успел похозяйничать в их компьютере. Программа, кстати, всего-навсего ме­няла названия кнопок в диалоговых окнах, пре­вращая «Нет» в «Нафиг», а «Да» – в «Пофиг». Так что если вам дороги ваши данные и документы, не ставьте на свой компьютер подряд все программы непонятного происхождения и назначения.
  • Офисные документы наиболее часто подвергаются заражению в силу интенсивного обмена ими, а также популярности пакета Microsoft Office и лёгкости встраивания в документ вредоносной макрокоманды. Любой пришедший извне офисный документ необходимо проверять антивирусной программой независимо от источника получения, так как автор может и не знать о заражённости своего компьютера. Кстати, весьма распространено заблуждение, что документ в формате RTF не может содержать вирус (в отличие от DOC), оно немало способствовало заражению тысяч компьютеров. Дело в том, что многие макровирусы умеют подменять в заражённом документе расширение *.doc на *.rtf, создавая у получателя документа иллюзию безопасности. Кстати, совсем недавно появился вирус, встроенный в документ формата PDF, что ещё некоторое время назад считалось неосуществимым.
  • Не пользуйтесь «пиратскими» сборниками программного обеспечения.
  • Самое важное: установите и регулярно обновляйте антивирусный комплект программ, так как, несмотря на развитый интеллект современных средств защиты, гарантированно будут определяться только вирусы, уже включённые в базу данных программы.*