Методы обнаружения вирусов.
Методы и средства защиты информации
Лекция 10
Методы и средства борьбы с компьютерными вирусами
Признаки появления вируса:
прекращение работы или неправильная работа ранее успешно функционировавших программ;
- медленная работа компьютера;
- невозможность загрузки операционной системы;
- исчезновение файлов или каталогов или искажение их содержимого;
- изменение размеров файлов;
- изменение даты и времени модификации файлов;
- неожиданное увеличение количества файлов на диске;
- существенное уменьшение размера свободной памяти;
- вывод на экран непредусмотренных сообщений или изображений;
- подача непредусмотренных звуковых сигналов;
- частые зависания и сбои в работе компьютера.
Средства борьбы с вирусами и другими вредоносными закладками можно разделить на юридические, организационно-административные, аппаратные и программные.
Юридические средства. В Уголовном Кодексе РФ имеется три статьи (272-274), по которым предусмотрена ответственность за компьютерные преступления, причем самое строгое наказание (от 3 до 7 лет лишения свободы) положено за создание, использование и распространение вредоносных программ. В других странах также имеются аналогичные законы.
Организационно-административная защита сводится к ряду мероприятий: подбор персонала и создание хорошего морального климата в коллективе; выработка инструкций и рекомендаций по защите информации и контроль их выполнения; выявление, изучение и анализ нештатных ситуаций; регулярный контроль программного обеспечения; установка и обновление антивирусных программ; организация регулярного резервного копирования программ и данных.
Аппаратные средства - электронные блоки с встроенными программами, не пропускающие в компьютер вирусов с дискет или из сети. Форматирование диска с последующей перезагрузкой операционной системы и программ также можно отнести к аппаратным средствам защиты.
Массовое распространение вирусов, серьезность последствий их воздействия на ресурсы КС вызвали необходимость разработки и использования специальных антивирусных средств и методов их применения. Антивирусные средства применяются для решения следующих задач:
- обнаружение вирусов в КС;
- блокирование работы программ-вирусов;
- устранение последствий воздействия вирусов.
Обнаружение вирусов желательно осуществлять на стадии их внедрения или, по крайней мере, до начала осуществления деструктивных функций вирусов. Необходимо отметить, что не существует антивирусных средств, гарантирующих обнаружение всех возможных вирусов.
При обнаружении вируса необходимо сразу же прекратить работу программы-вируса, чтобы минимизировать ущерб от его воздействия на систему.
Устранение последствий воздействия вирусов ведется в двух направлениях:
- удаление вирусов;
- восстановление (при необходимости) файлов, областей памяти.
Восстановление системы зависит от типа вируса, а также от момента времени обнаружения вируса по отношению к началу деструктивных действий. Восстановление информации без использования дублирующей информации может быть невыполнимым, если вирусы при внедрении не сохраняют информацию, на место которой они помещаются в память, а также, если деструктивные действия уже начались, и они предусматривают изменения информации.
Для борьбы с вирусами используются программные и аппаратно-программные средства, которые применяются в определенной последовательности и комбинации, образуя методы борьбы с вирусами. Можно выделить методы обнаружения вирусов и методы удаления вирусов.
Методы обнаружения вирусов.
Известны следующие методы обнаружения вирусов:
• сканирование;
• обнаружение изменений;
• эвристический анализ;
• использование резидентных сторожей;
• вакцинирование программ;
• аппаратно-программная защита от вирусов.
Сканирование - один из самых простых методов обнаружения вирусов. Сканирование осуществляется программой-сканером, которая просматривает файлы в поисках опознавательной части вируса - сигнатуры. Программа фиксирует наличие уже известных вирусов, за исключением полиморфных вирусов, которые применяют шифрование тела вируса, изменяя при этом каждый раз и сигнатуру. Программы-сканеры могут хранить не сигнатуры известных вирусов, а их контрольные суммы. Программы-сканеры часто могут удалять обнаруженные вирусы. Такие программы называются полифагами.
Метод сканирования применим для обнаружения вирусов, сигнатуры которых уже выделены и являются постоянными. Для эффективного использования метода необходимо регулярное обновление сведений о новых вирусах.
Самой известной программой-сканером в России является Aidstest Дмитрия Лозинского.
Метод обнаружения изменений базируется на использовании программ-ревизоров. Эти программы определяют и запоминают характеристики всех областей на дисках, в которых обычно размещаются вирусы. При периодическом выполнении программ ревизоров сравниваются хранящиеся характеристики и характеристики, получаемые при контроле областей дисков. По результатам ревизии программа выдает сведения о предположительном наличии вирусов.
Эвристический анализ сравнительно недавно начал использоваться для обнаружения вирусов. Как и метод обнаружения изменений, данный метод позволяет определять неизвестные вирусы, но не требует предварительного сбора, обработки и хранения информации о файловой системе.
Сущность эвристического анализа заключается в проверке возможных сред обитания вирусов и выявление в них команд (групп команд), характерных для вирусов. Такими командами могут быть команды создания резидентных модулей в оперативной памяти, команды прямого обращения к дискам, минуя ОС. Эвристические анализаторы при обнаружении «подозрительных» команд в файлах или загрузочных секторах выдают сообщение о возможном заражении. После получения таких сообщений необходимо тщательно проверить предположительно зараженные файлы и загрузочные сектора всеми имеющимися антивирусными средствами. Эвристический анализатор имеется, например, в антивирусной программе Doctor Web.