Программное обеспечение и технологии, предназначенные для борьбы с вредоносными программами

Антивирусная программа (антивирус) — это программа, предназначенная для обнаружения компьютерных вирусов (и вредоносных программ вообще), для восстановления зараженных (модифицированных) такими программами файлов, а также для профилактики — предотвращения заражения файлов или операционной системы вредоносным кодом.

Антивирусное программное обеспечение состоит из программ, которые пытаются обнаружить и (или) удалить вредоносное программное обеспечение, предотвратить размножение компьютерных вирусов.

Для обнаружения вредоносных программ используется несколько различных подходов.

1. Метод поиска соответствия определению вирусов (и других вредоносных программ) в антивирусных базах.

Это метод, при котором антивирусная программа, анализируя файл, обращается к антивирусным базам, составленным производителем программы-антивируса .

В случае соответствия какого-либо участка кода просматриваемого файла характерным признакам вируса программа-антивирус может по запросу выполнить одно из следующих действий:

• • удалить инфицированный файл;
• • заблокировать доступ к инфицированному файлу;

• • отправить файл в карантин (т.е. сделать его недоступным для выполнения с целью недопущения дальнейшего распространения вируса);
• • попытаться «вылечить» файл, удалив тело вируса из файла;
• • в случае невозможности лечения/удаления выполнить эту процедуру при следующей перезагрузке операционной системы.

Вирусная база регулярно пополняется и обновляется производителем антивирусов, пользователям рекомендуется выполнять обновление программ как можно чаще.

Антивирусные программы, созданные на основе метода соответствия, при обычных обстоятельствах могут достаточно эффективно препятствовать заражению компьютеров, но авторы вирусов стараются обойти такие антивирусы, создавая вирусы, отдельные части которых шифруются или искажаются так, чтобы было невозможно обнаружить соответствие определению вируса в антивирусных базах.

2. Метод обнаружение подозрительного поведения любой из программ, похожего на поведение зараженной программы.

Антивирусы, использующие метод обнаружения подозрительного поведения программ, не пытаются идентифицировать известные вирусы, вместо этого они отслеживают поведение всех программ.

Если работающая программа пытается выполнить какие-либо подозрительные с точки зрения антивирусной программы действия, то ее активность будет заблокирована или же антивирус предупредит пользователя о потенциально опасных действиях такой программы.

В отличие от метода поиска соответствия определению вируса в антивирусных базах метод обнаружения подозрительного поведения дает защиту от новых вирусов, которых еще нет в антивирусных базах.

Но вместе с тем такой метод дает большое количество ложных срабатываний, выявляя подозрительную активность среди не вредоносных программ. Некоторые программы, использующие этот метод, могут выдавать слишком большое количество предупреждений, запутывая пользователя.

3. Метод обнаружения при помощи эмуляции — метод работы антивирусной программы, при котором подозрительный файл либо запускается в тщательно контролируемой среде, либо программа-антивирус пытается имитировать начало выполнения подозрительной программы с целью выявления тех признаков вредоносного кода, которые проявляются только во время исполнения программы.

Если программа использует самоизменяющийся код или проявляет себя как вирус (например, немедленно начинает искать другие исполняемые файлы), то она будет считаться вредоносной, способной заразить другие файлы. Однако и этот метод изобилует большим количеством ошибочных предупреждений.

4. Эвристический анализ. Термином «эвристический анализ» сегодня называют совокупность функций антивируса, нацеленных на обнаружение неизвестных вирусным базам вредоносных программ.

Эвристическое сканирование в целом схоже с методом поиска соответствия определению вирусов в антивирусных базах, но оно не требует точного соответствия описанию, допуская некоторое расхождение.

Таким образом, становится возможным обнаружить новую разновидность ранее известного вируса. Также антивирус может использовать некоторые универсальные описания, в которых заложен общий вид вредоносной программы. В таком случае антивирусная программа сможет лишь классифицировать вирус, но не дать точного названия.

Отметим следующие недостатки антивирусных программ.

• • Ни одна из существующих антивирусных технологий не может обеспечить полной защиты от вредоносных программ.
• • Антивирусная программа забирает часть вычислительных ресурсов системы, нагружая центральный процессор и жесткий диск.
• • Антивирусные программы могут видеть угрозу там, где ее нет (ложные срабатывания).
• • Антивирусные программы загружают обновления из Интернета, тем самым расходуя трафик.

Существуют и другие технологии борьбы с вредоносными программами.

Одна из них — метод «белого списка». Вместо того чтобы искать известные вредоносные программы, эта технология предотвращает выполнение всех компьютерных кодов за исключением тех, которые были ранее обозначены системным администратором как безопасные.

Те приложения на компьютере, которые системный администратор не хочет устанавливать, не устанавливаются, так как их нет в «белом списке». У современных предприятий и организаций есть выбор из множества надежных приложений.

Ответственность за ограничения при использовании данной технологии возлагается на системных администраторов, которые составляют и обновляют «белые списки» надежных приложений.

Еще одна важная технология — система предотвращения вторжений (англ. HIPS — Host-based Intrusion Prevention System). Продукты этого класса управляют правами приложений на выполнение тех или иных действий, подобно тому, как файрвол управляет сетевым доступом.

Сходство принципов работы обусловливает тот факт, что нередко система предотвращения вторжений объединяется с файрволом в составе одного защитного продукта.

Система предотвращения вторжений не содержит антивирусной базы и не осуществляет обнаружение вирусов. Она оперирует не понятиями «легитимный файл — вредоносный файл», а понятиями «разрешенное действие — запрещенное действие».

Эффективность такой системы по предотвращению повреждения или инфицирования данных может быть очень высокой, однако большинство программ этого класса требует от пользователя определенных программистских знаний для управления ими.

Вопросы и задания для самоконтроля

• 1. Дайте определение информационной безопасности и защиты информации
• 2. В чем заключается системный подход к защите информации?
• 3. В чем заключается политика безопасности организации?
• 4. Какие организационно-технические меры используются для защиты периметра информационной системы и предотвращения физического доступа к носителям информации?
• 5. Какие организационно-технические меры используются для защиты информации от ее утечки (перехвата) по техническим каналам связи?
• 6. Что такое аутентификация и как ее можно осуществить?
• 7. Что такое право доступа к информации в компьютерной системе?
• 8. В чем состоят процедуры зашифровывания и расшифровывания информации?
• 9. Что такое ключ к шифру?
• 10. Чем различаются системы симметричного и асимметричного шифрования?
• 11. Что такое вредоносная программа?
• 12. Какие цели может преследовать злоумышленник, создающий или распространяющий вредоносную программу?
• 13. Какие признаки заражения компьютера вредоносной программой вам известны?
• 14. Какие виды вредоносных программ вам известны?
• 15. Перечислите меры, которые помогут снизить риск потерь от воздействия вредоносных программ.
• 16. Что такое антивирусная программа и зачем она нужна?
• 17. Как работают антивирусные программы?