Основы и методы защиты информации Компьютерные вирусы. Диагностика и методы защиты

1.1.Компьютерные вирусы— это специально написанная небольшая по размерам программа, которая может внедрять себя в исходный код других программ (т.е. заражать их) или в документы специального формата, содержащие макрокоманды, такие как Word, Excel, а также выполнять различные нежелательные действия на компьютере. Вирусная программа способна создавать свои копии (необязательно совпадающие с оригиналом), которые распространяются в различных ресурсах компьютерных систем, сетей и т.д. Многие вирусы вредят данным на заражённых компьютерах, хотя иногда их единственной целью является лишь заражение как можно большего количества компьютеров. Также вирусы могут выполнять различные нежелательные действия не всегда, а только при выполнении определенных условий. 1.2.Классификация компьютерных вирусов Условно классифицировать вирусы по следующим признакам:

по среде обитания вируса
по способу заражения среды обитания
по деструктивным возможностям
по особенностям алгоритма вируса.

1. По среде обитания вируса: Сетевые – распространяются по компьютерной сети локальной или глобальной – сетевые черви. Файловые – внедряются в выполняемые файлы. Загрузочные – внедряются в загрузочный сектор диска (Boot -сектор) Существуют сочетания – файлово-загрузочные вирусы 2. По способу заражения среды обитания: Резидентный – при инфицировании компьютера оставляет в оперативной части свою часть. При обращении оперативной памяти к другим программам заражают и их. Резидентные вирусы находятся в оперативной памяти и являются активными вплоть до выключения компьютера. Нерезидентный – не заражают память компьютера и являются активными ограниченное время. 3. По деструктивным возможностям Безвредные – не влияют на работу компьютера, кроме уменьшения свободной памяти на диске в результате своего распространения. Неопасные – уменьшают кол-во свободного места на диске и ограничиваются графическими, звуковыми и пр. эффектами. Опасные – приводят с серьезным сбоям в работе компьютера Очень опасные – могут привести к потере программ, уничтожить данные, стереть необходимую для работы компьютера информацию, записанную в системных областях памяти. 4. По особенностям алгоритма вируса Студенческие – примитивные, содержат большое кол-во ошибок. Компаньон-вирусы – вирусы не изменяющие файлы. Алгоритм работы состоит в том, что они создают для EXE файлов файлы-спутники, имеющие то же самое имя, но с расширением COM. Таким образом, при запуске приложения сначала запустится файл с расширение COM, т.е. вирус, который затем запустит и EXE -файл. Данными способом самозапуска пользуются и троянские программы. Троянская программа, Троян, троянец— разновидность компьютерных программ, которые «претендуют» на то, что выполняют некоторую определенную функцию, в действительности же работают совершенно иначе. Некоторые троянцы изначально спроектированы так, чтобы вводить пользователя в заблуждение: к примеру, программа имитирует другое приложение (игру, текстовый редактор, программу инсталляции), а на самом деле выполняет некие несанкционированные пользователем действия: удаление, модификацию информации, сбор и пересылку информации третьим лицам, передача управления компьютером удаленному пользователю. Либо в качестве троянца может быть использована штатная программа: некое лицо помещает для скачивания под видом «полезной» программы или обновлений программу форматирования дисков и командный файл, который запускает её с необходимыми параметрами. Вирусы-черви – проникают в память компьютера из компьютерной сети, вычисляют сетевые адреса других компьютеров и рассылают по этим адресам свои копии. Паразитические – все вирусы (кроме червей и компаньонов), которые при распространении своих копий обязательно изменяю содержимое дисковых секторов или файлов. Стелс-вирус (англ. stealth virus — вирус-невидимка) — вирус, полностью или частично скрывающий свое присутствие в системе, путем перехвата обращения операционной системы к пораженным файлам, «подставляя» вместо себя незараженные участки. Данные вирусы обладают оригинальными алгоритмами, позволяющие обманывать резидентные антивирусные программы. Полиморфик-вирусы - не имеют ни одного постоянного участка кода, труднообнаруживаемые, Макровирусы – пишутся не в машинных кодах, а на WordBasic, живут в документах Word, переписывают себя в Normal. dot 1.4 Признаки заражения Есть ряд признаков, свидетельствующих о заражении компьютера:

увеличение размеров файлов (особенно выполняемых)
появление странных, ранее не существующих файлов
замедление работ некоторых программ.
Некоторые программы перестают работать или работаю неправильно
друзья или знакомые говорят вам о сообщениях от вас, которые вы не отправляли или attachment;
частые зависания и сбои в работе компьютера;
медленная работа компьютера при запуске программ;
невозможность загрузки операционной системы;
исчезновение файлов и каталогов или искажение их содержимого;
частое обращение к жесткому диску (часто мигает лампочка на системном блоке);

1.5. Антивирусные программы (служебные программы) Антивирусная программа(антивирус) — программа для обнаружения и, возможно, лечения программ, заражённых компьютерным вирусом, а также, возможно, для предотвращения заражения файла вирусом. Первые, наиболее простые антивирусные программы появились почти сразу после появления вирусов. Сейчас разработкой антивирусов занимаются крупные компании. Как и у создателей вирусов, в этой сфере также сформировались оригинальные приёмы — но уже для поиска и борьбы с вирусами. Современные антивирусные программы могут обнаруживать десятки тысяч вирусов. К сожалению, конкуренция между антивирусными компаниями привела к тому, что развитие идёт в сторону увеличения количества обнаруживаемых вирусов (прежде всего для рекламы), а не в сторону улучшения их детектирования (идеал — 100%-е детектирование) и алгоритмов лечения заражённых файлов. Антивирусное программное обеспечение состоит из компьютерных программ, которые пытаются обнаружить, предотвратить размножение и удалить компьютерные вирусы и другие вредоносные программы. Различают следующие виды антивирусных программ: Детекторы – сканируют файлы для поиска известных вирусов, соответствующих определению в словаре вирусов Доктора – не только находят зараженные вирусом файлы, но и удаляют из файла тело программы-вируса Ревизоры – самый надежный способ защиты. Ревизоры запоминают исходное состояние программ, каталогов и системных областей, а затем периодически сравнивают текущее состояние с исходным. Доктора-ревизоры Фильтры – небольшие резидентные программы, предназначенные для обнаружения подозрительного поведения любой из программ, похожего на поведение заражённой программы. В отличие от метода соответствия определению вируса в словаре, метод подозрительного поведения даёт защиту от совершенно новых вирусов, которых ещё нет ни в одном словаре вирусов. Однако следует учитывать, что программы, построенные на этом методе, выдают также большое количество ошибочных предупреждений, что делает пользователя мало восприимчивым ко всем предупреждениям. Подозрительными действиями являются:

попытки коррекции файлов с расширениями СОМ и ЕХЕ;
изменение атрибутов файлов;
прямая запись на диск по абсолютному адресу;
запись в загрузочные сектора диска;
загрузка резидентной программы.

Примером программы-фильтра является программа Vsafe, входящая в состав пакета утилит операционной системы MS DOS. Вакцины. Используются для обработки файлов и загрузочных секторов с целью предотвращения заражения известными вирусами (в последнее время этот метод применяется все реже - вакцинировать можно только от конкретного вируса, причем некоторые антивирусы такую вакцинацию вполне могут спутать с самой болезнью, поскольку отличие вируса от вакцины на самом деле исчезающе мало). Как известно, ни один из данных типов антивирусов не обеспечивает стопроцентной защиты компьютера, и их желательно использовать в связке с другими пакетами. Вообще, выбор только одного, "лучшего", антивируса крайне ошибочен. 1.6. Методы Борьбы с компьютерными вирусами не загружать и не запускать на выполнение неизвестные программы из Интернета) Пользователи компьютеров не должны всё время работать с правами администратора. Если бы они пользовались режимом доступа обычного пользователя, то некоторые разновидности вирусов не смогли бы распространяться (или, по крайней мере, ущерб от действия вирусов был бы меньше). Это одна из причин, по которым вирусы в Unix-подобных системах относительно редкое явление.

Лекция 11