Назначение и характеристики антивирусных программ

Борьба с компьютерными вирусами осуществляется с помощью антивирусных программ, которые в настоящее время должны обла­дать весьма значительным запасом "прочности" против различных ухищрений создателей компьютерных вирусов. Изначально самым распространенным способом обнаружения компьютерных вирусов был "поиск по маске", т.е. выявление в файлах специфичной для ка­ждого вируса последовательности символов. Со временем эти после­довательности стали объединять в специализированные антивирусные базы, которые стали неотъемлемым атрибутом современных ан­тивирусных программ. Чем больше набор подобных шаблонов в базе антивирусной программы, тем с большим количеством вирусов она способна бороться. Большая антивирусная база - залог удачного вос­становления зараженного объекта в первоначальном виде. При этом необходимы индивидуальный подход к каждому вирусу и его тща­тельный анализ. Не секрет, что разные вирусы используют одинако­вые методы заражения объектов, но не следует забывать и о том, что каждый вирус индивидуален, как человек, который его создал, даже если это вирусы одного семейства.

Говоря о тенденциях увеличения числа компьютерных вирусов, нельзя не сказать о том, что все чаще встречаются сложные вирусы, не только способные обходить традиционную защиту и использовать свои механизмы заражения и маскировки, но и направленные против конкретных антивирусных средств.

К отличительным особенностям современных антивирусных про­грамм можно добавить еще две: мощный эвристический механизм для борьбы с еще неизвестными программе вирусами и механизм для борьбы с самошифрующимися вирусами. Не вдаваясь в подробности работы этих сложных программных механизмов, отметим, что по характерным для вирусов участкам кода можно с определенной сте­пенью вероятности утверждать о наличии неизвестного программе вируса в объекте. Тесты независимых изданий (например, англий­ский журнал "Virus Bulletin") и большой опыт работы с пользовате­лями во всем мире позволяют утверждать, что в 80 случаях из 100, когда объект заражен неизвестным вирусом, программа выдаст по­дозрение о заражении объекта. Эвристический механизм позволяет предполагать (прогнозировать) наличие вируса, маска которого на данный момент отсутствует в базе антивирусной программы. Встраивание эвристического механизма в антивирусные программы позволяет расширить их возможности, поскольку дает возможность вести борьбу с пока еще "неизвестными" вирусами. Любой механизм, работающий по эвристическому принципу, может давать ложные срабатывания. Однако, как показал продолжительный опыт работы, их процент незначителен, и в любом случае в таких вопросах лучше немного перестраховаться.

Характерной особенностью так называемых полиморфных вирусов является способность к существенной мутации своего кода, из-за чего некоторые программы (типа Aidstest, весьма популярной в свое время) принципиально не в состоянии опознать (а значит, и обезвредить) такие вирусы. Для борьбы с полиморфными вирусами следует использо­вать антивирусы нового поколения (например, DrWeb), которые бла­годаря встроенному эмулятору процессора опознают вирусы под раз­личными шифровщиками и упаковщиками, а благодаря своему блоку эвристического анализа обнаруживают и многие (свыше 80 %) неиз­вестные вирусы. Эмулятор процессора создает имитацию продолжи­тельной работы компьютерных программ, что провоцирует поли­морфные вирусы к мутации и, следовательно, к изменению тестируе­мых программ.

Отличительными особенностями современных антивирусных программ являются заложенные в них новые возможности:

§ проверка архивных и упакованных файлов;

§ избыточное сканирование, при котором в поисках вируса объ­ект "разбирается" по байтам и проводится тщательный анализ воз­можности выполнения деструктивного действия. Это несколько за­медляет процесс сканирования, однако повышает надежность обна­ружения и удаления вирусных тел из файлов компьютера;

§ наличие вирусной энциклопедии с детальным описанием виру­сов, которые могут обнаруживаться конкретной программой.

В России антивирусные программы активно разрабатывают сле­дующие фирмы:

§ недавно организованная ЗАО "Лаборатория Касперского" (раньше называлась КАМИ), где идеологом развития средств борьбы с вирусами с самого начала является Е.В. Касперский;

§ "Диалог-Наука", в которой раньше основным разработчиком был Д.Н. Лозинский, а затем коллектив пополнился И.А. Даниловым, благодаря которому появилась "Лаборатория Данилова".

Помимо антивирусных программ отечественного производства в нашей стране достаточно широко используются разработки таких зарубежных компаний, как Symantec, McAfee, Elashim, Avil Software, S&S International, Sophos.

Антивирусные программы можно классифицировать по различ­ным признакам (рис. 6.3).

По характеру действия антивирусные программы подразде­ляются на следующие виды: полифаги, ревизоры, вакцины.

Полифаги предназначены для выявления вирусов и излечения от них файлов. К полифагам относятся AidsTest (Д.Н. Лозинский), DrWeb (И.А. Данилов), AVP (Е.В. Касперский), Norton Antivirus (Symantec).

Рис. 6.3. Классификация антивирусных программ

Ревизоры (иногда встречается название "CRC-сканеры") служат для информирования пользователя обо всех изменениях в структуре и содержании файлов с момента последней проверки компьютера. Как правило, подобные программы включаются в состав стартового пакета и проводят проверку изменений в файловой системе компью­тера по сравнению с предыдущим включением. Программы этой ка­тегории не тестируют файлы на предмет наличия в них вирусов и не удаляют вирусы из файлов, их задача - только констатация всех из­менений, которые выводятся в виде таблицы. Решать, что явилось причиной изменений, - задача пользователя. Примером программы-ревизора является ADINF, созданная в свое время Д.Н. Лозинским.

Вакцины (другое название - иммунизаторы) предназначены для защиты файлов от заражения, как правило, определенным вирусом. Так, например, программа WebWinWord (разработчик И.А. Данилов) была создана для защиты программы MS Word от заражения вирусом WinWord.Concept. Корпорация Microsoft создала иммунизирующую программу, предотвращающую заражение операционных систем ви­русом W32. Blaster. Worm.

По способу проверки антивирусные программы классифици­руются на две категории:

§ программы принудительного запуска. Для поиска и устранения вирусов такие программы (AidsTest, DrWeb for DOS) необходимо запускать специально. Несмотря на возможность многих антивирус­ных программ вести мониторинг на предмет отсутствия вирусов, иногда ими пользуются в режиме принудительного запуска для про­верки отдельных носителей информации (дискет, дисков);

§ программы, осуществляющие постоянное наблюдение за вирус­ной обстановкой. Такие программы (АVР, DrWeb for Windows, NAV), будучи запущены резидентно, ведут постоянный мониторинг на пред­мет отсутствия вирусов. В зависимости от установленных параметров при возникновении опасной ситуации программы проводят необходи­мые действия или формируют сообщение пользователю. Следящие программы наблюдают за появлением вирусов и удаляют вирусные тела из файлов без прерывания обычной работы компьютера.

По способу настройки программы можно объединить в две группы:

§ пакетные (AidsTest, Cleaner), параметры работы которых за­даются в командной строке при запуске программы;

§ программы-оболочки (подавляющее большинство современных программ для Windows), имеющие развитый интерфейс. Настройка параметров работы проводится в специальном режиме установки па­раметров.