Лекция 7 Программные методы защиты информации

 

7.1 Защита информации в электронных платёжных системах

 

Электронная платёжная система (ЭПС) [8] – это система проведения расчётов между финансовыми и бизнес-организациями (с одной стороны), и Интернет-пользователями (с другой стороны) в процессе покупки-продажи товаров и услуг через Интернет. Именно ЭПС позволяет превратить службу по обработке заказов или электронную витрину в полноценный магазин со всеми стандартными атрибутами: выбрав товар или услугу на сайте продавца, покупатель может осуществить платёж, не отходя от компьютера. ЭПС представляет собой электронную версию традиционных платёжных систем.

В системе электронной коммерции платежи осуществляются при соблюдении следующих условий:

А. Соблюдение конфиденциальности. При проведения расчётов через Интернет покупатель хочет, чтобы его данные (например, номер кредитной карты) были известны только организациям, имеющим на это законное право.

Б. Сохранение целостности информации. Информация о покупке никем не может быть изменена.

В. Аутентификация. См п. 7.2.

Г. Средства оплаты. Возможность оплаты любыми доступными покупателю платёжными средствами.

Д. Авторизация. См п. 7.2.

Е. Гарантии рисков продавца. Осуществляя торговлю в Интернете, продавец подвержен множеству рисков, связанных с отказами от товара и недобросовестностью покупателя. Величина рисков должна быть связана с провайдером платёжной системы и другими организациями, включённым в торговые цепочки посредством специальных соглашений.

Ж. Минимизация платы за транзакцию. Плата за обработку транзакций заказа т оплаты товара входит, естественно, в их стоимость. Поэтому снижение цены транзакции снижает себестоимость и увеличивает себестоимость товара. Важно отметить, что цена транзакции должна быть оплачена в любом случае, даже при отказе покупателя от заказа.

 

7.2 Идентификация, аутентификация и авторизация

 

7.2.1 Идентификация (от позднелат. identifico — отождествляю), признание тождественности, отождествление объектов, опознание. Идентификация широко применяется в математике, технике и других науках (право и т.д.), например в алгоритмических языках используют символы-идентификаторы операций, в кассовых автоматах осуществляется Идентификация монет по их массе и форме и др. К основным задачам Идентификация относятся: распознавание образов, образование аналогий, обобщений и их классификация, анализ знаковых систем и др. Идентификация устанавливает соответствие распознаваемого предмета своему образу — предмету, называемому идентификатором. Идентификаторы, как правило, являются знаками взаимосоответствующих предметов; идентичные предметы считают равнозначными, то есть имеющими одинаковый смысл и значение.

 

7.2.2 Аутентификация – – процедура установления соответствия параметров, характеризующих пользователя, процесс или данные, заданным критериям. Аутентификация, как правило, применяется для проверки права доступа пользователя к тем или иным ресурсам, программам, данным. В качестве критерия соответствия обычно используется совпадение заранее введенной в систему и поступающей в процессе аутентификации информации, например, о пароле пользователя, его отпечатке пальца или структуре сетчатки глаза. В электронных платёжных системах аутентификация – это процедура, позволяющая продавцу и покупателю быть уверенными, что все стороны, участвующие в сделке, являются теми, за кого они себя выдают.

 

7.2.3 Авторизация – это процедура, в процессе которой вы вводите свое имя, например, при регистрации на сайте «одноклассники»(никнейм) и пароль, который вы также указываете при регистрации. После авторизации сервис сайта «узнаёт вас» именно под этим именем, предоставляя вам доступ на те страницы и к тем функциям, которые доступны для введенного имени. Авторизация в локальной сети выполняет те же функции.

 

7.3 Обеспечение безопасности банкоматов

 

Что такое банкомат и каковы его функции – общеизвестно. Средства обеспечения безопасности банкоматов обеспечивают многоуровневую защиту операций – организационную, механическую, оптическую, электронную, программную – вплоть до установки системы сигнализации с видеокамерой (оптическая защита). Возможна установка видеокамеры с видеомагнитофоном, которые фиксируют все действия пользователей с банкоматом.

Программная защита банкомата обеспечивается пин-кодом карточки и программным обеспечением для его распознавания. Организационная защита заключается в размещении части банкомата, где хранятся кассеты с банкнотами, в видном месте операционного зала или другого хорошо просматриваемого места либо в изолированном помещении. Заправка кассет проводится инкассаторами либо в конце рабочего дня, когда нет клиентов, либо при удалении клиентов из операционного зала. Для защиты от вандализма применяются специальные кабины, например, фирмы DIEBOLD. Кабина, в которой устанавливается один или несколько банкоматов, запираются с помощью электронных замков. Замки пропускают в кабину только владельцев карточек и защищаются системой сигнализации.

Механическая защита обеспечивается хранением кассет с банкнотами в сейфах различных конструкций (UL 291, RAL-RG 626/3, C1/C2). Они различаются габаритами, толщиной стенок, весом. Запираются сейфы различными замками с ключами, с одинарным или двойным цифровым ключом, с электронным ключом (электронная защита).

Для предотвращения взлома банкомата применяются датчики различного назначения с системой сигнализации. Тепловые датчики, например, выявляют попытки плазменной резки металла. Сейсмические датчики выявляют попытки увоза банкомата (электронная защита).

 

7.4 Обеспечение безопасности электронных платежей через сеть Интернет

 

ЭПС делятся на дебетовые и кредитные. Дебетовые ЭПС работают с электронными чеками и цифровой наличностью. Чеки (электронные деньги, например, деньги на счетах в банке), выпускает эмитент, управляющий ЭПС-мой. Используя выпущенные чеки, пользователи производят и принимают платежи в Интернет. Чек (аналог бумажного чека) – это электронное предписание клиента своему банку о перечислении денег. Внизу электронного чека – электронная цифровая подпись (ЭЦП). Защита информации в дебетовых ЭПС осуществляется именно с помощью ЭЦП, в которой используется система шифрования с открытым ключом.

Кредитные ЭПС используют кредитные карты, работа с которыми аналогична работе с картами в других системах. Отличие – все транзакции в кредитных ЭПС проводятся через Интернет. Поэтому в кредитных ЭПС также есть возможность перехвата в сети реквизитов карты злоумышленником. Защиту информации в кредитных ЭПС проводят защищёнными протоколами транзакций (например, протокол SSL (Secure Sockets Layer)), а также стандартом SET (Secure Electronic Transaction), призванным со временем заменить SSL при обработке транзакций, связанных с расчётами за покупки по кредитным картам через Интернет.

 

7.5 Программное обеспечение для защиты информации, хранящейся на персональных компьютерах

 

Большинство компьютеров в настоящее время подключено к Интернету. Кроме полезной информации в компьютер из Интернета может проникать и вредная информация. И если спам только засоряет компьютер, то Интернет может быть источником вирусов, хакерских атак на компьютер и другого вредоносного ПО. Для защиты информации, хранящейся на персональных компьютерах, от вредоносного ПО, служат различные антивирусные программы (АП), файрволлы, антихакеры, антитрояны. Основными из них являются АП и файрволлы. АП подробно рассмотрены в подразделе 7.8.

Файрволл (firewall), он же брандмауэр или сетевой экран - это программа, которая обеспечивает фильтрацию сетевых пакетов на различных уровнях, в соответствии с заданными правилами. Основная задача файрволла - это защита компьютерных сетей или отдельных узлов от несанкционированного доступа. Сетевой экран не пропускает пакеты, которые не подходят по критериям, определённым в конфигурации, т.е. задерживает вредоносное ПО от проникновения в компьютер. В Минске находится филиал, насчитывающий примерно 70 программистов (20% общей численности) известного разработчика брандмауэров – фирмы Check Point.

 

7.6 Методы организации разграничения доступа

 

Основными функциями системы разграничения доступа (СРД) являются:

— реализация правил разграничения доступа (ПРД) субъектов и их процессов к данным;

— реализация ПРД субъектов и их процессов к устройствам создания твердых копий;

— изоляция программ процесса, выполняемого в интересах субъекта, от других субъектов;

— управление потоками данных в целях предотвращения записи данных на носители несоответствующего грифа;

— реализация правил обмена данными между субъектами для автоматизированных систем (АС) и средств вычислительной техники, построенных по сетевым принципам.

Функционирование СРД опирается на выбранный способ разграничения доступа. Наиболее прямой способ гарантировать защиту данных — это предоставить каждому пользователю вычислительную систему как его собственную. В многопользовательской системе похожих результатов можно добиться использованием модели виртуальной ЭВМ.

При этом каждый пользователь имеет собственную копию операционной системы. Монитор виртуального персонального компьютера для каждой копии операционной системы будет создавать иллюзию, что никаких других копий нет и что объекты, к которым пользователь имеет доступ, являются только его объектами. Однако при разделении пользователей неэффективно используются ресурсы автоматизированной системы (АС).

В АС, допускающих совместное использование объектов доступа, существует проблема распределения полномочий субъектов по отношению к объектам. Наиболее полной моделью распределения полномочий является матрица доступа. Матрица доступа является абстрактной моделью для описания системы предоставления полномочий.

Строки матрицы соответствуют субъектам, а столбцы — объектам; элементы матрицы характеризуют право доступа (читать, добавлять информацию, изменять информацию, выполнять программу и т.д.). Чтобы изменять права доступа, модель может, например, содержать специальные права владения и управления. Если субъект владеет объектом, он имеет право изменять права доступа других субъектов к этому объекту. Если некоторый субъект управляет другим субъектом, он может удалить права доступа этого субъекта или передать свои права доступа этому субъекту. Для того чтобы реализовать функцию управления, субъекты в матрице доступа должны быть также определены в качестве объектов.

Элементы матрицы установления полномочий (матрицы доступа) могут содержать указатели на специальные процедуры, которые должны выполняться при каждой попытке доступа данного субъекта к объекту и принимать решение о возможности доступа. Основами таких процедур могут служить следующие правила:

— решение о доступе основывается на истории доступов других объектов;

— решение о доступе основывается на динамике состояния системы (права доступа субъекта зависят от текущих прав других субъектов);

— решение о доступе основывается на значении определенных внутрисистемных переменных, например значений времени и т.п.

В наиболее важных АС целесообразно использование процедур, в которых решение принимается на основе значений внутрисистемных переменных (время доступа, номера терминалов и т.д.), так как эти процедуры сужают права доступа.

Матрицы доступа реализуются обычно двумя основными методами — либо в виде списков доступа, либо мандатных списков. Список доступа приписывается каждому объекту, и он идентичен столбцу матрицы доступа, соответствующей этому объекту. Списки доступа часто размещаются в словарях файлов. Мандатный список приписывается каждому субъекту, и он равносилен строке матрицы доступа, соответствующей этому субъекту. Когда субъект имеет права доступа по отношению к объекту, то пара (объект — права доступа) называется мандатом объекта.

На практике списки доступа используются при создании новых объектов и определении порядка их использования или изменении прав доступа к объектам. С другой стороны, мандатные списки объединяют все права доступа субъекта. Когда, например, выполняется программа, операционная система должна быть способна эффективно выявлять полномочия программы. В этом случае списки возможностей более удобны для реализации механизма предоставления полномочий.

Некоторые операционные системы поддерживают как списки доступа, так и мандатные списки. В начале работы, когда пользователь входит в сеть или начинает выполнение программы, используются только списки доступа. Когда субъект пытается получить доступ к объекту в первый раз, список доступа анализируется и проверяются права субъекта на доступ к объекту. Если права есть, то они приписываются в мандатный список субъекта и права доступа проверяются в дальнейшем проверкой этого списка.

При использовании обоих видов списков список доступа часто размещается в словаре файлов, а мандатный список — в оперативной памяти, когда субъект активен. С целью повышения эффективности в техническом обеспечении может использоваться регистр мандатов.

Третий метод реализации матрицы доступа — так называемый механизм замков и ключей. Каждому субъекту приписывается пара (А, К), где А— определенный тип доступа, а К— достаточно длинная последовательность символов, называемая замком. Каждому субъекту также предписывается последовательность символов, называемая ключом. Если субъект захочет получить доступ типа А к некоторому объекту, то необходимо проверить, что субъект владеет ключом к паре (А, К), приписываемой конкретному объекту.

К недостаткам применения матриц доступа со всеми субъектами и объектами доступа можно отнести большую размерность матриц. Для уменьшения размерности матриц установления полномочий применяют различные методы сжатия:

— установление групп пользователей, каждая из которых представляет собой группу пользователей с идентичными полномочиями;

— распределение терминалов по классам полномочий;

— группировка элементов защищаемых данных в некоторое число категорий с точки зрения безопасности информации (например, по уровням конфиденциальности).

По характеру управления доступом системы разграничения разделяют на дискреционные и мандатные.

Дискреционное управление доступом дает возможность контролировать доступ наименованных субъектов (пользователей) к наименованным объектам (файлам, программам и т.п.). Например, владельцам объектов предоставляется право ограничивать доступ к этому объекту других пользователей. При таком управлении доступом для каждой пары (субъект—объект) должно быть задано явное и недвусмысленное перечисление допустимых типов доступа (читать, писать и т.д.), т.е. тех типов доступа, которые являются санкционированными для данного субъекта к данному объекту. Однако имеются и другие задачи управления доступом, которые не могут быть решены только дискреционным управлением. Одна из таких задач — позволить администратору АС контролировать формирование владельцами объектов списков управления доступом.

Мандатное управление доступом позволяет разделить информацию на некоторые классы и управлять потоками информации при пересечениях границ этих классов.

Во многих системах реализуется как мандатное, так и дискреционное управление доступом. При этом дискреционные правила разграничения доступа являются дополнением мандатных. Решение о санкционированности запроса на доступ должно приниматься только при одновременном разрешении его и дискреционными, и мандатными ПРД. Таким образом, должны контролироваться не только единичный акт доступа, но и потоки информации.

Обеспечивающие средства для системы разграничения доступа выполняют следующие функции:

— идентификацию и опознавание (аутентификацию) субъектов и поддержание привязки субъекта к процессу, выполняемому для субъекта;

— регистрацию действий субъекта и его процесса;

— предоставление возможностей исключения и включения новых субъектов и объектов доступа, а также изменение полномочий субъектов;

— реакцию на попытки НСД, например, сигнализацию, блокировку, восстановление системы защиты после НСД;

— тестирование всех функций защиты информации специальными программными средствами;

— очистку оперативной памяти и рабочих областей на магнитных носителях после завершения работы пользователя с защищаемыми данными путем двукратной произвольной записи;

— учет выходных печатных и графических форм и твердых копий в АС;

— контроль целостности программной и информационной части как СРД, так и обеспечивающих ее средств.

Для каждого события должна регистрироваться следующая информация, дата и время; субъект, осуществляющий регистрируемое действие; тип события (если регистрируется запрос на доступ, то следует отмечать объект и тип доступа); успешно ли осуществилось событие (обслужен запрос на доступ или нет).

Выдача печатных документов должна сопровождаться автоматической маркировкой каждого листа (страницы) документа порядковым номером и учетными реквизитами АС с указанием на последнем листе общего количества листов (страниц). Вместе с выдачей документа может автоматически оформляться учетная карточка документа с указанием даты выдачи документа, учетных реквизитов документа, краткого содержания (наименования, вида, шифра кода) и уровня конфиденциальности документа, фамилии лица, выдавшего документ, количества страниц и копий документа.

Автоматическому учету подлежат создаваемые защищаемые файлы, каталоги, тома, области оперативной памяти персонального компьютера, выделяемые для обработки защищаемых файлов, внешних устройств и каналов связи.

Такие средства, как защищаемые носители информации, должны учитываться документально, с использованием журналов или картотек, с регистрацией выдачи носителей. Кроме того, может проводиться несколько дублирующих видов учета.

Реакция на попытки несанкционированного доступа (НСД) может иметь несколько вариантов действий:

— исключение субъекта НСД из работы АС при первой попытке нарушения ПРД или после превышения определенного числа разрешенных ошибок;

— работа субъекта НСД прекращается, а информация о несанкционированном действии поступает администратору АС и подключает к работе специальную программу работы с нарушителем, которая имитирует работу АС и позволяет администрации сети локализовать место попытки НСД.

Реализация системы разграничения доступа может осуществляться как программными, так и аппаратными методами или их сочетанием. В последнее время аппаратные методы защиты информации от НСД интенсивно развиваются благодаря тому, что: во-первых, интенсивно развивается элементная база, во-вторых, стоимость аппаратных средств постоянно снижается и, наконец, в-третьих, аппаратная реализация защиты эффективнее по быстродействию, чем программная.

 

7.7 Контроль целостности информации

 

Целостность информации – это отсутствие признаков её уничтожения или искажения. Целостность информации означает, что данные полны. Целостность – это условие того, что данные не были изменены при выполнении любой операции над ними, будь то передача, хранение или представление К задаче контроля целостности необходимо подходить с двух позиций. Во-первых, необходимо дать ответ на вопрос, с какой целью реализуется контроль целостности. Дело в том, что при корректном реализации разграничительной политики доступа к ресурсам их целостность не может быть несанкционированно нарушена. Отсюда напрашивается вывод, что целостность ресурсов следует контролировать в том случае, когда невозможно осуществить корректное разграничение доступа (например, запуск приложения с внешнего накопителя – для внешних накопителей замкнутость программной среды уже не реализовать), либо в предположении, что разграничительная политика может быть преодолена злоумышленником. Это вполне резонное предположение, т.к. СЗИ от НСД, обеспечивающую 100% защиту, построить невозможно даже теоретически. Во-вторых, необходимо понимать, что контроль целостности – это весьма ресурсоемкий механизм, поэтому на практике допустим контроль (а тем более с высокой интенсивностью, в противном случае, данный контроль не имеет смысла) лишь весьма ограниченных по объему объектов [10].

Принципиальная особенность защиты информации на прикладном уровне состоит в том, что реализация какой-либо разграничительной политики доступа к ресурсам (основная задача СЗИ от НСД) на этом уровне не допустима (потенциально легко преодолевается злоумышленником). На этом уровне могут решаться только задачи контроля, основанные на реализации функций сравнения с эталоном. При этом априори предполагается, что с эталоном могут сравниваться уже произошедшие события. Т.е. задача защиты на прикладном уровне состоит не в предотвращении несанкционированного события, а в выявлении и в фиксировании факта того, что несанкционированное событие произошло.

Рассмотрим достоинства и недостатки защиты на прикладном уровне, по сравнению с защитой на системном уровне. Основной недостаток состоит в том, что на прикладном уровне в общем случае невозможно предотвратить несанкционированное событие, т.к. контролируется сам факт того, что событие произошло, поэтому на подобное событие лишь можно отреагировать (максимально оперативно), с целью минимизаций его последствий.

Основное достоинство состоит в том, что факт того, что произошло несанкционированное событие, может быть зарегистрирован практически всегда, вне зависимости от того, с какими причинами связано его возникновение (так как регистрируется сам факт подобного события). Проиллюстрируем сказанное простым примером. Один из основных механизмов защиты в составе СЗИ от НСД является механизм обеспечения замкнутости программной среды (суть – не дать запускать любые сторонние процессы и приложения, вне зависимости от способа их внедрения на компьютер). Данная задача должна решаться на системном уровне. При решении задачи на системном уровне, драйвер средства защиты перехватывает все запросы на запуск исполняемого файла и анализирует их, обеспечивая возможность запуска лишь разрешенных процессов и приложений. При решении же аналогичной задачи на прикладном уровне осуществляется анализ того, какие процессы и приложения запущены, и если выявляется, что запущен несанкционированный процесс (приложение), он завершается средством защиты (реакция СЗИ от НСД на несанкционированное событие). Как видим, преимуществом реализации на системном уровне является то, что при этом должен в принципе предотвращаться запуск несанкционированных процессов (приложений), при реализации же на прикладном уровне, событие фиксируется по факту совершения, т.е. в данном случае – уже после того, как процесс запущен, как следствие, до момента его завершения средством защиты (если установлена такая реакция на такое событие), данным процессом может быть выполнено какое-либо несанкционированное действие (по крайней мере, его часть, почему важнейшим условием здесь и становится оперативное реагирование на обнаруженное событие). С другой стороны, а кто может гарантировать, что системный драйвер, решает данную задачу защиты корректно и в полном объеме, а потенциальная опасность, связанная с ошибками и закладками в системном и прикладном ПО и т.д.? Другими словами, никогда нельзя гарантировать, что системный драйвер не может быть обойден злоумышленником при определенных условиях. Что мы получим в первом случае – администратор даже не узнает о том, что совершен факт НСД. При реализации же решения задачи на прикладном уровне, уже не важна причина, приведшая к возникновению несанкционированного события, так как фиксируется сам факт проявления данного события (даже, если оно вызвано использованием ошибок и закладок ПО). В этом случае, мы зарегистрируем, что событие произошло, однако, не сумеем его предотвратить в полном объеме, лишь можем попытаться минимизировать последствия.

С учетом сказанного можем сделать следующий важный вывод. Механизмы защиты, призванные решать одну и ту же задачу на системном и на прикладном уровнях, ни в коем случае нельзя рассматривать в качестве альтернативных решений. Эти решения дополняют друг друга, так как предоставляют совершенно различные свойства защиты. Следовательно, при реализации эффективной защиты (в первую очередь, речь идет о корпоративных приложениях) наиболее критичные задачи должны решаться одновременно обоими способами: и на системном, и на прикладном уровнях.

 

7.8 Методы защиты от компьютерных вирусов

 

Точного термина, определяющего вирусную (вредоносную) программу (ВП, «компьютерный вирус») в науке до сих пор не существует. Впервые этот термин употребил сотрудник Лехайского университета (США) доктор Fred Cohen (Фрэд Коэн) в 1984 г. на 7-й конференции по безопасности информации, проходившей в США. Определение, которое дал вирусу доктор Фрэд Коэн, звучало так – «Компьютерный вирус – это последовательность символов на ленте машины Тьюринга: «программа, которая способна инфицировать другие программы, изменяя их, чтобы внедрить в них максимально идентичную копию себя». Термин «компьютерный вирус» в западной литературе звучит как: «Самокопирующаяся программа, которая может «инфицировать» другие программы, изменяя их или их окружение так, что запрос к «инфицированной» программе подразумевает запрос к максимально идентичной, а в большинстве случаев - функционально подобной, копии «вируса».

Информация о первой ВП также отсутствует. Известно только, что в конце 60х — начале 70х годов 20-го столетия на машине Univac 1108 была создана очень популярная игра «ANIMAL», которая создавала свои копии в системных библиотеках. Об угрозах компьютерной безопасности за счёт вирусов мы уже беседовали на первом практическом занятии. Для парирования этих угроз существуют специальные антивирусные программы (АВ). Разработан специальный стандарт – СТБ П 34.101.8 «Программные средства защиты от воздействия вредоносных программ и антивирусные программные средства. Общие требования». Согласно СТБ П 34.101.8 ВП – это программный код (исполняемый или интерпретируемый), обладающий свойством несанкционированного воздействия на «объект информационной технологии».

Виды вирусов. А. Троянская программа (trojan) – ВП, которая не способна создавать свои копии и не способна распространять свое тело в «объектах информационной технологии». Б. Дроппер (dropper) – ВП, которая не способна создавать свои копии, но внедряет в «объект информационной технологии» другую «вредоносную программу», бестелесые черви и др. (см. в презентации). Классификацию компьютерных вирусов по среде обитания см. в презентации.

Наиболее широко в Минске распространены следующие антивирусные программы (АВ) – Антивирус Касперского,например, Kaspersky Internet Security до версии 11, антивирус Bit Defender Internet Security, Panda Internet Security, Avast! Free Antivirus 5.0 Final, Avira AntiVir Personal Edition 10.0.0, антивирус Dr Web 6.0, АП ООО «Вирус БлокАда». Однако современные АП имеют целый ряд проблем, которые делятся на идеологические и технические.

Идеологические проблемы связаны, во-первых, с увеличением объема работ по анализу кода вируса из-за расширения понятия ВП, а во-вторых, со сложностью классификации ПО, которая зависит либо от конфигурации ПО либо от способа установки ПО. Принятие решения по устранению проблем с вирусами перекладывается в этом случае на пользователя.

Технические проблемы заключаются в постоянном появлении новых сложных ВП, а также в задержке детектирования ВП. Появление сложных ВП вызывает усложнение алгоритмов обнаружения и обезвреживания вирусов. Это, в свою очередь, приводит к перераспределению ресурсов компьютера: увеличение на АВ защиту, уменьшение на прикладные задачи. Разрулирование этой проблемы проводится обновлением парка компьютеров, а также оптимизацией алгоритмов АВ. Для реализации последнего мероприятия необходима реализация эмулятора процессора на языке ассемблера, а также использование динамического транслятора.

Для устранения задержки детектирования ВП изобретена технология MalwareScope, позволяющая детектировать неизвестных представителей известных семейств ВП без обновления антивирусных баз. Можно использовать также эвристический анализ, выявляющий наличие ошибок “false positive” и “false negative”. Метод этот, однако, характеризуется высокой трудоемкостью выявления типовых для семейства ВП фрагментов кода вируса. Для снижения трудоемкости разработан программный робот, автоматизирующий процесс корректировки эвристических записей. Кроме эвристического анализа ошибок можно использовать также поведенческие анализаторы/блокираторы, которые применимы однако только для защиты объекта, на котором установлены.