17. Антивирусные программы и межсетевые экраны.

К специальным методам И/А непосредственно предназначенных для защиты ОС относятся антивирусные программы и межсетевые экраны или так называемые брэндмауэры (файрволы и т.д.). На сегодняшний день используются несколько основных методик обнаружения компьютерных вирусов и защиты от них.

1) Сканирование

2) Эвристический анализ

3) Использование антивирусных мониторов

4) Обнаружение изменений

5) Использование антивирусов встроенных в BIOS.

Сканирование заключается в последовательном просмотре проверяемых файлов в поиске сигнатур известных вирусов. Под сигнатурой (sign, подпись) понимается уникальная последовательность бит, принадлежащих вирусу. Здесь мы видим очевидную связь с тем, что называется хэш-функция (с аутентификацией данных). Сканирование может обнаружить только уже известные вирусы, для которых определена сигнатура. Другой научной основой сканеров являются методы поиска вхождения подстрок (такая же технология используется в программе антиплагиат).

Эвристический анализ основан на предположениях авторов антивирусных программ о наиболее характерных сочетаниях внутренних элементов программного кода вируса. Такой подход позволяет, например, обнаружить, что проверяемая программа устанавливает резидентный модуль памяти машины или записывает данные в исполняемый файл. Этот метод позволяет обнаружить ранее неизвестные вирусы и не требует сбора предварительной информации. Практически все современные антивирусные программы реализуют в той или иной степени собственные методы эвристического анализа, однако и это следует из его названия, эффективность такого анализа целиком зависит от опыта и субъективных предположений разработчиков антивирусов.

Антивирусные мониторы – это программы, которые постоянно находятся в памяти машины и отслеживают все подозрительные действия, выполняемые другими программами. Монитор автоматически проверяет все запускаемые программы, открываемые, создаваемые или сохраняемые файлы программ и документов, полученные через интернет или скопированные на жесткий диск с внешних носителей. Антивирусный монитор сообщает пользователю о случаях, когда какая- либо программа пытается выполнить потенциально опасные действия. Частным случаем и самостоятельным классом такого ПО стали построенные на данном принципе межсетевые экраны, позволяющие контролировать активность и содержимое трафика сети.

Четвертый метод обнаружение изменений исторически появился одним из первых. Когда вирус заражает компьютер он изменяет содержимое жесткого диска, это происходит не всегда и существуют целый класс вирусов которые целиком находятся в оперативной памяти. Антивирусные программы, которые в этом случае называются ревизорами диска невыполняют поиск вирусов по сигнатуре, они запоминают предварительно характеристики всех областей диска а затем периодически проверяют (т.е. состав каталогов, длину файлов и т.д.). Такие ревизоры позволяют найти изменения сделанные как известным, так и неизвестным вирусом. Здесь возникает проблема – интервал между просмотрами данных.

Защита встроенная в BIOS. Как ясно из названия, это защита, встроенная в системную плату (посредственно в железо). Она позволяет контролировать все обращения к главной загрузочной записи жестких дисков, загрузочным секторам дисков и дискет. Однако эта защита не является абсолютно надежной, т.к. в литературе отмечаются вирусы, которые пытаются отключить энергонезависимую память CMOS, тем самым повлиять на BIOS.

В целом для эффективной антивирусной защиты важным является не только используемые индивидуальные программы, но и организация единой системы антивирусной защиты в рамках корпоративной сети. Выбор архитектуры такой системы и ее администрирование может существенно повлиять на результат.