Общие принципы защиты от вирусов

Современная корпоратив­ная сеть — это многофункци­ональная, многокомпонентная сис­тема, причем все компоненты — принципиально разного назначения с информационной точки зрения и с точки зрения среды.

Получается многокомпонентная среда, и когда речь заходит о защите, имеет смысл говорить только о комплексной защите всей этой среды. Защита одного компонента уже не обеспечивает безопасности информационной структуры компании.

Под комплексной защитой понимается сле­дующие несколько направлений.

Защита каналов связи с внешним миром. Это firewall, proxy-серверы и другие устройства и ПО, стоящие на границе корпоративной сети. И естественно, необходимо добавлять туда модуль антивирусной защиты.

Методика «защитной стены» позво­ляет отфильтровать в одной точке очень большой объем информации и значительно снизить вероятность распространения вирусов во внут­ренней сети.

Защита серверов электронной почты. Специфика почтовых серве­ров такова, что в файлах, присоеди­ненных к письмам, вирус может храниться бесконечно долго. И все­гда есть вероятность, что кто-то прочтет это письмо и вирус вырвет­ся на свободу.

Защита Web-серверов. Сам Web-сервер по своей природе таков, что «глядит» наружу. Соответственно он в первую очередь подвергается ата­кам хакеров, и поэтому именно он с наибольшей вероятностью будет подвержен внешнему воздействию.

Зашита файловых серверов и рабо­чих станций сотрудников.

Файловые серверы необходимо защищать, потому что это хранилища файлов. Вирус, попав туда, может существовать очень долго в каком-нибудь файле, который никому не нужен.

Не следует забывать и о различных ноутбуках, которые постоянно находятся во внешней среде и при подключении в локальную сеть клиента могут стать источниками заражения.

36. Вирусы как особый класс разрушающих программных воздействий. Механизм заражения программ вирусами.

Компьютерный вирус — программа, способная создавать свои копии (необязательно совпадающие с оригиналом) и внедрять их в файлы, системные области компьютера, компьютерных сетей, а также осуществлять иные деструктивные действия. При этом копии сохраняют способность дальнейшего распространения. Компьютерный вирус относится к вредоносным программам.

Механизм заражения программ вирусами.

Загрузочные вирусы

Загрузочные вирусы заражают загрузочный сектор диска, подменяя находящиеся в нем программы начальной загрузки своим кодом. Исходное содержимое этих секторов при этом сохраняется в одном из свободных секторов диска или непосред­ственно в теле вируса.

Получив управление, загрузочный вирус выполняет следующие действия:

1. копирование своего кода в конец ОП компьютера, уменьшая тем самым размер ее свободной части;

2. переопределение «на себя» нескольких прерываний BIOS, в основном связанных с обращением к дискам;

3. загрузка в ОП компьютера истинной программы начальной загрузки;

4. передача управления истинной программе начальной загрузки.

Файловые вирусы

Файловые вирусы заражают файлы различных типов:

• программные файлы (*.ехе или *.com);

• файлы документов Microsoft Office (*.doc, *.xls *.mdb, *.ppt, *.pps);

• файлы шаблонов отображения объектов в папке (*.htt);

• файлы драйверов реального режима (*.sys);

• пакетные командные файлы (*.bat);

• файлы оверлеев приложений операционной системы MS-DOS (*.ovr или *.ovl) и др.

При заражении файла вирус записывает свой код в начало, середину или конец файла. Исходный файл изменяется таким образом, что после открытия файла управление немедленно передается коду вируса.

После получения управления код вируса выполняет следующую последовательность действий:

1. заражение других файлов и системных областей дисковой памяти;

2. установка в оперативной памяти собственных резидентных модулей;

3. выполнение других действий, зависящих от реализуемого вирусом алгоритма;

4. продолжение обычной процедуры открытия файла.

При заражении файлов драйверов реального режима код вируса дописывается к коду драйвера, изменяются адреса процедур стратегии и (или) прерывания. После этого при инициализации зараженного драйвера вирус перехватывает соответствующий запрос операционной системы, передает его коду драйвера, дожидается ответа драйвера и корректирует его, чтобы остаться в оперативной памяти вместе с основной частью драйвера в одном с ней блоке.

Макровирусы

Вирусы в файлах документов, созданных программами пакета Microsoft Office, распространяются с помощью включенных в них макросов. Поэтому такие вирусы иногда называют вирусами в макросах, или макровирусами.

Языки программирования макросов, особенно VBA, имеют большую библиотеку стандартных макрокоманд и позволяют создавать достаточно сложные процедуры. Кроме того, поддерживаются автоматически выполняемые макросы, связанные с определенными событиями.

Документ Microsoft Office может также содержать макросы, автоматически получающие управление при нажатии пользователем определенной комбинации клавиш на клавиатуре или достижении некоторого момента времени (даты, времени суток).

Любой макрос из отдельного документа может быть записан в файл шаблонов normal.dot и, тем самым, стать доступным при редактировании любого документа Microsoft Word.

Для манипулирования файлами, размещенными во внешней памяти компьютера, в макросах могут использоваться стандартные макрокоманды Open (открытие), SetAttr (изменение атрибутов), Name (переименование), Get (чтение данных), Put (запись данных), Close (закрытие), Kill (удаление), RmDir (удаление папки), MkDir (создание новой папки), ChDir (изменение текущей папки) и др.

Стандартная макрокоманда Shell позволяет выполнить любую из установленных на компьютере программ или системных команд. Таким образом, язык программирования VBA вполне может быть использован авторами макровирусов для создания весьма опасного кода.

Антивирусное средство (АВС) - комплекс программно-технических и организационных мер и средств, предназначенных для выявления и предотвращения вирусного воздействия. АВС могут также только выявлять или только предотвращать вирусное воздействие.

При испытаниях ПС на наличие KB используют две основные группы методов обнаружения KB и защиты программ от них: программные и аппаратно-программные. К программным методам относятся:

• сканирование;

• обнаружение изменений;

• эвристический анализ;

• резидентные «сторожа»;

• вакцинирование ПС.

Метод сканирования заключается в том, что специальная антивирусная программа, называемая сканером, последовательно просматривает проверяемые файлы в поиске так называемых «сигнатур» известных КВ. При этом под сигнатурой понимают уникальную последовательность байтов, принадлежащую конкретному известному KB и не встречающуюся в других программах.

Существует два алгоритма построения таких программ.

Первый связан с поиском сигнатур или регулярных выражений, но он эффективен только для вирусов, обладающих сигнатурой.

Второй алгоритм - это проверка кода программ. Проверяется область программы, получающая управление, на предмет совпадения с командами вируса, настроенного на данный файл.

Программы-фаги отличаются от детекторов только тем, что кроме обнаружения вирусов они восстанавливают, если возможно, диски и программы, удаляя из них тело вируса. Для процесса восстановления необходимо тщательно изучить алгоритм заражения, чтобы совершить обратные действия.

Метод обнаружения изменений заключается в том, что антивирусная программа предварительно запоминает характеристики всех областей диска, которые могут подвергаться нападению KB, а затем периодически проверяет их. Если изменение этих характеристик будет обнаружено, то такая программа сообщит пользователю, что, возможно, в компьютер попал КВ.

Антивирусные программы, основанные на обнаружении изменений программной среды, называются ревизорами. Неудобство таких программ заключается в необходимости периодического сканирования дисков и большом числе ложных тревог. Кроме того, процесс сканирования необходимо производить после загрузки с "чистой" дискеты

Метод эвристического анализа реализуется с помощью антивирусных программ, которые проверяют остальные программы и загрузочные секторы дисков и дискет, пытаясь обнаружить в них код, характерный для КВ.

В методе резидентных сторожей используются антивирусные программы, которые постоянно находятся в оперативной памяти компьютера и отслеживают все подозрительные действия выполняемые другими программами. Резидентный сторож сообщит пользователю о том, что какая-либо программа пытается изменить загрузочный сектор жесткого диска или дискеты, а также выполнимый файл.

37. Необходимые и достаточные условия недопущения разрушающего воздействия. Понятие изолированной программной среды.

38. Модели разграничения доступа. Дискреционная модель. Реализация в ОС и СЗИ.

39. Модели разграничения доступа. Мандатная модель. Реализация в ОС и СЗИ.

40. Построение и принципы функционирования ПСКЗИ «Шипка».

50