2.5. Защита информации от компьютерных вирусов

Компьютерный вирус — это, как правило, небольшая по объему компьютерная программа, имеющая следующие свойства (Слайд 17):

• возможность создавать свои копии и внедрять их в другие программы;

• скрытость (латентность) существования до определенного момента;

• несанкционированность (со стороны пользователя) производимых ею действий;

• наличие отрицательных последствий от ее функционирования.

Не все программы, обычно называемые вирусами, обладают всеми из перечисленных свойств.

Компьютерным вирусам характерны определенные стадии существования (Слайд 18):

• латентная стадия, в которой вирусом никаких действий не предпринимается;

• инкубационная стадия, в которой основная задача вируса — создать как можно больше своих копий и внедрить их в среду обитания;

• активная стадия, в которой вирус, продолжая размножаться, проявляется и выполняет свои деструктивные действия.

По среде обитания вирусы можно разделить на (Слайд 19):

• файловые;

• загрузочные;

• файлово-загрузочные;

• сетевые;

• макровирусы.

Макровирусы заражают и искажают текстовые файлы (.doc) и файлы электронных таблиц некоторых популярных редакторов.

Комбинированные сетевые макровирусы не только заражают создаваемые документы, но и рассылают копии этих документов по электронной почте (известный вирус «I love you»).

Сетевые черви используют для своего распространения команды и протоколы телекоммуникационных систем (электронной почты, компьютерных сетей). Они подразделяются на Internet-черви (распространяются по Интернету), LAN-черви (распространяются по локальной сети), IRC-черви (Internet Relay Chat) — распространяются через чаты. Существуют также смешанные типы.

В отдельную группу выделяются троянские программы, которые не размножаются и не рассылаются сами. Они подразделяются на несколько видов, которые маскируются под полезные программы и выполняют деструктивные функции. Они могут обеспечить злоумышленнику скрытый несанкционированный доступ к информации на компьютере пользователя и ее похищение (отсюда их название). Такие программы иногда называют утилитами несанкционированного удаленного управления.

Эмуляторы DDoS-атак (Distributed Denial of Service) приводят к атакам на веб-серверы, при которых на веб-сервер из разных мест поступает большое количество пакетов, что и приводит к отказам работы системы.

Дроппер (от англ. drop — бросать) — программа, которая «сбрасывает» в систему вирус или другие вредоносные программы, при этом сама больше ничего не делает.

Скрипт-вирусы — это вирусы, написанные на скрипт-языках (Visual Basic Script, Java Script и др.)

По способу заражения среды обитания вирусы делятся на (Слайд 20):

• Резидентные вирусы - после завершения инфицированной програм­мы остаются в оперативной памяти и продолжают свои деструктивные действия, заражая следующие исполняемые программы и проце­дуры вплоть до момента выключения компьютера.

• Нерезидентные вирусы - запускаются вместе с зараженной программой и после ее за­вершения из оперативной памяти удаляются.

По алгоритмам функционирования вирусы делятся на следующие группы (Слайд 21):

• паразитические вирусы, изменяющие содержимое файлов или секторов диска. Они достаточно просто могут быть обнаружены и уничтожены;

• вирусы-репликаторы («черви»), саморазмножающиеся и распространяющиеся по компьютерным сетям. Сами деструктивных действий не выполняют;

• вирусы-невидимки способны прятаться при попытках их обнаружения. Они перехватывают запрос антивирусной программы и мгновенно либо удаляют временно свое тело из зараженного файла, либо подставляют вместо своего тела незараженные участки файлов;

• самошифрующиеся вирусы (в режиме простоя зашифрованы и расшифровываются только в момент начала работы вируса);

• мутирующие вирусы (периодически автоматически видоизменяются: копии вируса не имеют ни одной повторяющейся цепочки байт), необходимо каждый раз создавать новые антивирусные базы для обезвреживания этих вирусов;

• «отдыхающие» вирусы (основное время проводят в латентном состоянии и активизируются только при определенных условиях, например, вирус «Чернобыль» функционирует только в день годовщины чернобыльской трагедии).

Для своевременного обнаружения и удаления вирусов важно знать основные признаки появления вируса в компьютере (Слайд 22):

• неожиданная неработоспособность компьютера или его компонентов;

• невозможность загрузки операционной системы;

• медленная работа компьютера;

• частые зависания и сбои в компьютере;

• прекращение работы ранее успешно исполнявшихся программ;

• искажение или исчезновение файлов и каталогов;

• непредусмотренное форматирование диска;

• необоснованное увеличение количества файлов на диске;

• необоснованное изменение размера файлов;

• искажение данных в CMOS-памяти;

• существенное уменьшение объема свободной оперативной памяти;

• вывод на экран непредусмотренных сообщений и изображений;

• появление непредусмотренных звуковых сигналов.

Антивирусные программы можно разделить на (Слайд 23):

1. Программы-детекторы осуществляют поиск компьютерных вирусов в памяти машины и при их обнаружении сообщают об этом. Детекторы могут искать как уже известные вирусы (ищут характерную для конкретного уже известного вируса последовательность байтов — сигнатуру вируса), так и произвольные вирусы (путем подсчета контрольных сумм для массива файла).

2. Программы-ревизоры являются развитием детекторов, но выполняют более сложную работу. Они запоминают исходное состояние программ, каталогов, системных областей и периодически или по указанию пользователя сравнивают его с текущим. При сравнении проверяется длина файлов, дата их создания и модификации, контрольные суммы и байты циклического контроля и другие параметры. Ревизоры эффективнее детекторов.

3. Программы-фильтры обеспечивают выявление подозрительных, характерных для вирусов действий (коррекция исполняемых .ехе и .com файлов, запись в загрузочные секторы дисков, изменение атрибутов файлов, прямая запись на диск по прямому адресу и т. д.). При обнаружении таких действий фильтры посылают пользователю запрос о подтверждении правомерности таких процедур.

4. Программы-доктора — самые распространенные и популярные (например, Kaspersky Antivirus, Doctor Web, Norton Antivirus и т. д.), которые не только обнаруживают, но и лечат зараженные вирусами файлы и загрузочные секторы дисков. Они сначала ищут вирусы в оперативной памяти и уничтожают их там (удаляют тело резидентного файла), а затем лечат файлы и диски. Многие программы-доктора являются полифагами и обновляются достаточно часто.

5. Программы-вакцины применяются для предотвращения заражения файлов и дисков известными вирусами. Вакцины модифицируют файл или диск таким образом, что он воспринимается программой-вирусом уже зараженным, и поэтому вирус не внедряется.

Для защиты компьютера от вирусов необходимо:

• не использовать нелицензионные или непроверенные программные продукты;

• иметь на компьютере антивирусную программу и обновлять их еженедельно;

• не пользоваться носителями с чужих компьютеров, а при необходимости такого использования сразу же проверять их антивирусными программами;

• не запускать программы, назначение которых неизвестно или непонятно;

• использовать антивирусы для входного контроля информации, поступающей по сети;

• не раскрывать вложения в электронные письма от неизвестных отправителей;

• при переносе на компьютер архивированных файлов сразу же после разархивирования проверять их антивирусными программами;

• перед открытием текстовых, табличных и иных файлов, содержащих макросы, проверять их на наличие вирусов;

• периодически проверять винчестер на наличие вирусов;

• не оставлять съемные носители при включении и выключении компьютера во избежание заражения их загрузочными вирусами.

10