2. Антивірусні програми

Антивірусна програма (антивірус) — програма для виявлення і видалення комп'ютерних вірусів і інших шкідливих програм, запобігання їх розповсюдженню, а також відновлення програм заражених ними.

Основні завдання сучасних антивірусних програм:

-Сканування файлів і програм в режимі реального часу.

- Сканування комп'ютера на вимогу.

- Сканування інтернет-трафіку.

- Сканування електронної пошти.

- Захист від атак небезпечних веб-вузлів.

- Відновлення пошкоджених файлів (лікування).

Типи антивірусів

Найпопулярнішими і ефективнішими антивірусними програмами є антивірусні сканери (інші назви: фаги, полифаги). Слідом за ними по ефективності і популярності слідують CRC- сканери (також: ревізор, checksumer, integrity checker). Часто обидва приведені методи об'єднуються в одну універсальну антивірусну програму, що значно підвищує її потужність. Застосовуються також різного типу блокувальні і імунізатори.

Сканери

Принцип роботи антивірусних сканерів заснований на перевірці файлів, секторів і системної пам'яті і пошуку в них відомих і нових (невідомих сканеру) вірусів. Для пошуку відомих вірусів використовуються так звані «маски». Маскою вірусу є деяка постійна послідовність коди, специфічна для цього конкретного вірусу. Якщо вірус не містить постійної маски, або довжина цієї маски недостатньо велика, то використовуються інші методи. Прикладом такого методу є алгоритмічна мова, що описує всі можливі варіанти коди, які можуть зустрітися при зараженні подібного типу вірусом. Такий підхід використовується деякими антивірусами для детектування полиморфних-вірусов.

У багатьох сканерах використовуються також алгоритми «евристичного сканування», тобто аналіз послідовності команд в об'єкті, що перевіряється, набір деякої статистики і ухвалення рішення («можливо заражений» або «не заражений») для кожного об'єкту, що перевіряється. Оскільки евристичне сканування є багато в чому імовірнісним методом пошуку вірусів, то на нього розповсюджуються багато законів теорії вірогідності. Наприклад, чим вище відсоток вірусів, що виявляються, тим більше кількість помилкових спрацьовувань.

Сканери також можна розділити на дві категорії — «універсальні» і «спеціалізовані». Універсальні сканери розраховані на пошук і знешкодженні всіх типів вірусів незалежно від операційної системи, на роботу в якій розрахований сканер. Спеціалізовані сканери призначені для знешкодження обмеженого числа вірусів або тільки одного їх класу, наприклад макро-вірусів. Спеціалізовані сканери, розраховані тільки на макро-віруси, часто виявляються найбільш зручним і надійним рішенням для захисту систем документообігу в середовищах MS Word і MS Excel.

Сканери також діляться на «резидентні» (монітори), такі, що проводять сканування «на-лету», і «нерезидентні», такі, що забезпечують перевірку системи тільки за запитом. Як правило, «резидентні» сканери забезпечують надійніший захист системи, оскільки вони негайно реагують на появу вірусу, тоді як «нерезидентний» сканер здатний пізнати вірус тільки під час свого чергового запуску.

До достоїнств сканерів всіх типів відноситься їх універсальність, до недоліків — розміри антивірусних баз, які сканерам доводиться «тягати за собою», і відносно невелику швидкість пошуку вірусів.

CRC-сканеры

Принцип роботи CRC-сканеров заснований на підрахунку CRC-сумм (контрольних сум) для присутніх на диску файлов/системных секторів. Ці CRC-суммы потім зберігаються в базі даних антивіруса, як, втім, і деяка інша інформація: довжини файлів, дати їх останньої модифікації і так далі При подальшому запуску CRC- сканери звіряють дані, що містяться в базі даних, з реально підрахованими значеннями. Якщо інформація про файл, записана в базі даних, не співпадає з реальними значеннями, то CRC-сканеры сигналізують про те, що файл був змінений або заражений вірусом.

CRC-сканеры, використовуючі анти-стелс алгоритми, є досить сильною зброєю проти вірусів: практично 100% вірусів виявляються виявленими майже відразу після їх появи на комп'ютері. Проте у цього типу антивірусів є природжений недолік, який помітно знижує їх ефективність. Цей недолік полягає в тому, що CRC-сканеры не здатні зловити вірус у момент його появи в системі, а роблять це лише через деякий час, вже після того, як вірус розійшовся по комп'ютеру. CRC-сканеры не можуть визначити вірус в нових файлах (у електронній пошті, на дискетах, у файлах, відновлюваних з backup або при розпаковуванні файлів з архіву), оскільки в їх базах даних відсутня інформація про ці файли. Більш того, періодично з'являються віруси, які використовують цю «слабкість» CRC-сканеров, заражають тільки новостворювані файли і залишаються, таким чином, невидимими для них.

Блокувальники

Антивірусні блокувальники — це резидентні програми, що перехоплюють «вирусо-опасные» ситуації і що повідомляють про це користувачеві. До «вирусо-опасным» відносяться виклики на відкриття для запису у виконувані файли, запис в boot-сектора дисків або MBR вінчестера, спроби програм залишитися резидентний і так далі, тобто виклики, які характерні для вірусів в моменти з розмноження.

До достоїнств блокувальників відноситься їх здатність виявляти і зупиняти вірус на найранішій стадії його розмноження, що, до речі, буває дуже корисно у випадках, коли давно відомий вірус постійно «виповзає невідомо звідки». До недоліків відносяться існування шляхів обходу захисту блокувальників і велика кількість помилкових спрацьовувань, що, мабуть, і послужило причиною для практично повної відмови користувачів від подібного роду антивірусних програм (мені, наприклад, невідомо ні про один блокувальник для Windows95/NT — немає попиту, немає і пропозиції).

Необхідно також відзначити такий напрям антивірусних засобів, як антивірусні блокувальники, виконані у вигляді апаратних компонентів комп'ютера («залоза»). Найбільш поширеною є вбудована в BIOS захист від запису в MBR вінчестера. Проте, як і у випадку з програмними блокувальниками, такий захист легко обійти прямим записом в порти контроллера диска, а запуск DOS-утилиты FDISK негайно викликає «помилкове спрацьовування» захисту.

Існує декілька більш універсальних апаратних блокувальників, але до перерахованих вище недоліків додаються також проблеми сумісності із стандартними конфігураціями комп'ютерів і складності при їх установці і настройці. Все це робить апаратні блокувальники украй непопулярними на тлі решти типів антивірусного захисту.

Іммунізатори

Іммунізатори діляться на два типи: иммунизаторы, що повідомляють про зараження, і иммунизаторы, блокуючі зараження яким-небудь типом вірусу. Перші зазвичай записуються в кінець файлів (за принципом файлового вірусу) і при запуску файлу кожного разу перевіряють його на зміну. Недолік у таких иммунизаторов всього один, але він летальний: абсолютна нездатність повідомити про зараження стелс-вирусом. Тому такі иммунизаторы, як і блокувальники, практично не використовуються в даний час.

Другий тип імунізації захищає систему від поразки вірусом якогось певного вигляду. Файли на дисках модифікуються таким чином, що вірус приймає їх за вже заражені (приклад — сумно відомий рядок «MsDos», що оберігає від викопного вірусу «Jerusalem»). Для захисту від резидентного вірусу в пам'ять комп'ютера заноситься програма, що імітує копію вірусу. При запуску вірус натикається на неї і вважає, що система вже заражена.

Такий тип імунізації не може бути універсальнім, оскільки не можна імунізувати файли від всіх відомих вірусів: одні віруси вважають вже зараженими файли, якщо година створення файлу містить мітку 62 секунди, а інші — 60 секунд. Проте не дивлячись на це, подібні іммунізатори як напівзахід можуть цілком надійно захистити комп'ютер від нового невідомого вірусу аж до того моменту, коли він визначатиметься антивірусними сканерами.

Кращі антивіруси:

Avira AntiVir Personal Edition. Це дуже невимогливий до ресурсів антивірус з якнайкращими здібностями по виявленню вірусів і руткитов.

Але є у нього і мінуси. По-перше в Avira AntiVir Personal Edition немає вбудованого антишпигуна і сканера електронної пошти. По-друге, оновлення цього антивіруса зазвичай рідше чим в інших антивірусів, а іноді і взагалі припиняються на деякий час. По-третє Avira не має підтримки російської мови.

Всі перераховані вище недоліки відсутні у антивіруса Avast! 4 Home Edition. У нього входять модулі для захисту комп'ютера від руткитов і шпигунських програм, сканер підозрілих процесів в режимі реального часу (включаючи перевірку електронної пошти).

До плюсів Avast! можна додати низьке споживання системних ресурсів, підтримку роботи цього антивіруса на машинах із застарілими версіями Windows і русифікований інтерфейс. До мінусів — високий відсоток помилкових спрацьовувань. Також декілька дратує необхідність щорічної безкоштовної реєстрації.

AVG Anti-Virus Free Edition. Окрім самого антивіруса цей пакет містить антишпигунський модуль, систему контролю за фишингом і сканером eMail. Рівень виявлення шкідливих програм у AVG Anti-Virus достатньо хороший, а оновлення часты.

До мінусів AVG Anti-Virus Free Edition можна зарахувати великий розмір програми і деяку «ваговитість» при роботі на комп'ютерах з низькими системними можливостями. При установці антивіруса робиться спроба нав'язати панель AVG Security Toolbar з пошуком від Yahoo.

Три розглянутих вище за антивірус дійсно представляють реальну альтернативу багатьом платним програмам. Багатьом, але не всім. Підсилити захист комп'ютера і підняти його на рівень кращих комерційних зразків, можна за допомогою інших антивірусів, які мають хороші сканери що викликаються за бажанням користувача.

Таке сканування можна проводити регулярно, виявляючи при цьому шкідливі програми які (можливо) пропустив основний антивірус. Хоча варто відмітити, що при добре побудованій стратегії захисту комп'ютера цінність такого сканування буде мінімальною.

Все з вже згаданих сьогодні антивірусів можна використовувати як сканер того, що запускається на вимогу. Для цього при установці AntiVir або Avast! потрібно використовувати вибіркову інсталяцію і відключити захист в реальному часі. AVG переводиться в режим примусового сканера шляхом простого відключення цього захисту вже після установки.

Dr.Web CureIt! або Kaspersky Virus Removal Tool також можна використовувати як примусовий сканер. Обидві програми відносяться до портативного софтвера і є, серед іншого, чудовими рішеннями для видалення вже присутніх на комп'ютері шкідливих програм. Мінус – обидві програми не оновлюються, тому кожного разу доводиться викачувати повну версію.

Знешкодження шпигунських програм

Є ще одна категорія шкідливого ПЗ, відома набагато менше, ніж віруси (але аж ніяк не менш небезпечна) через специфіку своєї роботи – шпигунства за діями користувача. Такі програми (spyware), як правило, поставляються разом із розповсюджуваними через Internet безкоштовними програмами або ж автоматично встановлюються на ваш ПК під час веб-серфінгу.

Spyware визначають як програмне забезпечення, що дає змогу збирати відомості про користувача або організацію без їх відома. Adware (від advertising – реклама) – програмний код, без відома користувача внесений до програмного забезпечення з метою демонстрації рекламних оголошень.

За даними New Scientist, у світі 5,1 % приєднаних до Інтернету комп'ютерів мають на своєму вінчестері програмний код, призначений для несанкціонованого збирання конфіденційної інформації і (або) демонстрації непрошеної реклами за допомогою спливаючих («рор-up») вікон браузера.

Дивує ступінь поширення spyware. За даними, отриманими фахівцями Вашингтонського університету у ході спостережень за поширенням лише чотирьох відомих програм-шпигунів (Gator, Cydoor, SaveNow і eZula) на комп'ютерах студентського містечка, на 5,1 % машин було встановлено програмне забезпечення для стеження за діями користувача, а 69 % усіх відділів і офісів університету мали принаймні один комп'ютер, на якому було встановлено spyware.

«Spyware – реальна проблема, що недооцінюється, у той час як вона стала актуальною для істотної частини населення» – такий висновок авторів дослідження. Spyware, крім того, не обмежуються збиранням інформації, вони є загрозою безпеки. Як мінімум дві з вивчених програм – Gator і eZula – дають можливість зловмисникові не просто збирати інформацію, а й контролювати чужий комп'ютер.

Ad-Aware SE Personal (www.lavasoft.de) – програма, призначена для пошуку й усунення шпигунських модулів, сканує оперативну пам'ять, файли на жорсткому диску і визначає в них програми-шпигуни й запущені шкідливі процеси. Сканується також реєстр операційної системи. Якщо в реєстрі виявляється запис, установлений шкідливою програмою, то він видаляється. Передбачено можливість поновлення антишпигунської бази через Інтернет. Працює Ad-Aware SE Personal досить швидко, настроювання програми прості й інтуїтивно зрозумілі. Якщо виявляються шпигунські модулі, то програма пропонує видалити їх усі або вибірково. Для запобігання випадковому видаленню потрібного файла або запису в реєстрі передбачено функцію відновлення (для цього автоматично створюються backup-копії даних). Цю програму (або аналог) повинен мати кожен користувач, який працює на комп'ютері в Інтернеті.

Стежачи за подіями останніх років, можна з впевненістю стверджувати, що spyware, поряд з комп'ютерними вірусами і «хробаками», стали глобальним нещастям у мережі. Так, за даними компанії EarthLink, 90 % усіх підключених до Internet ПК заражені подібним ПЗ. Усього було виявлено понад 29,5 млн шпигунських програм, у середньому по 28 на ПК.