Методы защиты от компьютерных вирусов

Для решения задач антивирусной зашиты должен быть реализо­ван комплекс известных и хорошо отработанных организационно- технических мероприятий:

использование сертифицированного программного обеспече­ния;

организация автономного испытательного стенда для провер­ки на вирусы нового программного обеспечения и данных. Это ме­роприятие эффективно для систем, обрабатывающих особо ценную информацию;

ограничение пользователей системы на ввод программ и дан­ных с посторонних носителей информации — отключение пользо­вательских дисководов для магнитных и оптических носителей ин­формации. Особенно эффективным это становится при переходе на технологию электронного документооборота;

запрет на использование инст рументальных средств для соз­дания программ в самой системе;

резервное копирование рабочего программного обеспечения и данных. Для критических систем рекомендуется циклическая схе­ма тройного копирования данных, когда рабочая копия файла хра­нится на диске рабочей станции, одна архивная копия в защищенной области на сервере и еще одна архивная копия на съемном носителе информации. При этом периодичность и порядок обновления архив­ных копий регламентируются специальной инструкцией;

подготовка администраторов безопасности и пользователей по вопросам антивирусной защиты. Низкая квалификация админи­страторов безопасности и пользователей по вопросам антивирусной защиты приводит к ошибочным действиям при настройке системы и в случае возникновения нештатных ситуаций.

7.4. Программы борьбы с компьютерными вирусами

Параллельно с общими средствами защиты информации при­меняются специализированные антивирусные программы, кото­рые можно разделить на несколько видов: детекторы, доктора (фа­ги), ревизоры, доктора-ревизоры, фильтры и вакцины (иммуниза- торы).

Программы-детекторы позволяют обнаруживать файлы, зара­женные одним из нескольких известных вирусов, на основе специ­фической комбинации байтов и выводить сообщение. Многие де­текторы имеют режимы лечения или уничтожения зараженных файлов. Некоторые программы могут обучаться не только способам обнаружения, но и способам лечения новых вирусов.

Программы-ревизоры (ADINF с лечащим модулем Adinf Cure Module, лаборатория Касперского) сначала запоминают сведения о состоянии незараженных программ и системных областей и могут в любой момент сравнить это состояние с исходным. О выявленных несоответствиях сообщается пользователю. Чтобы проверка состоя­ния проходила при каждой загрузке операционной системы, необ­ходимо включить команду запуска программы-ревизора в команд­ный файл autoexec.bat. Это позволяет обнаружить заражение компь­ютерным вирусом, когда он еще не успел нанести большого вреда.

Существуют полезные гибриды ревизоров и докторов, т. е. докто­ра-ревизоры (Adinf-Adinfxt, AVSP), — программы, которые moi ут об­наружить изменения в файлах и системных областях дисков и авто­матически вернуть их в исходное состояние. Гакие программы более универсальны, поскольку при лечении они используют заранее со­храненную информацию о состоянии файлов и областей дисков. Это позволяет им лечить даже от новых вирусов, но лишь от тех, ко­торые используют «стандартные» механизмы заражения файлов.

Программы-фильтры (антивирусный монитор-D, FluShol Plus) располагаются резидентно в оперативной памяти компьютера, пе­рехватывают те обращения к операционной системе, которые ис­пользуются вирусами для размножения и нанесения вреда, и сооб­щают о них пользователю. Пользователь может разрешить или за­претить выполнение соответствующей операции. Использование фильтров вызывает замедление работы, однако позволяет обнару­жить многие вирусы на самой ранней стадии и свести убытки от их действий к минимуму.

Программы-вакцины, или иммунизаторы, модифицируют про­граммы и диски без изменения их принципов работы, но вирус, от которого производится вакцинация, считает их уже зараженными и обходит стороной. Эти программы иногда эффективны.

Рассмотренные мероприятия являются стандартными для рабо­чих станций. Вероятность вирусной атаки значительно возрастает при объединении компьютеров в сеть и становится неизбежной при подключении к информационно-вычислительным сетям общего пользования.

Компьютерные сети имеют архитектурные особенности, кото­рые оказывают влияние на уязвимость компьютерных систем при воздействии программных вирусов:

поддержка различных сетевых информационных услуг и уда­ленных пользователей:

значительный объем обмена информацией между компьюте­рами;

наличие различных платформ и протоколов взаимодействия;

сложная конфигурация систем с большим количеством раз­нотипных узлов сети;

использование информационных ресурсов публичных компь­ютерных сетей.

Организация антивирусной защиты — сложная техническая и административная задача, требующая выработки политики анти­вирусной безопасности.

Полноту покрытия вирусного пространства проверяют в ходе тестовых испытаний, используя для этого коллекции вирусов, куда входят: набор примерно из 400 «живых» вирусов, встречающихся на практике в настоящее время; макровирусы, поражающие докумен­ты офисных приложений; полиморфные вирусы, меняющие свой код при генерации каждой новой копии; стандартные вирусы.

Периодически проводимые специализированными организа­циями испытания наиболее популярных антивирусных средств по­казывают, что они способны обнаруживать до 99,8% известных ви­русов.