Методы обнаружения вирусов.

Известны следующие методы обнаружения вирусов:

• сканирование;

• обнаружение изменений;

• эвристический анализ;

• использование резидентных сторожей;

• вакцинирование программ;

• аппаратно-программная защита от вирусов.

Сканирование - один из самых простых методов обнаружения вирусов. Сканирование осуществляется программой-сканером, которая просматривает файлы в поисках опознавательной части вируса - сигнатуры. Программа фиксирует наличие уже известных вирусов, за исключением полиморфных вирусов, которые применяют шифрование тела вируса, изменяя при этом каждый раз и сигнатуру. Программы-сканеры могут хранить не сигнатуры известных вирусов, а их контрольные суммы. Программы-сканеры часто могут удалять обнаруженные вирусы. Такие программы называются полифагами.

Метод сканирования применим для обнаружения вирусов, сигнатуры которых уже выделены и являются постоянными. Для эффективного использования метода необходимо регулярное обновление сведений о новых вирусах.

Самой известной программой-сканером в России является Aidstest Дмитрия Лозинского.

Метод обнаружения изменений базируется на использовании программ-ревизоров. Эти программы определяют и запоминают характеристики всех областей на дисках, в которых обычно размещаются вирусы. При периодическом выполнении программ ревизоров сравниваются хранящиеся характеристики и характеристики, получаемые при контроле областей дисков. По результатам ревизии программа выдает сведения о предположительном наличии вирусов.

Эвристический анализ сравнительно недавно начал использоваться для обнаружения вирусов. Как и метод обнаружения изменений, данный метод позволяет определять неизвестные вирусы, но не требует предварительного сбора, обработки и хранения информации о файловой системе.

Сущность эвристического анализа заключается в проверке возможных сред обитания вирусов и выявление в них команд (групп команд), характерных для вирусов. Такими командами могут быть команды создания резидентных модулей в оперативной памяти, команды прямого обращения к дискам, минуя ОС. Эвристические анализаторы при обнаружении «подозрительных» команд в файлах или загрузочных секторах выдают сообщение о возможном заражении. После получения таких сообщений необходимо тщательно проверить предположительно зараженные файлы и загрузочные сектора всеми имеющимися антивирусными средствами. Эвристический анализатор имеется, например, в антивирусной программе Doctor Web.

Метод использования резидентных сторожей основан на применении программ, которые постоянно находятся в ОП ЭВМ и отслеживают все действия остальных программ.

В случае выполнения какой-либо программой подозрительных действий (обращение для записи в загрузочные сектора, помещение в ОП резидентных модулей, попытки перехвата прерываний и т. п.) резидентный сторож выдает сообщение пользователю. Программа-сторож может загружать на выполнение другие антиви­русные программы для проверки «подозрительных» программ, а также для контроля всех поступающих извне файлов (со сменных дисков, по сети).

Существенным недостатком данного метода является значительный процент ложных тревог, что мешает работе пользователя, вызывает раздражение и желание отказаться от использования резидентных сторожей. Примером резидентного сторожа может служить программа Vsafe, входящая в состав MS DOS.

Под вакцинацией программ понимается создание специального модуля для контроля ее целостности. В качестве характеристики целостности файла обычно используется контрольная сумма. При заражении вакцинированного файла, модуль контроля обнаруживает изменение контрольной суммы и сообщает об этом пользователю. Метод позволяет обнаруживать все вирусы, в том числе и незнакомые, за исключением «стеле»- вирусов.

Самым надежным методом защиты от вирусов является использование аппаратно-программных антивирусных средств. В настоящее время для защиты ПЭВМ используются специальные контроллеры и их программное обеспечение. Контроллер уста­навливается в разъем расширения и имеет доступ к общей шине. Это позволяет ему контролировать все обращения к дисковой системе. В программном обеспечении контроллера запоминаются области на дисках, изменение которых в обычных режимах работы не допускается. Таким образом, можно установить защиту на изменение главной загрузочной записи, загрузочных секторов, файлов конфигурации, исполняемых файлов и др.

У каждой из серьезных антивирусных программ есть множество настроек, позволяющих изменять ее режим работы и уровень защиты вашего компьютера. Причем установки, предлагаемые производителями по умолчанию, далеко не всегда бывают оптимальны.

Постоянная защита. Все качественные антивирусные программы имеют в своем составе резидентную часть, которая запускается при загрузке компьютера, постоянно находится в оперативной памяти и в режиме реального времени отслеживает "подозрительные события", в частности, попытки запуска инфицированных программ. Обычно постоянная защита бывает включена по умолчанию. Проверьте это и без крайней необходимости не выключайте этот режим.

Проверять все файлы. Для повышение уровня защищенности лучше включить этот режим. Он, правда, существенно замедляет процесс сканирования, но более надежная защита того стоит. Очень часто вирусы спокойненько ждут своего часа в заархивированных файлах (.zip, .arj...); нередко вредоносные программы распространяются в файлах с измененными расширениями (.txt, .jpg и т.п.).

Режим эвристического анализа позволяет по ряду косвенных признаков выявлять файлы, возможно содержащие новые, неизвестные вирусы, а также отслеживать "подозрительные события" на вашем компьютере. Большинство антивирусных программ имеет несколько уровней эвристического анализа (чаще всего три) и возможность его вообще отключить. Рекомендуем установить средний уровень. Максимальный (частенько его называют "параноидальный") уровень эвристического сканирования, конечно, повышает степень защиты, но сильно замедляет работу и дает большое количество ложных срабатываний. Его имеет смысл включить, если вы услышали про грядущую или уже начавшуюся атаку нового, ранее неизвестного вируса.

Действия антивирусной программы при обнаружении вируса. Обычно имеется возможность установить один из следующих режимов:

• только отчет;

• лечить зараженные файлы; если вылечить невозможно:

• удалять зараженные файлы;

• переименовывать, перемещать зараженные файлы;

• запрашивать пользователя о дальнейших действиях;

• сразу удалять зараженные файлы.

Рекомендуется установить режим "лечить зараженные файлы; если вылечить невозможно, запрашивать пользователя о дальнейших действиях". Правда, такая настройка требует вашего присутствия возле компьютера в течение всего времени проверки, зато при обнаружении зараженного файла, который невозможно вылечить, вы сами сможете указать программе, что же с ним сделать: удалить или, если заражен какой-то очень важный для вас и не имеющий резервной копии файл, сохранить его и вызвать специалиста, который попытается вручную его "отремонтировать".

Автоматическое обновление программы и антивирусных баз. Эта опция позволяет автоматически скачивать через интернет с сайта разработчика все последние изменения. Рекомендуем включить и установить в расписании "ежедневно" в удобное для вас время, например ночью. Не забывайте только, что компьютер в это время должен быть включен и иметь выход в интернет. Если же в интернет вы выходите через dial-up, то выполняйте обновления вручную не реже двух-трех раз в неделю.

Автоматическое сканирование. Если ваш компьютер включен постоянно, то рекомендуется запускать ежедневно в удобное для вас время, например ночью, сразу после обновления программы и антивирусных баз. Если же пользуетесь компьютером немного, а в интернет заходите еще реже, достаточно запускать полное сканирование вручную раз в неделю

При выполнении запретных действий любой программой контроллер выдает соответствующее сообщение пользователю и блокирует работу ПЭВМ.

Аппаратно-программные антивирусные средства обладают рядом достоинств перед программными:

• работают постоянно;

• обнаруживают все вирусы, независимо от механизма их действия;

• блокируют неразрешенные действия, являющиеся результатом работы вируса или неквалифицированного пользователя.

Недостаток у этих средств один - зависимость от аппаратных средств ПЭВМ. Изменение последних ведет к необходимости замены контроллера.

Примером аппаратно-программной защиты от вирусов может служить комплекс Sheriff.

Методы удаления последствий заражения вирусами. В процессе удаления последствий заражения вирусами осуществляется удаление вирусов, а также восстановление файлов и областей памяти, в которых находился вирус. Существует два метода удаления последствий воздействия вирусов антивирусными программами.

Первый метод предполагает восстановление системы после воздействия известных вирусов. Разработчик программы-фага, удаляющей вирус, должен знать структуру вируса и его характеристики размещения в среде обитания.

Второй метод позволяет восстанавливать файлы и загрузочные сектора, зараженные неизвестными вирусами. Для восстанов­ления файлов программа восстановления должна заблаговременно создать и хранить информацию о файлах, полученную в условиях отсутствия вирусов. Имея информацию о незараженном файле и используя сведения об общих принципах работы вирусов, осуществляется восстановление файлов. Если вирус подверг файл необратимым изменениям, то восстановление возможно только с использованием резервной копии или с дистрибутива. При их отсутствии существует только один выход - уничтожить файл и восстановить его вручную.

Если антивирусная программа не может восстановить главную загрузочную запись или загрузочные сектора, то можно попытаться это сделать вручную. В случае неудачи следует отформатировать диск и установить ОС.

Существуют вирусы, которые, попадая в ЭВМ, становятся частью его ОС. Если просто удалить такой вирус, то система становится неработоспособной.

Одним из таких вирусов является вирус One Half. При загрузке ЭВМ вирус постепенно зашифровывает жесткий диск. При обращении к уже зашифрованным секторам резидентный вирус One Half перехватывает обращения и расшифровывает информацию. Удаление вируса приведет к невозможности использовать зашифрованную часть диска. При удалении такого вируса необходимо сначала расшифровать информацию на диске. Для этого необходимо знать механизм действия вируса.