Антивирус. Алгоритм работы

Антивирусная программа — это не что иное, как система анализа информации. Если эта система обнаруживает зараженный элемент, то производит его лечение. Информация анализируется (проверяется) различными способами в зависимости от ее источника: антивирус будет действовать по-разному при проверке операций на дискете и при проверке трафика электронной почты или перемещений в локальной сети.

Информация находится в «исходной системе» и должна попасть в «систему назначения». Исходной системой может быть флоппи-диск, а системой назначения — жесткий диск компьютера; или же исходной системой. Может быть Интернет-сервис провайдера (IPS), хранящий сообщения, а системой назначения система сообщений (связи) на клиентской машине (Winsock).

Система интерпретации информации отличается в зависимости от области применения (в операционных системах, в приложениях) или в зависимости от того, требуются ли специальные механизмы.

Для каждой операционной системы или для каждого компонента, на котором будет применяться антивирус, должен применяться свой специальный механизм интерпретации. Например, в системах Windows 9х применяется виртуальный драйвер VxD который постоянно отслеживает дисковую активность. Таким образом, каждый раз, когда открывается доступ к информации на жестком диске или дискете, антивирус перехватывает запросы чтения/записи на диске и проверяет информацию, которая должна быть прочитана или записана. Эта операция в системах Windows NT/2000/ХР выполняется через драйвер в режиме ядра, а в системах Novell - при помощи NLM, который перехватывает дисковую активность.

Антивирусные продукты, которые разработаны не для определенных операционных систем, а применяются для отдельных приложений, имеют другой механизм перехвата. Например, при работе антивируса для CVP Firewall межсетевой экран снабжает его информацией для проверки через протокол CVP, а в антивирусе для SendMail перехват информации обеспечивает фильтр MilterAPI.

Иногда интерпретация не обеспечивается ни антивирусом (например, VxD), ни приложением (например, CVP). В этом случае между приложением и антивирусом необходимы специальные механизмы перехвата. другими словами, требуются другие специальные ресурсы, которые перехватывают информацию и отправляют ее антивирусу.

Если в результате проверки обнаружена угроза, выполняются две операции:

* Очищенная информация возвращается на механизм перехвата, который, в свою очередь, возвращает ее в систему так, чтобы она могла продолжить свой путь до пункта назначения. Это означает, что если сообщение проверялось на стадии получения, то оно будет пропущено в почтовый ящик, если файлы проверялись при копировании, то после проверки будет разрешено завершение данного процесса.

* Пользователю отправляется предупреждение. Пользовательские интерфейсы могут значительно отличаться. На антивирусах для рабочих станций на экран может быть выведено сообщение, а в серверных продуктах предупреждение может быть отправлено в электронном сообщении, во внутреннем сетевом сообщении, в виде записи в отчете о деятельности или в любом другом сообщении, которое будет получено инструментом антивирусного управления.