31. Антивирусные средства

Для обнаружения и удаления компьютерных вирусов разработано много различных программ, которые позволяют обнаруживать их и уничтожать («лечить» зараженные ресурсы). Антивирусные программы, выявляющие известные компьютерные вирусы, называются сканерами или детекторами.

При этом программы, включающие функции восстановления зараженных файлов, называют фагами и полифагами

Примером сканера-полифага является знакомая программа Aidstest. Сканеры принято разделять на:

• транзитные, периодически запускаемые для выявления и ликвидации вирусов, т.е. «сканирование по запросу» («on-demand»);

• резидентные (постоянно находящиеся в оперативной памяти), проверяющие заданные области памяти системы при возникновении некоторых событий

Наиболее эффективным методом выявления и ликвидации неизвестных вирусов является контроль целостности системы (обнаружение изменений).

Данный метод заключается в проверке и сравнении текущих параметров вычислительной системы с эталонным, соответствующим ее незараженному состоянию. Для реализации указанных функций используются программы, называемые ревизорами. Работа ревизора состоит из двух этапов: фиксирование эталонных характеристик вычислительной системы (в основном диска) и периодическое сравнение их с текущими характеристиками (к ним относятся: контрольная сумма, длина, время, атрибут «только для чтения» файлов, дерево каталогов, сбойные кластеры, загрузочные сектора дисков). Ревизоры, как и сканеры, делятся на транзитные и резидентные.

Разновидностью контроля целостности системы является метод программного самоконтроля, именуемый вакцинацией (антивирусные программы вакцины).

Помимо статистических методов контроля целостности, для выявления неизвестных и маскирующихся вирусов используются эвристические методы. Они позволяют выявить (по характерным для вирусов кодовым последовательностям, определенным в базе знаний системы) неизвестные вирусы.

Блокировка проявления вирусов предназначена для защиты от деструктивных действий и размножения компьютерных вирусов, которым удалось преодолеть первые два уровня защиты (поиск и уничтожение известных и неизвестных вирусов). Методы блокировки основаны на перехвате характерных для вирусов функций. Известны два вида указанных антивирусных средства:

• Программы-фильтры (называемые также резидентными сторожами и мониторами) постоянно находятся в оперативной памяти и перехватывают заданные прерывания с целью контроля подозрительных действий. При этом они могут блокировать «опасные» действия или выдавать запрос пользователю (как и ревизоры, фильтры часто создают определенные неудобства в работе пользователя).

• Встроенные аппаратные средства ПК обеспечивают контроль модификации системного загрузчика и таблицы разделов жесткого диска, находящихся в главном загрузочном секторе диска. Включение указанных возможностей в ПК осуществляется с помощью программы Setup, расположенной в ПЗУ.

Наиболее полная защита от вирусов может быть обеспечена с помощью специальных контроллеров аппаратной защиты.

Одним из наиболее популярных у российских пользователей (и распространенных) антивирусных средств является система AVP, созданная в России «Лабораторией Касперского», первоначально представлявшая тандем двух программ: сканера и ревизора.

Весьма популярным также является антивирусный пакет Doctor Web для Windows 2000/XP, который представляет собой комбинацию антивирусного сканера Doctor Web (одного из самых совершенных в мире эвристических анализаторов) и резидентного сторожа Spider Guard (интегрированного в ОС компьютера). Этот пакет (в сочетании с ежедневно обновляющимися вирусными базами), является надежной защитой от вирусов всех классов.