11. Защита информации в локальных и глобальных компьютерных сетях Классификация вирусов

Классификация вирусов:

• «троянский конь». Троянская программа (также - троян, троянец, троянский конь, трой) -вредоносная программа, используемая злоумышленником для сбора информации, её разрушения или модификации, нарушения работоспособности компьютера или использования его ресурсов в неблаговидных целях. Эти программы осуществляют несанкционированные пользователем действия: уничтожают, блокируют, модифицируют или копируют информацию, нарушают работу компьютеров или компьютерных сетей Действие троянской программы может и не быть в действительности вредоносным. По принципу распространения и действия троян не является вирусом, так как не способен распространяться саморазмножением.

• макровирусы – это программы, написанные на так называемых макроязыках, встроенных в некоторые системы обработки данных (текстовые и графические редакторы, электронные таблицы и т. д.). Для своего размножения такие вирусы используют возможности макроязыков, они переносятся от одного зараженного файла к другому. Наибольшее распространение получили макровирусы для Microsoft Word, Excel. Макровирусы получают управление при открытии или закрытии зараженного файла, перехватывают стандартные файловые функции и затем заражают файлы, к которым каким– либо образом идет обращение

• стэлс – вирус (вирусы – невидимки) представляют собой программы, которые перехватывают обращения DOS к пораженным файлам или секторам дисков и "подставляют" вместо себя незараженные участки информации. Кроме этого такие вирусы при обращении к файлам используют алгоритмы, позволяющие "обманывать" резидентные антивирусные мониторы. К "стелс"– вирусам относятся вирусы "Frodo", "Fish#6", "Brain" и некоторые другие.

• «компьютерный червь». Сетевые и почтовые черви – вредоносные программы данного типа не обладают способностью "заражать" другие приложения, но обладают алгоритмами, позволяющими рассылать им свои копии на другие компьютеры. Лечение червя сводится к поиску его компонентов на диске и их удалению.

Категория	Виды программ
Компьютерные вирусы	Файловые вирусы
	Макровирусы
	Скрипт-вирусы
	Загрузочные вирусы
	Смешанные типы
Сетевые черви	Internet-черви
	LAN-черви
	IRC-черви
	Смешанные типы
«Троянские» программы	Эмуляторы DDoS-атак
	Деструктивные «троянские» программы
	Дропперы
	Похитители секретной информации
	Утилиты несанкционированного удаленного управления

Классификация антивирусных систем

Классификация антивирусных систем:

 

Фаг – это программа, которая способна не только обнаружить, но и уничтожить вирус, т.е. удалить его код из зараженных программ и восстановить их работоспособность (если возможно).

 

Вакцины (иммунизаторы) – это резидентные программы, предотвращающие заражение файлов. Вакцины применяют, если отсутствуют программы–доктора, "лечащие" этот вирус. Вакцинация возможна только от известных вирусов. Вакцина модифицирует программу или диск таким образом, чтобы это не отражалось на их работе, а вирус будет воспринимать их зараженными и поэтому не внедрится. В настоящее время программы–вакцины имеют ограниченное применение. Недостатком таких программ является их ограниченные возможности по предотвращению заражения от большого числа разнообразных вирусов.

 

Ревизоры. Программы–ревизоры относятся к самым надежным средствам защиты от вирусов. Ревизоры запоминают исходное состояние программ, каталогов и системных областей диска тогда, когда компьютер не заражен вирусом, а затем периодически или по желанию пользователя сравнивают текущее состояние с исходным. Обнаруженные изменения выводятся на экран видеомонитора. Как правило, сравнение состояний производят сразу после загрузки операционной системы. При сравнении проверяются длина файла, код циклического контроля (контрольная сумма файла), дата и время модификации, другие параметры. Программы–ревизоры имеют достаточно развитые алгоритмы, обнаруживают Cтелс–вирусы и могут даже отличить изменения версии проверяемой программы от изменений, внесенных вирусом.

 

Фильтры. Программы–фильтры (сторожа) представляют собой небольшие резидентные программы, предназначенные для обнаружения подозрительных действий при работе компьютера, характерных для вирусов. Такими действиями могут являться:

• попытки коррекции файлов с расширениями СОМ и ЕХЕ;

• изменение атрибутов файлов;

• прямая запись на диск по абсолютному адресу;

• запись в загрузочные сектора диска.

• загрузка резидентной программы.

При попытке какой–либо программы произвести указанные действия "сторож" посылает пользователю сообщение и предлагает запретить или разрешить соответствующее действие. Программы–фильтры весьма полезны, так как способны обнаружить вирус на самой ранней стадии его существования до размножения. Однако они не "лечат" файлы и диски.

 

Алгоритм «эвристического сканирования» в антивирусных системах.

Для того чтобы размножаться, вирус должен совершать какие-то конкретные действия: копирование в память, запись в сектора и т.д. Эвристический анализатор (который является частью антивирусного ядра) содержит список таких действий. Он просматривает выполняемый код программы, анализирует ее действия и определяет, является ли данная программа вирусом. Принципиальное отличие эвристического анализатора от поведенческого блокиратора состоит в том, что последний не рассматривает программу как набор команд. Блокиратор отслеживает действия программы в процессе ее работы, а эвристический анализатор начинает работу до выполнения программы.

heuristic analysis – это анализ кода проверяемого объекта с помощью эмуляции его исполнения и определение по косвенным признакам, таким как загрузка и запись файлов, обращение к системному реестру, изменение настроек файервола или антивируса, является ли объект вредоносным.

Эвристический анализ позволяет детектировать как известные, так и неизвестные вредоносные объекты. Проводится анализ последовательности команд в проверяемом объекте, набор некоторой статистики и принятие решения ("возможно заражен" или "не заражен") для каждого проверяемого объекта. Поскольку эвристическое сканирование является во многом вероятностным методом поиска вирусов, то на него распространяются многие законы теории вероятностей. Например, чем выше процент обнаруживаемых вирусов, тем больше количество ложных срабатываний.