6.2. Защита от компьютерных вирусов

Профилактика заражения системы вирусами. Еще одним сходством компьютерного вируса с его биологическим собратом является то, что и в этом случае профилактика гораздо проще, чем лечение после заражения. Поэтому запомните приведенные ниже советы и всегда им следуйте. Это затруднит компьютерным вирусам доступ в ваш компьютер, а также позволит восстановить (сохранить) данные в том случае, если заражение все-таки произойдет.

1. Для того чтобы сохранить наиболее важные для вас данные, своевременно делайте их резервные копии на съемных носителях (съемных дисках, компакт- и флоппи-дисках). В том случае, если вы делаете резервные копии на дискеты, после копирования не забудьте защитить их от записи.

2. Обязательно создайте системную дискету или загрузочный компакт-диск. Это позволит при необходимости загрузиться, используя операционную систему, свободную от вирусов. Поместите на этот диск системные драйверы и свежую версию антивирусной программы, которая будет использоваться для борьбы с вирусами.

3. Ограничьте доступ к своему компьютеру третьих лиц, особенно с их собственными дискетами и самостоятельно записными компакт-дисками. Даже не имея злого умысла, они могут случайно принести вредоносные программы со своего компьютера.

Если вы используете файловую систему NTFS, то для доступа к таким дискам используйте консоль восстановления Windows XP.

4. Не запускайте подозрительные программы и не открывайте неизвестные вам файлы, полученные из «ненадежных» источников. Особо следует обратить внимание на программное обеспечение, полученное с электронных досок объявлений (BBS): условно бесплатные (shareware) и бесплатные (freeware) программы, демоверсии и пр.

5. Если мощность вашего компьютера не позволяет иметь постоянный современный антивирусный пакет, проводите сканирование на вирусы всех жестких дисков вашего компьютера не реже одного раза в неделю.

6. Отдавая кому-либо свои дискеты с информацией, защищайте их от записи.

7. Если у вас появилось подозрение, что компьютер заражен, не используйте дискеты с резервными копиями важных для вас файлов.

8. Проверяйте чужие, а также свои, но побывавшие в чужом компьютере дискеты (и записываемые CD) на наличие вирусов, прежде чем открыть содержащиеся на них файлы.

9. При малейшем подозрении на неправильную работу вашего компьютера (снижение производительности, необоснованные ошибки и пр.), немедленно производите проверку системы антивирусной программой.

10. Регулярно обновляйте базу данных антивирусного программного обеспечения.

11. Если есть подозрение на вирус, а ваша антивирусная программа ничего не обнаружила, то обновите ее базу данных или попробуйте проверить систему другим антивирусным пакетом.

12. Если вы часто обнаруживаете вирусы на своем компьютере, задумайтесь о каналах их проникновения и постарайтесь перекрыть их, воспользовавшись для этого специальным программным обеспечением.

13. Регулярно устанавливайте обновления систем безопасности для свой операционной системы.

14. Старайтесь как можно меньше прибегать к использованию «пиратских» программ неизвестного производства.

15. Если вы приобрели что-либо на пиратском компакт-диске, не поленитесь проверить его на наличие вирусов.

16. Если вы обнаружили вирус, проверьте на наличие вирусов все дискеты и записанные недавно компакт-диски, которыми вы пользуетесь.

17. Если вы обнаружили у себя вирус, сообщите об этом всем, с кем ведете переписку, обмениваетесь файлами и пр. Это может спасти их информацию или весь компьютер.

Действия при обнаружении вируса. Если проверка антивирусной программы дала положительный результат, т.е. получено сообщение о наличии вируса на вашем компьютере, прежде всего не паникуйте. Исцеление системы и минимизация ущерба от вирусной атаки требует хладнокровия и тонкого расчета.

В первую очередь воспрепятствуйте дальнейшему распространению вируса, для чего выполните следующее:

• отключите компьютер от сети (локальной и/или глобальной);

• прекратите запись и чтение дискет и съемных дисков на этом компьютере;

• постарайтесь определить источник заражения (другой компьютер в локальной сети, полученная электронная почта, файлы, принесенные на дискете и т.п.);

• если вирус был получен от кого-то из друзей или знакомых, сообщите им об этом — возможно, что они еще не обнаружили его у себя и продолжают неумышленное распространение вредоносной программы.

Если компьютерный вирус был обнаружен антивирусной программой, то попробуйте вылечить систему с ее же помощью. Это получается далеко не всегда (за всю мою практику такое получалось всего несколько раз), большинство вирусов способны противостоять антивирусным программам, запущенным непосредственно из-под ОС Windows. Поэтому специально для таких случаев следует иметь под рукой загрузочный диск, содержащий антивирусную программу (многие современные антивирусы позволяют создавать собственные загрузочные дискеты или компакт-диски).

Для того чтобы правильно воспользоваться такой дискетой, выполните следующие действия.

• Не завершая работу операционной системы, выключите питание компьютера и включите его снова (это позволит наверняка удалить исполняемы коды вирусной программы из оперативной памяти).

• Зайдите в настройку BIOS (для этого нажмите клавишу <DEL> в начале загрузки, до того как начнется загрузка ОС, то есть до сигнала внутреннего динамика).

• Проверьте правильность установок BIOS и убедитесь в том, что они соответствуют действительности. При необходимости внесите исправления. Убедитесь, что первым загрузочным устройством стоит тот привод, в котором у вас вставлен диск с антивирусом (FDD, ZIP® или CD-ROM). Выйдите из режима настройки, сохранив изменения.

• Загрузитесь с диска с антивирусной программой и выполните сканирование (проверку на наличие вирусов) всех жестких дисков системы.

Если в результате проверки и лечения были удалены или вылечены все зараженные объекты, то можете смело перезагружаться в ОС Windows, не забыв при этом вытащить диск с антивирусом.

Если по каким-то причинам антивирусу не удалось вылечить или удалить те или иные объекты, вы можете загрузиться в режиме

MS DOS (используя обычную загрузочную дискету) и, вводя соответствующие команды, удалить эти объекты вручную.

К сожалению, не все зараженные объекты можно вылечить, не повредив при этом их содержимого. Многие вредоносные программы портят содержимое файлов уже при попытке заражения. Такие объекты лучше всего удалить с диска.

В том случае, если вам не удалось справиться с вирусом, переустановите операционную систему, отформатировав при этом жесткий диск (или ту его часть, на которую вы планируете установку новой ОС.

В процессе удаления последствий заражения вирусами осуществляется удаление вирусов, а также восстановление файлов и областей памяти, в которых находился вирус. Существуют два метода удаления последствий воздействия вирусов антивирусными программами.

Первый метод предполагает восстановление системы после воздействия известных вирусов. Разработчик программы-фага, удаляющей вирус, должен знать структуру вируса и его характеристики размещения в среде обитания.

Второй метод позволяет восстанавливать файлы и загрузочные сектора, зараженные неизвестными вирусами. Для восстановления файлов программа восстановления должна заблаговременно создать и хранить информацию о файлах, полученную в условиях отсутствия вирусов. Имея информацию о незараженном файле и сведения об общих принципах работы вирусов, осуществляется восстановление файлов. Если вирус подверг файл необратимым изменениям, то восстановление возможно только с резервной копии или с дистрибутива. При их отсутствии существует только один выход - уничтожить файл и восстановить его вручную.

Если антивирусная программа не может восстановить главную загрузочную запись или загрузочные сектора, то можно попытаться это сделать вручную. В случае неудачи следует отформатировать диск и установить ОС.

Существуют вирусы, которые, попадая в ЭВМ, становятся частью его ОС. Если просто удалить такой вирус, то система становится неработоспособной.

Тот факт, что после первого заражения обычно следует повторные, требует принятия специальных мер по предотвращению повторных заражений. Здесь можно двигаться в двух направлениях: во-первых, постараться найти первоисточник заражения и, во-вторых, разработать или установить готовые средства, затрудняющие или делающие невозможным размножение вируса. При поиске первоисточника заражения следует учитывать, что длина пути от первоначально зараженной программы до программы, в которой этот вирус был впервые обнаружен, может быть довольно большой. Практика показывает, что обычно в качестве обычного носителя вируса выступает популярная игровая программа или новая версия популярного программного продукта.

Основными мерами защиты от вирусов считаются:

• резервирование (копирование FAT, ежедневное ведение архивов измененных файлов);

• профилактика (раздельное хранение вновь полученных программ и эксплуатирующихся, хранение неиспользуемых программ в архивах, использование специального диска для записи новых программ);

• ревизия (анализ вновь полученных программ специальными средствами и их запуск в контролируемой среде, систематическая проверка ВООТ-сектора используемых дискет и содержимого системных файлов (прежде всего сommand.com) и др.);

• фильтрация (использование специальных сервисных программ для разбиения диска на зоны с установленным атрибутом read only,);

• вакцинация (специальная обработка файлов, дисков, каталогов, запуск специальных резидентных программ-вакцин, имитирующих сочетание условий, которые используются данным типом вируса для определения, заражена уже программа, диск, ЭВМ или нет, т.е. обманывающих вирус);

• лечение (дезактивацию конкретного вируса с помощью специальной программы или восстановление первоначального состояния программ путем удаления всех экземпляров вируса в каждом из зараженных файлов или дисков).

Как говорят в медицине болезнь легче предупредить, чем лечить.

Наиболее важный принцип, которого следует придерживаться после обнаружения вируса и во время анализа зараженных им программ и действий по их очистке или восстановлению, состоит в следующем: все действия следует выполнять только с защищенной от записи системной  дискеты  и использовать антивирусные и другие программы предварительно записанные на ней.

Выполнение действий по анализу и восстановлению на зараженной операционной системе является грубой ошибкой и может иметь катастрофические последствия.

Полезные советы:

1.     Применяйте комплексы антивирусных программ

2.     Необходимо периодическое обновление антивирусных программ

3.     Проверяйте информацию, поступающую из вне.

4.     Периодически проверяйте весь компьютер.

5.     Осторожно с незнакомыми файлами. Их действия могут не соответствовать названию.

Классификация методов защиты. Среди важнейших мер по защите от вирусов отметим следующие:

• Резервирование (копирование FAT, ежедневное ведение архивов измененных файлов). Это самый важный, основной метод защиты от вирусов. Остальные методы не могут заменить ежедневное архивирование, хотя и повышают общий уровень защиты;

• Профилактику (систематическая выгрузка содержимого активной части винчестера на дискеты или магнитную ленту, раздельное хранение вновь полученных программ и эксплуатирующихся, хранение неиспользуемых программ в архивах, использование специальной «инкубационной» зоны для записи новых программ с дискет);

• Ревизию (анализ вновь полученных программ специальными средствами и их запуск в контролируемой среде, систематическое использование контрольных сумм при хранении и передаче программ, систематическая проверка BOOT – сектора используемых дискет и содержимого системных файлов (прежде всего COMMAND.COM) и др. Имеется целый ряд программ – ревизоров, обеспечивающих подсчет контрольных сумм, из которых наиболее известна программа DLI (Directory Life Information), разработанная Герасимовым. Каждая новая программа, полученная без контрольных сумм, должна тщательно проверяться компетентными специалистами, по меньшей мере, на известные виды компьютерных вирусов и в течение определенного времени за ней должно быть организованно наблюдение);

• фильтрацию (использование Advancer Disk Manager для разбиения диска на «непотопляемые» отсеки – зоны с установленным атрибутом READONLY, использование резидентных программ типа Flu Shot Plus, Mace Vaccine для обнаружения попыток выполнить несанкционированные действия);

• вакцинирование (специальная обработка файлов, дисков, каталогов, запуск специальных резидентных программ – вакцин, имитирующих сочетание условий, которые используются данным типом вируса для определения, заражена уже программа, диск, ЭВМ или нет, т.е. обманывающих вирус);

• терапию (дезактивацию конкретного вируса в зараженных программах с помощью специальной программы – антибиотика или восстановление первоначального состояния программ путем «пожирания» всех экземпляров вируса в каждом из зараженных файлов или дисков с помощью программы – фага).

Антивирусные программы предназначены для предотвращения заражения компьютера вирусом и ликвидации последствий заражения.

В зависимости от назначения и принципа действия различают следующие антивирусные программы (рис.):

- сторожа, сканеры или детекторы – предназначены для обнаружения файлов зараженных известными вирусами, или признаков указывающих на возможность заражения.

Принцип работы антивирусных сканеров основан на проверке файлов, секторов и системной памяти и поиске в них известных и новых (неизвестных сканеру) вирусов. Для поиска известных вирусов используются так называемые маски, или сигнатуры. Сигнатурой вируса является некоторая постоянная последовательность кода, специфичная для этого конкретного вируса. Во многих сканерах используются также алгоритмы эвристического сканирования, тт.е. анализ последовательности команд в проверяемом объекте, что позволяет сделать вывод о том, заражен объект или нет. Сканеры также можно разделить на две категории — универсальные и специализированные. Универсальные сканеры рассчитаны на поиск и обезвреживание всех типов вирусов, вне зависимости от операционной системы, на работу в которой рассчитан сканер. Специализированные сканеры предназначены для обезвреживания ограниченного числа вирусов или только одного их класса, например, макровирусов или троянских коней. Положительной чертой сканеров является их универсальность. К недостаткам можно отнести низкую скорость поиска вирусов и большие размеры баз данных (с увеличением которых падает скорость сканирования).

- доктора – предназначены для обнаружения и устранения известных им вирусов, удаляя их из тела программы и возвращая ее в исходное состояние. Наиболее известными представителями являются Dr.Web, AidsTest, Norton Anti Virus.

- ревизоры – они контролируют уязвимые и поэтому наиболее атакуемые компоненты компьютера, запоминают состояние служебных областей и файлов, а в случае обнаружения изменений сообщают пользователю.

Антивирусы этого типа в самом начале своей работы на компьютере создают базу данных всех имеющихся в системе файлов, с указанием их длины, даты последнего изменения и т.д. При последующем запуске CRC-сканеры сравнивают данные, содержащиеся в их базе, с реально существующими. Если информация о файле, записанная в базе данных, не совпадает с реальными значениями, то CRC-сканеры сигнализируют о том, что файл был изменен или заражен вирусом. Основным недостатком таких антивирусов является отсутствие возможности поймать вирус сразу в момент его появления. Сканер сделает это только после распространения вируса в системе. CRC-сканеры не могут «разглядеть» вирус в новых файлах, так как информация о них отсутствует в его базе. Часто ревизоры диска и сканеры объединяют в одну антивирусную программу, что значительно повышает их эффективность.

- резидентные мониторы или фильтры – постоянно находятся в памяти компьютера для обнаружения попыток выполнить несанкционированные действия.  В случае обнаружения подозрительного действия выводят запрос пользователю на подтверждение операций.

Резидентные мониторы — это программы, контролирующие все операции, производимые с дисками, файлами и оперативной памятью. Они позволяют обнаружить вирус до момента реального заражения системы, благодаря чему немедленно реагируют на появление вируса и останавливают процесс его размножения. Один из недостатков программ этого типа — значительное замедление работы системы, поскольку мониторы работают в режиме реального времени и постоянно сообщают пользователю, что происходит в системе в настоящий момент. Помимо этого, мониторы могут вступать в конфликт с другими программами, загруженными в оперативную память.

- вакцины или иммунизаторы – имитируют заражение файлов вирусами. Вирус будет воспринимать их зараженными и не будет внедряться.

Данная разновидность антивирусного программного обеспечения в настоящее время почти не применяется, поскольку является наименее универсальной. Иммунизаторы делятся на два типа: сообщающие о заражении и блокирующие заражение. Первые из них обычно записываются в конец файлов (по принципу файлового вируса) и при запуске файла каждый раз проверяют его на изменение. Такие иммунизаторы не могут заметить stelth-вирусов. Второй тип иммунизации защищает систему от поражения каким-либо определенным типом вируса. Файлы на дисках модифицируются таким образом, что вирус принимает их за уже зараженные. Для защиты от резидентного вируса в память компьютера заносится программа, имитирующая копию вируса. При запуске вирус определяет ее и считает, что система уже заражена. Такой тип иммунизации не является универсальным, поскольку нельзя изменить все файлы так, чтобы все вирусы приняли их за уже зараженные.

Р и с. Классификация антивирусных программ

Определенным недостатком всех антивирусных пакетов является то, что они сильно загружают систему при работе. Это может проявляться в замедлении работы компьютера, в особенности, если часть модулей активизируются по умолчанию. Избежать большой загрузки процессора и оперативной памяти поможет отключение ряда не слишком необходимых функций сложных мониторингов, оставляя лишь самые простые.

Наряду с классическими методами борьбы с вирусами появляются инновациионные методы. К примеру, ряд фирм предлагают проверку на вирусы через Интернет, так называемых, «электронных больницах». Из числа последних можно выделить McAfee Clinic. Технология работы следующая. Компьютер пользователя через Интернет проводит программный модуль ActiveX, который берет сигнатуры со специального сайта. В России также оказываются подобные услуги, но в этом случае следует направить зараженный файл или сектор начальной загрузки на сервер компании-производителя антивирусного продукта.

Другим современным методом обеспечения антивирусной защиты писем электронной почты считается их автоматическая проверка у Интернет-провайдера. В США уже практикуются подобные меры, которые стали определенным оружием в конкурентной борьбе за клиентов Интернет-провайдеров.

Делу борьбы с вирусами также посвящена разработка, так называемой, «иммунной системы». Ее задача состоит в распознавании новых вирусов и автоматической разработке методов борьбы с ними. Данная разработка уже применяется в больших корпоративных сетях, а это значит, что в ближайшие годы инновация найдет применение и в индивидуальных компьютерах.

Критерии выбора антивирусной программы. Основными задачами антивирусной программы является надежная защита, определение и удаление тела вируса из зараженного файла. И то, насколько успешно она справляется с этими задачами, является основным критерием выбора. Итак, перечислим, на что же следует обратить внимание, выбирая себе антивирусную программу.

1. Наличие большой антивирусной базы. Чем больше вирусов известно программе, тем выше вероятность успешного прекращения работы вредоносной программы в системе и восстановления поврежденных ей объектов.

2. Частый выход обновлений антивирусной базы, что позволит программе раньше начать срабатывать на новые вирусы.

3. Наличие мощного эвристического механизма для борьбы с еще неизвестными программе вирусами. Но при этом антивирус должен давать как можно меньше ложных сигналов («подозрительные» участки кода, исследуемые при эвристическом анализе, могут принадлежать вполне безобидным программам)

4. Возможность проверки архивов. Есть вирусы, которые могут распаковать архивированный файл, заразить его и запаковать снова.

5. Возможность проверки приходящих на компьютер файлов и вставляемых в устройства съемных носителей. В комплект антивирусной программы должна входить резидентная антивирусная программа, которая, постоянно находясь в оперативной памяти, непрерывно контролирует операции обращения к файлам и секторам и запрещает доступ к объекту, если в нем обнаружен вирус.

Это основные критерии. Есть еще множество менее важных факторов, ориентируясь на которые можно выбрать тот антивирусный пакет, который будет максимально эффективен в ваших конкретных условиях. Большинство антивирусных программ имеют срок бесплатного использования или демонстративные версии с ограниченными функциями, поэтому вы еще до покупки платной версии программы сможете на практике убедиться в достоинствах и недостатках программы.

Сравнение антивирусных программных пакетов. Проблему выбора того или иного антивирусного ПО решить достаточно сложно. С одной стороны, антивирусы постоянно тестируются и сравниваются по различным формальным критериям. Однако результаты сравнений, подготовленные разными тестовыми лабораториями, выдвигают на первое место то один, то другой антивирусный пакет.

Перечень антивирусных программ достаточно большой, и выбор конкретного варианта — личное дело каждого пользователя. В связи с этим, не давая никаких советов, рассмотрим особенности некоторых наиболее известных на российском рынке антивирусных пакетов.

Dr. Web

- Относительно невысокая скорость проверки.

- Возможные ложные срабатывания программы.

- Отсутствие контроля за измененными файлами.

+ Не требует сверхбольшого количества системных ресурсов для проверки.

Kaspersky Anti Virus Professional (KAV)

- Конфликт систем мониторинга с программами семейства 1С.

- Чрезмерное потребление системных ресурсов.

+ Большая антивирусная база.

+ Частое обновление базы данных.

+ Наличие карантина.

Norton Antivirus

- Сравнительно небольшое количество настроек.

+ Отличное распознавание и удаление вирусов.

+ Постоянное появление новых средств борьбы с вирусами.

+ Наличие карантина.

Panda Antivirus Titanium

- Некорректная работа с файлами, упакованными несколькими архиваторами (архив в архиве).

- Возможен вариант подвисания системы.

- Много ложных срабатываний.

- Проблемы с выявлением макровирусов.

+ Самая высокая скорость сканирования.

+ Удобный пользовательский интерфейс.

+ Постоянное обновление баз.

McAfee Virus Scan

- Очень медленный процесс сканирования.

+ Отличное распознавание и удаление вирусов.

+ Удобный интерфейс и простота использования.

Аппаратно-программные антивирусные средства. Отметим, что в настоящее время не существует абсолютной антивирусной программы, которая гарантировала бы 100% защиты от атак вирусов.

Самым надежным методом защиты от вирусов является использование аппаратно-программных антивирусных средств. В настоящее время для защиты ПК применяются специальные контроллеры и их программное обеспечение. Контроллер устанавливается в разъем расширения и имеет доступ к общей шине. Это позволяет ему контролировать все обращения к дисковой системе. В программном обеспечении контроллера запоминаются области на дисках, изменение которых в обычных режимах работы не допускается. Таким образом, можно установить защиту на изменение главной загрузочной записи, загрузочных секторов, файлов конфигурации, исполняемых файлов и др.

При выполнении запретных действий любой программой контроллер выдает соответствующее сообщение пользователю и блокирует работу ПЭВМ.

Аппаратно-программные антивирусные средства обладают рядом достоинств перед программными:

• работают постоянно;

• обнаруживают все вирусы независимо от механизма их действия;

• блокируют неразрешенные действия, являющиеся результатом работы вируса или неквалифицированного пользователя.

Недостаток у этих средств один - зависимость от аппаратных средств ПЭВМ. Изменение последних ведет к необходимости замены контроллера.

Примером аппаратно-программной защиты от вирусов может служить комплекс Sheriff.

ОГЛАВЛЕНИЕ

1. ИНФОРМАЦИЯ КАК ОБЪЕКТ ЗАЩИТЫ. НЕОБХОДИМОСТЬ И НАПРАВЛЕНИЯ ЗАЩИТЫ 1

1.1. Свойства информации и требования к ее защите 2

1.2. Виды и формы представления информации. Машинное представление информации 6

1.3. Системы защиты информации. Общие направления обеспечения безопасности информации. 6

1.4. Информационная собственность. Правовая защита 10

1.5. Организационная защита 16

1.6. Инженерно техническая защита 21

2. УГРОЗЫ БЕЗОПАСНОСТИ ИНФОРМАЦИИ 23

2.1. Классификация угроз безопасности информации 23

2.2. Случайные и преднамеренные угрозы безопасности информации 25

2.3. Модель нарушителя безопасности информации 28

и методы сбора информации для проникновения в ИС 28

2.4. Способы и цели несанкционированного доступа к информации 32

2.5. Способы несанкционированного доступа к информации через технические средства 37

2.6. Угрозы на централизованный 39

информационно-вычислительный комплекс 39

2.7. Атаки на СУБД 42

2.7. Атаки на уровне ОС 42

2.8. Атаки на уровне сети 44

3. СОВРЕМЕННЫЕ МЕТОДЫ ЗАЩИТЫ ИНФОРМАЦИИ 48

3.1.Ограничение доступа. 49

3.2. Разграничение доступа. 51

3.3. Контроль доступа к аппаратуре 54

3.4. Разделение привилегий на доступ к информации 58

3.5. Криптографическое преобразование информации 58

4. ИДЕНТИФИКАЦИЯ И УСТАНОВЛЕНИЕ ПОДЛИННОСТИ ОБЪЕКТА (СУБЪЕКТА) 66

4.1. Идентификация и установление подлинности личности. 67

4.2. Выбор носителей кодов паролей 72

4.3. Идентификация и установление подлинности документов 76

4.5. Идентификация и установление подлинности информации на средствах ее отображения и печати 78

5. ПРОЕКТИРОВАНИЕ СИСТЕМ ЗАЩИТЫ ИНФОРМАЦИИ 79

5.1. Основные принципы проектирования защиты 79

5.2. Порядок проектирования защиты 82

6. КОМПЬЮТЕРНЫЕ ВИРУСЫ И АНТИВИРУСНЫЕ ПРОГРАММЫ 87

6.1. Определение и классификация компьютерных вирусов 87

6.2. Защита от компьютерных вирусов 95

83