Защита от вредоносных программ

Поскольку самым распространенным видом вредоносных программ являются компьютерные вирусы, методы защиты от компьютерных вирусов разработаны значительно лучше, чем методы защиты от других вредоносных программ. Для защиты от компьютерных вирусов применяются следующие основные методы: сканирование; эвристический анализ; обнаружение изменений; использование резидентных сторожей; аппаратная защита; организационная защита.

При сканировании антивирусная программа последовательно просматривает проверяемый файл для поиска сигнатур известных вирусов. Под сигнатурой понимается уникальная последовательность байтов, принадлежащая вирусу и не встречающаяся в других программах. Часто программы-сканеры включают в себя дополнительную функцию удаления вирусов. Программы-сканеры могут обнаруживать только известные вирусы, для которых определены сигнатуры. Эти программы не могут обнаруживать полиморфные вирусы. Для эффективного использования таких программ их необходимо постоянно обновлять.

При заражении компьютера вирус всегда изменяет информацию, содержащуюся на жестком диске: дописывает свой код в выполняемый файл, изменяет загрузочный сектор, создает файл спутник и т.д. Антивирусные программы могут предварительно запоминать характеристики всех областей диска, который может подвергнуться вирусной атаке, а затем периодически проверять их. Такие программы называются программами-ревизорами. Если будет обнаружено изменение, это может указывать на вирусное заражение. Обычно программы-ревизоры запоминают образы главной загрузочной записи, загрузочных секторов логических дисков, параметры всех контролируемых файлов, включая их хэш-функцию, а также данные о структуре файлов и номера плохих кластеров. Программы-ревизоры обнаруживают любые вирусы, заразившие компьютер после их установки, даже если эти вирусы являются неизвестными. Но они не могут обнаружить вирусы, заражающие программы только при их копировании, т.к. они не "знают" параметров файлов до копирования. Не помогут эти программы и при копировании в память компьютера файла, зараженного ранее. Следует иметь в виду и то, что не все изменения в файловой системе связаны с вирусами.

Эвристический метод позволяет обнаруживать полиморфные вирусы, а иногда и ранее неизвестные вирусы. Антивирусные программы, использующие эвристический метод, проверяют программы и загрузочные сектора дисков и дискет, пытаясь обнаружить в них код, характерный для вирусов, например наличие в программе кода, устанавливающего резидентный модуль в памяти. Оценки эвристического анализа всегда являются вероятностными и могут оказаться ложными. По сравнению с двумя ранее рассмотренными методами обнаружения вирусов эвристический метод требует гораздо больших затрат машинного времени.

В современных антивирусных программах обычно сочетаются функция сканирования и эвристические методы.

Существуют антивирусные программы, которые постоянно находятся в памяти компьютера и отслеживают все подозрительные действия, выполняемые другими программами. Такие программы называются резидентными сторожами. Резидентный сторож сообщает пользователю обо всех вирусоподобных действиях (использование прерываний нижнего уровня при обращении к диску прикладной программой, попытка оставить в оперативной памяти резидентный модуль и т.д.). Неудобство использования резидентных сторожей состоит в том, что вирусоподобные действия могут совершать и нормальные программы, например, утилита FORMATE.EXE, некоторые инструментальные программы и т.д. В некоторых случаях из положения выходят, разрешая определенным программам по особому списку совершать вирусоподобные действия в то время, как всем остальным программам такие действия запрещены.

Высокоэффективным способом защиты от компьютерных вирусов является применение программно-аппаратных средств. Обычно они представляют собой специальный контроллер, вставляемый в один из разъемов расширения компьютера в сочетании с программным обеспечением, управляющим работой этого контроллера. Поскольку этот контроллер подключен к системной шине компьютера, он получает возможность контролировать все обращения к дисковой подсистеме компьютера. Программная поддержка контроллера позволяет указать области файловой системы, которые нельзя изменять. Таким образом можно защитить masterboot-сектор, boot-сектора диска, выполняемые файлы, файлы конфигурации и т.д. Если аппаратно-программный комплекс обнаружит, что какая-либо программа пытается нарушить установленную защиту, он может сообщить об этом пользователю и заблокировать дальнейшую работу компьютера. Аппаратно-программный контроль дисковой подсистемы не позволяет вирусам замаскировать себя независимо от того, как работает вирус и как он обращается к дискам.

В связи с тем, что в последние годы по сети Internet наряду с обычными сетевыми червями начали распространяться программы типа троянских коней и захватчиков паролей, последние модели сканеров и фагов обычно включают в себя средства борьбы с известными типами таких программ. Что же касается вредоносных программ любого типа, первоначально внедренных в программное обеспечение АС («программных закладок»), Для поиска таких программ можно использовать эвристические методы.