Методы и средства антивирусной защиты

Четыре вида методов и средств антивирусной защиты

(по характеру действия):

• создание условий невосприимчивости к заражению компьютерными вирусами;

• обнаружение и защита от вирусов в статике процессов;

• обнаружение и защита от вирусов в динамике процессов;

• организационно-правовые меры противодействия вирусным атакам.

Невосприимчивость к заражению вирусами

Для биологических систем существует понятие иммунитета – способность противодействия заражению организма вирусом и причинения ему вреда. Методы создания своеобразного иммунитета существуют и в компьютерной вирусологии.

Одной из причин широкого распространения компьютерных вирусов является стандартизация программного обеспечения компьютерных и телекоммуникационных сред. Вирусы активно используют:

• стандартную систему прерываний;

• общепринятую маркировку исполняемых файлов;

• единую структуру организации хранения данных.

Целенаправленное, временное на период неактивного состояния программ, изменение этих компонентов сделает систему нестандартной, и, следовательно, вирус, использующий стандартные уязвимости, не сможет заражать и размножаться в изменённой среде.

Пример. Простейшее защитное мероприятие – переименование пользовательских программ с расширением .COM и .EXE в файлы с другим расширением, например, .XXX и .YYY соответственно. Тогда вирусы, заражающие программы пользователя и использующие для их идентификации расширения .COM и .EXE, не смогут репродуцировать себя в переименованные файлы. Для запуска на выполнение переименованную программу необходимо скопировать и копию переименовать в исходное состояние.

Прививки. Иммунитет можно создать и за счёт так называемых прививок.

Большинство вирусов не заражает повторно уже заражённую программу. При этом вирус проверяет своё наличие в программе (или в оперативной памяти в случае резидентного вируса) по определённому, принадлежащему только ему признаку.

Признаки:

• уникальный набор символов (идентификация вируса);

• наличие нестандартного прерывания (для резидентных вирусов).

Если признак для известных вирусов заранее уже внесён в программу, хотя на самом деле программа не заражена, то такая программа воспринимается вирусом как инфицированная, и заражения не происходит.

Вакцинация. Невосприимчивость к заражению вирусом можно добиться и процедурой вакцинации.

Создаётся специальная программа-вакцина, которая внедряется в защищаемую программу, как часть её подобно вирусу, и запоминает ряд характеристик этой программы.

Характеристики:

• длина некоторых исполняемых модулей;

• последовательность машинных слов в окрестности точки входа в программу;

• вычисление и запоминание контрольной суммы программы и т.д.

При запуске защищённой программы первой получает управление программа-вакцина (сразу или после вируса, если защищённая программа заражена, но не испорчена).

Программа-вакцина проверяет текущее состояние исполняемой программы и предпринимает в случае её заражения предписанные действия:

• выдаёт сообщение о заражении;

• осуществляет восстановление заражённой программы и т.д.

Все перечисленные приёмы и методы требуют соответствующих операционных затрат и могут быть использованы при определённых условиях в отношении критичных программ. Для автоматизированных систем в целом необходимо иметь общесистемный аппарат обнаружения и противодействия вирусам. Такие антивирусные комплексы созданы. Примеры: комплексы программ AIDSTEST Д.Н. Лозинского, Dr.Web., комплекс Касперского и др.

Основными их особенностями являются режимы использования в так называемой статике процессов.