Кв, нарушающие целостность информации

Кв, нарушающие конфиденциальность информации

удаление или порча файлов программ и данных;

искажение информации в системных областях памяти и т. п.

расшифровка и кража паролей, личных данных пользователей и т. п.

Рис. 9.2

Однако даже если в алгоритме вируса не найдено признаков, наносящих ущерб системе, этот вирус нельзя с полной уверенностью назвать безвредным, так как проникновение его в компьютер может вызвать непредсказуемые и порой катастрофические последствия. Ведь вирус, как и всякая программа, имеет ошибки, в результате которых могут быть испорчены как файлы, так и сектора дисков. Так, например, при несовпадении формата и расширения имени файл после заражения оказывается неработоспособным.

По способам заражения вирусы бывают резидентные и нерезидентные.

Резидентный вирус при инфицировании компьютера оставляет в оперативной памяти свою резидентную часть, которая затем перехватывает обращения операционной системы к объектам заражения и внедряется в них. Резидентные вирусы находятся в памяти и являются активными вплоть до выключения компьютера или перезагрузки операционной системы. Нерезидентные вирусы не заражают память компьютера и сохраняют активность ограниченное время. Некоторые вирусы оставляют в оперативной памяти небольшие резидентные программы, которые не распространяют вирус. Такие вирусы считаются нерезидентными.

Резидентными можно считать макровирусы, поскольку они постоянно присутствуют в памяти компьютера на все время работы зараженного редактора. При этом роль операционной системы берет на себя редактор, а понятие «перезагрузка операционной системы» трактуется как выход из редактора.

Классификация вирусов по особенностям алгоритма. Здесь можно выделить следующие основные группы вирусов:

Компаньон-вирусы (companion). Алгоритм работы этих вирусов состоит в том, что они создают для ЕХЕ-файлов файлы-спутники, имеющие то же самое имя, но с расширением СОМ. При запуске такого файла DOS первым обнаружит и выполнит СОМ-файл, т. е. вирус, который затем запустит и ЕХЕ-файл.

«Троянские кони» и «черви». "Троянские конь" (логическая бомба) – это программа, наносящая какие-либо разрушительные действия, т. е. в зависимости от определенных условий или при каждом запуске уничтожающая информацию на дисках, "приводящая" систему к зависанию и т. п. Большинство "троянских коней" маскируются под какие-либо полезные программы, новые версии популярных утилит, игры или дополнения к ним. Очень часто они рассылаются по BBS-станциям или электронным конференциям. По сравнению с другими вирусами "троянские кони" не получают широкого распространения по достаточно простым причинам: они либо уничтожают себя вместе с остальными данными на диске, либо демаскируют свое присутствие и уничтожаются пострадавшим пользователем.

«Черви» (worm) – вариант компаньон-вирусов. «Черви» не связывают свои копии с какими-то файлами. Они создают свои копии на дисках и в подкаталогах дисков, никаким образом не изменяя других файлов и не используя СОМ-ЕХЕ прием, описанный выше. Отдельно рассматривают сетевые черви – вирусы, которые распространяются в компьютерной сети и так же, как и компаньон-вирусы, не изменяют файлы или сектора на дисках. Они проникают в память компьютера из компьютерной сети, вычисляют сетевые адреса других компьютеров и рассылают по этим адресам свои копии. Такие вирусы иногда создают рабочие файлы на дисках системы, но могут вообще не подключаться к ресурсам компьютера (за исключением оперативной памяти). Сетевых вирусов известно всего несколько, например, XMasTree, вирус Морриса (Internet Worm).

«Паразитические» (Parasitic) – все вирусы, которые при распространении своих копий обязательно изменяют содержимое дисковых секторов или файлов. В эту группу относятся все вирусы, которые не являются «червями» или «компаньон-вирусами».

«Стелс»-вирусы (вирусы-невидимки – stealth), представляют собой весьма совершенные программы, которые позволяют вирусам полностью или частично скрыть себя в системе. Наиболее распространенным стелс-алгоритмом является перехват запросов OC на чтение/запись зараженных объектов. Стелс-вирусы при этом либо временно "лечат" их, либо «подставляют» вместо себя незараженные участки информации. В случае макровирусов наиболее популярный способ – запрет вызовов меню просмотра макросов.

«Полиморфик»-вирусы (самошифрующиеся, или вирусы-призраки – polymorphic) – достаточно труднообнаруживаемые вирусы, не имеющие сигнатур, т.е не содержащие ни одного постоянного участка кода. В большинстве случаев два образца одного и того же полиморфик-вируса не будут иметь ни одного совпадения. Это достигается шифрованием основного тела вируса и модификациями программы-расшифровщика.

Макровирусы – вирусы этого семейства используют возможности макроязыков (например VBA), встроенных в системы обработки данных (текстовые редакторы, электронные таблицы и т. д.). В настоящее время широко распространены макровирусы, заражающие документы текстового редактора Microsoft Word, и электронные таблицы Microsoft Excel. Такие вирусы, как правило, имеют довольно сложный алгоритм работы, часто применяют оригинальные методы проникновения в систему и их труднее обнаружить.

Чтобы противостоять нашествию компьютерных вирусов, необходимо выбрать правильную стратегию защиты от них, в том числе программные антивирусные средства, грамотное использование которых позволяет предотвратить вирусную атаку. Если же атака произошла, необходимо вовремя ее обнаружить, локализовать и успешно отразить, не потеряв ценной информации.

Средства защиты от КВ реализуют следующие основные методы защиты [49, 50]:

• архивирование: копирование таблицы FAT, ежедневное ведение архивов измененных файлов;

• входной контроль: проверка поступающих программ детекторами;

• профилактика: работа с дискетами, защищенными от записи, минимизация периодов доступности дискеты для записи, разделение "общих" дискет между конкретными пользователями и разделение передаваемых и поступающих дискет, раздельное хранение вновь полученных программ и эксплуатировавшихся ранее, хранение программ на "винчестере" в архивированном виде;

• ревизия: анализ вновь полученных программ специальными средствами, контроль целостности с помощью регулярного подсчета контрольных сумм и проверки сектора начальной загрузки перед считыванием информации или загрузкой с дискеты, контроль содержимого системных файлов (прежде всего СOMMAND.COM) и др.;

• карантин: каждая новая программа, полученная без контрольных сумм, должна проходить карантин, т. е. тщательно проверяться компетентными специалистами на известные виды компьютерных вирусов, и в течение определенного времени за ней должно быть организовано наблюдение.

• сегментация: использование разбиения диска на недоступные зоны с установленным атрибутом доступа, раздельное хранение исполняемых программ и баз данных;

• фильтрация: применение программ-сторожей для обнаружения попыток выполнить несанкционированные действия;

• вакцинирование: специальная обработка файлов, дисков, каталогов, запуск резидентных программ–вакцин, имитирующих сочетание условий, которые используются данным типом вируса для определения, заражены ли уже программа, диск, компьютер или нет, т. е. обманывающих вирус;

• автоконтроль целостности: применение резидентных программ под счета контрольных сумм перед запуском программ, использование в программе специальных алгоритмов, позволяющих после запуска программы определить, были внесены изменения в файл, из которого загружена программа, или нет;

• терапия: дезактивация конкретного вируса в зараженных программах специальной программой-антибиотиком или восстановление первоначального состояния программ путем "выкусывания" всех экземпляров вируса из каждого зараженного файла или диска с помощью программы-фага.

В связи с этим имеется несколько типов программных средств защиты от вирусов:

• программы-детекторы (сканеры или флаги) – проверяют загрузочные сектора дисков, файлы, оперативную память и обнаруживают внедренные вирусы;

• программы-ревизоры – запоминают исходное состояние файлов (длину, контрольную сумму, повторяющиеся фрагменты и др.), а затем при работе сравнивают рабочие характеристики файлов с исходными и делают вывод о возможном заражении файлов;

• программы-доктора – "лечат" зараженные файлы, т. е. приводят файлы в состояние, которое было до заражения вирусом. Большинство современных антивирусных программ обнаруживает вирусы и избавляет от них программное обеспечение ПК;

• программы-фильтры – располагаются резидентно в оперативной памяти и перехватывают обращения к операционной системе, которые вирусы используют для размножения и нанесения вреда.

В настоящее время наиболее широкое применение получили следующие антивирусные программы:

• антивирусный комплекс «Лаборатории Касперского» (AVP – Kaspersky Antivirus Personal) – обеспечивает регулярные (каждые три часа) обновления антивирусных баз, которые программа может загружать автоматически, имеет одну из самых больших в мире антивирусных баз [50];

• семейство антивирусных программ Dr.Web Санкт-Петербургской антивирусной лаборатории И. Данилова (ООО «СалД») с возможностью автоматического пополнения вирусных баз и обновления версий оболочки и ядра через сеть Интернет [51];

• семейство антивирусных программ компании Panda Software [52];

• Norton Antivirus – производитель программы компания Symantec, которая является одним из известнейших мировых брендов по производству прикладных программ для ПК [53];

• продукты компании ЗАО "ДиалогНаука" – ревизор ADinf, универсальный лекарь ADinf Cure Module [54].