А,В,Соколов, 0,М, Степанюк - Скачать документы

Глава 3. Основные пути обеспечения безопасности информации 279
Таблица 3.6. Стандартные антивирусные программы
Виды антивирусных
программ
Детекторы
Фаги (полифаги)
Ревизоры
Сторожа
Специальные
вакцины
Блокировщики
Обнаружение вирусов
Назначение
Обнаружение и уничтожение вирусов
Контроль путей распространения вирусов
Контроль подозрительных на вирус операций
Обработка файлов и загрузочных секторов на
устойчивость к вирусам
Ограничение распространения вирусов
Стандартные программы
DrWeb
AVP
Adinf
Aidatest
ADinf
VSAFE
—
В большинстве случаев вирус, заразивший компьютер, помогут обнаружить уже
разработанные программы-детекторы. Они проверяют, имеется ли в файлах на указанном
пользователем диске специфическая для данного вируса последовательность
байт. При обнаружении вируса программа выводит на экран соответствующее сообщение.
Назначение детектора — только обнаружить вирус. Бороться с ним предстоит
либо другой антивирусной программе, либо системному программисту.
Среди детекторов можно выделить эвристические анализаторы кода — набор подпрограмм,
анализирующих код исполняемых файлов, памяти или загрузочных секторов
для обнаружения в нем разных типов компьютерных вирусов. Рассмотрим универсальную
схему такого кодоанализатора. Действуя в соответствии с этой схемой,
кодоанализатор способен максимально эффективно задействовать всю информацию,
собранную для тестируемого объекта.
Эвристический подход состоит в попытке предложить, может быть, далекое от оптимального,
но быстрое решение для чрезвычайно сложных (или даже неразрешимых)
проблем на основе все более и более достоверных предположений.
Основная идея такого подхода состоит в том, что эвристика сначала рассматривает
поведение программы, а затем сопоставляет его с характерным для злонамеренной
атаки, наподобие поведения троянского коня. Установить модель поведения и принять
решение относительно него можно с помощью нескольких механизмов. Для того чтобы
выявить и определить все возможные действия программы, используют два подхода:
G сканирование;
Q эмуляция.
Подход со сканированием предполагает поиск «поведенческих штампов», например,
наиболее типичных низкоуровневых способов открытия файлов. Или процедура
сканирования обычного исполняемого файла просматривает все места, где программа
открывает другой файл, и определяет, какого рода файлы она открывает и что в них
записывает.
Второй метод определения поведения — эмуляция. Такой подход несколько сложнее.
Программа пропускается через эмулятор Windows или макроэмулятор Macintosh
или Word с целью посмотреть, что она будет делать. Однако возникают вопросы, потому
что в этом случае многое зависит от причуд вирусов. Например, если вирус запрограммирован
на форматирование вашего жесткого диска 25 февраля в 10 час. утра,
а при эмуляции этого вируса на симуляторе дата установлена на 24 февраля, то вирус
пока не проявит свои намерения.