А,В,Соколов, 0,М, Степанюк - Скачать документы

280
Вся хитрость быстрого распознавания состоит в сочетании двух подходов и получении
наиболее подробного каталога поведенческих штампов за возможно более короткое
время. Для проверки факта заражения файла вирусом специалисты могут использовать
различные варианты искусственного интеллекта — экспертные системы и
нейронные сети.
Недостаток эвристического подхода состоит как раз в его эвристичности. Всегда
есть вероятность, что чрезвычайно подозрительный файл в действительности совершенно
безобиден. Однако последний эвристический механизм Symantec под названием
Bloodhound позволяет обнаружить до 80% неизвестных вирусов выполняемых файлов
и до 90% неизвестных макровирусов.
Стоит также заметить, что программы-детекторы не слишком универсальны, поскольку
способны обнаружить только известные вирусы. Некоторым таким программам
можно сообщить специальную последовательность байт, характерную для какого-то
вируса, и они смогут обнаружить инфицированные им файлы: например, это умеют
NotronAntiVirus или AVP-сканер.
Программа Aidstest устарела и сейчас уже практически не используется. Наиболее
широкое распространение получили программы DrWeb и AVP. Благодаря своим новейшим
детекторам, они могут обнаружить любые вирусы: как самые старые, так и
только что появившиеся. Еще нужно упомянуть детектор ADinf. Эта антивирусная
программа обнаруживает все вирусы, не изменяющие длину файлов, невидимые вирусы,
и многие другие. Таким образом, эти три программы обеспечивают мощнейшую
защиту против вирусов. Все эти программы можно вписать в файл AUTOEXEC.BAT,
тогда при загрузке компьютера проверка на заражение вирусом будет проводиться
автоматически. Кстати, на Западе тоже предпочитают пользоваться такими российскими
программами, как DrWeb и AVP.
Несколько лет назад детекторы практически уступили свои позиции программам,
называемых полифагами, но сегодня они вновь возвращаются на компьютерный
рынок.
Для тех, кто пользуется только лицензионным программным обеспечением, нет
необходимости тратить время на лечение зараженных вирусом файлов. Проще восстановить
зараженную программу с дистрибутива. Но в связи с тем, что даже во многих
достаточно крупных организациях очень часто используют не лицензионную, а
«пиратскую» продукцию (возможно, уже зараженную вирусом), то и чистые детекторы
(сканеры) еще не скоро будут в состоянии конкурировать с фагами.
Фаги (полифаги) (scanner/cleaner, scaner/remover) — программы, способные не
только обнаруживать, но и уничтожать вирусы, т. е. лечить «больные» программы
(полифаг может уничтожить много вирусов). К полифагам относится и такая старая
программа, как Aidstest, которая обнаруживает и обезвреживает около 2000 вирусов.
Основной принцип работы традиционного фага прост и секретом не является. Для
каждого вируса путем анализа его кода, способов заражения файлов и т. д. выделяется
некоторая характерная только для него последовательность байт. Эта последовательность
называется сигнатурой данного вируса. Поиск вирусов в простейшем случае
сводится к поиску их сигнатур (так работает любой детектор). Современные фаги используют
другие методы поиска вирусов.