Рассмотрение методов и средств защиты информации

Размещено на http://www.allbest.ru/

СОДЕРЖАНИЕ

ВВЕДЕНИЕ

ГЛАВА 1. ИСТОРИЯ ВОЗНИКНОВЕНИЯ КОМПЬЮТЕРНЫХ ВИРУСОВ

1.1 Свойства компьютерных вирусов

1.2 Классификация вирусов

1.3 Загрузочные вирусы

1.4 Файловые вирусы

1.5 Полиморфные вирусы

1.6 Стелс-вирусы

1.7 Макровирусы

1.8 Троянские программы

ГЛАВА 2. ПУТИ ПРОНИКНОВЕНИЯ ВИРУСОВ В КОМПЬЮТЕР И МЕХАНИЗМ РАСПРЕДЕЛЕНИЯ ВИРУСНЫХ ПРОГРАММ

2.1 Признаки появления вирусов

2.2 Признаков заражения компьютера

2.3 Антивирусные программы

2.4 Антивирус Касперского

2.5 Антивирус Dr.web

ЗАКЛЮЧЕНИЕ

СПИСОК ИСПОЛЬЗОВАННОЙ ЛИТЕРАТУРЫ

ВВЕДЕНИЕ

К концу двадцатого века люди овладели многими тайнами превращения вещества и энергии и сумели использовать эти знания для улучшения своей жизни. Но кроме вещества и энергии в жизни человека огромную роль играет еще одна составляющая - информация. Это самые разнообразные сведения, сообщения, известия, знания, умения. В середине нашего столетия появились специальные устройства - компьютеры, ориентированные на хранение и преобразование информации и произошла компьютерная революция.

Сегодня массовое применение персональных компьютеров, к сожалению, оказалось связанным с появлением самовоспроизводящихся программ-вирусов, препятствующих нормальной работе компьютера, разрушающих файловую структуру дисков и наносящих ущерб хранимой в компьютере информации.

Несмотря на принятые во многих странах законы о борьбе с компьютерными преступлениями и разработку специальных программных средств защиты от вирусов, количество новых программных вирусов постоянно растет. Это требует от пользователя персонального компьютера знаний о природе вирусов, способах заражения вирусами и защиты от них.

Используя различные методы и средства информационной защиты, невозможно достичь абсолютно идеальной безопасности сети. Средств защиты не бывает слишком много, однако с ростом уровня защищенности той или иной сети возникают и, как правило, определенные неудобства в ее использовании, ограничения и трудности для пользователей. Поэтому, часто необходимо выбрать оптимальный вариант защиты сети, который бы не создавал больших трудностей в пользовании сетью и одновременно обеспечивал достойный уровень защиты информации. Подчас создание такого оптимального решения безопасности является очень сложным.

Актуальность темы данной письменной экзаменационной работы определяется в том, что вопросы защиты информации всегда был и есть очень важными, безопасность информации - это одна из главных составляющих ее надлежащего функционирования. Методы и средства такой защиты информации должны постоянно совершенствоваться, учитывая новые возникающие угрозы безопасности сети и бреши в ее защите. Поэтому, на мой взгляд, вопросы методов и средств защиты информации в сетях оставались и остаются актуальными, пока существуют угрозы безопасности информации в сетях.

Кроме того, следует отметить и то, что поскольку на сегодняшний день существует определенное количество самых различных методов и средств защиты информации, то системному администратору часто очень важно выбрать наиболее эффективные и действенные методы и средства, которые бы обеспечивали безопасность с учетом существующих угроз и прогноза опасностей, которые могут угрожать информации.

Объектом исследования данной работы является безопасность информации в компьютере.

Предметом исследования в настоящей выпускной квалификационной работы выступают все те методы и средства, используемые на практике, которые позволяют обеспечить защиту информации.

Целью данной работы является рассмотрение существующих и применяемых методов и средств защиты информации, а именно основных вопросов и понятий защиты информации, видов угроз безопасности информации, не только программных, но и правовых методов и средств защиты.

Задачи данной письменной экзаменационной работы, которые необходимо будет выполнить:

- рассмотреть основные понятия безопасности информации в сетях и виды существующих угроз;

- определить некоторые особенности безопасности компьютера;

- проанализировать основные методы и средства защиты информации;

- изучить существующие конкретные средства и методы программной защиты информации, особенностей защиты в различных сферах;

Для выполнения всех поставленных в работе целей и задач будут использоваться методы анализа научной литературы, метод синтеза, сравнения, сбора и выборки.

При написании письменной экзаменационной работы был использован широкий круг соответствующей литературы: Андреев Б.В. Защита прав и свобод человека и гражданина в информационной сфере // Системы безопасности, № 1, 2011. C. 10-13 Байбурин М.Б. Бровкова В.Б. Введение в защиту информации. Учебное пособие (Серия "Профессиональное образование"), (ГРИФ). - .:"Инфра-М", 2011. - 128 с. Балдин В.К. Уткин В.Б. Информатика: Учеб. для вузов. - М.: Проект, 2013.

Выпускная письменная экзаменационная работа состоит из введения, двух глав с параграфами, заключения и списка использованной литературы.

ГЛАВА 1. ИСТОРИЯ ВОЗНИКНОВЕНИЯ КОМПЬЮТЕРНЫХ ВИРУСОВ

Мнений по поводу рождения первого компьютерного вируса очень много. Нам доподлинно известно только одно: на машине Чарльза Бэббиджа, считающегося изобретателем первого компьютера, вирусов не было, а на Univax 1108 и IBM 360/370 в середине 1970-х годов они уже были.

Несмотря на это, сама идея компьютерных вирусов появилась значительно раньше. Отправной точкой можно считать труды Джона фон Неймана по изучению самовоспроизводящихся математических автоматов, которые стали известны в 1940-х годах. В 1951 г. этот знаменитый ученый предложил метод, который демонстрировал возможность создания таких автоматов. Позднее, в 1959 г. журнал "Scientific American" опубликовал статью Л.С. Пенроуза, которая также была посвящена самовоспроизводящимся механическим структурам. В отличие от ранее известных работ, здесь была описана простейшая двумерная модель подобных структур, способных к активации, размножению, мутациям, захвату. Позднее, по следам этой статьи другой ученый Ф.Ж. Шталь реализовал модель на практике с помощью машинного кода на IBM 650.

Необходимо отметить, что с самого начала эти исследования были направлены отнюдь не на создание теоретической основы для будущего развития компьютерных вирусов. Наоборот, ученые стремились усовершенствовать мир, сделать его более приспособленным для жизни человека. Ведь именно эти труды легли в основу многих более поздних работ по робототехнике и искусственному интеллекту. И в том, что последующие поколения злоупотребили плодами технического прогресса, нет вины этих замечательных ученых.

В 1962 г. инженеры из американской компании Bell Telephone Laboratories - В.А. Высотский, Г.Д. Макилрой и Роберт Моррис - создали игру "Дарвин". Игра предполагала присутствие в памяти вычислительной машины так называемого супервизора, определявшего правила и порядок борьбы между собой программ-соперников, создававшихся игроками. Программы имели функции исследования пространства, размножения и уничтожения. Смысл игры заключался в удалении всех копий программы противника и захвате поля битвы.

На этом теоретические исследования ученых и безобидные упражнения инженеров ушли в тень, и совсем скоро мир узнал, что теория саморазмножающихся структур с не меньшим успехом может быть применена и в несколько иных целях.

1.1 Свойства компьютерных вирусов

Вирус - едва ли не главный враг компьютера. Крохотные зловредные программки могут в одночасье испортить плоды вашего многомесячного труда, уничтожить текстовые файлы и электронные таблицы, а то и вообще испортить файловую систему на жёстком диске…

К сожалению, некоторые авторитетные издания время от времени публикуют «самые свежие новости с компьютерных фронтов», которые при ближайшем рассмотрении оказываются следствием не вполне ясного понимания предмета.

Прежде всего, вирус - это программа. Вирус может перевернуть изображение на вашем мониторе, но не может перевернуть сам монитор. К легендам о вирусах-убийцах, «уничтожающих операторов посредством вывода на экран смертельной цветовой гаммы 25-м кадром» также не стоит относиться серьезно.

Ведут себя компьютерные вирусы точно так же, как вирусы живые: они прячут свой код в теле «здоровой» программы и при каждом её запуске активируются и начинают бурно «размножаться», бесконтрольно распространяясь по всему компьютеру.

Это - одна сторона деятельности вируса. Не самая страшная, кстати. Если бы вирус просто размножался, не мешая работе программ, то с ним, наверное, не стоило бы и связываться. Тем более, что значительное число существующих вирусов принадлежит именно к этой, относительно безвредной категории.

Но, помимо размножения, у вируса есть ещё и другое «хобби» - разрушать и пакостить. Степень «пакостности» вируса может быть разная - одни ограничиваются тем, что выводят на экран навязчивую картинку, мешающую вашей работе, другие, особо не раздумывая, полностью уничтожают данные на жёстком диске.

К счастью, такие «жестокие» вирусы встречаются нечасто. Во всяком случае, лично я столкнулся с такой заразой только однажды.

В любом случае, реальный вред от вирусов сегодня куда больше, чем, скажем, от нашумевшей на весь мир «ошибки 2000 года». Жаль только, что в отличие от этого «мыльного пузыря» вирусы не испытывают желания враз покинуть наш грешный мир с приходом нового тысячелетия. И нет надежды справиться с ними окончательно в какие-то обозримые сроки - ибо таланту авторов антивирусных программ противостоит извращённая фантазия компьютерных графоманов.

Ведь написать вирус - задача не сильно сложная. Студенческих мозгов и умения, во всяком случае, на это хватает. А если ещё и студент талантливый попадётся - будет созданная им «зараза» гулять по миру в течение долгих лет.

Вообще-то век вируса недолог. Антивирусные программы, в отличие от него, бедолаги, умнеют не по дням, а по часам. И вирус, ещё вчера казавшийся неуловимым, сегодня моментально удаляется и обезвреживается. Потому и трудно найти сегодня вирусы, чей возраст превышает год-два - остальные уже давно сохранились лишь в коллекциях.

Сегодня науке известно около 100 тысяч компьютерных вирусов - маленьких вредоносных программок, следующих в своей жизни только трём заповедям - Плодиться, Прятаться и Портить.

Как и обычные вирусы, вирусы компьютерные - паразиты, для размножения им нужен «носитель»-хозяин, здоровая программа или документ, в тело которой они прячут участки своего программного кода. Сам вирус невелик - его размер редко измеряется килобайтами. Однако натворить эта «кроха» может немало. В тот момент, когда вы, ничего не подозревая, запускаете на своём компьютере заражённую программу или открываете документ, вирус активизируется и заставляет компьютер следовать не вашим, а его, вируса, инструкциям. И - прости прощай, ваша любимая информация! Быть ей удалённой, причём чаще всего - безвозвратно. Мало того, современные вирусы исхитряются портить не только программы, но и «железо». Например, вчистую уничтожают содержимое BIOS материнской платы или калечат жёсткий диск.

А стоит за всем этим… простое человеческое тщеславие, глупость и инстинктивная тяга к разрушению. Мы умиляемся, видя сосредоточенно изничтожающего песчаный замок или старый журнал ребёнка, - а позднее такие вот подросшие, но так и не выросшие дети калечат наши компьютеры.

А началась эта история ни много ни мало - лет тридцать назад. Именно тогда, в конце 60-х, когда о «персоналках» можно было прочитать лишь в фантастических романах, в нескольких «больших» компьютерах, располагавшихся в крупных исследовательских центрах США, обнаружились очень необычные программы. В отличие от программ нормальных, послушно ходивших «по струнке» и выполнявших все распоряжения человека, эти гуляли сами по себе. Занимались в недрах компьютера какими-то понятными только им делами, по ходу дела сильно замедляя работу компьютера. Хорошо хоть, что ничего при этом не портили и не размножались.

Однако продлилось это недолго. Уже в 70-х годах были зарегистрированы первые настоящие вирусы, способные к размножению и даже получившие свои собственные имена: большой компьютер Univac 1108 «заболел» вирусом Pervading Animal, а на компьютерах из славного семейства IBM-360/370 поселился вирус Christmas tree.

К 1980-м годам число активных вирусов измерялось уже сотнями. А появление и распространение персональных компьютеров породило настоящую эпидемию - счёт вирусов пошёл на тысячи. Правда, термин «компьютерный вирус» появился только в 1984 году: впервые его использовал в своём докладе на конференции по информационной безопасности сотрудник Лехайского Университета США Ф. Коэн.

Первые «персоналочные» вирусы были существами простыми и неприхотливыми - особо от пользователей не скрывались, «скрашивали» своё разрушительное действие (удаление файлов, разрушение логической структуры диска) выводимыми на экран картинками и каверзными «шутками»: «Назовите точную высоту горы Килиманджаро в миллиметрах! При введении неправильного ответа все данные на вашем винчестере будут уничтожены!!!». Выявить такие вирусы было нетрудно: они «приклеивались» к исполняемым (*.com или *.exe) файлам, изменяя их оригинальные размеры, - чем и пользовались первые антивирусы, успешно выявлявшие нахалов.

Позднее вирусы стали хитрее - они научились маскироваться, запрятывая свой программный код в таких потаённых уголках, до которых, как им казалось, ни один антивирус добраться не мог. Поначалу - действительно, не добирались. Потому и назывались такие вирусы «невидимками» (stealth).

Казалось, фантазия вирусописателей наконец-то истощилась. И когда против stealth-вирусов было наконец-то найдено «противоядие», компьютерный народ вздохнул с облегчением.

1.2 Классификация вирусов

Со временем вирусы, прятавшие свой код в теле других программ, сдали свои позиции. Во многом это произошло из-за того, что размеры самих вирусов стали больше - а спрятать код размером в сотни килобайт не так-то просто. Да и сами программы и операционные системы резко поумнели, научившись проверять целостность собственных файлов.

В итоге произошло то, что и должно было случиться - «исполняемые» вирусы перестали маскироваться, представ перед публикой в «чистом» виде. Вирус превратился в абсолютно отдельную, независимую программу, не нуждающуюся в «хозяине-переносчике». Однако сразу же перед вирусописателями встал другой вопрос - а как заставить пользователей скачать и запустить у себя на машине этот самый вирус?

«Программные» вирусы, написанные для операционной системы Windows, решили эту проблему, маскируясь под разные «полезные» утилиты - например, под «ломалки» для условно-бесплатных программ или мультимедийные презентации. Другой излюбленный приём распространителей заразы - наряжать свои детища в «одежду» обновлений для операционной системы или даже… антивирусной программы! Увы, до сих пор многие пользователи, не задумываясь, запускают неизвестные программы, пришедшие в виде вложений в электронные письма якобы от Microsoft или «Лаборатории Касперского» - а ведь это самый верный путь поселить на свой компьютер вирус.

Большинство вирусов люди запускают на своём компьютере самостоятельно! - увы, несмотря на все усилия борцов с вирусами, некие стереотипы человеческой психологии оказываются непреодолимыми…

В 1995-1999 гг. на просторах Интернета весело развивалась добрая сотня «Windows-совместимых» вирусов. Эти милые зверушки, понятно, развились не просто так. Только за период лета 1998 - лета 1999 г. Мир пережил несколько поистине разрушительных вирусных атак: в результате деятельности вируса Win95.CIH, поражающего BIOS системной платы, из строя были выведены около миллиона компьютеров во всех странах мира.



Рис. 1.1. Сообщение об ошибке - результат работы вируса Blaster

А совсем недавно, в середине 2003г., Сеть оказалась поражена новым «червем» SoBig, распространявшимся в виде вложения в электронные письма. Несмотря на то, что о вредоносных «вложениях» уже давно трубила вся пресса, люди запускали файл-вирус без малейших опасений. И вот результат: по данным аналитиков, в начале 2011 г. каждое 17-е письмо содержало в себе начинку в виде SoBig!

Впрочем, некоторые вирусы способны атаковать ваш компьютер даже в том случае, если его «тело» физически находится в другом месте. Например, один из самых «модных» вирусов 2011 г. - Blaster - был способен атаковать все компьютеры в локальной сети с одной-единственной машины. Сканируя локальную сеть, программа обнаруживала бреши в защите каждого компьютера, и самостоятельно пропихивала в эту «дырочку» вредоносный код. Для борьбы с W32-вирусами одной антивирусной программы, увы, недостаточно - главным условием вашей безопасности является обязательная и регулярная загрузка обновлений к Windows. А именно - файлов-«заплаток», предназначенных для закрытия уже обнаруженных «дыр» в системе защите операционной системы. Для получения новых «заплаток» вам необходимо навестить центр обновления Windows - сайт Windows Update (http://windowsupdate.microsoft.com). При этом совершенно не обязательно набирать этот адрес в строке браузера вручную - достаточно зайти в меню Сервис программы Internet Explorer и выбрать пункт Windows Update. На открывшейся страничке вы увидите полный список обновлений, доступных для загрузки. Учтите - все обновления из раздела «Критические обновления» необходимо устанавливать в обязательном порядке. Посещайте сайт Windows Update не реже раза в месяц, регулярно обновляйте базы данных вашего антивирусного пакета - и можете считать, что от львиной доли неприятностей вы застрахованы.

1.3 Загрузочные вирусы

Известные на текущий момент загрузочные вирусы заражают загрузочный (boot) сектор гибкого диска и boot-сектор или Master Boot Record (MBR) винчестера. Принцип действия загрузочных вирусов основан на алгоритмах запуска операционной системы при включении или перезагрузке компьютера -- после необходимых тестов установленного оборудования (памяти, дисков и т.д.) программа системной загрузки считывает первый физический сектор загрузочного диска (A:, C: или CD-ROM в зависимости от параметров, установленных в BIOS Setup) и передает на него управление.

При заражении дисков загрузочные вирусы «подставляют» свой код вместо какой-либо программы, получающей управление при загрузке системы. Принцип заражения, таким образом, одинаков во всех описанных выше способах: вирус «заставляет» систему при ее перезапуске отдать управление не оригинальному коду загрузчика, а коду вируса. Заражение дискет производится единственным известным способом -- вирус записывает свой код вместо оригинального кода boot-сектора дискеты. Винчестер заражается тремя возможными способами -- вирус записывается либо вместо кода MBR, либо вместо кода boot-сектора загрузочного диска (обычно диска C:), либо модифицирует адрес активного boot-сектора в таблице разделов диска (Disk Partition Table), расположенной в MBR винчестера. При инфицировании диска вирус в большинстве случаев переносит оригинальный boot-сектор (или MBR) в какой-либо другой сектор диска (например, в первый свободный). Если длина вируса больше длины сектора, то в заражаемый сектор помещается первая часть вируса, остальные части размещаются в других секторах (например, в первых свободных).

1.4 Файловые вирусы

По способу заражения файлов вирусы делятся на:

перезаписывающие (overwriting);

паразитические (parasitic);

вирусы-компаньоны (companion);

вирусы-ссылки (link);

вирусы, заражающие объектные модули (OBJ);

вирусы, заражающие библиотеки компиляторов (LIB);

вирусы, заражающие исходные тексты программ.

Данный метод заражения является наиболее простым: вирус записывает свой код вместо кода заражаемого файла, уничтожая его содержимое. Естественно, что при этом файл перестает работать и не восстанавливается. Такие вирусы очень быстро обнаруживают себя, так как операционная система и приложения довольно быстро перестают работать. К паразитическим относятся все файловые вирусы, которые при распространении своих копий обязательно изменяют содержимое файлов, оставляя сами файлы при этом полностью или частично работоспособными. Основными типами таких вирусов являются вирусы, записывающиеся в начало файлов (prepending), в конец файлов (appending) и в середину файлов (inserting). В свою очередь, внедрение вирусов в середину файлов происходит различными методами -- путем переноса части файла в его конец или копирования своего кода в заведомо неиспользуемые данные файла (cavity-вирусы). Известны два способа внедрения паразитического файлового вируса в начало файла. Первый способ заключается в том, что вирус переписывает начало заражаемого файла в его конец, а сам копируется в освободившееся место. При заражении файла вторым способом вирус дописывает заражаемый файл к своему телу. Таким образом, при запуске зараженного файла первым управление получает код вируса. При этом вирусы, чтобы сохранить работоспособность программы, либо лечат зараженный файл, повторно запускают его, ждут окончания его работы и снова записываются в его начало (иногда для этого используется временный файл, в который записывается обезвреженный файл), либо восстанавливают код программы в памяти компьютера и настраивают необходимые адреса в ее теле (т. е. дублируют работу ОС). Наиболее распространенным способом внедрения вируса в файл является дописывание вируса в его конец. При этом вирус изменяет начало файла таким образом, что первыми выполняемыми командами программы, содержащейся в файле, являются команды вируса.

Для того чтобы получить управление при старте файла, вирус корректирует стартовый адрес программы (адрес точки входа). Для этого вирус производит необходимые изменения в заголовке файла. Существует несколько методов внедрения вируса в середину файла. В наиболее простом из них вирус переносит часть файла в его конец или «раздвигает» файл и записывает свой код в освободившееся пространство. Этот способ во многом аналогичен методам, перечисленным выше. Некоторые вирусы при этом компрессируют переносимый блок файла так, что длина файла при заражении не изменяется. компьютерный вирус файловый полиморфный

Вторым является метод «cavity», при котором вирус записывается в заведомо неиспользуемые области файла. Вирус может быть скопирован в незадействованные области заголовок EXE-файла, в «дыры» между секциями EXE-файлов или в область текстовых сообщений популярных компиляторов. Существуют вирусы, заражающие только те файлы, которые содержат блоки, заполненные каким-либо постоянным байтом, при этом вирус записывает свой код вместо такого блока. Кроме того, копирование вируса в середину файла может произойти в результате ошибки вируса, в этом случае файл может быть необратимо испорчен. Отдельно следует отметить довольно незначительную группу вирусов, не имеющих «точки входа» (EPO-вирусы -- Entry Point Obscuring viruses). К ним относятся вирусы, не изменяющие адрес точки старта в заголовке EXE-файлов. Такие вирусы записывают команду перехода на свой код в какое-либо место в середину файла и получают управление не непосредственно при запуске зараженного файла, а при вызове процедуры, содержащей код передачи управления на тело вируса. Причем выполняться эта процедура может крайне редко (например, при выводе сообщения о какой-либо специфической ошибке). В результате вирус может долгие годы «спать» внутри файла и выскочить на свободу только при некоторых ограниченных условиях. Перед тем, как записать в середину файла команду перехода на свой код, вирусу необходимо выбрать «правильный» адрес в файле -- иначе зараженный файл может оказаться испорченным. Известны несколько способов, с помощью которых вирусы определяют такие адреса внутри файлов, например, поиск в файле последовательности стандартного кода заголовков процедур языков программирования (C/Pascal), дизассемблирование кода файла или замена адресов импортируемых функций.

К категории «companion» относятся вирусы, не изменяющие заражаемых файлов. Алгоритм работы этих вирусов состоит в том, что для заражаемого файла создается файл-двойник, причем при запуске зараженного файла управление получает именно этот двойник, т. е. вирус.

К вирусам данного типа относятся те из них, которые при заражении переименовывают файл в какое-либо другое имя, запоминают его (для последующего запуска файла-хозяина) и записывают свой код на диск под именем заражаемого файла. Например, файл NOTEPAD.EXE переименовывается в NOTEPAD.EXD, а вирус записывается под именем NOTEPAD.EXE. При запуске управление получает код вируса, который затем запускает оригинальный NOTEPAD. Возможно существование и других типов вирусов-компаньонов, использующих иные оригинальные идеи или особенности других операционных систем. Например, PATH-компаньоны, которые размещают свои копии в основном катагоге Windows, используя тот факт, что этот каталог является первым в списке PATH, и файлы для запуска Windows в первую очередь будет искать именно в нем. Данными способом самозапуска пользуются также многие компьютерные черви и троянские программы.

Существуют вирусы, которые никоим образом не связывают свое присутствие с каким-либо выполняемым файлом. При размножении они всего лишь копируют свой код в какие-либо каталоги дисков в надежде, что эти новые копии будут когда-либо запущены пользователем. Иногда эти вирусы дают своим копиям «специальные» имена, чтобы подтолкнуть пользователя на запуск своей копии -- например, INSTALL.EXE или WINSTART.BAT. Некоторые вирусы записывают свои копии в архивы (ARJ, ZIP, RAR). Другие записывают команду запуска зараженного файла в BAT-файлы. Link-вирусы также не изменяют физического содержимого файлов, однако при запуске зараженного файла «заставляют» ОС выполнить свой код. Этой цели они достигают модификацией необходимых полей файловой системы.

1.5 Полиморфные вирусы

Большинство вопросов связано с термином «полиморфный вирус». Этот вид компьютерных вирусов представляется на сегодняшний день наиболее опасным. Что это такое.

Полиморфные вирусы - вирусы, модифицирующие свой код в зараженных программах таким образом, что два экземпляра одного и того же вируса могут не совпадать ни в одном бите. Такие вирусы не только шифруют свой код, используя различные пути шифрования, но и содержат код генерации шифровщика и расшифровщика, что отличает их от обычных шифровальных вирусов, которые также могут шифровать участки своего кода, но имеют при этом постоянный код шифровальщика и расшифровщика.

Полиморфные вирусы - это вирусы с самомодифицирующимися расшифровщиками. Цель такого шифрования: имея зараженный и оригинальный файлы, вы все равно не сможете проанализировать его код с помощью обычного дизассемблирования. Этот код зашифрован и представляет собой бессмысленный набор команд. Расшифровка производится самим вирусом уже непосредственно во время выполнения. При этом возможны варианты: он может расшифровать себя всего сразу, а может выполнить такую расшифровку «по ходу дела», может вновь шифровать уже отработавшие участки. Все это делается ради затруднения анализа кода вируса.

1.6 Стелс-вирусы

В ходе проверки компьютера антивирусные программы считывают данные - файлы и системные области с жестких дисков и дискет, пользуясь средствами операционной системы и базовой системы ввода/вывода BIOS. Ряд вирусов, после запуска оставляют в оперативной памяти компьютера специальные модули, перехватывающие обращение программ к дисковой подсистеме компьютера. Если такой модуль обнаруживает, что программа пытается прочитать зараженный файл или системную область диска, он на ходу подменяет читаемые данные, как будто вируса на диске нет.

Стелс-вирусы обманывают антивирусные программы и в результате остаются незамеченными. Тем не менее, существует простой способ отключить механизм маскировки стелс-вирусов. Достаточно загрузить компьютер с не зараженной системной дискеты и сразу, не запуская других программ с диска компьютера (которые также могут оказаться зараженными), проверить компьютер антивирусной программой.

При загрузке с системной дискеты вирус не может получить управление и установить в оперативной памяти резидентный модуль, реализующий стелс-механизм. Антивирусная программа сможет прочитать информацию, действительно записанную на диске, и легко обнаружит вирус.

1.7 Макровирусы

В эпоху «классических» вирусов любой более-менее грамотный пользователь прекрасно знал: источником вирусной заразы могут быть только программы. И уж вряд ли даже в страшном сне могло присниться, что через несколько лет смертоносной начинкой обзаведутся… текстовые документы! Впрочем, такие сообщения время от времени проскакивали ещё в конце 80-х годов. Но появились они преимущественно первого апреля, так что никакой реакции, кроме смеха, вызвать не могли.

В 1995 г., после появления операционной системы Windows 95 Microsoft с большой помпой объявила: старым DOS-вирусам конец, Windows защищена от них на 100%, ну а новых вирусов в ближайшее время не предвидится. Если бы! Уже в том же 1995 г. было зарегистрировано несколько мощных вирусных атак и создан первый вирус, работающий под Windows 95.

А меньше чем через полгода человечество было огорошено вирусами нового, совершенно неизвестного типа и принципа действия. В отличие от всех «приличных» вирусов, новички паразитировали не на исполняемых файлах, а на документах, подготовленных в популярных программах из комплекта Microsoft Office.

Ларчик открывался просто: в текстовый редактор Microsoft Word и табличный редактор Microsoft Excel был встроен свой собственный язык программирования - Visual Basic for Applications (VBA), предназначенный для созданий специальных дополнений к редакторам - макросов. Эти макросы сохранялись в теле документов Microsoft Office и легко могли быть заменены вирусами. После открытия заражённого файла вирус активировался и заражал все документы Microsoft Office на вашем диске.

Первоначально макровирусы - а именно так называли новый класс вирусов, - вели себя довольно пристойно. В крайнем случае - портили текстовые документы. Однако уже в скором времени макровирусы перешли к своим обычным обязанностям - уничтожению информации.

К такому повороту дел борцы с вирусами явно не были готовы. И потому буквально через несколько дней вирус Concept, поражающий документы Word, распространился по всей планете. Заражённые файлы Word с лакомым содержанием (например, списками паролей к интернет-серверам) путешествовали от пользователя к пользователю через Интернет. Доверчивые хватали «наживку» не задумываясь - ведь даже самые умные из них были убеждены: через тексты вирусы не передаются! В итоге за четыре года, прошедших с момента появления первого «макровируса», этот класс вирусов стал самым многочисленным и опасным.

Одна из самых мощных атак макровирусов была зарегистрирована в марте 1999 г., когда вирус Melissa, созданный программистом Дывидом Смитом, всего за несколько часов распространился по всему миру. И хотя этот вирус был сравнительно безопасным (Melissa ограничивалась тем, что заражала все существующие документы и рассылала свои копии людям, внесённым в адресную книгу Microsoft Outlook), его появление наделало немало шума. Именно появление Melissa заставило Microsoft срочно оснастить программы Microsoft Office защитой от запуска макросов. При открытии любого документа, содержащего встроенные макросы, умный Word и Excel обязательно спросит пользователя: а вы уверены, что вместо всяческих полезностей вам не подсовывают в документе всяческую бяку? И стоит ли эти макросы загружать? Нажмите кнопку Нет - и вирусу будет поставлен надёжный заслон. Просто удивительно, что несмотря на такую простоту защиты большинство пользователей игнорирует предупреждения программы. И заражаются.

«Майка лидера» принадлежала макровирусам около пяти лет - срок, по меркам компьютерного мира, немалый. Выжить и преуспеть им помог Интернет - в течение последних лет вирусы этого типа распространились в основном по электронной почте. Источником заражения мог быть и присланный компьютерной фирмой прайс-лист, или рассказик, отосланный в виде файла-вложения незадачливым другом.

Сегодня число макровирусов снизилось в несколько раз - сегодня им принадлежит не более 15 % всего вирусного «рынка». Однако опасность заражения макровирусами по-прежнему высока - и поэтому будьте особенно осторожны, если вам часто приходится иметь дело с документами, созданными на других компьютерах. Качественный антивирус в сочетании с включённой защитой от макросов в программах Microsoft Office могут надёжно обезопасить вас от подобной напасти.

1.8 Троянские программы

Троянский конь - это программа, содержащая в себе некоторую разрушающую функцию, которая активизируется при наступлении некоторого условия срабатывания. Обычно такие программы маскируются под какие-нибудь полезные утилиты. Вирусы могут нести в себе троянских коней или "троянизировать" другие программы - вносить в них разрушающие функции. «Троянские кони» представляют собой программы, реализующие помимо функций, описанных в документации, и некоторые другие функции, связанные с нарушением безопасности и деструктивными действиями. Отмечены случаи создания таких программ с целью облегчения распространения вирусов. Списки таких программ широко публикуются в зарубежной печати. Обычно они маскируются под игровые или развлекательные программы и наносят вред под красивые картинки или музыку. Программные закладки также содержат некоторую функцию, наносящую ущерб ВС, но эта функция, наоборот, старается быть как можно незаметнее, т.к. чем дольше программа не будет вызывать подозрений, тем дольше закладка сможет работать.

В качестве примера приведем возможные деструктивные функции, реализуемые «троянскими конями» и программными закладками:

1. Уничтожение информации. Конкретный выбор объектов и способов уничтожения зависит только от фантазии автора такой программы и возможностей ОС. Эта функция является общей для троянских коней и закладок.

2. Перехват и передача информации. В качестве примера можно привести реализацию закладки для выделения паролей, набираемых на клавиатуре.

3. Целенаправленная модификация кода программы, интересующей нарушителя. Как правило, это программы, реализующие функции безопасности и защиты.

Если вирусы и «троянские кони» наносят ущерб посредством лавинообразного саморазмножения или явного разрушения, то основная функция вирусов типа «червь», действующих в компьютерных сетях, - взлом атакуемой системы, т.е. преодоление защиты с целью нарушения безопасности и целостности.

В более 80% компьютерных преступлений, расследуемых ФБР, "взломщики" проникают в атакуемую систему через глобальную сеть Internet. Когда такая попытка удается, будущее компании, на создание которой ушли годы, может быть поставлено под угрозу за какие-то секунды.

Этот процесс может быть автоматизирован с помощью вируса, называемого сетевой червь.

Червями называют вирусы, которые распространяются по глобальным сетям, поражая целые системы, а не отдельные программы. Это самый опасный вид вирусов, так как объектами нападения в этом случае становятся информационные системы государственного масштаба. С появлением глобальной сети Internet этот вид нарушения безопасности представляет наибольшую угрозу, т. к. ему в любой момент может подвергнуться любой из 80 миллионов компьютеров, подключенных к этой сети.

Классы троянских программ:

Троянские программы этого класса являются утилитами удаленного администрирования компьютеров в сети. По своей функциональности они во многом напоминают различные системы администрирования, разрабатываемые и распространяемые фирмами-производителями программных продуктов.

Единственная особенность этих программ заставляет классифицировать их как вредные троянские программы: отсутствие предупреждения об инсталляции и запуске. При запуске «троянец» устанавливает себя в системе и затем следит за ней, при этом пользователю не выдается никаких сообщений о действиях троянца в системе. Более того, ссылка на «троянца» может отсутствовать в списке активных приложений. В результате «пользователь» этой троянской программы может и не знать о ее присутствии в системе, в то время как его компьютер открыт для удаленного управления.

Утилиты скрытого управления позволяют делать с компьютером все, что в них заложил автор: принимать или отсылать файлы, запускать и уничтожать их, выводить сообщения, стирать информацию, перезагружать компьютер и т. д. В результате эти троянцы могут быть использованы для обнаружения и передачи конфиденциальной информации, для запуска вирусов, уничтожения данных и т. п. -- пораженные компьютеры оказываются открытыми для злоумышленных действий хакеров.

Таким образом, троянские программы данного типа являются одним из самых опасных видов вредоносного программного обеспечения, поскольку в них заложена возможность самых разнообразных злоумышленных действий, присущих другим видам троянских программ.

Отдельно следует отметить группу бэкдоров, способных распространяться по сети и внедряться в другие компьютеры, как это делают компьютерные черви. Отличает такие «троянцы» от червей тот факт, что они распространяются по сети не самопроизвольно (как черви), а только по специальной команде «хозяина», управляющего данной копией троянской программы.

ГЛАВА 2. ПУТИ ПРОНИКНОВЕНИЯ ВИРУСОВ В КОМПЬЮТЕР И МЕХАНИЗМ РАСПРЕДЕЛЕНИЯ ВИРУСНЫХ ПРОГРАММ

Основными путями проникновения вирусов в компьютер являются съемные диски (гибкие и лазерные), а также компьютерные сети. Заражение жесткого диска вирусами может произойти при загрузке программы с дискеты, содержащей вирус. Такое заражение может быть и случайным, например, если дискету не вынули из дисковода А и перезагрузили компьютер, при этом дискета может быть и не системной. Заразить дискету гораздо проще. На нее вирус может попасть, даже если дискету просто вставили в дисковод зараженного компьютера и, например, прочитали ее оглавление.

Вирус, как правило, внедряется в рабочую программу таким образом, чтобы при ее запуске управление сначала передалось ему и только после выполнения всех его команд снова вернулось к рабочей программе. Получив доступ к управлению, вирус, прежде всего, переписывает сам себя в другую рабочую программу и заражает ее. После запуска программы, содержащей вирус, становится возможным заражение других файлов.

Наиболее часто вирусом заражаются загрузочный сектор диска и исполняемые файлы, имеющие расширения EXE, COM, SYS, BAT. Крайне редко заражаются текстовые файлы.

После заражения программы вирус может выполнить какую-нибудь диверсию, не слишком серьезную, чтобы не привлечь внимания. И, наконец, не забывает возвратить управление той программе, из которой был запущен. Каждое выполнение зараженной программы переносит вирус в следующую. Таким образом, заразится все программное обеспечение.

2.1 Признаки появления вирусов

Есть ряд признаков, свидетельствующих о заражении компьютера:

вывод на экран непредусмотренных сообщений или изображений;

подача непредусмотренных звуковых сигналов;

неожиданное открытие и закрытие лотка CD-ROM-устройства;

произвольный, без вашего участия, запуск на компьютере каких-либо программ;

при наличии на вашем компьютере межсетевого экрана, появление предупреждений о попытке какой-либо из программ вашего компьютера выйти в Интернет, хотя вы это никак не инициировали.

Если вы замечаете, что с компьютером происходит подобное то, с большой степенью вероятности, можно предположить, что ваш компьютер поражен вирусом.

Кроме того, есть некоторые характерные признаки поражения вирусом через электронную почту:

друзья или знакомые говорят вам о сообщениях от вас, которые вы не отправляли;

в вашем почтовом ящике находится большое количество сообщений без обратного адреса и заголовка.

Следует отметить, что не всегда такие признаки вызываются присутствием вирусов. Иногда они могут быть следствием других причин. Например, в случае с почтой зараженные сообщения могут рассылаться с вашим обратным адресом, но не с вашего компьютера.

Есть также косвенные признаки заражения вашего компьютера:

частые зависания и сбои в работе компьютера;

медленная работа компьютера при запуске программ;

невозможность загрузки операционной системы;

исчезновение файлов и каталогов или искажение их содержимого;

частое обращение к жесткому диску (часто мигает лампочка на системном блоке);

интернет-браузер «зависает» или ведет себя неожиданным образом (например, окно программы невозможно закрыть).

В 90% случаев наличие косвенных симптомов вызвано сбоем в аппаратном или программном обеспечении. Несмотря на то, что подобные симптомы с малой вероятностью свидетельствуют о заражении, при их появлении рекомендуется провести полную проверку вашего компьютера установленной на нем антивирусной программой. В случае отсутствия таковой, можно скачать и установить пробную версию Антивируса Касперского Personal или Drweb`а, которая будет полностью работоспособна две недели с момента установки.

2.2 Признаков заражения компьютера

Если вы заметили, что ваш компьютер ведет себя «подозрительно»:

Не паникуйте! Не поддаваться панике -- золотое правило, которое может избавить вас от потери важных данных и лишних переживаний.

Отключите компьютер от интернета.

Отключите компьютер от локальной сети, если он к ней был подключен.

Если симптом заражения состоит в том, что вы не можете загрузиться с жесткого диска компьютера (компьютер выдает ошибку, когда вы его включаете), попробуйте загрузиться в режиме защиты от сбоев или с диска аварийной загрузки Windows.

Прежде чем предпринимать какие-либо действия, сохраните результаты вашей работы на внешний носитель (дискету, CD-диск, флэш-карту и пр.).

Скачайте и установите пробную или же купите полную версию антивируса Drweb, если вы этого еще не сделали и на вашем компьютере не установлено других антивирусных программ.

Получите последние обновления антивирусных баз. Если это возможно, для их получения выходите в интернет не со своего компьютера, а с незараженного компьютера друзей, интернет-кафе или с работы. Лучше воспользоваться другим компьютером, поскольку при подключении к интернету с зараженного компьютера есть вероятность отправки вирусом важной информации злоумышленникам или распространения вируса по адресам вашей адресной книги. Именно поэтому при подозрении на заражение лучше всего сразу отключиться от интернета. Установите рекомендуемый уровень настроек антивирусной программы.

2.3 Антивирусные программы

Полностью отсечь вирусы о вашего компьютера вряд ли удастся, разве что вы удалите из системы дисковод, перестанете работать в Интернете и будете пользоваться только легальным программным обеспечением. Но в наших условиях все эти советы - особенно последний - выглядят либо утопией, либо издевательством.

Остаётся один способ: снабдить вашу ОС надёжными сторожами - антивирусными программами, которые смогут вовремя распознать и обезвредить прокравшегося вируса.

Практически все программы, описанные далее, просты и удобны в пользовании, способны отлавливать практически все существующие на сегодня группы вирусов. Большинство антивирусов способны не просто проверять по запросу пользователя диск на наличие вирусов, но и вести незаметную проверку всех запускаемых на компьютере файлов. Наконец, все современные антивирусы снабжены механизмом автоматического обновления антивирусных баз данных через Интернет.

Получается правильный выбор - дело вкуса? Возможно, что так оно и есть. Во всяком случае, существует несколько основных точек зрения на эту проблему.

Ряд пользователей считает, что нет ничего лучше отечественных продуктов, наиболее приспособленных к нашей вирусной «атмосфере». Не стоит сбрасывать со счетов и патриотизм - анекдотично, но даже пользователи пиратских копий отечественных антивирусов свято верят в то, что вносят свой вклад в поддержку российских производителей.

Другая группа пользователей ориентируется на результаты тестов авторитетных западных изданий - и в первую очередь, на хит-парад Virus Bulletin 100% Awards (http://www.virusbtn.com). Кстати, оба отечественных антивируса неизменно присутствуют в Top10 самых надёжных антивирусных программ этого рейтинга, хотя на первых местах оказываются продукты, о которых наши пользователи и не слышали. А единственная по-настоящему популярная в России западная программа - Norton Antivirus - неизменно плетётся в хвосте списка (что не мешает ей получать множество других авторитетных премий)…

Другой независимый сайт, регулярно проводящий тестирование антивирусных программ - российский ресурс Antivirus.Ru (http://www.antivirus.ru). Возможно, авторитет этого сайта не так высок, как у его западного коллеги, однако использовать результаты тестов «для справки» не только допустимо, но и настоятельно рекомендуется.

2.4 Антивирус Касперского

Безусловно, самый популярный и мощный из отечественных антивирусов, да и на мировой антивирусной сцене он котируется весьма высоко. Программа «подстроена» под российскую «вирусную атмосферу» и способна дать отпор вирусам отечественного производства (когда ещё они доберутся до лабораторий западных борцов с вирусами?). Кстати, антивирусная база KAV в данный момент насчитывает около 96000 вирусов, при этом новые дополнения к программе выпускаются ежедневно.

Версия KAV Personal Pro состоит из нескольких важных модулей:

Scanner, проверяющий ваши жёсткие диски на предмет зараженности вирусами. Можно задать полный поиск, при котором Антивирус Касперского будет проверять все файлы подряд. Для большей надёжности можно включить также режим проверки архивированных файлов. Правда, такая процедура занимает чересчур много времени. Гораздо лучше выбрать более щадящий режим - Программы по формату, при котором KAV будет проверять не только не только программы, но и документы, созданные в формате Microsoft Office. Кстати, если вы хотите просканировать на наличие вирусов только определённый тип файлов, то можете воспользоваться ещё одним режимом проверки - По маске (в качестве «маски» введите типы проверяемых файлов, например, *.doc, *.xls).

Рис. 2.1. Антивирус Касперского - Центр Управления

После обнаружения вирусов программа предлагает вам на выбор несколько вариантов: убрать вирус из файла, удалить сами заражённые файлы или переместить их в специальную папку. Можно также вообще отключить режим лечения - тогда ваш антивирус будет только сигнализировать вам об обнаруженных вирусах.

Вторая составляющая пакета - Monitor. Эта программа автоматически загружается при запуске Windows и доступна через иконку в левой части Панели задач.

Монитор автоматически проверяет все запускаемые на компьютере файлы и открываемые документы и в случае вирусной атаки подаёт сигнал тревоги. Более того, в большинстве случаев Monitor просто не даёт заражённому файлу запуститься, блокируя процесс его выполнения. Эта функция программы очень полезна для тех, кто постоянно имеет дело со множеством новых файлов, например, с активными ходоками по Интернету.

Инспектор - модуль, позволяющий отлавливать даже неизвестные вирусы. «Инспектор» использует в работе совершенно иной метод, нежели «Сканер» и «Монитор», а именно метод контроля изменений размеров файлов. Внедряясь в файл, вирус неизбежно увеличивает его «объем» и вызывает изменение его размера - и тем самым выдаёт себя с головой.

Mail Checker - модуль, отвечающий за проверку «на лету» сообщений электронной почты.

Script Checker - охотник за вирусными и троянскими скриптами.

Office Guard - аналогичный модуль для проверки каждого загружаемого документа Microsoft Office.

В версии Personal отсутствуют модули Script Checker и Office Guard, а самая простая версия Lite, рассчитанная на домашних пользователей, включает лишь базовый модуль и программу автоматического обновления.

У Антивируса Касперского масса достоинств - удобство управления, регулярность и частота выпуска обновлений, а также большое количество версий для различных операционных систем. Возможно, именно поэтому Антивирус Касперского лидирует на корпоративном рынке - большинство фирм используют для защиты своих локальных сетей именно этот продукт.

Однако назвать «Касперского» идеальным антивирусом для дома мешает его громоздкость и медлительность - KAV очень требователен к аппаратным ресурсам. К тому же цену на новые версии KAV трудно назвать низкой. Авторов программы можно понять - в условиях практически стопроцентного пиратства иначе просто не получается.

2.5 Антивирус Dr.web

Лет шесть-семь назад, в эпоху DOS, Dr.Web мог с полным правом считаться первым и лучшим среди российских антивирусов. Однако запоздание с переходом на Windows-версию сыграло роковую роль: популярность Dr.Web стала стремительно падать… И лишь относительно недавно, после подорожания AVP (сменившего к тому времени название на KAV), интерес к разработке Игоря Данилова вновь вырос. И оказалось, что этот «вечно второй» продукт в большинстве случаев может предложить не худший уровень защиты, чем его коллега «от Касперского».

Антивирусная база Dr.Web меньше, чем у KAV и насчитывает около 71000 записей. Однако создатели уверяют, что на результатах тестирования это не сказывается, поскольку в Dr.Web реализован принципиально иной подход, чем в его коллегах-антивирусах: в программу встроен модуль эвристического анализатора, который позволяет обезвредить не только уже известные программе, но и новые, ещё не опознанные вирусы. В любом случае, малый размер и сравнительно небольшой объём базы не мешают Dr.Web регулярно занимать призовые места в антивирусных «чемпионатах» и сравнительных тестированиях. Кроме того, скорость пополнения баз данных у обоих антивирусов примерно одинакова. А самое главное, Dr.Web работает значительно быстрее своих громоздких конкурентов, а в некоторых случаях - ещё и корректнее. Именно Dr.Web первым из отечественных антивирусов подружился с Windows XP, что и привлекло к нему внимание пользователей.



Рис. 2.2. Программа Doctor Web

Как и KAV, Dr.Web устроен по модульному принципу:

Сканирует выбранные пользователем объекты на дисках по требованию, обнаруживает и нейтрализует вирусы в памяти, проверяет файлы автозагрузки и процессы.

Резидентный сторож (монитор) SpIDer Guard™

Контролирует в режиме реального времени все обращения к файлам, выявляет и блокирует подозрительные действия программ

...