Материал: Технология проектирования систем защиты информации в информационно-телекоммуникационных системах. Язов Ю.К

Если не удалось защитить программную среду от проникновения вредоносной программы, то требуется защита от ее воздействия.

В целом реализация мер защиты в ходе функционирования ИТКС осуществляется наиболее полно с применением подсистемы защиты от ПМВ, в которую, как правило, входит сертифицированный пакет программных средств поиска, обнаружения и ликвидации вредоносных программ, а также предусматриваются организационные меры защиты. Возможно применение программноаппаратных средств защиты. Ниже приводится один из вариантов классификации средств защиты от ПМВ(рис. 23).

Организационные меры направлены, в основном,

на предотвращение возможности ПМВ путем проведе-

ния соответствующих профилактических мероприятий,

своевременное обнаружение ПМВ или следов такого

воздействия в целях устранения его последствий и бло-

кирования распространения вредоносных программ.

Они регламентируют действия пользователя или адми-

нистратора в интересах защиты информации от ПМВ.

Программные и программно-аппаратные средст-

ва защиты включают в себя антивирусные сканеры,

138

программы-ревизоры, программы-фильтры ("сторожа")

и антивирусные блокировщики, иммунизаторы.

Принцип работы антивирусных сканеров основан на проверке файлов, секторов и системной памяти и поиске в них известных и новых (неизвестных сканеру) вирусов с последующим их удалением. Для поиска известных вирусов используются так называемые сигнатуры или «маски». Маской вируса является некоторая постоянная последовательность кода, специфичная для этого конкретного вируса. Если вирус не содержит постоянной маски или длина этой маски недостаточно велика, то используются другие методы. Примером такого метода является алгоритмический язык, описывающий все возможные варианты кода, которые могут встретиться при заражении подобного типа вирусом. Такой подход используется некоторыми антивирусами для детектирования полиморфиквирусов.

Во многих сканерах используются также алгоритмы «эвристического сканирования», т.е. анализ последовательности команд в проверяемом объекте, набор некоторой статистики и принятие решения («возможно заражен» или «не заражен») для каждого проверяемого объекта. Поскольку эвристическое сканирование является во многом вероятностным методом поиска вирусов, то на него распространяются многие законы теории вероятностей. Например, чем выше процент обнаруживаемых вирусов, тем больше количество ложных срабатываний.

В современных антивирусных сканерах, как правило, интегрируются программы-детекторы и программыдоктора. Программы-детекторы осуществляют поиск вредоносной программы и при обнаружении выдают соответ-

139

ствующее сообщение. Программы-доктора или фаги удаляют из файла тело программы вируса, возвращая файл в исходное состояние. Часто в связи с этим антивирусные сканеры называют фагами. В начале своей работы фаги ищут вирусы в оперативной памяти, уничтожая их, а затем переходят к "лечению" файлов.

140

Рис.23. Классификация мер и средств защиты от ПМВ

119

Среди фагов выделяют полифаги, предназначенные для поиска и уничтожения большого количества вирусов. Полифаги являются, как правило, универсальными антивирусными сканерами, функционирующими независимо от операционной системы, в которой работает компьютер. Наиболее известными полифагами являются программы

Aidtest, Scan, Nornon AntiVirus, Doctor Web, "Антивирус Касперского".

Кроме универсальных существуют "специализированные" сканеры, предназначенные только для определенных операционных систем, определенных прикладных программ или для обезвреживания ограниченного числа вирусов (или только одного их класса, например макровирусов). Специализированные сканеры, рассчитанные только на макро-вирусы, часто оказываются наиболее удобным и надежным решением для защиты систем документооборота в средах MS Word и MS Excel.

Сканеры также делятся на «резидентные» (мониторы), загружаемые автоматически в оперативную память компьютера при его включении, и «нерезидентные», обеспечивающие проверку системы только по запросу. Как правило, «резидентные» сканеры обеспечивают более надежную защиту системы, поскольку они немедленно реагируют на появление вируса, в то время как «нерезидентный» сканер способен опознать вирус только во время своего очередного запуска.

К достоинствам сканеров всех типов относится их универсальность, к недостаткам — размеры антивирусных баз, которые сканерам приходится «таскать за собой», и относительно небольшая скорость поиска вирусов.

Принцип работы программ-ревизоров основан на запоминании исходных состояний программ, каталогов, файлов и системных областей диска и периодическом или

124