по желанию пользователя сравнении текущего состояния с исходным. Наиболее широкое распространение на практике нашли так называемые CRC-сканеры, функционирование которых основано на вычислении контрольного значения циклического избыточного кода (cyclic redundancy check - CRC) – контрольной суммы. При этом по каждому файлу, каталогу, программе или области данных осуществляется суммирование цифр, в виде которых хранятся данные, затем полученное двоичное число делится на фиксированное значение и остаток берется в качестве контрольной суммы. Эти CRC-суммы затем сохраняются в базе данных антивируса, как, впрочем, и некоторая другая информация: длины файлов, даты их последней модификации и т.д. При запуске CRC-сканеры сверяют данные, содержащиеся в базе данных, с реально подсчитанными значениями контрольной суммы. Если информация о файле, записанная в базе данных, не совпадает с реальными значениями, то CRC-сканеры сигнализируют о том, что файл был изменен или заражен вирусом.
Недостатками CRC-сканеров является невозможность определения ими вирусов в новых файлах (в электронной почте, на дискетах, в восстанавливаемых файлах или при распаковке файлов из архива), поскольку в их базах данных отсутствует информация об этих файлах.
Программы-фильтры или "сторожа" пред-
ставляют собой, как правило, небольшие резидентные программы, предназначенные для обнаружения дейст-
вий вредоносной программы, таких как попытки кор-
рекции исполняемых файлов (с расширением com., exe.
125
и др.), изменение атрибутов файла, прямая запись на диск по абсолютному адресу, запись в загрузочные сек-
тора диска, загрузка резидентной программы и др.
При попытке какой-либо программы произвести ука-
занные действия "сторож" посылает пользователю соот-
ветствующее сообщение и предлагает запретить или разрешить эти действия. Программы-фильтры способны обнаружить вредоносные программы на самой ранней стадии их существования до размножения, однако они не "лечат" файлы и диски. Разновидностью программ-
фильтров являются антивирусные блокировщики, вы-
полняющие одновременно с обнаружением действий вредоносной программы их блокирование. Антивирус-
ные блокировщики могут быть как в программном, так и в программно-аппаратном исполнении. Однако наряду с недостатками программ-фильтров они обладают не-
достатками, связанными с часто возникающей пробле-
126
мой их совместимости со конфигурациями компьютеров
и сложности при установке и настройке.
Иммунизаторы или программы-вакцины делятся на два типа: иммунизаторы, сообщающие о заражении, и иммунизаторы, блокирующие заражение каким-либо типом вируса. Первые обычно записываются в конец файлов (по принципу файлового вируса) и при запуске файла каждый раз проверяется его на изменение. Недостаток у таких иммунизаторов состоит в неспособности обнаружения стелс-вирусом. Поэтому такие иммунизаторы, как и блокировщики, практически не используются в настоящее время.
Второй тип иммунизации защищает систему от поражения вирусом какого-то определенного вида. Файлы на дисках модифицируются таким образом, что вирус принимает их за уже зараженные. Для защиты от резидентного вируса в память компьютера заносится программа, имитирующая копию вируса. При запуске вирус натыкается на нее и считает, что система уже заражена.
Такой тип иммунизации не может быть универ-
сальным, поскольку нельзя иммунизировать файлы от
всех известных вирусов. Однако, несмотря на это, по-
добные иммунизаторы в качестве полумеры могут
вполне надежно защитить компьютер от некоторых ви-
127
русов вплоть до того момента, когда они будут опреде-
ляться антивирусными сканерами.
Ни одно из приведенных средств не обеспечивает абсолютно надежную защиту от ПМВ. Только создание изолированной операционной среды компьютера способно обеспечить такую защиту. Изолированная операционная среда может быть создана при выполнении следующих условий:
-на ПЭВМ с проверенной базовой системой вводавывода (BIOS) установлена проверенная операционная среда;
-достоверно установлена неизменность операционной среды;
-кроме проверенных программ в данной программ- но-аппаратной среде не запускалось никаких иных программ;
-исключен запуск проверенных программ в какойлибо иной ситуации, то есть вне проверенной среды.
Выполнение данных условий может быть достигнуто путем использования при включении компьютера загрузочной дискеты, без применения которой запуск программ невозможен. Загрузка с загрузочной дискеты является надежным методом установления собственной операционной среды, но лишь тогда, когда оператор не допускает ошибок или преднамеренных действий (запускает находящиеся на дискете программы без загрузки с дискеты). Такого рода действия не только нарушают изолированность системы, но и могут привести к внедрению вредоносных программ в ранее проверенные программы пользователя или операционную среду.
128
6. МЕРЫ И СРЕДСТВА ЗАЩИТЫ ИНФОРМАЦИИ ОТ УГРОЗ, СВЯЗАННЫХ С НСД
Имеется большое разнообразие подходов к клас-
сификации мер и средств защиты от угроз, связанных с НСД, основанных на различных системах классифика-
торов. В данном пособии рассматривается один из таких подходов, основанный на некотором обобщении этих систем классификаторов, их уточнении в соответствии с последними результатами исследований в этой области и открытыми публикациями. В качестве первичных классификаторов в предлагаемой системе выбраны сле-
дующие признаки:
-направленность меры защиты (ограничение физического доступа; разграничение доступа к программ- но-аппаратной среде и данным; защита программного обеспечения от несанкционированного воздействия; защита от сбоев, отказов и ошибок; предотвращение и ликвидация последствий программно-математического воздействия);
-форма или среда реализации (физические, аппаратные, программные, программно-аппаратные, крипто-
129