Обнаружение изменений вакцинирование программ использование резидентных сторожей сканирование

Система обеспечения ИБ РФ предназначена для реализации государственной политики в данной сфере.

Основными функциями системы обеспечения ИБ РФ являются:

• разработка нормативной правовой базы в области обеспече­ния ИБ РФ;

• создание условий для реализации прав граждан и обществен­ных объединений на разрешенную законом деятельность в ин­
формационной сфере;

• определение и поддержание баланса между потребностью
граждан, общества и государства в свободном обмене информа­цией и необходимыми ограничениями на распространение ин­
формации;

• оценка состояния ИБ РФ, выявление источников внутренних
и внешних угроз ИБ, определение приоритетных направлений
предотвращения, парирования и нейтрализации этих угроз;

• координация деятельности федеральных органов государствен­ной власти и других государственных органов, решающих задачи
обеспечения ИБ РФ;

• контроль деятельности федеральных органов государственной
власти и органов государственной власти субъектов Российской

Видео урок: Компьютерные вирусы и борьба с ними

Федерации, государственных и межведомственных комиссий,
участвующих в решении задач обеспечения И Б РФ;

• предупреждение, выявление и пресечение правонарушений,
связанных с посягательствами на законные интересы граждан,
общества и государства в информационной сфере, на осуществ­ление судопроизводства по делам о преступлениях в этой области;

• развитие отечественной информационной инфраструктуры,
а также индустрии телекоммуникационных и информационных
средств;

• повышение конкурентоспособности информационных средств
на внутреннем и внешнем рынках;

• организация разработки федеральной и региональных про­
грамм обеспечения ИБ и координация деятельности по их реали­зации;

• проведение единой технической политики в области обеспе­чения ИБ РФ;

• организация фундаментальных и прикладных научных иссле­дований в области обеспечения ИБ РФ;

• защита государственных информационных ресурсов, прежде
всего в федеральных органах государственной власти и органах
77. продолжение

• государственной власти субъектов Российской Федерации, на
предприятиях оборонного комплекса;

• обеспечение контроля за созданием и использованием средств
защиты информации посредством обязательного лицензирования
деятельности в данной сфере и сертификации средств защиты
информации;

• совершенствование и развитие единой системы подготовки
кадров, используемых в области ИБ РФ;

• осуществление международного сотрудничества в сфере обес­печения ИБ, представление интересов Российской Федерации в
соответствующих международных организациях.

Компетенция федеральных органов государственной власти, органов государственной власти субъектов Российской Федера­ции, других государственных органов, входящих в состав системы обеспечения ИБ РФ и ее подсистем, определяется федеральными законами, нормативными правовыми актами Президента РФ и Правительства РФ.

3. Борьба и методы защиты от компьютерных вирусов

Президент РФ руководит в пределах своих конституционных полномочий органами и силами по обеспечению ИБ РФ; санкци­онирует действия по обеспечению ИБ РФ; в соответствии с законо­дательством Российской Федерации формирует, реорганизует и упраздняет подчиненные ему органы и силы по обеспечению ИБ РФ; определяет в своих ежегодных посланиях Федеральному собранию РФ приоритетные направления государственной поли­тики в области обеспечения ИБ РФ, а также меры по реализации Доктрины ИБ РФ.

В состав системы обеспечения ИБ РФ могут входить подсисте­мы (системы), ориентированные на решение локальных задач в данной сфере.

Источник: allrefrs.ru

Методы обнаружения вирусов

1 Сканирование – это один из самых старых и простых методов обнаружения вирусов. Сканирование осуществляется программой-сканером, которая просматривает файлы в поисках опознавательной части вируса — сигнатуры. Программа фиксирует наличие уже извест­ных вирусов, за исключением полиморфных вирусов, которые применяют шифрование тела вируса, изменяя при этом каждый раз и сигнатуру.

1. Умение определять только уже известные вирусы
2. Не способность противостоять проникновению вирусов и прпятствооать их вредительским действиям
3. Неспособность обнаружить полиморфные и стелс-вирусы.

Самой известной программой-сканером в России является Aidstest Дмитрия Лозинского.

2 Метод обнаружения изменений — базируется на использовании программ-ревизоров. Эти программы определяют и запоминают характеристики всех областей на дисках, в которых обычно раз­мещаются вирусы. При периодическом выполнении программ-ревизоров сравниваются хранящиеся характеристики и характери­стики, получаемые при контроле областей дисков. По результатам ревизии программа выдает сведения о предположительном нали­чии вирусов.

Обычно программы-ревизоры запоминают в специальных файлах образы главной загрузочной записи, загрузочных секторов логических дисков, характеристики всех контролируемых файлов, каталогов и номера дефектных кластеров. Могут контролировать­ся также объем установленной оперативной памяти, количество подключенных к компьютеру дисков и их параметры.

Достоинство — является возможность обнару­жения вирусов всех типов, а также новых неизвестных вирусов (обнаруживают даже «стелс»-вирусы). Например, программа-ревизор Adinf, разработанная Д. Ю Мостовым

Недостаток — программ-ревизоров невозможно определить вирус в файлах, которые по­ступают в систему уже зараженными (например, обнаружения зараже­ния макровирусами).

3 Эвристический анализ — как и метод обнаружения изме­нений, данный метод позволяет определять неизвестные вирусы, но не требует предварительного сбора, обработки и хранения ин­формации о файловой системе.

Сущность эвристического анализа заключается в проверке возможных сред обитания вирусов и выявление в них команд (групп команд), характерных для вирусов. Эври­стические анализаторы при обнаружении «подозрительных» ко­манд в файлах или загрузочных секторах выдают сообщение о возможном заражении. После получения таких сообщений необходимо тщательно проверить предположительно зараженные файлы и загрузочные сектора всеми имеющимися антивирусными средствами.

Эвристический анализатор имеется, например, в ан­тивирусной программе Doctor Web.

4 В методе резидентных сторожей используются антивирусные программы, которые постоянно находятся в оперативной памяти компьютера и отслеживают все подозрительные действия, выполняемые другими программами. Резидентный сторож сообщит пользователю о том, что какая-либо программа пытается изменить загрузочный сектор жесткого диска или дискеты, а также выполнимый файл.

Существенным недостатком данного метода является значи­тельный процент ложных тревог, что мешает работе пользователя, вызывает раздражение и желание отказаться от использования резидентных сторожей.

5 Вакцинация программ. Под вакцинацией программ понимается создание специально­го модуля для контроля ее целостности. В качестве характеристи­ки целостности файла обычно используется контрольная сумма. При заражении вакцинированного файла, модуль контроля обна­руживает изменение контрольной суммы и сообщает об этом пользователю. Метод позволяет обнаруживать все вирусы, в том числе и незнакомые, за исключением «стеле»- вирусов.

Если вакцинированная программа не была к моменту вакцинации инфицированной, то при первом же после заражения запуске произойдет следующее.

Активизация вирусоносителя приведет к получению управления вирусом, который, выполнив свои целевые функции, передаст управление вакцинированной программе.

В последней, в свою очередь, сначала управление получит вакцина, которая выполнит проверку соответствия заполненных ею характеристик аналогичным характеристикам, полученным в текущий момент. Если указанные наборы характеристик не совпадают, то делается вывод об изменении текста вакцинированной программы вирусом.

6 Постоянный мониторинг. Программы-мониторы имеют одно коренное отличие от других антивирусов. Дело в том, что они работают резидентно, то есть постоянно загружены в память компьютера. В задачу монитора входит проверка всех уязвимых файлов, к которым обращается любое приложение операционной системы.

В принципе, это самый удобный для пользователя вариант. И действительно, не нужно постоянно помнить о необходимости проверки новых файлов. Не нужно терять время в ожидании, пока сканер проверит все файлы на жестком диске. Программы-мониторы работают постоянно и незаметно для пользователя.

Хотя, с другой стороны, любое резидентное приложение, тем более такое «активное», требует дополнительных затрат системных ресурсов. Поэтому на старых слабых компьютерах антивирусные мониторы могут стать причиной замедленной работы ПК. Второй важный плюс постоянного мониторинга помимо удобства для пользователей — это надежность. И действительно, этот метод, в отличие от остальных, позволяет определить и обезвредить вирус еще до того, как он приступил к своей разрушительной деятельности.

Монитор «перехватывает» обращения операционной системы к файлам и сначала проверяет их. При этом используются оба описанных выше метода — поиск известных сигнатур и эвристический анализ. Если в результате проверки монитор обнаруживает вирус, то доступ к файлу блокируется, а пользователю выдается специальное сообщение с предложением выбрать необходимое действие (попытаться вылечить файл, удалить его, поместить в специальную папку и т. п.). Ну а если объект «чист», то монитор ничего не делает, а приложение, обращавшееся к нему, продолжает свою работу.

Источник: studopedia.org

Методы и технологии борьбы с вредоносными программами

Массовое распространение вирусов, серьезность последствий их воздействия на ресурсы компьютерных систем вызвали необходимость разработки и использования специальных антивирусных средств и методов их применения.

Антивирусные средства применяются для решения следующих задач:

• • обнаружение вирусов;
• • блокирование работы программ-вирусов;
• • устранение последствий воздействия вирусов.

Обнаружение вирусов желательно осуществлять на стадии их внедрения или, по крайней мере, до начала выполнения деструктивных функций вирусов. Необходимо отметить, что не существует антивирусных средств, гарантирующих обнаружение всех возможных вирусов.

При выявлении вируса необходимо сразу же прекратить работу программы-вируса, чтобы минимизировать ущерб от его воздействия на систему.

Устранение последствий воздействия вирусов ведется в двух направлениях:

• • удаление вирусов;
• • восстановление (при необходимости) файлов, областей памяти.

Технология восстановления системы зависит от типа вируса, а также от момента времени обнаружения вируса по отношению к началу вредных действий. Восстановление информации без использования дублирующей информации может быть невыполнимым, если вирусы при внедрении не сохраняют информацию, на место которой они помещаются в память, а также, если вредные действия уже начались и они предусматривают изменения информации. В этих случаях восстановление файлов возможно только с использованием резервной копии или дистрибутива.

Для борьбы с вирусами используются программные и аппаратно-программные средства, которые применяются в определенной последовательности и комбинации, образуя методы борьбы с вирусами, которые подразделяются на методы обнаружения и удаления вирусов.

К методам обнаружения вирусов относятся:

• • сканирование;
• • обнаружение изменений;
• • эвристический анализ;
• • использование резидентных сторожей;
• • вакцинация программ;
• • применение аппаратно-программных антивирусных средств.

Сканирование — один из самых простых методов обнаружения вирусов и применим для обнаружения вирусов, сигнатуры которых уже выделены и являются постоянными. Оно осуществляется программой-сканером (детектором), которая просматривает файлы в поисках опознавательной части вируса — сигнатуры (некоторая характерная только для него последовательность байт). Программа фиксирует наличие уже известных вирусов, за исключением полиморфных, которые применяют шифрование тела вируса, изменяя при этом каждый раз и сигнатуру. При обнаружении вируса программа выводит на экран соответствующее сообщение. Назначение детектора — только обнаружить вирус.

Программы-сканеры, способные не только обнаруживать, но и удалять обнаруженные вирусы, причем хранить не сигнатуры известных вирусов, а их контрольные суммы, называются полифагами (фагами). Основной принцип работы традиционного фага прост — поиск вирусов сводится к поиску их сигнатур и после обнаружения вируса в теле программы фаг обезвреживает его. В большинстве случаев фаг в состоянии благополучно удалить ви рус и восстановить работоспособность испорченных программ. Но это возможно не всегда.

Для эффективного использования метода необходимо регулярное обновление сведений о новых вирусах.

Метод обнаружения изменений базируется на использовании программ-ревизоров, основное назначение которых состоит в контроле возможных путей распространения вирусов. Эти программы определяют и запоминают характеристики всех областей на дисках, в которых обычно размещаются вирусы. При периодическом выполнении программ-ревизоров сравниваются хранящиеся характеристики и характеристики, получаемые при контроле областей дисков. По результатам ревизии программа выдает сведения о предположительном наличии вирусов.

Обычно программы-ревизоры запоминают в специальных файлах образы главной загрузочной записи, загрузочных секторов логических дисков, характеристики всех контролируемых файлов, каталогов и номера дефектных кластеров, объемы установленной оперативной памяти, число подключенных к компьютеру дисков и их параметры.

Главным достоинством метода является возможность обнаружения вирусов всех типов, а также новых неизвестных вирусов. Совершенные программы-ревизоры обнаруживают даже «стелс»-вирусы. Однако этот метод имеет недостатки. С помощью программ-ревизоров невозможно определить вирус в файлах, которые поступают в систему уже зараженными. Вирусы будут обнаружены только после размножения в системе.

Программы-ревизоры непригодны для обнаружения заражения макровирусами, так как документы и таблицы очень часто изменяются.

Метод эвристического анализа сравнительно недавно начал использоваться для обнаружения вирусов. Как и метод обнаружения изменений, данный метод позволяет определять неизвестные вирусы, но не требует предварительного сбора, обработки и хранения информации в файловой системе.

Сущность эвристического анализа заключается в проверке возможных сред обитания вирусов и выявлении в них команд (групп команд), характерных для вирусов. Такими командами мо гут быть команды создания резидентных модулей в оперативной памяти, команды прямого обращения к дискам, минуя ОС. Эвристические анализаторы при обнаружении «подозрительных» команд в файлах или загрузочных секторах выдают сообщение о возможном заражении. После получения таких сообщений необходимо тщательно проверить предположительно зараженные файлы и загрузочные сектора всеми имеющимися антивирусными средствами.

Метод использования резидентных сторожей основан на применении программ-сторожей (фильтров), которые постоянно находятся в оперативной памяти компьютера и отслеживают все действия остальных программ. Технологический процесс применения резидентных сторожей осуществляется следующим образом. В случае выполнения какой-либо программой подозрительных действий (обращение для записи в загрузочные сектора, помещение в оперативную память резидентных модулей, попытки перехвата прерываний и т.п.) резидентный сторож выдает сообщение пользователю. Программа-сторож может загружать на выполнение другие антивирусные программы для проверки «подозрительных» программ, а также для контроля всех поступающих извне файлов (со сменных дисков, в сети).

Существенным недостатком данного метода является значительный процент ложных тревог. Поскольку и вирусы, и обычные программы выполняют одни и те же операции, то невозможно даже выделить класс исключительно «вирусных» операций. Вследствие этого сторож либо вынужден ничего не контролировать и пассивно наблюдать за происходящим, либо «звенеть» при каждой подозрительной операции. Поэтому целесообразно использовать программы-сторожа на самом минимальном уровне контроля (например, отслеживания изменений загрузочных секторов).

Под вакцинацией программ понимается создание специального модуля (вакцины) для контроля целостности файла программы (файла). В качестве характеристики целостности файла обычно используется контрольная сумма. При заражении вакцинированного файла модуль контроля обнаруживает изменение контрольной суммы и сообщает об этом пользователю. Метод позволяет обнаруживать все вирусы, в том числе и незнакомые, за исключением «стелс»-вирусов.

Аппаратно-программные антивирусные средства осуществляют блокирование работы программ-вирусов. В настоящее время для защиты компьютеров используются специальные контроллеры и их программное обеспечение.

Контроллер устанавливается в разъем расширения и имеет доступ к общей шине. Это позволяет ему контролировать все обращения к дисковой системе. В программном обеспечении контроллера запоминаются области на дисках, изменение которых в обычных режимах работы не допускается. Таким образом, можно установить защиту на изменение главной загрузочной записи, загрузочных секторов, файлов конфигурации, исполняемых файлов и др.

При выполнении запретных действий любой программой контроллер выдает соответствующее сообщение пользователю и блокирует работу компьютера.

Аппаратно-программные антивирусные средства обладают рядом достоинств перед программными:

• • работают постоянно;
• • обнаруживают все вирусы, независимо от механизма их действия;
• • блокируют неразрешенные действия, являющиеся результатом работы вируса или неквалифицированного пользователя.

Недостатком этих средств является зависимость от аппаратных средств компьютера, изменение которых ведет к необходимости замены контроллера. Примером аппаратно-программной защиты от вирусов может служить комплекс SHERIFF.

Исходя из выше сказанного, основные назначения рассмотренных антивирусных программ можно коротко представить в таблице (Таблица 1).

Таким образом, для организации эффективной антивирусной защиты необходимо наличие соответствующего антивирусного средства. Несмотря на все разнообразие современных антивирусных программных продуктов, принципы их работы одинаковы. К основным функциям современных антивирусов относятся:

• • сканирование памяти и содержимого дисков по расписанию;
• • сканирование памяти компьютера и файлов в реальном режиме времени с помощью резидентного модуля;
• • выборочное сканирование файлов с измененными атрибутами (размером, датой модификации, контрольной суммой и т.д.);
• • сканирование архивных файлов;
• • распознавание поведения, характерного для компьютерных вирусов;
• • удаленное обновление антивирусного программного обеспечения (ПО), в том числе автоматическое обновление баз данных по вирусам посредством Internet;
• • фильтрация трафика Internet на предмет выявления вирусов в программах и документах, передаваемых посредством протоколов FTP, HTTP.

Таблица 1. Назначение антивирусных программ

Виды антивирусных программ

Источник: ozlib.com