Борьба с компьютерными вирусами
и. Если информация о файле, записанная в
базе данных, не совпадает с реальными значениями, то CRC-сканеры
сигнализируют о том, что файл был изменен или заражен вирусом.
CRC-сканеры, использующие анти-стелс алгоритмы, являются довольно сильным
оружием против вирусов: практически 100% вирусов оказываются обнаруженными
почти сразу после их появления на компьютере. Однако у этого типа
антивирусов есть врожденный недостаток, который заметно снижает их
эффективность. Этот недостаток состоит в том, что CRC-сканеры не способны
поймать вирус в момент его появления в системе, а делают это лишь через
некоторое время, уже после того, как вирус разошелся по компьютеру. CRC-
сканеры не могут определить вирус в новых файлах (в электронной почте, на
дискетах, в файлах, восстанавливаемых из backup или при распаковке файлов
из архива), поскольку в их базах данных отсутствует информация об этих
файлах. Более того, периодически появляются вирусы, которые используют эту
«слабость» CRC-сканеров, заражают только вновь создаваемые файлы и
остаются, таким образом, невидимыми для них.
Блокировщики
Антивирусные блокировщики — это резидентные программы, перехватывающие
«вирусо-опасные» ситуации и сообщающие об этом пользователю. К «вирусо-
опасным» относятся вызовы на открытие для записи в выполняемые файлы,
запись в boot-сектора дисков или MBR винчестера, попытки программ остаться
резидентно и т.д., то есть вызовы, которые характерны для вирусов в моменты
из размножения.
К достоинствам блокировщиков относится их способность обнаруживать и
останавливать вирус на самой ранней стадии его размножения, что, кстати,
бывает очень полезно в случаях, когда давно известный вирус постоянно
«выползает неизвестно откуда». К недостаткам относятся существование путей
обхода защиты блокировщиков и большое количество ложных срабатываний, что,
видимо, и послужило причиной для практически полного отказа пользователей
от подобного рода антивирусных программ (мне, например, неизвестно ни об
одном блокировщике для Windows95/NT — нет спроса, нет и предложения).
Необходимо также отметить такое направление антивирусных средств, как
антивирусные блокировщики, выполненные в виде аппаратных компонентов
компьютера («железа»). Наиболее распространенной является встроенная в BIOS
защита от записи в MBR винчестера. Однако, как и в случае с программными
блокировщиками, такую защиту легко обойти прямой записью в порты
контроллера диска, а запуск DOS-утилиты FDISK немедленно вызывает «ложное
срабатывание» защиты.
Существует несколько более универсальных аппаратных блокировщиков, но к
перечисленным выше недостаткам добавляются также проблемы совместимости со
стандартными конфигурациями компьютеров и сложности при их установке и
настройке. Все это делает аппаратные блокировщики крайне непопулярными на
фоне остальных типов антивирусной защиты.
Иммунизаторы
Иммунизаторы делятся на два типа: иммунизаторы, сообщающие о заражении, и
иммунизаторы, блокирующие заражение каким-либо типом вируса. Первые обычно
записываются в конец файлов (по принципу файлового вируса) и при запуске
файла каждый раз проверяют его на изменение. Недостаток у таких
иммунизаторов всего один, но он летален: абсолютная неспособность сообщить
о заражении стелс-вирусом. Поэтому такие иммунизаторы, как и блокировщики,
практически не используются в настоящее время.
Второй тип иммунизации защищает систему от поражения вирусом какого-то
определенного вида. Файлы на дисках модифицируются таким образом, что вирус
принимает их за уже зараженные (пример — печально известная строка «MsDos»,
предохраняющая от ископаемого вируса «Jerusalem»). Для защиты от
резидентного вируса в память компьютера заносится программа, имитирующая
копию вируса. При запуске вирус натыкается на нее и считает, что система
уже заражена.
Такой тип иммунизации не может быть универсальним, поскольку нельзя
иммунизировать файлы от всех известных вирусов: одни вирусы считают уже
зараженными файлы, если время создания файла содержит метку 62 секунды, а
другие — 60 секунд. Однако несмотря на это, подобные иммунизаторы в
качестве полумеры могут вполне надежно защитить компьютер от нового
неизвестного вируса вплоть до того момента, когда он будет определяться
антивирусными сканерами.
Какой антивирус лучше?
Какой антивирус самый лучший? Ответ будет — «любой», если на вашем
компьютере вирусы не водятся и вы не пользуетесь вирусо-опасными
источниками информации. Если же вы любитель новых программ, игрушек, ведете
активную переписку по электронной почте и используете при этом Word или
обмениваетесь таблицами Excel, то вам все-таки следует использовать какой-
либо антивирус. Какой именно — решайте сами, однако есть несколько позиций,
по которым различные антивирусы можно сравнить между собой.
Качество антивирусной программы определяется, на мой взгляд, по следующим
позициям, приведенным в порядке убывания их важности:
1. Надежность и удобство работы — отсутствие «зависаний» антивируса и
прочих технических проблем, требующих от пользователя специальной
подготовки.
2. Качество обнаружения вирусов всех распространенных типов, сканирование
внутри файлов-документов/таблиц (MS Word, Excel, Office97),
упакованных и архивированных файлов. Отсутствие «ложных срабатываний».
Возможность лечения зараженных объектов. Для сканеров (см. ниже), как
следствие, важной является также периодичность появления новых версий
(апдейтов), т.е. скорость настройки сканера на новые вирусы.
3. Существование версий антивируса под все популярные платформы (DOS,
Windows, Windows95, Windows NT, Novell NetWare, OS/2, Alpha, Linux и
т.д.), присутствие не только режима «сканирование по запросу», но и
«сканирование на лету», существование серверных версий с возможностью
администрирования сети.
4. Скорость работы и прочие полезные особенности, функции, «припарки» и
«вкусности».
Надежность работы антивируса является наиболее важным критерием, поскольку
даже «абсолютный антивирус» может оказаться бесполезным, если он будет не в
состоянии довести процесс сканирования до конца — «повиснет» и не проверит
часть дисков и файлов и, таким образом, оставит вирус незамеченным в
системе. Если же антивирус требует от пользователя специальных знаний, то
он также окажется бесполезным — большинство пользователей просто
проигнорирует сообщения антивируса и нажмут [OK] либо [Cancel] случайным
образом, в зависимости от того, к какой кнопке ближе находится курсор мыши
в данный момент. Ну а если антивирус будет чересчур часто задавать сложные
вопросы рядовому пользователю, то, скорее всего, он (пользователь)
перестанет запускать такой антивирус или даже удалит его с диска.
Качество детектирования вирусов стоит следующим пунктом по вполне
естественной причине. Антивирусные программы потому и называются
антивирусными, что их прямая обязанность — ловить и лечить вирусы. Любой
самый «навороченный» по своим возможностям антивирус бесполезен, если он не
в состоянии ловить вирусы или делает это не вполне качественно. Например,
если антивирус не детектирует 100% какого-либо полиморфного вируса, то при
заражении системы этим вирусом такой антивирус обнаружит только часть
(допустим 99%) зараженных на диске файлов. Необнаруженными останется всего
1%, но когда вирус снова проникнет в компьютер, то антивирус опять
обнаружит 99%, но уже не от всех файлов, а только от вновь зараженных. В
результате жаражено на диске будет уже 1.99%. И так далее, пока все файлы
на диске не будут заражены при полном молчании антивируса.
Поэтому качество детектирования вирусов является вторым по важности
критерием «лучшести» антивирусной программы, более важным, чем
«многоплатформенность», наличие разнообразного сервиса и т.д. Однако если
при этом антивирус с высоким качеством детектирования вирусов вызывает
большое количество «ложных срабатываний», то его «уровень полезности» резко
падает, поскольку пользователь вынужден либо уничтожать незараженные файлы,
либо самостоятельно производить анализ подозрительных файлов, либо
привыкает к частым «ложным срабатываниям», перестает обращать внимание на
сообщения антивируса и в результате пропускает сообщение о реальном вирусе.
«Многоплатформенность» антивируса является следующим пунктом в списке,
поскольку только программа, рассчитанная на конкретную операционную
систему, может полностью использовать функции этой системы. «Неродные» же
антивирусы часто оказываются неработоспособными, а иногда даже
разрушительными. Например, вирус «OneHalf» поразил компьютер с
установленными на нем Windows95 или WindowsNT. Если для расшифрования диска
(данный вирус шифрует сектора диска) воспользоваться DOS-антивирусом, то
результат может оказаться плачевным: информация на диске окажется
безнадежно испорченной, поскольку Windows 95/NT не позволит антивирусу
пользоваться прямыми вызовами чтения/записи секторов при расшифровке
секторов. Антивирус же, являющийся Windows-программой, справляется с этой
задачей без проблем.
Возможность проверки файлов «на лету» также является достаточно важной
чертой антивируса. Моментальная и принудительная проверка приходящих на
компьютер файлов и вставляемых дискет является практически 100%-й гарантией
от заражения вирусом, если, конечно, антивирус в состоянии детектировать
этот вирус. Очень полезными являются антивирусы, способные постоянно
следить за «здоровьем» серверов — Novell NetWare, Windows NT, а в последнее
время, после массового распространения макро-вирусов, и за по
| |  скачать работу |
Борьба с компьютерными вирусами |
