Средства борьбы с вирусными атаками

Существует три наиболее значимые группы антивирусных средств:

· Сканеры

· Мониторы

· Ревизоры

Сканеры

Это наиболее распространенный тип антивирусных программ.

Суть их работы заключается в поочередной проверке всех файлов на диске на предмет обнаружения в них вируса. При поиске эти программы используют поиск вирусов по маске (маской или сигнатурой называется характерная часть кода вируса) или с использованием эвристического анализатора. В случае с полиморфными вирусами поиск по маске часто оказывается бесполезным. В таких случаях в «вирусной базе» антивируса храниться код на каком-либо алгоритмическом языке, позволяющий сгенерировать «всевозможные маски» данного вируса и поиск производиться по ним.

Работа эвристического анализатора намного сложнее. Его задача состоит в анализе кода программы. Далее с использованием наработанной статистики анализатор с той или иной степенью точности определяет: заражен файл или нет. Следует особо отметить, что определение заражения с помощью эвристического анализатора носит вероятностный характер. Т.е. в работе «эвристики» могут встречаться «ложные тревоги» и наоборот, с какой-либо вероятностью модификация известного вируса может быть не обнаружена.

Мониторы

Эти программы постоянно висят в памяти и сообщают пользователю обо всех вирусоподобных действиях, происходящих в системе. Работа их сводиться к тому, чтобы, став резидентом, контролировать все возможные каналы проникновения вируса. Таким образом, можно выделить ряд действий, заметив которые, резидентный монитор должен «объявлять тревогу»:

· Запись в исполняемые файлы

· Запись загрузочного сектора дискеты или основной загрузочной записи жесткого диска.

· Попытка стать резидентом

· Попытка форматирования дорожек диска

Еще одной немаловажной задачей резидентного монитора является его способность не только обнаруживать такие действия, но и уметь вовремя блокировать их.

Есть мониторы, которые выполняют так называемую “проверку на лету”. Суть этой проверки заключается в проверке всех файлов, создаваемых на компьютере, запускаемых (в момент запуска), копируемых на компьютер или приходящих по E-Mail.

Основные неудобства, связанные с работой мониторов – это снижение (порой очень заметное) скорости работы компьютера и большое количество “ложных тревог”.

Ревизоры

Принцип действия ревизоров состоит в следующем:

При первом запуске на новом компьютере програма-ревизор составляет для себя базу данных с характеристиками всех важных объектов компьютера. Как правило, сюда входят копии Boot и Master Boor Record, SRC (контрольная сумма всех байт файла. Своеобразная цифровая подпись к файлу) всех исполняемых файлов, местоположение на диске системных и неперемещаемых файлов.

При последующих запусках программа-ревизор проводит повторный сбор подобной информации с компьютера и обо всех изменениях, произошедших в системе, сообщает пользователю.

Пожалуй, единственным большим недостатком в работе ревизоров является то, что они обнаруживают вирус уже после заражения, а если заражение происходит в момент создания или копирования файла, то ревизор может вообще не обнаружить ничего подозрительного.