Основные методы защиты от компьютерных вирусов

Для защиты от вирусов можно использовать:

- общие средства защиты информации, которые полезны также и как страховка от физической порчи дисков, неправильно работающих программ или ошибочных действий пользователей;

- профилактические меры, позволяющие уменьшить вероятность зараже­ния вирусом;

- специализированные программы для защиты от вирусов;

Общие средства защиты информации полезны не только для защиты от вируса. Имеются две основные разновидности этих средств.

копирование информации - создание копий файлов и системных облас­тей дисков;

разграничение доступа предотвращает несанкционированное использо­вание информации, в частности, защиту от изменений программ и данных вирусами, неправильно работающими программами и ошибочными действиями пользователей.

Несмотря на то, что общие средства защиты информации очень важны для защиты от вирусов, все же их одних недостаточно. Необходимо и при­менение специализированных программ для защиты от вирусов. Эти прог­раммы можно разделить на несколько видов: детекторы, доктора (фаги), ревизоры (программы контроля изменений в файлах и системных областях дисков), доктора-ревизоры, фильтры (резидентные программы для защиты от вирусов) и вакцины (иммунизаторы). Сейчас мы приведем только крат­кие определения этих понятий, а затем рассмотрим их более подробно.

Программы-детекторы позволяют обнаруживать файлы, зараженные од­ним из нескольких известных вирусов.

Программы-доктора, или фаги, “лечат” зараженные программы или диски, “выкусывая” из зараженных программ тело вируса, т.е. восстанав­ливая программу в том состоянии, в котором она находилась до заражения вирусом.

Программы-ревизоры сначала запоминают сведения о состоянии прог­рамм и системных областей дисков, а затем сравнивают их состояние с исходным. При выявлении несоответствий об этом сообщается пользовате­лю.

Доктора-ревизоры - это гибриды ревизоров и докторов, т.е. прог­раммы, которые не только обнаруживают изменения в файлах и системных областях дисков, но и могут в случае изменений автоматически вернуть их в исходное состояние.

Программы-фильтры располагаются резидентно в оперативной памяти компьютера и перехватывают те обращения к операционной системе, кото­рые используются вирусами для размножения и нанесения вреда, и сообща­ют о них пользователю. Пользователь может разрешить или запретить вы­полнение соответствующей операции.

Программы-вакцины, или иммунизаторы, модифицируют программы и диски таким образом, что это не отражается на работе программ, но тот вирус, от которого производится вакцинация, считает эти программы или диски уже зараженными. Эти программы крайне неэффективны и далее не рассмат­риваются.

 

Стратегия защиты от вирусов

Ни один тип антивирусных программ по отдельности не дает, к сожа­лению, полной защиты от вирусов. Поэтому никакие простые советы типа “вставьте команду запуска Aidstest в AUTOEXEC.BAT” не будут достаточ­ными. Наилучшей стратегией защиты от вирусов является многоуровневая, “эшелонированная” оборона. Опишем структуру этой обороны.

Средствам разведки в “обороне” от вирусов соответствуют програм­мы-детекторы, позволяющие проверять вновь полученное программное обес­печение на наличие вирусов.

На переднем крае обороны находятся программы-сторожа (или филь­тры) - это резидентные программы для защиты от вируса. Эти программы могут первыми сообщить о работе вируса и предотвратить заражение прог­рамм и дисков.

Второй эшелон обороны составляют программы-ревизоры, программы доктора и доктора-ревизоры. Ревизоры обнаруживают нападение вируса да­же тогда, когда он сумел “просочиться” через передний край обороны. Программы-доктора применяются для восстановления зараженных программ, если ее копий нет в архиве, но они не всегда лечат правильно. Докто­ра-ревизоры обнаруживают нападение вируса и лечат зараженные програм­мы, причем контролируют правильность лечения.

Самый глубокий эшелон обороны - это средства разграничения досту­па. Они не позволяют вирусам и неверно работающим программам, даже ес­ли они проникли в компьютер, испортить важные данные.

И наконец, в “стратегическом резерве” находятся архивные копии информации и “эталонные” дискеты с программными продуктами. Они позво­ляют восстановить информацию при ее повреждении.

Программы-фильтры

Одной из причин, из-за которых стало возможным такое явление, как компьютерный вирус, является отсутствие в операционной системе MS DOS эффективных средств для защиты информации от несанкционированного дос­тупа. Из-за отсутствия средств защиты компьютерные вирусы могут неза­метно и безнаказанно изменять программы, портить таблицы размещения файлов и т.д.

В связи с этим различными фирмами и программистами разработаны программы-фильтры, или резидентные программы для защиты от вируса, ко­торые в определенной степени восполняют указанный недостаток DOS. Эти программы располагаются резидентно в оперативной памяти компьютера и “перехватывают” те обращения к операционной системе, которые использу­ются вирусами для размножения и нанесения вреда. Такими “подозритель­ными” действиями являются, в частности, изменение.COM и.EXE-файлов, снятие с файла атрибута “только для чтения”, прямая запись на диск (запись по абсолютному адресу), форматирование диска, установка “рези­дентной” (постоянно находящейся в оперативной памяти) программы.

При каждом запросе на “подозрительное” действие на экран компь­ютера выводится сообщение о том, какое действие затребовано и какая программа желает его выполнить. Можно либо разрешить выполнение этого действия, либо запретить его. Если указанное в сообщении действие не нужно для выполнения данной программы (например, никакая программа не должна изменять командный процессор COMMAND.COM), то это действие сле­дует запретить, так как оно скорее всего вызвано вирусом.

Некоторые программы-фильтры не “ловят” подозрительные действия, а проверяют вызываемые на выполнение программы на наличие вирусов. Это, понятно, вызывает замедление работы компьютера.

Степень защиты, обеспечиваемую программами-фильтрами, не следует переоценивать, поскольку многие вирусы для своего размножения и нане­сения вреда обращаются непосредственно к программам операционной сис­темы (BIOS), не используя стандартный способ вызова этих программ че­рез прерывания, а резидентные программы для защиты от вируса перехва­тывают только эти прерывания. Кроме того, программы-фильтры не помога­ют от заражения винчестера вирусами, которые распространяются через загрузочный сектор, поскольку такое заражение происходит при загрузке DOS, т.е. до запуска любых программ или установки драйверов.

Однако преимущества использования программ-фильтров весьма значи­тельны - они позволяют обнаружить многие вирусы на самой ранней ста­дии, когда вирус еще не успел размножиться и что-либо испортить. Тем самым можно свести убытки от вируса к минимуму.

Программы-детекторы. Программы-детекторы позволяют обнаруживать файлы, зараженные од­ним из нескольких известных вирусов. Некоторые программы-детекторы также выполняют эвристический анализ файлов и системных областей дис­ков, что часто (но отнюдь не всегда) позволяет обнаруживать новые, не известные программе-детектору, вирусы. Многие программы-детекторы поз­воляют также “лечить” зараженные файлы или диски, удаляя из них вирусы (лечение поддерживается только для вирусов, известных программе-детек­тору).

11.7. Программы - ревизоры

Программы-ревизоры имеют две стадии работы. Сначала они запомина­ют сведения о состоянии программ и системных областей дисков (загру­зочного сектора и сектора с таблицей разбиения жесткого диска). Пред­полагается, что в этот момент программы и системные области дисков не заражены. После этого с помощью программы-ревизора можно в любой мо­мент сравнить состояние программ и системных областей дисков с исход­ным. О выявленных несоответствиях сообщается пользователю.

Многие пользователи включают команду запуска программы-ревизора в командный файл AUTOEXEC.BAT, чтобы проверка состояния программ и дис­ков проходила при каждой загрузке операционной системы. Это позволяет обнаружить заражение компьютерным вирусом, когда он еще не успел на­нести большого вреда. Более того, та же программа-ревизор сможет найти поврежденные вирусом файлы.

Анализ изменений. Многие программы-ревизоры являются довольно “интеллектуальными” - они могут отличать изменения в файлах, вызванные, например, переходом к новой версии программы, от изменений, вносимых вирусом, и не поднимают ложной тревоги, мешая Вам работать. Дело в том, что вирусы обычно изменяют файлы весьма специфическим образом и производят одинаковые изменения в разных программных файлах. Понятно, что в нормальной ситуации такие изменения практически никогда не встречаются, поэтому программа-ревизор, зафиксировав факт таких изме­нений, может с уверенностью сообщить, что они вызваны именно вирусом.

Невидимые вирусы. Следует заметить, что многие программы-ревизоры не умеют обнаруживать заражение “невидимыми” вирусами, если такой ви­рус активен в памяти компьютера. Но некоторые программы-ревизоры, нап­ример ADinf фирмы “Диалог-Наука”, все же умеют делать это, не исполь­зуя вызовы DOS для чтения диска (правда, они работают не на всех дис­ководах). Другие программы часто используют различные полумеры: пыта­ются обнаружить вирус в оперативной памяти, требуют вызова из файла AUTOEXEC.BAT, надеясь работать на “чистом” компьютере, и т.д. Увы, против некоторых “хитрых” вирусов все это бесполезно. Если Вы имеете такую программу-ревизор, запускайте хотя бы время от времени ее “чис­тую” копию с защищенной от записи дискеты после перезагрузки DOS с та­кой дискеты.

Режимы проверки. Для проверки того, не изменился ли файл, некото­рые программы-ревизоры проверяют длину файла. Но эта проверка недоста­точна - некоторые вирусы не изменяют длину зараженных файлов. Более надежная проверка - прочесть весь файл и вычислить его контрольную сумму. Изменить файл так, чтобы его контрольная сумма осталась преж­ней, практически невозможно. Но полностью читать все проверяемые файлы на диске весьма долго.

Чтобы обеспечить и достаточную надежность проверки, и приемлемое время ее проведения, многие программы-ревизоры имеют режим, в котором они проверяют неизменность только критически важных участков программ­ных файлов, которые чаще всего и меняются вирусом: заголовка EXE-фай­ла, первых выполняемых команд файла и т.д. Это позволяет проводить ежедневную проверку наличия изменений в файлах. А для особо строгой проверки такие программы-ревизоры обычно имеют и режим полного чтения файла.

Доктора - ревизоры. В последнее время появились очень полезные гиб­риды ревизоров и докторов- программы, которые не только обнаруживают изменения в файлах и системных областях дисков, но и могут в случае изменений автоматически вернуть их в исходное состояние.Такие програм­мы могут быть гораздо более универсальными, чем программы-доктора, поскольку при лечении они используют заранее сохраненную информацию о состоянии файлов и областей диска. Это позволяет им вылечивать файлы даже от тех вирусов, которые не были созданы на момент написания прог­раммы.

Конечно, доктора-ревизоры - это не панацея. Они могут лечить не от всех вирусов, а только от тех, которые используют “стандартные”, известные на момент написания программы, механизмы заражения файлов. Кроме того, никто не может излечить программы при заражении вируса­ми” грубиянами” типа AIDS, которые записывают себя в середину программ, не заботясь о том, будет ли после этого работать программа или нет. Но все же защита от 90-95% вирусов - это совсем неплохо. В качестве при­мера докторов-ревизоров можно привести ADinf+ADinfExt фирмы “Диа­лог-Наука” и комплексную антивирусную систему AVSP фирмы “Диалог-МГУ”.

Профилактика против заражения вирусом. Известно, что легче предупредить болезнь, чем лечить ее. Если квалифицированно и своевременно будут применяться меры “компьютерной гигиены”, то на компьютере вряд ли заведутся вирусы. Во-первых, необ­ходимо использовать общие меры, обеспечивающие сохранность данных: ре­гулярное создание резервных копий, использование методов ограничения доступа к данным и т.д. Во-вторых, выполнить следующие мероприятия:

1. Все поступающие извне данные должны подвергаться проверке. С этой целью все принесенные дискеты или полученные извне (по электрон­ной почте, по сетям) файлы перед использованием следует проверить на наличие вируса с помощью программ-детекторов. Не используйте и не за­пускайте принесенные извне программы, если их назначение Вам непонят­но. Если полученные файлы содержатся в архивах, следует извлечь их из архива и проверить программами-детекторами сразу после этого. Если файлы из архивов можно извлечь только программой установки пакета программ, то надо выполнить установку этого пакета и сразу после этого проверить записанные на диск файлы. Установка пакета должна проводить­ся при включенной резидентной программе-стороже для защиты от вирусов. Не следует переписывать программное обеспечение с других компьютеров, так как оно может быть заражено вирусом.

2. Необходимо проводить ежедневную проверку дисков на наличие ви­русов. Один способ - вставить в командный файл AUTOEXEC.BAT, выполняе­мый при начальной загрузке DOS, вызов программы или командного файла для проверки на наличие вирусов. При использовании антивирусного комп­лекта DSAV “Диалог-Наука” можно из файла AUTOEXEC.BAT, вызвать команд­ный файл, запускающий программу-ревизора ADinf, который составляет список измененных файлов, используемый затем программами-детекторами Aidstest и Dr.Web (это позволяет существенно сократить время провер­ки). Пример такого командного файла включен в комплект поставки анти­вирусного комплекта DSAV.

При работе в среде Windows, Windows-95 и т.д. для ежедневного вы­полнения проверки на наличие вирусов можно использовать программы-пла­нировщики типа Scheduler из Norton Desktop for Windows, System Agent из Microsoft Plus! (пакета дополнений для Windows 95), Norton Comman­der Scheduler из Norton Commander для Windows 95 и т.д.

3. Особо следует сказать о защите от вирусов документов Word для Windows. Вирусы, заражающие документы Word для Windows, запускаются благодаря тому, что в них имеется макрокоманда AutoOpen, автоматически запускающаяся при открытии документа. Однако запуск этой макрокоманды (как и других AutoExec, AutoNew, AutoClose и AutoExit, выполняющихся при запуске Word, создании нового документа, закрытий документа и вы­ходе из Word) блокируется при нажатии клавиши Shift. Так что Вы можете нажимать Shift при открытии полученных со стороны документов, и ника­кой вирус, заражающий документы Word для Windows, Вам будет не стра­шен.

4. Обновление версий антивирусных программ необходимо делать еже­месячно, так как новые вирусы появляются еженедельно. Для некоторых программ (Norton AntiVirus) для обновления не надо приобретать новую версию программы, а следует лишь переписать с помощью модема новую версию базы данных со сведениями о вирусах. Обычно это можно делать бесплатно. Фирма “Диалог-Наука” позволяет приобрести годовой абоне­мент, позволяющий получать самые последние версии программ AidsTest, Doctor Web, ADinf и ADinfExt либо по почтовой рассылке, либо по элект­ронной почте. Обновление версий происходит не реже одного раза в ме­сяц.

 

Заключение. Действия при заражении вирусом

Вы можете подозревать наличие вируса, если:

антивирусная программа сообщает об обнаружения неизвестного виру­са;

на экран или принтер начинают выводиться посторонние сообщения, символы и т. д.;

некоторые файлы оказываются испорченными;

некоторые программы перестают работать или начинают работать неп­равильно;

работа на компьютере существенно замедляется.

При заражении компьютера вирусом (или при подозрении на это) важ­но соблюдать пять правил.

1. Прежде всего не надо торопиться и принимать опрометчивые реше­ния. Непродуманные действия могут привести к потере части данных, ко­торые можно было бы восстановить, а также к повторному заражению компьютера.

2. Немедленно выключите компьютер, чтобы вирус не продолжал своих разрушительных действий.

3. Все действия по обнаружению вида заражения и лечению компьюте­ра следует выполнять только при правильной загрузке компьютера с защи­щенной от записи “эталонной” дискеты с операционной системой. При этом следует использовать только программы (исполняемые файлы), хранящиеся на защищенных от записи дискетах.

4. Лечение от вируса обычно несложно, но иногда (при существенных разрушениях, причиненных вирусом) оно бывает затруднительным. Если у пользователя нет должного опыта, то целесообразно прибегнуть к помощи коллег.

5. Лечение компьютера от вируса - процесс творческий, поэтому лю­бые рекомендации по этому поводу не надо воспринимать как догму. Тем более, что вирусы очень часто изменяются и поэтому методы борьбы с ни­ми также должны меняться.

Использование резидентной программы-сторожа позволяет обнаружить вирус на самом раннем этапе, когда он не успел еще активизироваться, заразить другие программы или диски и испортить какие-либо данные.

Когда вирус активизировался, а значит уже заразил или испортил данные на дисках компьютера, то надо перегрузить компьютер, начать вы­явление вируса и затем лечение.

Правильно компьютер должен перезагружаться так:

1. Приготовьте безвирусную, защищенную от записи системную дискету. Вставьте дискету в дисковод компьютера.

2. Нажмите на кнопку перезагрузки - RESET или выключите и снова включите компьютер.

3. Сразу после начала загрузки в ответ на приглашение нажмите клави­ши входа в программу конфигурирования компьютера - SETUP.

4. Проверьте правильность установки, порядка загрузки. Если загрузка происходит сначала с жесткого диска, а затем с дискеты, то эту установку надо выключить.

5. Выйдите из программы конфигурирования и сохраните конфигурацию.

6. Загрузите компьютер с системной дискеты и при этом вирус не будет запущен.

Лечение начинается программами-детекторами, которыми поочередно проверяются все логические диски. При обнаружении вируса следует по справочнику выяснить возможные последствия заражения и меры по их уст­ранению. Если вирус безобидный, то кроме его удаления ничего делать не надо. Если вирус изменил некоторые участки жесткого диска, то вероят­нее всего, придется заново инсталлировать на диск поврежденные файлы.

Если программа-детектор не обнаружила вирусы, то следует запус­тить программу ревизор, которая после обнаружения вируса предлагает его исправить или отказаться от исправления. В большинстве случаев ле­чение происходит успешно. Иногда теряется часть данных. Реже повреж­денный файл следует удалить и затем восстановить его из других источ­ников.

После окончания лечения диска следует проверить целостность фай­ловой системы и поверхности диска программой Norton Disk Doctor. Если повреждения файловой системы значительны, то целесообразно скопировать с диска на дискеты все нужные файлы, резервных копий которых не имеет­ся, заново отформатировать диск, а затем заново установить все пакеты программ с дистрибутивов, а собственные данные - с резервных копий.

Для исключения повторного заражения вирусом с дискет, все дискеты должны быть проверены антивирусными программами.

ЛИТЕРАТУРА

1. Ахметов К.С. Курс молодого бойца - 2-е изд.,перераб. и доп. М., 1996. - 380 с.

2. Бугомирский Б.С. Руководство пользователя ПЭВМ. В 2-х ч. С.-Пб., 1994. –736 с.

3. Власов В.К., Королев Л.Н., Сотников А.Н. Элементы информатики / Под ред. Королева Л.Н. М.,1988. -320 с.

4. Громов Г.Р. Национальные информационные ресурсы: проблемы промышленной эксплуатации. М., 1984, -240 с.

5. Заморин А.П., Марков А.С. Толковый словарь по вычислительной технике и программированию. Основные термины: около 3000 тер­минов. М., 1987. -221 с.

6. Информатика и вычислительная техника / Под ред. Ларионова В.Н. М., 1998. - 287 с.

7. Першиков В.И., Савинков В.М. Толковый словарь по информатике. М., 1991. -543 с.

8. Фигурнов В.Э. IBM PC для пользователя. Краткий курс. изд.7-е. М., 1997. - 480 с.

9. Фигурнов В.Э. IBM PC для пользователя. От начинающего - до опытного Изд.7-е. Перераб. и доп. М.,1997.- 640 с.