Невосприимчивость к заражению вирусами

Методы и средства антивирусной защиты

Методы и средства антивирусной защиты по своему характеру действия можно разделить на четыре вида:

· создание условий невосприимчивости к заражению компьютерными вирусами;

· обнаружение и защита от вирусов в статике процессов;

· обнаружение и защита от вирусов в динамике процессов;

· организационно-правовые меры противодействия вирусным атакам.

Невосприимчивость к заражению вирусами

Для биологических систем существует понятие иммунитета в отношении заражения вирусом, то есть способности противодействия заражению организма или причинению ему вреда.

Методы создания своеобразного иммунитета существуют и в компьютерной вирусологии.

Одной из причин широкого распространения компьютерных вирусов является стандартизация программного обеспечения компьютерных и телекоммуникационных сред. Вирусы активно используют стандартную систему прерываний, общепринятую маркировку исполняемых файлов, единую структуру организации хранения данных.

Целенаправленное и, безусловно, временное на период неактивного состояния программ, изменение этих компонентов сделает систему нестандартной, и, следовательно, вирус, использующий стандартные уязвимости, не сможет заражать и размножаться в изменённой среде.

В качестве примера подобного рода преобразований наиболее критичных программ можно привести простейшее защитное мероприятие – переименование пользовательских программ с расширением .COM и .EXE в файлы с другим расширением, например, .XXX и .YYY соответственно. Тогда вирусы, заражающие программы пользователя и использующие для их идентификации расширения .COM и .EXE, не смогут репродуцировать себя в переименованные файлы.

Для запуска на выполнение переименованную программу необходимо скопировать и копию переименовать в исходное состояние.

Иммунитет можно создать и за счёт так называемых прививок.

Большинство вирусов не заражает повторно уже заражённую программу. При этом вирус проверяет своё наличие в программе (или в оперативной памяти в случае резидентного вируса) по определённому, принадлежащему только ему признаку. В качестве признаков вирус обычно рассматривает уникальный набор символов или наличие нестандартного прерывания (для резидентных вирусов).

Если этот признак для известных вирусов заранее уже внесён, хотя на самом деле программа не заражена, то такая программа воспринимается вирусом как инфицированная, и заражения не происходит.

Невосприимчивость к заражению вирусом можно добиться и процедурой вакцинации. Создаётся специальная программа-вакцина, которая внедряется в защищаемую программу, подобно вирусу, и запоминает ряд характеристик этой программы. В качестве характеристик могут быть:

· длина некоторых исполняемых модулей;

· последовательность машинных слов в окрестности точки входа в программу;

· вычисление и запоминание контрольной суммы программы и т.д.

При запуске защищённой программы первой получает управление программа-вакцина (сразу или после вируса, если защищённая программа заражена, но не испорчена). Программа-вакцина проверяет текущее состояние исполняемой программы и предпринимает в случае её заражения соответствующие действия (выдаёт сообщение, осуществляет восстановление).

Все перечисленные приёмы и методы требуют соответствующих операционных затрат и могут быть использованы при определённых условиях в отношении критичных программ. Для автоматизированных систем в целом необходимо иметь общесистемный аппарат обнаружения и противодействия вирусам. Такие антивирусные комплексы созданы, например, комплекс программ AIDSTEST Д.Н. Лозинского или комплекс Dr.Web. Основными их особенностями являются режимы использования в так называемой статике процессов.