Тема 3.3. Антивирусные программы
Одним из наиболее эффективных способов борьбы с вирусами является использование антивирусного программного обеспечения. Антивирусная программа – программа, предназначенная для поиска, обнаружения, классификации и удаления компьютерного вируса и вирусоподобных программ.
Вместе с тем необходимо признать, что не существует антивирусов, гарантирующих стопроцентную защиту от вирусов, поскольку на любой алгоритм антивируса всегда можно предложить новый алгоритм вируса, невидимого для этого антивируса.
Самыми популярными и эффективными антивирусными программами являются антивирусные сканеры, CRC-сканеры (ревизоры). Существуют также антивирусы блокировщики и иммунизаторы.
Сканеры. Принцип работы антивирусных сканеров основан на проверке файлов, секторов и системной памяти и поиске в них известных и новых (неизвестных сканеру) вирусов. Для поиска известных вирусов используются так называемые "маски". Маской вируса является некоторая постоянная последовательность кода, специфичная для этого конкретного вируса. Если вирус не содержит постоянной маски или длина этой маски недостаточно велика, то используются другие методы. Примером такого метода является алгоритмический язык, описывающий все возможные варианты кода, которые могут встретиться при заражении подобного типа вирусом. Такой подход используется некоторыми антивирусами для детектирования полиморфик-вирусов.
Во многих сканерах используются также алгоритмы "эвристического сканирования", т. е. анализ последовательности команд в проверяемом объекте, набор некоторой статистики и принятие решения для каждого проверяемого объекта. Поскольку эвристическое сканирование является во многом вероятностным методом поиска вирусов, то на него распространяются многие законы теории вероятностей.
К достоинствам сканеров всех типов относится их универсальность, к недостаткам – размеры антивирусных баз, которые сканерам приходится хранить и пополнять, и относительно небольшая скорость поиска вирусов.
CRC-сканеры. Принцип работы CRC-сканеров основан на подсчете CRC-сумм (контрольных сумм) для присутствующих на диске файлов/системных секторов. Эти CRC-суммы затем сохраняются в базе данных антивируса, как, впрочем, и некоторая другая информация: длины файлов, даты их последней модификации и т. д. При последующем запуске CRC-сканеры сверяют данные, содержащиеся в базе данных, с реально подсчитанными значениями. Если информация о файле, записанная в базе данных, не совпадает с реальными значениями, то CRC-сканеры сигнализируют о том, что файл был изменен или заражен вирусом.
50
Блокировщики. Антивирусные блокировщики – это резидентные программы, перехватывающие "вирусоопасные" ситуации и сообщающие об этом пользователю. К "вирусоопасным" относятся вызовы на открытие для записи в выполняемые файлы, запись в загрузочный сектор диска и др., которые характерны для вирусов в моменты из размножения.
К достоинствам блокировщиков относится их способность обнаруживать и блокировать вирус на самой ранней стадии его размножения, что, кстати, бывает очень полезно в случаях, когда давно известный вирус постоянно активизируется.
Иммунизаторы. Иммунизаторы делятся на два типа: иммунизаторы, сообщающие о заражении, и иммунизаторы, блокирующие заражение какимлибо типом вируса.
Качество антивирусной программы определяется несколькими факторами.
Перечислим их по степени важности:
1.Надежность и удобство работы – отсутствие "зависаний" антивируса
ипрочих технических проблем, требующих от пользователя специальной подготовки.
2.Качество обнаружения вирусов всех распространенных типов, сканирование внутри файлов-документов/таблиц, упакованных и архивированных файлов. Отсутствие "ложных срабатываний". Возможность лечения зараженных объектов.
3.Существование версий антивируса под все популярные платформы
(DOS, Windows, Linux и т. д.).
4.Возможность сканирование "налету".
5.Существование серверных версий с возможностью администрирования сети.
6.Скорость работы.
Учитывая возможные пути проникновения вирусов, приведем основные правила защиты от вирусов.
1.Внимательно относитесь к программам и документам, которые получаете из глобальных сетей.
2.Перед тем, как запустить файл на выполнение или открыть документ /таблицу, обязательно проверьте его на наличие вирусов.
3.Используйте специализированные антивирусы – для проверки "на лету" (например, SpIDer Guard из пакета Dr. Web и др.) всех файлов, приходящих по электронной почте (и из Интернета в целом).
4.Для уменьшения риска заразить файл на сервере администраторам сетей следует активно использовать стандартные возможности защиты сети, такие как: ограничение прав пользователей; установку атрибутов "только на чтение" или "только на запуск" для всех выполняемых файлов (к сожалению, это не всегда оказывается возможным) и т. д.
51
5.Регулярно проверяйте сервер обычными антивирусными программами, для удобства и системности используйте планировщики заданий.
6.Целесообразно запустить новое программное обеспечение на тестовом компьютере, не подключенном к общей сети.
7.Используйте лицензионное программное обеспечение, приобретенное у официальных продавцов.
8.Дистрибутивы копий программного обеспечения (в том числе копий операционной системы) необходимо хранить на защищенных от записи дисках.
9.Пользуйтесь только хорошо зарекомендовавшими себя источниками программ и прочих файлов.
10.Постоянно обновляйте вирусные базы используемого антивируса.
11.Старайтесь не запускать непроверенные файлы, в том числе полученные из компьютерной сети. Перед запуском новых программ обязательно проверьте их одним или несколькими антивирусами.
12.Ограничьте (по возможности) круг лиц допущенных к работе на конкретном компьютере.
13.Пользуйтесь утилитами проверки целостности информации. Такие утилиты сохраняют в специальных базах данных информацию о системных областях дисков (или целиком системные области) и информацию о файлах (контрольные суммы, размеры, атрибуты, даты последней модификации файлов и т. д.).
14.Периодически сохраняйте на внешнем носителе файлы, с которыми ведется работа.
15.При работе с Word/Excel включите защиту от макросов, которая сообщает о присутствии макроса в открываемом документе и предоставляет возможность запретить этот макрос. В результате макрос не только не выполняется, но и не виден средствами Word/Excel.
Существует спектр программных комплексов, предназначенных для профилактики заражения вирусов, обнаружения и уничтожения вирусов. Они обладают универсальностью, гибкостью, адаптивностью и др.
Перечислим наиболее распространенные антивирусные программные комплексы:
– антивирус Касперского (АVP) Personal;
– антивирус Dr/Web;
– антивирус Symantec Antivirus;
– антивирус AntiVir Personal Edition.
Тема 3.4. Особенности безопасности компьютерных сетей
Основной особенностью любой сетевой системы является то, что ее компоненты распределены в пространстве и связь между ними физически осуществляется при помощи сетевых соединений (коаксиальный кабель,
52
витая пара, оптоволокно и т. п.) и программно при помощи механизма сообщений. При этом все управляющие сообщения и данные, пересылаемые между объектами распределенной вычислительной системы, передаются по сетевым соединениям в виде пакетов обмена.
Сетевые системы характерны тем, что наряду с локальными угрозами, осуществляемыми в пределах одной компьютерной системы, к ним применим специфический вид угроз, обусловленный распределенностью ресурсов и информации в пространстве. Это так называемые сетевые или удаленные угрозы. Специфика распределенных вычислительных систем состоит в том, что если в локальных вычислительных сетях наиболее частыми являются угрозы раскрытия и целостности, то в сетевых системах на первое место выходит угроза отказа в обслуживании.
Удаленная угроза – потенциально возможное информационное разрушающее воздействие на распределенную вычислительную сеть, осуществляемая программно по каналам связи. Первые используют уязвимости в сетевых протоколах и инфраструктуре сети, а вторые – уязвимости в телекоммуникационных службах.
Цели сетевой безопасности могут меняться в зависимости от ситуации, но основные цели обычно связаны с обеспечением составляющих информационной безопасности:
–целостности данных;
–конфиденциальности данных;
–доступности данных.
При рассмотрении вопросов, связанных с информационной безопасностью, в современных вычислительных сетях необходимо учитывать следующие факторы:
–глобальную связанность;
–разнородность корпоративных информационных систем;
–распространение технологии "клиент/сервер".
Применительно к системам связи глобальная связанность означает, что речь идет о защите сетей, пользующихся внешними сервисами, основанными на протоколах TCP/IP, и предоставляющих аналогичные сервисы вовне. Весьма вероятно, что внешние сервисы находятся в других странах, поэтому от средств защиты в данном случае требуется следование стандартам, признанным на международном уровне. Национальные границы, законы, стандарты не должны препятствовать защите потоков данных между клиентами и серверами.
Из факта глобальной связанности вытекает также меньшая эффективность мер физической защиты, общее усложнение проблем, связанных с защитой от несанкционированного доступа, необходимость привлечения для их решения новых программно-технических средств, например, межсетевых экранов.
Разнородность аппаратных и программных платформ требует от изготовителей средств защиты соблюдения определенной технологической
53
дисциплины. Важны не только чисто защитные характеристики, но и возможность встраивания этих систем в современные корпоративные информационные структуры. Если, например, продукт, предназначенный для криптографической защиты, способен функционировать исключительно на платформе Wintel (Windows+Intel), то его практическая применимость вызывает серьезные сомнения.
Корпоративные информационные системы оказываются разнородными еще в одном важном отношении – в разных частях этих систем хранятся и обрабатываются данные разной степени важности и секретности.
Использования технологии "клиент/сервер" с точки зрения информационной безопасности имеет следующие особенности:
–каждый сервис имеет свою трактовку главных аспектов информационной безопасности (доступности, целостности, конфиденциальности);
–каждый сервис имеет свою трактовку понятий субъекта и объекта;
–каждый сервис имеет специфические угрозы;
–каждый сервис нужно по-своему администрировать;
–средства безопасности в каждый сервис нужно встраивать поособому.
Особенности вычислительных сетей и, в первую очередь, глобальных, предопределяют необходимость использования специфических методов и средств защиты, например:
–защита подключений к внешним сетям;
–защита корпоративных потоков данных, передаваемых по открытым
сетям;
–защита потоков данных между клиентами и серверами;
–обеспечение безопасности распределенной программной среды;
–защита важнейших сервисов (в первую очередь – Web-сервиса);
–аутентификация в открытых сетях.
Особенностью информационной безопасности, связанную с вычислительными сетями является то, что все четче просматривается незащищенность таких сетей от глобальных атак что усиливает требования к безопасности информации.
Тема 3.5. Классификация удаленных угроз в компьютерных сетях
Удаленные угрозы можно классифицировать по следующим признакам.
1.По характеру воздействия:
–пассивные (класс 1.1);
–активные (класс 1.2).
Пассивным воздействием на распределенную вычислительную систему называется воздействие, которое не оказывает непосредственного влияния на работу системы, но может нарушать ее политику безопасности.
54