Файл: Исследование проблем борьбы с вирусами и антивирусные программы.pdf

- применять антивирусные программные продукты знаменитых производителей, с автоматическим обновлением сигнатурных баз;

- применять персональный Firewall, который контролирует выход в сеть Интернет с персонального компьютера на основании политик, устанавливаемых самим пользователем;

- ограничить физический доступ к компьютеру посторонних лиц;

- применять внешние носители информации лишь от проверенных источников;

- не открывать компьютерные файлы, полученные от ненадежных источников;

- отключить автозапуск со сменных носителей, что не даст возможности запускаться кодам, находящимся на нем без ведома пользователя (для Windows необходимо gpedit. msc->Административные шаблоны (Конфигурация пользователя) - >Система->Отключить автозапуск->Включен «на всех дисководах») [6, с. 121].

Современные средства защиты от различных форм вредоносных программ включают в себя большое количество программных компонентов и методов обнаружения «хороших» и «плохих» приложений. На сегодняшний день поставщики антивирусных продуктов встраивают в свои программы сканеры для обнаружения «шпионов» и иного вредоносного кода, таким образом, все осуществляется для защиты конечного пользователя. Тем не менее, ни один пакет против шпионских программ не является идеальным. Один продукт может слишком пристально относиться к программам, блокируя их при малейшем подозрении, в том числе «вычищая» и полезные утилиты, которыми пользователь регулярно пользуется. Другой продукт более лоялен к программам, но может пропускать некоторый шпионский код.

В отличие от антивирусных пакетов, которые с регулярностью показывают 100% эффективности по обнаружению вирусных программ в профессиональном тестировании, проводимом такими специалистами, как «Virus Bulletin», ни один пакет против рекламных программ не набирает более 90%, а эффективность множества иных продуктов находится в диапазоне между 70% и 80%.

Это объясняет, почему одновременное использование, к примеру, антишпионской программы и антивируса, наилучшим образом может обеспечить всестороннюю защиту системы от опасностей, которые могут прийти неожиданно. Практика показывает, что один пакет необходимо использовать в качестве постоянного «блокировщика», который загружается каждый раз при включении компьютера, в то время как еще один пакет (или более) должен запускаться, по крайней мере, раз в неделю, чтобы обеспечить дополнительное сканирование. Таким образом, то, что пропустит один пакет, другой сможет обнаружить.

---

Сетевая безопасность

Вопрос безопасности всегда возникал перед компьютерными сетями, но в настоящее время как никогда увеличивается осознание того, в какой степени важна безопасность компьютерных сетей в корпоративных инфраструктурах. На сегодняшний день для любой корпоративной сети необходимо осуществлять четкую политику в области безопасности. Данная политика формируется на основе анализа рисков, определения возможных угроз и критически важных ресурсов.

Политика безопасности сети предприятия выступает итогом оценки риска и определения приоритетных средств и возможных угроз. Средства сети включают в свой состав:

• • Хосты сети (такие как ПК; включает приложения, операционные системы и данные хостов);
  • Устройства сети (такие как коммутаторы, маршрутизаторы и межсетевые экраны);
  • Данные сети (данные, передающиеся по этой сети).

Основополагающими элементами политики в сфере безопасности выступают идентификация, целостность и активная проверка. Идентификация призвана предотвращать угрозу обезличивания и несанкционированного доступа к ресурсам и данным. Целостность обеспечивает защиту от манипулирования данными и подслушивания, поддерживая конфиденциальность и неизменность передаваемой информации. И наконец, активная проверка (или аудит) - это проверка правильности осуществления элементов политики безопасности, она дает возможность обнаруживать несанкционированное проникновение в сеть и атаки типа DoS [3, с. 108].

При создании политики безопасности следует учитывать требование сбалансировать легкость доступа к информации и оптимальный механизм идентификации разрешенного пользователя и обеспечения целостности и конфиденциальности данных. В основе стабильности сети лежат надежность ЭВМ и сетевого оборудования, а также устойчивость каналов связи. Начинать необходимо с правильной конфигурации узла, разумного распределения ответственности и качества сетевого питания (стабильность частоты и напряжения, амплитуда помех). Для решения последней проблемы применяют особые фильтры, мотор-генераторы и UPS (Uninterruptable Power Supply). Выбор того или иного решения зависит от определенных условий, но для серверов применение UPS намного более желательно (так как в иных случаях существует вероятность последующего восстановления дисковой системы, которая может разрушиться из-за отключения питания в момент записи в FAT или dir). При уменьшении напряжения сети переменного тока ниже определенного уровня UPS (около 208v) отключает потребителя от сети и производит питание ЭВМ от ~220v, получаемого от аккумулятора самого UPS. При учете нестабильности напряжения сети в России, можно считать полезным использование активных стабилизаторов на входе UPS.

---

При выборе UPS необходимо учитывать суммарную потребляемую мощность оборудования, которое подключается к источнику питания, и время, в течение которого UPS может работать без напряжения в сети. При этом главная цель UPS - обеспечение завершения операций обмена с диском до того, как осуществится полное обесточивание сервера, или когда будет произведено переключение на резервный канал питания. Это осуществимо при применении специального интерфейса и соответствующего программного обеспечения, которое работает согласно протокола SNMP (рисунок 1.2).

Рисунок 1.2 – Схема подключения UPS [8, с. 48]

Активные разработки в последние годы осуществляются в области систем идентификации, основывающихся на распознавания отпечатков ладони, пальцев, подписи, радужки глаз или голоса. Для данных целей применяются новейшие достижения в сфере быстрых Фурье-преобразований, нейронных сетей и другие. В качестве вводных устройств применяются оптические сканеры, а также резистивные экраны. Для ввода подписи используются специальные планшеты, а также различные методы сравнения и установления идентичности. К числу этих устройств необходимо отнести также генераторы разовых ключей доступа и карты доступа. В последнее время в данный ряд встали и мобильные телефоны, позволяющие идентифицировать владельца (в данном случае имеются в виду многопараметрические системы аутентификации) [11, с. 96].

Так как абсолютная надежность является недостижимой, одним из средств сохранения информации выступает дублирование носителей (к примеру. флеш-накопителей), копирование и сохранение копий в надежном месте. Если раньше для данной цели применялись гибкие диски или магнитные ленты, сегодня их пригодность может подвергаться сомнению. Ленты типа Exabyte емкостью 2.5-10Гбайт (2000 год) еще иногда применяются, однако высокая стоимость таких накопителей ограничивает их применимость (да и скорость записи на них оставляет желать лучшего). Альтернативой им выступают накопители с перезаписываемыми DVD, где стоимость устройства несколько ниже. На сегодняшний день основным средством сохранения больших объемов информации является ее дублирование на независимом жестком диске. Произошло после широкого внедрения компактных жестких дисков емкостью 1 Тбайт и более (появились в 2009 году) [5, с. 127].

Недостаточно периодически осуществлять резервное копирование носителей, хранящих значимую информацию. Необходимо рационально организовать сохранность этих копий. Даже если они хранятся в суперсейфе в том же помещении, что и сервер, система резервного копирования является уязвимой в случае пожара или залива помещения водой. По данной причине резервные копии желательно хранить в другом здании. Иной важной стороной работы с резервными копиями выступает свод правил доступа к ним и методов использования. В особенности важно, чтобы резервные копии с конфиденциальными данными не могли оказаться в чужих руках (кража или потеря laptop'а с резервной копией может быть хорошим примером подобного рода проблем). Для конфиденциальной информации должен применяться строгий запрет резервного копирования на носитель рабочей станции при ознакомлении с документом. Это с неизбежностью приведет к неконтролируемому распространению конфиденциальных данных. Одним из путей повышения безопасности является криптографическая защита информации.

---

Повысить уровень безопасности может географическая привязка машин, которые содержат конфиденциальную информацию (GPS).

Объем копируемых данных растет от года к году. На сегодняшний день объемы резервных копий в крупных вычислительных центрах достигают петабайт, а то и более. Но в любых центрах множество файлов хранится в различных машинах, а иногда и на одной машине можно увидеть несколько копий одного и того же файла. Система резервного копирования, которая исключает дублирование, может значительно поднять эффективность системы копирования.

Решение множества задач безопасности не требует присутствия IT-эксперта.

Из-за постоянного появления Интернет-червей, вирусных программ и иных компьютерных угроз сетевая безопасность является главной заботой владельцев предприятий, даже тех, где эксплуатируются простые сети.

В таблице 1.1 приведены действия по обеспечению информационной защиты на предприятии, упорядоченные по степени сложности.

Таблица 1.1 – Защита сети предприятия [9, с. 75]

Простые задачи	Более сложные задачи	Задачи, требующие профессионального подхода
Установка антивирусного ПО	Ограничение доступа к оборудованию	Установка аппаратного брандмауэра
Использование средств обновления ПО	Установка уровней полномочий	Настройка виртуальной частной сети
Установка защиты от «шпионских» программ	Отключение сетевого доступа для бывших сотрудников	Настройка средств безопасности беспроводной сети
Установка программного брандмауэра	Создание политики для электронной почты и Интернета	Создание процедуры резервного копирования и восстановления данных
Установка ПО для фильтрации нежелательных сообщений	Требование от сотрудников использования сложных паролей	Настройка параметров безопасности базы данных

В заключение следует отметить, что существуют и другие методы обеспечения сетевой безопасности. Ежедневно разрабатываются и появляются все новые средства и способы, призванные не допустить вреда для конфиденциальных данных или их утери. Тем не менее, эта тема стоит очень остро, поскольку одновременно с этим разрабатываются также и новые методы и средства нанесения ущерба для безопасности информации, в частности ее кражи.

В следующей главе рассмотрим основные алгоритмы работы наиболее распространенных антивирусных программных средств.

---

Анализ алгоритмов наиболее распространенных антивирусных программ

Принципы работы антивирусных программ

Для обнаружения, защиты и удаления от компьютерных вирусных программ разработано несколько типов специальных программных средств, которые позволяют уничтожать и обнаруживать вирусы. Такие программы называются антивирусными. Существуют следующие типы антивирусов:

• программы-детекторы;
• программы-доктора, или фаги;
• программы-ревизоры;
• программы-фильтры;
• иммунизаторы или программы-вакцины.

Принцип работы антивирусных программ заключается в обнаружении и удалении вредоносного кода с использованием всего комплекса требуемых технологий. Антивирусные технологии развиваются параллельно с эволюцией вредоносных программных средств, становясь все более изощренными по мере усложнения угроз.

Принципы действия антивирусных программ можно классифицировать несколькими способами. Один из видов классификации базируется на том, какая угроза нейтрализуется – известная или неизвестная вирусным аналитикам и антивирусным компаниям:

1). Реактивная защита – защита от известных угроз с использованием знаний об участках кода и других уникальных особенностях существующих вредоносных программных средств. Для того чтобы такая защита работала успешно, антивирусная программа должна иметь обновленные базы сигнатур.

2). Проактивная защита – защита от новых вредоносных программных средств, которая основывается на знании неуникальных особенностей кода и поведения, которые характерны для деструктивного ПО [12, с. 189].

Еще один тип классификации технологий, которые реализуют принцип антивирусной защиты, основывается на том, какие параметры угроз и потенциально зараженных объектов анализируются при детектировании:

1. Анализ кода подозрительных объектов.
2. Поведенческий анализ подозрительных объектов.
3. Отслеживание изменений файлов, которые хранятся на компьютере, по контрольным суммам и другим признакам.

Антивирусные технологии можно классифицировать и по тому, в каком режиме осуществляется защита:

---