Глава 2. вирусы и антивирусы

Вирусы

Этот враг реален и грозен, и именно вирусные козни становятся причиной доброй половины неприятностей у активных «сетевиков».

Компьютерный вирус — разновидность компьютерных программ, отличительной особенностью которых является способность к размножению (саморепликация). В дополнение к этому вирусы могут без ведома пользователя выполнять прочие произвольные действия, в том числе наносящие вред пользователю и/или компьютеру. По этой причине вирусы относят к вредоносным программам [4].

Неспециалисты ошибочно относят к компьютерным вирусам и другие виды вредоносных программ - программы-шпионы и даже спам. Известны десятки тысяч компьютерных вирусов, которые распространяются через Интернет по всему миру.

Создание и распространение вредоносных программ (в том числе вирусов) преследуется в России согласно Уголовному Кодексу РФ

Переносчиками вирусов в большинстве случаев являются сообщения электронной почты, содержащие вложенные файлы. Зараза может проникнуть в компьютер либо через программы (то есть исполняемые программы с расширением *.exe или *.com), либо через документы Microsoft Office, которые могут содержать вредоносные участки кода. Со стороны картинок и звуковых файлов никакая неприятность грозить вроде бы не может. Получив по почте письмо с прикрепленным к нему картинкой, ничего не подозревая, открываем и обнаруживаем, что под личной картинки скрывается вредоносный вирус «скрипт» [2].

Хитрость создателей вирсу проста - файл, который показался картинкой, имел двойное расширение. Например: WilliamShakespeare.jpg.vbs. Именно второе расширение и является истинным типом файла, в то время как первое является просто частью имени. Поскольку расширение vbs Windows знает, он пряит его от глаз пользователей, оставляя на экране лишь имя WilliamShakespeare.jpg.

Фокус с «двойным расширением» не проходит, если заранее активировать режим отображения типов файлов.

Впрочем, совсем не обязательно, что вирусы сочтут нужным маскироваться. Иногда exe-файлы «вложены» в письмо совершенно открыто. Тут уже совершенно понятно, что речь идет о вирусной атаке, однако и эти программы запускаются пользователями: одним вирусописатель обещают программы для взлома, другим предоставляются обновлением к популярной программе. Кроме того, вирусы можно получить вместе с самими программами – особенно в том случае, если скачивать их с неизвестных серверов.

Последствия от работы вирусов могут быть разными – от полного уничтожения содержимого винчестера до порчи определенных типов файлов. К тому же вирус может разослать собственные копии всем знакомыми, чьи адреса зафиксированы в адресной книге.

Способ справиться с вирусами один – хорошая антивирусная программа. Со свежими, обновляемыми не реже раза в неделю, антивирусными базами. И даже в этом случае подозрительные письма стоит удалять.

В качестве «вложения» в письмо допустимы лишь несколько типов файлов. Абсолютно безопасны (если не считать «фокусов» с двойным расширением) файлы txt, jpg, gif, bmp, tif, mp3, wma. «Условно съедобными» можно признать документы Microsoft Office(doc, xls) и архивы zip и rar. Они могут содержать вирус, но его вполне можно нейтрализовать с помощью антивирусной программы, при условии, что ее базы регулярно обновляются.

А вот список безусловно опасных типов файлов: asx, bas, bat, cmd, com, cpl, crt, exe, inf, ins, js, msc, msi, pif, reg, scf, scr, shs, vbs. Сами по себе эти файлы не опасны. Знаком опасности является только присутствие этих файлов в письме, поскольку каждый из них почти наверняка несет в себе вирусную начинку [2].

Список потенциальных «вирусоносителей» включает еще не один десяток типов файлов. Но эти встречаются чаще других.

«Троянские программы»

Троянская программа (также — троян, троянец, троянский конь) — вредоносная программа, распространяемая людьми. В отличие от вирусов и червей, которые распространяются самопроизвольно.

Название «троянские» восходит к эпизоду в Илиаде, рассказывающем о «Троянском коне» — дарёном деревянном коне, использованном для проникновения в Трою, что и стало причиной падения Трои. В Коне, подаренном в знак лже-перемирия, прятались воины Одиссея, ночью выбравшиеся из Коня и открывшие ворота основным антитроянской армии. Большая часть троянских программ действует подобным образом — маскируется под безвредные или полезные программы, чтобы пользователь запустил их на своем компьютере. Считается, что первым этот термин в контексте компьютерной безопасности употребил Дэниэл Эдвардс, сотрудник NSA, в своём отчёте «Computer Security Technology Planning Study».

«Трояны» — самый простой вид вредоносных программ, сложность которых зависит исключительно от сложности истинной задачи и средств маскировки. Самые примитивные «трояны» (например, стирающие содержимое диска при запуске) могут иметь исходный код в несколько строк [4].

Троянские программы распространяются людьми — как непосредственно загружаются в компьютерные системы злоумышленниками-инсайдерами, так и побуждают пользователей загружать и/или запускать их на своих системах.

Для достижения последнего, троянские программы помещаются злоумышленниками на открытые или индексируемые ресурсы (файл-серверы и системы файлообмена), носители информации, присылаются с помощью служб обмена сообщениями (например, электронной почтой), попадают на компьютер через бреши безопасности или загружаются самим пользователем с адресов полученных одним из перечисленных способов.

Иногда использование троянов является лишь частью спланированной многоступенчатой атаки на определенные компьютеры, сети или ресурсы.

Троянская программа может имитировать имя и иконку существующей, несуществующей, или просто привлекательной программы, компонента, или файла данных (например картинки), как для запуска пользователем, так и для маскировки в системе своего присутствия. Троянская программа может в той или иной мере имитировать или даже полноценно выполнять задачу, под которую она маскируется (в последнем случае вредоносный код встраивается злоумышленником в существующую программу).

В целом, троянские программы обнаруживаются и удаляются антивирусным и антишпионским ПО точно так же, как и остальные вредоносные программы.

Троянские программы хуже обнаруживаются контекстными методами антивирусов (основанных на поиске известных программ), потому что их распространение лучше контролируется, и экземпляры программ попадают к специалистам антивирусной индустрии с большей задержкой, нежели самопроизвольно распространяемые вредоносные программы. Однако эвристические (поиск алгоритмов) и проактивные (слежение) методы для них столь же эффективны.

Антивирусные программы

Антивирусная программа (антивирус) — любая программа для обнаружения компьютерных вирусов, а также нежелательных (считающихся вредоносными) программ вообще и восстановления зараженных (модифицированных) такими программами файлов, а также для профилактики — предотвращения заражения (модификации) файлов или операционной системы вредоносным кодом.

На данный момент антивирусное программное обеспечение разрабатывается в основном для ОС семейства Windows от компании Microsoft, что вызвано большим количеством вредоносных программ именно под эту платформу (а это, в свою очередь, вызвано большой популярностью этой ОС, также как и большим количеством средств разработки, в том числе бесплатных и даже «инструкций по написанию вирусов»). В настоящий момент на рынок выходят продукты и под другие платформы настольных компьютеров, такие как Linux и Mac OS X. Это вызвано началом распространения вредоносных программ и под эти платформы, хотя UNIX-подобные системы всегда славились своей надежностью. Например, известное видео «Mac or PC» шуточно показывает преимущество Mac OS над Windows и большим антивирусным иммунитетом Mac OS по сравнению с Windows [4].

Помимо ОС для настольных компьютеров и ноутбуков, также существуют платформы и для мобильных устройств, такие как Windows Mobile, Symbian, iOS, BlackBerry, Android, Windows Phone 7 и др. Пользователи устройств на данных ОС также подвержены риску заражения вредоносным программным обеспечением, поэтому некоторые разработчики антивирусных программ выпускают продукты и для таких устройств.

Говоря о системах Майкрософт, обычно антивирус действует по схеме: - поиск в базе данных антивирусного ПО "сигнатур" вирусов - если найден инфицированный код в памяти - или оперативной и/или постоянной - запускается процесс карантина и процесс блокируется - зарегистрированная программа обычно удаляет вирус, незарегистрированная просит регистрации, и оставляет систему уязвимой.

В 2009 началось активное распространение так называемых лжеантивирусов – программного обеспечения, не являющегося антивирусным (т.е. не имеющего реального функционала для противодействия вредоносным программам), но выдающим себя за таковое. По сути, лжеантивирусы могут являться как программами для обмана пользователей и получения прибыли в виде платежей за «лечение системы от вирусов», так и обычным вредоносным программным обеспечением.

Что такое FireWall и как его использовать

Вопросом безопасности данных в распределенных компьютерных системах уделяется очень большое внимание. Разработано множество средств для обеспечения информационной безопасности, предназначенных для использования на различных компьютерах с разными операционными стремами. В качестве одного из направлений можно выделить межсетевые экраны (firewall), призванные контролировать доступ к информации со стороны пользователей внешних сетей[1].

FireWall в переводе с английского означает горящая стена (fire - огонь, wall - стена), также часто можно встретить название фаервол (это обозначение firewall только русскими буквами) или Brandmauer это в переводе с немецкого значит тоже самое (brand - гореть, mauer - стена), наиболее часто употребляется как брандмауэр. В народе очень часто firewall называют просто стена или стенка.

FireWall (также называемый файерволлом или межсетевым экраном) – это программный или аппаратный комплекс для разграничения доступа к локальной или глобальной сети. Общий принцип его работы следующий: FireWall отслеживает все устанавливаемые соединения, после просматривает имеющийся у него список правил (заданных пользователем или администратором) и определяет, следует ли разрешить данное соединение или заблокировать [3].

Файерволлы можно разделить на корпоративные и персональные. Корпоративные файерволлы могут быть как программными, так и аппаратными. Они устанавливаются на шлюз между локальной сетью и Интернетом (или на шлюз между двумя подсетями) и в качестве правил для проверки используется тип протокола, адрес сайта и номер порта. Правила для корпоративного файерволла задаются администратором сети.

Персональный файервол – это программа, которая устанавливается непосредственно на компьютер обычного пользователя. Основное отличие персонального файерволла от корпоративного заключается в том, что в его правилах можно задавать не только протокол, адрес и порт для подключения, но и программы, которым разрешено это подключение устанавливать (или наоборот, принимает входящее).

Почти все персональные файерволлы имеют режим обучения, т.е. если для какой-либо программы не создано правила, пользователю выдается сообщение, что программа такая-то попыталась установить соединение по такому-то адресу, после чего вы должны принять решение, разрешать это соединение или нет. Соответственно, если вы выберите «разрешить», то программе будет позволено установить соединение и отправить данные [3].

Таким образом, FireWall не является универсальным решением всех проблем безопасности, как это иногда кажется. Файерволл – это инструмент, который помогает защитить компьютер от атак, но только в том случае, если вы знаете, что вы делаете.

Типичные возможности:

· фильтрация доступа к заведомо незащищенным службам;

· препятствование получению закрытой информации из защищенной подсети, а также внедрению в защищенную подсеть ложных данных с помощью уязвимых служб;

· контроль доступа к узлам сети;

· может регистрировать все попытки доступа как извне, так и из внутренней сети, что позволяет вести учёт использования доступа в Internet отдельными узлами сети;

· регламентирование порядка доступа к сети;

· уведомление о подозрительной деятельности, попытках зондирования или атаки на узлы сети или сам экран;

Вследствие защитных ограничений могут быть заблокированы некоторые необходимые пользователю службы, такие как Telnet, FTP, SMB, NFS, и так далее. Поэтому настройка файрвола требует участия специалиста по сетевой безопасности. В противном случае вред от неправильного конфигурирования может превысить пользу.

Так же следует отметить, что использование файрвола увеличивает время отклика и снижает пропускную способность, поскольку фильтрация происходит не мгновенно.

Проблемы, которые FireWall не решает:

· не защищает узлы сети от проникновения через «люки» (англ. back doors) или уязвимости ПО;

· не обеспечивает защиту от многих внутренних угроз, в первую очередь — утечки данных;

· не защищает от загрузки пользователями вредоносных программ, в том числе вирусов;

Для решения последних двух проблем используются соответствующие дополнительные средства, в частности, антивирусы. Обычно они подключаются к файрволу и пропускают через себя соответствующую часть сетевого трафика, работая как прозрачный для прочих сетевых узлов прокси, или же получают с файрвола копию всех пересылаемых данных. Однако такой анализ требует значительных аппаратных ресурсов, поэтому обычно проводится на каждом узле сети самостоятельно [4].

На данный момент существует большое количество персональных файерволлов: Augnitum Outpost, ZoneAlarm, Kerio Personal Firewall, Kaspersky Antihacker, Tiny Personal Firewall и многие другие. Почти все они примерно одинаковы по функциональности, и различия заключаются в интерфейсе и удобстве использования.

Заключение

В первой главе была рассмотрена проблема защиты информации и её средства. Во второй главе рассмотрены вопросы, связанные с вирусами и антивирусами. В разделе 2.1.рассмотрено влияние вирусов и троянских программ на компьютеры. В данном разделе дается определение понятию «Вирус», «Троянские программы», а так же описываются способы борьбы с ними. В разделе 2.2. рассмотрены антивирусные программы, а так же дается определение FireWall и рассматриваются способы его использования.

Разумеется, в данной работе представлена лишь часть проблем. Если бы было больше времени, то по данной теме можно было бы рассмотреть так же и другие вопросы: защита web-серверов, защита на различный уровнях модели OSI, криптография, а так же изучить законодательный уровень. Проведенные исследования показывают, что разработано множество способов защиты информации, однако, несмотря на все это, до сих пор хакеры взламывают различные серверы и компьютерные системы. Это говорит о том, что проблема защиты информации еще не решена и на ее решение будет потрачено множество сил и времени.

Список используемой литературы

1. Клейменов С.А. Информационная безопасность и защита информации. - М.: Академия, 2008.

2. Леонтьев В.П. Новейшая энциклопедия персонального компьютера 2004.- М.:Олма-Пресс, 2004.

3. http://www.openproj.ru

4. http://ru.wikipedia.org

5. http://corpsite.ru/History/Internet/