Классификация вредоносных программ
В зависимости от механизма действия вредительские программы делятся на четыре класса:
· «логические бомбы»;
· «сетевые черви» и «сетевые шпионы»;
· «троянские кони»;
· «компьютерные вирусы».
Под логической бомбой (программной закладкой) принято понимать включение в состав программы для ЭВМ некоторой последовательности команд, которые активизируются при определённых условиях (внешний сигнал, выполнение основной программой конкретной операции, наступление определённого времени и т.п.) и блокируют либо видоизменяют программу. Логической бомбой может быть «дремлющий» вирус, который активизируется в строго определённое время (например, вирус «Пятница, 13», который начинает действовать только при совпадении 13-го числа календарного месяца с пятницей как днём недели).
Разновидностью логической бомбы является, так называемый, троянский конь (мифологическая аналогия), представляющий собой подпрограмму, которая действует точно так же как и логическая бомба, только не автономно, а под внешним управлением со стороны злоумышленника. «Троянские кони» характерны для компьютерных сетей, к которым способны подключаться посторонние пользователи. «Троянские кони» заставляют основную программу выполнять незапланированные ранее функции (например, стирать регистрационную информацию, которая должна храниться).
В специальной литературе выделяются и такие вредоносные программы, как сетевые шпионы и сетевые черви. У сетевого шпиона основная задача - перехват определённой информации в сети и передача её на нужный сервер, а оттуда - на определённую рабочую станцию. У сетевого червя несколько иная задача - получение возможности управлять удалённым компьютером, подключённым к сети. Существует мнение, что сетевой червь представляет собой паразитный процесс, который потребляет (истощает) ресурсы системы. Червь может также приводить к разрушению программного обеспечения.
Обычно считают, что компьютерный вирус - это специально написанная небольшая по размерам программа, которая может «приписывать» себя к другим программам (т.е. «заражать» их), а также выполнять нежелательные различные действия на компьютере. Специалисты по компьютерной вирусологии определяют, что обязательным (необходимым) свойством компьютерного вируса является возможность создавать свои дубликаты (не обязательно совпадающие с оригиналом) и внедрять их в вычислительные сети и/или файлы, системные области компьютера и прочие выполняемые объекты. При этом дубликаты сохраняют способность к дальнейшему распространению. Следует отметить, что это условие не является достаточным т.е. окончательным. Вот почему точного определения вируса нет до сих пор, и вряд ли оно появится в обозримом будущем. Следовательно, нет точно определённого закона, по которому «хорошие» файлы можно отличить от «вирусов». Более того, иногда даже для конкретного файла довольно сложно определить, является он вирусом или нет.
Классификация компьютерных вирусов.
Вирусы можно разделить на классы по следующим основным признакам:
· деструктивные возможности;
· особенности алгоритма работы;
· среда обитания.
По деструктивным возможностям вирусы можно разделить на:
· безвредные, т.е. никак не влияющие на работу компьютера (кроме уменьшения свободной памяти на диске в результате своего распространения);
· неопасные, влияние которых ограничивается уменьшением свободной памяти на диске и графическими, звуковыми и прочими эффектами;
· опасные вирусы, которые могут привести к серьёзным сбоям в работе компьютера;
· очень опасные, в алгоритм работы которых заведомо заложены процедуры, которые могут привести к потере программ, уничтожить данные, стереть необходимую для работы компьютера информацию, записанную в системных областях памяти.
Особенности алгоритма работы вирусов можно охарактеризовать следующими свойствами:
· резидентность;
· использование стелс-алгоритмов;
· самошифрование и полиморфичность.
Под термином «резидентность» (DOS-овский термин TSR - Terminate and Stay Resident) понимается способность вирусов оставлять свои копии в системной памяти, перехватывать некоторые события (например, обращения к файлам или дискам) и вызывать при этом процедуры заражения обнаруженных объектов (файлов и секторов). Таким образом, резидентные вирусы активны не только в момент работы заражённой программы, но и после того, как программа закончила свою работу. Резидентные копии таких вирусов остаются жизнеспособными вплоть до очередной перезагрузки, даже если на диске уничтожены все зараженные файлы. Часто от таких вирусов невозможно избавиться восстановлением всех копий файлов с дистрибутивных дисков или backup-копий. Резидентная копия вируса остаётся активной и заражает вновь создаваемые файлы. То же верно и для загрузочных вирусов - форматирование диска при наличии в памяти резидентного вируса не всегда вылечивает диск, поскольку многие резидентные вирусы заражают диск повторно после того, как он отформатирован.
Нерезидентные вирусы, напротив, активны довольно непродолжительное время - только в момент запуска заражённой программы. Для своего распространения они ищут на диске незаражённые файлы и записываются в них. После того, как код вируса передает управление программе-носителю, влияние вируса на работу ОС сводится к нулю вплоть до очередного запуска какой-либо заражённой программы. Поэтому файлы, заражённые нерезидентными вирусами значительно проще удалить с диска и при этом не позволить вирусу заразить их повторно.
Стелс-вирусы теми или иными способами скрывают факт своего присутствия в системе. Наиболее распространённым стелс-алгоритмом является перехват запросов OC на чтение/запись заражённых объектов.
Самошифрование и полиморфичность используются практически всеми типами вирусов для того, чтобы максимально усложнить процедуру детектирования вируса. Полиморфик-вирусы (polymorphic) - это достаточно трудно обнаружимые вирусы, не имеющие сигнатур, т.е. не содержащие ни одного постоянного участка кода. В большинстве случаев два образца одного и того же полиморфик-вируса не будут иметь ни одного совпадения. Это достигается шифрованием основного тела вируса и модификациями программы-расшифровщика.
По среде обитания вирусы можно разделить на:
· файловые;
· загрузочные;
· макровирусы;
· сетевые.
Файловые вирусы либо различными способами внедряются в выполняемые файлы (наиболее распространенный тип вирусов), либо создают файлы-двойники (компаньон-вирусы), либо используют особенности организации файловой системы (link-вирусы).
Внедрение файлового вируса возможно практически во все исполняемые файлы всех популярных ОС. На сегодняшний день известны вирусы, поражающие все типы выполняемых объектов стандартной DOS: командные файлы (BAT), загружаемые драйверы (SYS, в том числе специальные файлы IO.SYS и MSDOS.SYS) и выполняемые двоичные файлы (EXE, COM). Существуют вирусы, поражающие исполняемые файлы других операционных систем - Windows 3.x, Windows95/NT, OS/2, Macintosh, UNIX, включая VxD-драйвера Windows 3.x и Windows95.
Существуют вирусы, заражающие файлы, которые содержат исходные тексты программ, библиотечные или объектные модули. Возможна запись вируса и в файлы данных, но это случается либо в результате ошибки вируса, либо при проявлении его агрессивных свойств. Макро-вирусы также записывают свой код в файлы данных - документы или электронные таблицы, - однако эти вирусы настолько специфичны, что вынесены в отдельную группу.
Загрузочные вирусы заражают загрузочный (boot) сектор флоппи-диска и boot-сектор или Master Boot Record (MBR) винчестера. Принцип действия загрузочных вирусов основан на алгоритмах запуска ОС при включении или перезагрузке компьютера - после необходимых тестов установленного оборудования (памяти, дисков и т.д.) программа системной загрузки считывает первый физический сектор загрузочного диска (A:, C: или CD-ROM в зависимости от параметров, установленных в BIOS Setup) и передаёт на него управление.
При заражении дисков загрузочные вирусы «подставляют» свой код вместо какой-либо программы, получающей управление при загрузке системы. Принцип заражения, таким образом, одинаков во всех описанных выше способах: вирус «заставляет» систему при её перезапуске считать в память и отдать управление не оригинальному коду загрузчика, а коду вируса.
Заражение дискет производится единственным известным способом - вирус записывает свой код вместо оригинального кода boot-сектора дискеты. Винчестер заражается тремя возможными способами - вирус записывается либо вместо кода MBR, либо вместо кода boot-сектора загрузочного диска (обычно диска C:), либо модифицирует адрес активного boot-сектора в Disk Partition Table, расположенной в MBR винчестера.
Макро-вирусы заражают файлы-документы и электронные таблицы нескольких популярных редакторов. Макро-вирусы (macro viruses) являются программами на языках (макро-языках), встроенных в некоторые системы обработки данных (текстовые редакторы, электронные таблицы и т.д.). Для своего размножения такие вирусы используют возможности макро-языков и при их помощи переносят себя из одного заражённого файла (документа или таблицы) в другие. Наибольшее распространение получили макро-вирусы для Microsoft Word, Excel. Существуют также макро-вирусы, заражающие документы Ami Pro и базы данных Microsoft Access.
К сетевым относятся вирусы, которые для своего распространения активно используют протоколы и возможности локальных и глобальных сетей. Основным принципом работы сетевого вируса является возможность самостоятельно передать свой код на удалённый сервер или рабочую станцию. «Полноценные» сетевые вирусы при этом обладают ещё и возможностью запустить на выполнение свой код на удалённом компьютере или, по крайней мере, «подтолкнуть» пользователя к запуску заражённого файла. Пример сетевых вирусов – так называемые IRC-черви.
В соответствии со ст. 16 Закона об информации защита информации представляет собой принятие правовых, организационных и технических мер, направленных на:
п.1. - обеспечение защиты информации от неправомерного доступа, уничтожения, модифицирования, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении такой информации;
п.2 - соблюдение конфиденциальности информации ограниченного доступа;
п.3. - реализацию права на доступ к информации.
Таким образом, классификацию средств защиты информации в ПК можно представить следующим образом (рис. 11.3):
Рис. 11.3. Классификация средств защиты информации в ПК