Программные вирусы и вопросы их нейтрализации

2.7.2. Программные вирусы и вопросы их нейтрализации

Под программмным вирусом (ПВ) понимается автономно функционирующая программа, обладающая способностью к самовключению в тела других программ и последующему самовоспроизведению и самораспространению в информационно-вычислительных сетях и отдельных ЭВМ. Программные вирусы представляют собой весьма эффективное средство реализации приактически всех угроз безопасности ЛВС. Поэтому вопросы анализа возможностей ПВ и разработки способов противодействия вирусам в настоящее время приобрели значительную актуальность и образовали одно из наиболее приоритетных направлений работ по обеспечению безопасности ЛВС.

Предшественниками ПВ принято считать так называемые “троянские программы”, тела которых содержат скрытые последовательности команд (модули), выполняющие действия, наносящие вред пользователям. Наиболее распространенной разновидностью “троянских программ” являются широко известные программы массового применения (редакторы, игры, трансляторы и т.п.), в которые встроены так называемые “логические бомбы”, срабатывающие по насткплении некоторого события. В свое время разновидностью “логической бомбы” является “бомба с часовым механизмом”, запускаемая в определенные моменты времени. Следует отметить, что “троянские программы” не являются саморазмножающимися и распространяются по ЛВС самими программистами, в частности, посредством общедоступных банков данных и программ.

Принципиальное отличие вирусов от “троянских программ” остоит в том, что вирус после запуска его в ЛВС существует самостоятельно (автономно) и в процессе своего функционирования заражает (инфицирует) программы путем включения (имплантации) в них своего текста. Таким образом, вирус представляет собой своеобразный “генератор “троянских программ”. Программы, зараженные вирусом, называют, также, вирусоносителями.

Зараженные программы (исполняемого файла применительно к наиболее распространенной операционной системе РС-подобных ПЭВМ), как правило, выполняются таким образом, чтобы вирус получил управление раньше самой программы. Для этого он либо встраивается в начало программы, либо имплантируется в ее тело так, что первой командой зараженной программы является безусловный переход на вирус, текст которого заканчивается аналогичной командой безусловного перехода на команду вирусоносителя, бывшую первой до заражения. Получив управление, вирус выбирает следующий файл, заражает его, возможно выполняет какие-либо другие действия, после чего отдает управление вирусоносителю.

“Первичное” заражение происходит в процессе поступления инфицированных программ из памяти одной машины в память другой, причем в качестве средства перемещения этих программ могут использоваться как магнитные носители, так и каналы ЛВС. Вирусы, использующие для размножения каналы ЛВС, принято нахывать сетевыми.

Цикл жизни вируса обычно включает следующие периоды: внедрения, инкубационный, репликации (саморазмножения) и проявления. В течение инкубационного периода вирус пассивен, что усложняет задачу его поиска и нейтрализации. На этапе прояления вирус выполняет свойственные ему целевые функции, например, необратимую коррекцию информации на магнитных носителях.

Физическая структура вируса достаточно проста. Он состоит из “головы” и, возможно, “хвоста”. Под головой вируса подразумевается его компонента, получающая управление первой. Хвост — это часть вируса, расположенная в тексте зараженной программы отдельно от головы. Вирусы, состоящие из одной головы, нахывают несегментированными, состоящие из головы и хвоста — сегментированными.

По характеру размещения в памяти ПЭВМ принято делить вирусы на файловые нерезидентные, файловые резидентные, бутовые, гибридные и пакетные.

Файловый нерезидентный вирус целиком располагается в исполняемом файле, в связи с чем он активизируется только в случае активизации вирусоносителя, а по выполнении необходимых действий возвращает управление самой программе. При этом выбор очередного файла для заражения осуществляется вирусом посредством поиска по каталогу.

Файловый резидентный вирус отличается от нерезидентного тем, что заражает не только исполняемые файлы, находящиеся во внешней памяти, но и оперативную память ПЭВМ. С чисто технологической точки зрения ОП можно считать файлом, к которому применимы все описанные выше способы имплантации. Однако, резидентный вирус отличается от нерезидентного как логической структурой, так и общим алгоритмом функционирования. Резидентный вирус состоит из так называемого инсталлятора и программ обработки прерываний. Инсталлятор получает управление при активизации вирусоносителя и инфицирует оперативную память путем размещения в ней управляющей части вируса и замены адресов в элементах вектора прерываний на адреса своих программ, обрабатывающих эти прерывания. На так называемой фазе слежения, следующей за описанной фазой инсталляции, при возникновении какого-либо прерывания управление получает соответствующая программа вируса. В связи с существенно более универсальной по сравнению с нерезидентными вирусами общей схемой функционирования, резидентные вирусы могут реализовывать самые разные способы инфицирования. Наиболее распространенными способами являются инфицирование запускаемых программ, а также файлов при их открытии или чтении.

Одной из разновидностей резидентных вирусов являются так называемые “бутовые” вирусы. Отличительной особенностью последних является инфицирование загрузочного (бут-сектора) магнитного носителя (гибкого или жесткого диска). При эитом инфицированными могут быть как загружаемые, так и незагружаемые дискеты. Голова бутового вируса всегда находится в бут-секторе (единственном для гибких дисков и одном из двух — для жестких), а хвост — в любой другой области носителя. Наиболее безопасным для вируса способом является размещение хвоста в так называемых псевдосбойных кластерах, логически исключенных из числа доступных для использования. Существенно, что хвост бутового вируса всегда содержит копию оригинального (исходного) бут-сектора. Механизм инфицирования, реализуемый бутовыми вирусами, таков. При загрузке операционной системы с инфицированного диска, вирус, в силу своего положения на нем (независимо от того, с дискеты или с винчестерв производится загрузка) получает управление и копирует себя в оперативную память. Затем он модифицирует вектор прерываний таким образом, чтобы прерывание по обращению к диску обрабатывалось собственным обработчиком прерываний вируса, и запускает загрузчик операционной системы. Благодаря перехвату прерываний “бутовые вирусы” могут реализовать столь же широкий набор способов инфицирования и целевых функций, сколь и файловые резидентные вирусы.

Близость механизмов функционирования бутовых и файловых резидентных вирусов сделала возможным и естественным проявление файлово-бутовых, или гибридных, вирусов, инфицирующих как файлы, так и бут-секторы.

Особенностью пакетного вируса является размещение его головы в пакетном файле. При этом голова представляет собой строку или программу на языке управления заданиями операционной системы.

Сетевые вирусы, называемые, также, автономными репликативными прграммами, или, для краткости, репликаторами, используют для размножения средства сетевых операционных систем ЛВС. Наиболее просто реализуется размножение в тех случаях, когда протоколами ЛВС предусмотрен обмен программами. Однако, как показывает опыт, размножение возможно и в тех случаях, когда указанные протоколы ориентированы только на обмен сообщениями.

Эффекты, вызываемые вирусами в процессе реализации ими целевых функций, принято делить на следующие целевые группы:

искажение информации в файлах либо таблице размещения файлов;

имитация сбоев аппаратных средств;

создание звуковых и визуальных эффектов, таких, например, как отображение сообщений, вводящих оператора в заблуждение или затрудняющих его работу;

инициирование ошибок в программах пользователей или операционной системы.

Наиболее распространенным средством нейтрализации вирусов является использование программных антивирусов. Антивирусы, исходя из реализованного в них подхода к выявлению и нейтрализации вирусов, принято делить на следующие группы: детекторы, фаги, вакцины, прививки, ревизоры и мониторы.

Детекторы обеспечивают выявление вирусов посредством просмотра исполняемых файлов и поиска так называемых сигнатур — устойчивой последовательности байтов имеющихся в телах известных вирусов. Наличие сигнатуры в каком-либо файле свидетельствует об его заражении соответствующим вирусом. Антивирус, обеспечивающий возможность поиска различных сигнатур, называют полидетектором.

Фаги выполняют функции, свойственные детекторам, но, кроме того, “излечивают” инфицированные программы посредством “выкусываеия” (“пожирания”) вирусов из их тел. По аналогии с полидетекторами, фаги, ориентированные на нейтрализацию различных вирусов, именуют полифагами.

В отличие от детекторов и фагов, вакцины, по своему принципу действия напоминают сами вирусы. Вакцина имплантируется в защищаемую программу и запоминает ряд количественных и структурных характеристик последней. Если вакцинированная программа не была к моменту вакцинации инфицированной, то при первом же после заражения запуске произойдет следующее. Активизация вирусоносителя приведет к получению управления вирусом, который, выполнив свои целевые функции, передаст управление вакцинированной программе. В последней, в свою очередь сначала управление получит вакцина, которая выполнит проверку соответствия запомненных ею характеристик аналогичным характеристикам полученным в текущий момент. Если указанные наборы характеристик не совпадают, то делается вывод об изменении вакцинированной программы вирусом. Характеристиками, используемыми вакцинами, могут быть длина программы, ее контрольная сумма и т.п..

Принцип действия прививок основан на учете того обстоятельства, что любой вирус, как правило, помечает инфицируемые программы каким-либо признаком, с тем чтобы не выполнять их повторное заражение. В ином случае имело бы место многократное заражение, сопровождаемое существенным и поэтому легко обнаруживаемым увеличением программы. Прививка, не внося никаких других изменений в текст защищаемой программы, помечает ее тем же признаком что и вирус, который, таким образом, после активизации и проверки наличия укказанного признака, считает ее инфицированной и “оставляет в покое”.

Ревизоры обеспечивают слежение за состоянием файловой системы, используя для этого подход, аналогичный реализованному в вакцинах. Программа-ревизор в процессе своего функционирования выполняет применительно к каждому исполняемому файлу сравнение его текущих характеристик с аналогичными характеристиками, полученными в ходе предшествующего просмотра файлов. Если при этом обнаружится, что согласно имеющейся системной информации файл с момента предшествующего просмотра не обновлялся пользователем, а сравниваемые наборы характеристик не совпадают, то файл считается инфицированным. Характеристики исполняемых файлов, получаемые в ходе очередного просмотра, запоминаются в отдельном файле (файлах), в связи с чем увеличение длин исполняемых файлов, имеющего место при вакцинировании, в данном случае не происходит. Другое отличие ревизоров от вакцин состоит в том, что каждый просмотр исполняемых файлов ревизором требует его повторного запуска.

Монитор представляет собой резидентную программу, обеспечивающую перехват потенциально опасных прерываний, характерных для вирусов, и запрашивающую у пользователей подтверждение на выполнение операций, следующих за прерыванием. В случае запрета или отсутствия подтверждения монитор блокирует выполение пользовательской программы.

Антивирусы рассмотренных типов значительно повышают вирусозащищенность отдельных ПЭВМ и ЛВС в целом, однако, в связи со свойственными им ограничениями, естественно, не являются панацеей. Так, для разработки детекторов, фагов и прививок нужно иметь тексты вирусов, что возможно только для выявленных вирусов. Вакцины обладают потенциальной способностью защиты программ не только от известных, но и от новых вирусов, однако, обнаруживают факт заражения только в тех случаях, когда сами были имплантированы в защищаемую программу раньше вируса. Результативность применения ревизоров зависит от частоты их запуска, которая не может быть больше одного — двух раз в день в связи со значительными затратами времени на просмотр файлоф (порядка 0,5 — 1 ч применительно к жесткому диску емкостью 80 Мбайт). Мониторы контролируют процесс функционирования пользовательских программ постоянно, однако, характеризуются чрезмерной интенсивностью ложных срабатываний, которые вырабатывают у оператора “рефлекс подтверждения” и тем самым, по существу, минимизируют эффект от такого контроля. Следует, также, учитывать, что принципы действия и тексты любых антивирусов доступны разработчикам ПВ, что позволяет им создавть более изощренные вирусы, способные успешно обходить все известные способы защиты.

В связи с изложенным, очевидно, что наряду с созданием антивирусов необходима реализация альтернативных подходов к нейтрализации ПВ: создание операционных систем, обладающих более высокой вирусозащищенностью, разработка аппаратных средств защиты от вирусов и т.п..

Не меньшее значение имеют организационные меры и соблюдение определенной технологии защиты от вирусов, предполагающей выполнение следующих этапов: входной контроль дискет с новым программным обеспечением, сегментацию информации на жестком диске, защиту системых программ от заражения, систематический контроль целостности и архивирование информации.

Похожие работы

Разработка системы управления продвижения изделий фирмы на рынок

Скачать

467691

60

25

... » анализ платежеспособности показал, что предприятие на 01.10.97 является неплатежеспособным, но прогноз платежеспособности положительный. 4. Маркетинговые исследования предприятия и разработка системы управления продвижения изделий фирмы на рынок 4.1. Маркетинговые исследования предприятия ОАО «Волжское Химволокно» производит полиамидные (капроновые) нити текстильного и технического назначения, ...

Разработка системы адаптации персонала холдинговой компании

Скачать

148797

44

13

... каждом последующем уровне управления. Изучение отечественного опыта показало, что, как правило, специальной службы, которая бы занималась вопросами адаптации в организациях, не существует. 2 Разработка системы адаптации персонала ООО «Радио 2.1 Анализ деятельности компании ООО «Радио СИ» 2.1.1 Характеристика компании ООО «Радио СИ» Общество с ограниченной ответственностью «Радио СИ». ...

Внешние факторы, определяющие работу систем управления предприятием

Скачать

68785

0

0

... товарного предложения: качество и ремонтоспособность продукции, а также уровень сервиса и др. 3. Влияние уровня компьютеризации на работу систем управления предприятием Управленческая деятельность выступает в современных условиях как один из важнейших факторов функционирования и развития промышленных фирм. Эта деятельность постоянно совершенствуется в соответствии с объективными требованиями ...

Разработка системы управления акционерным обществом АОА Контур

Скачать

72028

0

0

... структур, осуществляющих эти функции, формирования банков данных, организации коммуни­каций, организации сервисного обслуживания автома­тизированных рабочих мест менеджеров и т. д. 4. Структура и компетенция органов управления акционерным обществом Состав, компетенция и правила организации высших звеньев управления акционерным обществом установле­ны законодательством. Этими звеньями управления, ...