Розділ «16. Технології забезпечення безпеки інформаційних систем»

Характеристика вірусу - це кількісно вимірювальна властивість, яка допускає просте визначення і розрізняється для більшості типів вірусів. Наприклад, для файлових вірусів як характеристика може використовуватись величина приросту довжини файлу про зараженні.

Суфікс використовується у разі, якщо два різних віруси мають однаковий префікс та характеристику.

Наприклад, вірус з кодовим позначенням RCE-1813 є бутовим, що інфікує com- та exe-файли, додаючи до них 1813 байт.

В процесі реалізації вірус викликає в комп'ютерній системі ряд ефектів, які однозначно стверджують про його присутність:

o спотворення інформації у файлах або таблиці розміщення файлів (FAT);

o імітація порушень в роботі апаратного забезпечення;

o створення звукових і візуальних ефектів, наприклад, сигнали точного часу через кожну годину або віконечко з написом "Комп'ютер створено не для ігор!!!"

o повідомлення неправдивого змісту про стан системи, що ускладнюють роботу користувача;

o ініціювання помилок в програмах або ОС;

o зчитування з пам'яті і переміщення в інше місце інформації.

Хробаки та рекламні системи Adware. Хробак - це програма, яка розповсюджується через комп'ютерну мережу і не залишає своєї копії на магнітному носії. Хробак використовує механізм підтримки мережі для визначення вузла, який може бути заражений. Потім за допомогою тих самих механізмів передає своє тіло або його частину на цей вузол і активізується, або чекає сприятливих умов. Найсприятливішим середовищем для розповсюдження хробака є мережа, де користувачі довіряють один одному. Найкращім способом захисту від програм-хробаків є створення умов для неможливості несанкціонованого доступу до мережі.

У вірусу і хробака є спільною здатність до відтворення самих себе. Хробак копіює себе при першій нагоді. На відміну від вірусу, хробаку не потрібен носій.

Хробак може поширювати себе за допомогою пошти, ICQ чи інших засобів комунікації. Автори вірусів останнім часом почали все частіше використовувати програми, які самі по собі не є шкідливими, але залишають в системі троянську програму або завантажують її з Інтернету. Такі програми часто застосовують і для встановлення без відома користувача так званих Adware та Pornware програм, які не є вірусами, проте збирають інформацію про користувача. Adware - це програми, що відображають рекламу, іноді банери, без відома та згоди користувача. Pornware - програми, що з'єднуються із платними сайтами "для дорослих" також без відома та згоди користувача.

Жадібні програми (greedy programs). Вони намагаються монополізувати який-небудь ресурс, не даючи іншим програмам можливості використати його. Безпосередній атаці в більшості випадків піддаються такі об'єкти системи, як процесор, оперативна пам'ять, пристрої вводу-виводу.

Критична ситуація може виникнути тоді, коли "жадібна" програма виконує нескінчений цикл. Оскільки в багатьох ОС час використання процесора для однієї програми є обмеженим і контролюється системою, то "жадібна" програма може перехоплювати асинхронне до основної програми повідомлення про закінчення операцій вводу-виводу і посилати запит на новий ввід. Так можна досягти зациклення без можливості втручання ОС. Такі атаки називають також асинхронними.

Інший варіант "жадібної" програми - захоплення дуже великої ділянки оперативної пам'яті. Це є можливим, наприклад, при послідовному розміщенні в ОП великого обсягу даних, що надходять з зовнішнього носія (забивання пам'яті).

У галузі вірусів необхідно відзначити, що в 2004 році вперше з'явились загрози безпеці мобільних пристроїв. В червні був створений перший вірус для мобільних телефонів Саbir. Він представляв собою першу спробу - чи можливо взагалі заразити ПЗ мобільного телефону? Виявилось, що так. Тоді в липні з'явились вірус Duts та троянська програма Вrador, орієнтовані на платформу РоcketРС. Оскільки засоби захисту мобільних пристроїв є досить слабкими, то в недалекому майбутньому конфіденційній інформації на них буде загрожувати істотна небезпека.

16.4. Програмні антивіруси

Найбільш поширеним засобом нейтралізації вірусів є програмні антивіруси. Вони існують багатьох типів: детектори, фаги, вакцини, щеплення, ревізори, монітори. Розглянемо їх детальніше.

Детектори забезпечують виявлення вірусів шляхом перегляду файлів, що виконуються і пошуку сигнатур. Антивірус, що забезпечує можливість пошуку різних сигнатур, називають полідетектором. Іноді в їх роботі трапляються помилки. Якщо користувач запускав полідетектор, а після нього - другий, але іншого виробника, то друга програма може помилково знайти вірус. Це відбувається тому, що попередня програма-антивірус для своєї роботи використовувала частини сигнатур відомих вірусів (для порівняння), які залишились в пам'яті комп'ютера. Друга програма, знайшовши їх, помилково ідентифікувала як вірус.