Нерезидентні віруси Класифікація комп'ютерних вірусів
Більшість користувачів хоч раз у житті стикалися з поняттям Щоправда, не всі знають, що класифікація загроз в основі своїй складається з двох великих категорій: нерезидентні та резидентні віруси. Зупинимося на другому класі, оскільки саме його представники є найбільш небезпечними, а іноді й не видаляються навіть при форматуванні диска чи логічного розділу.
Що таке резидентні віруси?
Отже, з чим має справу користувач? Для спрощеного пояснення структури та принципів роботи таких вірусів спочатку варто зупинитися на поясненні того, що таке резидентна програма взагалі.
Вважається, що до такого типу програм належать додатки, що працюють постійно в режимі моніторингу, явно не виявляючи своїх дій (наприклад, ті ж штатні антивірусні сканери). Що ж до загроз, проникають у комп'ютерні системи, де вони висять постійно у пам'яті комп'ютера, а й створюють власні дублі. Таким чином, копії вірусів і постійно стежать за системою, і переміщуються по ній, що ускладнює їх пошук. Деякі загрози здатні ще й змінювати власну структуру, які детектування з урахуванням загальноприйнятих методів стає практично неможливим. Трохи згодом розглянемо, як позбутися вірусів такого типу. А поки що зупинимося на основних різновидах резидентних загроз.
DOS-загрози
Спочатку, коли Windows-або UNIX-подібних систем ще й близько не було, а спілкування користувача з комп'ютером відбувалося на рівні команд, з'явилася «операційка» DOS, яка досить довго протрималася на піку популярності.
І саме для таких систем почали створюватися нерезидентні та резидентні віруси, дія яких спочатку була спрямована на порушення працездатності системи або видалення файлів і папок.
Принцип дії таких загроз, який, до речі, широко застосовується і досі, полягає в тому, що вони перехоплюють звернення до файлів, а після цього заражають об'єкт, що викликається. Втім, більшість відомих сьогодні погроз працює саме за цим типом. Але проникають віруси в систему або за допомогою створення резидентного модуля у вигляді драйвера, який вказується у файлі системної конфігурації Config.sys, або через використання спеціальної функції KEEP для відстеження переривань.
Найгірша справа в тому випадку, коли резидентні віруси такого типу використовують виділення під себе областей системної пам'яті. Ситуація така, що спочатку вірус відрізає шматок вільної пам'яті, потім позначає цю область як зайняту, після чого зберігає в ній власну копію. Що найсумніше, відомі випадки, коли копії знаходяться і у відеопам'яті, і в областях, які зарезервовані під буфер обміну, і в таблицях векторів переривань, і в робочих областях DOS.
Все це робить копії вірусних загроз настільки живучими, що вони, на відміну від нерезидентних вірусів, які працюють, поки запущено якусь програму або функціонує операційна система, здатні активуватися знову навіть після перезавантаження. Крім того, при зверненні до зараженого об'єкта вірус здатний створювати власну копію навіть у оперативній пам'яті. Як наслідок - моментальне Як уже зрозуміло, лікування вірусів цього типу повинно проводитись за допомогою спеціальних сканерів, причому бажано не стаціонарних, а портативних або тих, які здатні завантажуватись з оптичних дисків або USB-носіїв. Але про це дещо пізніше.
Завантажувальні загрози
Завантажувальні віруси проникають у систему за подібним способом. Ось тільки поводяться вони, як то кажуть, витончено, спочатку «з'їдаючи» шматок системної пам'яті (зазвичай 1 Кб, але іноді цей показник може досягати максимум 30 Кб), потім прописуючи туди власний код у вигляді копії, після чого починаючи вимагати перезавантаження. Це загрожує негативними наслідками, оскільки після рестарту вірус відновлює зменшену пам'ять до вихідного розміру, яке копія виявляється поза системної пам'яті.
Крім відстеження переривань, такі віруси здатні прописувати власні коди в завантажувальному секторі (запис MBR). Дещо рідше використовуються перехоплення BIOS і DOS, причому самі віруси завантажуються одноразово, не перевіряючи наявність власної копії.
Віруси під Windows
З появою Windows-систем розробки вірусів вийшли новий рівень, на жаль. Сьогодні саме Windows будь-якої версії вважається найбільш уразливою системою, незважаючи навіть на зусилля, докладені фахівцями корпорації Microsoft у галузі розробки модулів безпеки.
Віруси, розраховані на Windows, працюють за принципами, схожими з DOS-загрозами, ось тільки методів проникнення на комп'ютер тут набагато більше. З найпоширеніших виділяють три основні, за якими в системі вірус може прописати власний код:
- реєстрація вірусу як працюючого в даний момент програми;
- виділення блоку пам'яті та запис у нього власної копії;
- робота у системі під виглядом драйвера VxD або маскування під драйвер Windows NT.
Заражені файли або області системної пам'яті, в принципі, можна вилікувати стандартними методами, які застосовуються (детектування маски вірусу, порівняння з базами сигнатур і т. д.). Однак якщо використовуються прості безкоштовні програми, вони можуть вірус і не визначити, а іноді навіть видати помилкове спрацювання. Тому промені застосовувати портативні утиліти на кшталт «Доктор Веб» (зокрема Dr. Web CureIt!) або продукти «Лабораторії Касперського». Втім, сьогодні можна знайти чимало утиліт такого типу.
Макро-віруси
Перед нами ще один різновид загроз. Назва походить від слова «макрос», тобто аплету або надбудови, що виконуються в деяких редакторах. Не дивно, що запуск вірусу відбувається в момент старту програми (Word, Excel тощо), відкриття офісного документа, його друку, виклику пунктів меню тощо.
Такі загрози як системних макросів перебувають у пам'яті протягом усього часу роботи редактора. Але в цілому, якщо розглядати питання про те, як позбутися вірусів даного типу, рішення виявляється досить простим. У деяких випадках допомагає навіть звичайне відключення надбудов або виконання макросів у самому редакторі, а також залучення антивірусного захисту аплетів, не кажучи вже про звичайне швидке сканування системи антивірусними пакетами.
Віруси на основі технології "стелс"
Тепер подивимося на віруси, що маскуються, адже не дарма ж вони отримали свою назву від літака-невидимки.
Суть їхнього функціонування якраз і полягає в тому, що вони видають себе за системний компонент, а визначити їх звичайними способами іноді виявляється досить складною справою. Серед таких загроз можна знайти макровіруси, і завантажувальні загрози, і DOS-віруси. Вважається, що для Windows стелс-віруси ще не розроблені, хоча багато фахівців стверджують, що це лише справа часу.
Файлові різновиди
Взагалі всі віруси можна назвати файловими, оскільки вони так чи інакше зачіпають файлову систему і впливають на файли, чи заражаючи їх власним кодом, чи шифруючи, чи роблячи недоступними через псування чи видалення.
Найпростішими прикладами можна назвати сучасні віруси-шифрувальники (змагачі), а також сумнозвісний I Love You. З ними без спеціальних розшифрувальних ключів лікування вірусів зробити не те що складно, а часто неможливо взагалі. Навіть провідні розробники антивірусного програмного забезпечення безсило розводять руками, адже, на відміну від сучасних систем шифрування AES256, тут використовується технологія AES1024. Самі розумієте, що на розшифрування може піти не один десяток років, виходячи з кількості можливих варіантів ключа.
Поліморфні погрози
Зрештою, ще один різновид загроз, у яких застосовується явище поліморфізму. У чому полягає? У тому, що віруси постійно змінюють власний код, причому робиться це на основі так званого плаваючого ключа.
Іншими словами, за маскою визначити загрозу неможливо, оскільки, як бачимо, змінюється не лише її структура на основі коду, а й ключ до розшифрування. Для боротьби з такими проблемами використовуються спеціальні поліморфні дешифратори (розшифрувальники). Щоправда, як показує практика, вони здатні розшифрувати лише найпростіші віруси. Більш складні алгоритми, на жаль, здебільшого їх впливу не піддаються. Окремо варто сказати, що зміна коду таких вірусів супроводжує створення копій зі зменшеною довжиною, яка може відрізнятися від оригіналу дуже істотно.
Як боротися з резидентними погрозами
Зрештою, переходимо до питання, що стосується боротьби з резидентними вірусами та захисту комп'ютерних систем будь-якого рівня складності. Найпростішим способом протекції можна вважати інсталяцію штатного антивірусного пакета, тільки використовувати краще не безкоштовні програми, а хоча б умовно-безкоштовні (trial) версії від розробників на кшталт «Доктор Веб», «Антивірус Касперського», ESET NOD32 або програми типу Smart Security, якщо користувач завжди працює з Інтернетом.
Втім, і в цьому випадку ніхто не застрахований через те, що загроза не проникне на комп'ютер. Якщо вже така ситуація сталася, спочатку слід застосовувати портативні сканери, а краще використовувати дискові утиліти Rescue Disk. З їх допомогою можна зробити завантаження інтерфейсу програми та сканування ще до старту основної операційної системи (віруси можуть створювати та зберігати власні копії у системній і навіть в оперативній пам'яті).
І ще: не рекомендується використовувати програмне забезпечення на кшталт SpyHunter, а потім від самого пакету і його супутніх компонентів позбутися непосвяченому користувачеві буде проблематично. І, звичайно, не варто відразу видаляти заражені файли або намагатися форматувати вінчестер. Найкраще залишити лікування професійним антивірусним продуктам.
Висновок
Залишається додати, що вище розглянуто лише основні аспекти, що стосуються резидентних вірусів та методів боротьби з ними. Адже якщо подивитися на комп'ютерні загрози, так би мовити, у глобальному розумінні, щодня з'являється така величезна їхня кількість, що розробники засобів захисту просто не встигають вигадувати нові методи боротьби з такими напастями.
Під терміном "резидентність" розуміється здатність вірусів залишати свої копії в системній пам'яті, перехоплювати деякі події (наприклад, звернення до файлів чи дисків) і викликати у своїй процедури зараження виявлених об'єктів. p align="justify"> Резидентні віруси активні не тільки в момент роботи зараженої програми, але і після того, як програма закінчила свою роботу. Резидентні копії таких вірусів залишаються життєздатними до чергового перезавантаження, навіть якщо на диску знищені всі заражені файли. Часто таких вірусів неможливо позбутися відновленням усіх копій файлів з дистрибутивних дисків або backup-копій. Резидентна копія вірусу залишається активною і заражає новостворені файли.Перший резидентний антивірус
На початку 1985 року Гі Вонг написав програму DPROTECT -резидентну програму , що перехоплює спроби запису надискети та вінчестер . Вона блокувала всі операції, які виконуються через BIOS. У разі виявлення такої операції програма вимагала рестарту системи.
Види резидентних вірусів
У світі є кілька цікавих різновидів резидентних вірусів. Вони, дорогі читачі, заслуговую на вашу увагу, тому що становлять серйозну небезпеку для кожного з користувачів.
Ось, наприклад, DOS-віруси. Ці віруси після виділення блоку пам'яті копіюють в нього свій код і перевизначають одне або кілька переривань, необхідних їм для пошуку файлів, що заражаються, виконання деструктивних дій або звукових і відеоефектів.Створення цих резидентних моделей відбувається двома легальними шляхами: драйверами, які вказуються у файлі CONFIG.SYS, та використовуючи функцію KEEP. Але все-таки більшість сучасних файлових вірусів з метою маскування використовують інший спосіб - спеціальну обробку системних областей, які управляють процесом розподілом пам'яті. Для цього вони виділяють вільну ділянку пам'яті і відразу позначають її як зайняту (для операційної системи). Після цього благополучно переписують туди свою копію. І не важливо, що було в цьому місці. Файли перестають читатись, а відновити за допомогою спеціальних програм зовсім неможливо.
А ще одним різновидом є Windows-віруси.
Найпростіший і найлегший спосіб створення вірусу - це просто зареєструвати вірус як одну з програм, що функціонують в даний момент. З цією метою вірус реєструє своє завдання, вікно часто ховається, реєструє всі компоненти і т.д.
Ще один непоганий спосіб, що заслуговує на вашу найдорожчу увагу, - виділити окремий блок системної пам'яті комп'ютера за допомогою спеціальних DPMI-дзвінків і після цього скопіювати в нього свій вірусний код.
Ну і нарешті, третій спосіб – протягом усієї активності залишитися резидентно або як драйвер окремий Windows NT.
Джерела:
Файлові віруси є найпоширенішим різновидом комп'ютерних вірусів. Принципово вони заражають будь-який тип файлів, що виконуються: COM, EXE, OVL і т.д. Однак основними об'єктами зараження є файли типу COM та файли типу EXE. Найпростіше здійснюється зараження COM-файлів, які є майже точну копію ділянки пам'яті із завантаженою програмою. Єдине необхідне налаштування під час завантаження COM-файлів полягає у завантаженні сегментних регістрів значеннями, що відповідають місцю завантаження програми. Значна частина COM-файлів починається з команди переходу, що обходить дані, що містять на початку програми.
При зараженні COM-файлів вірус запам'ятовує у своєму тілі перші три чи більше байтів програми і замість них записує перехід початку власного коду. Так робить більшість файлових вірусів, що заражають COM-файли, але не всі. Справа в тому, що при дописуванні тіла вірусу в кінець файлу, що заражається весь код вірусу повинен бути написаний спеціальним чином, зазвичай званим позиційно-незалежним програмуванням: при виконанні програми всі посилання повинні адресуватися через відповідне зміщення, яке зазвичай зберігається в одному з регістрів.
Структура файлового резидентного вірусу
Файлові резидентні віруси, крім окремих файлів, заражають, якщо можна сказати, і пам'ять комп'ютера. Гранично спрощуючи, пам'ять комп'ютера можна як ще один файл, який можна заражати, дописуючись на думку, тобто. в область молодших адрес вільної ділянки пам'яті, хвіст, тобто. в область старших адрес вільної ділянки пам'яті і, нарешті, у середину, тобто. область адрес, що вже використовуються операційною системою або якою-небудь програмою (старші адреси вектора переривань, буфера і т.д.).
Водночас структура резидентного вірусу істотно відрізняється від структури нерезидентного вірусу. Резидентний вірус можна представляти як що складається з двох відносно незалежних частин: інсталятора та модуля обробки переривань. Останній, своєю чергою, складається з низки програм обробки. Дещо спрощуючи, можна вважати, що на кожне переривання, що перехоплюється, припадає своя програма обробки.
Інсталятор отримує управління у виконанні зараженої програми і грає роль своєрідної ракети-носія, що запускає вірус на орбіту, тобто. на оперативну пам'ять. Він відпрацьовує один раз після запуску зараженої програми і його доцільно розглядати як спеціалізований файловий вірус, що заражає оперативну пам'ять і, можливо, звичайні файли. У разі інсталятор можна як доопрацьований для зараження оперативної пам'яті файловий вірус.
Як працює вірус
Після запуску програми вірус зазвичай починає з того, що заражає інші програми на цій машині, після чого виконує своє "корисне" навантаження, тобто запускає ту частину програми, для якої і писався вірус. У багатьох випадках ця програма може не запускатися, поки настане певна дата або поки вірус гарантовано не пошириться на велику кількість комп'ютерів. Вибрана дата може бути навіть прив'язана до будь-якої політичної події (наприклад, до століття або 500-річчя образи, завданої етнічній групі автора).
26. Методи криптографічних перетворень даних.
Процес шифруванняполягає у проведенні оборотних
математичних, логічних, комбінаторних та інших перетворень.
вань вихідної інформації, в результаті яких зашифровано-
ная інформація є хаотичний набір букв,
цифр, інших символів та двійкових кодів.
Для шифрування інформації використовуються алгоритм пре-
розування та ключ. Як правило, алгоритм для певного ме-
Тоді шифрування є незмінним. Вихідними даними для
алгоритму шифрування служать інформація, що підлягає заши-
вання, і ключ шифрування. Ключ містить керуючу ін-
формацію, яка визначає вибір перетворення на визна-
ленних кроках алгоритму та величини операндів, що використовуються
під час реалізації алгоритму шифрування.
На відміну від інших методів криптографічного перетворення
вання інформації, методи стеганографіїдозволяють приховати
не тільки зміст інформації, що зберігається або передається, а й
сам факт зберігання чи передачі закритої інформації. В кому-
п'ютерних системах практичне використання стеганографії
тільки починається, але проведені дослідження показують її
перспективність. В основі всіх методів стеганографії лежить
маскування закритої інформації серед відкритих файлів Про-
робота мультимедійних файлів в КС відкрила практично не-
обмежені можливості перед стеганографією.
Існує кілька методів прихованої передачі інформації.
ції. Одним з них є простий метод приховування файлів при
роботи в операційній системі MS DOS За текстовим відкритим
файлом записується прихований двійковий файл, обсяг якого
набагато менше текстового файлу. Наприкінці текстового файлу перемі-
ється мітка EOF (комбінація клавіш Control і Z). При зверненні-
ні до цього текстового файлу стандартними засобами ОС раху-
тивання припиняється після досягнення мітки EOF і прихований
файл залишається недоступним. Для двійкових файлів жодних міток у
наприкінці файлу не передбачено. Кінець такого файлу визначається
при обробці атрибутів, в яких зберігається довжина файлу в бай-
тах. Доступ до прихованого файлу можна отримати, якщо файл
відкрити як двійковий. Прихований файл можна зашифрувати.
Якщо хтось випадково виявить прихований файл, то зашифровано.
ця інформація буде сприйнята як збій у роботі системи.
Графічна та звукова інформація подаються в число-
ному вигляді. Так у графічних об'єктах найменший елемент із-
бродіння може кодуватися одним байтом. У молодші розряди
певних байтів зображення відповідно до алгоритму
криптографічного перетворення містяться біти прихованого
файлу. Якщо правильно підібрати алгоритм перетворення та
зображення, на тлі якого міститься прихований файл, то че-
ловецькому оку практично неможливо відрізнити отримане
зображення від вихідного. Дуже складно виявити приховану ін-
формацію та за допомогою спеціальних програм. Найкращим про-
разом для впровадження прихованої інформації підходять зображення
місцевості: фото з супутників, літаків і т. п. З помо-
щью засобів стеганографії можуть маскуватися текст, обра-
вання, мова, цифровий підпис, зашифроване повідомлення. Ком-
плексне використання стеганографії та шифрування багато-
кратно підвищує складність розв'язання задачі виявлення та роз-
конфіденційної інформації.
заміна смислових конструкцій вихідної інформації (слів,
пропозицій) кодами. Як коди можуть використовуватися
поєднання букв, цифр, букв і цифр. При кодуванні та зворотному
Перетворення використовуються спеціальні таблиці або словники.
Кодування інформації доцільно застосовувати в системах з
обмеженим набором смислових конструкцій. Такий вид крип-
тографічного перетворення застосуємо, наприклад, команд-
них лініях АСУ. Недоліками кодування конфіденційної
інформації є необхідність зберігання та розповсюдження
кодувальних таблиць, які необхідно часто міняти, щоб
уникнути розкриття кодів статистичними методами обробки
перехоплених повідомлень.
Стисненняінформації може бути віднесено до методів крипто-
графічного перетворення інформації з певними ого-
ворками. Метою стиснення є скорочення обсягу інформації.
ції. Водночас стисла інформація не може бути прочитана
або використана без зворотного перетворення. Враховуючи дос-
тупність засобів стиснення та зворотного перетворення, ці методи
не можна розглядати як надійні засоби криптографічного
перетворення інформації. Навіть якщо тримати в секреті алго-
ритми, то вони можуть бути порівняно легко розкриті статисти-
ними методами обробки. Тому стислі файли конфіденційні.
ційної інформації піддаються наступному шифрова-
27. Класифікація комп'ютерних вірусів за деструктивними можливостями.
За деструктивними можливостями віруси можна розділити на:
1. Базові, тобто. які не впливають на роботу комп'ютера (крім зменшення вільної пам'яті на диску внаслідок свого розповсюдження).
2. Безпечні, вплив яких обмежується зменшенням вільної пам'яті на диску та графічно та ін. ефектами.
3. Небезпечні віруси, які можуть призвести до серйозних помилок та збоїв у роботі.
4. Дуже небезпечні, які можуть призвести до втрати програм, знищити дані, стерти необхідну роботу комп'ютера інформацію, записану у системних областях пам'яті.
Нешкідливі віруси, зазвичай, виробляють різні візуальні чи звукові ефекти. Діапозон прояву нешкідливих вірусів дуже широкий - від найпростішого стирання вмісту екрана до складних ефектів перевертання зображення, створення ілюзії "обертання" або "опадання" (наприклад, вірус Cascade-1701).
Деструктивні функції, що виконуються шкідливими вірусами, теж надзвичайно різноманітні. У процесі свого поширення деякі віруси пошкоджують або спотворюють деякі виконувані програми, дописуючи на початок знищуваної програми певний код без збереження вихідної послідовності байт. Деякі віруси за певних умов виконують форматування диска, точніше його нульової доріжки, тим самим знищуючи важливу інформацію про файли, що зберігаються на диску. Інші через певні (зазвичай випадкові) проміжки часу перезавантажують комп'ютер, призводячи до втрати незбережених даних. Останнім часом з'явилося безліч вірусів, вкладених у боротьбу з антивірусними програмами. Деякі з них при перегляді каталогів шукають програми, в іменах яких є фрагмети, характерні для антивірусних програм (ANTI, AIDS, SCAN), і при виявленні таких намагаються завдати їм шкоди: стерти з диска, змінити код в тілі програми та ін. .
28. Класифікація комп'ютерних вірусів за особливостями алгоритму роботи.
Відповідно до особливостей алгоритму функціонування
вання віруси можна розділити на два класи:
Віруси, що не змінюють довкілля (файли і секто-
ри) при поширенні;
Віруси, що змінюють довкілля при поширенні-
В свою чергу, віруси, не змінюють довкілля,
можуть бути поділені на дві групи:
віруси-«супутники» (companion);
віруси-«хробаки» (worm).
Віруси-«супутники»файли не змінюють. Механізм їх діє
ія полягає у створенні копій виконуваних файлів. Наприклад, в
MS DOS такі віруси створюють копії для файлів, що мають роз-
ширіння.ЄХЕ. Копії присвоюється те саме ім'я, що і виконує-
му файлу, але розширення змінюється на.СОМ. При запуску
файлу із загальним ім'ям операційна система першим завантажує
на виконання файл з розширенням.СОМ, який є про-
грамою-вірусом. Файл-вірус запускає потім і файл з розширенням.
ням.ЄХЕ.
Віруси-«хробаки»потрапляють у робочу станцію з мережі, обчислю-
дають передачу вірусу. Вірус не змінює файлів і не записує-
ється в завантажувальні сектори дисків. Деякі віруси-«хробаки»
створюють робочі копії вірусу на диску, інші – розміщуються
Тільки оперативної пам'яті ЕОМ.
За складністю, ступенем досконалості та особливостями маски-
алгоритмів віруси, що змінюють довкілля,діляться
студентські;
≪стелі≫ - віруси (віруси-невидимки);
поліморфні.
До студентськимвідносять віруси, творці яких мають
низьку кваліфікацію. Такі віруси, як правило, є не-
резидентними, часто містять помилки, досить просто вияв-
живаються та віддаляються.
≪Стеле≫- віруси та поліморфні віруси створюються кваліфіковані-
ними фахівцями, які добре знають принцип роботи
апаратних засобів та операційної системи, а також володіючі-
ними навичками роботи з машиноорієнтованими системами
програмування.
≪Стелс≫-віруси маскують свою присутність у середовищі житла-
ня шляхом перехоплення звернень операційної системи до пора-
ним файлам, секторам і переадресують ОС до незаражених
дільницям інформації. Вірус є резидентним, маскується.
під програми ОС може переміщатися в пам'яті. Такі віруси
активізуються при виникненні переривань, виконують оп-
розподілені дії, в тому числі і по маскуванню, і тільки за-
тим керування передається на програми ОС, що обробляють
ці переривання. ≪Стеле≫- віруси мають здатність проти-
впливати на резидентні антивірусні засоби.
Поліморфнівіруси не мають постійних розпізнавальних
груп – сигнатур. Звичайні віруси для розпізнавання факту за-
Ураження довкілля розміщують у зараженому об'єкті спеці-
альну розпізнавальну двійкову послідовність або по-
послідовність символів (сигнатуру), яка однозначно
ідентифікує зараженість файлу чи сектора. Сигнатури вико-
користуються на етапі поширення вірусів для того, щоб
уникнути багаторазового зараження одних і тих же об'єктів, так
як при багаторазовому зараженні об'єкта значно зростає
ймовірність виявлення вірусу. Для усунення демаструю-
ших ознак поліморфні віруси використовують шифрування
тіла вірусу та модифікацію програми шифрування. За рахунок та-
кого перетворення поліморфні віруси не мають збігів
29. Класифікація комп'ютерних вірусів довкілля.
Середовище проживання мережевихвірусів є елементи ком-
п'ютерних мереж.
Файловівіруси розміщуються у виконуваних
Завантажувальнівіруси знаходяться у завантажувальних секторах
(областях) зовнішніх пристроїв (boot-секторах).
Іноді завантажувальні віруси називають бутовими.
Макро-вірусизаражають файли-документи та електронні таблиці кількох популярних редакторів.
Мережеві вірусивикористовують для свого розповсюдження протоколи або команди комп'ютерних мереж та електронної пошти.
Комбінованівіруси розміщуються в декількох середовищах проживання. Примі-
ром таких вірусів служать завантажувально-файлові віруси. Ці ві-
руси можуть розміщуватися як у завантажувальних секторах накопичувачів
на магнітних дисках, і у тілі завантажувальних файлів.
30. Загальний алгоритм виявлення вірусу.
Крок 1. Вимкнути ЕОМ для знищення резидентних виру-
Крок 2. Здійснити завантаження еталонної операційної системи.
ми зі змінного носія інформації, у якій відсутні
файли, які не мають резервних копій.
Крок 4. Використовувати антивірусні засоби для видалення ви-
русів та відновлення файлів, областей пам'яті. Якщо праце-
здатність ЕОМ відновлена, то здійснюється перехід до
кроку 8, інакше – до кроку 5.
Крок 5. Здійснити повне стирання та розмітку (форматиро-
вання) незнімних зовнішніх пристроїв. У ПЕОМ
для цього можуть бути використані програми MS-DOS FDISK та
FORMAT. Програма форматування FORMAT не видаляє
головний завантажувальний запис на жорсткому диску, в якому може
перебувати завантажувальний вірус. Тому необхідно виконати
нитку програму FDISK з недокументованим параметром
MBR,створити за допомогою цієї ж програми розділи і логіч-
ські диски на жорсткому диску. Потім виконується програма
Формат для всіх логічних дисків.
Крок 6. Відновити ОС, інші програмні системи та
файли з дистрибутивів та резервних копій, створених до зараже-
Крок 7. Ретельно перевірити файли, збережені після обна-
руйнування зараження, і, при необхідності, видалити віруси та від-
складати файли;
Крок 8. Завершити відновлення всебічної інформації
перевіркою ЕОМ за допомогою всіх наявних у розпорядженні
користувача антивірусних засобів.
комп'ютерними вірусами, а також при вмілих та своєчасних
діях у разі зараження, вірусами, шкоди інформаційним
ресурсів КС може бути зведений до мінімуму.
31. «Вірусоподібні» програми та їх характеристики.
"Троянські" програми (логічні бомби)
До "троянським" програм відносяться програми, що завдають будь-яких руйнівних дій залежно від будь-яких умов. Наприклад, знищення інформації на дисках при кожному запуску або за певним графіком тощо. Більшість відомих "троянських" програм є програмами, які маскуються під будь-які корисні програми, нові версії популярних утиліт або доповнення до них. Дуже часто вони розсилаються електронними конференціями. У порівнянні з вірусами "троянські" програми не набувають широкого поширення з досить простих причин - вони або знищують себе разом з іншими даними на диску, або демаскують свою присутність і знищуються користувачем, що постраждав. До "троянських" програм також належать так звані "дропери" вірусів - заражені файли, код яких підправлений таким чином, що відомі версії антивірусів не визначають наявність вірусу у файлі. Наприклад, файл шифрується або пакується невідомим архіватором, що не дозволяє антивірусу "побачити" зараження.
Зазначимо ще один тип програм (програми – "злі жарти"), які використовуються для залякування користувача, про зараження вірусом або про якісь майбутні дії з цим пов'язані, тобто повідомляють про неіснуючі небезпеки, змушуючи користувача до активних дій. Наприклад, до "злих жартів" належать програми, які "лякають" користувача повідомленнями про форматування диска (хоча ніякого форматування насправді не відбувається), детектують віруси в незаражених файлах, виводять дивні вірусоподібні повідомлення і т. д. До категорії "злих жартів" можна віднести також свідомо хибні повідомлення про нові "супер-віруси". Такі повідомлення періодично з'являються в Інтернеті та зазвичай викликають паніку серед користувачів.
^ 2.3.4. Утиліти прихованого адміністрування
Утиліти прихованого адміністрування є різновидом "логічних бомб" ("троянських програм"), які використовуються зловмисниками для віддаленого адміністрування комп'ютерів у мережі. За своєю функціональністю вони багато в чому нагадують різні системи адміністрування, що розробляються та розповсюджуються різними фірмами-виробниками програмних продуктів. Єдина особливість цих програм змушує класифікувати їх як шкідливі "троянські" програми: відсутність попередження про інсталяцію та запуск. При запуску така програма встановлює себе в систему і потім слідкує за нею, при цьому користувачеві не видається жодних повідомлень про дії програми в системі. Найчастіше посилання на таку програму відсутнє у списку активних програм. В результаті користувач може і не знати про її присутність у системі, тоді як його комп'ютер відкритий для віддаленого керування.
Впроваджені в операційну систему утиліти прихованого керування дозволяють робити з комп'ютером все, що в них заклав їх автор: приймати/надсилати файли, запускати і знищувати їх, виводити повідомлення, прати інформацію, перезавантажувати комп'ютер і т. д. В результаті ці програми можуть бути використані для виявлення та передачі конфіденційної інформації, для запуску вірусів, знищення даних тощо.
"Intended"-віруси
До таких вірусів належать програми, які, на перший погляд, є стовідсотковими вірусами, але не здатні розмножуватися через помилки. Наприклад, вірус, який при зараженні не поміщає на початок файлу команду передачі управління на код вірусу, або записує в неї неправильну адресу свого коду, або неправильно встановлює адресу переривання (переважно призводить до "зависання" комп'ютера) і т.д. категорії "intended" також відносяться віруси, які з наведених вище причин розмножуються лише один раз – з "авторської" копії. Заразивши якийсь файл, вони втрачають здатність до подальшого розмноження. З'являються "intended"-віруси найчастіше через невмілу перекомпіляцію будь-якого вже існуючого вірусу, або через недостатнє знання мови програмування, або через незнання технічних тонкощів операційної системи.
^ Конструктори вірусів
До цього виду "шкідливих" програм належать утиліти, призначені виготовлення нових комп'ютерних вірусів. Відомі конструктори вірусів для DOS, Windows та макровірусів. Вони дозволяють генерувати вихідні тексти вірусів, об'єктні модулі та/або безпосередньо заражені файли. Деякі конструктори забезпечені стандартним віконним інтерфейсом, де за допомогою системи меню можна вибрати тип вірусу, об'єкти, що уражаються (COM і/або EXE), наявність або відсутність самошифрування, протидія відладчику, внутрішні текстові рядки, вибрати ефекти, що супроводжують роботу вірусу і т.п.
^ Поліморфні генератори
Поліморфік-генератори, як і конструктори вірусів, не є вірусами в прямому розумінні цього слова, оскільки в їхній алгоритм не закладаються функції розмноження, тобто відкриття, закриття та записи у файли, читання та записи секторів і т. д. Головною функцією подібного роду програм є шифрування тіла вірусу та генерація відповідного розшифровувача. Зазвичай поліморфні генератори поширюються як файла-архіва. Основним файлом в архіві будь-якого генератора є модуль, що містить цей генератор.
32. Основні правила захисту комп'ютерних вірусів.
Правило перше.Використання програмних продуктів, по-
отриманих законним офіційним шляхом.
Імовірність наявності вірусу в піратській копії у багато разів
вище, ніж у офіційно отриманому програмному забезпеченні.
Правило друге.Дублювання інформації.
Перш за все, необхідно зберігати дистрибутивні носії.
чи програмного забезпечення. При цьому запис на носії, до-
ті, що пускають виконання цієї операції, повинна бути, по можливості
ності, заблокована. Слід особливо подбати про збереження
робочої інформації Переважно регулярно створювати ко-
пії робочих файлів на знімних машинних носіях інформа-
ції із захистом від запису. Якщо створюється копія на незнімному но-
сителі, то бажано її створювати на інших ВЗП або ЕОМ. Ко-
балується або весь файл, або лише внесені зміни.По-
наступний варіант застосуємо, наприклад, прироботі збазами дан-
Правило третє.Регулярно використовувати антивірусні
засоби. Перед початком роботи доцільно виконувати про-
грами-сканери та програми-ревізори (Aidstest та Adinf). Анти-
вірусні засоби мають регулярно оновлюватись.
Правило четверте.Особливу обережність слід виявляти-
ляти при використанні нових знімних носіїв інформації та
нових файлів. Нові дискети обов'язково повинні бути про-
рени на відсутність завантажувальних та файлових вірусів, а отримано-
ні файли - на наявність файлових вірусів. Перевірка здійснен-
ється програмами-сканерами та програмами, що здійснюють-
ми евристичний аналіз (Aidstest, Doctor Web, AntiVirus). При
першому виконанні виконуваного файлу використовуються резидент-
ні сторожа. При роботі з отриманими документами та таблиця-
ми доцільно заборонити виконання макрокоманд засобу-
ми, вбудованими в текстові та табличні редактори (MS Word,
MS Excel), до завершення повної перевірки цих файлів.
Правило п'яте.При роботі в розподілених системах або в
системах колективного користування доцільно нові зміни
ні носії інформації та файли, що вводяться в систему, прове-
на спеціально виділених для цієї мети ЕОМ. Доцільно-
по-різному для цього використовувати автоматизоване робоче місце
адміністратора системи або особи, яка відповідає за безпеку
інформації. Тільки після всебічної антивірусної перевірки
Диски та файли можуть передаватися користувачам системи.
Правило шосте.Якщо не передбачається здійснювати за-
лист інформації на носій, то необхідно заблокувати ви-
виконання цієї операції. На магнітних дискетах 3,5 дюйми для
цього достатньо відкрити квадратний отвір.
дозволяє значно зменшити ймовірність зараження про-
грамними вірусами та захищає користувача від безповоротних
втрат інформації.
В особливо відповідальних системах для боротьби з вірусами необ-
можна використовувати апаратно-програмні засоби.
33. Антивірусні програми та їх класифікації.
Для виявлення, видалення та захисту від комп'ютерних вірусів існують спеціальні програми, які називаються антивірусними. Сучасні антивірусні програми є багатофункціональними продуктами, що поєднують у собі як профілактичні засоби, так і засоби лікування вірусів і відновлення даних. Кількість та різноманітність вірусів велика, і щоб їх швидко та ефективно виявити, антивірусна програма повинна відповідати деяким параметрам:
· Стабільність та надійність роботи.
· Розміри вірусної бази програми (кількість вірусів, які правильно визначаються програмою): з урахуванням постійної появи нових вірусів, база даних повинна регулярно оновлюватися.
· Можливість програми визначати різноманітні типи вірусів, та вміння працювати з файлами різних типів (архіви, документи).
· Наявність резидентного монітора, що здійснює перевірку всіх нових файлів "на льоту" (тобто автоматично, у міру їх запису на диск).
· Швидкість роботи програми, наявність додаткових можливостей типу алгоритмів визначення навіть невідомих програм вірусів (евристичне сканування).
· Можливість відновлювати заражені файли, не стираючи їх з жорсткого диска, а лише видаливши з них віруси.
· Відсоток помилкових спрацьовувань програми (помилкове визначення вірусу у “чистому” файлі).
· Кросплатформенність (наявність версій програми під різні операційні системи).
Класифікація антивірусних програм:
Програми-детекторизабезпечують пошук та виявлення вірусів в оперативній пам'яті та на зовнішніх носіях, і при виявленні видають відповідне повідомлення.
Розрізняють детектори:
· Універсальні - використовують у своїй роботі перевірку незмінності файлів шляхом підрахунку та порівняння з еталоном контрольної суми
· Спеціалізовані - виконують пошук відомих вірусів за їх сигнатурою (ділянці коду, що повторюється). Недолік таких детекторів у тому, що вони нездатні виявляти всі відомі віруси.
Детектор, що дозволяє виявляти кілька вірусів, називають полідетектор. Недоліком таких антивірусних програм є те, що вони можуть знаходити тільки ті віруси, які відомі розробникам таких програм.
Програми-лікарі(фаги) як знаходять заражені вірусами файли, а й " лікують " їх, тобто. видаляють із файлу тіло програми вірусу, повертаючи файли у вихідний стан. На початку своєї роботи фаги шукають віруси в оперативній пам'яті, знищуючи їх і лише потім переходять до "лікування" файлів. Серед фагів виділяють поліфаги, тобто. програми-лікарі, призначені для пошуку та знищення великої кількості вірусів. Враховуючи, що постійно з'являються нові віруси, програми-детектори та програми-лікарі швидко застарівають, і потрібне регулярне оновлення їх версій.
Програми-ревізоривідносяться до найнадійніших засобів захисту від вірусів. Ревізори запам'ятовують вихідний стан програм, каталогів та системних областей диска тоді, коли комп'ютер не заражений вірусом, а потім періодично або за бажанням користувача порівнюють поточний стан з вихідним. Виявлені зміни відображаються на екрані монітора. Як правило, порівняння станів роблять відразу після завантаження операційної системи. При порівнянні перевіряються довжина файлу, код циклічного контролю (контрольна сума файлу), дата та час модифікації та інші параметри.
Програми-фільтри(Вартова) є невеликі резидентні програми, призначені для виявлення підозрілих дій при роботі комп'ютера, характерних для вірусів.
Такими діями можуть бути:
· Спроби корекції файлів з розширеннями СОМ і ЕХЕ;
· Зміна атрибутів файлів;
· Прямий запис на диск за абсолютною адресою;
· Запис у завантажувальні сектори диска;
При спробі будь-якої програми зробити зазначені дії "сторож" надсилає користувачеві повідомлення та пропонує заборонити або дозволити відповідну дію. Програми-фільтри дуже корисні, оскільки здатні виявити вірус на ранній стадії його існування до розмноження. Однак вони не "лікують" файли та диски. Для знищення вірусів потрібно застосувати інші програми, наприклад, фаги. До недоліків програм-сторожів можна віднести їх "настирливість" (наприклад, вони постійно видають попередження про будь-яку спробу копіювання файлу, що виконується), а також можливі конфлікти з іншим програмним забезпеченням.
Програми-вакцини(імунізатори) - це резидентні програми, що запобігають зараженню файлів. Вакцини застосовують, якщо відсутні програми-лікарі, які "лікують" цей вірус. Вакцинація можлива лише від відомих вірусів. Вакцина модифікує програму або диск таким чином, щоб це не відбивалося на їхній роботі, а вірус сприйматиме їх зараженими і тому не впровадиться. Істотним недоліком таких програм є їх обмежені можливості щодо запобігання зараженню від великої кількості різноманітних вірусів.
Існує велика кількість платних та безкоштовних антивірусних програм. Серед платних можна виділити такі популярні торгові марки: Symantec McAfee Dr.Web Лабораторія Касперського ESET Nod32 Trend Micro BitDefender
Серед безкоштовних: AntiVir (Avira) Avast! AVG Comodo
34. Проблеми захисту інформації від вірусів в Internet.
Проблема №1. Кількість та різноманітність шкідливих програм неухильно зростає рік за роком. В результаті багато антивірусних компаній просто не в змозі наздогнати цей поток, вони програють у вірусній «гонці озброєнь», а користувачі цих програм виявляються захищені далеко не від усіх сучасних комп'ютерних загроз. На жаль, продукти далеко не всіх антивірусних компаній можна назвати справді антивірусними.
Проблема №2.
Швидкість поширення сучасних шкідливих програм змушує антивірусні компанії випускати захисні оновлення якнайчастіше - щоб максимально швидко прикрити своїх користувачів від новоявленого комп'ютерного «звіра». На жаль, далеко не всі антивірусні компанії досить спритні. Часто оновлення таких компаній доставляються користувачам занадто пізно.
Проблема №3. Видалення виявленого шкідливого коду із зараженої системи. Часто віруси та троянські програми роблять спеціальні дії, щоб приховати факт своєї присутності в системі, або вбудовуються в неї так глибоко, що завдання його «виколупування» стає досить нетривіальним. На жаль, іноді антивірусні програми не в змозі благополучно і без будь-яких побічних наслідків вилучити вірусний код та повністю відновити працездатність системи.
Проблема №4. Доцільність споживання ресурсів комп'ютера. Проблема не вирішувана - як показує практика, всі "швидкострільні" антивіруси дуже сильно "діряві" і пропускають віруси і троянські програми, як друшляк воду. Назад неправильно: далеко не всі «гальмовані» антивіруси захищають вас досить добре.
Проблема №5. Технологічна винятковість, тобто. несумісність різних антивірусних програм. У переважній більшості випадків (за рідкісними винятками) встановити два різні антивіруси на один комп'ютер (щоб забезпечити подвійний захист) неможливо з технічних причин, і вони просто не вживаються один з одним.
35. Концепція правового забезпечення інформаційної безпеки Російської Федерації.
Відповідно до Закону про безпеку та змістом Концепції національної безпеки РФ під інформаційною безпекою розумітимемо стан захищеності життєво важливих інтересів особистості, суспільства та держави в інформаційній сфері.
Сукупність офіційних поглядів на цілі, завдання, принципи та основні напрями забезпечення інформаційної безпеки Російської Федерації представлена в Доктрині інформаційної безпеки РФ.
На основі аналізу положень, що містяться у доктринальних та нормативних правових документах, можна виділити такі життєво важливі інтереси в інформаційній сфері:
а) для особи:
дотримання та реалізація конституційних прав і свобод людини та громадянина на пошук, отримання, передачу, виробництво та розповсюдження об'єктивної інформації;
реалізація права громадян на недоторканність приватного життя; захист інформації, що забезпечує особисту безпеку;
використання інформації на користь не забороненої законом діяльності, фізичного, духовного та інтелектуального розвитку;
захист права на об'єкти інтелектуальної власності;
забезпечення права громадян на захист свого здоров'я від неусвідомлюваної людиною шкідливої інформації;
б) для суспільства:
забезпечення інтересів особистості інформаційної сфері;
побудова правової соціальної держави;
зміцнення демократії, побудова інформаційного суспільства;
духовне оновлення суспільства, збереження його моральних цінностей, утвердження у суспільстві ідеалів високої моральності, патріотизму та гуманізму, розвиток багатовікових духовних традицій Вітчизни, пропаганда національної культурної спадщини, норм моралі та суспільної моральності;
досягнення та підтримання суспільної згоди;
запобігання маніпулюванню масовою свідомістю;
пріоритетний розвиток сучасних телекомунікаційних технологій, збереження та розвиток вітчизняного наукового та виробничого потенціалу;
в) для держави:
створення умов реалізації інтересів особи та суспільства на інформаційної сфері та його захист;
формування інститутів соціального контролю над органами структурі державної влади;
безумовне забезпечення законності та правопорядку;
створення умов гармонійного розвитку російської інформаційної інфраструктури;
формування системи підготовки, прийняття та реалізації рішень органами державної влади, що забезпечує баланс інтересів особи, суспільства та держави;
захист державних інформаційних систем та державних інформаційних ресурсів, у тому числі державної таємниці;
захист єдиного інформаційного простору країни;
розвиток рівноправного та взаємовигідного міжнародного співробітництва.
До основних завдань у сфері забезпечення інформаційної безпеки належать:
формування та реалізація єдиної державної політики щодо забезпечення захисту національних інтересів від загроз в інформаційній сфері, реалізація конституційних прав та свобод громадян у сфері інформаційної діяльності;
розробка та створення механізмів формування та реалізації державної інформаційної політики Росії, у тому числі розробка методів підвищення ефективності участі держави у формуванні інформаційної політики державних телерадіомовних організацій, інших державних засобів масової інформації;
вдосконалення законодавства Російської Федерації у сфері забезпечення інформаційної безпеки;
визначення повноважень органів державної влади Російської Федерації, суб'єктів Російської Федерації, органів місцевого самоврядування та відповідальності їх посадових осіб, юридичних осіб та громадян у галузі забезпечення інформаційної безпеки;
розвиток та вдосконалення системи забезпечення інформаційної безпеки Російської Федерації, що реалізує єдину державну політику в цій галузі, включаючи вдосконалення форм, методів та засобів виявлення, оцінки та прогнозування загроз інформаційній безпеці Російської Федерації, а також системи протидії цим загрозам;
координація діяльності органів державної влади щодо забезпечення інформаційної безпеки;
вдосконалення та захист вітчизняної інформаційної інфраструктури, прискорення розвитку нових інформаційних технологій та їх широке поширення, уніфікація засобів пошуку, збору, зберігання, обробки та аналізу інформації з урахуванням входження Росії у глобальну інформаційну інфраструктуру;
проведення єдиної технічної політики у сфері забезпечення інформаційної безпеки Російської Федерації; розробка критеріїв та методів оцінки ефективності систем та засобів забезпечення інформаційної безпеки Російської Федерації, а також сертифікації цих систем та засобів; розвиток стандартизації інформаційних систем з урахуванням загальновизнаних міжнародних стандартів та його використання всім видів інформаційних систем;
забезпечення технологічної незалежності Російської Федерації, розвиток вітчизняної індустрії телекомунікаційних та інформаційних засобів, їх пріоритетне порівняно із зарубіжними аналогами поширення на внутрішньому ринку;
розвиток науково-практичних основ забезпечення інформаційної безпеки Російської Федерації з урахуванням сучасної геополітичної ситуації, умов політичного та соціально-економічного розвитку Росії та реальності загроз застосування "інформаційної зброї";
розробка сучасних методів та засобів захисту інформації, забезпечення безпеки інформаційних технологій, що передусім використовуються в системах управління військами та зброєю, екологічно небезпечними та економічно важливими виробництвами;
створення та розвиток сучасної захищеної технологічної основи управління державою у мирний час, у надзвичайних ситуаціях та у воєнний час;
захист державних інформаційних ресурсів, передусім у федеральних органах структурі державної влади, на підприємствах оборонного комплексу, зокрема державної таємниці;
створення умов для успішного розвитку недержавного компонента у сфері забезпечення інформаційної безпеки, здійснення ефективного контролю за діяльністю органів державної влади;
захисту культурної та історичної спадщини (у тому числі музейних, архівних, бібліотечних фондів, основних історико-культурних об'єктів);
збереження традиційних духовних цінностей при найважливішій ролі Російської православної церкви та церков інших конфесій;
пропаганда засобами масової інформації елементів національних культур народів Росії, духовно-моральних, історичних традицій, норм суспільного життя та передового досвіду подібної пропагандистської діяльності;
підвищення ролі російської як державної мови та мови міждержавного спілкування народів Росії та держав - учасниць СНД;
створення оптимальних соціально-економічних умов для здійснення найважливіших видів творчої діяльності та функціонування закладів культури;
протидія загрозі розв'язання протистояння в інформаційній сфері;
створення єдиної системи підготовки кадрів у сфері забезпечення інформаційної безпеки;
організація міжнародного співробітництва щодо забезпечення інформаційної безпеки при інтеграції Росії у світовий інформаційний простір за умов рівноправного партнерства.
Звісно ж, що юридична наука тією чи іншою мірою має брати участь у вирішенні всіх завдань та реалізації відповідних цілей, проте її пріоритет проглядається у двох областях:
по-перше, у визначенні розумного балансу між правом суб'єктів на вільне отримання інформації шляхом її збирання або доступу до наявних ресурсів та правом суб'єктів на встановлення обмежень у зазначених діях з боку інших осіб по відношенню до відомостей, власниками яких вони є,
по-друге, у розробці та реалізації правових заходів захисту інформації, доступ до якої повинен обмежуватися з правомірних підстав, а також у забезпеченні безпеки інформаційних ресурсів.
36. Державна система забезпечення інформаційної безпеки.
Структура та основні функції державної системи захисту інформації від її витоку технічними каналами та організація робіт із захисту інформації визначені в "Положенні про державну систему захисту інформації в Російській Федерації від іноземних технічних розвідок та від її витоку технічними каналами", затвердженому Постановою Уряду від 15 вересня 1993 р. № 912-51.
Цим Положенням передбачається, що заходи щодо захисту інформації, що обробляється технічними засобами, є складовою управлінської, наукової та виробничої діяльності установ та підприємств та здійснюються у взаємозв'язку з іншими заходами щодо забезпечення встановленого федеральними законами "Про інформацію, інформатизацію та захист інформації" та "Про державну таємницю" комплексу заходів щодо захисту відомостей, що становлять державну та службову таємницю.
У той же час ці заходи є складовою робіт зі створення та експлуатації систем інформатизації установ та підприємств, що мають таку інформацію, і повинні здійснюватися у встановленому нормативними документами порядку у вигляді системи захисту секретної інформації.
Основні завдання державної системи захисту інформації:
Проведення єдиної технічної політики, організація та координація робіт із захисту інформації в оборонній, економічній, політичній, науково-технічній та інших сферах діяльності;
Виключення або суттєве утруднення добування інформації технічними засобами розвідки, а також запобігання її витоку технічних каналів, несанкціонованого доступу до неї, попередження навмисних спеціальних програмно-технічних впливів на інформацію з метою її руйнування, знищення, спотворення або блокування в процесі обробки, передачі та передачі ;
Прийняття у межах компетенції нормативно-правових актів, що регулюють відносини у сфері захисту інформації;
Загальна організація сил, створення засобів захисту інформації та засобів контролю ефективності її захисту;
Контроль за проведенням робіт із захисту інформації в органах державного управління, об'єднаннях, на підприємствах, в організаціях та установах (незалежно від форм власності).
Відповідно до Указу Президента Російської Федерації № 212 від 19,02.99 р., міжгалузеву координацію та функціональне регулювання діяльності із забезпечення захисту (некриптографічними методами) інформації, що містить відомості, що становлять державну та службову таємницю, здійснює колегіальний орган - Державна технічна комісія при Президентові Федерації (Держкомісії Росії).
Відповідно до Закону Російської Федерації "Про федеральні органи урядового зв'язку та інформації", до основних функцій Федерального агентства урядового зв'язку та інформації при Президентові Російської Федерації (ФАПСІ) у галузі, що розглядається, відноситься:
здійснення координації діяльності з питань безпеки інформаційно-аналітичних мереж, комплексів технічних засобів баз даних;
Здійснення координації діяльності в галузі розробки, виробництва та постачання шифрувальних засобів та обладнання спеціального зв'язку, щодо забезпечення криптографічної та інженерно-технічної безпеки шифрованого зв'язку.
Федеральним законом від 03.04.95 р. N 40-ФЗ "Про органи Федеральної служби безпеки в Російській Федерації" до компетенції ФСБ у галузі, що розглядається, віднесені такі питання:
Участь у розробці та реалізації заходів щодо захисту відомостей, що становлять державну таємницю;
Здійснення контролю за забезпеченням збереження відомостей, що становлять державну таємницю, у державних органах, військових формуваннях, на підприємствах, в установах та організаціях незалежно від форм власності;
Резидентний вірус при зараженні (інфікуванні) комп'ютера залишає в
оперативної пам'яті свою резидентну частину, яка потім перехоплює
звернення операційної системи до об'єктів зараження (файлів, завантажувальних
секторів дисків тощо) і впроваджується у них. Резидентні віруси
знаходяться в пам'яті і є активними аж до вимкнення або
перезавантаження комп'ютера. Нерезидентні віруси не заражають пам'ять
комп'ютера і є активними обмежений час
За ступенем впливу віруси можна поділити на такі види:
безпечні, що не заважають роботі комп'ютера, але зменшують обсяг вільної
оперативної пам'яті та пам'яті на дисках, дії таких вірусів
виявляються в будь-яких графічних чи звукових ефектах
небезпечні віруси, які можуть призвести до різних порушень у роботі
комп'ютера
дуже небезпечні, вплив яких може призвести до втрати програм,
знищення даних, стирання інформації у системних областях диска.
За особливостями алгоритмувіруси важко класифікувати через велике
різноманітності
Існує чимало способів поширення комп'ютерних вірусів, серед яких можна назвати найпоширеніші. До речі, від них не так вже й складно вберегтися, якщо дотримуватися нескладних правил обережності. Нижче наведено список тих способів поширення вірусів, від яких найчастіше страждають пересічні користувачі Інтернету.
1) Перегляд сайтів.Даний випадок – один із лідерів серед способів заразити ваш комп'ютер. Найчастіше віруси проникають на наші ПК через сайти, цільовою аудиторією яких є люди старше 18 років. Даний вид сайтів дуже ненадійний - через них віруси поширюються найчастіше. Другими у цьому рейтингу йдуть ігрові сайти, а також ті, на яких можна завантажити зламані програми. Нерідко шахраї навмисне створюють Інтернет-сторінки такого роду, щоб поширити певний вірус, за допомогою якого потім отримують доступ до заражених комп'ютерів користувачів. Щоб уберегтися від подібних махінацій, налаштуйте свій антивірус так, щоб усі з'єднання ззовні, а також встановлення програм не могли статися без вашої безпосередньої участі.
2) Електронні листи із вкладеннями (файлами).Це дуже простий спосіб надіслати вірус електронною поштою, прикріпивши заражений файл до листа. Більшість людей відкриває невідомі вхідні листи з простої цікавості, отримуючи згодом проблеми. Спосіб захиститися від подібного простий: потрібно видаляти листи, які прийшли від невідомих користувачів, не відкриваючи їх. Не дивлячись на радикальність, що здається, це найрозумніша міра в даному випадку.
3) Заражене програмне забезпечення.Схема зараження комп'ютера вірусами у разі елементарна – користувач просто завантажує на свій комп'ютер заражену програму і встановлює її. Мало хто хоче платити за ліцензії програм – усі хочуть халяви. Тим більше, що сьогодні в Інтернеті можна завантажити все, що завгодно.
4) USB-флешки.У цьому випадку найбільш заражені ті користувачі, чий антивірус не підтримує перевірку флеш накопичувачів на льоту. Флешки сьогодні поширені повсюдно, і саме тому зараження комп'ютерів через перенос вірусів через USB-накопичувачі так поширене.
5) Мережа.Якщо ваш комп'ютер є частиною якоїсь мережі, навіть домашньої – великий ризик заразити всі комп'ютери цієї мережі з одного.
6) Фішинг.Йдеться про фальшиві сайти, переходячи на які користувач часто отримує автоматично встановлювані віруси і шпигунські програми. В результаті фішингу нерідко губляться не лише дані, а й особисті заощадження. Тому перш ніж переходити за фішинговими посиланнями, які повідомляють вам про нібито якісь проблеми з вашим банківським рахунком, краще просто зателефонувати до банку, і не переходити ні за якими посиланнями.
7) Брехня антивірусні програми.Це дуже поширений шлях інфікування персональних комп'ютерів. Ніколи не завантажуйте антивірус із неперевіреного джерела – завжди робіть це лише з офіційного сайту антивірусної програми. Інакше ви наразите свій комп'ютер підвищеному ризику інфікування. Купівля ліцензії – оптимальний спосіб захисту у разі.
8) Хакери.У наші дні з цими людьми проблем поменшало, але вони, як і раніше, примудряються псувати життя користувачам Інтернету.
Нерезидентні віруси, навпаки, активні досить нетривалий час – лише у момент запуску зараженої програми. Для свого поширення вони шукають на диску незаражені файли та записуються у них. Після того, як код вірусу передає керування програмою - носію, вплив вірусу на роботу операційної системи зводиться до нуля аж до чергового запуску будь-якої зараженої програми.
Таким чином, нерезидентні віруси небезпечні тільки під час виконання інфікованої програми, коли вони виявляють свої деструктивні можливості або створюють свої копії. Файли, уражені такими вірусами, зазвичай легше піддаються виявленню та лікуванню, ніж файли, що містять резидентний вірус.
Методи забезпечення інформаційної безпеки
На переконання експертів, завдання забезпечення інформаційної безпеки має вирішуватись системно. Це означає, що різні засоби захисту (апаратні, програмні, фізичні, організаційні тощо) повинні застосовуватися одночасно під централізованим управлінням. При цьому компоненти системи повинні знати про існування один одного, взаємодіяти і забезпечувати захист як від зовнішніх, так і від внутрішніх загроз.
Сучасні антивірусні технології дозволяють виявити практично всі вже відомі вірусні програми через порівняння коду підозрілого файлу із зразками, що зберігаються в антивірусній базі. Крім того, розроблені технології моделювання поведінки, що дозволяють виявляти новостворені вірусні програми. Об'єкти, що виявляються, можуть піддаватися лікуванню, ізолюватися (поміщатися в карантин) або видалятися. Захист від вірусів може бути встановлений на робочі станції, файлові та поштові сервери, міжмережеві екрани, що працюють під практично будь-якої з поширених операційних систем, на процесорах різних типів.
Своєчасне виявлення заражених вірусами файлів і дисків, повне знищення виявлених вірусів кожному комп'ютері дозволяють уникнути поширення вірусної епідемії інші комп'ютери.
Головною зброєю у боротьбі з вірусами є антивірусні програми. Вони дозволяють не тільки виявити віруси, у тому числі віруси, що використовують різні методи маскування, але видалити їх з комп'ютера. Остання операція може бути досить складною та зайняти деякий час.
Існує кілька основних методів пошуку вірусів, які застосовуються антивірусними програмами. Найбільш традиційним методом пошуку вірусів є сканування.
Для виявлення, видалення та захисту від комп'ютерних вірусів розроблено декілька видів антивірусних програм:
1. програми-детектори
2. програми-лікарі або фаги
3. програми-ревізори (інспектора)
4. програми-фільтри (монітори)
5. програми-вакцини або імунізатори
Програми-детектори
Програми-детектори здійснюють пошук характерної для конкретного вірусу сигнатури в оперативній пам'яті та файлах і при виявленні видають відповідне повідомлення. Недоліком таких антивірусних програм є те, що вони можуть знаходити ті віруси, які відомі розробникам таких програм.
4.2 Програми-лікарі
Програми-лікарі чи фаги, і навіть програми-вакцини як знаходять заражені вірусами файли, а й «лікують» їх, тобто видаляють з файлу тіло програми-вірусу, повертаючи файли у вихідний стан. На початку своєї роботи фаги шукають віруси в оперативній пам'яті, знищуючи їх і лише потім переходять до «лікування» файлів. Серед фагів виділяють поліфаги, тобто програми-лікарі, призначені для пошуку та знищення великої кількості вірусів.
Програми-ревізори (інспектори)
Програми-ревізори (інспектори) відносяться до найнадійніших засобів захисту від вірусів.
Ревізори (інспектори) перевіряють дані на диску щодо вірусів-невидимок, вивчають, чи не забрався вірус у файли, чи немає сторонніх у завантажувальному секторі жорсткого диска, чи немає несанкціонованих змін реєстру Windows. Причому інспектор може не користуватися засобами операційної системи для звернення до дисків (а отже, активний вірус не зможе перехопити це звернення).
Програми – фільтри (монітори)
Програми-фільтри (монітори) або «сторожі» є невеликими резидентними програмами, призначеними для виявлення підозрілих дій при роботі комп'ютера, характерних для вірусів. Такими діями можуть бути:
1. спроби корекції файлів із розширеннями COM, EXE
2. зміна атрибутів файлу
4. запис у завантажувальні сектори диска
Вакцини або імунізатори
Вакцини або імунізатори - це резидентні програми, що запобігають зараженню файлів. Вакцини застосовують, якщо відсутні програми-лікарі, які «лікують» цей вірус. Вакцинація можлива лише від відомих вірусів. Вакцина модифікує програму або диск таким чином, щоб це не відбивалося на їхній роботі, а вірус сприйматиме їх зараженими і тому не впровадиться. В даний час програми-вакцини мають обмежене застосування.
Сканер
Принцип роботи антивірусних сканерів ґрунтується на перевірці файлів, секторів та системної пам'яті, а також пошуку в них відомих та нових (невідомих сканеру) вірусів. Для пошуку відомих вірусів використовують так звані «маски». Маскою вірусу є деяка стала послідовність коду, специфічна для конкретного вірусу. Якщо вірус не містить постійної маски або довжина цієї маски є недостатньо великою, то використовуються інші методи.
Способи організації комп'ютерної безпеки
Моніторинг мереж
Моніторинг мереж Засоби для моніторингу мережі та виявлення у її роботі «вузьких місць» можна поділити на два основні класи: - стратегічні; - Тактичні. Призначення стратегічних засобів полягає у контролі за широким спектром параметрів функціонування всієї мережі та вирішення проблем конфігурування ЛОМ. Призначення тактичних засобів – моніторинг та усунення несправностей мережевих пристроїв та мережевого кабелю. До стратегічних засобів відносяться: - Системи управління мережею - Вбудовані системи діагностики - Розподілені системи моніторингу - Засоби діагностики операційних систем, що функціонують на великих машинах і серверах. Найбільш повний контроль за роботою здійснюють системи управління мережею, розроблені такими фірмами, як DEC, Hewlett – Packard, IBM та AT&T. Ці системи зазвичай базуються на окремому комп'ютері і включають системи контролю робочих станцій, кабельною системою, з'єднувальними та іншими пристроями, базою даних, що містить контрольні параметри для різних стандартів мереж, а також різноманітну технічну документацію. Однією з кращих розробок для управління мережею, що дозволяє адміністратору мережі отримати доступ до всіх її елементів до робочої станції, є пакет LANDesk Manager фірми Intel, що забезпечує за допомогою різних засобів моніторинг прикладних програм, інвентаризацію апаратних і програмних засобів та захист від вірусів. Цей пакет забезпечує в реальному часі різноманітною інформацією про прикладні програми та сервери, дані про роботу в мережі користувачів. Вбудовані системи діагностики стали звичайним компонентом таких мережевих пристроїв, як мости, репітори та модеми. Прикладами таких систем можуть бути пакети Open – View Bridge Manager фірми Hewlett – Packard та Remote Bridge Management Software фірми DEC. На жаль, велика їх частина орієнтована на обладнання якогось одного виробника і практично несумісна з обладнанням інших фірм. Розподілені системи моніторингу являють собою спеціальні пристрої, що встановлюються на сегменти мережі та призначені для отримання комплексної інформації про трафік, а також порушення роботи мережі. Ці пристрої, які зазвичай підключаються до робочої станції адміністратора, в основному використовуються в багатьох сегментних мережах. До тактичних засобів відносять різні види пристроїв тестування (тестери і сканери мережевого кабелю), а також пристрої для комплексного аналізу роботи мережі - аналізатори протоколів. Тестирующие пристрої допомагають адміністратору виявити несправності мережного кабелю та роз'ємів, а аналізатори протоколів – отримувати інформацію про обмін даними у мережі. Крім того, до цієї категорії коштів відносять спеціальне програмне забезпечення, що дозволяє в режимі реального часу отримувати докладні звіти про стан роботи мережі.
