Арутюнов В.В. Основы информационной безопасности

Подождите немного. Документ загружается.

111

В отличие от червей, вирусы не используют сетевых сервисов для про-

никновения на другие компьютеры. Копия вируса попадает на удалённые

компьютеры только в том случае, если зараженный объект по каким-либо

не зависящим от функционала вируса при чинам оказывается активизиро-

ванным на другом компьютере, на пример:

– при заражении доступных дисков вирус проник в файлы, рас-

положенные на сетевом ресурсе;

– вирус скопировал себя на съёмный носитель или заразил фай лы на

нем;

– пользователь отослал электронное письмо с зараженным вло жением.

Некоторые вирусы содержат в себе свойства других разновидно стей

вредоносного программного обеспечения, например, троянскую компонен-

ту уничтожения информации на диске.

Так как вирус самостоятельно обеспечивает свое размножение и рас-

пространение, пользователь, в случае обнаружения вируса, дол жен прове-

рить всю систему, уничтожая копии вируса. Если удалось уничтожить все

копии вируса, то можно сказать, что вылечена вся система; в противном

случае уцелевшие копии снова размножаются и все неприятности повто-

рятся. Своим названием компьютерные ви русы обязаны определенному

сходству с биологическим вирусами по следующим особенностям:

– способности к саморазмножению;

– высокой скорости распространения;

– избирательности поражаемых систем (каждый вирус поражает толь-

ко определенные системы или однородные группы систем);

– способности «заражать» еще незараженные системы;

– трудности борьбы с вирусами и т. д.

В последнее время к этим особенностям, характерным для виру сов,

можно добавить еще и постоянно увеличивающуюся быстроту появления

модификаций и новых поколений вирусов.

Только если в случае вирусов биологических эту скорость можно объяс-

нить могуществом и изобретательностью природы, то вирусы компьютер-

ные скоростью возникновения новых штаммов обязаны ис ключительно

идеям людей определенного склада ума.

Программа, внутри которой находится вирус, называется «за раженной».

Когда такая программа начинает работу, то сначала управление получает

вирус. Вирус находит и «заражает» другие программы, а также выполняет

какие-нибудь вредные действия (например, портит файлы или таблицу

размещения файлов на дис ке, «засоряет» оперативную память и т. д.). Для

маскировки виру са действия по заражению других программ и нанесению

вреда могут выполняться не всегда, а, скажем, при выполнении опреде-

ленных условий.

112

5.4.1. Классификация вирусов

Е. Касперский — авторитетнейший «вирусолог» страны, один из созда-

телей антивирусного продукта AVP, предлагает условно класси фицировать

вирусы по следующим признакам:

– по среде обитания вируса;

– по способу заражения среды обитания;

– по деструктивным возможностям;

– по особенностям алгоритма вируса.

Более подробная классификация внутри этих групп представлена на

рис. 5.1.

Основными путями проникновения вирусов в компьютер являют ся

съемные диски, а также компьютерные сети. Заражение жесткого диска ви-

русами может произойти при загрузке программы с дискеты, содержащей

вирус. Такое заражение может быть и случайным, на пример, если дискету

не вынули из дисковода и перезагрузили ком пьютер; при этом дискета мо-

жет быть системной. Заразить дискету гораздо проще. На нее вирус может

попасть, даже если дискету просто вставили в дисковод зараженного ком-

пьютера и, например, прочитали ее оглавление.

Способы заражения программ:

– метод приписывания. Код вируса приписывается к концу зара жаемой

программы, и тем или иным способом осуществляется пере ход вычисли-

тельного процесса на команды этого фрагмента;

– метод оттеснения. Код вируса располагается в начале зара женной

программы, а тело самой программы приписывается к концу;

– метод вытеснения. Из начала (или середины) файла «изымает ся»

фрагмент, равный по объему коду вируса, и приписывается к концу фай-

ла. Сам вирус записывается в освободившееся место. Раз новидность метода

вытеснения — когда оригинальное начало файла не сохраняется вообще.

Такие программы являются «убитыми на смерть» и не могут быть восста-

новлены никаким антивирусом;

– прочие методы. Сохранение вытесненного фрагмента програм мы в

«кластерном хвосте» файла и пр.

Стандартные методы заражения

Случай СОМпрограммы. Тело вируса приписывается к концу фай ла, где-

то внутри его сохраняются несколько (обычно, три) байтов оригинального

начала программы, на их место записываются коман ды перехода на начало

вируса. Когда вирус заканчивает выполнение предусмотренных им дей-

ствий, он восстанавливает оригинальные бай ты начала программы и пере-

дает туда управление.

Случаи ЕХЕпрограммы. Тело вируса приписывается к концу фай ла, в

заголовке его модифицируются значения полей, определяющих местопо-

113

114

ложение точки входа и размер программы (иногда еще — местоположения

стека). В результате управление получает вирусный код. По окончании ра-

боты вирус, используя сохраненные при зара жении значения измененных

полей, осуществляет переход на ориги нальное начало программы.

5.4.2. Признаки проявлений вируса

При заражении компьютера вирусом важно его обнаружить. Для этого

следует знать об основных признаках проявления виру сов. К ним можно от-

нести следующие:

– прекращение работы или неправильная работа ранее успешно функ-

ционировавших программ;

– медленная работа компьютера;

– невозможность загрузки операционной системы;

– исчезновение файлов и каталогов или искажение их содержимого;

– изменение даты и времени модификации файлов;

– изменение размеров файлов;

– неожиданное значительное увеличение количества файлов на диске;

– существенное уменьшение размера свободной оперативной памяти;

– вывод на экран непредусмотренных сообщений или изображений;

– подача непредусмотренных звуковых сигналов;

– частые зависания и сбои в работе компьютера.

Следует отметить, что вышеперечисленные явления необязатель но вы-

зываются присутствием вируса, а могут быть следствием дру гих причин.

Для защиты от вирусов можно использовать:

– общие средства защиты информации, которые полезны также и как

страховка от физической порчи дисков, неправильно работающих про-

грамм или ошибочных действий пользователя;

– профилактические меры, позволяющие уменьшить вероятность зара-

жения вирусом;

– специализированные программы для защиты от вирусов.

Имеются две основные разновидности общих средств защиты инфор-

мации, обеспечивающие:

– копирование информации — создание копий файлов и систем ных об-

ластей дисков;

– разграничение доступа, которое предотвращает несанкциониро-

ванное использование информации, в частности защиту от измене ний про-

грамм и данных вирусами, неправильно работающими про граммами и оши-

бочными действиями пользователей.

Для обнаружения, удаления и защиты от компьютерных вирусов разра-

ботано несколько видов специальных программ, которые позволя ют обна-

руживать и уничтожать вирусы. Такие программы называются антивирус-

ными. Различают следующие виды антивирусных программ:

115

– программы-детекторы;

– программы-доктора, или фаги;

– программы-ревизоры;

– программы-фильтры;

– программы-вакцины, или иммунизаторы.

Программыдетекторы осуществляют поиск характерного для кон-

кретного вируса кода (сигнатуры) в оперативной памяти и в фай лах и при

обнаружении выдают соответствующее сообщение. Недо статком таких

антивирусных программ является то, что они могут находить только те ви-

русы, которые известны разработчикам таких программ.

Программыдоктора, или фаги, а также программы-вакцины не толь-

ко находят зараженные вирусами файлы, но и «лечат» их, т. е. удаляют из

файла тело программы-вируса, возвращая файлы в ис ходное состояние. В

начале своей работы фаги ищут вирусы в оперативной памяти, уничтожая

их, и только затем переходят к «ле чению» файлов. Среди фагов выделяют

полифаги, т. е. программы- доктора, предназначенные для поиска и уничто-

жения большого ко личества вирусов. Наиболее известные из них: Norton

Antivirus, Doctor Web, Aidstest и некоторые др.

Учитывая, что постоянно появляются новые вирусы, программы- детек-

торы и программы-доктора быстро устаревают, что требует ре гулярного

обновления версий.

Программыревизоры относятся к самым надежным средствам защиты

от вирусов. Ревизоры запоминают исходное состояние про грамм, каталогов

и системных областей диска тогда, когда компьютер не заражен вирусом, а

затем периодически или по желанию пользо вателя сравнивают текущее со-

стояние с исходным. Обнаруженные изменения выводятся на экран мони-

тора. Как правило, сравнение состояний производят сразу после загрузки

операционной системы. При сравнении проверяются длина файла, код ци-

клического контроля (контрольная сумма файла), дата и время модифика-

ции, другие па раметры. Программы-ревизоры имеют достаточно развитые

алгорит мы, обнаруживают стелс-вирусы и могут даже очистить изменения

версии проверяемой программы от изменений, внесенных вирусом. К чис-

лу программ-ревизоров относится широко распространенная в России про-

грамма Adinf.

Антивирусные программы-ревизоры позволяют обнаружить вирус.

Чаще всего обнаружением вируса дело и заканчивается. Существу ет блок

лечения для популярного антивируса-ревизора Adinf, так на зываемый Cure

Module, но такой блок позволяет лечить лишь те файлы, которые не были

заражены на момент создания базы данных про граммы. Однако обнаружить

вирус на компьютере (или даже подо зрение на него) антивирусы-ревизоры

могут с большой степенью надежности. Обычно наиболее оптимальным яв-

ляется связка полифаг и ревизор. Ревизор служит для обнаружения факта

заражения системы. Если система заражена, то в дело пускается полифаг.

116

Если же ему не удалось уничтожить вирус, то можно обратиться к разра-

ботчику антивирусных средств — скорее всего, на компьютер попал новый,

неизвестный разработчикам вирус.

Основу работы ревизоров составляет контроль за изменениями, харак-

терными для работы вирусных программ. В них содержится информация: о

контрольных суммах неизменяемых файлов, содер жимом системных обла-

стей, адресах обработчиков прерываний, раз мере доступной оперативной

памяти и т. п. Вся остальная работа ревизора состоит в сравнении текущего

состояния диска с ранее сохраненными данными, поэтому крайне важно,

чтобы все контрольные таблицы создавались не на зараженной машине.

Только в этом слу чае работа ревизора будет достаточно эффективной.

Программыфильтры, или «сторожа», представляют собой не большие

резидентные программы, предназначенные для обнаруже ния подозри-

тельных действий при работе компьютера, характерных для вирусов. Таки-

ми действиями могут являться:

– попытки коррекции файлов с расширениями СОМ, ЕХЕ;

– изменение атрибутов файла;

– прямая запись на диск по абсолютному адресу;

– запись в загрузочные сектора диска;

– загрузка резидентной программы.

При попытке какой-либо программы произвести указанные действия

«сторож» посылает пользователю сообщение и предлагает запретить или

разрешить соответствующее действие. Программы-фильтры весь ма по-

лезны, так как способны обнаружить вирус на самой ранней стадии его су-

ществования до размножения. Однако они не «лечат» файлы и диски. Для

уничтожения вирусов требуется применить другие программы, например,

фаги. К недостаткам программ-сторожей можно отнести их «назойливость»

(например, они постоянно выдают предуп реждение о любой попытке ко-

пирования исполняемого файла), а также возможные конфликты с другим

программным обеспечением.

Вакцины, или иммунизаторы,— это резидентные программы, пре-

дотвращающие заражение файлов. Вакцины применяют, если отсут ствуют

программы-доктора, «лечащие» от вируса. Вакцинация воз можна только от

известных вирусов. Вакцина модифицирует програм му или диск таким об-

разом, чтобы это не отражалось на их работе, а вирус будет воспринимать

их зараженными и поэтому не внедрится.

Для борьбы с компьютерными вирусами наиболее часто применя ются

антивирусные программы, реже — аппаратные средства защиты. Однако,

в последнее время наблюдается тенденция к сочетанию программных и

аппаратных методов защиты. Среди аппаратных устройств используются

специальные антивирусные платы, вставленные в стан дартные слоты рас-

ширения компьютера. Корпорация Intel предложила перспективную техно-

логию защиты от вирусов в сетях, суть которой заключается в сканирова-

117

нии систем компьютеров еще до их загрузки.

Рекордных результатов по разрушению информации добился ви рус

I Love You, который в 2000 г. нанес ущерб, оцениваемый в $8 млрд. В 2002 г.

впервые автор вируса оказался за решеткой. Создатель Melissa — 33-летний

программист Дэвид Смит (David L.Smith) — при говорен к 20 месяцам тю-

ремного заключения.

В 2003 г. рекорды скорости распространения побил «червь» Slammer,

заразивший 75 тыс. компьютеров в течение 10 минут. Ви рус поразил ком-

пьютеры Госдепартамента США (State Department), где повредил базу дан-

ных. Консульства США по всему миру вынуж дены были на 9 часов прервать

процесс выдачи виз.

По экспертным оценкам, общий объем мирового рынка антиви русного

ПО в 2005 г. составил около $2 млрд.

Наиболее распространенными антивирусными программами яв ляются

AVP, DRWEB, Norton Antivirus. Массивы данных обычно вы лечиваются с по-

мощью указанных комплексов антивирусных про грамм, но иногда файлы

приходится уничтожать при заражении их новым вирусом. В связи с этим

всегда в сейфе необходимо хранить исходные версии основных программ

и массивов.

В настоящее время, например, AVP позволяет обнаружить и обезвре-

дить свыше 360 тыс. вирусов. Он обладает следующими возможностями:

1. Надежность защиты.

Главная задача при построении системы безопасности масштаба пред-

приятия — обеспечение бесперебойной работы всех компонентов решения.

Надежность и эффективность AVP подтверждены полным набором серти-

фикатов, подтверждающих качество. Среди них: сер тификат и лицензия Го-

стехкомиссии России, сертификат независимой тестовой лаборатории West

Coast Labs по трем уровням соответствия (Level 1, Level 2, Trojan), сертифи-

кат Международной ассоциации ком пьютерной безопасности, сертификат

Microsoft на совместимость с операционной системой Windows.

2. Полномасштабное решение вопросов компьютерной безо пасности.

В поставку AVP может входить набор дополнительных услуг, ос новной

целью которых является построение законченной, комплекс ной системы

безопасности. «Лаборатория Касперского» оказывает услуги по инсталля-

ции и настройке системы компьютерной безопас ности, обучению пользо-

вателей, расширенной технической поддерж ке и выездам специалистов. В

результате клиент получает закончен ное решение, максимально соответ-

ствующее системным требованиям и специфике ведения бизнеса.

3. Интегрируемость.

AVP специально разработан с учетом условий использования на пред-

приятиях уровня корпорации. За счет применения самых совре менных ме-

тодов разработки продукт может быть органично интегри рован в уже су-

ществующие вычислительные системы и может быть легко настроен под

118

специфические задачи. Продукт является отчуж даемым, что позволяет пер-

соналу клиента самостоятельно проводить все необходимые настройки и

поддержку работы системы.

4. Мультиплатформенность.

Инфраструктура современной корпорации представляет собой слож-

ный механизм, в котором используются одновременно несколь ко типов

операционных систем и приложений. Исходя из этого, AVP содержит в себе

мультиплатформенные компоненты по защите ра бочих станций, файловых

серверов, почтовых шлюзов, межсетевых экранов и Web-серверов. AVP под-

держивает все наиболее популяр ные операционные среды.

5. Комплексная защита корпоративной сети.

AVP поддерживает широкий спектр платформ и приложений. Он за-

щищает рабочие станции, файловые серверы, серверы приложе ний, Web-

серверы и контролирует потоки данных, проходящих через почтовые шлю-

зы и межсетевые экраны. В AVP также интегрирована уникальная система

управления антивирусной защитой. Сетевой Центр Управления позволяет

централизованно устанавливать и управлять продуктом в рамках корпора-

тивной сети.

6. Полный набор средств антивирусной защиты.

В состав AVP входят все передовые способы борьбы с вируса ми: антиви-

русный сканер для проверки мест хранения данных; ан тивирусный мони-

тор для проверки всех используемых файлов в мас штабе реального време-

ни; ревизор изменений для контроля це лостности данных на компьютерах;

уникальный модуль фонового перехвата вирусов; поведенческий блокира-

тор, обеспечивающий 100% защиту от макровирусов. Комбинированное ис-

пользование этих технологий сводит вероятность проникновения вирусов

практически к нулю. Благодаря интегрированной системе эвристического

анализа программ AVP предотвращает заражение неизвестными вирусами.

Помимо использования в интересах защиты от вирусов антиви русных

программ широко используют и организационные меры безо пасности. Для

уменьшения опасности от вирусных атак возможно предпринять опреде-

ленные действия, которые для каждого конкрет ного случая могут быть со-

кращены или расширены. Вот некоторые из таких действий.

1. Информировать всех сотрудников предприятия об опасности и воз-

можном ущербе в случае вирусных атак.

2. Не осуществлять неофициальные связи с другими предприя тиями по

обмену (получению) программным обеспечением. Запре тить сотрудникам

приносить программы «со стороны» для установки их в системы обработки

информации. Должны использоваться только официально распространен-

ные лицензионные программы.

3. Запретить сотрудникам использовать компьютерные игры на ПЭВМ,

обрабатывающих конфиденциальную и ценную информацию.

4. Для выхода на сторонние информационные сети необходимо выде-

119

лить отдельное специальное место.

5. Создать архив копий программ и данных (некоторые вирусы не обез-

вреживаются).

6. Периодически проводить проверку контрольным суммирова нием

или сравнением с «чистым» используемого программного обес печения.

7. Установить системы защиты информации на особо важных ПЭВМ.

Применять специальные антивирусные средства для обнару жения вирусов

и предотвращения их опасных действий.

8. Периодически пересматривать правила обеспечения безопас ности

и определять возможности использования дополнительных мер защиты.

Контролировать исполнение существующих правил обеспе чения безопас-

ности.

В настоящее время можно выделить следующие тенденции в развитии

компьютерных вирусов.

1. Расчет на рядового пользователя. Повсеместная компьюте ризация

привела к тому, что большинство современных пользовате лей компьюте-

ров не обладают достаточной квалификацией, в том числе в вопросах ин-

формационной безопасности и защиты от виру сов. Авторы вредоносных

программ при их создании, безусловно, учитывают данное обстоятельство,

рассчитывая на то, что жертва не будет достаточно оснащена средствами

защиты и усилия по их обходу вирусом просто не потребуются. Примером

здесь могут служить вирусы, внедряемые в почтовые сообщения и начина-

ющие свое выполнение автоматически при его открытии в почтовом кли-

енте (как известно, в наиболее распространенном клиенте Outlook Express

режим автоматического открытия сообщений включен по умолчанию и

обычно не изменяется большинством пользователей).

2. Применение методов социальной инженерии. Данная тенден ция яв-

ляется продолжением предыдущей и заключается в том, что многие из со-

временных вирусов в качестве побудительного мотива к своему запуску ис-

пользуют психологические приемы. Наиболее показательными примерами

в данном случае являются такие виру сы, как «I love you» и «Анна Курнико-

ва», побудительным мотивом к запуску которых является просто любопыт-

ство человека, а не тради ционные технологические приемы.

3. Сетевой характер, массовость. Повсеместное распространение сети

Internet и связанных с ней сервисов (электронная почта, Web-сервисы и

т.п.) создали практически идеальную инфраструктуру рас пространения

вирусов на любые расстояния почти мгновенно. Если раньше основным

путем заражения являлись магнитные носители информации, что значи-

тельно ограничивало масштабы и скорость рас пространения вредоносных

программ, то сейчас данные ограничения практически устранены. Появил-

ся даже соответствующий термин «эпи демия компьютерных вирусов», обо-

значающий широкомасштабное распространение вируса (миллионы копий

за несколько дней).

120

4. Использование уязвимостей базового программного обеспече ния. Для

своего внедрения и запуска современные компьютерные вирусы, как пра-

вило, используют не изощренные алгоритмы, а уяз вимости, свойственные

наиболее распространенным программным средствам — операционным

системам и основным приложениям (Web-браузерам, почтовым клиентам,

редакторам и т. п.). В данном контек сте можно говорить, что происходит

сращивание технологий компью терных вирусов и компьютерных атак.

5. Координация работы отдельных экземпляров вируса. Одной из по-

следних тенденций в развитии вирусных технологий можно считать соз-

дание вирусов, обеспечивающих условия для последующих бо лее масштаб-

ных вредоносных воздействий.

5.5. Протоколирование м аудит

Под протоколированием понимается сбор и накопление информа ции о

событиях, происходящих в информационной системе пред приятия. У каж-

дого сервиса свой набор возможных событий, но в любом случае их можно

подразделить на внешние (вызванные действиями других сервисов), вну-

тренние (вызванные действиями само го сервиса) и клиентские (вызван-

ные действиями пользователей и администраторов).

Аудит — это анализ накопленной информации, проводимый опера-

тивно, (почти) в реальном времени, периодически (например, раз в день)

или в целях контроля системы защиты информации.

Реализация протоколирования и аудита преследует следующие глав-

ные цели:

– обеспечение подотчетности пользователей и администраторов;

– обеспечение возможности реконструкции последовательности собы-

тий;

– обнаружение попыток нарушения информационной безопас ности;

– предоставление информации для выявления и анализа проблем.

Пожалуй, протоколирование, как никакое другое средство безо пасности,

требует для своей реализации здравого смысла. Какие события регистри-

ровать? С какой степенью детализации? На подоб ные вопросы невозмож-

но дать универсальные ответы. Необходимо следить за тем, чтобы, с одной

стороны, достигались перечисленные выше цели, а, с другой стороны, рас-

ход ресурсов не выходил за разумные рамки. Слишком обширное или де-

тальное протоколирова ние не только снижает производительность серви-

сов (что отрицатель но сказывается на доступности), но и затрудняет аудит,

то есть не увеличивает, а уменьшает информационную безопасность.

Еще одна особенность протоколирования и аудита — зависимость от

других средств безопасности. Идентификация и аутентификация служит

отправной точкой подотчетности пользователей, логическое управление

доступом защищает конфиденциальность и целостность регистрационной