Курс - Информационные технологии

Подождите немного. Документ загружается.

часто применяют оригинальные методы проникновения в систему, используют

полиморфик-технологии. Другой пример такого сочетания — сетевой макро-

вирус, который не только заражает редактируемые документы, но и рассылает

свои копии по электронной почте.

Заражаемая операционная система (вернее, ОС, объекты которой под-

вержены заражению) является вторым уровнем деления вирусов на классы.

Каждый файловый или сетевой вирус заражает файлы какой-либо одной или

нескольких OS: DOS, Win3.xx, Win9x/NT, OS/2 и т.д. Макро-вирусы заражают

файлы форматов Word, Excel, другие пакеты Office 97 (2000). Загрузочные ви-

русы также ориентированы на конкретные форматы расположения системных

данных в загрузочных секторах дисков. Среди особенностей алгоритма рабо-

ты вирусов выделяются следующие пункты:

— резидентность;

— использование стелс-алгоритмов;

— самошифрование и полиморфичность;

— использование нестандартных приемов.

Резидентный вирус при инфицировании компьютера оставляет в опе-

ративной памяти свою резидентную часть, которая затем перехватывает обра-

щения операционной системы к объектам заражения и внедряется в них. Рези-

дентные вирусы находятся в памяти и являются активными вплоть до выклю-

чения компьютера или перезагрузки операционной системы. Нерезидентные

вирусы не заражают память компьютера и сохраняют активность ограниченное

время. Некоторые вирусы оставляют в оперативной памяти небольшие рези-

дентные программы, которые не распространяют вирус. Такие вирусы счита-

ются нерезидентными.

Резидентными можно считать макро-вирусы, так как они постоянно

присутствуют в памяти компьютера на все время работы зараженного редакто-

ра. При этом роль операционной системы берет на себя редактор, а понятие

«перезагрузка операционной системы» трактуется как выход из редактора.

В многозадачных операционных системах время «жизни» резидентного

DOS-вируса также может быть ограничено моментом закрытия зараженного

DOS-окна, а активность загрузочных вирусов в некоторых операционных сис-

темах ограничивается моментом инсталляции дисковых драйверов ОС.

Использование стелс-алгоритмов позволяет вирусам полностью или

частично скрыть себя в системе. Наиболее распространенным степс-

алгоритмом является перехват запросов ОС на чтение/запись зараженных объ-

ектов. Стелс-вирусы при этом либо временно лечат их, либо «подставляют»

вместо себя незараженные участки информации. В случае макро-вирусов наи-

более популярный способ — запрет вызовов меню просмотра макросов. Один

из первых файловых стелс-вирусов — вирус «Frodo», первый загрузочный

стелс-вирус — «Brain».

Самошифрование и полиморфичность используются практически

всеми типами вирусов для того, чтобы максимально усложнить процедуру де-

тектирования вируса. Полиморфик-вирусы — это достаточно трудно обнару-

живаемые вирусы, не имеющие сигнатур, т.е. не содержащие ни одного посто-

янного участка кода. В большинстве случаев два образца одного и того же по-

лиморфик-вируса не будут иметь ни одного совпадения. Это достигается шиф-

рованием основного тела вируса и модификациями программы-

расшифровщика.

Различные нестандартные приемы часто используются в вирусах для то-

го, чтобы как можно глубже спрятать себя в ядре ОС (как это делает вирус «За-

раза»), защитить от обнаружения свою резидентную копию (вирусы «TPVO»,

«Trout 2»), затруднить лечение от вируса (например, поместив свою копию в

Flash-BIOS) и т.д.

По деструктивным возможностям вирусы можно разделить:

— на безвредные, т.е. никак не влияющие на работу компьютера (кроме

уменьшения свободной памяти на диске в результате своего распространения);

— неопасные, влияние которых ограничивается уменьшением свобод-

ной памяти на диске и графическими, звуковыми и прочими эффектами;

— опасные вирусы, которые могут привести к серьезным сбоям в работе

компьютера;

— очень опасные, в алгоритм работы которых заведомо заложены про-

цедуры, которые могут привести к потере программ, уничтожить данные, сте-

реть необходимую для работы компьютера информацию, записанную в систем-

ных областях памяти, и даже, как гласит одна из непроверенных компьютерных

легенд, способствовать быстрому износу движущихся частей механизмов —

вводить в резонанс и разрушать головки некоторых типов винчестеров.

Но даже если в алгоритме вируса не найдено ветвей, наносящих ущерб

системе, этот вирус нельзя с полной уверенностью назвать безвредным, так как

проникновение его в компьютер может вызвать непредсказуемые и порой ката-

строфические последствия. Ведь вирус, как и всякая программа, имеет ошибки,

в результате которых могут быть испорчены как файлы, так и сектора дисков

(например, вполне безобидный на первый взгляд вирус «DenZuk» довольно

корректно работал с дискетами 360 Кб, но мог уничтожить информацию на

дискетах большего объема). До сих пор попадаются вирусы, определяющие

«СОМ» или «ЕХЕ» не по внутреннему формату файла, а по его расширению.

Естественно, что при несовпадении формата и расширения в имени файл после

заражения оказывается неработоспособным. Возможно также «заклинивание»

резидентного вируса и системы при использовании новых версий Windows или

других мощных систем.

По особенностям алгоритма вирусы трудно классифицировать из-за

большого разнообразия, но можно разделить по признакам:

— компаньон-вирусы (companion) — алгоритм работы этих вирусов со-

стоит в том, что они создают для ЕХЕ-файлов файлы-спутники, имеющие то же

самое имя, но с расширением СОМ. При запуске такого файла DOS первым об-

наружит и выполнит СОМ-файл, т.е. вирус, который затем запустит и ЕХЕ-

файл;

— вирусы-«черви» (worm) — вариант компаньон-вирусов. «Черви» не

связывают свои копии с какими-то файлами. Они создают свои копии на дисках

и в подкаталогах дисков, никаким образом не изменяя других файлов и не ис-

пользуя СОМ-ЕХЕ прием, описанный выше;

— «сетевые черви» — смотрите ниже «сетевые вирусы»;

— «паразитические» — все вирусы, которые при распространении своих

копий обязательно изменяют содержимое дисковых секторов или файлов. В эту

группу относятся все вирусы, которые не являются «червями» или «компаньон-

вирусами»;

— «студенческие» — крайне примитивные вирусы, часто нерезидентные

и содержащие большое число ошибок;

— «стелс»-вирусы (вирусы-невидимки, stealth) — представляют собой

весьма совершенные программы, которые перехватывают обращения OS к по-

раженным файлам или секторам дисков и «подставляют» вместо себя незара-

женные участки информации. Кроме того, такие вирусы при обращении к фай-

лам используют достаточно оригинальные алгоритмы, позволяющие «обманы-

вать» резидентные антивирусные мониторы;

— «полиморфик»-вирусы (самошифрующиеся или вирусы-призраки,

polymorphic) — достаточно трудно обнаруживаемые вирусы, не содержащие ни

одного постоянного участка кода. В большинстве случаев два образца одного и

того же полиморфик-вируса не будут иметь ни одного совпадения. Это дости-

гается шифрованием основного тела вируса и модификациями программы-

расшифровщика;

— «макро-вирусы» — вирусы этого семейства используют возможности

макро-языков (таких, как Word Basic), встроенных в системы обработки данных

(текстовые редакторы, электронные таблицы и т.д.). В настоящее время широко

распространены макро-вирусы, заражающие документы текстового редактора

Microsoft Word и электронные таблицы Microsoft Excel;

— сетевые вирусы («сетевые черви») — вирусы, которые распространя-

ются в компьютерной сети и, так же как и компаньон-вирусы, не изменяют

файлы или сектора на дисках. Они проникают в память компьютера из компью-

терной сети, вычисляют сетевые адреса других компьютеров и рассылают по

этим адресам свои копии. Такие вирусы иногда создают рабочие файлы на дис-

ках системы, но могут вообще не обращаться к ресурсам компьютера (за ис-

ключением оперативной памяти). Сетевых вирусов известно всего несколько

штук. Например, XMasTree, Вирус Морриса (Internet Worm).

4. Программы обнаружения и защиты от вирусов

Для обнаружения, удаления и защиты от компьютерных вирусов разра-

ботано несколько видов специальных программ, которые позволяют обнаружи-

вать и уничтожать вирусы. Такие программы называются антивирусными. Раз-

личают следующие виды антивирусных программ:

— программы-детекторы;

— программы-доктора или фаги;

— программы-ревизоры;

— программы-фильтры;

— программы-вакцины или иммунизаторы.

Программы-детекторы осуществляют поиск характерной для конкретно-

го вируса сигнатуры в оперативной памяти и в файлах и при обнаружении вы-

дают соответствующее сообщение. Недостатком таких антивирусных программ

является то, что они могут находить только те вирусы, которые известны раз-

работчикам таких программ.

Программы-доктора, или фаги, а также программы-вакцины не только

находят зараженные вирусами файлы, но и «лечат» их, т.е. удаляют из файла

тело программы-вируса, возвращая файлы в исходное состояние. В начале сво-

ей работы фаги ищут вирусы в оперативной памяти, уничтожая их, и только за-

тем переходят к «лечению» файлов. Среди фагов выделяют полифаги, т.е. про-

граммы-доктора, предназначенные для поиска и уничтожения большого коли-

чества вирусов. Наиболее известные из них: Aidstest, Scan, Norton AntiVirus,

Doctor Web.

Учитывая, что постоянно появляются новые вирусы, программы-

детекторы и программы-доктора быстро устаревают и требуется регулярное

обновление версий.

Программы-ревизоры относятся к самым надежным средствам защиты

от вирусов. Ревизоры запоминают исходное состояние программ, каталогов и

системных областей диска тогда, когда компьютер не заражен вирусом, а затем

периодически или по желанию пользователя сравнивают текущее состояние с

исходным. Обнаруженные изменения выводятся на экран монитора. Как прави-

ло, сравнение состояний производят сразу после загрузки операционной систе-

мы. При сравнении проверяются длина файла, код циклического контроля

(контрольная сумма файла), дата и время модификации, другие параметры.

Программы-ревизоры имеют достаточно развитые алгоритмы, обнаруживают

Stealth-вирусы и могут даже очистить изменения версии проверяемой програм-

мы от изменений, внесенных вирусом. К числу программ-ревизоров относится

широко распространенная в России программа Adinf.

Программы-фильтры, или «сторожа», представляют собой небольшие

резидентные программы, предназначенные для обнаружения подозрительных

действий при работе компьютера, характерных для вирусов. Такими действия-

ми могут являться:

— попытки коррекции файлов с расширениями СОМ, ЕХЕ;

— изменение атрибутов файла;

— прямая запись на диск по абсолютному адресу;

— запись в загрузочные сектора диска;

— загрузка резидентной программы.

При попытке какой-либо программы произвести указанные действия

«сторож» посылает пользователю сообщение и предлагает запретить или раз-

решить соответствующее действие. Программы-фильтры весьма полезны, так

как способны обнаружить вирус на самой ранней стадии его существования до

размножения. Однако они не «лечат» файлы и диски. Для уничтожения вирусов

требуется применить другие программы, например фаги. К недостаткам про-

грамм-сторожей можно отнести их «назойливость» (например, они постоянно

выдают предупреждение о любой попытке копирования исполняемого файла), а

также возможные конфликты с другим программным обеспечением.

Вакцины, или иммунизаторы, — это резидентные программы, предот-

вращающие заражение файлов. Вакцины применяют, если отсутствуют про-

граммы-доктора, уничтожающие этот вирус. Вакцинация возможна только от

известных вирусов. Вакцина модифицирует программу или диск таким обра-

зом, чтобы это не отражалось на их работе, а вирус будет воспринимать их за-

раженными и поэтому не внедрится. В настоящее время программы-вакцины

имеют ограниченное применение, в основном в среде DOS.

Своевременное обнаружение зараженных вирусами файлов и дисков,

полное уничтожение обнаруженных вирусов на каждом компьютере позволяют

избежать распространения вирусной эпидемии на другие компьютеры.

5. Основные меры по защите от вирусов

Для того чтобы не подвергнуть компьютер заражению вирусами и обес-

печить надежное хранение информации на дисках, необходимо соблюдать сле-

дующие правила:

1. Оснастить компьютер современными антивирусными программами,

например Aidstest, Doctor Web, Norton AntiVirus, и постоянно возобновлять их

версии.

2. Перед считыванием с дискет информации, записанной на других ком-

пьютерах, всегда проверять эти дискеты на наличие вирусов, запуская антиви-

русные программы своего компьютера.

3. При переносе на свой компьютер файлов в архивированном виде про-

верять их сразу же после разархивации на жестком диске, ограничивая область

проверки только вновь записанными файлами.

4. Периодически проверять на наличие вирусов жесткие диски компью-

тера, запуская антивирусные программы для тестирования файлов, памяти и

системных областей дисков с защищенной от записи дискеты, предварительно

загрузив операционную систему с защищенной от записи системной дискеты.

5. Всегда защищать свои дискеты от записи при работе на других ком-

пьютерах, если на них не будет производиться запись информации.

6. Обязательно делать архивные копии на дискетах ценной для вас ин-

формации.

7. Использовать антивирусные программы для входного контроля всех

исполняемых файлов, получаемых из компьютерных сетей.

Web-узлы, посвященные защите информации

AntiOnline.com (www.AntiOnline.com) — антихакерские и антивирус-

ные новости и продукты. Узел основан Джоном Вранесевичем, который снача-

ла прославлял хакеров, а позже стал их гонителем.

CERT Coordination Center (www.cert.org) — разбор и профилактика

инцидентов, связанных с нарушением компьютерной безопасности, обучение

пользователей. Узел создан в расчете на крупные сети, но содержит много по-

лезной информации для пользователей ПК.

Gibson Research Corporation (www.grc.com) — здесь работает Shields

Up, несложная утилита для Web, оценивающая степень защищенности вашего

компьютера (проверка состояния портов). Кроме того, Стив Гибсон, разработ-

чик ПО и специалист по компьютерной безопасности, дает посетителям немало

полезных советов.

HackerWhacker (www.hackerwhacker.com) — этот узел обещает, что

«вы увидите свой компьютер глазами хакера» и сканирует его порты в поисках

уязвимых мест. Однократное сканирование основных портов выполняется бес-

платно, повторное и более тщательное — за плату, размер которой может быть

различным.

HappyHacker (www.happyhacker.org) — авторы этого узла зовут себя

«хакерами в белых шляпах». Он представляет массу информации о том, как

быть хакером и как защититься от хакера. Не оправдывая компьютерных пре-

ступлений, авторы узла признают, что их информация способна послужить как

добрым, так и злым намерениям. Прекрасная возможность заглянуть во внут-

ренний мир хакера.

InfoWorld Security Watch (www.mfoworld.com/opinions) — регулярно

обновляемая колонка по актуальным вопросам компьютерной безопасности,

которую ведут Стюарт Макклюр и Джоэль Скембрей, авторы отлично напи-

санной и глубокой книги Hacking Exposed («Разоблачение хакерства»).

Microsoft TechNet on Security (www.microsoft.com/technet/security/) —

руководство по оценке потребностей в защите и реализации соответствующих

мер; хотя оно адресовано специалистам по информационным технологиям, ту-

да не мешает заглянуть и простым смертным. Здесь имеются также связанные с

вирусами и защитой обновления модули корректировки для Windows, Outlook

и Internet Explorer.

Network ICE AdvICE (advice.networkice.com) — собрание часто зада-

ваемых вопросов, ссылок и статей по вопросам защиты, подготовленное со-

трудниками компании, которая выпустила брандмауэр BlackICE Defender, по-

лучивший от редакции PC World титул «Лучший выбор».

SANS Institute (http://www.sans.org/) — Институт системного админи-

стрирования, сетей и безопасности — это основанная в 1989 г. исследователь-

ская и образовательная организация, насчитывающая сейчас 96 тыс. членов. На

Web-узле института имеется много статей, связанных с защитой. Очень цен-

ным источником информации является список портов, используемых «троян-

скими конями».

Secure-Me-Automated Security Testing (http://www.secure-me.net/) —

на этом узле можно подвергнуть порты компьютера двум бесплатным тестам:

экспресс-проверке Sield Probe и более тщательному сканированию, при кото-

ром приходится ждать в очереди, иногда больше часа. Результаты пересылают-

ся пользователю по почте.

Vniyths.com, ранее Computer Virus Myths (http://www.vmyths.com/) —

автор этого узла Роб Розенберг собирает и разоблачает современные легенды о

вирусах. Именно сюда следует в первую очередь обратиться, получив по элек-

тронной почте предупреждение о «совершенно новом крайне опасном вирусе».

Лаборатория Касперского (www.avp.ru) — сайт посвящен антивирус-

ной защите и персонально программе AVP, включая последние тематические

новости и обновление антивирусных баз.

КРИПТОГРАФИЧЕСКАЯ ЗАЩИТА ИНФОРМАЦИИ

1. Необходимость криптографической защиты информации

В древности, когда надо было удостоверить лиц получателей того или

иного документа людям приходилось использовать разные способы. Это были

бумага со специальным оттиском, перстни с инициалами или подписи. К бума-

гам особой важности, кроме обычных реквизитов, прикреплялись дополни-

тельные в виде ленточек и т.д.

Сегодня, когда документооборот с каждым годом все увеличивается и

увеличивается, темпы ведения дел ускоряются, появляется множество инфор-

мационных технологий, позволяющих со скоростью света переносить докумен-

ты из одного города в другой, а также менять информацию в режиме on-line,

появилась всемирная сеть Интернет, все это ставит перед современным доку-

ментом особые требования.

Особого внимания требует защита информации и документов. Перенос

документооборота в электронные средства связи требует и особых средств и

методов, удостоверяющих документы и сохраняющих их.

Однако документооборот и сами документы регламентируются законо-

дательством. Соответственно, и современные средства защиты документов, в

том числе и электронная цифровая подпись, требует регламентации на государ-

ственном уровне. От того, какие информационные технологии будут разреше-

ны законом, зависит ускорение документооборота и то, как будет развиваться

электронный документооборот в России.

В последнее время в мире и у нас в стране широко обсуждается пробле-

матика электронной цифровой подписи (ЭЦП). В конце 1999 г. страны Единой

Европы приняли положение о поэтапном введении общего порядка применения

ЭЦП.

На конференциях по электронной коммерции и специализированных

семинарах, посвященных ЭЦП, рассматриваются всевозможные вопросы юри-

дической силы электронных документов и создания инфраструктуры удостове-

рения их подлинности. Все это связано с развитием электронной торговли или

коммерции посредством сети Интернет. И этот способ торговли становится все

более популярным, по крайней мере там, где Интернетом можно воспользо-

ваться значительной части населения.

По мнению ведущих зарубежных специалистов, развитие этого процесса

во многом определяется прогрессом в области безопасности информации. Сле-

дует напомнить, что ЭЦП является средством защиты информации и обеспечи-

вает такие ее качества или свойства, как целостность и юридическая значи-

мость.

Это следует из «ГОСТ Р34.10 — 94. Информационная технология.