Лекция 12. ЗАЩИТА ОТ ВРЕДОНОСНЫХ ПРОГРАММ
После изучения главы 12 студент должен:
знать
• опасности и угрозы потери информации, возникающие при воздействии вредоносных программ;
• законодательные меры защиты информации;
уметь
• работать с антивирусными программными средствами;
владеть
• основными приемами безопасной работы на компьютере.
Понятие вредоносных программ
В законодательстве России отсутствует определение вредоносных программ. Приведенное выше определение вредоносных программ не в полной мере соответствует реалиям сегодняшнего дня. Появились программы, действия которых нельзя классифицировать по ст. 272 или 274 УК РФ, но которые мировым сообществом специалистов по информационной безопасности и сотрудниками антивирусных компаний уже отнесены к разряду вредоносных.
Поэтому при классификации вредоносных программ будем исходить из главного классифицирующего признака в широкой трактовке – нанесения вреда работе пользователя.
Классификация вредоносных программ
Существуют различные классификации вредоносных программ. Например, по способу распространения – почтовые, сетевые и переносимые вместе с носителями. Чаще применяется классификация, основанная на систематизации мест нахождения вредоносных программ, объектов заражения и следов их действия в компьютере, на сервере, в других устройствах.
1. Черви. Вредоносные программы, которые несанкционированно (т.е. без ведома или без уведомления пользователя) создают свои копии на доступных носителях информации, включая и сетевые диски, постепенно занимая все свободное место. Этим способом они снижают скорость работы компьютера, вплоть до полной неработоспособности операционной системы. Черви не совершают деструктивных разрушительных действий и не проводят изменения хранимой на носителе информации, но могут блокировать работу отдельной программы или компьютера в целом. Лечение от червей сводится к поиску их или частей на носителях информации с последующим их удалением.
2. Вирусы. Вредоносные программы, которые несанкционированно создают свои копии, размещаемые, как правило, в объектах файловой системы. Вирусы заражают эти объекты, внедряя свой машинный код внутрь этих объектов, причем таким образом, чтобы код вируса исполнялся до начала работы зараженного объекта. Вирусы обладают (хотя и не все, но большинство) деструктивными действиями: нарушение работы операционной системы, прикладного программного обеспечения, разрушение файлов, разрушение каталогов, уничтожение файлов и папок, форматирование или шифрование носителей полностью или частично. Лечение от вирусов сводится к поиску и удалению заранее известного кода вируса внутри объектов файловой системы. После удаления вируса может потребоваться процедура восстановления работоспособности объекта, особенно файла с документом или программного файла. Удаление кода вируса, который способен шифровать код заражаемого объекта, может приводить к невозможности расшифрования и, следовательно, к потере "вылеченным" объектом работоспособности.
Вирусы классифицируют по местам заражения и местам нахождения следов вредоносной деятельности.
• Вирусы-спутники исполняемых файлов с расширением *.ехе. Создается одноименная копия *.соm вируса, которая из-за особенностей операционной системы всегда запускается раньше, чем основной *.ехе файл.
• Файловые вирусы. Поражают все виды двоичных исполняемых файлов, драйверы, объектные модули и системные библиотеки, записывая свое тело внутрь исполняемой программы таким образом, чтобы при запуске зараженной программы первоначально "приступал к работе" вирус.
• Загрузочные вирусы. Записывают в загрузочные сектора носителей информации головку вируса, размещая тело (большую часть кода) внутри отдельных файлов или программ, почти как файловые вирусы. Загрузочные сектора носителей читаются всегда при обращении к носителю, это позволяет активизировать вирус без открытия файла при вызове окна диска, выводе списка файлов, просмотре структуры дерева каталогов.
• Dir-вирусы (от слова директорий – каталог). Размещают свою "головку" таким образом, чтобы активизироваться при просмотре зараженного каталога или структуры дерева каталогов.
• Макровирусы. Способны проникать и заражать неисполняемые файлы, например файлы с документами и шаблонами, подготовленные с помощью текстового редактора Word, табличного процессора Excel. Переносятся и копируются вместе с зараженными документами.
3. Троянцы. Вредоносные программы, не осуществляющие на зараженном компьютере деструктивных, разрушающих действий и, как правило, проводящие шпионскую работу по сбору информации ограниченного доступа. Обычно, в отличие от других вирусов, нс занимаются несанкционированным копированием, а стараются резидентно, т.е. постоянно во время каждого сеанса работы, прописаться в оперативной памяти компьютера и отслеживать оттуда операции по вводу паролей. При наличии подключения компьютера к локальной или глобальной сети троянцы пытаются несанкционированно и незаметно для пользователя переслать перехваченные пароли хозяину, внедрившему его на компьютер.
Лечение от троянцев аналогично лечению от червей, сводится к поиску и удалению файлов с троянской программой.
4. Программы AdWare/SpyWare. Функционально похожи на троянцев, но их интерес не информация ограниченного доступа, а "простое" слежение за работой пользователя. Подобное слежение не наказуемо по российскому законодательству, но приносит ощутимый вред пользователю: сильно замедляет работу компьютера, занимает оперативную и дисковую память, увеличивает интернет- трафик. Лечение схоже с лечением от червей или троянцев, но осложняется скрытностью присутствия программ данного типа и их активным противодействием как лечению, так и удалению.
5. Программы обманщики (Hoax). Еще одна группа не наказуемых по российскому законодательству программ, которые изображают (симулируют) работу легальных программ, сообщая о наличии ошибок в их работе и требуя платы реальными деньгами за якобы лицензионный ключ для устранения ошибок и лечения. Например, Hoax.Renos подделывает работу антивирусной программы, постоянно сообщая о наличии десятков вредоносных программ даже в лицензионных версиях Windows. За лечение от псевдовирусов, создаваемых самим Hoax, естественно, необходимо заплатить.
6. Root Kit. Программы, позволяющие прятать, скрывать другие программы или процессы от операционной системы, файловых менеджеров и антивирусных программ. Лечение от Root Kit программ аналогично лечению от червей, сводится к поиску и удалению файлов. Сложность в том, что Root Kit технология изначально предназначена для сокрытия своих действий и действий других вредоносных программ от операционной системы и для противодействия антивирусным программам. Положение осложняется тем, что программы этого класса могут использоваться для благих целей – скрытному установлению и включению защитных механизмов на конкретном компьютере. Ряд фирм работает над созданием Root Kit программ, подключающих защиту до загрузки собственно операционной системы. А если эти программы подправить так, чтобы они "вздумали" отключить защиту или "включить" ненужные пользователю сервисы? Напомним, что антивирусные программы работают только под управлением операционной системы и лечить "до нее" не могут.
Прочие вредоносные программы представляют собой комбинации вышеперечисленных программ. Современные вредоносные программы практически все относятся именно к гибридным вредоносным программам.