9.2 Программные вирусы и их нейтрализация

Под программным вирусом (ПВ) понимается автономно функционирующая программа, обладающая способностью к самовыключению в тела других программ и последующему самовоспроизведению и самораспространению в информационно-вычислительных сетях и отдельных ЭВМ. Программные вирусы представляют собой весьма эффективное средство реализации практически всех угроз безопасности ЛВС. Поэтому вопросы анализа возможностей ПВ и разработки способов противодействия вирусам в настоящее время приобрели значительную актуальность и образовали одно из наиболее приоритетных направлений работ по обеспечению безопасности ЛВС.

Предшественниками ПВ принято считать так называемые "троянские программы", тела которых содержат скрытые последовательности команд (модули), выполняющие действия, наносящие вред пользователям. Наиболее распространенной разновидностью "троянских программ" являются широко известные программы массового применения (редакторы, игры, трансляторы и т.п.). В них встраиваются так называемые "логические бомбы", срабатывающие по наступлении некоторого события. Например, разновидностью "логической бомбы" является "бомба с часовым механизмом", запускаемая в определенные моменты времени. Следует отметить, что "троянские программы" не являются саморазмножающимися и распространяются по ЛВС самими программистами, в частности, посредством общедоступных банков данных и программ.

Принципиальное отличие вирусов от "троянских программ" состоит в том, что вирус после запуска его в ЛВС существует самостоятельно (автономно) и в процессе своего функционирования заражает (инфицирует) программы путем включения (имплантации) в них своего текста. Таким образом, вирус представляет собой своеобразный "генератор "троянских программ". Программы, зараженные вирусом, называют, также, вирусоносителями.

Зараженные программы, как правило, выполняются таким образом, чтобы вирус получил управление раньше самой программы. Для этого он либо встраивается в начало программы, либо имплантируется в ее тело так, что первой командой зараженной программы является безусловный переход на вирус, текст которого заканчивается аналогичной командой безусловного перехода на команду вирусоносителя, бывшую первой до заражения. Получив управление, вирус выбирает следующий файл, заражает его, возможно, выполняет какие-либо другие действия, после чего отдает управление вирусоносителю.

"Первичное" заражение происходит в процессе поступления инфицированных программ из памяти одной машины в память другой, причем в качестве средства перемещения этих программ могут использоваться как магнитные носители, так и каналы ЛВС. Вирусы, использующие для размножения каналы ЛВС, принято называть сетевыми.

Цикл жизни вируса обычно включает следующие периоды: внедрения, инкубационный, репликации (саморазмножения) и проявления. В течение инкубационного периода вирус пассивен, что усложняет задачу его поиска и нейтрализации. На этапе проявления вирус выполняет свойственные ему целевые функции, например, необратимую коррекцию информации на магнитных носителях.

Эффекты, вызываемые вирусами в процессе реализации ими целевых функций, принято делить на следующие целевые группы:

96

• - искажение информации в файлах либо таблице размещения файлов;

• - имитация сбоев аппаратных средств;

• - создание звуковых и визуальных эффектов, таких, например, как отображение сообщений, вводящих оператора в заблуждение или затрудняющих его работу;

• - инициирование ошибок в программах пользователей или операционной системы.

Наиболее распространенным средством нейтрализации вирусов является использование программных антивирусов. Антивирусы, исходя из реализованного в них подхода к выявлению и нейтрализации вирусов, принято делить на следующие группы: детекторы, фаги, вакцины, прививки, ревизоры и мониторы.

Очевидно, что наряду с созданием антивирусов необходима реализация альтернативных подходов к нейтрализации ПВ:

• - создание операционных систем, обладающих более высокой вирусозащищенностью,

• - разработка аппаратных средств защиты от вирусов и т.п.

Не меньшее значение имеют организационные меры и соблюдение определенной технологии защиты от вирусов, предполагающей выполнение следующих этапов: входной контроль дискет с новым программным обеспечением, сегментацию информации на жестком диске, защиту системных программ от заражения, систематический контроль целостности и архивирование информации.