316 Глава 5

характерным для вирусов участкам кода можно с определенной сте

пенью вероятности утверждать о наличии неизвестного программе

вируса в объекте. Тесты независимых изданий (например, англий

ский журнал "Virus Bulletin") и большой опыт работы с пользовате

лями во всем мире позволяют утверждать, что в 80 случаях из 100,

когда объект заражен неизвестным вирусом, программа выдаст по

дозрение о заражении объекта. Эвристический механизм позволяет

предполагать (прогнозировать) наличие вируса, маска которого на

данный момент отсутствует в базе антивирусной программы.

Встраивание эвристического механизма в антивирусные программы

позволяет расширить их возможности, поскольку дает возможность

вести борьбу с пока еще "неизвестными" вирусами. Любой механизм,

работающий по эвристическому принципу, может давать ложные

срабатывания. Однако, как показал продолжительный опыт работы,

их процент незначителен, и в любом случае в таких вопросах лучше

немного перестраховаться.

Характерной особенностью так называемых полиморфных вирусов

является способность к существенной мутации своего кода, из-за

чего некоторые программы (типа Aidstest, весьма популярной в свое

время) принципиально не в состоянии обезвредить такие вирусы. Для

борьбы с полиморфными вирусами антивирусы нового поколения

используют встроенный эмулятор процессора, благодаря которому

опознают вирусы под различными шифровщиками и упаковщиками,

а с помощью блока эвристического анализа обнаруживают и многие

(свыше 80%) неизвестные вирусы. Эмулятор процессора создает

имитацию продолжительной работы компьютерных программ, что

провоцирует полиморфные вирусы к мутации и, следовательно, к

изменению программ.

Отличительными особенностями современных антивирусных

программ являются заложенные в них новые возможности:

• проверка архивных и упакованных файлов;

• избыточное сканирование, при котором в поисках вируса объект

"разбирается" по байтам и проводится тщательный анализ возможности

выполнения деструктивного действия. Это несколько замедляет

процесс сканирования, однако повышает надежность обнаружения

и удаления вирусных тел из файлов компьютера;

• наличие вирусной энциклопедии с детальным описанием вирусов,

которые могут обнаруживаться конкретной программой.

Информационная безопасность

В России антивирусные программы активно разрабатывают следующие

фирмы:

• ЗАО "Лаборатория Касперского" (раньше называлась КАМИ),

где идеологом развития средств борьбы с вирусами с самого начала

является Е.В. Касперский;

• "Диалог-Наука", в которой раньше основным разработчиком

был Д.Н. Лозинский, а затем коллектив пополнился И.А. Даниловым,

благодаря которому появилась "Лаборатория Данилова".

Помимо антивирусных программ отечественного производства в

нашей стране достаточно широко используются разработки таких

зарубежных компаний, как Symantec, McAfee, Elashim, Avil Software,

S&S International, Sophos.

Антивирусные программы можно классифицировать по различным

признакам (рис. 5.10).

1 ПРИЗНАКИ АНТИВИРУСНЫХ ПРОГРАММ |

J Характер Способ j Способ

1 действия проверки 1 настройки

/ Принудительный л /

Полифаги Пакетный

запуск

/ Постоянное "\ f

Ревизоры Оболочка

наблюдение

(мониторинг)

J

Вакм ины

Рис. 5.10. Классификация антивирусных программ

По характеру действия антивирусные программы подразделяются

на следующие виды: полифаги, ревизоры, вакцины.