18. Средства защиты информации вычислительных систем от внешних и внутренних атак

Антивирусы

Методы, которыми антивирусы определяют вредоносное программное обеспечение, разделяются на две основные группы: реактивные и проактивные.

Реактивными (от слова «реакция») называются методы, обеспечивающие детектирование вредоносного ПО после того, как его конкретный образец будет изучен в вирусной лаборатории компании- изготовителя антивируса. В настоящее время в эту группу входит один метод - сигнатурное детектирование.

Для сигнатурного детектирования используется специализированная обновляемая база данных, состоящая из т.н. сигнатур - участков кода вредоносных программ, добавляемых в базу вирусными аналитиками.

При сканировании сигнатуры сравниваются с содержимым проверяемого файла, и, если содержимое совпадает с сигнатурой, файл признается вредоносным. К положительным аспектам сигнатурного детектирования можно отнести высокую точность обнаружения вредоносной программы; к недостаткам - необходимость в поддержке и постоянном обновлении объемной базы записей, а также зависимость определения вредоносного ПО от попадания / непопадания его образца в вирусную лабораторию и от скорости работы последней.

Проективными называют методы, способные обеспечить детектирование вредоносной программы до ее попадания в вирусную лабораторию и выпуска сигнатуры. В эту группу входят:

- метод эвристического анализа - изучение кода программы и поиск в нем операций, характерных для вредоносного ПО, либо поиск общих признаков, характерных для вирусов одного семейства, либо изучение внешних признаков программы (подозрительное имя, многократное шифрование кода и др.);

- метод поведенческого анализа - наблюдение за действиями, выполняемыми программой, и информирование пользователя о подозрительной активности приложения.

Состав антивирусного продукта

Любой антивирус включает в себя несколько основных модулей: файловый и почтовый сканер, проверяющие файлы в момент доступа к ним, сканер по требованию, карантин и сервис обновления. В зависимости от технического совершенства антивируса он может содержать и другие компоненты - к примеру, ряд продуктов этого класса содержит веб-сканер. Такой компонент проверяет страницы Интернета до их отображения в браузере и позволяет таким образом предотвратить заражение через них (в то время как файловый монитор может лишь определить попадание вредоносной страницы или ее части в кэш браузера, когда вредоносный код уже успел запуститься и отработать).

Брандмауэры

Брандмауэр - это продукт, отвечающий за обеспечение контроля и безопасности сетевых соединений, осуществляемых компьютером.

Его основная задача состоит в управлении доступом приложений к ресурсам сети, а также в защите системы от сетевых атак, направленных на эксплуатацию уязвимостей или получение несанкционированного доступа к системе.

Таблица правил описывает действия (разрешить, запретить, спросить), которые брандмауэр применяет к тем или иным приложениям.

Система детектирования вторжений (IDS. intrusion detection system) имеет сигнатурную природу, позволяя выявлять и блокировать определенные сетевые пакеты и соединения.

Антирекламные и антишпионские программы (anti-adware. anti-spyware)

Эти продукты реализуют противодействие некоторым видам нежелательного программного обеспечения; обычно они устроены по типу антивирусного ПО, т.е. имеют частичный или полноценный монитор, сканер по требованию и систему обновления базы данных.

Специализированные исследования показывают, что программы этого класса проигрывают в качестве обнаружения и уничтожения потенциально вредоносного ПО любому антивирусному продукту.

Системы предотвращения вторжений (Host(ed) Intrusion Prevention System, HIPS)

Продукты этого класса управляют правами приложений на выполнение тех или иных действий, подобно тому, как брандмауэр управляет сетевым доступом; сходство принципов работы обусловливает тот факт, что нередко HIPS объединяются с брандмауэром в составе одного защитного продукта.

HIPS является средством проактивной защиты, т.е. не содержит базы данных сигнатур вирусов и не осуществляет их детектирование; таким образом, HIPS оперирует не понятиями «легитимный файл -вредоносный файл», а понятиями «разрешенное действие - запрещенное действие». Эффективность HIPS может доходить до 100% предотвращения повреждения или инфицирования системы, однако большинство программ этого класса требует от пользователя определенных знаний для управления ими.

К HIPS примыкают программные и аппаратные средства защиты от переполнения буфера.

Переполнением буфера (buffer overrun) называется запись в выделенную область памяти объема данных, превышающего заявленный для нее предельный объем.

Вследствие этого данные, выходящие за пределы буфера, могут быть записаны в соседние области памяти и повредить их содержимое.

Эксплуатация переполнений буфера является распространенной угрозой безопасности, и для противодействия ей принимаются определенные меры.

В частности, 64-разрядпые модели процессоров AMD и Intel оснащаются аппаратными средствами зашиты от переполнения буфера; на уровне операционной системы эти средства поддерживаются решением DEP (Data Execution Prevention, предотвращение выполнения данных).

Настройки DEP на операционной системе Windows XP доступны по адресу:

Панель управления (классический вид) - Система - вкладка Дополнительно - кнопка Параметры в группе Быстродействие - вкладка Предотвращение выполнения данных.

По умолчанию DEP обслуживает только системные процессы. Данный вариант является оптимальным, но при желании существует возможность включить DEP для всех приложений.

Средства противодействия вредоносным сетевым технологиям

1) Антиспамы, или спам-фильтры.

Антиспам - решение можно рассматривать как систему фильтрации, предназначенную для размежевания полезных и нежелательных сообщений; классифицировать и уточнять их специфику возможно по разным критериям.

2) Средства защиты от Интернет-мошенничества.

В настоящее время противодействие фишингу и другим разновидностям мошенничества в Сети осуществляется преимущественно методом ведения черных списков ресурсов, замеченных в распространении нежелательного содержимого или хищении конфиденциальной информации. Подобные списки поддерживаются либо надстройками / дополнительными модулями к обозревателю (к примеру, расширение SiteAdvisor от McAfee), либо отдельными приложениями.

Помимо отдельных приложений перечисленных выше типов, существуют интегрированные пакеты одного производителя для защиты компьютера в Интернете, называемые Internet Security, Security Suite и т.п.

Они объединяют в себе

антивирус,

брандмауэр

и несколько дополнительных средств зашиты (конкретная комплектация зависит от производителя).