Вопрос 17Вирусы можно разделить на классы по следующим основным признакам: .

1. среда обитания;

2. операционная система (OC);

3. особенности алгоритма работы;

4. деструктивные возможности.

По СРЕДЕ ОБИТАНИЯ вирусы можно разделить на:

1. файловые;

2. загрузочные;

3. макро;

4. сетевые.

Заражаемая ОПЕРАЦИОННАЯ СИСТЕМА (вернее, ОС, объекты которой подвержены заражению) является вторым уровнем деления вирусов на классы. Каждый файловый или сетевой вирус заражает файлы какой-либо одной или нескольких OS - DOS, Windows, Win95/NT, OS/2 и т.д. Макро-вирусы заражают файлы форматов Word, Excel, Office97. Загрузочные вирусы также ориентированы на конкретные форматы расположения системных данных в загрузочных секторах дисков. Среди ОСОБЕННОСТЕЙ АЛГОРИТМА РАБОТЫ вирусов выделяются следующие пункты:

1. резидентность;

2. использование стелс-алгоритмов;

3. самошифрование и полиморфичность;

4. использование нестандартных приемов.

САМОШИФРОВАНИЕ и ПОЛИМОРФИЧНОСТЬ используются практически всеми типами вирусов для того, чтобы максимально усложнить процедуру детектирования вируса. Различные НЕСТАНДАРТНЫЕ ПРИЕМЫ часто используются в вирусах для того, чтобы как можно глубже спрятать себя в ядре OC 

По ДЕСТРУКТИВНЫМ ВОЗМОЖНОСТЯМ вирусы можно разделить на:

1. безвредные, т.е. никак не влияющие на работу компьютера (кроме уменьшения свободной памяти на диске в результате своего распространения);

2. неопасные, влияние которых ограничивается уменьшением свободной памяти на диске и графическими, звуковыми и пр. эффектами;

3. опасные вирусы, которые могут привести к серьезным сбоям в работе компьютера;

Вопрос 18Основным средством борьбы с вирусом были и остаются антивирусные программы, использующие несколько основополагающих методик обнаружения и защиты от вирусов:

• Сканирование — последовательный просмотр проверяемых файлов в поиске сигнатур известных вирусов. Используется только для поиска уже известных и изученных вирусов. Неэффективно для обнаружения шифрующихся и полиморфных вирусов, способных полностью изменять свой код при заражении новой программы или загрузочного сектора;

• Эвристический анализ — обнаружение ранее неизвестных вирусов;

• Использование антивирусных мониторов — автоматическая проверка всех запускаемых программ, создаваемых, открываемых и сохраняемых документов, файлов программ и документов, полученных через Интернет или скопированных на жесткий диск с дискеты или компакт-диска;

• Обнаружение изменений — обнаружение изменений, внесенных в предварительно запомненные программой-ревизором характеристики всех областей диска;

• Использование антивирусов, встроенных в BIOS компьютера — контроль обращений к главной загрузочной записи жестких дисков и к загрузочным секторам дисков и дискет.

Для защиты корпоративной интрасети используют специальные антивирусные прокси-серверы и брандмауэры, сканирующие проходящий через них трафик и удаляющие из него вредоносные программные компоненты.

• Защита файловых серверов осуществляется с использованием антивирусных мониторов, проверяющих автоматически все файлы сервера, к которым идет обращение по сети;

• Защита почтовых серверов осуществляется с использованием антивирусов, специально предназначенных для проверки почтового трафика;

• Защита серверов систем документооборота осуществляется путем сканирования в режиме реального времени почты и файлов вложения с удалением вредоносных программ, обнаружения макрокомандных вирусов и троянских программ в формах и макросов.

Для эффективной работы антивирусных программ требуется регулярное обновление вирусных баз данных и программных компонентов антивирусов.

Антивирусные программы по характеру их борьбы с вирусами можно условно классифицировать по нескольким группам: фильтры, детекторы, ревизоры, доктора, вакцинаторы. Антивирусы-фильтры - это резидентные программы, которые оповещают пользователя обо всех попытках какой-либо программы записаться на диск, а уж тем более отформатировать его, а также о других подозрительных действияхАнтивирусы-детекторы рассчитаны на конкретные вирусы и основаны на сравнении последовательности кодов, содержащихся в теле вируса, с кодами проверяемых программРевизоры - программы, которые анализируют текущее состояние файлов и системных областей диска и сравнивают его с информацией, сохраненной ранее в одном из файлов данных ревизорК последней группе относятся малоэффективные антивирусы-вакцинаторы. Они записывают в вакцинируемую программу признаки конкретного вируса так, что вирус считает ее уже зараженной.

Вопрос 19Анализ сетевого трафикаАнализ сетевого трафика путем его перехвата (сниффинга) является внутрисегментной атакой и направлен на перехват и анализ информации, предназначенной для любого ПК, расположенного в том же сегменте сети, что и злоумышленник. Злоумышленник может захватить все проходящие через себя пакеты путем перевода своей сетевой платы в смешанный режим (promiscuous mode).Реализация данной атаки позволяет злоумышленнику изучить логику работы сети (для получения информации, помогающей ему осуществить последующий взлом) либо перехватить конфиденциальную информацию, которой обмениваются узлы компьютерной сети. Многие протоколы (например, POP3, FTP и пр.) передают информацию об используемых паролях доступа по каналу связи в открытом виде. Анализ трафика позволяет злоумышленнику перехватить эти пароли доступа (например, к электронной почте, к FTP серверу) и использовать их в дальнейшем для выполнения несанкционированных действий.Для защиты от анализа сетевого трафика с использованием снифферов известны следующие подходы:1.  диагностика перевода сетевой платы удаленного ПК в смешанный режим путем установки различных средств мониторинга; данный подход к защите достаточно трудоемок, и не является универсальным, поэтому используется недостаточно часто;2.  сегментация сетей – чем больше сегментов, тем меньше вероятность и последствия реализации внутрисегментной атаки;3.  шифрование сетевого трафика и использование безопасных протоколов удаленной аутентификации пользователей (S/KEY, CHAP и т.д.);