33 Вопрос. Компьютерные вирусы – типы и виды. Методы распространения вирусов. Основные виды профилактики компьютера. Основные пакеты антивирусных программ. Классификация программ-антивирусов.

Среди всего разнообразия вирусов можно выделить следующие основные группы:

¨    загрузочные

¨    файловые

¨    файлово-загрузочные

Теперь поподробнее об каждой из этих групп.

                                   2.1.  Загрузочные вирусы

Рассмотрим схему функционирования очень простого загрузочного вируса, заражающего дискеты. Мы сознательно обойдем все многочисленные тонкости, которые неизбежно встретились бы при строгом разборе алгоритма его функционирования.

Что  происходит, когда вы включаете компьютер? Первым делом управление передается программе начальной загрузки, которая хранится в постоянно запоминающем устройстве (ПЗУ) т.е. ПНЗ ПЗУ.

Эта программа тестирует оборудование и при успешном завершении проверок пытается найти дискету в дисководе А:

Всякая дискета размечена на т.н. секторы и дорожки. Секторы объединяются в кластеры, но это для нас несущественно.

Среди секторов есть несколько служебных, используемых операционной системой для собственных нужд (в этих секторах  не могут размещаться ваши данные). Среди служебных секторов нас пока интересует один - т.н. сектор начальной загрузки (boot-sector).

В секторе начальной загрузки хранится информация о дискете - количество поверхностей, количество дорожек, количество секторов и пр. Но нас сейчас интересует не эта информация, а небольшая программа начальной загрузки (ПНЗ), которая должна загрузить саму операционную систему и передать ей управление.

Таким образом, нормальная схема начальной загрузки следующая:

ПНЗ (ПЗУ) - ПНЗ (диск) - СИСТЕМА

Теперь рассмотрим вирус. В загрузочных вирусах выделяют две части - т.н. голову и т.н. хвост. Хвост, вообще говоря, может быть пустым.

Пусть у вас имеются чистая дискета и зараженный компьютер, под которым мы понимаем компьютер с активным резидентным вирусом. Как только этот вирус обнаружит, что в дисководе появилась подходящая жертва - в нашем случае не защищенная от записи и еще не зараженная дискета, он приступает к заражению. Заражая дискету, вирус производит следующие действия:

n     выделяет некоторую область диска и помечает ее как недоступную операционной системе, это можно сделать по-разному, в простейшем и традиционном случае занятые вирусом секторы помечаются как сбойные (bad)

n     копирует в выделенную область диска свой хвост и оригинальный (здоровый) загрузочный сектор

n     замещает программу начальной загрузки в загрузочном секторе (настоящем) своей головой

n     организует цепочку передачи управления согласно схеме.

Таким образом, голова вируса теперь первой получает управление, вирус устанавливается в память и передает управление оригинальному загрузочному сектору. В цепочке

ПНЗ (ПЗУ) - ПНЗ (диск) - СИСТЕМА

появляется новое звено:

ПНЗ (ПЗУ) - ВИРУС - ПНЗ (диск) - СИСТЕМА

Мораль ясна: никогда не оставляйте (случайно) дискет в дисководе А.

Мы рассмотрели схему функционирования простого бутового вируса, живущего в загрузочных секторах дискет. Как правило, вирусы способны заражать не только загрузочные секторы  дискет, но и загрузочные секторы винчестеров. При этом в отличие от дискет на винчестере имеются два типа загрузочных секторов, содержащих программы начальной загрузки, которые получают управление. При загрузке компьютера с винчестера первой берет на себя управление программа начальной загрузки в MBR (Master Boot Record - главная загрузочная запись). Если ваш жесткий диск разбит на несколько разделов, то лишь один из них помечен как загрузочный (boot). Программа начальной загрузки в MBR находит загрузочный раздел винчестера и передает управление на программу начальной загрузки этого раздела. Код последней совпадает с кодом программы начальной загрузки, содержащейся на обычных дискетах, а соответствующие  загрузочные секторы отличаются только таблицами параметров. Таким образом, на винчестере имеются два объекта атаки загрузочных вирусов - программа начальной загрузки в MBR и программа начальной загрузки в бут-секторе загрузочного диска.

           2.2. Файловые вирусы

Рассмотрим теперь схему работы простого файлового вируса. В отличие от загрузочных вирусов, которые практически всегда резидентны, файловые вирусы совсем не обязательно резидентны. Рассмотрим схему функционирования нерезидентного файлового вируса. Пусть у нас имеется инфицированный исполняемый файл. При запуске такого файла вирус получает управление, производит некоторые действия и передает управление «хозяину» (хотя еще неизвестно, кто в такой ситуации хозяин).

Какие же действия выполняет вирус? Он ищет новый объект для заражения - подходящий по типу файл, который еще не заражен (в том случае, если вирус «приличный», а то попадаются такие, что заражают сразу, ничего не проверяя). Заражая файл, вирус внедряется в его код, чтобы получить управление при запуске этого файла. Кроме своей основной функции - размножения, вирус вполне может сделать что-нибудь замысловатое (сказать, спросить, сыграть) - это уже зависит  от фантазии автора вируса. Если файловый вирус резидентный,, то он установится в память и получит возможность заражать файлы и проявлять прочие способности не только во время работы зараженного файла. Заражая исполняемый файл, вирус всегда изменяет его код - следовательно, заражение исполняемого файла всегда можно обнаружить. Но, изменяя код файла, вирус не обязательно вносит другие изменения:

à      он не обязан менять длину файла

à      неиспользуемые участки кода

à     не обязан менять начало файла

Наконец, к файловым вирусам часто относят вирусы, которые «имеют некоторое отношение к файлам», но не обязаны внедряться в их код. Рассмотрим в качестве примера схему функционирования  вирусов известного семейства Dir-II. Нельзя не признать, что появившись в 1991 г., эти вирусы стали причиной настоящей эпидемии чумы в России. Рассмотрим модель, на которой  ясно видна основная идея вируса. Информация о файлах хранится  в каталогах. Каждая запись каталога включает в себя имя файла, дату и время создания, некоторую дополнительную информацию, номер первого кластера файла и т.н. резервные байты. Последние оставлены «про запас» и самой MS-DOS не используются.

При запуске исполняемых файлов система считывает из записи в каталоге первый кластер файла и далее все остальные кластеры. Вирусы семейства Dir-II производят следующую «реорганизацию» файловой системы: сам вирус записывается в некоторые свободные секторы диска, которые он помечает как сбойные. Кроме того, он сохраняет информацию о первых кластерах исполняемых файлов в резервных битах, а на место этой информации записывает ссылки на себя.

Таким образом, при запуске любого файла вирус получает управление (операционная система запускает его сама), резидентно устанавливается в память и передает управление вызванному файлу.

                         2.3. Загрузочно-файловые вирусы

Мы не станем рассматривать модель загрузочно-файлового вируса, ибо никакой новой информации вы при этом не узнаете. Но здесь представляется удобный случай кратко обсудить крайне «популярный» в последнее время загрузочно-файловый вирус OneHalf, заражающий главный загрузочный сектор (MBR) и исполняемые файлы. Основное разрушительное действие - шифрование секторов винчестера. При каждом запуске вирус шифрует очередную порцию секторов, а зашифровав половину жесткого диска, радостно сообщает об этом. Основная проблема при лечении данного вируса состоит в том, что недостаточно просто удалить вирус из MBR и файлов, надо расшифровать зашифрованную им информацию. Наиболее «смертельное» действие - просто переписать новый здоровый MBR. Главное - не паникуйте. Взвесьте все спокойно, посоветуйтесь со специалистами.

                      2.4. Полиморфные вирусы

Большинство вопросов связано с термином «полиморфный вирус». Этот вид компьютерных вирусов представляется на сегодняшний день наиболее опасным.  Объясним же, что это такое.

Полиморфные вирусы - вирусы, модифицирующие свой код в зараженных программах таким образом, что два экземпляра одного и того же вируса могут не совпадать ни в одном бите.

Такие вирусы не только шифруют свой код, используя различные пути шифрования, но и содержат код генерации шифровщика и расшифровщика, что отличает их от обычных шифровальных вирусов, которые также могут шифровать участки своего кода, но имеют при этом постоянный код шифровальщика и расшифровщика.

Полиморфные вирусы - это вирусы с самомодифицирующимися расшифровщиками. Цель такого шифрования: имея зараженный и оригинальный файлы вы все равно не сможете проанализировать его код с помощью обычного дизассемблирования. Этот код зашифрован  и представляет собой бессмысленный набор команд. Расшифровка производится самим вирусом уже непосредственно во время выполнения. При этом возможны варианты: он может расшифровать себя всего сразу, а может выполнить такую расшифровку «по ходу дела», может вновь шифровать уже отработавшие участки. Все это делается ради затруднения анализа кода вируса.

МЕХАНИЗМ РАСПРЕДЕЛЕНИЯ ВИРУСНЫХ ПРОГРАММ

Основными путями проникновения вирусов в компьютер являются съемные диски (гибкие и лазерные), а также компьютерные сети. Заражение жесткого диска вирусами может произойти при загрузке программы с дискеты, содержащей вирус. Такое заражение может быть и случайным, например, если дискету не вынули из дисковода А и перезагрузили компьютер, при этом дискета может быть и не системной. Заразить дискету гораздо проще. На нее вирус может попасть, даже если дискету просто вставили в дисковод зараженного компьютера и, например, прочитали ее оглавление.

Вирус, как правило, внедряется в рабочую программу таким образом, чтобы при ее запуске управление сначала передалось ему и только после выполнения всех его команд снова вернулось к рабочей программе. Получив доступ к управлению, вирус прежде всего переписывает сам себя в другую рабочую программу и заражает ее. После запуска программы, содержащей вирус, становится возможным заражение других файлов. Наиболее часто вирусом заражаются загрузочный сектор диска и исполняемые файлы, имеющие расширения EXE, COM, SYS, BAT. Крайне редко заражаются текстовые файлы.

После заражения программы вирус может выполнить какую-нибудь диверсию, не слишком серьезную, чтобы не привлечь внимания. И наконец, не забывает возвратить управление той программе, из которой был запущен. Каждое выполнение зараженной программы переносит вирус в следующую. Таким образом, заразится все программное обеспечение.

Для иллюстрации процесса заражения компьютерной программы вирусом имеет смысл уподобить дисковую память старомодному архиву с папками на тесьме. В папках расположены программы, а последовательность операций по внедрению вируса будет в этом случае выглядеть следующим образом.( см. Приложение 1 )

О ПРОФИЛАКТИКЕ

Итак, некий вирусописатель создает вирус и запускает его в«жизнь». Некоторое время он, возможно, погуляет вволю, но рано или поздно «лафа» закончится. Кто-то заподозрит что-нибудь неладное. Как правило, вирусы обнаруживают обычные пользователи, которые замечают те или иные аномалии в поведении компьютера. Они, в большинстве случаев, не способны самостоятельно справиться с заразой, но этого от них и не требуется.

Необходимо лишь, чтобы как можно скорее вирус попал в руки специалистов. Профессионалы будут его изучать, выяснять, «что он делает», «как он делает», «когда он делает» и пр. В процессе такой работы собирается вся необходимая информация о данном вирусе, в частности, выделяется сигнатура вируса - последовательность байтов, которая вполне определенно его характеризует. Для построения сигнатуры обычно берутся наиболее важные и характерные участки кода вируса. Одновременно становятся ясны механизмы работы вируса, например, в случае загрузочного вируса важно знать, где он прячет свой хвост, где находится оригинальный загрузочный сектор, а в случае файлового - способ заражения файла. Полученная информация позволяет выяснить:

·      как обнаружить вирус, для этого уточняются методы поиска сигнатур в потенциальных объектах вирусной атаки - файлах и \ или загрузочных секторах

·      как обезвредить вирус, если это возможно, разрабатываются алгоритмы удаления вирусного кода из пораженных объектов

Программы обнаружения и защиты от вирусов

Для обнаружения, удаления и защиты от компьютерных вирусов разработано несколько видов специальных программ, которые позволяют обнаруживать и уничтожать вирусы. Такие программы называются антивирусными. Различают следующие виды антивирусных программ:

·      программы-детекторы

·      программы-доктора или фаги

·      программы-ревизоры

·      программы-фильтры

·      программы-вакцины или иммунизаторы

Программы-детекторы осуществляют поиск характерной для конкретного вируса сигнатуры в оперативной памяти и в файлах и при обнаружении выдают соответствующее сообщение. Недостатком таких антивирусных программ является то, что они могут находить только те вирусы, которые известны разработчикам таких программ.

Программы-доктора или фаги, а также программы-вакцины не только находят зараженные вирусами файлы, но и «лечат» их, т.е. удаляют из файла тело программы-вируса, возвращая файлы в исходное состояние. В начале своей работы фаги ищут вирусы в оперативной памяти, уничтожая их, и только затем переходят к «лечению» файлов. Среди фагов выделяют полифаги, т.е. программы-доктора, предназначенные для поиска и уничтожения большого количества вирусов. Наиболее известные из них: Aidstest, Scan, Norton AntiVirus, Doctor Web.

Учитывая, что постоянно появляются новые вирусы, программы-детекторы и программы-доктора быстро устаревают, и требуется регулярное обновление версий.

Программы-ревизоры относятся к самым надежным средствам защиты от вирусов. Ревизоры запоминают исходное состояние программ, каталогов и системных областей диска тогда, когда компьютер не заражен вирусом, а затем периодически или по желанию пользователя сравнивают текущее состояние с исходным. Обнаруженные изменения выводятся на экран монитора. Как правило, сравнение состояний производят сразу после загрузки операционной системы. При сравнении проверяются длина файла, код циклического контроля  (контрольная сумма файла), дата и время модификации, другие параметры. Программы-ревизоры имеют достаточно развитые алгоритмы, обнаруживают стелс-вирусы и могут даже очистить изменения версии проверяемой программы от изменений, внесенных вирусом. К числу программ-ревизоров относится широко распространенная в России программа Adinf.

Программы-фильтры или «сторожа» представляют собой небольшие резидентные программы, предназначенные для обнаружения подозрительных действий при работе компьютера, характерных для вирусов. Такими действиями могут являться:

·      попытки коррекции файлов с расширениями COM, EXE

·      изменение атрибутов файла

·      прямая запись на диск по абсолютному адресу

·      запись в загрузочные сектора диска

·      загрузка резидентной программы

При попытке какой-либо программы произвести указанные действия «сторож» посылает пользователю сообщение и предлагает запретить или разрешить соответствующее действие. Программы-фильтры весьма полезны, так как способны обнаружить вирус на самой ранней стадии его существования до размножения. Однако, они не «лечат» файлы и диски. Для уничтожения вирусов требуется применить другие программы, например фаги. К недостаткам программ-сторожей можно отнести их «назойливость»(например, они постоянно выдают предупреждение о любой попытке копирования исполняемого файла), а также возможные конфликты с другим программным обеспечением. Примером программы-фильтра является программа Vsafe, входящая в состав пакета утилит MS DOS.

Вакцины или иммунизаторы - это резидентные программы, предотвращающие заражение файлов. Вакцины применяют, если отсутствуют программы-доктора, «лечащие» этот вирус. Вакцинация возможна только от известных вирусов. Вакцина модифицирует программу или диск таким образом, чтобы это не отражалось на их работе, а вирус будет воспринимать их зараженными и поэтому не внедрится. В настоящее время программы-вакцины имеют ограниченное применение.

Своевременное обнаружение зараженных вирусами файлов и дисков, полное уничтожение обнаруженных вирусов на каждом компьютере позволяют избежать распространения вирусной эпидемии на другие компьютеры

39 вопрос. Система информационного законодательства.

   Законодательство в сфере информационной деятельности и соответствующих отношений только складывается и ставить вопрос о его кодификации или завершенной систематизации преждевременно. Систематизация нормативного материала в рассматриваемой области затруднена еще и потому, что нормы, регулирующие эти отношения, рассредоточены в настоящее время по разным отраслям законодательства, а специальных федеральных законов в данной области пока немного. Большинство субъектов Российской Федерации активно формируют свои пакеты законодательства в данной области, порой обгоняя темпы федерального уровня.

          В развитие конституционной основы информации и информатизации к настоящему времени принято и действует около десятка специальных федеральных законов. Это законы: об информации, информатизации и защите информации, об участии в международном информационном обмене, о государственной тайне, а также комплекс актов по архивным фондам и архивам РФ, по библиотекам страны, закон об обязательном экземпляре документов, ряд актов, связанных с определением правового статуса органов исполнительной власти, действующих в области информации. Достаточно громоздок пакет нормативных актов по СМИ, телерадиовещанию и средствам связи. Многие важные акты находятся пока в проектах.

          Кроме специальных законов, образующих основу информационного законодательства, активную роль в сфере информации играют все кодексы, в которых содержатся нормы о порядке работы с информацией как самостоятельным объектом (например, ст.779 ГК РФ об информационных услугах, ст.160 ГК РФ об использовании электронной подписи, гл. 38 ГК о выполнении научно-исследовательских и опытно-конструкторских работ, ст.744 о работе с документами при реализации строительного подряда). Аналогично можно выявить много статей УК РФ, относящихся к установлению ответственности за преступления, связанные с информацией и нарушением правил работы с ней (и это не ограничивается главой УК о компьютерных преступлениях).

          В большинстве законов РФ по другим (не чисто информационным) отношениям содержатся статьи и даже главы об информационном обеспечении соответствующей области отношений или о порядке сбора, хранения и использования информации. Это еще один пласт нормативных источников, слабо связанных и согласованных между собой с точки зрения методологии работы с информацией и правового регулирования соответствующих отношений. В значительной мере это касается проблем лицензирования, сертификации, права доступа к информации.

          Отсюда возникают великие трудности в практике правоприменения и исполнения законов. Каждая отрасль государственного строительства и управления, сфера экономической и иной деятельности разрабатывает правила в области информации и информатизации как бы самостоятельно, что приводит к увеличению затрат и несовместимости в процессе функционирования всего социального организма.

          Колоссальная работа проводится субъектами Российской Федерации в области формирования, упорядочения и использования информационных ресурсов. В большинстве субъектов РФ приняты специальные законы, а общее число актов, связанных с информационной проблематикой, не считая вопросов СМИ, доходит в отдельных субъектах до 50-70 специальных актов.

          В условиях достаточно беспорядочного развития нормативной основы и трудностей ее упорядочения с точки зрения задач информатики и учета условий глобальных информационных процессов важное значение приобретает вопрос о классификации нормативного материала в рассматриваемой сфере. Наиболее рациональным является подход, который обеспечивает систематизацию предметов правового регулирования в информационной сфере. Последние изыскания по данному вопросу сектора информационного права ИГП РАН позволяют предложить обобщение всей проблематики по 10 блокам:

          Решение общих организационных проблем: государственная политика в области информации и информатизации, концепции и программы развития законодательства, номенклатура научных специальностей по информатике; органы государственного управления в области информации, информатизации; решение проблем языка; виды нормативно-правовых актов по проблемам информатики.

          Информация. Информационные ресурсы

          Здесь четыре предметных подблока:

          Общие проблемы информации (документированная информация, информационные ресурсы, недокументированная информация, носители информации);

          Правовой режим информационного ресурса (документирование, документооборот, собственность на информационный ресурс, интеллектуальная собственность на информационный продукт, национальное достояние; категории информации по доступу - открытая информация, информация, не подлежащая ограничению по доступу, информация ограниченного доступа);

          Виды информационных ресурсов (архивы, архивные фонды; библиотечные фонды, музейные фонды; реестры, кадастры, классификаторы; научно-техническая информация; правовая информация; служебная информация, официальная информация; массовая информация; деловая информация и т.д.);

          Регистрация и учет информационных ресурсов (инвентаризация, индексация, бухгалтерский учет);

          Право на информацию (производство информации, поиск, доступ к информации, получение информации, передача (обмен) информации, сбор и хранение информации, распространение информации, использование информации, в том числе в личных, служебных, коммерческих целях; использование информации через глобальные сети, включая Интернет; субъекты права на информацию);

          Международный обмен информации

          Информатизация (проектирование и разработка информационных систем и технологий: локальные, корпоративные, федеральные, региональные, местные информационные системы; формирование, развитие и использование информационных систем; коммуникационные технологии и связь);

          СМИ. Телерадиовещание

          Информационная безопасность (защита открытой информации, охрана государственной тайны, обеспечение защиты информации ограниченного доступа кроме государственной тайны, страхование информации, информационных ресурсов);

          Управление в области информации и информатизации (программы и координация деятельности в области информатизации, стандартизация и сертификация в сфере информатизации и связи, лицензирование деятельности в области информатизации и связи, организация регистрации и учета информационных ресурсов, информационных систем, программной продукции, государственный контроль и надзор в области информатизации, связи, экспертиза в области информатизации, финансирование в области информатизации, подготовка, повышение квалификации кадров в области информатизации, обеспечение условий формирования информационного общества);

          Информационная деятельность. Информационные отношения (формирование и использование информационных ресурсов, информационных систем для собственных потребностей субъекта, формирование и использование информационных ресурсов, информационных систем, информационно-коммуникационных систем для систем государственного и муниципального управления, формирование и использование федеральных информационных ресурсов, информационных систем, сетей, информационные отношения субъектов в процессе их деятельности). В данном блоке размещаются такие предметные области деятельности, как: специализация организаций на информационной деятельности; деятельность по обеспечению информационных потребностей граждан, населения; информационное обеспечение местного самоуправления; деятельность по информационному обеспечению юридических лиц и общественных организаций; информационные услуги. Здесь же сосредоточены нормы по регулированию рынка информации и услуг; информационное обеспечение в условиях чрезвычайных ситуаций; информационное обеспечение выборов, референдумов; правопреемственность по информационным ресурсам, информационным системам при реорганизации органов власти и организаций; оформление договоров, соглашений, контрактов и иных правовых актов и т.д.;

          Ответственность за правонарушения в области информации и информатизации (преступления, касающиеся информации и информатизации, преступления касающиеся государственной тайны, компьютерные преступления; административно-правовые нарушения (проступки); дисциплинарные нарушения при работе с информацией; материальная ответственность).