4. Программы-фильтры

Одной из причин, из-за которых стало возможным такое явление, как компьютерный вирус, является отсутствие в операционной системе MS DOS эффективных средств для защиты информации от несанкционированного дос­тупа. Из-за отсутствия средств защиты компьютерные вирусы могут неза­метно и безнаказанно изменять программы, портить таблицы размещения файлов и т.д.

В связи с этим различными фирмами и программистами разработаны программы-фильтры, или резидентные программы для защиты от вируса, ко­торые в определенной степени восполняют указанный недостаток DOS. Эти программы располагаются резидентно в оперативной памяти компьютера и “перехватывают” те обращения к операционной системе, которые использу­ются вирусами для размножения и нанесения вреда. Такими “подозритель­ными” действиями являются, в частности, изменение .COM и .EXE-файлов, снятие с файла атрибута “только для чтения”, прямая запись на диск (запись по абсолютному адресу), форматирование диска, установка “рези­дентной” (постоянно находящейся в оперативной памяти) программы.

При каждом запросе на “подозрительное” действие на экран компь­ютера выводится сообщение о том, какое действие затребовано и какая программа желает его выполнить. Можно либо разрешить выполнение этого действия, либо запретить его. Если указанное в сообщении действие не нужно для выполнения данной программы (например, никакая программа не должна изменять командный процессор COMMAND.COM), то это действие сле­дует запретить, так как оно скорее всего вызвано вирусом.

Некоторые программы-фильтры не “ловят” подозрительные действия, а проверяют вызываемые на выполнение программы на наличие вирусов. Это, понятно, вызывает замедление работы компьютера.

Степень защиты, обеспечиваемую программами-фильтрами, не следует переоценивать, поскольку многие вирусы для своего размножения и нане­сения вреда обращаются непосредственно к программам операционной сис­темы (BIOS), не используя стандартный способ вызова этих программ че­рез прерывания, а резидентные программы для защиты от вируса перехва­тывают только эти прерывания. Кроме того, программы-фильтры не помога­ют от заражения винчестера вирусами, которые распространяются через загрузочный сектор, поскольку такое заражение происходит при загрузке DOS, т.е. до запуска любых программ или установки драйверов.

Однако преимущества использования программ-фильтров весьма значи­тельны - они позволяют обнаружить многие вирусы на самой ранней ста­дии, когда вирус еще не успел размножиться и что-либо испортить. Тем самым можно свести убытки от вируса к минимуму.

Программы-детекторы. Программы-детекторы позволяют обнаруживать файлы, зараженные од­ним из нескольких известных вирусов. Некоторые программы-детекторы также выполняют эвристический анализ файлов и системных областей дис­ков, что часто (но отнюдь не всегда) позволяет обнаруживать новые, не известные программе-детектору, вирусы. Многие программы-детекторы поз­воляют также “лечить” зараженные файлы или диски, удаляя из них вирусы (лечение поддерживается только для вирусов, известных программе-детек­тору).

11.7. Программы-ревизоры

Программы-ревизоры имеют две стадии работы. Сначала они запомина­ют сведения о состоянии программ и системных областей дисков (загру­зочного сектора и сектора с таблицей разбиения жесткого диска). Пред­полагается, что в этот момент программы и системные области дисков не заражены. После этого с помощью программы-ревизора можно в любой мо­мент сравнить состояние программ и системных областей дисков с исход­ным. О выявленных несоответствиях сообщается пользователю.

Многие пользователи включают команду запуска программы-ревизора в командный файл AUTOEXEC.BAT, чтобы проверка состояния программ и дис­ков проходила при каждой загрузке операционной системы. Это позволяет обнаружить заражение компьютерным вирусом, когда он еще не успел на­нести большого вреда. Более того, та же программа-ревизор сможет найти поврежденные вирусом файлы.

Анализ изменений. Многие программы-ревизоры являются довольно “интеллектуальными” - они могут отличать изменения в файлах, вызванные, например, переходом к новой версии программы, от изменений, вносимых вирусом, и не поднимают ложной тревоги, мешая Вам работать. Дело в том, что вирусы обычно изменяют файлы весьма специфическим образом и производят одинаковые изменения в разных программных файлах. Понятно, что в нормальной ситуации такие изменения практически никогда не встречаются, поэтому программа-ревизор, зафиксировав факт таких изме­нений, может с уверенностью сообщить, что они вызваны именно вирусом.

Невидимые вирусы. Следует заметить, что многие программы-ревизоры не умеют обнаруживать заражение “невидимыми” вирусами, если такой ви­рус активен в памяти компьютера. Но некоторые программы-ревизоры, нап­ример ADinf фирмы “Диалог-Наука”, все же умеют делать это, не исполь­зуя вызовы DOS для чтения диска (правда, они работают не на всех дис­ководах). Другие программы часто используют различные полумеры: пыта­ются обнаружить вирус в оперативной памяти, требуют вызова из файла AUTOEXEC.BAT, надеясь работать на “чистом” компьютере, и т.д. Увы, против некоторых “хитрых” вирусов все это бесполезно. Если Вы имеете такую программу-ревизор, запускайте хотя бы время от времени ее “чис­тую” копию с защищенной от записи дискеты после перезагрузки DOS с та­кой дискеты.

Режимы проверки. Для проверки того, не изменился ли файл, некото­рые программы-ревизоры проверяют длину файла. Но эта проверка недоста­точна - некоторые вирусы не изменяют длину зараженных файлов. Более надежная проверка - прочесть весь файл и вычислить его контрольную сумму. Изменить файл так, чтобы его контрольная сумма осталась преж­ней, практически невозможно. Но полностью читать все проверяемые файлы на диске весьма долго.

Чтобы обеспечить и достаточную надежность проверки, и приемлемое время ее проведения, многие программы-ревизоры имеют режим, в котором они проверяют неизменность только критически важных участков программ­ных файлов, которые чаще всего и меняются вирусом: заголовка EXE-фай­ла, первых выполняемых команд файла и т.д. Это позволяет проводить ежедневную проверку наличия изменений в файлах. А для особо строгой проверки такие программы-ревизоры обычно имеют и режим полного чтения файла.

Доктора-ревизоры. В последнее время появились очень полезные гиб­риды ревизоров и докторов- программы, которые не только обнаруживают изменения в файлах и системных областях дисков, но и могут в случае изменений автоматически вернуть их в исходное состояние.Такие програм­мы могут быть гораздо более универсальными, чем программы-доктора, поскольку при лечении они используют заранее сохраненную информацию о состоянии файлов и областей диска. Это позволяет им вылечивать файлы даже от тех вирусов, которые не были созданы на момент написания прог­раммы.

Конечно, доктора-ревизоры - это не панацея. Они могут лечить не от всех вирусов, а только от тех, которые используют “стандартные”, известные на момент написания программы, механизмы заражения файлов. Кроме того, никто не может излечить программы при заражении вируса­ми” грубиянами” типа AIDS, которые записывают себя в середину программ, не заботясь о том, будет ли после этого работать программа или нет. Но все же защита от 90-95% вирусов - это совсем неплохо. В качестве при­мера докторов-ревизоров можно привести ADinf+ADinfExt фирмы “Диа­лог-Наука” и комплексную антивирусную систему AVSP фирмы “Диалог-МГУ”.

Профилактика против заражения вирусом. Известно, что легче предупредить болезнь, чем лечить ее. Если квалифицированно и своевременно будут применяться меры “компьютерной гигиены”, то на компьютере вряд ли заведутся вирусы. Во-первых, необ­ходимо использовать общие меры, обеспечивающие сохранность данных: ре­гулярное создание резервных копий, использование методов ограничения доступа к данным и т.д. Во-вторых, выполнить следующие мероприятия:

1. Все поступающие извне данные должны подвергаться проверке. С этой целью все принесенные дискеты или полученные извне (по электрон­ной почте, по сетям) файлы перед использованием следует проверить на наличие вируса с помощью программ-детекторов. Не используйте и не за­пускайте принесенные извне программы, если их назначение Вам непонят­но. Если полученные файлы содержатся в архивах, следует извлечь их из архива и проверить программами-детекторами сразу после этого. Если файлы из архивов можно извлечь только программой установки пакета программ, то надо выполнить установку этого пакета и сразу после этого проверить записанные на диск файлы. Установка пакета должна проводить­ся при включенной резидентной программе-стороже для защиты от вирусов. Не следует переписывать программное обеспечение с других компьютеров, так как оно может быть заражено вирусом.

2. Необходимо проводить ежедневную проверку дисков на наличие ви­русов. Один способ - вставить в командный файл AUTOEXEC.BAT, выполняе­мый при начальной загрузке DOS, вызов программы или командного файла для проверки на наличие вирусов. При использовании антивирусного комп­лекта DSAV “Диалог-Наука” можно из файла AUTOEXEC.BAT, вызвать команд­ный файл, запускающий программу-ревизора ADinf, который составляет список измененных файлов, используемый затем программами-детекторами Aidstest и Dr.Web (это позволяет существенно сократить время провер­ки). Пример такого командного файла включен в комплект поставки анти­вирусного комплекта DSAV.

При работе в среде Windows, Windows-95 и т.д. для ежедневного вы­полнения проверки на наличие вирусов можно использовать программы-пла­нировщики типа Scheduler из Norton Desktop for Windows, System Agent из Microsoft Plus! (пакета дополнений для Windows 95), Norton Comman­der Scheduler из Norton Commander для Windows 95 и т.д.

3. Особо следует сказать о защите от вирусов документов Word для Windows. Вирусы, заражающие документы Word для Windows, запускаются благодаря тому, что в них имеется макрокоманда AutoOpen, автоматически запускающаяся при открытии документа. Однако запуск этой макрокоманды (как и других AutoExec, AutoNew, AutoClose и AutoExit, выполняющихся при запуске Word, создании нового документа, закрытий документа и вы­ходе из Word) блокируется при нажатии клавиши Shift. Так что Вы можете нажимать Shift при открытии полученных со стороны документов, и ника­кой вирус, заражающий документы Word для Windows, Вам будет не стра­шен.

4. Обновление версий антивирусных программ необходимо делать еже­месячно, так как новые вирусы появляются еженедельно. Для некоторых программ (Norton AntiVirus) для обновления не надо приобретать новую версию программы, а следует лишь переписать с помощью модема новую версию базы данных со сведениями о вирусах. Обычно это можно делать бесплатно. Фирма “Диалог-Наука” позволяет приобрести годовой абоне­мент, позволяющий получать самые последние версии программ AidsTest, Doctor Web, ADinf и ADinfExt либо по почтовой рассылке, либо по элект­ронной почте. Обновление версий происходит не реже одного раза в ме­сяц.