Android, Windows, Apple, Ликбез. Социальные сети. Драйверы / Железо / Классификация вирусов и антивирусных программ. Классификация антивирусных программ

Классификация вирусов и антивирусных программ. Классификация антивирусных программ

09.02.2020

Сегодня, как никогда, антивирусное программное обеспечение является не только самым востребованным в системе безопасности любой «операционки», но и одним из ее главных компонентов. И если раньше у пользователя был весьма ограниченный, скромный выбор, то сейчас таких программ можно найти очень много. Но если посмотреть на список «Топ-10 антивирусов», можно заметить, что не все они равнозначны в плане функциональных возможностей. Рассмотрим наиболее популярные пакеты. При этом в анализ будут включены и платные, и условно-бесплатные (антивирус на 30 дней), и свободно распространяемые приложения. Но обо всем по порядку.

Топ-10 антивирусов для Windows: критерии тестирования

Прежде чем приступать к составлению некоего рейтинга, пожалуй, следует ознакомиться с основными критериями, которые в большинстве случаев применяются при тестировании такого программного обеспечения.

Естественно, рассмотреть все известные пакеты просто невозможно. Однако среди всех призванных обеспечить защиту компьютерной системы в самом широком смысле, можно выделить наиболее популярные. При этом учтем и официальные рейтинги независимых лабораторий, и отзывы пользователей, которые используют тот или иной программный продукт на практике. Кроме того, мобильные программы затрагиваться не будут, остановимся на стационарных системах.

Что же касается проведения основных тестов, как правило, они включают в себя несколько главных аспектов:

наличие платных и бесплатных версий и ограничений, связанных с функциональностью;
скорость штатного сканирования;
быстрота определения потенциальных угроз и возможность их удаления или изоляции в карантине при помощи встроенных алгоритмов;
частота обновления антивирусных баз;
самозащита и надежность;
наличие дополнительных возможностей.

Как видно из вышеприведенного списка, проверка работы антивирусного ПО позволяет определить сильные и слабые стороны того или иного продукта. Далее буду рассмотрены наиболее популярные программные пакеты, входящие в Топ-10 антивирусов, а также даны их основные характеристики, конечно же, с учетом мнения людей, которые их используют в повседневной работе.

Программные продукты «Лаборатории Касперского»

Для начала рассмотрим программные модули, разработанные «Лабораторией Касперского», которые на постсоветском пространстве являются чрезвычайно востребованными.

Тут нельзя выделить какую-то одну программу, ведь среди них можно найти и штатный сканер Kaspersky Antivirus, и модули вроде Internet Security, и портативные утилиты типа Virus Removal Tool, и даже загрузочные диски для поврежденных систем Rescue Disc.

Сразу же стоит отметить два главных минуса: во-первых, судя по отзывам, практически все программы, за редким исключением, являются платными или условно-бесплатными, а во-вторых, системные требования необоснованно завышены, что делает невозможным их применение в относительно слабых конфигурациях. Естественно, это и отпугивает многих рядовых пользователей, хотя активационные ключи Kaspersky Antivirus или Internet Security запросто можно найти во Всемирной паутине.

С другой стороны, ситуация с активацией может быть исправлена и другим способом. Например, ключи Kaspersky можно генерировать при помощи специальных приложений вроде Key Manager. Правда, такой подход является, мягко говоря, противоправным, тем не менее, как выход, он используется многими юзерами.

Скорость работы на современных машинах находится в средних пределах (почему-то для новых конфигураций создаются все более тяжеловесные версии), зато постоянно обновляемые базы данных, уникальность технологий определения и удаления известных вирусов и потенциально опасных программ здесь на высоте. Неудивительно, что «Лаборатория Каперского» сегодня является лидером среди разработчиков защитного ПО.

И еще два слова о восстановительном диске. Он по-своему уникален, поскольку загружает сканер с графическим интерфейсом еще до старта самой Windows, позволяя удалять угрозы даже из оперативной памяти.

То же самое касается и портативной утилиты Virus Removal Tool, способной отследить любую угрозу на зараженном терминале. С ним может сравниться разве что аналогичная утилита от Dr. Web.

Защита от Dr. Web

Пред нами еще один их сильнейших представителей в области обеспечения безопасности - известнейший «Доктор Уэб», стоявший у истоков создания всего антивирусного ПО с незапамятных времен.

Среди огромного количества программ тоже можно найти и штатные сканеры, и средства защиты для Интернет-серфинга, и портативные утилиты, и восстановительные диски. Всего не перечислишь.

Главным фактором в пользу ПО этого разработчика можно назвать высокую скорость работы, моментальное определение угроз с возможностью либо полного удаления, либо изоляции, а также умеренную нагрузку на систему в целом. В общем, с точки зрения большинства пользователей, это некий облегченный вариант «Касперского». кое-что интересное здесь все же есть. В частности, это Dr. Web Katana. Считается, что это программный продукт нового поколения. Он ориентирован на использование «песочных» технологий, т. е. помещение угрозы в «облако» или «песочницу» (как хотите, так это и назовите) на анализ, перед тем как она проникнет в систему. Однако, если разобраться, особых инноваций здесь нет, ведь такая методика применялась еще в бесплатном антивирусе Panda. К тому же, по словам многих пользователей, Dr. Web Katana является неким подобием Security Space с такими же технологиями. Впрочем, если говорить в общем, любое ПО этого разработчика является достаточно стабильным и мощным. Неудивительно, что многие юзеры отдают предпочтение именно таким пакетам.

Программы компании ESET

Говоря о Топ-10 антивирусов, нельзя не упомянуть еще одного ярчайшего представителя этой области - компанию ESET, которая прославилась таким известным продуктом, как NOD32. Чуть позже на свет появился и модуль ESET Smart Security.

Если рассматривать эти программы, можно отметить интересный момент. Чтобы активировать полную функциональность любого пакета, можно поступить двояко. С одной стороны - это приобретение официальной лицензии. С другой - можно установить пробный антивирус бесплатно, но активировать его каждые 30 дней. С активацией тоже интересная ситуация.

Как отмечают абсолютно все пользователи, для ESET Smart Security (или для штатного антивируса) на официальном сайте можно было найти свободно распространяемые ключи в виде логина и пароля. До недавнего времени можно было использовать только эти данные. Сейчас процесс несколько усложнился: сначала нужно логин и пароль на специальном сайте, преобразовать в номер лицензии, а только потом вводить его в регистрационное поле уже в самой программе. Впрочем, если не обращать внимания на такие мелочи, можно отметить, что этот антивирус является одним из лучших. Плюсы, отмечаемые пользователями:

обновление баз вирусных сигнатур производится несколько раз в сутки,
определение угроз на высшем уровне,
отсутствуют какие бы то ни было конфликты с компонентами системы (файроволл),
пакет обладает сильнейшей самозащитой,
отсутствуют ложные тревоги и т. д.

Отдельно стоит отметить, что нагрузка на систему минимальна, а задействование модуля «Антивор» позволяет даже защитить данные от кражи или неправомерного использования в корыстных целях.

Антивирус AVG

AVG Antivirus является платным ПО, рассчитанным на обеспечение комплексной безопасности компьютерных систем (есть и бесплатная усеченная версия). И хотя сегодня этот пакет уже не входит в пятерку лучших, тем не менее он демонстрирует достаточно высокую скорость работы и стабильность.

В принципе, он идеально подходит для домашнего пользования, поскольку, кроме скорости работы, имеет удобный русифицированный интерфейс и более-менее стабильное поведение. Правда, как отмечают некоторые юзеры, иногда он способен пропускать угрозы. И это касается не вирусов как таковых, а, скорее, шпионских программ или рекламного "барахла", называемого Malware и Adware. Собственный модуль программы, хотя и широко разрекламирован, все же, по словам юзеров, выглядит несколько недоработанным. Да и дополнительный брэндмауэр частенько способен вызывать конфликты с «родным» файрволлом Windows, если оба модуля находятся в активном состоянии.

Пакет Avira

Avira - еще один представитель семейства антивирусов. Принципиально от большинства подобных пакетов он не отличается. Однако если почитать о нем отзывы пользователей, можно найти достаточно интересные посты.

Многие ни в коем случае не рекомендуют использовать бесплатную версию, поскольку некоторые модули в ней попросту отсутствуют. Чтобы обеспечить надежную защиту, придется приобретать платный продукт. Зато годится такой антивирус для 8-й и 10-й версий, у которых сама система использует много ресурсов, а пакет их задействует на самом низком уровне. В принципе, Avira лучше всего подходит, скажем, для бюджетных ноутбуков и слабеньких компьютеров. О сетевой установке, правда, и речи быть не может.

Облачный сервис Panda Cloud

Бесплатный в свое время стал чуть ли не революцией в области антивирусных технологий. Использование так называемой «песочницы» для отправки подозрительного контента на анализ перед его проникновением в систему сделало это приложение особо популярным среди пользователей всех уровней.

И именно с «песочницей» этот антивирус сегодня и ассоциируется. Да, действительно, такая технология, в отличие от других программ, позволяет не пускать угрозу в систему. К примеру, любой вирус сначала сохраняет свое тело на винчестере или в оперативной памяти, а только потом начинает свою деятельность. Здесь же дело до сохранения не доходит. Сначала подозрительный файл отправляется в облачный сервис, где проходит проверку, а только потом может быть сохранен в системе. Правда, по утверждениям очевидцев, увы, это может занимать достаточно много времени и неоправданно сильно грузит систему. С другой стороны, тут стоит себя спросить, что важнее: безопасность или увеличенное время проверки? Впрочем, для современных компьютерных конфигураций со скоростью Интернет-соединения на уровне 100 Мбит/сек и выше он может использоваться без проблем. Кстати, и собственная защита обеспечивается именно через «облако», что иногда вызывает нарекания.

Сканер Avast Pro Antivirus

Теперь несколько слов еще об одном ярком представителей Он достаточно популярен у многих юзеров, однако, несмотря на наличие той же «песочницы», антишпиона, сетевого сканера, брэндмауэра и виртуального кабинета, к сожалению, Avast Pro Antivirus по основным показателям производительности, функциональности и надежности явно проигрывает таким грандам, как программные продукты «Лаборатории Касперского» или приложения, использующие технологии Bitdefender, хотя и демонстрирует высокую скорость сканирования и низкое потребление ресурсов.

Пользователей в этой продукции привлекает в основном то, что бесплатная версия пакета является максимально функциональной и особо не отличается от платного ПО. К тому же этот антивирус работает на всех версиях Windows, включая «десятку», и отлично себя ведет даже на устаревших машинах.

Пакеты 360 Security

Перед нами, наверное, один из самых скоростных антивирусов современности - 360 Security, разработанный китайскими специалистами. Вообще, вся продукция с маркировкой «360» отличается завидной скоростью работы (тот же Интернет-браузер 360 Safety Browser).

Несмотря на основное предназначение, программа имеет дополнительные модули по устранению уязвимостей операционной системы и ее оптимизации. Но ни скорость работы, ни свободное распространение не идут ни в какое сравнение с ложными тревогами. В списке программ, имеющих по этому критерию наивысшие показатели, данное ПО занимает одно из первых мест. Как считают многие специалисты, конфликты возникают на системном уровне из-за дополнительных оптимизаторов, действие которых пересекается с выполнением задач самой ОС.

Программные продукты на основе технологий Bitdefender

Еще один «старичок» среди наиболее известных защитников «операционок» - Bitdefender. К сожалению, в 2015 году он уступил пальму первенства продуктам «Лаборатории Касперского», тем не менее в антивирусной моде, если можно так выразиться, является одним из законодателей стиля.

Если посмотреть несколько внимательнее, можно заметить, что многие современные программы (тот же пакет 360 Security) в разных вариациях выполнены именно на основе данных технологий. Несмотря на богатую функциональную базу, здесь тоже есть свои недочеты. Во-первых, русский антивирус (русифицированный) Bitdefender вы не найдете, поскольку такового не существует в природе вообще. Во-вторых, несмотря на применение самых последних технологических разработок в плане защиты системы, увы, он показывает уж слишком высокое число ложных срабатываний (кстати, по словам специалистов, это характерно для всей группы программ, созданных на основе Bitdefender). Наличие дополнительных компонентов-оптимизаторов и собственных файрволлов в целом сказывается на поведении таких антивирусов не в лучшую сторону. Зато в скорости работы этому приложению не откажешь. Кроме того, для проверки используются P2P, но напрочь отсутствует проверка электронной почты в режиме реального времени, что многим не по нраву.

Антивирус от Microsoft

Еще одним приложением, которое отличается завидным срабатыванием по поводу и без повода, является собственный продукт Microsoft под названием Security Essentials.

В Топ-10 антивирусов этот пакет включен, по всей видимости, только потому, что разработан исключительно для Windows-систем, а значит, не вызывает абсолютно никаких конфликтов на системном уровне. К тому же кому, как не специалистам из Microsoft, знать все дыры в безопасности и уязвимость своих же операционных систем. Кстати, интересен тот факт, что первоначальные сборки Windows 7 и Windows 8 в базовой комплектации имели MSE, но потом по каким-то причинам от этого комплекта отказались. Впрочем, именно для «Винды» он может стать простейшим решением в плане зашиты, хотя на особую функциональность рассчитывать и не приходится.

Приложение McAfee

Что касается этого приложения, выглядит оно достаточно интересно. Наибольшую популярность, правда, оно заработало в области применения на мобильных девайсах со всевозможными блокировками, тем не менее на стационарных компьютерах этот антивирус ведет себя не хуже.

Программа имеет низкоуровневую поддержку сетей P2P при совместном доступе к файлам Instant Messenger, а также предлагает 2-уровневую защиту, в которой главная роль отведена модулям WormStopper и ScriptStopper. Но в целом, по словам потребителей, функциональный набор находится на среднем уровне, а сама программа ориентирована скорее на выявление шпионского ПО, компьютерных червей и троянов и предотвращение проникновения в систему исполняемых скриптов или вредоносных кодов.

Объединенные антивирусы и оптимизаторы

Естественно, здесь были рассмотрены только входящие в Топ-10 антивирусов. Если говорить об остальном софте такого плана, можно отметить некоторые пакеты, содержащие антивирусные модули в своих наборах.

Что предпочесть?

Естественно, все антивирусы имеют и определенные сходства, и различия. Что же установить? Тут нужно исходить из потребностей и обеспечиваемого уровня защиты. Как правило, корпоративным клиентам стоит приобрести что-то помощнее с возможностью сетевой установки (Kaspersky, Dr. Web, ESET). Что же касается домашнего использования, здесь юзер сам выбирает, что ему нужно (при желании можно найти даже антивирус на год - без регистрации или покупки). Но, если посмотреть на отзывы пользователей, лучше установить Panda Cloud, даже несмотря на некоторую дополнительную нагрузку на систему и время проверки в «песочнице». Зато именно тут есть полная гарантия того, что угроза не проникнет в систему никоим образом. Впрочем, каждый волен сам выбирать, что именно ему нужно. Если не затрудняет активация, пожалуйста: в домашних системах прекрасно работают продукты ESET. Но вот использовать оптимизаторы с антивирусными модулями в качестве основного средства защиты крайне нежелательно. Ну а говорить, какая программа занимает первое место, тоже нельзя: сколько пользователей, столько и мнений.

Сканеры (другие названия: фаги, полифаги)

Принцип работы антивирусных сканеров основан на проверке файлов, секторов и системной памяти и поиске в них известных и новых (неизвестных сканеру) вирусов. Для поиска известных вирусов используются так называемые "маски". Маской вируса является некоторая постоянная последовательность кода, специфичная для этого конкретного вируса. Если вирус не содержит постоянной маски, или длина этой маски недостаточно велика, то используются другие методы. Примером такого метода являетcя алгоритмический язык, описывающий все возможные варианты кода, которые могут встретиться при заражении подобного типа вирусом. Такой подход используется некоторыми антивирусами для детектирования полиморфик-вирусов.

Во многих сканерах используются также алгоритмы "эвристического сканирования", т.е. анализ последовательности команд в проверяемом объекте, набор некоторой статистики и принятие решения для каждого проверяемого объекта.

Сканеры также можно разделить на две категории - "универсальные" и "специализированные". Универсальные сканеры рассчитаны на поисх и обезвреживание всех типов вирусов вне зависимости от операционной системы, на работу в которой рассчитан сканер. Специализированные сканеры предназначены для обезвреживания ограниченного числа вирусов или только одного их класса, например макро-вирусов.

Сканеры также делятся на "резидентные" (мониторы), производящие сканирование "на-лету", и "нерезидентные", обеспечивающие проверку системы только по запросу. Как правило, "резидентные" сканеры обеспечивают более надежную защиту системы, поскольку они немедленно реагируют на появление вируса, в то время как "нерезидентный" сканер способен опознать вирус только во время своего очередного запуска.

CRC-сканеры

Принцип работы CRC-сканеров основан на подсчете CRC-сумм (контрольных сумм) для присутствующих на диске файлов/системных секторов. Эти CRC-суммы затем сохраняются в базе данных антивируса, как, впрочем, и некоторая другая информация: длины файлов, даты их последней модификации и т.д. При последующем запуске CRC-сканеры сверяют данные, содержащиеся в базе данных, с реально подсчитанными значениями. Если информация о файле, записанная в базе данных, не совпадает с реальными значениями, то CRC-сканеры сигнализируют о том, что файл был изменен или заражен вирусом.

CRC-сканеры не способны поймать вирус в момент его появления в системе, а делают это лишь через некоторое время, уже после того, как вирус разошелся по компьютеру. CRC-сканеры не могут определить вирус в новых файлах (в электронной почте, на дискетах, в файлах, восстанавливаемых из backup или при распаковке файлов из архива), поскольку в их базах данных отсутствует информация об этих файлах. Более того, периодически появляются вирусы, которые используют эту "слабость" CRC-сканеров, заражают только вновь создаваемые файлы и остаются, таким образом, невидимыми для них.

Блокировщики

Антивирусные блокировщики - это резидентные программы, перехватывающие "вирусо-опасные" ситуации и сообщающие об этом пользователю. К "вирусо-опасным" относятся вызовы на открытие для записи в выполняемые файлы, запись в boot-сектора дисков или MBR винчестера, попытки программ остаться резидентно и т.д., то есть вызовы, которые характерны для вирусов в моменты из размножения.

К достоинствам блокировщиков относится их способность обнаруживать и останавливать вирус на самой ранней стадии его размножения. К недостаткам относятся существование путей обхода защиты блокировщиков и большое количество ложных срабатываний.

Иммунизаторы

Иммунизаторы делятся на два типа: иммунизаторы, сообщающие о заражении, и иммунизаторы, блокирующие заражение. Первые обычно записываются в конец файлов (по принципу файлового вируса) и при запуске файла каждый раз проверяют его на изменение. Недостаток у таких иммунизаторов всего один, но он летален: абсолютная неспособность сообщить о заражении стелс-вирусом. Поэтому такие иммунизаторы, как и блокировщики, практически не используются в настоящее время.

Второй тип иммунизации защищает систему от поражения вирусом какого-то определенного вида. Файлы на дисках модифицируются таким образом, что вирус принимает их за уже зараженные. Для защиты от резидентного вируса в память компьютера заносится программа, имитирующая копию вируса. При запуске вирус натыкается на нее и считает, что система уже заражена.

Такой тип иммунизации не может быть универсальним, поскольку нельзя иммунизировать файлы от всех известных вирусов.

^ Классификация антивирусов по признаку изменяемости во времени

По мнению Валерия Конявского , антивирусные средства можно разделить на две большие группы - анализирующие данные и анализирующие процессы.

^ Анализ данных

К анализу данных относятся "ревизоры" и "полифаги". "Ревизоры" анализируют последствия от деятельности компьютерных вирусов и других вредоносных программ. Последствия проявляются в изменении данных, которые изменяться не должны. Именно факт изменения данных является признаком деятельности вредоносных программ с точки зрения "ревизора". Другими словами, "ревизоры" контролируют целостность данных и по факту нарушения целостности принимают решение о наличии в компьютерной среде вредоносных программ.

"Полифаги" действуют по-другому. Они на основе анализа данных выделяют фрагменты вредоносного кода (например, по его сигнатуре) и на этой основе делают вывод о наличии вредоносных программ. Удаление или "лечение" пораженных вирусом данных позволяет предупредить негативные последствия исполнения вредоносных программ. Таким образом, на основе анализа "в статике" предупреждаются последствия, возникающие "в динамике".

Схема работы и "ревизоров", и "полифагов" практически одинакова - сравнить данные (или их контрольную сумму) с одним или несколькими эталонными образцами. Данные сравниваются с данными. Таким образом, для того чтобы найти вирус в своем компьютере, нужно, чтобы он уже "сработал", чтобы появились последствия его деятельности. Этим способом можно найти только известные вирусы, для которых заранее описаны фрагменты кода или сигнатуры. Вряд ли такую защиту можно назвать надежной.

^ Анализ процессов

Несколько по-иному работают антивирусные средства, основанные на анализе процессов. "Эвристические анализаторы", так же как и вышеописанные, анализируют данные (на диске, в канале, в памяти и т.п.). Принципиальное отличие состоит в том, что анализ проводится в предположении, что анализируемый код - это не данные, а команды (в компьютерах с фон-неймановской архитектурой данные и команды неразличимы, в связи с этим при анализе и приходится выдвигать то или иное предположение.)

"Эвристический анализатор" выделяет последовательность операций, каждой из них присваивает некоторую оценку "опасности" и по совокупности "опасности" принимает решение о том, является ли данная последовательность операций частью вредоносного кода. Сам код при этом не выполняется.

Другим видом антивирусных средств, основанных на анализе процессов, являются "поведенческие блокираторы". В этом случае подозрительный код выполняется поэтапно до тех пор, пока совокупность инициируемых кодом действий не будет оценена как "опасное" (либо "безопасное") поведение. Код при этом выполняется частично, так как завершение вредоносного кода можно будет обнаружить более простыми методами анализа данных.

Технологии обнаружения вирусов

Технологии, применяемые в антивирусах, можно разбить на две группы:

Технологии сигнатурного анализа
Технологии вероятностного анализа

Технологии сигнатурного анализа

Сигнатурный анализ - метод обнаружения вирусов, заключающийся в проверке наличия в файлах сигнатур вирусов. Сигнатурный анализ является наиболее известным методом обнаружения вирусов и используется практически во всех современных антивирусах. Для проведения проверки антивирусу необходим набор вирусных сигнатур, который хранится в антивирусной базе.

Ввиду того, что сигнатурный анализ предполагает проверку файлов на наличие сигнатур вирусов, антивирусная база нуждается в периодическом обновлении для поддержания актуальности антивируса. Сам принцип работы сигнатурного анализа также определяет границы его функциональности - возможность обнаруживать лишь уже известные вирусы - против новых вирусов сигнатурный сканер бессилен.

С другой стороны, наличие сигнатур вирусов предполагает возможность лечения инфицированных файлов, обнаруженных при помощи сигнатурного анализа. Однако, лечение допустимо не для всех вирусов - трояны и большинство червей не поддаются лечению по своим конструктивным особенностям, поскольку являются цельными модулями, созданными для нанесения ущерба.

Грамотная реализация вирусной сигнатуры позволяет обнаруживать известные вирусы со стопроцентной вероятностью.

Технологии вероятностного анализа

Технологии вероятностного анализа в свою очередь подразделяются на три категории:

Эвристический анализ
Поведенческий анализ
Анализ контрольных сумм

Эвристический анализ

Эвристический анализ - технология, основанная на вероятностных алгоритмах, результатом работы которых является выявление подозрительных объектов. В процессе эвристического анализа проверяется структура файла, его соответствие вирусным шаблонам. Наиболее популярной эвристической технологией является проверка содержимого файла на предмет наличия модификаций уже известных сигнатур вирусов и их комбинаций. Это помогает определять гибриды и новые версии ранее известных вирусов без дополнительного обновления антивирусной базы.

Эвристический анализ применяется для обнаружения неизвестных вирусов, и, как следствие, не предполагает лечения. Данная технология не способна на 100% определить вирус перед ней или нет, и как любой вероятностный алгоритм грешит ложными срабатываниями.

^ Поведенческий анализ

Поведенческий анализ - технология, в которой решение о характере проверяемого объекта принимается на основе анализа выполняемых им операций. Поведенческий анализ весьма узко применим на практике, так как большинство действий, характерных для вирусов, могут выполняться и обычными приложениями. Наибольшую известность получили поведенческие анализаторы скриптов и макросов, поскольку соответствующие вирусы практически всегда выполняют ряд однотипных действий.

Средства защиты, вшиваемые в BIOS, также можно отнести к поведенческим анализаторам. При попытке внести изменения в MBR компьютера, анализатор блокирует действие и выводит соответствующее уведомление пользователю.

Помимо этого поведенческие анализаторы могут отслеживать попытки прямого доступа к файлам, внесение изменений в загрузочную запись дискет, форматирование жестких дисков и т. д.

Поведенческие анализаторы не используют для работы дополнительных объектов, подобных вирусным базам и, как следствие, неспособны различать известные и неизвестные вирусы - все подозрительные программы априори считаются неизвестными вирусами. Аналогично, особенности работы средств, реализующих технологии поведенческого анализа, не предполагают лечения.

^ Анализ контрольных сумм

Анализ контрольных сумм - это способ отслеживания изменений в объектах компьютерной системы. На основании анализа характера изменений - одновременность, массовость, идентичные изменения длин файлов - можно делать вывод о заражении системы. Анализаторы контрольных сумм (также используется название "ревизоры изменений") как и поведенческие анализаторы не используют в работе дополнительные объекты и выдают вердикт о наличии вируса в системе исключительно методом экспертной оценки. Подобные технологии применяются в сканерах при доступе - при первой проверке с файла снимается контрольная сумма и помещается в кэше, перед следующей проверкой того же файла сумма снимается еще раз, сравнивается, и в случае отсутствия изменений файл считается незараженным.

^ Антивирусные комплексы

Антивирусный комплекс - набор антивирусов, использующих одинаковое антивирусное ядро или ядра, предназначенный для решения практических проблем по обеспечению антивирусной безопасности компьютерных систем. В антивирусный комплекс также в обязательном порядке входят средства обновления антивирусных баз.

Помимо этого антивирусный комплекс дополнительно может включать в себя поведенческие анализаторы и ревизоры изменений, которые не используют антивирусное ядро.

Выделяют следующие типы антивирусных комплексов:

Антивирусный комплекс для защиты рабочих станций
Антивирусный комплекс для защиты файловых серверов
Антивирусный комплекс для защиты почтовых систем
Антивирусный комплекс для защиты шлюзов.

Несмотря на то что общие средства защиты информации и профилактические меры очень важны для защиты от вирусов, необходимо применение специализированных программ. Эти программы можно разделить на несколько видов:

? Программы-детекторы проверяют, имеются ли в файлах на диске специфическая комбинация байтов (сигнатура) для известного вируса и сообщают об этом пользователю (VirusScan/SCAN/фир- мы McAfee Associates).
? Программы-доктора или фаги «лечат» зараженные программы, «выкусывая» из зараженных программ тело вируса, как с восстановлением, так и без восстановления среды обитания (зараженного файла) - лечащий модуль программы SCAN - программа CLEAN.
? Программы доктора-детекторы (Aidstest Лозинского, Doctor Web Данилова, MSAV, Norton Antivirus, AVP Касперского) способны определить наличие известного вируса на диске и исцелить зараженный файл. Самая распространенная группа антивирусных программ на сегодняшний день.

В самом простом случае команда проверки содержимого диска на наличие вирусов имеет вид: aidstest /ключ1/ключ 2 /ключ 3 /---

? Программы-фильтры (сторожа) располагаются резидентно в оперативной памяти ПК и перехватывают те обращения к операционной системе, которые используются вирусами для размножения и нанесения вреда и сообщают о них пользователю:
- попытка испортить главный файл OS COMMAND.COM;
- попытка прямой записи на диск (предыдущая запись удаляется), при этом выдается сообщение, что какая-то программа пытается копировать на диск;
- форматирование диска,
- резидентное размещение программы в памяти.

Выявив попытку одного из этих действий, программа-фильтр выдает пользователю описание ситуации и требует от него подтверждения. Пользователь может разрешить или запретить выполнение данной операции. Контроль действий, характерный для вирусов, осуществляется путем подмены обработчиков соответствующих прерываний. К недостаткам этих программ можно отнести назойливость (сторож, например, выдает предупреждение о любой попытке копирования исполняемого файла), возможные конфликты с другим программным обеспечением, обход сторожей некоторыми вирусами. Примеры фильтров: Anti4us, Vsafe, Disk Monitor.

Следует заметить, что на сегодняшний день многие программы класса доктор-детектор еще и имеют резидентный модуль - фильтр (сторож), например, DR Web, AVP, Norton Antivirus. Таким образом, такие программы можно классифицировать как доктор-детектор-сторж.

? Аппаратно-программные антивирусные средства (Аппаратно-программный комплекс Sheriff). В одном ряду с программами-сторожами стоят аппаратно-программные антивирусные средства, обеспечивающие более надежную защиту от проникновения вируса в систему. Такие комплексы состоят из двух частей: аппаратной, которая устанавливается в виде микросхемы на Материнскую плату и программной, записывающейся на диск. Аппаратная часть (контроллер) отслеживает все операции записи на диск, программная часть, находясь в Оперативной памяти резидентно, отслеживает все операции ввода/вывода информации. Однако возможность применения этих средств требует внимательного рассмотрения с точки зрения конфигурации используемого на ПК дополнительного оборудования, например, дисковых контроллеров, модемов или сетевых плат.
? Программы-ревизоры (Adinf/Advanced Disk infoscope/c лечащим блоком ADinf Cure Module Мостового). Программы-ревизоры имеют две стадии работы. Сначала они запоминают сведения о состоянии программ и системных областей дисков (загрузочного сектора и сектора с таблицей разбиения жесткого диска на логические разделы). Предполагается, что в этот момент программы и системные области дисков не заражены. Затем при сравнении системных областей и дисков с исходными в случае обнаружения несоответствия сообщается пользователю. Программы-ревизоры способны обнаружить невидимые (STEALTH) вирусы. Проверка длины файла недостаточна, некоторые вирусы не изменяют длину зараженных файлов. Более надежная проверка - прочесть весь файл и вычислить его контрольную сумму (побитно). Изменить весь файл так, чтобы его контрольная сумма осталась прежней, практически невозможно. К незначительным недостаткам ревизоров можно отнести то, что для обеспечения безопасности они должны использоваться регулярно, например, ежедневно вызываться из файла AUTOEXEC.BAT. Но несомненными их преимуществами являются высокая скорость проверок и то, что они не требуют частого обновления версий. Версии ревизора даже полугодовой давности надежно обнаруживают и удаляют современные вирусы.
? Программы-вакцины или иммунизаторы (CPAV). Программы-вакцины модифицируют программы и диски таким образом, что это не отражается на работе программ, но тот вирус, от которого производится вакцинация, считает эти программы и диски уже зараженными. Работа этих программ недостаточно эффективна.

Условно стратегию зашиты от вируса можно определить как многоуровневую «эшелонированную» оборону. Структурно это может выглядеть так. Средствам разведки в «обороне» от вирусов соответствуют программы-детекторы, позволяющие определять вновь полученное программное обеспечение на наличие вирусов. На переднем крае обороны находятся программы-фильтры, которые находятся резидентно в памяти компьютера. Эти программы могут первыми сообщить о работе вируса. Второй эшелон «обороны» составляют программы-ревизоры. Ревизоры обнаруживают нападение вируса даже тогда, когда он сумел «просочиться» через передний край обороны. Программы-доктора применяются для восстановления зараженных программ, если копии зараженной программы нет в архиве, но они не всегда лечат правильно. Доктора-ревизоры обнаруживают нападение вируса и лечат зараженные программы, причем контролируют правильность лечения. Самый глубокий эшелон обороны - это средства разграничения доступа. Они не позволяют вирусам и неверно работающим программам, даже если они проникли в ПК, испортить важные данные. В «стратегическом резерве» находятся архивные копии информации и «эталонные» дискеты с программными продуктами. Они позволяют восстановить информацию при ее повреждении.

Вредоносные действия вирусов каждого типа могут быть самыми разнообразными. Это и удаление важных файлов или даже «прошивки» BIOS, и передача личной информации, например паролей, по определенному адресу, организация несанкционированных рассылок электронной почты и атак на некоторые сайты. Возможен и запуск дозвона через сотовый телефон на платные номера. Утилиты скрытого администрирования (backdoor) способны даже передать злоумышленнику всю полноту управления компьютером. К счастью, со всеми этими бедами можно успешно бороться, и основным оружием в этой борьбе будет, конечно, антивирусное ПО.

Антивирус Касперского. Пожалуй, «Антивирус Касперского» - самый известный в России продукт этого типа, а фамилия «Касперский» стала синонимом борца с вредоносными кодами. Одноименная лаборатория не только постоянно выпускает новые версии своего защитного ПО, но и ведет просветительскую работу среди пользователей компьютеров. Самая свежая, девятая версия «Антивируса Касперского», как и предыдущие релизы, отличается простым и максимально прозрачным интерфейсом, объединяющим все необходимые утилиты в одном окне. Благодаря мастеру установки и интуитивно понятным пунктам меню настроить этот продукт способен даже начинающий пользователь. Мощность используемых алгоритмов удовлетворит и профессионалов. С детальным описанием каждого из обнаруженных вирусов можно ознакомиться, вызвав соответствующую страницу в Интернете непосредственно из программы.

Dr. Web. Еще один популярный российский антивирус, соперничающий по известности с «Антивирусом Касперского», - Dr. Web. Его ознакомительная версия обладает интересной особенностью: она требует обязательной регистрации через Интернет. С одной стороны, это очень хорошо - сразу после регистрации производится обновление антивирусных баз и пользователь получает самые новые данные о сигнатурах. С другой стороны, установить ознакомительную версию автономно невозможно, да и, как показал опыт, при неустойчивом соединении неизбежны проблемы.

Panda Antivirus + Firewall 2007. Комплексное решение в области компьютерной безопасности - пакет Panda Antivirus+Firewall 2007 - включает в себя помимо антивирусной программы брандмауэр, отслеживающий сетевую активность. Интерфейс основного окна программы решен в «природных» зеленых тонах, но, несмотря на внешнюю привлекательность, система переходов по меню выстроена неудобно, и начинающий пользователь вполне может запутаться в настройках.

Пакет Panda содержит сразу несколько оригинальных решений, таких как фирменная технология поиска неизвестных угроз TruePrevent, основанная на самых современных эвристических алгоритмах. Стоит обратить внимание и на утилиту поиска уязвимых мест компьютера - она оценивает опасность «дыр» в системе безопасности и предлагает скачать необходимые обновления.

Norton Antivirus 2005. Основное впечатление от продукта знаменитой компании Symantec - антивирусного комплекса Norton Antivirus 2005 - его ориентация на мощные вычислительные системы. Реакция интерфейса Norton Antivirus 2005 на действия пользователя ощутимо запаздывает. Кроме того, при инсталляции она предъявляет достаточно жесткие требования к версиям операционной системы и Internet Explorer. В отличие от Dr.Web, Norton Antivirus не требует обязательного обновления вирусных баз при установке, но о том, что они устарели, будет напоминать в течение всего времени работы.

McAfee VirusScan. Любопытный антивирусный продукт, являющийся, по уверениям разработчиков, сканером № 1 в мире - McAfee VirusScan, - мы выбрали для испытаний потому, что в ряду аналогичных приложений он выделялся большим размером дистрибутива (более 40 Мбайт). Полагая, что такая величина обусловлена широким функционалом, мы приступили к инсталляции и обнаружили, что помимо антивирусного сканера в него входят брандмауэр, а также утилиты очистки жесткого диска и гарантированного удаления объектов с винчестера (файл-шреддер).

Вопросы к главам 6 и 7

1. Этапы развития средств и технологий информационной безопасности.
2. Составляющие стандартной модели безопасности.
3. Источники угроз безопасности и их классификация.
4. Непреднамеренные угрозы информационной безопасности.
5. Умышленные угрозы информационной безопасности.
6. Классификация каналов утечки информации.
7. Регулирование проблем информационной безопасности.
8. Структура государственной системы защиты информации.
9. Методы и средства защиты информации.
10. Классификация угроз безопасности данных.
11. Методы защиты информации от вирусов.
12. Методы контроля целостности.
13. Классификация компьютерных вирусов.
14. Средства защиты против вирусов.
15. Профилактические антивирусные меры.
16. Классификация программных антивирусных продуктов.

Отправить свою хорошую работу в базу знаний просто. Используйте форму, расположенную ниже

Студенты, аспиранты, молодые ученые, использующие базу знаний в своей учебе и работе, будут вам очень благодарны.

Размещено на http://www.allbest.ru/

Классификация антивирусов

Антивирус -- программный пакет, специально разработанный для защиты, перехвата и удаления компьютерных вирусов и прочих вредоносных программ.

Современные антивирусные программы способны эффективно обнаруживать вредоносные объекты внутри файлов программ и документов. В некоторых случаях антивирус может удалить тело вредоносного объекта из зараженного файла, восстановив сам файл. В большинстве случаев антивирус способен удалить вредоносный программный объект не только из программного файла, но и из файла офисного документа, не нарушив его целостность. Использование антивирусных программ не требует высокой квалификации и доступно практически любому пользователю компьютера. В настоящее время большинство ведущих антивирусных программ сочетает в себе функции постоянной защиты (антивирусный монитор) и функции защиты по требованию пользователя (антивирусный сканер).

Классификация антивирусов

В настоящее время не существует единой системы классификации антивирусных программ.

Классификация антивирусов по режиму работы

В Лаборатории Касперского классифицируют антивирусы по режиму работы:

Проверка в режиме реального времени

Проверка в режиме реального времени, или постоянная проверка, обеспечивает непрерывность работы антивирусной защиты. Это реализуется с помощью обязательной проверки всех действий, совершаемых другими программами и самим пользователем, на предмет вредоносности, вне зависимости от их исходного расположения - будь это свой жесткий диск, внешние носители информации, другие сетевые ресурсы или собственная оперативная память. Также проверке подвергаются все косвенные действия через третьи программы.

Проверка по требованию

В некоторых случаях наличия постоянно работающей проверки в режиме реального времени может быть недостаточно. Возможна ситуация, когда на компьютер был скопирован зараженный файл, исключенный из постоянной проверки ввиду больших размеров и, следовательно, вирус в нем обнаружен не был. Если этот файл на рассматриваемом компьютере запускаться не будет, то вирус может остаться незамеченным и проявить себя только после пересылки его на другой компьютер.

Для такого режима обычно предполагается, что пользователь лично укажет какие файлы, каталоги или области диска необходимо проверить и время, когда нужно произвести такую проверку - в виде расписания или разового запуска вручную.

Классификация антивирусов по типу

Также антивирусные программы можно классифицировать по типу:

Сканеры (другие названия: фаги, полифаги)

Принцип работы антивирусных сканеров основан на проверке файлов, секторов и системной памяти и поиске в них известных и новых (неизвестных сканеру) вирусов. Для поиска известных вирусов используются так называемые "маски". Маской вируса является некоторая постоянная последовательность кода, специфичная для этого конкретного вируса. Если вирус не содержит постоянной маски, или длина этой маски недостаточно велика, то используются другие методы. Примером такого метода является алгоритмический язык, описывающий все возможные варианты кода, которые могут встретиться при заражении подобного типа вирусом. Такой подход используется некоторыми антивирусами для детектирования полиморфик-вирусов.

Во многих сканерах используются также алгоритмы "эвристического сканирования", т.е. анализ последовательности команд в проверяемом объекте, набор некоторой статистики и принятие решения для каждого проверяемого объекта.

Сканеры также можно разделить на две категории - "универсальные" и "специализированные". Универсальные сканеры рассчитаны на поиск и обезвреживание всех типов вирусов вне зависимости от операционной системы, на работу в которой рассчитан сканер. Специализированные сканеры предназначены для обезвреживания ограниченного числа вирусов или только одного их класса, например макро-вирусов.

Сканеры также делятся на "резидентные" (мониторы), производящие сканирование "на лету", и "нерезидентные", обеспечивающие проверку системы. Данные сравниваются с данными. Таким образом, для того чтобы найти вирус в своем компьютере, нужно, чтобы он уже "сработал", чтобы появились последствия его деятельности. Этим способом можно найти только известные вирусы, для которых заранее описаны фрагменты кода или сигнатуры. Вряд ли такую защиту можно назвать надежной.

Анализ процессов

вирус программа компьютерный вредоносный

Несколько по-иному работают антивирусные средства, основанные на анализе процессов. "Эвристические анализаторы", так же как и вышеописанные, анализируют данные (на диске, в канале, в памяти и т.п.). Принципиальное отличие состоит в том, что анализ проводится в предположении, что анализируемый код - это не данные, а команды (в компьютерах с фон-неймановской архитектурой данные и команды неразличимы, в связи с этим при анализе и приходится выдвигать то или иное предположение.)

"Эвристический анализатор" выделяет последовательность операций, каждой из них присваивает некоторую оценку "опасности" и по совокупности "опасности" принимает решение о том, является ли данная последовательность операций частью вредоносного кода. Сам код при этом не выполняется.

Другим видом антивирусных средств, основанных на анализе процессов, являются "поведенческие блокираторы". В этом случае подозрительный код выполняется поэтапно до тех пор, пока совокупность инициируемых кодом действий не будет оценена как "опасное" (либо "безопасное") поведение. Код при этом выполняется частично, так как завершение вредоносного кода можно будет обнаружить более простыми методами анализа данных.

Технологии обнаружения вирусов

Технологии, применяемые в антивирусах, можно разбить на две группы:

Технологии сигнатурного анализа

Сигнатурный анализ - метод обнаружения вирусов, заключающийся в проверке наличия в файлах сигнатур вирусов. Сигнатурный анализ является наиболее известным методом обнаружения вирусов и используется практически во всех современных антивирусах. Для проведения проверки антивирусу необходим набор вирусных сигнатур, который хранится в антивирусной базе.

Ввиду того, что сигнатурный анализ предполагает проверку файлов на наличие сигнатур вирусов, антивирусная база нуждается в периодическом обновлении для поддержания актуальности антивируса. Сам принцип работы сигнатурного анализа также определяет границы его функциональности - возможность обнаруживать лишь уже известные вирусы - против новых вирусов сигнатурный сканер бессилен.

С другой стороны, наличие сигнатур вирусов предполагает возможность лечения инфицированных файлов, обнаруженных при помощи сигнатурного анализа. Однако, лечение допустимо не для всех вирусов - трояны и большинство червей не поддаются лечению по своим конструктивным особенностям, поскольку являются цельными модулями, созданными для нанесения ущерба.

Грамотная реализация вирусной сигнатуры позволяет обнаруживать известные вирусы со стопроцентной вероятностью.

Технологии вероятностного анализа

Технологии вероятностного анализа в свою очередь подразделяются на три категории:

Эвристический анализ

Поведенческий анализ

Анализ контрольных сумм

Эвристический анализ - технология, основанная на вероятностных алгоритмах, результатом работы которых является выявление подозрительных объектов. В процессе эвристического анализа проверяется структура файла, его соответствие вирусным шаблонам. Наиболее популярной эвристической технологией является проверка содержимого файла на предмет наличия модификаций уже известных сигнатур вирусов и их комбинаций. Это помогает определять гибриды и новые версии ранее известных вирусов без дополнительного обновления антивирусной базы.

Эвристический анализ применяется для обнаружения неизвестных вирусов, и, как следствие, не предполагает срабатываниями.

Поведенческий анализ - технология, в которой решение о характере проверяемого объекта принимается на основе анализа выполняемых им операций. Поведенческий анализ весьма узко применим на практике, так как большинство действий, характерных для вирусов, могут выполняться и обычными приложениями. Наибольшую известность получили поведенческие анализаторы скриптов и макросов, поскольку соответствующие вирусы практически всегда выполняют ряд однотипных действий.

Средства защиты, вшиваемые в BIOS, также можно отнести к поведенческим анализаторам. При попытке внести изменения в MBR компьютера, анализатор блокирует действие и выводит соответствующее уведомление пользователю.

Помимо этого поведенческие анализаторы могут отслеживать попытки прямого доступа к файлам, внесение изменений в загрузочную запись дискет, форматирование жестких дисков и т. д.

Поведенческие анализаторы не используют для работы дополнительных объектов, подобных вирусным базам и, как следствие, неспособны различать известные и неизвестные вирусы - все подозрительные программы априори считаются неизвестными вирусами. Аналогично, особенности работы средств, реализующих технологии поведенческого анализа, не предполагают лечения.

Анализ контрольных сумм - это способ отслеживания изменений в объектах компьютерной системы. На основании анализа характера изменений - одновременность, массовость, идентичные изменения длин файлов - можно делать вывод о заражении системы. Анализаторы контрольных сумм (также используется название "ревизоры изменений") как и поведенческие анализаторы не используют в работе дополнительные объекты и выдают вердикт о наличии вируса в системе исключительно методом экспертной оценки. Подобные технологии применяются в сканерах при доступе - при первой проверке с файла снимается контрольная сумма и помещается в кэше, перед следующей проверкой того же файла сумма снимается еще раз, сравнивается, и в случае отсутствия изменений файл считается незараженным.

Антивирусный комплекс -- набор антивирусов, использующих одинаковое антивирусное ядро или ядра, предназначенный для решения практических проблем по обеспечению антивирусной безопасности компьютерных систем. В антивирусный комплекс также в обязательном порядке входят средства обновления антивирусных баз.

Помимо этого антивирусный комплекс дополнительно может включать в себя поведенческие анализаторы и ревизоры изменений, которые не используют антивирусное ядро.

Выделяют следующие типы антивирусных комплексов:

Антивирусный комплекс для защиты рабочих станций

Антивирусный комплекс для защиты файловых серверов

Антивирусный комплекс для защиты почтовых систем

Антивирусный комплекс для защиты шлюзов.

Размещено на Allbest.ru

Подобные документы

Понятие и классификация компьютерных вирусов. Основные методы защиты информации от вирусов. Обзор современных программных средств для безопасной работы компьютера. Классификация антивирусов. Kaspersky Antivirus, Norton Antivirus, Dr.Weber, Eset NOD32.

курсовая работа , добавлен 26.10.2015

Основные задачи антивирусов и средства антивирусной защиты персонального компьютера. Механизм работы вирусов и способы их распространения. Методы и технологии защиты от вредоносных программ. Общие требования безопасности при работе за компьютером.

реферат , добавлен 22.09.2016

Исследование истории компьютерных вирусов и антивирусов. Изучение основных путей проникновения вредоносных программ в компьютер. Виды вирусных и антивирусных программ. Характеристика особенностей сигнатурных и эвристических методов антивирусной защиты.

реферат , добавлен 08.10.2014

Основные способы защиты от компьютерных вирусов. Основные признаки проявления вирусов: прекращение работы программ, медленная работа компьютера, изменение размеров, даты и времени файлов. Пути возникновения вирусов. Характеристика известных антивирусов.

презентация , добавлен 02.12.2011

Феномен компьютерных вирусов. Классификация компьютерных вирусов. Типы антивирусов. Как и от чего защищать ПК. Борьба с атаками хакеров. Бесплатные антивирусные веб-сервисы. Основы безопасности при работе в Интернете. Действия при попадании вируса.

реферат , добавлен 08.10.2008

Понятие и механизм действия компьютерных вирусов, определение их опасности для сохранности данных, меры предотвращения негативного воздействия. Классификация программ-антивирусов, их системные требования и условия эффективной, бесперебойной работы.

дипломная работа , добавлен 17.07.2010

Особенности антивирусных программ (антивирусов) - компьютерных программ, предназначенных для обезвреживания вирусов и различного рода вредоносного ПО, с целью сохранности данных и оптимальной работы ПК. Классификация и примеры антивирусных программ.

реферат , добавлен 26.03.2010

Применение антивирусов для эффективного обнаружения вирусов на компьютере и их обезвреживания. Признаки заражения вирусами. Явные проявления троянских программ: изменение настроек браузера, всплывающие сообщения, несанкционированный дозвон в Интернет.

лабораторная работа , добавлен 13.09.2013

Понятие и классификация компьютерных вирусов. Методы защиты от вредоносных программ, их разновидности. Признаки заражения компьютера вирусом. Проблема защиты информации. Работа с приложениями пакета MS Office. Анализ файловых вирусов, хакерских утилит.

курсовая работа , добавлен 12.01.2015

Программы для поиска компьютерных вирусов, похожих на известные и выполняющих подозрительные действия. Модуль обновления, планирования и управления. Настройка параметров антивирусных модулей, обновлений, периодического запуска обновления и проверки.

Антивирусная защита - наиболее распространенная мера для обеспечения информационной безопасности ИТ-инфраструктуры в корпоративном секторе. Однако только 74% российских компаний применяют антивирусные решения для защиты, показало исследование, проведенное «Лабораторией Касперского» совместно с аналитической компанией B2B International (осень 2013 года).

В отчете также говорится, что на фоне взрывного роста киберугроз, от которых компании защищаются простыми антивирусами, российский бизнес начинает все чаще использовать комплексные инструменты защиты. Во многом по этой причине на 7% увеличилось применение средств шифрования данных на съемных носителях (24%). Кроме того, компании стали охотнее разграничивать политики безопасности для съемных устройств. Возросло и разграничение уровня доступа к различным участкам ИТ-инфраструктуры (49%). При это компании малого и среднего бизнеса уделяют большее внимание контролю съемных устройств (35%) и контролю приложений (31%).

Исследователи также обнаружили, что несмотря на постоянное обнаружение новых уязвимостей в программном обеспечении, российские компании все еще не уделяют должного внимания регулярному обновлению программного обеспечения. Более того, количество организаций, занимающихся установкой исправлений, снизилось по сравнению с прошлым годом, и составило всего лишь 59%.

Большинство антивирусных программ сочетает в себе функции постоянной защиты (антивирусный монитор) и функции защиты по требованию пользователя (антивирусный сканер).

Рейтинг антивирусов

2019: Две трети антивирусов для Android оказались бесполезными

В марте 2019 года австрийская лаборатория AV-Comparatives, специализирующаяся на тестировании антивирусного софта, опубликовала результаты исследования, которые показали бесполезность большинство подобных программ для Android .

Лишь 23 антивируса, размещенного в официальном каталоге Google Play Store , точно распознают вредоносные программы в 100% случаев. Остальной софт либо не реагирует на мобильные угрозы, либо принимает за них абсолютно безопасные приложения.

Специалисты изучили 250 антивирусов и сообщили, что только 80% из них могут выявлять более 30% зловредов. Таким образом, 170 приложений провалили тест. В число продуктов, которые справились с испытаниями, вошли в основном решения крупных производителей, включая Avast , Bitdefender , ESET , F-Secure , G-Data, «Лабораторию Касперского» , McAfee , Sophos , Symantec , Tencent , Trend Micro и Trustwave .

В рамках эксперимента исследователи установили каждое антивирусное приложение на отдельное устройство (без эмулятора) и автоматизировали аппараты на запуск браузера, загрузку и последующую установку вредоносного ПО. Каждое устройство было протестировано на примере 2 тыс. наиболее распространенных в 2018 году Android-вирусов.

Согласно расчетам AV-Comparatives, большинство антивирусных решений для Android являются подделками. Десятки приложений имеют практически идентичный интерфейс, а их создателей явно больше интересует показ рекламы, чем в написание работающего антивирусного сканера.

Некоторые антивирусы «видят» угрозу в любом приложении, которое не внесено в их «белый список». Из-за этого они, в ряде совсем уж анекдотичных случаев, поднимали тревогу из-за своих собственных файлов, так как разработчики забыли упомянуть их в «белом списке».

2017: Microsoft Security Essentials признан одним из самых худших антивирусов

В октябре 2017 года немецкая антивирусная лаборатория AV-Test опубликовала результаты комплексного тестирования антивирусов. По данным исследования, фирменное программное обеспечение Microsoft , предназначенное для защиты от вредоносной активности, почти хуже всех справляется со своими обязанностями.

По результатам испытаний, проведенных в июле-августе 2017 года, эксперты AV-Test назвали лучшим антивирусом для Windows 7 решение Kaspersky Internet Security , которое получило 18 баллов при оценке уровня защиты, производительности и удобства использования.

В тройку лидеров вошли программы Trend Micro Internet Security и Bitdefender Internet Security , заработавшие по 17,5 балла. О положении продуктов других антивирусных компаний, которые попали в исследование, можно узнать из иллюстраций ниже:

Во многих сканерах используются также алгоритмы эвристического сканирования, т.е. анализ последовательности команд в проверяемом объекте, набор некоторой статистики и принятие решения для каждого проверяемого объекта.

Сканеры также можно разделить на две категории - универсальные и специализированные. Универсальные сканеры рассчитаны на поисх и обезвреживание всех типов вирусов вне зависимости от операционной системы, на работу в которой рассчитан сканер. Специализированные сканеры предназначены для обезвреживания ограниченного числа вирусов или только одного их класса, например макро-вирусов.

Сканеры также делятся на резидентные (мониторы), производящие сканирование на-лету, и нерезидентные, обеспечивающие проверку системы только по запросу. Как правило, резидентные сканеры обеспечивают более надежную защиту системы, поскольку они немедленно реагируют на появление вируса, в то время как нерезидентный сканер способен опознать вирус только во время своего очередного запуска.

CRC-сканеры

Принцип работы CRC-сканеров основан на подсчете CRC-сумм (контрольных сумм) для присутствующих на диске файлов/системных секторов. Эти CRC-суммы затем сохраняются в базе данных антивируса, как, впрочем, и некоторая другая информация: длины файлов, даты их последней модификации и т.д. При последующем запуске CRC-сканеры сверяют данные, содержащиеся в базе данных, с реально подсчитанными значениями. Если информация о файле, записанная в базе данных, не совпадает с реальными значениями, то CRC-сканеры сигнализируют о том, что файл был изменен или заражен вирусом.

CRC-сканеры не способны поймать вирус в момент его появления в системе, а делают это лишь через некоторое время, уже после того, как вирус разошелся по компьютеру. CRC-сканеры не могут определить вирус в новых файлах (в электронной почте, на дискетах, в файлах, восстанавливаемых из backup или при распаковке файлов из архива), поскольку в их базах данных отсутствует информация об этих файлах. Более того, периодически появляются вирусы, которые используют эту слабость CRC-сканеров, заражают только вновь создаваемые файлы и остаются, таким образом, невидимыми для них.

Блокировщики

Антивирусные блокировщики - это резидентные программы, перехватывающие вирусо-опасные ситуации и сообщающие об этом пользователю. К вирусо-опасным относятся вызовы на открытие для записи в выполняемые файлы, запись в boot-сектора дисков или MBR винчестера, попытки программ остаться резидентно и т.д., то есть вызовы, которые характерны для вирусов в моменты из размножения.

К достоинствам блокировщиков относится их способность обнаруживать и останавливать вирус на самой ранней стадии его размножения. К недостаткам относятся существование путей обхода защиты блокировщиков и большое количество ложных срабатываний.

Иммунизаторы

Иммунизаторы делятся на два типа: иммунизаторы, сообщающие о заражении, и иммунизаторы, блокирующие заражение. Первые обычно записываются в конец файлов (по принципу файлового вируса) и при запуске файла каждый раз проверяют его на изменение. Недостаток у таких иммунизаторов всего один, но он летален: абсолютная неспособность сообщить о заражении стелс-вирусом. Поэтому такие иммунизаторы, как и блокировщики, практически не используются в настоящее время.

Второй тип иммунизации защищает систему от поражения вирусом какого-то определенного вида. Файлы на дисках модифицируются таким образом, что вирус принимает их за уже зараженные. Для защиты от резидентного вируса в память компьютера заносится программа, имитирующая копию вируса. При запуске вирус натыкается на нее и считает, что система уже заражена.

Такой тип иммунизации не может быть универсальним, поскольку нельзя иммунизировать файлы от всех известных вирусов.

Классификация антивирусов по признаку изменяемости во времени

По мнению Валерия Конявского , антивирусные средства можно разделить на две большие группы - анализирующие данные и анализирующие процессы.

Анализ данных

К анализу данных относятся ревизоры и полифаги. Ревизоры анализируют последствия от деятельности компьютерных вирусов и других вредоносных программ. Последствия проявляются в изменении данных, которые изменяться не должны. Именно факт изменения данных является признаком деятельности вредоносных программ с точки зрения ревизора. Другими словами, ревизоры контролируют целостность данных и по факту нарушения целостности принимают решение о наличии в компьютерной среде вредоносных программ.

Полифаги действуют по-другому. Они на основе анализа данных выделяют фрагменты вредоносного кода (например, по его сигнатуре) и на этой основе делают вывод о наличии вредоносных программ. Удаление или лечение пораженных вирусом данных позволяет предупредить негативные последствия исполнения вредоносных программ. Таким образом, на основе анализа в статике предупреждаются последствия, возникающие в динамике.

Схема работы и ревизоров, и полифагов практически одинакова - сравнить данные (или их контрольную сумму) с одним или несколькими эталонными образцами. Данные сравниваются с данными. Таким образом, для того чтобы найти вирус в своем компьютере, нужно, чтобы он уже сработал, чтобы появились последствия его деятельности. Этим способом можно найти только известные вирусы, для которых заранее описаны фрагменты кода или сигнатуры. Вряд ли такую защиту можно назвать надежной.

Анализ процессов

Несколько по-иному работают антивирусные средства, основанные на анализе процессов. Эвристические анализаторы, так же как и вышеописанные, анализируют данные (на диске, в канале, в памяти и т.п.). Принципиальное отличие состоит в том, что анализ проводится в предположении, что анализируемый код - это не данные, а команды (в компьютерах с фон-неймановской архитектурой данные и команды неразличимы, в связи с этим при анализе и приходится выдвигать то или иное предположение.)

Эвристический анализатор выделяет последовательность операций, каждой из них присваивает некоторую оценку опасности и по совокупности опасности принимает решение о том, является ли данная последовательность операций частью вредоносного кода. Сам код при этом не выполняется.

Другим видом антивирусных средств, основанных на анализе процессов, являются поведенческие блокираторы. В этом случае подозрительный код выполняется поэтапно до тех пор, пока совокупность инициируемых кодом действий не будет оценена как опасное (либо безопасное) поведение. Код при этом выполняется частично, так как завершение вредоносного кода можно будет обнаружить более простыми методами анализа данных.

Технологии обнаружения вирусов

Технологии, применяемые в антивирусах, можно разбить на две группы:

Технологии сигнатурного анализа
Технологии вероятностного анализа

Технологии сигнатурного анализа

Технологии вероятностного анализа

Технологии вероятностного анализа в свою очередь подразделяются на три категории:

Эвристический анализ
Поведенческий анализ
Анализ контрольных сумм

Эвристический анализ

Эвристический анализ применяется для обнаружения неизвестных вирусов, и, как следствие, не предполагает лечения. Данная технология не способна на 100% определить вирус перед ней или нет, и как любой вероятностный алгоритм грешит ложными срабатываниями.

Поведенческий анализ

Анализ контрольных сумм

Анализ контрольных сумм - это способ отслеживания изменений в объектах компьютерной системы. На основании анализа характера изменений - одновременность, массовость, идентичные изменения длин файлов - можно делать вывод о заражении системы. Анализаторы контрольных сумм (также используется название ревизоры изменений) как и поведенческие анализаторы не используют в работе дополнительные объекты и выдают вердикт о наличии вируса в системе исключительно методом экспертной оценки. Подобные технологии применяются в сканерах при доступе - при первой проверке с файла снимается контрольная сумма и помещается в кэше, перед следующей проверкой того же файла сумма снимается еще раз, сравнивается, и в случае отсутствия изменений файл считается незараженным.

Антивирусные комплексы

Антивирусный комплекс - набор антивирусов, использующих одинаковое антивирусное ядро или ядра, предназначенный для решения практических проблем по обеспечению антивирусной безопасности компьютерных систем. В антивирусный комплекс также в обязательном порядке входят средства обновления антивирусных баз.

Выделяют следующие типы антивирусных комплексов:

Антивирусный комплекс для защиты рабочих станций
Антивирусный комплекс для защиты файловых серверов
Антивирусный комплекс для защиты почтовых систем
Антивирусный комплекс для защиты шлюзов.

Облачный и традиционный настольный антивирус: что выбрать?

(По материалам ресурса Webroot.com)

Современный рынок антивирусных средств – это в первую очередь традиционные решения для настольных систем, механизмы защиты в которых построены на базе сигнатурных методов. Альтернативный способ антивирусной защиты – применение эвристического анализа.

Проблемы традиционного антивирусного ПО

В последнее время традиционные антивирусные технологии становятся все менее эффективными, быстро устаревают, что обусловлено рядом факторов. Количество вирусных угроз, распознаваемых по сигнатурам, уже настолько велико, что обеспечить своевременное 100%-ное обновление сигнатурных баз на пользовательских компьютерах – это часто нереальная задача. Хакеры и киберпреступники все чаще используют ботнеты и другие технологии, ускоряющие распространение вирусных угроз нулевого дня. Кроме того, при проведении таргетированных атак сигнатуры соответствующих вирусов не создаются. Наконец, применяются новые технологии противодействия антивирусному обнаружению: шифрование вредоносного ПО, создание полиморфных вирусов на стороне сервера, предварительное тестирование качества вирусной атаки.

Традиционная антивирусная защита чаще всего строится в архитектуре «толстого клиента». Это означает, что на компьютер клиента устанавливается объемный программный код. С его помощью выполняется проверка поступающих данных и выявляется присутствие вирусных угроз.

Такой подход имеет ряд недостатков. Во-первых, сканирование в поисках вредоносного ПО и сравнение сигнатур требует значительной вычислительной нагрузки, которая «отнимается» у пользователя. В результате продуктивность компьютера снижается, а работа антивируса иногда мешает выполнять параллельно прикладные задачи. Иногда нагрузка на пользовательскую систему бывает настолько заметна, что пользователи отключают антивирусные программы, убирая тем самым заслон перед потенциальной вирусной атакой.

Во-вторых, каждое обновление на машине пользователя требует пересылки тысяч новых сигнатур. Объем передаваемых данных обычно составляет порядка 5 Мбайт в день на одну машину. Передача данных тормозит работу сети, отвлекает дополнительные системные ресурсы, требует привлечения системных администраторов для контроля трафика.

В-третьих, пользователи, находящиеся в роуминге или на удалении от стационарного места работы, оказываются беззащитны перед атаками нулевого дня. Для получения обновленной порции сигнатур они должны подключиться к VPN -сети, которая удаленно им недоступна.

Антивирусная защита из облака

При переходе на антивирусную защиту из облака архитектура решения существенно меняется. На компьютере пользователя устанавливается «легковесный» клиент, основная функция которого – поиск новых файлов, расчет хэш-значений и пересылка данных облачному серверу. В облаке проводится полномасштабное сравнение, выполняемое на большой базе собранных сигнатур. Эта база постоянно и своевременно обновляется за счет данных, передаваемых антивирусными компаниями. Клиент получает отчет с результатами проведенной проверки.

Таким образом, облачная архитектура антивирусной защиты имеет целый ряд преимуществ:

объем вычислений на пользовательском компьютере оказывается ничтожно мал по сравнению с толстым клиентом, следовательно, продуктивности работы пользователя не снижается;
нет катастрофического влияния антивирусного трафика на пропускную способность сети: пересылке подлежит компактная порция данных, содержащая всего несколько десятков хэш-значений, средний объем дневного трафика не превышает 120 Кбайт;
облачное хранилище содержит огромные массивы сигнатур, значительно больше тех, которые хранятся на пользовательских компьютерах;
алгоритмы сравнения сигнатур, применяемые в облаке, отличаются значительно более высокой интеллектуальностью по сравнению с упрощенными моделями, которые используются на уровне локальных станций, а благодаря более высокой производительности для сравнения данных требуется меньше времени;
облачные антивирусные службы работают с реальными данными, получаемыми от антивирусных лабораторий, разработчиков средств безопасности, корпоративных и частных пользователей; угрозы нулевого дня блокируются одновременно с их распознаванием, без задержки, вызванной необходимостью получения доступа к пользовательским компьютерами;
пользователи в роуминге или не имеющие доступа к своим основным рабочим местам, получают защиту от атак нулевого дня одновременно с выходом в Интернет;
снижается загрузка системных администраторов: им не требуется тратить время на установку антивирусного ПО на компьютеры пользователей, а также обновления баз сигнатур.

Почему традиционные антивирусы не справляются

Современный вредоносный код может:

Обойти ловушки антивирусов создав специальный целевой вирус под компанию
До того как антивирус создаст сигнатуру он будет уклоняться, используя полиморфизм, перекодирование, используя динамические DNS и URL

Целевое создание под компанию
Полиморфизм
Неизвестный еще никому код – нет сигнатуры

Сложно защититься

Скоростные антивирусы 2011 года

Российский независимый информационно-аналитический центр Anti-Malware.ru опубликовал в мае 2011 года результаты очередного сравнительного теста 20 наиболее популярных антивирусов на быстродействие и потребление системных ресурсов.

Цель данного теста - показать, какие персональные антивирусы оказывает наименьшее влияние на осуществление пользователем типовых операций на компьютере, меньше "тормозят" его работу и потребляют минимальное количество системных ресурсов.

Среди антивирусных мониторов (сканеров в режиме реального времени) целая группа продуктов продемонстрировала очень высокую скорость работы, среди них: Avira, AVG, ZoneAlarm, Avast, Антивирус Касперского, Eset, Trend Micro и Dr.Web. С этими антивирусами на борту замедление копирования тестовой коллекции составило менее 20% по сравнению с эталоном. Антивирусные мониторы BitDefender, PC Tools, Outpost, F-Secure, Norton и Emsisoft также показали высокие результаты по быстродействию, укладывающиеся в диапазон 30-50%. Антивирусные мониторы BitDefender, PC Tools, Outpost, F-Secure, Norton и Emsisoft также показали высокие результаты по быстродействию, укладывающиеся в диапазон 30-50%.

При этом Avira, AVG, BitDefender, F-Secure, G Data, Антивирус Касперского, Norton, Outpost и PC Tools в реальных условиях могут быть значительно быстрее за счет имеющейся у них оптимизации последующий проверок.

Наилучшую скорость сканирования по требованию показал антивирус Avira. Немного уступили ему Антивирус Касперского, F-Secure, Norton, G Data, BitDefender, Антивирус Касперского и Outpost. По скорости первого сканирования эти антивирусы лишь немного уступают лидеру, в тоже время все они имеют в своем арсенале мощные технологии оптимизации повторных проверок.

Еще одной важной характеристикой скорости работы антивируса является его влияние на работу прикладных программ, с которыми часто работает пользователь. В качестве таких для теста были выбраны пять: Internet Explorer, Microsoft Office Word, Microsoft Outlook , Adobe Acrobat Reader и Adobe Photoshop. Наименьшее замедление запуска этих офисных программ показали антивирусы Eset, Microsoft, Avast, VBA32, Comodo, Norton, Trend Micro, Outpost и G Data.

Материалы по теме:

Карта сайта