Наилучшей защитой от компьютерных вирусов является осведомленность пользователей. Это обусловлено природой явления - ведь новые вирусы еще не распознаются антивирусными программами. К сожалению, хорошо сделанный вирус может быть настолько «прозрачным», что даже самый наблюдательный пользователь не заметит его присутствия. Кроме того, на такой подвиг, как распознавание, анализ и устранение вируса, способно ограниченное число пользователей. К счастью, существуют инструменты, позволяющие вывести процесс обнаружения и обезвреживания вирусов на новый уровень.

Приоткрывая завесу

Тяжело в учении, легко в бою!

Одной из обязанностей специалиста по информационным технологиям, отвечающего за безопасность, является просвещение пользователей. Пользователи должны уметь самостоятельно идентифицировать подозрительные присоединенные файлы и помнить о недопустимости немедленной активизации присланного исполняемого файла. Для подобного обучения пользователей смелый администратор может использовать свою собственную Троянскую программу. Но к подобным методам недопустимо прибегать без письменного одобрения руководства!

Напишите программу, единственной функцией которой будет отчет о ее выполнении. Она должна указать, на каком компьютере была выполнена и кто там в этот момент работал. Возьмите эту программу (после всестороннего тестирования и устранения дефектов) и отправьте ее всем сотрудникам по электронной почте с привлекательной темой, желательно с адреса, не имеющего отношения к фирме. Тем, кто запустит программу, нужно прочесть лекцию по компьютерной безопасности.

Антивирусное программное обеспечение

Компании, производящие антивирусное оборудование, знают решение практически всех проблем, возникающих из-за вирусов, иногда даже несуществующих. Наиболее популярным способом борьбы является регулярное сканирование системы в поисках известных образцов подозрительного кода. Обнаружение таковых служит одним из первых сигналов для антивирусных программ. К сожалению, таким способом можно обнаружить только известные вирусы, образцами кода которых располагают существующие средства сканирования, а новые вирусы остаются незамеченными. В данном случае можно дать лишь один ценный совет: как можно чаще обновляйте антивирусную программу!

Благодаря Интернету производители антивирусного программного обеспечения имеют возможность раз в несколько часов обновлять образцы кода и предоставлять доступ к их списку всем нуждающимся. Однако это поможет только пользователям, регулярно загружающим и использующим эти обновления!

Данный выше ценный совет прост на словах, но достаточно сложен в реализации. Представьте большую корпоративную сеть, в которой пользователи не могут обновлять антивирусные программы по собственному желанию. Соответственно, сетевой администратор должен загружать из Интернета ежедневные обновления, размещать их на центральном файловом сервере, а затем использовать сценарии, исполняемые при входе пользователя в систему, для обновления антивирусных баз и автоматического запуска сканирования на стороне клиента.

Отдавая должное производителям антивирусных программ, нужно отметить, что они нашли способ справиться с такой проблемой, как недостаток образцов подозрительного кода. Хорошее антивирусное программное обеспечение использует метод, называемый эвристикой, позволяющий сканеру искать код, который подозрительно выглядит. Именно такой способ используется для распознавания неизвестных вирусов. Разумеется, обнаружив нечто подобное, не стоит посылать это другу - слишком грубая шутка. Лучше отправьте вирус одному из многочисленных производителей антивирусных программ для экспертизы и создания образца.

Другие техники распознавания вирусов основаны на проверке целостности файлов и программ. Таким способом можно эффективно обнаружить вирусы различных типов, в том числе и полиморфные. В данном случае используется достаточно простой подход: вместо того чтобы искать сам вирус, ищут его проявления. Он требует постоянного мониторинга системы со стороны антивирусной программы, который поглощает значительное количество ресурсов, зато укрепляет безопасность.

Инструментарий и ловушки Основные способы защиты от вируса

Убедитесь, что пользователи имеют в своем распоряжении и активно применяют антивирусные программы.

Убедитесь, что пользователи знают, что такое вирусы и с кем связаться в случае их обнаружения.

Убедитесь, что люди, которым поступают жалобы на вирусы, устраняют заражение и исследуют его последствия.

Убедитесь, что ваш системный администратор обучает пользователей, а также регулярно обновляет базы данных образцов подозрительного кода и загружает свежие пакеты исправлений для операционной системы.

Обновления и пакеты исправлений

Для проникновения внутрь операционной системы черви Nimda, Sadmind и Code Red используют давно известные уязвимые места, для устранения которых еще два года назад были выпущены соответствующие пакеты исправлений! Без сомнения, существуют счастливчики, которые никогда не подвергались хакерской атаке, но от вирусов никто не застрахован. Черви пытаются инфицировать все компьютеры, которых они в состоянии достичь... и если вы пользуетесь Интернетом, они могут добраться и до вас.

Безопасность браузеров

К сожалению, во Всемирной паутине разница между чистыми данными и исполняемым кодом сильно размыта. Да что там говорить, вся концепция превратилась в ночной кошмар. Уязвимые места в безопасности браузеров обнаруживаются с такой частотой, что путешествовать по Всемирной паутине с включенными функциями Active Scripting, JavaScript, ActiveX, Java и т. п. просто неразумно. Но с увеличением числа сайтов, для просмотра которых требуется JavaScript (например, Expedia.com), перед пользователем встает дилемма: посещать только те сайты, которым он доверяет, и надеяться, что на его компьютер не будет загружен вредоносный код или же отказаться от посещения части сайтов ради безопасности.

Чтобы реализовать второй вариант (в конце концов, кому нужен этот сайт Expedia.com?), достаточно отключить все активные компоненты, посредством которых с различных сайтов в систему могут попасть вирусы, в браузерах Netscape и Internet Explorer. В Internet Explorer для этого требуется запретить исполнение сценариев в зоне Интернета на вкладке Security (Безопасность) окна диалога, вызываемого командой Tools I Internet Options (Сервис I Свойства обозревателя). В браузере Netscape Navigator нужно снять флажок Enable JavaScript (Разрешить JavaScript) в разделе Advanced Preferences (Дополнительные параметры).

Антивирусные исследования

Как ни удивительно, в области создания антивирусных программ проводится большое количество совместных исследований различных производителей. Может показаться, что они находятся в состоянии непрерывной конкуренции, но на самом деле это не так. Производители поняли, что более важной целью, чем получение прибыли, является защита конечного пользователя. По крайней мере, действуют они именно таким образом.

Независимо от них ICSA финансировала консорциум разработчиков антивирусного программного обеспечения, создавший стандарты для тестирования новых версий антивирусных программ. Программы, прошедшие эти тесты, получают печать «ICSA Approved» («одобрено ICSA»),

Группа REVS (Rapid Exchange of Virus Samples - быстрый обмен образцами вирусов), созданная организацией Wildlist, занимается обменом новыми вирусами и образцами их кода среди своих членов. В эту группу входят, например, такие производители антивирусного программного обеспечения, как Panda, Sophos, TrendMicro и Computer Associates. Организация Wildlist также отслеживает вирусы, обнаруживаемые «в диком виде» (имеется в виду «на жестком диске у человека, не принимающего непосредственного участия в исследованиях компьютерных вирусов» - прим. перев.), и публикует ежемесячный отчет. Адрес их сайта: www.wildlist.org.

Люди, не являющиеся профессионалами в данной области, могут участвовать в тематических обсуждениях в конференции alt.comp.vims сети Usenet. Составленные там ответы на часто задаваемые вопросы (FAQ) стоит почитать всем, кто интересуется исследованиями вирусов. Однако тем, кто хочет заняться изучением данной тематики вплотную, я порекомендовал бы конференцию alt.comp.vims.source.code. Но помните, что содержащийся там материал предназначен исключительно для исследований, а не для отправки лучшему другу, который за день до этого победил вас во время игры в Quake 3.

Резюме

Вирусы, Троянские кони и черви являются программами, которые, попадая в систему, обычно выполняют какие-нибудь вредоносные действия. Для распространения вирусов требуется некий код, к которому они присоединяются. Черви могут распространяться независимо, хранясь при этом в памяти компьютера. Троянские кони имитируют обычные программы, выполняющие полезную функцию, имея при этом дополнительные скрытые возможности.

Вирусы состоят из двух частей: механизм распространения и «полезная нагрузка». Механизм распространения определяет способ перехода вируса между компьютерами. Иногда это может быть инфицирование загрузочного сектора жесткого диска, в других случаях - присоединение к исполняемому файлу или даже к документу, работа с которым осуществляется в приложении, использующем макросы. Именно «полезная нагрузка» вируса определяет его проявления, которые могут как полностью отсутствовать или быть вполне безобидными, так и выполнять некую деструктивную функцию, например стирание всей информации с жесткого диска.

Некоторые вирусы, пытаясь спрятаться от антивирусных программ, прибегают к хитрым уловкам. Они могут менять свою структуру, зашифровываться, атаковать с разных сторон и даже выводить из строя антивирусную программу.

Самым эффективным вариантом вредоносного кода являются черви. Своим успехом они обязаны возможностям большой общедоступной сети (Интернет), которые они используют для быстрого распространения. Яркими представителями этого класса являются черви Code Red, Nimda и Sadmind.

Создать свой собственный вредоносный код не так уж сложно. Достаточно слегка модифицировать какого-нибудь вируса или червя. Есть даже курсы, на которых в числе прочего дается информация о написании вирусов.

Существуют различные методы защиты от вредоносного кода. В данном случае действует принцип «Кто предупрежден, тот вооружен». Среди способов защиты нельзя не упомянуть отключение некоторых функций браузера и приобретение антивирусного программного обеспечения. Также не стоит забывать о необходимости регулярного обновления этих программ.

Конспект

Различия между вирусами, Троянскими программами и червями

• Вирусы остаются на локальном компьютере, черви могут распространяться через Интернет, а Троянские программы обычно вообще не распространяются.

• Макровирусы используют для активизации язык, встроенный в программу для обработки и редактирования текстов и в другие офисные.

Строение вирусов

• Червям и вирусам требуется метод распространения.

• После перехода на другой компьютер они обычно выполняют некие действия, реализуя код «полезной нагрузки».

• Некоторые вирусы и черви пытаются скрыться от антивирусных программ с помощью различных уловок, например полиморфизма.

Инфицирование различных платформ

• Черви и вирусы обычно не в состоянии работать в различных операционных системах и на различных платформах, так как это приводит к увеличению их кода.

• Для создания вирусов можно использовать исполняемую среду Java. В этом случае распространение вируса не будет зависеть от платформы.

• Приложения, созданные для различных платформ, например пакет Microsoft Office, позволяют макровирусам активироваться в различных средах.

Поводы для беспокойства

• Мы сделали обзор «классических» червей, таких как червь Морриса и ADMWOrm.

• Появившиеся позднее макровирусы для электронной почты, например Melissa и I love you, использовали для своего распространения как технологические, так и психологические приемы.

• С мая по сентябрь 2001 года зафиксированы эпидемии червей Sadmind, Code Red, Code Red II и Nimda. Все они тем или иным способом атаковали уязвимый сервер Microsoft IIS. При этом для распространения использовалась уязвимость двухлетней давности. Это свидетельствует о том, что большая часть пользователей Интернета пренебрегает установкой новых пакетов исправлений.

Создание вредоносного кода

• Создатели червей ищут новые пути их распространения.

• Для распространения червей можно использовать сервисы, позволяющие рассылать поздравительные открытки, и интерактивное содержимое сайтов.

• По мере того как производители разрабатывают новые возможности макросов и сценариев для различных приложений, появляются макровирусы, использующие эти функции.

Защита от вредоносного кода

• Прежде всего следует установить и запустить антивирусную программу!

• Отключив возможность исполнения активных сценариев в браузере и приложениях Office, вы предотвратите заражение макровирусами, а также вирусами, построенными на основе сценариев.

• Пренебрегая установкой новейших пакетов исправлений, вы оставляете червям лазейки для проникновения в систему.

Часто задаваемые вопросы

Вопрос: Откуда произошел термин «компьютерный вирус»?

Ответ: Самовоспроизводящиеся программы впервые появились в 60-х годах прошлого века. Однако термин «вирус» появился сравнительно недавно. Первым его использовал профессор Фред Коэн (Fred Cohen) в 1984 году при описании самовоспроизводящихся программ.

Вопрос: Все ли вирусы являются вредоносными? Ответ: По большей части да. Законное распространение вирусной технологии представить себе сложно, но тем не менее полезные программы используют тактику вирусов. Например, вирус КОН автоматически зашифровывает пользовательские данные при их сохранении и расшифровывает их при чтении с жесткого диска. Это очевидный способ обеспечить безопасность данных, но очевидным он стал отчасти потому, что был положен в основу вирусной технологии.

Вопрос: Можно ли получить работу, специализируясь в написании вирусов? Ответ: Я думаю, что ответ «да» не будет сюрпризом для большей части читателей. В январе 2000 года появилось объявление о поиске специалиста в написании вирусов от корпорации информатики (Computer Sciences Corporation). Вот его текст:

«Корпорации информатики в Сан-Антонио, Техас, требуется опытный создатель вирусов. Работа на авиационной базе Келли в Сан-Антонио. Сопутствующий опыт приветствуется».

Остается только догадываться, что происходит за закрытыми дверьми на авиационной базе Келли.

Вопрос: Как предотвратить распространение червя при заражении компьютера? Ответ: Это во многом зависит от того, какая операционная система была инфицирована. Предотвратить заражение достаточно легко для серверов в демилитаризованной зоне: измените установки брандмауэра таким образом, чтобы запретить прямое соединение серверов с Интернетом.

Инфицирование различных платформ | Защита от хакеров корпоративных сетей | Уклонения от системы обнаружения вторжения


Защита от хакеров корпоративных сетей



Новости за месяц

  • Июнь
    2019
  • Пн
  • Вт
  • Ср
  • Чт
  • Пт
  • Сб
  • Вс