Антивирусная программа - это компьютерная программа, целью которой является обнаружить, предотвратить размножение и удалить компьютерные вирусы и другие вредоносные программы. Многие антивирусные программы позволяют не только обнаруживать, но и препятствуют несанкционированному проникновению вредоносных программ в компьютер.
Большинство современных антивирусных программ запускается автоматически операционной системой, и постоянно проверяют безопасность совершаемых другими программами действий, а также контролируют оперативную память и файловую систему компьютера.
КЛАССИФИКАЦИЯ АНТИВИРУСНЫХ ПРОГРАММ
В настоящее время не существует единой системы классификации антивирусных программ.
Классификация антивирусов по режиму работы
В Лаборатории Касперского классифицируют антивирусы по режиму работы:
1)Проверка в режиме реального времени
Проверка в режиме реального времени, или постоянная проверка, обеспечивает непрерывность работы антивирусной защиты. Это реализуется с помощью обязательной проверки всех действий, совершаемых другими программами и самим пользователем, на предмет вредоносности, вне зависимости от их исходного расположения – будь это свой жесткий диск, внешние носители информации, другие сетевые ресурсы или собственная оперативная память. Также проверке подвергаются все косвенные действия через третьи программы.
2)Проверка по требованию
В некоторых случаях наличия постоянно работающей проверки в режиме реального времени может быть недостаточно. Возможна ситуация, когда на компьютер был скопирован зараженный файл, исключенный из постоянной проверки ввиду больших размеров и следовательно вирус в нем обнаружен не был. Если этот файл на рассматриваемом компьютере запускаться не будет, то вирус может остаться незамеченным и проявить себя только после пересылки его на другой компьютер.
Для такого режима обычно предполагается, что пользователь лично укажет какие файлы, каталоги или области диска необходимо проверить и время, когда нужно произвести такую проверку – в виде расписания или разового запуска вручную.
Классификация антивирусов по типу
Также антивирусные программы можно классифицировать по типу:
1)Сканеры (другие названия: фаги, полифаги)
Принцип работы антивирусных сканеров основан на проверке файлов, секторов и системной памяти и поиске в них известных и новых (неизвестных сканеру) вирусов. Для поиска известных вирусов используются так называемые маски. Маской вируса является некоторая постоянная последовательность кода, специфичная для этого конкретного вируса. Если вирус не содержит постоянной маски, или длина этой маски недостаточно велика, то используются другие методы. Примером такого метода является алгоритмический язык, описывающий все возможные варианты кода, которые могут встретиться при заражении подобного типа вирусом. Такой подход используется некоторыми антивирусами для детектирования полиморфик-вирусов.
Во многих сканерах используются также алгоритмы эвристического сканирования, т.е. анализ последовательности команд в проверяемом объекте, набор некоторой статистики и принятие решения для каждого проверяемого объекта.
Сканеры также можно разделить на две категории - универсальные и специализированные. Универсальные сканеры рассчитаны на поиск и обезвреживание всех типов вирусов вне зависимости от операционной системы, на работу в которой рассчитан сканер. Специализированные сканеры предназначены для обезвреживания ограниченного числа вирусов или только одного их класса, например макро-вирусов.
Сканеры также делятся на резидентные (мониторы), производящие сканирование на лету, и нерезидентные, обеспечивающие проверку системы только по запросу. Как правило, резидентные сканеры обеспечивают более надежную защиту системы, поскольку они немедленно реагируют на появление вируса, в то время как нерезидентный сканер способен опознать вирус только во время своего очередного запуска.
2)CRC-сканеры
Принцип работы CRC-сканеров основан на подсчете CRC-сумм (контрольных сумм) для присутствующих на диске файлов/системных секторов. Эти CRC-суммы затем сохраняются в базе данных антивируса, как, впрочем, и некоторая другая информация: длины файлов, даты их последней модификации и т.д.
При последующем запуске CRC-сканеры сверяют данные, содержащиеся в базе данных, с реально подсчитанными значениями. Если информация о файле, записанная в базе данных, не совпадает с реальными значениями, то CRC-сканеры сигнализируют о том, что файл был изменен или заражен вирусом.
CRC-сканеры не способны поймать вирус в момент его появления в системе, а делают это лишь через некоторое время, уже после того, как вирус разошелся по компьютеру. CRC-сканеры не могут определить вирус в новых файлах (в электронной почте, на дискетах, в файлах, восстанавливаемых из backup или при распаковке файлов из архива), поскольку в их базах данных отсутствует информация об этих файлах.
Более того, периодически появляются вирусы, которые используют эту слабость CRC-сканеров, заражают только вновь создаваемые файлы и остаются, таким образом, невидимыми для них.
3)Блокировщики
Антивирусные блокировщики - это резидентные программы, перехватывающие вирусо-опасные ситуации и сообщающие об этом пользователю. К вирусо-опасным относятся вызовы на открытие для записи в выполняемые файлы, запись в boot-сектора дисков или MBR винчестера, попытки программ остаться резидентно и т.д., то есть вызовы, которые характерны для вирусов в моменты из размножения.
К достоинствам блокировщиков относится их способность обнаруживать и останавливать вирус на самой ранней стадии его размножения. К недостаткам относятся существование путей обхода защиты блокировщиков и большое количество ложных срабатываний.
4)Иммунизаторы
Иммунизаторы делятся на два типа: иммунизаторы, сообщающие о заражении, и иммунизаторы, блокирующие заражение. Первые обычно записываются в конец файлов (по принципу файлового вируса) и при запуске файла каждый раз проверяют его на изменение. Недостаток у таких иммунизаторов всего один, но он летален: абсолютная неспособность сообщить о заражении стелс-вирусом. Поэтому иммунизаторы, как и блокировщики, практически не используются в настоящее время.
Второй тип иммунизации защищает систему от поражения вирусом какого-то определенного вида. Файлы на дисках модифицируются таким образом, что вирус принимает их за уже зараженные. Для защиты от резидентного вируса в память компьютера заносится программа, имитирующая копию вируса. При запуске вирус натыкается на нее и считает, что система уже заражена.
Такой тип иммунизации не может быть универсальным, поскольку нельзя иммунизировать файлы от всех известных вирусов.
Классификация антивирусов по признаку изменяемости во времени
По мнению Влерия Конявского, антивирусные средства можно разделить на две большие группы - анализирующие данные и анализирующие процессы.
1)Анализ данных
К анализу данных относятся ревизоры и полифаги. Ревизоры анализируют последствия от деятельности компьютерных вирусов и других вредоносных программ. Последствия проявляются в изменении данных, которые изменяться не должны. Именно факт изменения данных является признаком деятельности вредоносных программ с точки зрения ревизора. Другими словами, ревизоры контролируют целостность данных и по факту нарушения целостности принимают решение о наличии в компьютерной среде вредоносных программ.
Полифаги действуют по-другому. Они на основе анализа данных выделяют фрагменты вредоносного кода (например, по его сигнатуре) и на этой основе делают вывод о наличии вредоносных программ. Удаление или лечение пораженных вирусом данных позволяет предупредить негативные последствия исполнения вредоносных программ. Таким образом, на основе анализа в статике предупреждаются последствия, возникающие в динамике.
Схема работы и ревизоров, и полифагов практически одинакова - сравнить данные (или их контрольную сумму) с одним или несколькими эталонными образцами. Данные сравниваются с данными. Таким образом, для того чтобы найти вирус в своем компьютере, нужно, чтобы он уже сработал, чтобы появились последствия его деятельности. Этим способом можно найти только известные вирусы, для которых заранее описаны фрагменты кода или сигнатуры. Вряд ли такую защиту можно назвать надежной.
2)Анализ процессов
Несколько по-иному работают антивирусные средства, основанные на анализе процессов. Эвристические анализаторы, так же как и вышеописанные, анализируют данные (на диске, в канале, в памяти и т.п.). Принципиальное отличие состоит в том, что анализ проводится в предположении, что анализируемый код - это не данные, а команды (в компьютерах с фон-неймановской архитектурой данные и команды неразличимы, в связи с этим при анализе и приходится выдвигать то или иное предположение.)
Эвристический анализатор выделяет последовательность операций, каждой из них присваивает некоторую оценку опасности и по совокупности опасности принимает решение о том, является ли данная последовательность операций частью вредоносного кода. Сам код при этом не выполняется.
Другим видом антивирусных средств, основанных на анализе процессов, являются поведенческие блокираторы. В этом случае подозрительный код выполняется поэтапно до тех пор, пока совокупность инициируемых кодом действий не будет оценена как опасное (либо безопасное) поведение. Код при этом выполняется частично, так как завершение вредоносного кода можно будет обнаружить более простыми методами анализа данных.
ПРИНЦИП РАБОТЫ АНТИВИРУСНЫХ ПРОГРАММ
В работе антивирусов можно выделить три составляющих:
1)Диагностика антивирус проверяет все доступные для вирусов места на жёстком диске компьютера, и если он обнаруживает вирус, то оповещает вас об этом, то есть пользователя этого компьютера.
2)Лечение
Найдя вирус, антивирусная программа может (по усмотрению пользователя):
-Попытаться вылечить заражённый файл.
-Поместить его в карантин. То есть, если этот файл ценен для вас и содержит какую-то важную информацию, его можно поместить в папку карантина. В дальнейшем, вы можете попытаться его вылечить “вручную” самостоятельно либо же с помощью специалиста, иногда это помогает.
-Удалить инфицированный файл. Если лечение файла оказалось невозможным, он, либо безнадёжно испорчен вирусом либо он сам является вирусом. Значит, такой файл необходимо просто удалить с компьютера.
-Вы можете не предпринимать никаких действий. Иногда антивирус выдаёт ложную тревогу и если вы уверены, что просканированный файл не является вирусом, то вы смело можете дать отбой своему антивирусу.
4)Профилактика
Полноценные антивирусные программы, как правило, действуют, защищают компьютер всё время/постоянно. То есть, запускаются вместе с запуском операционной системы и проверяют на наличие вирусов каждую запускаемую программу (файл). Если она содержит вирус или вызывает какое-либо подозрение, то антивирус сразу же даёт вам об этом знать. Далее предлагает вам на выбор принять решение, что с этой программой необходимо сделать: вылечить или поместить в карантин или же удалить её с компьютера, либо продолжить работу не предпринимая ни каких действий по отношению к данному файлу.
Принцип работы компьютерных антивирусов.
-Во-первых, каждый компьютерный антивирус содержит антивирусную базу данных, то есть он знает все имеющиеся в наличии на сегодняшний день вирусы (почти все) поимённо, можно сказать “в лицо”. “Лицо” этих вирусов – это так называемая сигнатура, то есть признаки, по которым их можно определить.
При работе антивируса (проверке файлов), антивирус сверяет все сканируемые им файлы по своей базе данных и если обнаруживается подозрительный файл, то он сразу срабатывает и “бьёт” тревогу.
Антивирусная база обновляется. Обновляется она очень часто, иногда даже по несколько раз в день, потому что каждый день появляется очень много новых вирусов, которые соответственно и заносятся в антивирусную базу.
-Второе, эвристическая методика определения вирусов, то есть, антивирус анализирует программу, если он видит какой-либо подозрительный, по его мнению , участок кода, то он тоже вас предупреждает об этом, но тут конечно не невозможно дать 100%-ные гарантии, что та или иная подозрительная программа это обязательно вирус, поэтому могут быть и ошибки, но всё-таки очень часто такие подозрительные программы впоследствии действительно оказываются вредоносными.
Необходимо упомянуть о том, что в антивирусных программах, как правило, предусмотрено несколько режимов проверки на наличие вирусов.
Обычно их бывает три:
-Максимальный уровень защиты (параноидальный). Всё включено. Когда все эвристические алгоритмы включены на полную мощность. Для тех, кто любит перестраховаться.
Максимальный режим обеспечивает максимальную степень защиты, но обычно при этом потребляя значительное количество ресурсов компьютера. При данном режиме работа компьютера/быстродействие существенно замедляется, так же при сканировании бывает много ложных срабатываний.
-Средний уровень защиты (оптимальный). Он не слишком замедляет работу компьютера и в то же время обеспечивает достаточный уровень защиты, он рекомендуется для повседневной работы. Обычно рекомендуется разработчиками антивирусных программ как по умолчанию.
-Минимальный уровень защиты. Обычно включает в себя проверку по базе данных антивирусных, то есть антивирус выдаёт вам информацию, только если это действительно 100% вирус.
ТРЕБОВАНИЯ К АНТИВИРУСНЫМ ПРОГРАММАМ
Количество и разнообразие вирусов велико, и чтобы их быстро и эффективно обнаружить, антивирусная программа должна отвечать некоторым параметрам.
Стабильность и надежность работы. Этот параметр, без сомнения, является определяющим — даже самый лучший антивирус окажется совершенно бесполезным, если он не сможет нормально функционировать на вашем компьютере, если в результате какого-либо сбоя в работе программы процесс проверки компьютера не пройдет до конца. Тогда всегда есть вероятность того, что какие-то зараженные файлы остались незамеченными.
Размеры вирусной базы программы (количество вирусов, которые правильно определяются программой). С учетом постоянного появления новых вирусов база данных должна регулярно обновляться — что толку от программы, не видящей половину новых вирусов и, как следствие, создающей ошибочное ощущение “чистоты” компьютера. Сюда же следует отнести и возможность программы определять разнообразные типы вирусов, и умение работать с файлами различных типов (архивы, документы). Немаловажным также является наличие резидентного монитора, осуществляющего проверку всех новых файлов “на лету” (то есть автоматически, по мере их записи на диск).
Скорость работы программы, наличие дополнительных возможностей типа алгоритмов определения даже неизвестных программе вирусов (эвристическое сканирование). Сюда же следует отнести возможность восстанавливать зараженные файлы, не стирая их с жесткого диска, а только удалив из них вирусы. Немаловажным является также процент ложных срабатываний программы (ошибочное определение вируса в “чистом” файле).
Многоплатформенность (наличие версий программы под различные операционные системы). Конечно, если антивирус используется только дома, на одном компьютере, то этот параметр не имеет большого значения. Но вот антивирус для крупной организации просто обязан поддерживать все распространенные операционные системы. Кроме того, при работе в сети немаловажным является наличие серверных функций, предназначенных для административной работы, а также возможность работы с различными видами серверов.
АНТИВИРУСНЫЕ КОМПАНИИ И ПРОГРАММЫ:
AhnLab - Южная Корея
Aladdin Knowledge Systems - компания не выпускает антивирусы
ALWIL Software (avast!) - Чехия (бесплатная и платная версии)
AOL Virus Protection в составе AOL Safety and Security Center
ArcaVir - Польша
Authentium - Великобритания
Avira - Германия (есть бесплатная версия Classic)
AVZ - Россия (бесплатная) (в полной мере назвать этот продукт антивирусом нельзя - это антивирусная утилита (отсутствует real-time monitor))
BitDefender - Румыния
BullGuard - Дания
ClamAV - Лицензия GPL - бесплатный с открытым исходными кодами программы
ClamWin - ClamAV для Windows
Comodo Group - США
Computer Associates - США
Dr.Web - Россия
Eset NOD32 - Словакия
Fortinet - США
Frisk Software - Исландия
F-Secure - Финляндия (многодвижковый продукт)
G-DATA - Германия (многодвижковый продукт)
GeCAD - Румыния (Microsoft купил компанию в 2003)
GFI Software
GriSoft (AVG) - Чехия (бесплатная и платная версии)
IKARUS - Австрия
H+BEDV - Германия
Hauri - Южная Корея
McAfee - США
MicroWorld Technologies - Индия
MKS - Польша
MoonSecure - Лицензия GPL - бесплатный с открытым исходными кодами программы, основан на коде ClamAV, но обладает real-time монитором
Norman - Норвегия
NuWave Software - Украина (используют движки от AVG,Frisk,Lavasoft,Norman,Sunbelt)
Outpost - Россия (используют свой anti-spyware и антивирус от VirusBuster)
Panda Software - Испания
Quick Heal AntiVirus - Индия
Rising - Китай
ROSE SWE - Германия
Safe`n`Sec - Россия
Simple Antivirus - Украина
Sophos - Великобритания
Spyware Doctor - антивирусная утилита
Stiller Research
Sybari Software (Microsoft купила компанию в начале 2005)
Symantec - США
Trend Micro - Япония (номинально Тайвань-США)
Trojan Hunter - антивирусная утилита
UAV (Universal Anti Virus) - Украина (бесплатный)
VirusBuster - Венгрия
ZoneAlarm AntiVirus - США
Zillya! - Украина (бесплатный)
Антивирус Касперского - Россия
ВирусБлокАда (VBA32) - Беларусь
Украинский Национальный Антивирус - Украина
| 
