Типы антивирусов

Самыми популярными и эффективными антивирусными программами являются антивирусные сканеры. Следом за ними идут CRC-сканеры. Часто оба приведённых метода объединяют в одну универсальную программу, что значительно повышает её мощность. Применяются также различного типа мониторы (блокировщики) и иммунизаторы.

Принцип работы антивирусных сканеров основан на проверке файлов, секторов и системной памяти и поиске в них известных и новых (неизвестных сканеру) вирусов. Для поиска известных вирусов используются так называемые маски. Маской вируса является некоторая постоянная последовательность кода, специфичная для этого конкретного вируса. Если вирус не содержит маски или длина этой маски недостаточно велика, то используются другие методы. Примером такого метода является алгоритмический язык, описывающий все возможные варианты кода, которые могут встретиться при заражении подобного типа вирусом.

К достоинствам сканеров относится их универсальность, к недостаткам — размеры антивирусных баз, которые сканерам приходится «таскать с собой», и относительно небольшая скорость поиска вирусов.

Принцип работы CRC-сканеров основан на подсчёте CRC-сумм (контрольных сумм) для присутствующих на диске файлов/системных секторов. Эти CRC-суммы затем сохраняются в базе данных антивируса, как и некоторая другая информация: длины файлов, даты их последней модификации и т.д. При последующем запуске CRC-сканеры сверяют данные, содержащиеся в базе данных, с реально посчитанными значениями. Если информация о файле, записанная в базе данных, не совпадает с реальными значениями, то CRC-сканеры сигнализируют о том, что файл был изменён или заражён вирусом.

Этот недостаток состоит в том, что CRC-сканеры не способны поймать вирус в момент его появления в системе, а делают это лишь через некоторое время, уже после того, как вирус разошёлся по компьютеру. CRC-сканеры не могут детектировать вирус в новых файлах, поскольку в их базе данных отсутствует информация об этих файлах.

Более того, периодически появляются вирусы, которые используют эту «слабость» CRC-сканеров, заражают только вновь создаваемые файлы и остаются, таким образом, невидимыми для CRC-сканеров.

Антивирусные мониторы — это резидентные программы, перехватывающие вирусоопасные ситуации и сообщающие об этом пользователю. К вирусоопасным относятся вызовы на открытие для записи в выполняемые файлы, запись в загрузочные секторы дисков или MBR винчестера, попытки программ остаться резидентно, т.е. вызовы, которые характерны для вирусов в моменты их размножения.

К достоинствам мониторов относится их способность обнаруживать и блокировать вирус на самой ранней стадии его размножения. К недостаткам относятся существование путей обхода защиты монитора и большое количество ложных срабатываний, что, видимо, и послужило причиной для практически полного отказа пользователей от подобного рода антивирусных программ.

Необходимо также отметить такое направление антивирусных средств, как антивирусные мониторы, выполненные в виде аппаратных компонентов компьютера. Однако, как и в случае с программными мониторами, такую защиту легко обойти. Также к вышеперечисленным недостаткам добавляются проблемы совместимости со стандартными конфигурациями компьютеров и сложности при их установке и настройке. Всё это делает аппаратные мониторы крайне непопулярными на фоне остальных типов антивирусной защиты.

Иммунизаторы делятся на два типа: иммунаторы, сообщающие о заражении, и иммунизаторы, блокирующие заражение.

Первые обычно записываются в конец файлов и при запуске файла каждый раз проверяют его на изменение. Недостаток у таких иммунизаторов всего один, но он летален: абсолютная неспособность сообщить о заражении «стелс»-вирусом. Поэтому такие иммунизаторы, как и мониторы, практически не используются в настоящее время.

Второй тип иммунизации защищает систему от поражения вирусом какого-то определённого вида. Файлы на дисках модифицируются таким образом, что вирус принимает их за уже заражённые.

Для защиты от резидентного вируса в память компьютера заносится программа, имитирующая копию вируса, при запуске вирус натыкается на неё и считает, что система уже заражена.

Такой тип иммунизации не может быть универсальным, поскольку нельзя проиммунизировать файлы от всех известных вирусов. Однако, несмотря на это, подобные иммунизаторы в качестве полумеры могут вполне надёжно защитить компьютер от нового неизвестного вируса вплоть до того момента, когда он будет детектироваться антивирусными сканерами.

Самыми популярными и эффективными антивирусными программами являются антивирусные сканеры (другие названия: фаги, полифаги). Следом за ними по эффективности и популярности следуют CRC-сканеры (также: ревизор, checksumer, integrity checker). Часто оба приведенных метода объединяются в одну универсальную антивирусную программу, что значительно повышает ее мощность. Применяются также различного типа мониторы (блокировщики) и иммунизаторы.

Принцип работы антивирусных сканеров основан на проверке файлов, секторов и системной памяти и поиске в них известных и новых (неизвестных сканеру) вирусов. Для поиска известных вирусов используются так называемые маски. Маской вируса является некоторая постоянная последовательность кода, специфичная для этого конкретного вируса. Если вирус не содержит постоянной маски или длина этой маски недостаточно велика, то используются другие методы.

Примером такого метода является алгоритмический язык, описывающий все возможные варианты кода, которые могут встретиться при заражении подобного типа вирусом. Такой подход используется некоторыми антивирусами для детектирования полиморфик-вирусов.

Во многих сканерах используются также алгоритмы эвристического сканирования, т. е. анализ последовательности команд в проверяемом объекте, набор некоторой статистики и принятие решения («возможно, заражен» или «не заражен») для каждого проверяемого объекта. Поскольку эвристическое сканирование является во многом вероятностным методом поиска вирусов, то на него распространяются многие законы теории вероятностей. Например, чем выше процент обнаруживаемых вирусов, тем больше количество ложных срабатываний.

К достоинствам сканеров относится их универсальность, к недостаткам — размеры антивирусных баз, которые сканерам приходится «таскать за собой», и относительно небольшая скорость поиска вирусов.

Принцип работы CRC-сканеров основан на подсчете CRC-сумм (контрольных сумм) для присутствующих на диске файлов/системных секторов. Эти CRC-суммы затем сохраняются в базе данных антивируса, как, впрочем, и некоторая другая информация: длины файлов, даты их последней модификации и т.д. При последующем запуске CRC-сканеры сверяют данные, содержащиеся в базе данных, с реально подсчитанными значениями. Если информация о файле, записанная в базе данных, не совпадает с реальными значениями, то CRC-сканеры сигнализируют о том, что файл был изменен или заражен вирусом.

CRC-сканеры, использующие «антистелс»-алгоритмы, являются довольно сильным оружием против вирусов: практически 100% вирусов оказываются обнаруженными почти сразу после их появления на компьютере. Однако у этого типа антивирусов есть врожденный недостаток, который заметно снижает их эффективность. Этот недостаток состоит в том, что CRC-сканеры не способны поймать вирус в момент его появления в системе, а делают это лишь через некоторое время, уже после того, как вирус разошелся по компьютеру.

CRC-сканеры не могут детектировать вирус в новых файлах (в электронной почте, на дискетах, в файлах, восстанавливаемых из backup или при распаковке файлов из архива), поскольку в их базах данных отсутствует информация об этих файлах. Более того, периодически появляются вирусы, которые используют эту «слабость» CRC-сканеров, заражают только вновь создаваемые файлы и остаются, таким образом, невидимыми для CRC-сканеров.

Антивирусные мониторы — это резидентные программы, перехватывающие вирусоопасные ситуации и сообщающие об этом пользователю. К вирусоопасным относятся вызовы на открытие для записи в выполняемые файлы, запись в загрузочные секторы дисков или MBR винчестера, попытки программ остаться резидентно и т.д., то есть вызовы, которые характерны для вирусов в моменты их размножения.

К достоинствам мониторов относится их способность обнаруживать и блокировать вирус на самой ранней стадии его размножения, что, кстати, бывает очень полезно в случаях, когда давно известный вирус постоянно «выползает неизвестно откуда». К недостаткам относятся существование путей обхода защиты монитора и большое количество ложных срабатываний, что, видимо, и послужило причиной для практически полного отказа пользователей от подобного рода антивирусных программ.

Необходимо также отметить такое направление антивирусных средств, как антивирусные мониторы, выполненные в виде аппаратных компонентов компьютера («железа»). Наиболее распространенной является встроенная в BIOS защита от записи в MBR винчестера. Однако, как и в случае с программными мониторами, такую защиту легко обойти прямой записью в порты контроллера диска, а запуск DOS-утилиты FDISK немедленно вызывает ложное срабатывание защиты.

Существует несколько более универсальных аппаратных мониторов, но к перечисленным выше недостаткам добавляются также проблемы совместимости со стандартными конфигурациями компьютеров и сложности при их установке и настройке. Все это делает аппаратные мониторы крайне непопулярными на фоне остальных типов антивирусной защиты.

Иммунизаторы делятся на два типа: иммунизаторы, сообщающие о заражении, и иммунизаторы, блокирующие заражение каким-либо типом вируса. Первые обычно записываются в конец файлов (по принципу файлового вируса) и при запуске файла каждый раз проверяют его на изменение. Недостаток у таких иммунизаторов всего один, но он легален: абсолютная неспособность сообщить о заражении «стелс»-вирусом. Поэтому такие иммунизаторы, как и мониторы, практически не используются в настоящее время.

Второй тип иммунизации защищает систему от поражения вирусом какого-то определенного вида. Файлы на дисках модифицируются таким образом, что вирус принимает их за уже зараженные (пример — печально известная строка MSDos, предохраняющая от ископаемого вируса Jerusalem). Для защиты от резидентного вируса в память компьютера заносится программа, имитирующая копию вируса, при запуске вирус натыкается на нее и считает, что система уже заражена.

Такой тип иммунизации не может быть универсальным, поскольку нельзя проиммунизировать файлы от всех известных вирусов: одни вирусы считают уже зараженными файлы, если время создания файла содержит метку 62 секунды, а другие — 60 с. Однако несмотря на это, подобные иммунизаторы в качестве полумеры могут вполне надежно защитить компьютер от нового неизвестного вируса вплоть до того момента, когда он будет детектироваться антивирусными сканерами.

Защита от компьютерных вирусов

Наиболее эффективны в борьбе с компьютерными вирусами антивирусные программы. Однако следует отметить, что не существует антивирусов, обеспечивающих 100%-ную защиту – это доказано математически.

Качество антивирусной программы определяется следующими критериями.

6. Надежность и удобность работы – отсутствие зависаний антивируса и прочих технических проблем.

7. Качество обнаружения всех распространенных типов, сканирование внутри файлов-документов и файлов-таблиц, упакованных и архивированных файлов. Отсутствие ложных срабатываний. Возможность лечения зараженных объектов. Для сканеров (см. далее), как следствие, важным моментом является также периодичность появления новых версий.

8. Существование версий антивируса под все популярные платформы, присутствие не только режима “сканирование по запросу”, но и “сканирование на лету”, существование серверных версий с возможностью администрирования сети.

9. Скорость работы и различные полезные особенности и функции.

Самыми популярными и эффективными программами являются антивирусные сканеры, называемые также фагами или полифагами. Следом за ними по популярности и эффективности следуют CRC-сканеры, или ревизоры. Часто оба приведенных метода объединяются в одну универсальную программу, что значительно повышает ее мощность. Применяются также различного рода мониторы (блокировщики) и иммунизаторы.

Принцип работы антивирусных сканеров основывается на проверке файлов, секторов и системной памяти, а также поиске в них известных и новых (не известных сканеру) вирусов. Для поиска вирусов используются так называемые “маски”. Маской вируса называется некоторая постоянная последовательность кода, специфичная для данного конкретного вируса. Во многих сканерах используются также алгоритмы “эвристического сканирования”, т. е. анализ последовательности команд в проверяемом объекте, набор некоторой статистики и принятие решения о зараженности.

Сканеры можно также разделить на две категории: универсальные и специализированные. Универсальные сканеры рассчитаны на поиск и обезвреживание всех типов вирусов вне зависимости от ОС. Специализированные сканеры предназначены для обезвреживания ограниченного числа вирусов или только одного их класса, например макровирусов.

Сканеры делятся также на резидентные, производящие сканирование на лету, и нерезидентные, обеспечивающие проверку системы только по запросу.

К достоинствам сканеров относится их универсальность, к недостаткам – небольшая скорость работы и большие размеры антивирусных баз.

Принцип работы CRC-сканеров основан на подсчете CRC-сумм для присутствующих на диске компьютера файлов и системных секторов. Эти CRC-суммы затем сохраняются в базе данных антивируса, как впрочем и некоторая другая информация (длина файла, дата последней модификации и т.д.). При последующем запуске CRC-сканеры сверяют данные, содержащиеся в базе данных с реально подсчитанными значениями. Если эта информация не совпадает, то сканеры сигнализируют о том, что файл был изменен или заражен вирусом.

Недостатком CRC-сканеров является то, что они не способны поймать вирус в момент его появления в системе. CRC-сканеры не могут определить вирусы в новых файлах, поскольку в их базах данных отсутствует информация об этих файлах.

Антивирусные мониторы – это резидентные программы, обнаруживающие «вирусно-опасные» ситуации и сообщающие об этом пользователю. К таким ситуациям относятся вызовы на открытие для записи в выполняемые файлы, запись в boot-сектора дисков или в MBR винчестера, попытки программ остаться резидентными и т.д.

К достоинствам мониторов относится их способность обнаруживать и блокировать вирус на самой ранней стадии его размножения. К недостаткам относятся большое количество ложных срабатываний, существование путей обхода защиты монитора.

Иммунизаторы делятся на два типа: сообщающие о заражении и блокирующие заражение каким-либо типом вируса. Первые обычно записываются в конец файла и при запуске файла каждый раз проверяют его на изменение. Второй тип иммунизации защищает систему от поражения вирусом какого-либо определенного вида. Защищаемые файлы модифицируются так, что вирус принимает их за уже зараженные.