Характеристика антивірусних програм

Антивірусні програми поділяються на:

· програми-детектори

· програми-доктори

· програми-ревізори

· програми-фільтри

· програми-вакцини.

Програми-детектори забезпечують пошук і виявлення вірусів в оперативній пам'яті і на зовнішніх носіях, і при виявленні видають відповідне повідомлення.Розрізняють детектори універсальні і спеціалізовані.

Універсальні детектори в своїй роботі використовують перевірку незмінності файлів шляхом підрахунку та порівняння з еталоном контрольної суми. Недолік універсальних детекторів пов'язаний з неможливістю визначення причин викривлення файлів.

Спеціалізовані детектори здійснюють пошук відомих вірусів по їх сигнатурі (повторюваному ділянці коду). Недолік таких детекторів полягає в тому, що вони нездатні виявляти всі відомі віруси.

Детектор, що дозволяє виявляти кілька вірусів, називають полідетектором.

Програми-доктора (фаги), не тільки знаходять заражені вірусами файли, але і "лікують" їх, тобто видаляють з файлу тіло програми вірусу, повертаючи файли в початковий стан. На початку своєї роботи фаги шукають віруси в оперативній пам'яті, знищуючи їх, і тільки потім переходять до "лікування" файлів. Серед фагів виділяютьполіфаги, тобто програми-доктори, призначені для пошуку і знищення великої кількості вірусів.

Враховуючи, що постійно з'являються нові віруси, програми-детектори і програми-доктори швидко застарівають, і потрібне регулярне оновлення їх версій.

Програми-ревізори відносяться до найнадійніших засобів захисту від вірусів. Ревізори запам'ятовують початковий стан програм, каталогів і системних областей диска тоді, коли комп'ютер не заражений вірусом, а потім періодично або за бажанням користувача порівнюють поточний стан з вихідним. Виявлені зміни виводяться на екран відеомонітора. Як правило, порівняння станів проводять відразу після завантаження операційної системи. При порівнянні перевіряються довжина файла, код циклічного контролю (контрольна сума файла), дата і час модифікації, інші параметри.

Програми-ревізори мають досить розвинуті алгоритми, виявляють стелс-віруси і можуть навіть відрізнити зміни версії програми, що перевіряється від змін, внесених вірусом.

Програми-фільтри (сторожа) представляють собою невеликі резидентні програми, призначені для виявлення підозрілих дій при роботі комп'ютера, характерних для вірусів. Такими діями можуть бути:

· спроби корекції файлів з розширеннями СОМ і ЕХЕ;

· зміна атрибутів файлів;

· прямий запис на диск по абсолютному адресою;

· запис у завантажувальні сектори диска.

· завантаження резидентного програми.

При спробі будь-якої програми здійснити вказані дії "сторож" посилає користувачеві повідомлення і пропонує заборонити або дозволити відповідну дію. Програми-фільтри досить корисні, оскільки здатні виявити вірус на ранній стадії його існування до розмноження. Однак вони не "лікують" файли і диски. Для знищення вірусів потрібно застосувати інші програми, наприклад фаги. До недоліків програм-сторожів можна віднести їх "настирливість" (наприклад, вони постійно видають попередження про будь-якій спробі копіювання виконуваного файла), а також можливі конфлікти з іншим програмним забезпеченням.

Вакцини (іммунізатори) - це резидентні програми, що запобігають зараження файлів. Вакцини застосовують, якщо відсутні програми-доктори, "лікуючі" цей вірус.Вакцинація можлива тільки від відомих вірусів. Вакцина модифікує програму або диск таким чином, щоб це не відбивалося на їх роботі, а вірус буде сприймати їх зараженими і тому не впровадити. В даний час програми-вакцини мають обмежене застосування.

Істотним недоліком таких програм є їх обмежені можливості щодо запобігання зараження від великої кількості різноманітних вірусів.

Методики антивірусних програм

Існує кілька основних методів пошуку вірусів, які застосовуються антивірусними програмами:

· Сканування

· Евристичний аналіз

· Виявлення змін

· Резидентні монітори

Антивірусні програми можуть реалізовувати всі перераховані вище методики, або тільки деякі з них.

Сканування

Сканування є найбільш традиційним методом пошуку вірусів. Воно полягає в пошуку сигнатур, виділених з раніше виявлених вірусів. Антивірусні програми-сканери, здатні видалити виявлені віруси, зазвичай називаються полифагами.

Недоліком простих сканерів є їх нездатність виявити поліморфні віруси, що повністю міняють свій код. Для цього необхідно використовувати більш складні алгоритми пошуку, що включають евристичний аналіз перевірених програм.

Крім того, сканери можуть виявити тільки вже відомі і попередньо вивчені віруси, для яких була визначена сигнатура. Тому програми-сканери не захистять ваш комп'ютер від проникнення нових вірусів, яких, до речі, з'являється по кілька штук на день. Як результат, сканери застарівають вже в момент виходу нової версії.

Евристичний аналіз

Евристичний аналіз найчастіше використовується спільно з скануванням для пошуку шифруються і поліморфних вірусів. У більшості випадків евристичний аналіз дозволяє також виявляти й раніше невідомі віруси. У цьому випадку, швидше за все їхнє лікування буде неможливо.

Якщо евристичний аналізатор повідомляє, що файл або завантажувальний сектор, можливо, заражений вірусом, ви повинні поставитися до цього з великою увагою.Необхідно додатково перевірити такі файли за допомогою самих останніх версій антивірусних програм сканерів або передати їх для дослідження авторам антивірусних програм.

Виявлення змін

Заражаючи комп'ютер, вірус робить зміни на жорсткому диску: дописує свій код в заражає файл, змінює системні області диска і т. д. На виявленні таких змін грунтуються робота антивірусних програм-ревізорів.

Антивірусні програми-ревізори запам'ятовують характеристики всіх областей диска, які можуть піддадуться нападу вірусу, а потім періодично перевіряють їх. У разі виявлення змін, видається повідомлення про те, що можливо на комп'ютер напав вірус.

Слід враховувати, що не всі зміни викликані вторгненням вірусів. Так, завантажувальна запис може зміниться при оновленні версії операційної системи, а деякі програми записують всередині свого здійсненного файлу дані.

Резидентні монітори

Антивірусні програми, постійно знаходяться в оперативній пам'яті комп'ютера і відслідковують всі підозрілі дії, виконувані іншими програмами, носять назву резидентних моніторів або сторожів. На жаль, резидентні монітори мають дуже багато недоліків, які роблять цей клас програм малопридатними для використання. Вони дратують користувачів великою кількістю повідомлень, по більшій частині не мають відношення до вірусного зараження, в результаті чого їх відключають.