Огляд антивірусної програми (Антивірусу)

Антивірусна програма (антивірус) - необхідна програма для виявлення комп'ютерних вірусів, а також небажаних (що вважаються шкідливими) програм взагалі і відновлення заражених (модифікованих) такими програмами файлів а також для профілактики - запобігання зараженню (модифікації) файлів або операційної системи шкідливим кодом (наприклад, за допомогою вакцинації).

Антивірусне програмне забезпечення складається з необхідних підпрограм, які намагаються виявити запобігти розмноженню і видалити комп'ютерні віруси та інше шкідливе програмне забезпечення.

Методи виявлення вірусів

Антивірусне програмне забезпечення зазвичай використовує два відмінні один від одного методи для виконання своїх завдань:

1. Сканування файлів для пошуку відомих вірусів, що відповідають визначенню в антивірусних базах.
2. Виявлення підозрілої поведінки будь-якої з програм, схожого на поведінку зараженої програми.

Метод відповідності визначенню вірусів в словнику

Це метод, при якому антивірусна програма, аналізуючи файл, звертається до антивірусних баз, складених виробником програми-антивіруса. У разі відповідності якої-небудь ділянки коду файлу (сигнатурі) вірусу, що переглядається, у базах, програма-антивірус може за запитом виконати одно з наступних дій:

1. Видалити інфікований файл.

2. Заблокувати доступ до інфікованого файлу.

3. Відправити файл до карантину (тобто зробити його недоступним для виконання з метою недопущення подальшого поширення вірусу).

4. Спробувати "вилікувати" файл, видаливши тіло вірусу з файлу.

5. У разі неможливості лікування/видалення, виконати цю процедуру при наступному перезавантаженні операційної системи.

Вірусна база регулярно оновлюється виробником антивірусів, користувачам рекомендується оновлювати їх як можна частіше.

Деякі з продуктів для кращого виявлення використовують декілька ядер для пошуку і видалення вірусів і програм-шпигунів. Наприклад у розробці NuWave Software використовується одночасно п'ять ядер (три для пошуків вірусів і два для пошуку програм-шпигунів).

Для багатьох антивірусних програм з базою сигнатур характерна перевірка файлів в мить, коли операційна система звертається до файлів. Таким чином програма може виявити відомий вірус відразу після його отримання. При цьому системний адміністратор може встановити в антивірусній програмі розклад для регулярної перевірки (сканування) усіх файлів на жорсткому диску комп'ютера.

Хоча антивірусні програми, створені на основі пошуку сигнатур, при звичайних обставинах можуть досить ефективно перешкоджати зараженню комп'ютерів, автори вірусів намагаються обійти такі антивіруси, створюючи "олигоморфические" "поліморфічні" і "метаморфічні" віруси, окремі частини яких шифруються або спотворюються так, щоб було неможливо виявити збіг із записом в сигнатурі.

Метод виявлення дивної поведінки програм

Антивіруси, що використовують метод виявлення підозрілої поведінки програм не намагаються ідентифікувати відомі віруси, замість цього вони простежують поведінку усіх програм. Якщо програма намагається виконати які-небудь підозрілі з точки зору антивірусної програми дії, то така активність буде заблокована, або ж антивірус може попередити користувача про потенційно небезпечні дії такої програми.

Нині подібні превентивні методи виявлення шкідливого коду, в тому або іншому вигляді, широко застосовуються в якості модуля антивірусної програми, а не окремого продукту.

На відміну від методу пошуку відповідності визначенню вірусу в антивірусних базах, метод виявлення підозрілої поведінки дає захист від нових вірусів, яких ще немає в антивірусних базах. Але в той же час, такий метод дає велику кількість помилкових спрацьовувань виявляючи підозрілу активність серед не шкідливих програм. Деякі програми або модулі, побудовані на цьому методі, можуть видавати занадто велику кількість попереджень, що може заплутати користувача.

Метод виявлення за допомогою емуляції

Деякі програми-антивіруси намагаються імітувати початок виконання коду кожної нової програми, що викликається на виконання, перш ніж передати їй управління. Якщо програма використовує самозмінний код або проявляє вірусну активність така програма вважатиметься шкідливою, здатною заразити інші файли. Проте цей метод теж рясніє великою кількістю помилкових попереджень.

Метод "Білого списку"

Загальна технологія по боротьбі з шкідливими програмами - це "білий список". Замість того, щоб шукати тільки відомі шкідливі програми, ця технологія запобігає виконанню усіх комп'ютерних кодів за винятком тих які були раніше позначені системним адміністратором як безпечні. Вибравши цей параметр відмови за умовчанням, можна уникнути обмежень, характерних для оновлення сигнатур вірусів. До того ж, ті застосування на комп'ютері які системний адміністратор не хоче встановлювати, не виконуються, оскільки їх немає в "білому списку". Оскільки у сучасних підприємств є безліч надійних застосувань відповідальність за обмеження у використанні цієї технології покладається на системних адміністраторів і відповідним чином складені ними "білі списки"надійних додатків. Робота антивірусних програм з такою технологією включає інструменти для автоматизації переліку і експлуатації дій з "білим списком". 

Проте, усе активно що просуваються на ИТ ринку антивіруси працюють за принципом "чорного списку", і ось чому: щоб працювати за схемою підписки, при якій є послуга з боку антивірусної компанії по підтримці сигнатурних баз, тобто чорного списку у актуальному стані і є регулярні відрахування за користування цією послугою. Саме із-за незрівнянно більшої прибутковості методу "чорного списку" для антивірусних компаній метод "білого списку" залишається незаслужено непоміченим.

Евристичний аналіз

В цілому терміном "евристичний аналіз" сьогодні називають сукупність функцій антивіруса, націлених на виявлення невідомих вірусним базам шкідливих програм, але в той же час цей же термін означає один з конкретних чинів.

Евристичне сканування в цілому схоже з сигнатурним, проте, на відміну від нього, шукається не точний збіг із записом в сигнатурі, а допускається розбіжність. Таким чином стає можливим виявити різновид раніше відомого вірусу без необхідності оновлення сигнатур. Також антивірус може використовувати універсальні евристичні сигнатури, в яких закладений загальний вигляд шкідливої програми. У такому разі антивірусна програма може лише класифікувати вірус, але не дати точної назви.

HIPS

HIPS - це система моніторингу усіх застосувань, працюючих в системі, з чітким розподілом прав для різних застосувань. Таким чином HIPS може запобігти деструктивній діяльності вірусу, не надавши йому необхідних прав. Додатки діляться на групи починаючи від "Довірених", права яких не обмежені, закінчуючи "Заблокованими", яким HIPS не надасть прав навіть на запуск.

Недоліки антивірусних програм

1. Жодна з існуючих антивірусних технологій не може забезпечити повного захисту від вірусів.

2. Антивірусна програма забирає частину обчислювальних ресурсів системи, навантажуючи центральний процесор і жорсткий диск. Особливо це може бути помітно на слабких комп'ютерах. Уповільнення у фоновому режимі роботи може досягати 380 %.0

3. Антивірусні програми можуть бачити загрозу там, де її немає (помилкові спрацьовування).

4. Антивірусні програми завантажують оновлення з Інтернету тим самим витрачаючи трафік.

5. Різні методи шифрування і упаковки шкідливих програм роблять навіть відомі віруси такими, що не виявляються антивірусним програмним забезпеченням. Для виявлення цих "замаскованих" вірусів потрібно потужний механізм розпаковування який може дешифрувати файли перед їх перевіркою. Проте у багатьох антивірусних програмах ця можливість відсутня і, у зв'язку з цим, часто неможливо виявити зашифровані віруси.

Класифікація антивірусів

По набору функцій і гнучкості налаштувань антивіруси можна розділити на:

1. Продукти для домашніх користувачів:
2. Власне антивіруси;
3. Комбіновані продукти (наприклад, до класичного антивіруса додана система антиспам, файрвол, антируткит, шреддер, шифрування електронний підпис і так далі);
4. Корпоративні продукти:
5. Серверні антивіруси;
6. Антивіруси на робочих станціях ("endpoint");
7. Антивіруси для поштових серверів;
8. Антивіруси для шлюзів.

Помилкові антивіруси

У 2009 році різні виробники антивірусів стали повідомляти про широке поширення нового типу програм - помилкових антивірусів (rogueware). По суті ці програми або зовсім не є антивірусами (тобто не здатні боротися з шкідливим ПЗ) або навіть є вірусами (крадуть дані кредитних карт і т. п.)

Помилкові антивіруси використовуються для здирства грошей у користувачів шляхом обману. Один із способів зараження ПК помилковим антивірусом наступний. Користувач потрапляє на "інфікований" сайт який видає йому застережливе повідомлення ніби "На вашому комп'ютері виявлений вірус" і пропонує викачати безкоштовну програму для видалення вірусу. Після установки така програма робить сканування комп'ютера і нібито виявляє ще масу вірусів. Для видалення шкідливого ПЗ помилковий антивірус пропонує купити платну версію програми. Шокований користувач платить (суми коливаються від $10 до $80) і помилковий антивірус очищає ПК від неіснуючих вірусів.

Антивіруси, мобільні пристрої і інноваційні рішення

Зараз стало можливо і зараження мобільних телефонів вірусами, але тільки для телефонів на базі операційних систем, таких як Symbian, Windows Mobile, Blackberry та iPhone OS. Все більше розробників пропонують антивірусні програми для боротьби з вірусами і захисту мобільних телефонів.

У мобільних пристроях є наступні види боротьби з вірусами:

1. Сигнатурний;
2. Захист від спаму по SMS;
3. Шифрування даних;

Також пропонуємо Вам відвідати корисні посилання на необхідні ресурси з антивірусної безпеки:

1. Вірусна інтернет-енциклопедія "Лабораторія Касперського"
2. Портал, що займається тестуванням антивірусів
3. Портал, присвячений інформаційній безпеці
4. Статті про антивіруси та антивірусні прорами