Антивирусные программы

Тема: Компьютерные вирусы.

Цель: дать понятие компьютерному вирусу, рассмотреть классификацию компьютерных вирусов, виды антивирусных программ; развивать умение использовать антивирусные программы, логическое мышление, память, внимание, речь; воспитывать информационную культуру самоконтроль.

Оборудование: ПЭВМ, медиапроектор.

Ход урока

1. Организационное начало.

2. Повторительно – обучающая работа.

1. Индивидуальный устный опрос.

   1. Понятие компьютерного вируса.

   2. Деструктивные действия компьютерных вирусов

   3. Симптомы вирусного заражения ЭВМ

   4. Классификация вирусов.

1. Подведение итогов этапа.

1. Работа по осмыслению и усвоению нового материала.

1. Сообщение темы и цели урока.

2. Первичное восприятие нового материала.

План.

1. Понятие антивирусной программы.

2. Виды антивирусных программ

3. Основные меры по защите ЭВМ от заражения вирусами.

1. Понятие антивирусной программы.

Для борьбы с вирусами разрабатываются антивирусные программы. Говоря меди­цинским языком, эти программы могут выявлять (диагностировать), лечить (уничто­жать) вирусы и делать прививку «здоровым» программам.

Наиболее эффективны в борьбе с компьютерными вируса­ми антивирусные программы. Антивирусные программы могут использовать различные принципы для поиска и лече­ния зараженных файлов.

Антивирусная программа (антивирус) — любая программа для обнаружения компьютерных вирусов, а также нежелательных (считающихся вредоносными) программ и восстановления зараженных такими программами файлов, а также для профилактики — предотвращения заражения (модификации) файлов или операционной системы вредоносным кодом.

2. Виды антивирусных программ

Различают следующие виды антивирусных программ:

• Программы – детекторы (сканеры);

• Программы – доктора (или фаги, дезинфекторы);

• Программы – ревизоры;

• Программы – фильтры (сторожа, мониторы);

• Программы – иммунизаторы.

Программы – детекторы рассчитаны на обнаружение конкретных вирусов и основаны на сравнении характерной (спецификой) последовательности байтов (сигнатур или масок вирусов), содержащихся в теле вируса, с байтами проверяемых программ. Программы – детекторы нужно регулярно обновлять, так как они быстро устаревают и не могут выявлять новые виды вирусов.

Следует подчеркнуть, что программы – детекторы могут обнаружить только те вирусы, которые ей “известны”, то есть, сигнатуры этих вирусов заранее помещены в библиотеку антивирусных программ.

Таким образом, если проверяемая программа не опознается детектором как зараженная, то еще не следует считать, что она “здорова”. Она может быть инфицирована новым вирусом, который не занесен в базу данных детектора.

Для устранения этого недостатка программы – детекторы стали снабжаться блоками эвристического анализа программ. В этом режиме делается попытка обнаружить новые или неизвестные вирусы по характерным для всех вирусов кодовым последовательностям. Наиболее развитые эвристические механизмы позволяют с вероятностью около 80% обнаружить новый вирус.

Программы – доктора не только находят файлы, зараженные вирусами, но и лечат их, удаляя из файла тело программы – вируса. Программы – доктора, которые позволяет лечить большое число вирусов, называют полифагами.

В России получили широкое распространение программы – детекторы, одновременно выполняющие и функции программ – докторов. Наиболее известные представители этого класса – AVP (Antiviral Toolkit Pro, автор – Е. Касперский), Aidstest (автор – Д. Лозинский) и Doctor Web (авторы – И. Данилов, В. Лутовин, Д. Белоусов).

Полифаги. Самыми популярными и эффективными анти­вирусными программами являются антивирусные програм­мы полифаги (например, Kaspersky Anti-Virus, Dr.Web). Прин­цип работы полифагов основан на проверке файлов, загрузочных секторов дисков и оперативной памяти и поиске в них известных и новых (неизвестных полифагу) вирусов. Антивирусные программы полифаги, которые в свою очередь подразделяются на два вида: сканеры и мониторы. Рассмотрим принципы работы и недостатки каждого из них, и опишем достоинства антивирусных программ полифагов в целом.

Антивирусный сканер. Принцип его работы заключается в поиске в файлах, памяти и загрузочных секторах

вирусных сигнатур, т.е. уникального программного кода вредоносной программы.

Антивирусный монитор. По своей сути антивирусные мониторы являются разновидностью сканеров, которые постоянно находятся в памяти компьютера и осуществляют фоновую проверку файлов, загрузочных секторов и памяти в масштабе реального времени. Для включения антивирусной защиты, пользователю достаточно загрузить монитор при загрузке операционной системы. Все запускаемые файлы будут автоматически проверяться на наличие в них кода вредоносной программы.

Для поиска известных вирусов используются так называ­емые маски. Маской вируса является некоторая постоянная последовательность программного кода, специфичная для этого конкретного вируса. Если антивирусная программа об­наруживает такую последовательность в каком-либо файле, то файл считается зараженным вирусом и подлежит лече­нию.

Для поиска новых вирусов используются алгоритмы «эв­ристического сканирования», то есть анализ последователь­ности команд в проверяемом объекте. Если «подозрительная» последовательность команд обнаруживается, то полифаг вы­дает сообщение о возможном заражении объекта.

Полифаги могут обеспечивать проверку файлов в процес­се их загрузки в оперативную память. Такие программы на­зываются антивирусными мониторами.

К достоинствам полифагов относится их универсальность. К недостаткам можно отнести большие размеры используе­мых ими антивирусных баз данных, которые должны содер­жать информацию о максимально возможном количестве ви­русов, что, в свою очередь, приводит к относительно небольшой скорости поиска вирусов.

Ревизоры.

Ревизо́р (от лат. revisor — пересматривающий; ср. лат. revisio — пересмотр) — компьютерная программа, запоминающая состояние компьютера, следящая за изменениями файловой системы и сообщающая о важных или подозрительных изменениях пользователю.

Ревизоры – это программы, которые анализируют текущее состояние файлов и системных областей диска и сравнивают его с информацией, сохраненной ранее в одном из файлов ревизора. При этом проверяется состояние BOOT – сектора, FAT – таблицы, а также длина файлов, их время создания, атрибуты, контрольные суммы. Контрольная сумма является интегральной оценкой всего файла (его слепком). Получается контрольная сумма путем суммирования по модулю для всех байтов файла. Практически всякое изменение кода программы приводит к изменению контрольной суммы файла.

Принцип работы ревизоров

Программа-ревизор следит за изменениями файлов на компьютере. Для этого не обязательно делать копии всех файлов. Достаточно запомнить названия файлов и папок, размеры файлов и их контрольные суммы (либо специальные хеш-функции). Эта информация занимает немного места на диске, но позволяет заметить изменение любого файла. Периодически (по расписанию) или по приказу пользователя ревизор проверяет текущее состояние файловой системы и сравнивает с прежним. О подозрительных изменениях немедленно сообщается, об остальных пользователь может узнать при желании. При последующем запуске ревизоры сверяют данные, со­держащиеся в базе данных, с реально подсчитанными значе­ниями. Если информация о файле, записанная в базе дан­ных, не совпадает с реальными значениями, то ревизоры сигнализируют о том, что файл был изменен или заражен вирусом. Программы-ревизоры изначально предназначались для использования в качестве антивирусов. Любой вирус каким-либо образом изменяет систему данных на диске. Например, могут появиться новые исполняемые файлы, измениться уже существующие, может появиться сектор на диске, не связанный с каким-либо файлом и т. д. При обнаружении подозрительных изменений ревизор бьёт тревогу.

Достоинствами ревизоров как антивирусов являются:

• Быстрота проверки. В отличие от сканеров, которые должны содержимое файлов сверить с тысячами известных вирусных сигнатур, «на лету» разархивировать архивы, распаковать упакованные исполняемые файлы и библиотеки, ревизор подсчитывает лишь контрольную сумму. Это даёт экономию времени в десятки раз.

• Выявление любых новых вирусов. Если вирус отсутствует в базе данных (еще не занесён в базу или у данного пользователя устаревшая база), то сканер обычно не замечает вирус. Но любой вирус изменяет систему данных на диске, следовательно, выявляется ревизором.

• Возможность восстановления некоторых испорченных и уничтоженных файлов, а также лечения некоторых файлов, заражённых неизвестными вирусами. Обычные сканеры могут лечить лишь файлы заражённые известными вирусами. Ревизоры сохраняют копии коротких файлов, наиболее важных файлов и файлов, чаще всего становящихся жертвами вирусов.

• Ревизоры не в состоянии защитить компьютер от всех угроз со стороны вредоносного программного обеспечения, поэтому они обычно используются в комплексе с другими антивирусными средствами. (Например, при получении сигнала тревоги от ревизора запускается сканер.)

Если одним компьютером может пользоваться более одного человека, то возникает необходимость в контроле. Некоторые пользователи могут совершать запрещенные действия (устанавливать игры, сборщики паролей, взламывать систему, захламлять диск фильмами, музыкой, изображениями, изменять настройки и т. д.). Ревизоры могут выявлять эти действия, а также возвращать систему в нормальное состояние, не откатывая полезных изменений.

С помощью ревизора пользователи могут решать и другие проблемы: найти переименованный файл либо файл с забытым названием, выяснить причину сильно уменьшившегося свободного пространства на диске и т. д.

Недостаток ревизоров состоит в том, что они не могут об­наружить вирус в новых файлах (на дискетах, при распа­ковке файлов из архива, в электронной почте), поскольку в их базах данных отсутствует информация об этих файлах.

Антивирусы – фильтры – это резидентные программы (сторожа), которые оповещают пользователя обо всех попытках какой – либо программы выполнить подозрительные действия. Фильтры контролируют следующие операции:

• Обновление программных файлов и системной области диска;

• Форматирование диска;

• Резидентное размещение программ в ОЗУ.

Обнаружив попытку выполнения таких действий, сторож (монитор) сообщает об этом пользователю, который окончательное решение по выполнению данной операции. Заметим, что она не способна обезвредить даже известные вирусы. Для “лечения” обнаруженных фильтром вирусов нужно использовать программы – доктора.

Блокировщики. Антивирусные блокировщики — это про­граммы, перехватывающие «вирусоопасные» ситуации и со­общающие об этом пользователю. К таким ситуациям отно­сится, например, запись в загрузочный сектор диска. Эта запись происходит при установке на компьютер новой опера­ционной системы или при заражении загрузочным вирусом.

Наибольшее распространение получили антивирусные блокировщики в BIOS компьютера. С помощью программы BIOS Setup можно провести настройку BIOS таким образом, что будет запрещена (заблокирована) любая запись в загру­зочный сектор диска и компьютер будет защищен от зара­жения загрузочными вирусами.

К достоинствам блокировщиков относится их способность обнаруживать и останавливать вирус на самой ранней ста­дии его размножения.

К последней группе относятся наименее эффективные антивирусы – вакцинаторы (иммунизаторы). Они записывают в вакцинируемую программу признаки конкретного вируса так, что вирус считает ее уже зараженной, и поэтому не производит повторное инфицирование. Этот вид антивирусных программ морально устарел.

3. Основные меры по защите ЭВМ от заражения вирусами.

• Необходимо оснастить ЭВМ современными антивирусными программами и постоянно обновлять их версии.

• При работе в глобальной сети обязательно должна быть установлена программа – фильтр (сторож, монитор).

• Перед считыванием с дискет информации, записанной на других ЭВМ, следует всегда проверять эти дискеты на наличие вирусов.

• При переносе на свой компьютер файлов в архивированном виде необходимо их проверять сразу же после разархивации.

• При работе при работе на других компьютерах необходимо всегда защищать свои дискеты от записи.

• Целесообразно делать архивные копии ценной информации на других носителях информации.

• Не следует оставлять дискету в дисководе при включении или перезагрузке ЭВМ, так как это может привести к заражению загрузочными вирусами.

• Антивирусную проверку желательно проводить в “чистой” операционной системе, то есть после ее загрузки с отдельной системной дискеты.

• Следует иметь ввиду, что невозможно заразиться вирусом, просто подключившись к Internet. Чтобы вирус активизировался программа, полученная с сервера из сети, должна быть запущена на клиенте.

• Получив электронное письмо, к которому приложен исполняемый файл, не следует запускать этот файл без предварительной проверки. По электронной почте часто распространяются “троянские кони”.

• Целесообразно иметь под рукой аварийную загрузочную дискету, с которой можно будет загрузиться, если система откажется сделать это обычным образом.

• При установке большого программного продукта необходимо вначале проверить все дистрибутивные файлы, а после инсталляции продукта повторно произвести контроль наличия вирусов.

• Последняя – не совсем серьезная мера. Если Вы хотите полностью исключить вероятность попадания вирусов в Ваш компьютер, то не набирайте на клавиатуре непонятных для Вас программ, не используйте дискеты, лазерные диски для ввода программ и документов. Отключитесь от локальной и глобальной сетей. Не включайте питание, так как возможно, что вирус уже зашит в ПЗУ.

1. Итог урока.

1. Фронтальная (обобщающая ) беседа.

- Что такое компьютерный вирус?

- Перечислите классификацию компьютерных вирусов.

- Дайте понятие антивирусной программе.

1. Задавание на дом.

Могилёв, с.197-200, опорный конспект