Основные типы и функции антивирусных программ Министерство образовани я Ставропольского края ГБОУ СПО «Минераловодский колледж железнодорожного транспорта» - презентация

1 Основные типы и функции антивирусных программ Министерство образования Ставропольского края ГБОУ СПО «Минераловодский колледж железнодорожного транспорта» Подготовила: студентка I курса группы ОПД-13 специальности Организация движения и управление на транспорте (на железнодорожном транспорте) Иванская Диана Алексеевна Минеральные Воды, 2014

2 1. Антивирус Антивирус 2. Классификация антивирусов Классификация антивирусов По режиму работы Проверка в режиме реального времени Проверка по требованию По типу Сканеры CRC-сканеры CRC-сканеры Блокировщики Иммунизаторы По признаку изменяемости во времени Анализ данных Анализ процессов 3. Антивирусные программы Антивирусные программы 4. Данные тестирования антивирусов Данные тестирования антивирусов

3 Антивирус программный пакет, специально разработанный для защиты, перехвата и удаления компьютерных вирусов и прочих вредоносных программ. Современные антивирусные программы способны эффективно обнаруживать вредоносные объекты внутри файлов программ и документов. В некоторых случаях антивирус может удалить тело вредоносного объекта из зараженного файла, восстановив сам файл. В большинстве случаев антивирус способен удалить вредоносный программный объект не только из программного файла, но и из файла офисного документа, не нарушив его целостность. ть Содер жание

4 К ЛАССИФИКАЦИЯ АНТИВИРУСОВ ПО РЕЖИМУ РАБОТЫ К ЛАССИФИКАЦИЯ АНТИВИРУСОВ ПО РЕЖИМУ РАБОТЫ Проверка в режиме реального времени Проверка в режиме реального времени, или постоянная проверка, обеспечивает непрерывность работы антивирусной защиты. Это реализуется с помощью обязательной проверки всех действий, совершаемых другими программами и самим пользователем, на предмет вредоносности, вне зависимости от их исходного расположения – будь это свой жесткий диск, внешние носители информации, другие сетевые ресурсы или собственная оперативная память. Также проверке подвергаются все косвенные действия через третьи программы. Содер жание

5 Проверка по требованию Возможна ситуация, когда на компьютер был скопирован зараженный файл, исключенный из постоянной проверки ввиду больших размеров и следовательно вирус в нем обнаружен не был. Если этот файл на рассматриваемом компьютере запускаться не будет, то вирус может остаться незамеченным и проявить себя только после пересылки его на другой компьютер. Для такого режима обычно предполагается, что пользователь лично укажет какие файлы, каталоги или области диска необходимо проверить и время, когда нужно произвести такую проверку – в виде расписания или разового запуска вручную. К ЛАССИФИКАЦИЯ АНТИВИРУСОВ ПО РЕЖИМУ РАБОТЫ К ЛАССИФИКАЦИЯ АНТИВИРУСОВ ПО РЕЖИМУ РАБОТЫ Соде ржание

6 Соде ржан ие

7 Принцип работы антивирусных сканеров основан на проверке файлов, секторов и системной памяти и поиске в них известных и новых (неизвестных сканеру) вирусов. Для поиска известных вирусов используются так называемые "маски". Маской вируса является некоторая постоянная последовательность кода, специфичная для этого конкретного вируса. Сканеры также можно разделить на две категории : Сканеры также можно разделить на две категории : Универсальные сканеры рассчитаны на поиск и обезвреживание всех типов вирусов вне зависимости от операционной системы, на работу в которой рассчитан сканер. Универсальные сканеры рассчитаны на поиск и обезвреживание всех типов вирусов вне зависимости от операционной системы, на работу в которой рассчитан сканер. Специализированные сканеры предназначены для обезвреживания ограниченного числа вирусов или только одного их класса, например макро-вирусов. Специализированные сканеры предназначены для обезвреживания ограниченного числа вирусов или только одного их класса, например макро-вирусов. Сканеры также делятся на Сканеры также делятся на "резидентные" (мониторы), производящие сканирование "на-лету", обеспечивают более надежную защиту системы, поскольку они немедленно реагируют на появление вируса "резидентные" (мониторы), производящие сканирование "на-лету", обеспечивают более надежную защиту системы, поскольку они немедленно реагируют на появление вируса "нерезидентные", обеспечивающие проверку системы только по запросу,способен опознать вирус только во время своего очередного запуска. "нерезидентные", обеспечивающие проверку системы только по запросу,способен опознать вирус только во время своего очередного запуска. Содержан ие

8 Принцип работы CRC-сканеров основан на подсчете CRC-сумм (контрольных сумм) для присутствующих на диске файлов/системных секторов. Эти CRC-суммы затем сохраняются в базе данных антивируса, как, впрочем, и некоторая другая информация: длины файлов, даты их последней модификации и т.д. При последующем запуске CRC-сканеры сверяют данные, содержащиеся в базе данных, с реально подсчитанными значениями. Если информация о файле, записанная в базе данных, не совпадает с реальными значениями, то CRC-сканеры сигнализируют о том, что файл был изменен или заражен вирусом. CRC-сканеры не способны поймать вирус в момент его появления в системе, а делают это лишь через некоторое время, уже после того, как вирус разошелся по компьютеру. CRC-сканеры не могут определить вирус в новых файлах (в электронной почте, на дискетах, в файлах, восстанавливаемых из backup или при распаковке файлов из архива), поскольку в их базах данных отсутствует информация об этих файлах. Более того, периодически появляются вирусы, которые используют эту "слабость" CRC- сканеров, заражают только вновь создаваемые файлы и остаются, таким образом, невидимыми для них. Сод ерж ани е

9 Содежание

10 Иммунизаторы Иммунизаторы делятся на два типа: Иммунизаторы, сообщающие о заражении. Обычно записываются в конец файлов (по принципу файлового вируса) и при запуске файла каждый раз проверяют его на изменение. Недостаток у таких иммунизаторов всего один, но он летален: абсолютная неспособность сообщить о заражении стелс-вирусом. Поэтому такие иммунизаторы, как и блокировщики, практически не используются в настоящее время. Иммунизаторы, блокирующие заражение. Защищает систему от поражения вирусом какого-то определенного вида. Файлы на дисках модифицируются таким образом, что вирус принимает их за уже зараженные. Для защиты от резидентного вируса в память компьютера заносится программа, имитирующая копию вируса. При запуске вирус натыкается на нее и считает, что система уже заражена. Иммунизаторы делятся на два типа: Иммунизаторы, сообщающие о заражении. Обычно записываются в конец файлов (по принципу файлового вируса) и при запуске файла каждый раз проверяют его на изменение. Недостаток у таких иммунизаторов всего один, но он летален: абсолютная неспособность сообщить о заражении стелс-вирусом. Поэтому такие иммунизаторы, как и блокировщики, практически не используются в настоящее время. Иммунизаторы, блокирующие заражение. Защищает систему от поражения вирусом какого-то определенного вида. Файлы на дисках модифицируются таким образом, что вирус принимает их за уже зараженные. Для защиты от резидентного вируса в память компьютера заносится программа, имитирующая копию вируса. При запуске вирус натыкается на нее и считает, что система уже заражена. Содержание

11

12 К анализу данных относятся "ревизоры" и "полифаги". "Ревизоры" анализируют последствия от деятельности компьютерных вирусов и других вредоносных программ. Последствия проявляются в изменении данных, которые изменяться не должны. Именно факт изменения данных является признаком деятельности вредоносных программ с точки зрения "ревизора". Другими словами, "ревизоры" контролируют целостность данных и по факту нарушения целостности принимают решение о наличии в компьютерной среде вредоносных программ. "Полифаги" действуют по-другому. Они на основе анализа данных выделяют фрагменты вредоносного кода (например, по его сигнатуре) и на этой основе делают вывод о наличии вредоносных программ. Удаление или "лечение" пораженных вирусом данных позволяет предупредить негативные последствия исполнения вредоносных программ. Таким образом, на основе анализа "в статике" предупреждаются последствия, возникающие "в динамике". Содержание

13 Несколько по-иному работают антивирусные средства, основанные на анализе процессов. "Эвристические анализаторы", так же как и вышеописанные, анализируют данные Принципиальное отличие состоит в том, что анализ проводится в предположении, что анализируемый код - это не данные, а команды. "Эвристический анализатор" выделяет последовательность операций, каждой из них присваивает некоторую оценку "опасности" и по совокупности "опасности" принимает решение о том, является ли данная последовательность операций частью вредоносного кода. Сам код при этом не выполняется. Другим видом антивирусных средств, основанных на анализе процессов, являются "поведенческие блокираторы". В этом случае подозрительный код выполняется поэтапно до тех пор, пока совокупность инициируемых кодом действий не будет оценена как "опасное" (либо "безопасное") поведение. Код при этом выполняется частично, так как завершение вредоносного кода можно будет обнаружить более простыми методами анализа данных. Содер жание

14 Содерж ание

15 Наименование антивируса Измеренная надежность 1. BitDefender 0, Eset (Nod32) 0, McAfee 0, Symantec 0, Avira 0, Fortinet 0, Sophos 0, VirusBuster 0, Authentium 0, Doctor Web 0, Kaspersky 0, Norman 0, Ikarus 0, Rising 0,447 Содер жание