Классификация антивирусных программ. Антивирусы Какие являются типами антивирусных программ

Борьба с компьютерными вирусами осуществляется с помощью антивирусных программ, которые в настоящее время должны обла­дать весьма значительным запасом "прочности" против различных ухищрений создателей компьютерных вирусов. Изначально самым распространенным способом обнаружения компьютерных вирусов был "поиск по маске", т.е. выявление в файлах специфичной для ка­ждого вируса последовательности символов. Со временем эти после­довательности стали объединять в специализированные антивирусные базы, которые стали неотъемлемым атрибутом современных ан­тивирусных программ. Чем больше набор подобных шаблонов в базе антивирусной программы, тем с большим количеством вирусов она способна бороться. Большая антивирусная база - залог удачного вос­становления зараженного объекта в первоначальном виде. При этом необходимы индивидуальный подход к каждому вирусу и его тща­тельный анализ. Не секрет, что разные вирусы используют одинако­вые методы заражения объектов, но не следует забывать и о том, что каждый вирус индивидуален, как человек, который его создал, даже если это вирусы одного семейства.

Говоря о тенденциях увеличения числа компьютерных вирусов, нельзя не сказать о том, что все чаще встречаются сложные вирусы, не только способные обходить традиционную защиту и использовать свои механизмы заражения и маскировки, но и направленные против конкретных антивирусных средств.

К отличительным особенностям современных антивирусных про­грамм можно добавить еще две: мощный эвристический механизм для борьбы с еще неизвестными программе вирусами и механизм для борьбы с самошифрующимися вирусами. Не вдаваясь в подробности работы этих сложных программных механизмов, отметим, что по характерным для вирусов участкам кода можно с определенной сте­пенью вероятности утверждать о наличии неизвестного программе вируса в объекте. Тесты независимых изданий (например, англий­ский журнал "Virus Bulletin") и большой опыт работы с пользовате­лями во всем мире позволяют утверждать, что в 80 случаях из 100, когда объект заражен неизвестным вирусом, программа выдаст по­дозрение о заражении объекта. Эвристический механизм позволяет предполагать (прогнозировать) наличие вируса, маска которого на данный момент отсутствует в базе антивирусной программы. Встраивание эвристического механизма в антивирусные программы позволяет расширить их возможности, поскольку дает возможность вести борьбу с пока еще "неизвестными" вирусами. Любой механизм, работающий по эвристическому принципу, может давать ложные срабатывания. Однако, как показал продолжительный опыт работы, их процент незначителен, и в любом случае в таких вопросах лучше немного перестраховаться.

Характерной особенностью так называемых полиморфных вирусов является способность к существенной мутации своего кода, из-за чего некоторые программы (типа Aidstest, весьма популярной в свое время) принципиально не в состоянии опознать (а значит, и обезвредить) такие вирусы. Для борьбы с полиморфными вирусами следует использо­вать антивирусы нового поколения (например, DrWeb), которые бла­годаря встроенному эмулятору процессора опознают вирусы под раз­личными шифровщиками и упаковщиками, а благодаря своему блоку эвристического анализа обнаруживают и многие (свыше 80 %) неиз­вестные вирусы. Эмулятор процессора создает имитацию продолжи­тельной работы компьютерных программ, что провоцирует поли­морфные вирусы к мутации и, следовательно, к изменению тестируе­мых программ.

Отличительными особенностями современных антивирусных программ являются заложенные в них новые возможности:

§ проверка архивных и упакованных файлов;

§ избыточное сканирование, при котором в поисках вируса объ­ект "разбирается" по байтам и проводится тщательный анализ воз­можности выполнения деструктивного действия. Это несколько за­медляет процесс сканирования, однако повышает надежность обна­ружения и удаления вирусных тел из файлов компьютера;

§ наличие вирусной энциклопедии с детальным описанием виру­сов, которые могут обнаруживаться конкретной программой.

В России антивирусные программы активно разрабатывают сле­дующие фирмы:

§ недавно организованная ЗАО "Лаборатория Касперского" (раньше называлась КАМИ), где идеологом развития средств борьбы с вирусами с самого начала является Е.В. Касперский;

§ "Диалог-Наука", в которой раньше основным разработчиком был Д.Н. Лозинский, а затем коллектив пополнился И.А. Даниловым, благодаря которому появилась "Лаборатория Данилова".

Помимо антивирусных программ отечественного производства в нашей стране достаточно широко используются разработки таких зарубежных компаний, как Symantec, McAfee, Elashim, Avil Software, S&S International, Sophos.

Антивирусные программы можно классифицировать по различ­ным признакам (рис. 6.3).

По характеру действия антивирусные программы подразде­ляются на следующие виды: полифаги, ревизоры, вакцины.

Полифаги предназначены для выявления вирусов и излечения от них файлов. К полифагам относятся AidsTest (Д.Н. Лозинский), DrWeb (И.А. Данилов), AVP (Е.В. Касперский), Norton Antivirus (Symantec).

Рис. 6.3. Классификация антивирусных программ

Ревизоры (иногда встречается название "CRC-сканеры") служат для информирования пользователя обо всех изменениях в структуре и содержании файлов с момента последней проверки компьютера. Как правило, подобные программы включаются в состав стартового пакета и проводят проверку изменений в файловой системе компью­тера по сравнению с предыдущим включением. Программы этой ка­тегории не тестируют файлы на предмет наличия в них вирусов и не удаляют вирусы из файлов, их задача - только констатация всех из­менений, которые выводятся в виде таблицы. Решать, что явилось причиной изменений, - задача пользователя. Примером программы-ревизора является ADINF, созданная в свое время Д.Н. Лозинским.

Вакцины (другое название - иммунизаторы) предназначены для защиты файлов от заражения, как правило, определенным вирусом. Так, например, программа WebWinWord (разработчик И.А. Данилов) была создана для защиты программы MS Word от заражения вирусом WinWord.Concept. Корпорация Microsoft создала иммунизирующую программу, предотвращающую заражение операционных систем ви­русом W32. Blaster. Worm.

По способу проверки антивирусные программы классифици­руются на две категории:

§ программы принудительного запуска. Для поиска и устранения вирусов такие программы (AidsTest, DrWeb for DOS) необходимо запускать специально. Несмотря на возможность многих антивирус­ных программ вести мониторинг на предмет отсутствия вирусов, иногда ими пользуются в режиме принудительного запуска для про­верки отдельных носителей информации (дискет, дисков);

§ программы, осуществляющие постоянное наблюдение за вирус­ной обстановкой. Такие программы (АVР, DrWeb for Windows, NAV), будучи запущены резидентно, ведут постоянный мониторинг на пред­мет отсутствия вирусов. В зависимости от установленных параметров при возникновении опасной ситуации программы проводят необходи­мые действия или формируют сообщение пользователю. Следящие программы наблюдают за появлением вирусов и удаляют вирусные тела из файлов без прерывания обычной работы компьютера.

По способу настройки программы можно объединить в две группы:

§ пакетные (AidsTest, Cleaner), параметры работы которых за­даются в командной строке при запуске программы;

§ программы-оболочки (подавляющее большинство современных программ для Windows), имеющие развитый интерфейс. Настройка параметров работы проводится в специальном режиме установки па­раметров.

Похожая информация.

Современные продукты безопасности для ПК на базе ОС Windows являются комплексными приложениями. Количество предлагаемых специализированных функций может вводить в заблуждение конечного пользователя. Каждый вендор программного обеспечения стремится использовать свое собственное название для одной и той же функции, которая может встречаться и в других продуктах под другим названием. Путаница усиливается, когда становится ясно, что две различные опции довольно часто имеют одинаковое название в продуктах различных вендоров.

Эта серия статей предназначена разъяснить основы и действительную функциональность наиболее распространенных опций современных пакетов безопасности для ОС Windows. Мы собираемся описать, что вы можете ожидать от конкретного решения, будь то инструментарий для защиты от вредоносного ПО, безопасного серфинга по сети или предотвращения нежелательного вторжения. Используя собранную в статьях информацию, вы сможете сравнить предлагаемые наборы функции продуктов различных вендоров и лучше понимать, как работают пакеты безопасности.

В первой части серии статей, мы обсудим наиболее основные компоненты: антивирусный движок и фаервол (брандмауэр).
-
-
-
-

-
-
-
-
-

Антивирусный движок (Anti-virus Engine)

Также называют : антивирусная защита реального времени, защита реального времени, мониторинг файлов, защита от вредоносного ПО

Антивирусный движок – основной компонент, включенный в большинство пакетов безопасности, представленных на рынке. Основная роль движка – сканирование хранилища данных, он проникает в компьютер с целью обнаружения и удаления вредоносного ПО. Вредоносный код может храниться в файлах на жестких дисках, переносных USB накопителях, в оперативной памяти компьютера, сетевых драйверах, загрузочном секторе диска или поступать как часть сетевого трафика.

Методы определения

Антивирусный движок использует большое количество методов для обнаружения вредоносного ПО. Антивирусные программы содержат в себе обширную базу образцов вирусов, которые необходимо выявить во время сканирования. Каждый образец может либо определять уникальный вредоносный код или, что является более распространенным, описывать целое семейство вирусов. Основная особенность определения вирусов путем сравнивания с образцами в том, что антивирусная программа может определить только хорошо известный вирус, в то время как новые угрозы могут быть не обнаружены.

Метод эвристического анализа (heuristic-based detection) служит для выявления даже тех вирусов, для которых не существует образцов в базе антивирусной программы. Существует множество различных методов эвристического анализа. Основной принцип – идентифицировать программный код, который является крайне нежелательным для безопасных программных продуктов. Как бы то ни было, этот метод неточен и может вызвать множество ложных тревог. Хороший эвристический анализ отлично сбалансирован и вызывает минимальное количество ложных тревог при большой доле обнаружения вредоносного ПО. Чувствительность эвристики может быть настроена.

Виртуализация (создание виртуальной среды, Virtualization) или песочница (sandboxing) являются более совершенными методами определения угроз. Определенное время образцы кода исполняются в виртуальной машине или другой безопасной среде, откуда сканируемые образцы не могут выбраться и навредить операционной системе. Поведение исследуемого образца в песочнице находится под наблюдением и анализируется. Этот метод является удобным в том случае, когда вредоносное ПО запаковано неизвестным алгоритмом (это обычный способ оказаться неуязвимым для системы обнаружения для вируса), и оно не может быть распаковано антивирусной системой. Внутри виртуальной среды вирус распаковывает сам себя, как будто он исполняется на реальной системе и антивирусный движок может просканировать распакованный код и данные.

Одно из новейших достижений антивирусного инструментария – облачное сканирование (scanning in the cloud). Этот метод основан на том, что ПК ограничены в своих вычислительных способностях, в то время как антивирусные вендоры имеют возможность создания крупных систем с огромной производительностью. Компьютерная мощность необходима для выполнения сложного эвристического анализа, а также анализа с использованием виртуальных машин. Сервера вендоров могут работать с гораздо более объемными базами данных образцов вирусов по сравнению с ПК в режиме реального времени. При выполнении облачного сканирования единственным требованием является наличие быстрого и стабильного интернет подключения. Когда клиентской машине необходимо отсканировать файл, этот файл отправляется на сервер вендора посредством сетевого соединения и ожидается ответ. Тем временем, клиентская машина может выполнять свое собственное сканирование.

Типы сканирования и настройки

С точки зрения пользователя, существует несколько типов антивирусного сканирования, Которые зависят от событий, которые вызвали запуск процесса сканирования:

- Сканирование при доступе (On access scan) – сканирование, которое происходит, когда ресурс становится доступен. Например, когда файл копируется на жесткий диск или когда запускается исполняемый файл (запуск процесса сканирования в этом случае иногда называется сканирование при запуске). Только ресурс, к которому появляется доступ, подвергается сканированию в этом случае.

- Сканирование по требованию (On demand scan) провоцируется конечным пользователем – например, когда пользователь вызывает сканирование соответствующей командой меню в проводнике Windows. Такое сканирование также называется ручным. Только выбранные папки и файлы сканируются при этом способе.

- Сканирование по расписанию (Scheduled scan) является обычно повторяемым действием, которое обеспечивает постоянную проверку системы на предмет вредоносного ПО. Пользователь может настраивать время и частоту сканирования. Это сканирование обычно применяется для полного сканирования системы.

- Сканирование при загрузке (Startup scan) – сканирование, инициализируемое антивирусной программой при запуске ОС. Это сканирование происходит быстро и затрагивает папку автозагрузки, запускающиеся процессы, системную память, системные службы и загрузочный сектор.

Большинство продуктов позволяет пользователям настраивать каждый вид сканирования раздельно. Ниже собраны одни из самых основных параметров антивирусного сканирования:

Расширения файлов для сканирования – сканировать все файлы или только исполняемые (.exe, .dll, .vbs, .cmd и другие.);
- Максимальный размер файлов – файлы свыше этого параметра не подвергаются сканированию;
- Сканирование файлов в архивах – сканировать ли файлы в архивах, таких как.zip, .rar, .7z и другие;
- Использование эвристического анализа – настройка использования эвристики и, опционально, настройка чувствительности;
- Типы программ, о которых сообщить тревогой – существует множество программ которые могут быть неточно определены как вредоносные. Обычно вендоры используются такие термины, как Потенциально нежелательное ПО или программа с некоторым риском угрозы;
- Типы носителей для сканирования – сканировать ли файлы на сетевых хранилищах или переносных устройствах хранения данных;
- Действие, которое нужно предпринять, когда угроза обнаружена - попытка излечить образец если возможно, удаление образца, помещение в карантин (специальная папка, из которой вредоносный код не может исполняться, а может быть отправлен для дальнейшего исследования непосредственно вендору), заблокировать доступ или спросить о действии у пользователя.

Множество этих параметров могут влиять на скорость сканирования. Набор автоматических правил сканирования для быстрого, но в тоже время эффективного сканирования называется Интеллектуальное сканирование (Smart Scan) или Быстрое сканирование (Quick Scan). В противном случае, сканирование называется полным (Full Scan) или глубоким (Deep Scan). Мы также можем встретить сканирование переносных устройств, которое применяется для проверки оптических дисков, флоппи дисков, USB накопителей, флэш карт и схожих устройств. Пользовательское сканирование (Custom Scan) также доступно и является полностью настраиваемым конечным пользователем.

Специализированные сканеры

Руткит-сканирование (или антируткит-сканирование) это опция, которую предлагают некоторые антивирусные вендоры всвоих продуктах, т.к. руткиты стали чрезвычайно распространенными за последнее десятилетие. Руткит – особенный тип вредоносного ПО, который использует хитрые приемы для того, чтобы оставаться невидимым для пользователя и основных методов детектирования вируса. Он применяет внутренние механизмы ОС для того чтобы сделать себя недосягаемым. Борьба с руткитами требует от разработчиков антивирусного ПО создания особых способов обнаружения. Руткит-сканирование пытается найти расхождения в работе ОС, которые могут служить доказательством наличия руткита в системе. Некоторые реализации проверок на наличие руткитов основываются на постоянном мониторинге системе, в то время как другие реализации антируткитного инструментария могут вызываться по требованию.

Сканирование файлов Microsoft Office (или сканирование на предмет макровирусов) – опция, которая защищает пользователя от вредоносного кода внутри офисных документов. Внутренние принципы сканирования схожи с общими методами сканирования, они просто специализируются на поисках вируса внутри макросов. Опция сканирования может быть представлена как плагин для Microsoft Office.

Дополнительные связанные опции

Антивирусный движок обычно тесно связан с остальными компонентами пакета безопасности. Некоторые продукты представляют дополнительные функции, как часть антивирусного движка, другие отображают их раздельно. Веб контроль – опция, которая является типичным представителем второй группы. Мы обсудим эту опцию отдельно.

Фаервол (Firewall)

Также называют: персональный фаервол, межсетевой экран, расширенный брандмауэр, двусторонний межсетевой экран.

Основная роль фаервола – контролировать доступ к ПК со стороны внешней сети, т.е. входящий трафик и, наоборот, контролировать доступ с ПК в сеть, т.е. исходящий трафик.

Фильтрация сетевого трафика может происходить на нескольких уровнях. Большинство фаерволов, включенных в комплекты безопасности для ПК имеют набор правил по крайней мере для двух уровней – нижний интернет уровень, контролируемый IP правилами и верхний уровень приложения. Говоря про верхний уровень, фаервол содержит набор правил для того чтобы допустить или запретить доступ конкретного приложения в сеть. Такие термины, как сетевые правила (Network Rules), экспертные правила (Expert Rules) или настройки правил IP (IP Rule Setting) используются на нижнем уровне правил. На верхнем уровне мы встречаемся с терминами Контроль программ (Program Control) или правила приложений (Application Rules).

Сети

Множество современных продуктов позволяют пользователю настраивать уровень доверия ко всем сетям, подключенных к компьютеру. Даже если существует только одно физическое подключение, ПК может быть подключен к нескольким сетям – например, когда ПК подключен к локальной сети, имеющей шлюзы для выхода в интернет. Антивирусный комплекс будет раздельно управлять локальным и интернет трафиком. Каждая из найденных сетей может быть либо доверенной, либо недоверенной и различные системные сервисы, такие как общий доступ для файлов или принтеров могут быть разрешены или запрещены. По умолчанию, только компьютеры из доверенных сетей (trusted networks) могут иметь доступ к защищаемому компьютер. Подключения, регистрируемые с недоверенных сетей (untrusted networks) обычно блокируются, если соответствующая опция не разрешает доступ. Вот почему интернет соединение обычно помечается как недоверенное. Как бы то ни было, некоторые продукты не различают сети в рамках одного пользовательского интерфейса и настройки доверенных/недоверенных сетей могут быть раздельно указаны для каждого интерфейса. Термин Сетевая зона (Network Zone) или просто зона (Zone) обычно используется вместо логической сети.

Для недоверенных сетей существует возможность настроить стелс-режим. Этот режим позволяет изменить поведение системы, как будто ее адрес не доступен для сети. Эта мера способна ввести в заблуждение хакеров, которые сначала находят объекты для атаки. Поведение системы по умолчанию предусматривает ответ на все сообщения, даже отправленные с закрытых портов. Стелс-режим (также известный как стелс-режим порта (stealth ports) предотвращает обнаружение ПК во время сканирования портов.

Обнаружение и предотвращение вторжения(Intrusion Detection/Prevention)

Также называют : Обнаружение атаки, Система обнаружения вторжения, IP блокировка, вредоносные порты.

Хотя все вышеперечисленные термины не являются эквивалентными, они относятся к набору свойств, которые способны предотвратить или обнаружить специальные виды атак с удаленных компьютеров. Они включают такие опции, как обнаружение порта сканирования, обнаружение подменного IP, блокирование доступа к хорошо известным портам вредоносного ПО, используемых программами удаленного администрирования, троянским коням, клиентами ботнета. Некоторые термины включают механизмы для защиты от ARP атак (атак с подменным адресом протокола расширения) – эта опция может называться защита от APR, защита от кэша ARP и т.д. Основная способность этого вида защиты – автоматическая блокировка атакующей машины. Это опция может быть напрямую связана с нижеследующей функцией.

Черный список IP (IP Blacklist)

Использование этой простой опции заключается в содержании в антивирусном продукте базы сетевых адресов, с которыми защищаемый компьютер не должен связываться. Эта база может пополняться как самим пользователем, при обнаружении вирусов (см. Обнаружение и предотвращение вторжения), так и автоматически обновляться из обширного списка опасных систем и сетей антивирусного вендора.

Блокирование всего трафика (Block All Traffic)

В случае внезапного заражения системы, некоторые антивирусные решения предлагают «нажать на кнопку экстренного торможения», т.е. заблокировать весь входящий и исходящий трафик. Эта опция может представляться как большая красная кнопка, либо как часть настроек политики безопасности фаервола или с помощью иконки в системном меню. Предполагается, что эта функция используется, когда пользователь узнает о том что ПК заражен и хочет предотвратить нежелательное использование компьютера вредоносным ПО: кражу персональных данных и загрузку дополнительных вирусов через интернет. Блокирование сетевого трафика может быть совмещено с завершением всех неизвестных системных процессов. Эта опция должна быть использована с осторожностью.

Контроль программ (Program Control)

Также называют : контроль приложений, инспектор приложений

Фильтрация сетевого трафика на программном уровне позволяет программам безопасности раздельно контролировать доступ в сеть каждого приложения на ПК. Антивирусный продукт содержит базу данных свойств приложений, которая определяет доступна ли сеть для программы или нет. Эти свойства различаются между клиентскими программами, которые инициализируют подключение с локальной машины на удаленные сервера (исходящее направление) и серверными программами, которые сканируют сетевой порт и принимают соединения с удаленных компьютеров (входящее направление). Современные антивирусные решения позволяют пользователю определять детальные правила для каждого конкретного приложения.

В общем, поведение контроля программ зависит от политики безопасности (Firewall Policy), выбранной в фаерволе и может включать следующие режимы поведения:

- Тихий режим (автоматический режим) работает без вмешательства пользователя. Все решения принимаются автоматически с использованием базы данных антивирусного продукта. В случае если не существует явного правила для программы, которая хочет получить доступ в сеть, этот доступ может быть либо всегда разрешен (режим полного разрешения - Allow All mode), либо всегда заблокирован (режим полного блокирования - Block All mode), либо специальный эвристический анализ используется для определения дальнейшего действия. Алгоритм выработки решения может быть очень сложным и может зависеть от дополнительных условий, таких как рекомендации сетевого сообщества. Как бы то ни было, некоторые продукты используют термины: режим полного разрешения/блокирования в обход существующим в базе данных наборам правил и просто разрешают, или блокируют доступ любому приложению в системе.

- Пользовательский режим (Настраиваемый режим - Advanced mode, Custom mode) предназначается для продвинутых пользователей, которые хотят контролировать каждое действие. В этом режиме продукт автоматически справляется только с теми ситуациями, для которых существуют исключительные правила в базе данных. В случае любых других действий пользователю предлагается принять решение. Некоторые антивирусные решения предлагают определить политику поведения, когда невозможно спросить пользователя – например при загрузке компьютера, завершении работы, когда графический интерфейс программы недоступен или во время особенных условий – запуске игры во весь экран, когда пользователь не хочет отвлекаться (иногда называется Игровой режим – Gaming mode). Обычно всего две опции доступны в этих случаях: режим полного разрешения и режим полного блокирования.

- Нормальный режим (безопасный режим - Normal mode, Safe mode) позволяет антивирусному продукту самому справляться с большинством ситуаций. Даже когда не существует явных правил в базе данных, действие программы разрешено, если программа считается безопасной. Аналогично автоматическому режиму решение может приниматься на основании эвристического анализа. В случае, когда программа безопасности не может определить безопасно ли приложение или нет, она выводит оповещение, как в пользовательском режиме.

- Режим обучения (режим тренировки, режим установки - Learning mode, Training mode, Installation mode) в основном используется сразу после установки антивирусного продукта или в случаях, когда пользователь устанавливает новое ПО на компьютер. В этом режиме антивирусный продукт позволяет все действия, для которых нет записей в базе данных наборов правил и добавляет новые правила, которые будут позволять соответствующие действия в будущем после смена режима безопасности. Использование режима обучения позволяет снизить количество тревожных оповещений после установки нового ПО.

Контроль программ обычно содержит настройки, которые могут помочь продукту разрешить спорные ситуации, независимо от включенного режима работы. Эта особенность известна как автоматический набор правил (Automatic rule creation). Типичная опция в этом случае позволяет любые действия приложениям с цифровой подписью от доверенных вендоров, даже если нет соответствующей записи в базе данных. Эта опция может быть расширена другой функцией, которая позволяет совершать любые действия приложениям без цифровой подписи, но знакомых антивирусному продукту. Контроль программ обычно тесно связан с другими функциями, которые мы осветим попозже, в особенности опция поведенческого контроля.

Для обнаружения, удаления и защиты от компьютерных вирусов существует несколько разновидностей программ. Такие программы называются антивирусными. Различают следующие виды антивирусных программ:

1. вакцины;

2. детекторы;

3. ревизоры;

4. сторожа;

5. мониторы;

6. полифаги;

7. эвристические анализаторы.

В последнее время, разработчики антивирусных программ, предлагают пользователям комплексные решения, которые включают в себя большую часть или даже все вышеуказанные программы.

Вакцины – это программы, предназначенные для предотвращения заражения файлов от какого-либо одного, конкретного вируса. Вакцины применяются, если отсутствуют программы, могущие обезвредить данный вирус. Вакцинация возможна только от известных вирусов, которые можно обнаружить, но по какой-либо причине невозможно обезвредить. Программа-вакцина модифицирует защищаемую программу или диск таким образом, чтобы это не отражалось на их работе, но при этом настоящий вирус считал защищаемую программу зараженной и поэтому не внедрялся в ее исполняемый код.

Действия программ-вакцин основано на одном из базовых свойств компьютерных вирусов, – не заражать повторно уже инфицированную программу. Для этих целей, при заражении программ, вирусы используют так называемую «черную метку», которая бы позволяла отличать уже инфицированные программы от неинфицированных. Это может быть, например, установка времени создания файла в 24 часа 1 минуту и 62 секунды. Т.к. нормальные программы не могут иметь подобного времени создания, то, обнаружив, что файл создан в это время, вирус считает, что он заражен и не пытается инфицировать его повторно.

Таким образом, программа вакцина просто создает «черную метку» конкретного вируса на защищаемой программе, не изменяя её исполняемого кода, а вирус, обнаруживая такую метку, уже не пытается заразить данный файл.

«Детекторы» или «сканеры» - это программы, которые осуществляют поиск характерной для конкретного вируса сигнатуры, в оперативной памяти компьютера или в файлах на жестком диске, и при обнаружении, выдают соответствующее сообщение. Недостатком этого класса антивирусных программ является то, что они могут находить только те вирусы, которые известны разработчикам.

«Ревизоры» - это программы, которые относятся к самым надёжным средствам защиты от вирусов.

Заражая компьютер, вирус делает изменения на жестком диске: дописывает свой код в заражаемый файл, изменяет системные области диска и т.д. На обнаружении таких изменений основывается работа антивирусных программ, называемых «ревизорами».

Они построены на принципе, обратном принципу построения сканеров. Ревизоры не знают в лицо конкретные вирусы, но они запоминают информацию о каждом конкретном логическом диске и по изменению этой информации, позволяют надежно обнаруживать как известные, так и новые, неизвестные вирусы.

В случае обнаружения изменения сведений об имеющихся на диске данных, вся соответствующая информация об измененном объекте предоставляется пользователю. А тот уже сам должен принять решение: стоит ли, например, проверять данный файл на вирус (если это исполняемый файл) или проигнорировать сообщение, если файл изменялся самим пользователем.

Как правило, сравнение состояний производится сразу после загрузки операционной системы. При сравнении проверяются длина файла, его контрольная сумма, дата и время модификации, и некоторые другие параметры. Программы-ревизоры имеют достаточно развитые алгоритмы, позволяющие обнаруживать даже вирусы таких классов как «стелс» - вирусы и «полиморфные» вирусы, а некоторые даже могут восстановить исходную версию проверяемой программы, удалив изменения, внесенные вирусом.

Преимуществом ревизоров являются – высочайшая скорость проверки дисков (во много десятков раз превышающая скорость работы сканеров) и высокая надежность обнаружения даже неизвестных вирусов.

«Сторожа» - это небольшие резидентные программы, предназначенные для обнаружения подозрительных действий, возникающих при работе пользователя на компьютере, и характерных для вирусов. К числу таких действий могут относиться:

1. попытки коррекции файлов с расширениями COM, EXE, DLL и т.д., обычно неизменяемых;

2. изменение атрибутов файла;

4. запись в загрузочные сектора диска;

При попытке какой-либо программы произвести указанные действия «сторож» посылает пользователю сообщение и предлагает запретить или разрешить соответствующее действие.

Одним из самых крупных недостатков программ этого класса является то, что при неправильной (а иногда даже и при правильной) настройке, они буквально «засыпают» пользователя предупреждениями, в результате чего их обычно отключают.

«Мониторы» (или программы-фильтры) – это антивирусные программы, основанные по принципу полифага, и использующие для обнаружения вирусов базу данных их сигнатур. Антивирусный монитор располагается резидентно в памяти компьютера, и проверяет на наличие вирусов только те программы, над которыми производит какие-либо манипуляции пользователь, или операционная система.

Обычно антивирусные мониторы проверяют все файлы, над которыми производятся следующие манипуляции:

1. запуск программы на выполнение;

2. изменение атрибутов файла;

3. открытие документ (Microsoft Office);

4. копирование или перемещение файла;

5. редактирование файла;

Программы-фильтры являются полезными с той точки зрения, что помогают пользователю обнаружить вирус на самой ранней стадии его существования, еще до того момента, когда распространение вируса примет характер эпидемии.

«Полифаги» - это программы, которые способны благополучно удалить вирус и восстановить работоспособность испорченных программ.

Для каждого вируса, путем анализа его кода, способов заражения файлов и т.д. выделяется некоторая, характерная только для него, последовательность байт. Эта последовательность называется сигнатурой данного вируса. Поиск вирусов, в простейшем случае, сводится к поиску их сигнатур. После обнаружения вируса в теле программы (или загрузочного сектора, который тоже, впрочем, содержит программу начальной загрузки), полифаг обезвреживает его. Для этого разработчики антивирусных средств тщательно изучают работу каждого конкретного вируса: что он портит, как он портит, где он прячет то, что испортит и т.д.

Сканирование является наиболее традиционным методом поиска вирусов. Оно заключается в поиске сигнатур, выделенных из ранее обнаруженных вирусов. Вирусные базы современных сканеров содержат более 40000 масок вирусов.

Недостатком простых сканеров является их неспособность обнаруживать «полиморфные» вирусы, полностью меняющие свой код. Современные полифаги используют другие методы поиска вирусов. Для этого они используют более сложные алгоритмы поиска, включающие эвристический анализ проверяемых программ. Учитывая, что постоянно появляются новые вирусы, программы-детекторы и программы-полифаги быстро устаревают, и требуется регулярное обновление версий баз данных, содержащих сигнатуры вновь появившихся вирусов. Как результат, сканеры устаревают уже в момент выхода новой версии.

Эвристические анализаторы – программы, выполняющие под своим контролем, проверяемые программы и обнаруживающие действия, характерные для вирусов. Благодаря этому эвристические анализаторы способны находить «полиморфные» вирусы также легко, как и обычные вирусы, не использующие механизма маскировки, кроме того, они могут обнаруживать вирусы, ранее неизвестные авторам антивирусной программы.

Для выявления указанных маскирующихся вирусов используются специальные методы. К ним можно отнести метод эмуляции процессора. Метод заключается в имитации выполнения процессором программы и подсовывания вирусу фиктивных управляющих ресурсов. Обманутый таким образом вирус, находящийся под контролем антивирусной программы, расшифровывает свой код. После этого, сканер сравнивает расшифрованный код с кодами из своей базы данных сканирования.

Сегодня, как никогда, антивирусное программное обеспечение является не только самым востребованным в системе безопасности любой «операционки», но и одним из ее главных компонентов. И если раньше у пользователя был весьма ограниченный, скромный выбор, то сейчас таких программ можно найти очень много. Но если посмотреть на список «Топ-10 антивирусов», можно заметить, что не все они равнозначны в плане функциональных возможностей. Рассмотрим наиболее популярные пакеты. При этом в анализ будут включены и платные, и условно-бесплатные (антивирус на 30 дней), и свободно распространяемые приложения. Но обо всем по порядку.

Топ-10 антивирусов для Windows: критерии тестирования

Прежде чем приступать к составлению некоего рейтинга, пожалуй, следует ознакомиться с основными критериями, которые в большинстве случаев применяются при тестировании такого программного обеспечения.

Естественно, рассмотреть все известные пакеты просто невозможно. Однако среди всех призванных обеспечить защиту компьютерной системы в самом широком смысле, можно выделить наиболее популярные. При этом учтем и официальные рейтинги независимых лабораторий, и отзывы пользователей, которые используют тот или иной программный продукт на практике. Кроме того, мобильные программы затрагиваться не будут, остановимся на стационарных системах.

Что же касается проведения основных тестов, как правило, они включают в себя несколько главных аспектов:

• наличие платных и бесплатных версий и ограничений, связанных с функциональностью;
• скорость штатного сканирования;
• быстрота определения потенциальных угроз и возможность их удаления или изоляции в карантине при помощи встроенных алгоритмов;
• частота обновления антивирусных баз;
• самозащита и надежность;
• наличие дополнительных возможностей.

Как видно из вышеприведенного списка, проверка работы антивирусного ПО позволяет определить сильные и слабые стороны того или иного продукта. Далее буду рассмотрены наиболее популярные программные пакеты, входящие в Топ-10 антивирусов, а также даны их основные характеристики, конечно же, с учетом мнения людей, которые их используют в повседневной работе.

Программные продукты «Лаборатории Касперского»

Для начала рассмотрим программные модули, разработанные «Лабораторией Касперского», которые на постсоветском пространстве являются чрезвычайно востребованными.

Тут нельзя выделить какую-то одну программу, ведь среди них можно найти и штатный сканер Kaspersky Antivirus, и модули вроде Internet Security, и портативные утилиты типа Virus Removal Tool, и даже загрузочные диски для поврежденных систем Rescue Disc.

Сразу же стоит отметить два главных минуса: во-первых, судя по отзывам, практически все программы, за редким исключением, являются платными или условно-бесплатными, а во-вторых, системные требования необоснованно завышены, что делает невозможным их применение в относительно слабых конфигурациях. Естественно, это и отпугивает многих рядовых пользователей, хотя активационные ключи Kaspersky Antivirus или Internet Security запросто можно найти во Всемирной паутине.

С другой стороны, ситуация с активацией может быть исправлена и другим способом. Например, ключи Kaspersky можно генерировать при помощи специальных приложений вроде Key Manager. Правда, такой подход является, мягко говоря, противоправным, тем не менее, как выход, он используется многими юзерами.

Скорость работы на современных машинах находится в средних пределах (почему-то для новых конфигураций создаются все более тяжеловесные версии), зато постоянно обновляемые базы данных, уникальность технологий определения и удаления известных вирусов и потенциально опасных программ здесь на высоте. Неудивительно, что «Лаборатория Каперского» сегодня является лидером среди разработчиков защитного ПО.

И еще два слова о восстановительном диске. Он по-своему уникален, поскольку загружает сканер с графическим интерфейсом еще до старта самой Windows, позволяя удалять угрозы даже из оперативной памяти.

То же самое касается и портативной утилиты Virus Removal Tool, способной отследить любую угрозу на зараженном терминале. С ним может сравниться разве что аналогичная утилита от Dr. Web.

Защита от Dr. Web

Пред нами еще один их сильнейших представителей в области обеспечения безопасности - известнейший «Доктор Уэб», стоявший у истоков создания всего антивирусного ПО с незапамятных времен.

Среди огромного количества программ тоже можно найти и штатные сканеры, и средства защиты для Интернет-серфинга, и портативные утилиты, и восстановительные диски. Всего не перечислишь.

Главным фактором в пользу ПО этого разработчика можно назвать высокую скорость работы, моментальное определение угроз с возможностью либо полного удаления, либо изоляции, а также умеренную нагрузку на систему в целом. В общем, с точки зрения большинства пользователей, это некий облегченный вариант «Касперского». кое-что интересное здесь все же есть. В частности, это Dr. Web Katana. Считается, что это программный продукт нового поколения. Он ориентирован на использование «песочных» технологий, т. е. помещение угрозы в «облако» или «песочницу» (как хотите, так это и назовите) на анализ, перед тем как она проникнет в систему. Однако, если разобраться, особых инноваций здесь нет, ведь такая методика применялась еще в бесплатном антивирусе Panda. К тому же, по словам многих пользователей, Dr. Web Katana является неким подобием Security Space с такими же технологиями. Впрочем, если говорить в общем, любое ПО этого разработчика является достаточно стабильным и мощным. Неудивительно, что многие юзеры отдают предпочтение именно таким пакетам.

Программы компании ESET

Говоря о Топ-10 антивирусов, нельзя не упомянуть еще одного ярчайшего представителя этой области - компанию ESET, которая прославилась таким известным продуктом, как NOD32. Чуть позже на свет появился и модуль ESET Smart Security.

Если рассматривать эти программы, можно отметить интересный момент. Чтобы активировать полную функциональность любого пакета, можно поступить двояко. С одной стороны - это приобретение официальной лицензии. С другой - можно установить пробный антивирус бесплатно, но активировать его каждые 30 дней. С активацией тоже интересная ситуация.

Как отмечают абсолютно все пользователи, для ESET Smart Security (или для штатного антивируса) на официальном сайте можно было найти свободно распространяемые ключи в виде логина и пароля. До недавнего времени можно было использовать только эти данные. Сейчас процесс несколько усложнился: сначала нужно логин и пароль на специальном сайте, преобразовать в номер лицензии, а только потом вводить его в регистрационное поле уже в самой программе. Впрочем, если не обращать внимания на такие мелочи, можно отметить, что этот антивирус является одним из лучших. Плюсы, отмечаемые пользователями:

• обновление баз вирусных сигнатур производится несколько раз в сутки,
• определение угроз на высшем уровне,
• отсутствуют какие бы то ни было конфликты с компонентами системы (файроволл),
• пакет обладает сильнейшей самозащитой,
• отсутствуют ложные тревоги и т. д.

Отдельно стоит отметить, что нагрузка на систему минимальна, а задействование модуля «Антивор» позволяет даже защитить данные от кражи или неправомерного использования в корыстных целях.

Антивирус AVG

AVG Antivirus является платным ПО, рассчитанным на обеспечение комплексной безопасности компьютерных систем (есть и бесплатная усеченная версия). И хотя сегодня этот пакет уже не входит в пятерку лучших, тем не менее он демонстрирует достаточно высокую скорость работы и стабильность.

В принципе, он идеально подходит для домашнего пользования, поскольку, кроме скорости работы, имеет удобный русифицированный интерфейс и более-менее стабильное поведение. Правда, как отмечают некоторые юзеры, иногда он способен пропускать угрозы. И это касается не вирусов как таковых, а, скорее, шпионских программ или рекламного "барахла", называемого Malware и Adware. Собственный модуль программы, хотя и широко разрекламирован, все же, по словам юзеров, выглядит несколько недоработанным. Да и дополнительный брэндмауэр частенько способен вызывать конфликты с «родным» файрволлом Windows, если оба модуля находятся в активном состоянии.

Пакет Avira

Avira - еще один представитель семейства антивирусов. Принципиально от большинства подобных пакетов он не отличается. Однако если почитать о нем отзывы пользователей, можно найти достаточно интересные посты.

Многие ни в коем случае не рекомендуют использовать бесплатную версию, поскольку некоторые модули в ней попросту отсутствуют. Чтобы обеспечить надежную защиту, придется приобретать платный продукт. Зато годится такой антивирус для 8-й и 10-й версий, у которых сама система использует много ресурсов, а пакет их задействует на самом низком уровне. В принципе, Avira лучше всего подходит, скажем, для бюджетных ноутбуков и слабеньких компьютеров. О сетевой установке, правда, и речи быть не может.

Облачный сервис Panda Cloud

Бесплатный в свое время стал чуть ли не революцией в области антивирусных технологий. Использование так называемой «песочницы» для отправки подозрительного контента на анализ перед его проникновением в систему сделало это приложение особо популярным среди пользователей всех уровней.

И именно с «песочницей» этот антивирус сегодня и ассоциируется. Да, действительно, такая технология, в отличие от других программ, позволяет не пускать угрозу в систему. К примеру, любой вирус сначала сохраняет свое тело на винчестере или в оперативной памяти, а только потом начинает свою деятельность. Здесь же дело до сохранения не доходит. Сначала подозрительный файл отправляется в облачный сервис, где проходит проверку, а только потом может быть сохранен в системе. Правда, по утверждениям очевидцев, увы, это может занимать достаточно много времени и неоправданно сильно грузит систему. С другой стороны, тут стоит себя спросить, что важнее: безопасность или увеличенное время проверки? Впрочем, для современных компьютерных конфигураций со скоростью Интернет-соединения на уровне 100 Мбит/сек и выше он может использоваться без проблем. Кстати, и собственная защита обеспечивается именно через «облако», что иногда вызывает нарекания.

Сканер Avast Pro Antivirus

Теперь несколько слов еще об одном ярком представителей Он достаточно популярен у многих юзеров, однако, несмотря на наличие той же «песочницы», антишпиона, сетевого сканера, брэндмауэра и виртуального кабинета, к сожалению, Avast Pro Antivirus по основным показателям производительности, функциональности и надежности явно проигрывает таким грандам, как программные продукты «Лаборатории Касперского» или приложения, использующие технологии Bitdefender, хотя и демонстрирует высокую скорость сканирования и низкое потребление ресурсов.

Пользователей в этой продукции привлекает в основном то, что бесплатная версия пакета является максимально функциональной и особо не отличается от платного ПО. К тому же этот антивирус работает на всех версиях Windows, включая «десятку», и отлично себя ведет даже на устаревших машинах.

Пакеты 360 Security

Перед нами, наверное, один из самых скоростных антивирусов современности - 360 Security, разработанный китайскими специалистами. Вообще, вся продукция с маркировкой «360» отличается завидной скоростью работы (тот же Интернет-браузер 360 Safety Browser).

Несмотря на основное предназначение, программа имеет дополнительные модули по устранению уязвимостей операционной системы и ее оптимизации. Но ни скорость работы, ни свободное распространение не идут ни в какое сравнение с ложными тревогами. В списке программ, имеющих по этому критерию наивысшие показатели, данное ПО занимает одно из первых мест. Как считают многие специалисты, конфликты возникают на системном уровне из-за дополнительных оптимизаторов, действие которых пересекается с выполнением задач самой ОС.

Программные продукты на основе технологий Bitdefender

Еще один «старичок» среди наиболее известных защитников «операционок» - Bitdefender. К сожалению, в 2015 году он уступил пальму первенства продуктам «Лаборатории Касперского», тем не менее в антивирусной моде, если можно так выразиться, является одним из законодателей стиля.

Если посмотреть несколько внимательнее, можно заметить, что многие современные программы (тот же пакет 360 Security) в разных вариациях выполнены именно на основе данных технологий. Несмотря на богатую функциональную базу, здесь тоже есть свои недочеты. Во-первых, русский антивирус (русифицированный) Bitdefender вы не найдете, поскольку такового не существует в природе вообще. Во-вторых, несмотря на применение самых последних технологических разработок в плане защиты системы, увы, он показывает уж слишком высокое число ложных срабатываний (кстати, по словам специалистов, это характерно для всей группы программ, созданных на основе Bitdefender). Наличие дополнительных компонентов-оптимизаторов и собственных файрволлов в целом сказывается на поведении таких антивирусов не в лучшую сторону. Зато в скорости работы этому приложению не откажешь. Кроме того, для проверки используются P2P, но напрочь отсутствует проверка электронной почты в режиме реального времени, что многим не по нраву.

Антивирус от Microsoft

Еще одним приложением, которое отличается завидным срабатыванием по поводу и без повода, является собственный продукт Microsoft под названием Security Essentials.

В Топ-10 антивирусов этот пакет включен, по всей видимости, только потому, что разработан исключительно для Windows-систем, а значит, не вызывает абсолютно никаких конфликтов на системном уровне. К тому же кому, как не специалистам из Microsoft, знать все дыры в безопасности и уязвимость своих же операционных систем. Кстати, интересен тот факт, что первоначальные сборки Windows 7 и Windows 8 в базовой комплектации имели MSE, но потом по каким-то причинам от этого комплекта отказались. Впрочем, именно для «Винды» он может стать простейшим решением в плане зашиты, хотя на особую функциональность рассчитывать и не приходится.

Приложение McAfee

Что касается этого приложения, выглядит оно достаточно интересно. Наибольшую популярность, правда, оно заработало в области применения на мобильных девайсах со всевозможными блокировками, тем не менее на стационарных компьютерах этот антивирус ведет себя не хуже.

Программа имеет низкоуровневую поддержку сетей P2P при совместном доступе к файлам Instant Messenger, а также предлагает 2-уровневую защиту, в которой главная роль отведена модулям WormStopper и ScriptStopper. Но в целом, по словам потребителей, функциональный набор находится на среднем уровне, а сама программа ориентирована скорее на выявление шпионского ПО, компьютерных червей и троянов и предотвращение проникновения в систему исполняемых скриптов или вредоносных кодов.

Объединенные антивирусы и оптимизаторы

Естественно, здесь были рассмотрены только входящие в Топ-10 антивирусов. Если говорить об остальном софте такого плана, можно отметить некоторые пакеты, содержащие антивирусные модули в своих наборах.

Что предпочесть?

Естественно, все антивирусы имеют и определенные сходства, и различия. Что же установить? Тут нужно исходить из потребностей и обеспечиваемого уровня защиты. Как правило, корпоративным клиентам стоит приобрести что-то помощнее с возможностью сетевой установки (Kaspersky, Dr. Web, ESET). Что же касается домашнего использования, здесь юзер сам выбирает, что ему нужно (при желании можно найти даже антивирус на год - без регистрации или покупки). Но, если посмотреть на отзывы пользователей, лучше установить Panda Cloud, даже несмотря на некоторую дополнительную нагрузку на систему и время проверки в «песочнице». Зато именно тут есть полная гарантия того, что угроза не проникнет в систему никоим образом. Впрочем, каждый волен сам выбирать, что именно ему нужно. Если не затрудняет активация, пожалуйста: в домашних системах прекрасно работают продукты ESET. Но вот использовать оптимизаторы с антивирусными модулями в качестве основного средства защиты крайне нежелательно. Ну а говорить, какая программа занимает первое место, тоже нельзя: сколько пользователей, столько и мнений.

Антивирусные программы - это программы, предназначенные для защиты компьютера от хакерских атак поражением различными вирусами. Если на компьютере отсутствуют компьютерные антивирусные программы, то ваш системный блок или ноутбук находится в зоне риска на заражение вирусом. Не важно выходите Вы в Интернет или пользуетесь CD или DVD дисками, мир передачи информации переполнен различными вирусами и необходимо позаботиться о безопасности. Будь это домашний компьютер или рабочий, антивирус для офиса, так же необходим как и для дома. Сколько стоит антивирусная программа, можно легко узнать на сайтах, направление которых - продажа антивирусных программ.

Назначение антивирусных программ

Назначение антивирусных программ -- борьба с вирусами, для этого используется три метода.

Сравнение файлов с ранее сохраненными о них данными с целью поиска изменений и выявление из них сходных, вероятностно принадлежащих вирусным телам, и восстановления их в исходном виде. Этот метод позволяет выявить любые изменения, произведенные любыми вирусами, но не исключает изменений происходящих не вирусным путем (например, в результате действий пользователя).

Сравнение содержимого файла с данными об известных последовательностях вирусных кодов, с целью предупреждения пользователя о наличии вирусов и последующего удаления вирусного кода (лечения) из файла. Этот метод позволяет обнаруживать и обезвреживать известные вирусы, но бессилен против новых, еще не занесенных в базу данных вирусов.

Непрерывный контроль за программами и перехват их попыток записать что-либо в другие программы, системные области или физические адреса. Этот метод не позволяет допустить выполнение вирусных действий, но бессилен, если вирус пишет не в программу, а в ее копию, имеющую другое расширение, и только затем заменяющий исходную программу инфицированным файлом. Подобное действие невозможно контролировать, поскольку оно постоянно применяется различными программами и самим пользователем (редакция документов, перемещение файлов, автоматическое сохранение настроек и т. д.)