Сравнительный анализ антивирусных программ

Сравнительный анализ антивирусных программ

 

Туркина Лена

Студентка 203 группы

Содержание

 

• Антивирусная программа (антивирус)
• Методы обнаружения вирусов
• Недостатки
• Критерии выбора антивирусных программ
• Классификация антивирусов
• Процесс заражения вируса и лечение файла
• Ложные антивирусы (лжеантивирусы)
• Антивирусы, мобильные устройства и инновационные решения
• Важные замечания

 

 

 

 

 

 

  изначально программма для обнаружения и лечения вредоносных объектов или инфицированных файлов, а также для профилактики — предотвращения заражения файла или операционной системы вредоносным кодом.

Многие современные антивирусы позволяют обнаруживать и удалять также троянские программы и прочие вредоносные программы. Так же существуют программы – файрволы, которые также способствуют защите компьютерных сетей или отдельных узлов от несанкционированного доступа, однако их основная задача — не пропускать (фильтровать) пакеты, не подходящие под критерии, определённые в конфигурации, т.е. от несанкционированного доступа извне или, наоборот, для ограничения связи программ с внешними источниками из-за возможной утечки информации.

Первые наиболее простые антивирусные программы появились почти сразу после появления вирусов. Сейчас разработкой антивирусов занимаются крупные компании. Как и у создателей вирусов, в этой сфере также сформировались оригинальные приёмы — но уже для поиска и борьбы с вирусами. Современные антивирусные программы могут обнаруживать сотни тысяч вирусов, но ни одна из них не даст 100% защиты.

 

Антивирусная программа (антивирус)

 

Назад

Методы обнаружения вирусов  

 

 

Антивирусное программное обеспечение обычно использует два отличных друг от друга метода для выполнения своих задач:

Сканирование файлов для поиска известных вирусов, соответствующих определению в антивирусных базах.

Обнаружение подозрительного поведения любой из программ, похожего на поведение заражённой программы.

Метод соответствия определению вирусов в словаре  

 

Это метод, при котором антивирусная программа, анализируя файл, обращается к антивирусным базам, составленным производителем программы-антивируса. В случае соответствия какого-либо участка кода просматриваемого файла (сигнатуре) вируса в базах, программа-антивирус может по запросу выполнить одно из следующих действий:

• Удалить инфицированный файл.
• Заблокировать доступ к инфицированному файлу.
• Отправить файл в карантин (то есть сделать его недоступным для выполнения с целью недопущения дальнейшего распространения вируса).
• Попытаться «вылечить» файл, удалив тело вируса из файла.
• В случае невозможности лечения/удаления, выполнить эту процедуру при следующей перезагрузке операционной системы.

Вирусная база регулярно обновляется производителем антивирусов, пользователям рекомендуется обновлять их как можно чаще.

Некоторые из продуктов для лучшего обнаружения используют несколько ядер для поиска и удаления вирусов и программ-шпионов. Например, в разработке NuWave Software используется одновременно пять ядер (три для поисков вирусов и два для поиска программ-шпионов).

Для многих антивирусных программ с базой сигнатур характерна проверка файлов в момент, когда операционная система обращается к файлам. Таким образом, программа может обнаружить известный вирус сразу после его получения. При этом системный администратор может установить в антивирусной программе расписание для регулярной проверки (сканирования) всех файлов на жёстком диске компьютера.

Хотя антивирусные программы, созданные на основе поиска сигнатур, при обычных обстоятельствах могут достаточно эффективно препятствовать заражению компьютеров, авторы вирусов стараются обойти такие антивирусы, создавая «олигоморфические», «полиморфические» и «метаморфические» вирусы, отдельные части которых шифруются или искажаются так, чтобы было невозможно обнаружить совпадение с записью в сигнатуре.

Метод обнаружения странного поведения программ  

 

Антивирусы, использующие метод обнаружения подозрительного поведения программ не пытаются идентифицировать известные вирусы, вместо этого они прослеживают поведение всех программ. Если программа пытается выполнить какие-либо подозрительные с точки зрения антивирусной программы действия, то такая активность будет заблокирована, или же антивирус может предупредить пользователя о потенциально опасных действиях такой программы.

В настоящее время подобные превентивные методы обнаружения вредоносного кода, в том или ином виде, широко применяются в качестве модуля антивирусной программы, а не отдельного продукта.

В отличие от метода поиска соответствия определению вируса в антивирусных базах, метод обнаружения подозрительного поведения даёт защиту от новых вирусов, которых ещё нет в антивирусных базах. Но вместе с тем, такой метод даёт большое количество ложных срабатываний, выявляя подозрительную активность среди не вредоносных программ. Некоторые программы или модули, построенные на этом методе, могут выдавать слишком большое количество предупреждений, что может запутать пользователя.

Метод обнаружения при помощи эмуляции  

 

Некоторые программы-антивирусы пытаются имитировать начало выполнения кода каждой новой вызываемой на исполнение программы перед тем как передать ей управление. Если программа использует самоизменяющийся код или проявляет вирусную активность, такая программа будет считаться вредоносной, способной заразить другие файлы. Однако этот метод тоже изобилует большим количеством ошибочных предупреждений.

Метод «Белого списка»  

 

        Общая технология  по борьбе с вредоносными программами  — это «белый список». Вместо  того, чтобы искать только известные  вредоносные программы, эта технология  предотвращает выполнение всех  компьютерных кодов за исключением  тех, которые были ранее обозначены  системным администратором как  безопасные. Выбрав этот параметр  отказа по умолчанию, можно избежать  ограничений, характерных для обновления  сигнатур вирусов. К тому же, те  приложения на компьютере, которые  системный администратор не хочет  устанавливать, не выполняются, так  как их нет в «белом списке». Так как у современных предприятий  есть множество надежных приложений, ответственность за ограничения  в использовании этой технологии  возлагается на системных администраторов  и соответствующим образом составленные  ими «белые списки» надежных  приложений. Работа антивирусных  программ с такой технологией  включает инструменты для автоматизации  перечня и эксплуатации действий  с «белым списком».

       Однако, все активно  продвигающиеся на ИТ рынке  антивирусы работают по принципу  «черного списка», и вот почему: чтобы работать по схеме подписки, при которой есть услуга со  стороны антивирусной компании  по поддержанию сигнатурных баз, т.е. черного списка, в актуальном  состоянии и есть регулярные  отчисления за пользование этой  услугой. Именно из-за несравненно  большей прибыльности метода  «черного списка» для антивирусных  компаний метод «белого списка»  остается незаслуженно незамеченным.

Эвристический анализ  

 

     В целом термином  «эвристический анализ» сегодня  называют совокупность функций  антивируса, нацеленных на обнаружение  неизвестных вирусным базам вредоносных  программ, но в то же время  этот же термин обозначает  один из конкретных способов.

     Эвристическое сканирование  в целом схоже с сигнатурным, однако, в отличие от него, ищется  не точное совпадение с записью  в сигнатуре, а допускается расхождение. Таким образом становится возможным  обнаружить разновидность ранее  неизвестного вируса без необходимости  обновления сигнатур. Также антивирус  может использовать универсальные  эвристические сигнатуры, в которых  заложен общий вид вредоносной  программы. В таком случае антивирусная  программа может лишь классифицировать  вирус, но не дать точного названия.

HIPS  

 

 

HIPS — система  мониторинга всех приложений, работающих  в системе, с чётким разделением  прав для разных приложений. Таким  образом HIPS может предотвратить  деструктивную деятельность вируса, не дав ему необходимых прав. Приложения делятся на группы, начиная от «Доверенных», права  которых не ограничены, заканчивая  «Заблокированными», которым HIPS не  даст прав даже на запуск.

Недостатки  

 

Ни одна из существующих антивирусных технологий не может обеспечить полной защиты от вирусов.

Антивирусная программа забирает часть вычислительных ресурсов системы, нагружая центральный процессор и жёсткий диск. Особенно это может быть заметно на слабых компьютерах. Замедление в фоновом режиме работы может достигать 380 %.

Антивирусные программы могут видеть угрозу там, где её нет (ложные срабатывания).

Антивирусные программы загружают обновления из Интернета, тем самым расходуя трафик.

Различные методы шифрования и упаковки вредоносных программ делают даже известные вирусы не обнаруживаемыми антивирусным программным обеспечением. Для обнаружения этих «замаскированных» вирусов требуется мощный механизм распаковки, который может дешифровать файлы перед их проверкой. Однако во многих антивирусных программах эта возможность отсутствует и, в связи с этим, часто невозможно обнаружить зашифрованные вирусы.

 

Назад

Критерии выбора антивирусных программ

 

• Надежность и удобство в работе

 

• Качество обнаружения вирусов

 

• Существование версий под все популярные платформы

 

• Скорость работы

 

• Наличие дополнительных функций и возможностей

Классификация антивирусов

 

По набору функций и гибкости настроек антивирусы можно разделить на:

Продукты для домашних пользователей:

• Собственно антивирусы;
• Комбинированные продукты (например, к классическому антивирусу добавлена система антиспам, файрвол, антируткит, шреддер, шифрование, электронная подпись и т.д.);

Корпоративные продукты:

• Серверные антивирусы;
• Антивирусы на рабочих станциях («endpoint»);
• Антивирусы для почтовых серверов;
• Антивирусы для шлюзов.

Антивирусная программа

 

Компьютерный вирус

 

Заражённый файл

 

Вылеченный файл

 

Незаражённая программа

 

Компьютерный вирус

 

ПРОЦЕСС ЗАРАЖЕНИЯ ВИРУСОМ И ЛЕЧЕНИЯ ФАЙЛА

 

Назад

АНТИВИРУСНЫЕ ПРОГРАММЫ

 

СКАНЕРЫ

(фаги, полифаги)

 

CRC-СКАНЕРЫ

 (ревизоры)

 

Иммунизаторы

 

Блокировщики

 

Универсальные

 

Специализированные

 

Резидентные

 

Нерезидентные

Программы-детекторы

 

   Принцип работы антивирусных сканеров основан на проверке файлов, секторов и системной памяти и поиске в них  вирусов

Программы-доктора

 

   Принцип работы антивирусных сканеров основан на проверке файлов, секторов и системной памяти и поиске в них  вирусов

Программы-ревизоры

 

   Принцип их работы состоит  в подсчете контрольных сумм для присутствующих на диске файлов/системных секторов. Эти суммы затем сохраняются в базе данных антивируса, как, впрочем, и некоторая другая информация: длины файлов, даты их последней модификации и т.д. При последующем запуске CRC-сканеры сверяют данные, содержащиеся в базе данных, с реально подсчитанными значениями. Если информация о файле, записанная в базе данных, не совпадает с реальными значениями, то CRC-сканеры сигнализируют о том, что файл был изменен или заражен вирусом.