Компьютерные вирусы

ОГЛАВЛЕНИЕ

 

 

 

 

1. Понятие информационной безопасности

 

Говоря об информационной безопасности имеют в виду компьютерную безопасность. Информация, находящаяся  на электронных носителях играет большую роль в жизни современного общества. Причины уязвимости такой информации различны: огромные объемы, многоточечность и возможная анонимность доступа, возможность "информационных диверсий"... Все это делает задачу обеспечения защиты информации большой проблемой. Понятие "компьютерной" информационной безопасности в целом - более широкое по сравнению с информационной безопасностью относительно "традиционных" носителей.

Информационная  безопасность - это защищенность информации и поддерживающей инфраструктуры от случайных или преднамеренных воздействий естественного или искусственного характера, чреватых нанесением ущерба владельцам или пользователям информации и поддерживающей инфраструктуры. А также это меры по защите информации от неавторизованного доступа, разрушения, модификации, раскрытия и задержек в доступе. Информационная безопасность включает в себя меры по защите процессов создания данных, их ввода, обработки и вывода. Целью информационной безопасности является обезопасить ценности системы, защитить и гарантировать точность и целостность информации, и минимизировать разрушения, которые могут иметь место, если информация будет модифицирована или разрушена. Информационная безопасность требует учета всех событий, в ходе которых информация создается, модифицируется, к ней обеспечивается доступ или она распространяется.

Для поддержания  режима информационной безопасности особенно важны программно-технические меры, поскольку основная угроза компьютерным системам исходит от них самих: сбои оборудования, ошибки программного обеспечения, промахи пользователей и администраторов и т.п. Напомним названия ключевых механизмов обеспечения информационной безопасности:

- идентификация  и аутентификация;

- управление  доступом;

- протоколирование  и аудит;

- криптография;

- экранирование.

 

1.2 Проблемы  информационной безопасности

 

Широкое внедрение  информационных технологий в жизнь  современного общества привело к  появлению ряда общих проблем  информационной безопасности:

• необходимо гарантировать непрерывность и корректность функционирования важнейших информационных систем (ИС), обеспечивающих безопасность людей и экологической обстановки;
• необходимо обеспечить защиту имущественных прав граждан, предприятий и государства в соответствии с требованиями гражданского, административного и хозяйственного права (включая защиту секретов и интеллектуальной собственности);
• необходимо защитить гражданские права и свободы, гарантированные действующим законодательством (включая право на доступ к информации).

Следует знать, что любая информационная система потенциально уязвима. И эта уязвимость по отношению к случайным и предумышленным отрицательным воздействиям выдвинула проблемы информационной безопасности в разряд важнейших, определяющих принципиальную возможность и эффективность применения ряда ИС в гражданских и военных отраслях.

Основная работа по снижению дестабилизирующих факторов в области информационной безопасности - раскрыть собственно суть проблемы, конкретизировать дестабилизирующие факторы и  представить основные методы, способные значительно повысить защищенность ИС. Эта проблема в значительной степени решается посредством методов, средств и стандартов, поддерживающих системный анализ, технологию разработки и сопровождения программных систем (ПС) и баз данных (БД).

Обеспечение информационной безопасности является комплексной задачей. Это обусловлено тем, что информационная среда является сложным многоплановым механизмом, в котором действуют такие компоненты, как электронное оборудование, программное обеспечение, персонал.

Для решения проблемы обеспечения информационной безопасности необходимо применение законодательных, организационных и программно-технических мер. Пренебрежение хотя бы одним из аспектов этой проблемы может привести к утрате или утечке информации, стоимость и роль которой в жизни современного общества приобретает все более важное значение.

 

2. Объект защиты

 

Особенности защиты персональных компьютеров (ПК) обусловлены спецификой их использования. Как правило, ПК пользуется ограниченное число пользователей. ПК могут работать как в автономном режиме, так ив составе локальных сетей (сопряженными с другими ПК) и могут быть подключены к удаленному ПК или локальной сети с помощью модема по телефонной линии.

Стандартность архитектурных принципов построения, оборудования и программного обеспечения персональных компьютеров, высокая мобильность программного обеспечения и ряд других признаков определяют сравнительно легкий доступ профессионала к информации, находящейся в ПК. Если персональным компьютером пользуется группа пользователей, то может возникнуть необходимость в ограничении доступа к информации различных потребителей.

Несанкционированным доступом (НСД) к информации ПК будем  называть незапланированное ознакомление, обработку, копирование, применение различных вирусов, в том числе разрушающих программные продукты, а также модификацию или уничтожение информации в нарушение установленных правил разграничения доступа. В защите информации ПК от НСД можно выделить три основных направления:

 - первое ориентируется на недопущение нарушителя к вычислительной среде и основывается на специальных технических средствах опознавания пользователя;

 - второе связано с защитой вычислительной среды и основывается на создании специального программного обеспечения по защите информации;

 - третье направление связано с использованием специальных средств защиты информации ПК от несанкционированного доступа.

 

3. Вредоносные программы

 

Многие пользователи считают, что все программы, которые  тем или иным способом наносят  вред компьютеру, являются вирусами. Но это далеко не так. Есть вредоносные программы, которые по сути своей не являются вирусами, хотя могут использовать различные технологии вирусов.

В этом разделе включены и сетевые вирусы, так называемые черви. Некоторые специалисты считают, что черви являются отдельной самостоятельной группой вредоносных программ, не относящимся к вирусам.

3.1 Сетевые вирусы (Черви)

 

К данной категории  относятся программы, распространяющие свои копии по локальным и/или  глобальным сетям с целью:

• проникновения на удаленные компьютеры;
• запуска своей копии на удаленном компьютере;
• дальнейшего распространения на другие компьютеры в сети.

Для своего распространения  сетевые черви используют разнообразные  компьютерные и мобильные сети: электронную  почту, системы обмена мгновенными сообщениями, файлообменные (P2P) и IRC-сети, LAN, сети обмена данными между мобильными устройствами (телефонами, карманными компьютерами) и т. д.

Большинство известных червей распространяется в виде файлов: вложение в электронное письмо, ссылка на зараженный файл на каком-либо Web- или FTP-ресурсе в ICQ- и IRC-сообщениях, файл в каталоге обмена P2P (Peer to Peer) и т. д.

Некоторые черви (так называемые "бесфайловые" или "пакетные" черви) распространяются в виде сетевых  пакетов, проникают непосредственно в память компьютера и активизируют свой код.

Черви проникают в зараженные машины вполне естественным путем, без  каких-либо действий со стороны пользователя. Они ближе всех остальных вирусов  подобрались к модели своих биологических  прототипов и потому чрезвычайно разрушительны и опасны. Их не берут никакие превентивные меры защиты, антивирусные сканеры и вакцины до сих пор остаются крайне неэффективными средствами борьбы. Нашествие червей нельзя предвидеть и практически невозможно остановить.

Черви, в отличие от вирусов, для своего распространения активно используют протоколы и возможности локальных и глобальных сетей, поэтому они и называются сетевыми. Основным принципом работы сетевого вируса является возможность самостоятельно передать свой код на удаленный сервер или рабочую станцию. "Полноценные" сетевые вирусы при этом обладают еще и возможностью запустить на выполнение свой код на удаленном компьютере или, по крайней мере, "подтолкнуть" пользователя к запуску зараженного файла. Для внедрения в заражаемую систему червь может использовать различные механизмы: дыры, слабые пароли, уязвимости базовых и прикладных протоколов, открытые системы и человеческий фактор.

Для проникновения на удаленные  компьютеры и запуска своей копии  черви используют различные методы: социальный инжиниринг (например, текст электронного письма, призывающий открыть вложенный файл), недочеты в конфигурации сети (например, копирование на диск, открытый на полный доступ), ошибки в службах безопасности операционных систем и приложений. Так же для проникновения на компьютер жертвы, черви могу использовать специального сборщика. Это небольшая программа, которая сама не является вирусом. Сборщик забрасывается на поражаемый компьютер, а потом по частям скачивает червя из сети, собирает его и запускает. Так как червь проникает на компьютер по частям, антивирусные программы не могут его обнаружить.

Бытует ошибочное мнение, что сетевым является любой вирус, распространяющийся в компьютерной сети. Но в таком случае практически  все вирусы были бы сетевыми, даже наиболее примитивные из них: ведь самый обычный нерезидентный вирус при заражении файлов не разбирается - сетевой (удаленный) это диск или локальный. В результате такой вирус способен заражать файлы в пределах сети, но отнести его к сетевым вирусам никак нельзя.

Сетевые вирусы прошлого распространялись в компьютерной сети и, как правило, так же как и компаньон - вирусы, не изменяли файлы или сектора  на дисках. Они проникали в память компьютера из компьютерной сети, вычисляли  сетевые адреса других компьютеров и рассылали по этим адресам свои копии. Эти вирусы иногда также создавали рабочие файлы на дисках системы, но могли вообще не обращаться к ресурсам компьютера (за исключением оперативной памяти).

Некоторые черви обладают также свойствами других разновидностей вредоносного программного обеспечения. Например, некоторые черви содержат троянские функции или способны заражать выполняемые файлы на локальном диске, т. е. имеют свойство троянской программы и/или компьютерного вируса.

3.2 Троянские программы

 

Данный тип  вредоносных программ не является вирусами. Троян - это программа, предоставляющая  удаленный доступ к чужому компьютеру, позволяющая проводить различные  манипуляции на нем, отсылать конфиденциальную информацию (пароли, номера кредитных карт, Интернет - аккаунты, логии компьютера и т.д.). Изначально троянский конь не несет в себе деструктивных функций, а предназначен для управления чужими компьютерами.

Трояны, как  правило, не заражают другие файлы, а  являются автономными отдельными программами, которые после попадания на компьютер, копируют себя в системные папки под неприметными или заслуживающими доверия именами (winrun32dll.exe). Затем они прописывают себя в ветви реестра отвечающей за запуск программ при загрузке операционной системы (HKEY_LOCAL_MACHINE\SOFT WARE\Microsoft\Windows\CurrentVersion\Run), а также все разделы с названием Run, RunOnce, Runservices, RunservicesOnce. Современные троянские кони для своей анонимности и скрытности в системе используют стелс, и даже полиморфные технологии, что значительно затрудняет борьбу с ними.

Хотя троянские  программы существуют довольно давно  и отличаются большим разнообразием, но наиболее громкие события в  этой области связаны с программой, называемой BackOrifice (англ. задний проход). Информация о BackOrifice впервые была опубликована 21 июля 1998 года. Группа хакеров, называющая себя "Культ мертвой коровы" - "Cult of the Dead Cow", создала троянца для Windows 95/98. Установленный на машине жертвы, BackOrifice позволял любому, знающему номер порта и пароль, выполнять на машине жертвы некие привилегированные операции как: выполнять команды операционной системы, просматривать файлы, скачивать и закачивать любые файлы, манипулировать регистром (registry), получать список активных процессов, завершать произвольный процесс, незаметно порождать новый процесс путем запуска сервиса, получать полную копию клавиатурного ввода и многое другое. Графический клиент BackOrifice был способен, кроме того, получать содержимое экрана жертвы. Попросту говоря, используя BackOrifice, можно делать с компьютером все. И даже более того, производить такие операции, о возможности которых обычный пользователь и не подозревает. Собственно, программа состоит из двух частей: сервера и клиента. Серверная часть внедряется на компьютер жертвы. После этого подключиться к компьютеру-жертве можно, используя клиентскую программу. Всю вторую половину 98 года Сеть испытывала повальное увлечение BackOrifice. Пожалуй, количество взломанных с помощью BackOrifice компьютеров и сетей превышает число жертв всех остальных широко известных атак и диверсий. Популярность BackOrifice породила волну клонов, из которых наиболее известны NetBus, NetSphere, GirlFriend, GateCrasher и др.