Программные средства антивирусной защиты обеспечивают диагностику (обнаружение) и лечение (нейтрализацию) вирусов. Эти средства можно классифицировать следующим образом:
- вирус-фильтры;
- детекторы;
- дезинфекторы.
Вирус-фильтром (сторожем) называется резидентная программа, обнаруживающая свойственные для вирусов действия и требующая от пользователя подтверждения на их выполнение. Это позволяет обеспечить определенный уровень защиты ПК от деструктивных действий вирусов. В качестве применяемых действий выступают:
- обновление программных файлов и системной области диска;
- форматирование диска;
- резидентное размещение программы в ОЗУ.
Обнаружив попытку выполнения таких действий, вирус-фильтр сообщает об этом пользователю и требует от него подтверждение или отказ на их выполнение. К широко распространенным вирус-фильтрам относятся FLUSHOTPLUS, FLOSEREM, VSаfe.
Программа VSаfe входит в антивирусный пакет Microsoft Antivirus for MS DOS, поставляемый в составе MS DOS 6.22 (для тех, кто работает с этой ОС). Программа VSаfe выполняет как собственно функции вирус-фильтра, так и функции резидентного детектора. Однако VSаfe не способен оезвредить даже известные вирусы.
Детектором (сканером) называется программа, осуществляющая поиск вирусов на машинных носителях информации. Детекторы делятся на универсальные и специализированные.
Универсальные детекторы производят подсчет контрольной суммы файла и ее сравнение с эталонной. Эталонная контрольная сумма указывается в документации на ПП или подсчитывается в самом начале эксплуатации, например при помощи вирус-фильтра. Универсальный детектор не всегда может обнаружить модификацию файла, инфицированного стелc-вирусом. В то же время только универсальный детектор способен обнаружить неизвестный вирус.
Специализированные детекторы выявляют один или несколько конкретных вирусов. Детектор, способный обнаружить несколько различных вирусов, называется полидетектором. Среди специализированных детекторов большой популярностью пользовался Viruscan фирмы MS Associates.
Дезинфектором (фагом, доктором) называется программа, осуществляющая удаление вируса из программного файла или памяти ПК. Если это возможно, то дезинфектор восстанавливает нормальное функционирование ПК. Однако ряд вирусов искажают систему так, что ее исходное состояние дезинфектор восстановить не может. Широко используемыми дезинфекторами являются:
- Clean-up, фирмы Mcafee Associates;
- M-DISK.
Среди антивирусных программ имеются интегрированные программы. Это поолидетекторы-дезинфекторы. К ним относятся:
- универсальный полидетектор-дезинфектор MSaV фирмы Microsoft;
- специализированный полидетектор-дезинфектор AIDSTEST Д. Н. Лозинского;
- универсальный полидетектор-дезинфектор Dr. Web (авторы: И. Данилов и В. Лутовинов);
- Полидетектор-дезинфектор VPA Евгения Касперского.
Главным достоинством последних трех антивирусных программных продуктов и их преимуществом перед «импортными» является защита программного обеспечения ПК от вирусов отечественного производства. В этом смысле импортные программы антивирусной защиты служат хорошим дополнением к программам AIDSTEST, Dr. Web и VPA.
Перечисленные выше полидетекторы-дезинфекторы постоянно модифицируются (практически ежемесячно), чтобы обеспечить защиту ПК от вновь появившихся компьютерных вирусов.
Полидетектор-дезинфектор MSaV входит в состав пакета Microsoft Antivirus и может выполнять следующие функции:
- Проверку целостности программных файлов по контрольным суммам во время обнаружения вирусов. К программным файлов MSaV относzт файлы, имеющие расширения: com, exe, 386, app, bin, cmd, dom, ddl, drv, fon, ico, ovl, pif, prg и sis. Все они содержат готовые к выполнению программы и могут быть инфицированы файловыми вирусами.
- Вычисление контрольной суммы программного файла с перемещением ее в файл CHKLIST.MS, если она на момент проверки отсутствует.
- Резервирование инфицированного файла с дальнейшей его дезинфекцией.
- Интерактивную дезинфекцию системы.
- Использование методов проверки целостности программных файлов, что позволяет обнаружить неизвестные стелс-вирусы.
- Обнаружение вируса не только в программных, но и во всех остальных файлах.
Программа MSaV поддерживает два режима взаимодействия с пользователем: интерактивный и командный.
Полидетектор-дезинфектор AIDSTEST являлся до недавнего времени наиболее популярным отечественным антивирусным средством. AIDSTEST выполняет следующие функции:
- проверку, не заражен ли вирусом сам;
- проверку памяти на наличие резидентных вирусов;
- тестирование заданных пользователем объектов (дисков, каталогов, файлов) на наличие компьютерных вирусов или подозрительных файлов;
- нейтрализацию вирусов в ОЗУ;
- удаление вирусов с восстановлением инфицированной программы (если это возможно) или уничтожение инфицированного файла.
Благодаря наличию первой функции, AIDSTEST можно использовать с целью обнаружения новых вирусов. Для этого следует разместить AIDSTEST в доступном каталоге и запускать его.
Универсальный полидетектор-дезинфектор Dr. Web также является популярным отечественным программным продуктом. Он выполняет следующие функции:
- тестирование памяти на наличие резидентных вирусов в любой момент тестирования дисков;
- тестирование заданных пользователем объектов (дисков, каталогов, файлов) на наличие компьютерных вирусов или подозрительных файлов;
- лечение, т. е. удаление найденных вирусов из файлов или загрузочных дисков;
- эвристический анализ, включающий режим проверки файлов и загрузочных секторов дисков на наличие новых и неизвестных компьютерных вирусов. В данном режиме программа Dr. Web анализирует программный код и пытается определить его принадлежность вирусу;
- контроль за изменением размера тестируемых программных файлов непосредственно в момент их поиска и открытия. Многие резидентные вирусы пытаются заразить открываемые на чтение или запись файлы, а резидентные стелс-вирусы, наоборот, стараются скрыть свое наличие в инфицированных открываемых файлах;
- тестирование упакованных файлов внутри архивных файлов ARJ, PK ZIP, RAR, LHA, ISE, HA, а также PKLITE, LZEXE, DIET.
- удаление на подлежащих полному восстановлению инфицированных или разрушенных вирусами файлов.
Появление сетевых вирусов привело к необходимости разработки специальных программ для защиты от них. Среди антивирусных средств можно отметить сетевую антивирусную программу AVP for Novell Net Ware (AVPN), разработанную Е. Касперским и его коллегами из антивирусного отдела научно-технического центра Kami.
Этот ПП является универсальным полидетектором-дезинфектором, который позволяет:
- обнаруживать и лечить зараженные файлы;
- производить эвристический анализ тестируемых файлов для нахождения неизвестных AVPN вирусов;
- выявлять стелс-вирусы;
- обнаруживать вирусы внутри архивных файлов (ARJ, ZIP) и в файлах, упакованных программами типа PKLITE, LZEXE, DIET и т. п.
AVPN предназначен главным образом для борьбы с вирусами, поражающими машины-клиенты. При появлении вируса AVPN выдает (рассылает) сообщение всем пользователям сети или заданной группе. Если обнаруженный вирус неизвестен, то в зависимости от настройки утилиты пораженный файл либо автоматически уничтожается, либо помещается в специальный каталог, доступный только администратору сети. Если же файл заражен известным вирусом, то зачастую AVPN его вылечивает. Во время фильтрации утилита проверяет считываемые и записываемые на сервер файлы. В состав AVPN входит база данных с информацией о вирусах, еженедельно обновляемой ее авторами. Программа позволяет использовать БД для всех версий AVPN (под MS DOS, WINDOWS 95, WINDOWS NT и NOVELL NET WARE).
Использование средств антивирусной защиты в среде WINDOWS имеет некоторые особенности, и поэтому для нее разработаны свои антивирусные средства, среди которых следует отметить антивирусный пакет Microsoft Antivirus for Windows. Он отличается от MS DOS – варианта применением полидетектора-дезинфектора MWAV.EXE вместо файла MSAV.EXE.
Для поисков и уничтожения вирусов в среде WINDOWS имеется ряд программных средств, среди которых можно отметить следующие.
Norton Antivirus 2.0 фирмы Symantec
Первоначально в названии данной утилиты была добавка for Windows 95, что соответствовало первоначальному назначению утилиты. Естественно, что с появлением новых версий операционных систем проводятся дополнительные доработки, хорошо увязанные с дополнительными средствами защиты новых версий ОС. Данное программное средство является одним из лучших систем антивирусной защиты.
На момент создания эта утилита обеспечивала:
- защиту от 9000 известных вирусов;
- поиск и уничтожение макро-вирусов, заражающих файлы Word и Excel;
- бесплатное ежемесячное обновление базы данных вирусов (антивирусов);
- защиту от неизвестных вирусов;
- уничтожение полиморфных вирусов (мутантов);
- постоянный контроль проникновения вирусов и вирусоподобной деятельности, выполняемый в фоновом режиме работы ОС;
- проверку на вирусы машинных носителей, работающих в составе ПК сетей и носителей с упакованной информацией;
- автоматическую проверку на вирусы дискет, компакт-дисков и других носителей при вставке их в читающие устройства ПК;
- использование специального модуля, облегчающего восстановление поврежденных файлов.
Параллельно в России создавалась и находит использование утилита Е. Касперского аналогичного назначения, которая первоначально создавалаcь для Windows 95, но проходит и сейчас дальнейшие совершенствования.
Основным преимуществом этой утилиты является возможность использовать ее сразу в нескольких операционных системах. Утилита распознает не менее 10 тыс. вирусов. Назвать точное количество распознаваемых вирусов невозможно, так как фирма постоянно обновляет базу данных. Утилита имеет удобный интерактивный интерфейс пользователя.