Технологии проактивной защиты

Антивирусы рассмотренных типов существенно повышают вирусозащищенность отдельных компьютеров и сетей в целом, однако, в силу свойственных им ограничений, естественно, не являются панацеей. В связи с этим необходима реализация альтернативных подходов к нейтрализации вирусов: создание операционных систем, обладающих высокой вирусозащищенностью по сравнению с наиболее «вирусодружественной» MS Windows, разработка аппаратных средств защиты от вирусов и соблюдение технологии защиты от вирусов.

Сегодня можно выделить в отдельный класс методов антивирусной защиты методы проактивной защиты — защиты, основанной не на поиске сигнатурных данных вируса, уже имеющихся в базе, а на непосредственной проверке действий, выполняемых приложением.

Существуют следующие технологии проактивной защиты:

• • эвристический анализ — технология, позволяющая на основе анализа кода программы осуществлять поиск участков, отвечающих за вредоносные действия;
• • эмуляция кода — технология, позволяющая запустить приложение в среде, эмулирующей поведение ОС и центрального процессора. При выполнении приложения в этой среде оно не сможет нанести вред системе, но вредоносное воздействие будет обнаружено;
• • анализ поведения — технология, обеспечивающая перехват всех важных системных событий, установку собственных фильтров, которые позволяют отслеживать всю системную активность. Данная технология оценивает не только единичное действие, но и всю цепочку действий. Именно на такой технологии основывается работа большинства поведенческих блокираторов;
• • песочница — технология, обеспечивающая ограничение возможностей подозрительного приложения таким образом, чтобы оно не могло повлиять на важные системные функции. Данные ограничения достигаются путем запуска приложения в специальной ограниченной среде, из которой приложение не может получить доступ к системным функциям, файлам, реестру и т. д.;
• • виртуализация рабочего приложения — технология, которая с помощью специального системного драйвера обеспечивает перехват запросов на запись информации на жесткий диск и запись этой информации на виртуальный жесткий диск (временный буфер), очистка которого по умолчанию будет произведена при отключении компьютера.

Рассмотрим поведенческий блокиратор как конкурент традиционным антивирусным решениям, основанным на вирусных сигнатурах. Это два разных, не исключающих друг друга подхода к проверке на вирусы. Сигнатура — это небольшой кусок вирусного кода, который прикладывается к файлам, и антивирус смотрит, подходит он или нет. Поведенческий блокиратор следит за действиями программ при их запуске и прекращает работу программы в случае ее подозрительных или явно вредоносных действий (для этого есть специальный набор правил). У обоих методов есть и достоинства, и недостатки.

Достоинство сигнатурных сканеров — гарантированный «отлов» тех вирусов, для которых известны их сигнатуры. Недостатки:

• • пропуск вирусов, сигнатуры которых сканерам пока неизвестны:
• • большой объем антивирусных баз;
• • ресурсоемкое^.

Достоинство поведенческого блокиратора — детектирование даже неизвестных вредоносных программ. Недостатки:

• • пропуск некоторых уже давно известных вариантов. Поведение современных вирусов и троянских программ настолько разнообразно, что покрыть их все единым набором правил просто нереально;
• • ложные срабатывания, поскольку иногда вполне легальные программы ведут себя «подозрительно». То есть поведенческий блокиратор будет гарантированно пропускать что-то вредное и периодически блокировать работу чего-то весьма полезного.

Это справедливо также и в отношении другого проактивного метода защиты — эвристического анализатора. Работа последнего заключается в анализе предполагаемого поведения программы до ее запуска и вынесении вердикта, подозрительная программа или нет.

Следует отметить, что, как только подобные антивирусные технологии начинают мешать хакерам атаковать свои жертвы, практически сразу появляются новые вирусные технологии, позволяющие «обходить» эвристические методы защиты.

Таким образом, вновь изобретенные проактивные технологии работают довольно короткое время. Это, конечно, не означает, что проактивные методы защиты бесполезны. Они прекрасно справляются со своей частью работы и могут обнаруживать некоторое количество компьютерных вирусов, разработанных не «слишком» умелыми хакерами-программистами. И по этой причине они могут являться хорошим дополнением к традиционным сигнатурным сканерам, однако полагаться на них целиком и полностью нельзя.