При поиске и уничтожении известных вирусов наиболее распространенным является метод сканирования. Он заключается в выявлении компьютерных вирусов по их уникальному фрагменту программного кода. Для этого создается некоторая база данных сканирования с фрагментами кодов известных компьютерных вирусов. Обнаружение вирусов осуществляется путем сравнения данных памяти компьютера с фиксированными кодами базы данных сканирования. В случае выявления и идентификации кода нового вируса он может быть введен в базу данных сканирования.
Антивирусные программы, выявляющие известные компьютерные вирусы, называются сканерами или детекторами. Программы, включающие функции восстановления зараженных файлов, называют фагами, докторами или дезинфекторами. Выделяют следующие виды сканеров:
ü транзитные, периодически запускаемые для выявления и ликвидации вирусов. Они осуществляют поиск вирусов по запросу пользователя;
ü резидентные, постоянно проверяющие на вирусы объекты, к которым происходит обращение.
К недостаткам сканеров следует отнести то, что они позволяют обнаружить вирусы, которые уже проникали в вычислительные системы и изучены. Для эффективной работы сканеров необходимо оперативно пополнять базу данных сканирования. Но с увеличением объема базы данных сканирования и числа различных типов искомых вирусов снижается скорость антивирусной проверки.
Выявление и ликвидация неизвестных вирусов необходимы для защиты от вирусов, пропущенных на первом уровне антивирусной защиты. Наиболее эффективным методов является контроль целостности системы, который заключается в проверке и сравнении текущих параметров вычислительной системы с эталонными, соответствующими ее незараженному состоянию.
Для реализации этого метода используются программы-ревизоры. Работа ревизора состоит из двух этапов: фиксирование эталонных характеристик вычислительной системы и периодическое сравнение их с текущими характеристиками. Ревизоры (как и сканеры) делятся на транзитные и резидентные.
К недостаткам ревизоров относят создаваемые ими неудобства и трудности в работе пользователя. Например, многие изменения параметров системы могут быть вызваны не вирусами, а работой системных программ. По этой же причине ревизоры не используются для контроля зараженности текстовых файлов, которые постоянно меняются. Ревизоры обеспечивают высокий уровень выявления известных компьютерных вирусов, но они не всегда обеспечивают корректное лечение зараженных файлов.
Разновидностью контроля целостности системы является метод программного самоконтроля, называемый вакцинацией. Он состоит в том, что к защищаемой программе присоединяется модуль (вакцина), контролирующая характеристики программы.
Помимо статистических методов контроля целостности, для выявления неизвестных и маскирующихся вирусов используются эвристические методы. Они позволяют выявить по известным признакам (определенным в базе знаний системы) некоторые маскирующиеся или новые модифицированные вирусы известных типов. Программный модуль, реализующий эвристический метод обнаружения вирусов, называют эвристическим анализатором. К недостаткам эвристических анализаторов можно отнести ложные срабатывания и пропуск вирусов.
Блокировка проявления вирусов предназначена для защиты от деструктивных действий и размножения компьютерных вирусов, которым удалось преодолеть первые два уровня защиты. Методы основаны на перехвате характерных для вирусов функций. Антивирусные программы, реализующие данный метод, называют программы-фильтры (резидентные сторожа, мониторы). Они постоянно находятся в памяти и перехватывают заданные прерывания с целью контроля подозрительных действий. При этом они могут блокировать «опасные» действия или выдавать запрос пользователю.
Рекомендации пользователю по обеспечению информационной безопасности:
1. регулярно проверять с помощью антивирусных программ все диски компьютера;
2. регулярно обновлять антивирусные базы;
3. не открывать письма с вложениями от незнакомых людей;
4. использовать антивирусные мониторы;
5. не использовать предварительный просмотр сообщений;
6. отключать макросы в Word и Excel;
7. использовать только лицензионное ПО;
8. хранить дистрибутивы программ на носителях, защищенных от записи;
