Методы защиты от вредоносных программ. Антивирусная защита компьютерной сети предприятия (офиса) Действия после обнаружения

Описание презентации по отдельным слайдам:

1 слайд

Описание слайда:

Вредоносная программа (буквальный перевод англоязычного термина Malware, malicious - злонамеренный и software - программное обеспечение, жаргонное название - «малварь», «маловарь», «мыловарь» и даже «мыловарня») - злонамеренная программа, то есть программа, созданная со злым умыслом и/или злыми намерениями. Защита от вредоносных программ

2 слайд

3 слайд

Описание слайда:

Антивирусные программы Современные антивирусные программы обеспечивают комплексную защиту программ и данных на компьютере от всех типов вредоносных программ и методов их проникновения на компьютер: Интернет, локальная сеть, электронная почта, съемные носители информации. Для защиты от вредоносных программ каждого типа в антивирусе предусмотрены отдельные компоненты. Принцип работы антивирусных программ основан на проверке файлов, загрузочных секторов дисков и оперативной памяти и поиске в них известных и новых вредоносных программ.

4 слайд

Описание слайда:

Антивирусные программы Для поиска известных вредоносных программ используются сигнатуры. Сигнатура - это некоторая постоянная последовательность программного кода, специфичная для конкретной вредоносной программы. Если антивирусная программа обнаружит такую последовательность в каком-либо файле, то файл считается зараженным вирусом и подлежит лечению или удалению. Для поиска новых вирусов используются алгоритмы эвристического сканирования, т. е. анализа последовательности команд в проверяемом объекте. Если «подозрительная» последовательность команд обнаруживается, то антивирусная программа выдает сообщение о возможном заражении объекта.

5 слайд

Описание слайда:

Большинство антивирусных программ сочетает в себе функции постоянной защиты (антивирусный монитор) и функции защиты по требованию пользователя (антивирусный сканер). Антивирусный монитор запускается автоматически при старте операционной системы и работает в качестве фонового системного процесса, проверяя на вредоносность совершаемые другими программами действия. Основная задача антивирусного монитора состоит в обеспечении максимальной защиты от вредоносных программ при минимальном замедлении работы компьютера. Антивирусный сканер запускается по заранее выбранному расписанию или в произвольный момент пользователем. Антивирусный сканер производит поиск вредоносных программ в оперативной памяти, а также на жестких и сетевых дисках компьютера.

6 слайд

Описание слайда:

Признаки заражения компьютера вывод на экран непредусмотренных сообщений или изображений; подача непредусмотренных звуковых сигналов; неожиданное открытие и закрытие лотка CD/DVD дисковода; произвольный запуск на компьютере каких-либо программ; частые зависания и сбои в работе компьютера; медленная работа компьютера при запуске программ; исчезновение или изменение файлов и папок; частое обращение к жесткому диску (часто мигает лампочка на системном блоке); зависание или неожиданное поведение браузера (например, окно программы невозможно закрыть). Некоторые характерные признаки поражения сетевым вирусом через электронную почту: друзья или знакомые говорят о полученных от вас сообщениях, которые вы не отправляли; в вашем почтовом ящике находится большое количество сообщений без обратного адреса и заголовка.

7 слайд

Описание слайда:

Действия при наличии признаков заражения компьютера Прежде чем предпринимать какие-либо действия, необходимо сохранить результаты работы на внешнем носителе (дискете, CD- или DVD-диске, флэш-карте и пр.). Далее необходимо: отключить компьютер от локальной сети и Интернета, если он к ним был подключен; если симптом заражения состоит в том, что невозможно загрузиться с жесткого диска компьютера (компьютер выдает ошибку, когда вы его включаете), попробовать загрузиться в режиме защиты от сбоев или с диска аварийной загрузки Windows; запустить антивирусную программу.

8 слайд

Описание слайда:

Компьютерные вирусы и защита от них Компьютерные вирусы являются вредоносными программами, которые могут «размножаться» (самокопироваться) и скрытно внедрять свои копии в файлы, загрузочные секторы дисков и документы. Активизация компьютерного вируса может вызывать уничтожение программ и данных. Название «вирус» по отношению к компьютерным программам пришло из биологии именно по признаку способности к саморазмножению. По «среде обитания» вирусы можно разделить на загрузочные, файловые и макровирусы.

9 слайд

Описание слайда:

Загрузочные вирусы Загрузочные вирусы заражают загрузочный сектор гибкого или жесткого диска. Принцип действия загрузочных вирусов основан на алгоритмах запуска операционной системы при включении или перезагрузке компьютера. При заражении дисков загрузочные вирусы «подставляют» свой код вместо программы, получающей управление при загрузке системы, и отдают управление не оригинальному коду загрузчика, а коду вируса. При инфицировании диска вирус в большинстве случаев переносит оригинальный загрузочный сектор в какой-либо другой сектор диска. Профилактическая защита от загрузочных вирусов состоит в отказе от загрузки операционной системы с гибких дисков и установке в BIOS вашего компьютера защиты загрузочного сектора от изменений.

10 слайд

Описание слайда:

Файловые вирусы Файловые вирусы различными способами внедряются в исполнимые файлы и обычно активизируются при их запуске. После запуска зараженного файла вирус находится в оперативной памяти компьютера и является активным (т. е. может заражать другие файлы) вплоть до момента выключения компьютера или перезагрузки операционной системы. Практически все загрузочные и файловые вирусы резидентны (стирают данные на дисках, изменяют названия и другие атрибуты файлов и т. д.). Лечение от резидентных вирусов затруднено, так как даже после удаления зараженных файлов с дисков, вирус остается в оперативной памяти и возможно повторное заражение файлов. Профилактическая защита от файловых вирусов состоит в том, что не рекомендуется запускать на исполнение файлы, полученные из сомнительных источников и предварительно не проверенные антивирусными программами.

11 слайд

Описание слайда:

Макровирусы Существуют макровирусы для интегрированного офисного приложения Microsoft Office. Макровирусы фактически являются макрокомандами (макросами), на встроенном языке программирования Visual Basic for Applications, которые помещаются в документ. Макровирусы содержат стандартные макросы, вызываются вместо них и заражают каждый открываемый или сохраняемый документ. Макровирусы являются ограниченно резидентными. Профилактическая защита от макровирусов состоит в предотвращении запуска вируса. При открытии документа в приложениях Microsoft Office сообщается о присутствии в них макросов (потенциальных вирусов) и предлагается запретить их загрузку. Выбор запрета на загрузку макросов надежно защитит ваш компьютер от заражения макровирусами, однако отключит и полезные макросы, содержащиеся в документе.

12 слайд

Описание слайда:

Сетевые черви и защита от них Сетевые черви являются вредоносными программами, которые проникают на компьютер, используя сервисы компьютерных сетей. Активизация сетевого червя может вызывать уничтожение программ и данных, а также похищение персональных данных пользователя. Для своего распространения сетевые черви используют разнообразные сервисы глобальных и локальных компьютерных сетей: Всемирную паутину, электронную почту и т. д. Основным признаком, по которому типы червей различаются между собой, является способ распространения червя - как он передает свою копию на удаленные компьютеры. Однако многие сетевые черви используют более одного способа распространения своих копий по компьютерам локальных и глобальных сетей.

13 слайд

Описание слайда:

Web-черви Отдельную категорию составляют черви, использующие для своего распространения web-серверы. Заражение происходит в два этапа. Сначала червь проникает в компьютер-сервер и модифицирует web-страницы сервера. Затем червь «ждет» посетителей, которые запрашивают информацию с зараженного сервера (например, открывают в браузере зараженную web-страницу), и таким образом проникает на другие компьютеры сети. Разновидностью Web-червей являются скрипты - активные элементы (программы) на языках JavaScript или VBScript. Профилактическая защита от web-червей состоит в том, что в браузере можно запретить получение активных элементов на локальный компьютер. Еще более эффективны Web-антивирусные программы, которые включают межсетевой экран и модуль проверки скриптов на языках JavaScript или VBScript

14 слайд

Описание слайда:

Межсетевой экран Межсетевой экран (брандмауэр) - это программное или аппаратное обеспечение, которое проверяет информацию, входящую в компьютер из локальной сети или Интернета, а затем либо отклоняет ее, либо пропускает в компьютер, в зависимости от параметров брандмауэра. Межсетевой экран обеспечивает проверку всех web-страниц, поступающих на компьютер пользователя. Каждая web-страница перехватывается и анализируется межсетевым экраном на присутствие вредоносного кода. Распознавание вредоносных программ происходит на основании баз, используемых в работе межсетевого экрана, и с помощью эвристического алгоритма. Базы содержат описание всех известных на настоящий момент вредоносных программ и способов их обезвреживания. Эвристический алгоритм позволяет обнаруживать новые вирусы, еще не описанные в базах.

15 слайд

Описание слайда:

Почтовые черви Почтовые черви для своего распространения используют электронную почту. Червь либо отсылает свою копию в виде вложения в электронное письмо, либо отсылает ссылку на свой файл, расположенный на каком-либо сетевом ресурсе. В первом случае код червя активизируется при открытии (запуске) зараженного вложения, во втором - при открытии ссылки на зараженный файл. В обоих случаях эффект одинаков - активизируется код червя. Червь после заражения компьютера начинает рассылать себя по всем адресам электронной почты, которые имеются в адресной книге пользователя. Профилактическая защита от почтовых червей состоит в том, что не рекомендуется открывать вложенные в почтовые сообщения файлы, полученные из сомнительных источников. рекомендуется своевременно скачивать из Интернета и устанавливать обновления системы безопасности операционной системы и приложений.

16 слайд

Описание слайда:

Троянские программы и защита от них Троянская программа, троянец (от англ. trojan) - вредоносная программа, которая выполняет несанкционированную пользователем передачу управления компьютером удаленному пользователю, а также действия по удалению, модификации, сбору и пересылке информации третьим лицам.

17 слайд

Описание слайда:

Троянские утилиты удаленного администрирования Троянские программы этого класса являются утилитами удаленного администрирования компьютеров в сети. Утилиты скрытого управления позволяют принимать или отсылать файлы, запускать и уничтожать их, выводить сообщения, стирать информацию, перезагружать компьютер и т. д. При запуске троянец устанавливает себя в системе и затем следит за ней, при этом пользователю не выдается никаких сообщений о действиях троянской программы в системе. В результате «пользователь» этой троянской программы может и не знать о ее присутствии в системе, в то время как его компьютер открыт для удаленного управления. Являются одним из самых опасных видов вредоносного программного обеспечения.

18 слайд

Описание слайда:

Троянские программы - шпионы Троянские программы - шпионы осуществляют электронный шпионаж за пользователем зараженного компьютера: вводимая с клавиатуры информация, снимки экрана, список активных приложений и действия пользователя с ними сохраняются в каком-либо файле на диске и периодически отправляются злоумышленнику. Троянские программы этого типа часто используются для кражи информации пользователей различных систем онлайновых платежей и банковских систем.

19 слайд

20 слайд

Описание слайда:

Хакерские утилиты и защита от них Сетевые атаки на удаленные серверы реализуются с помощью специальных программ, которые посылают на них многочисленные запросы. Это приводит к отказу в обслуживании (зависанию сервера), если ресурсы атакуемого сервера недостаточны для обработки всех поступающих запросов. Некоторые хакерские утилиты реализуют фатальные сетевые атаки. Такие утилиты используют уязвимости в операционных системах и приложениях и отправляют специально оформленные запросы на атакуемые компьютеры в сети. В результате сетевой запрос специального вида вызывает критическую ошибку в атакуемом приложении, и система прекращает работу. Сетевые атаки

21 слайд

Описание слайда:

Утилиты взлома удаленных компьютеров предназначены для проникновения в удаленные компьютеры с целью дальнейшего управления ими (используя методы троянских программ типа утилит удаленного администрирования) или для внедрения во взломанную систему других вредоносных программ. Утилиты взлома удаленных компьютеров обычно используют уязвимости в операционных системах или приложениях, установленных на атакуемом компьютере. Профилактическая защита от таких хакерских утилит состоит в своевременной загрузке из Интернета обновлений системы безопасности операционной системы и приложений. Утилиты взлома удалённых компьютеров

22 слайд

Описание слайда:

Руткит (от англ. root kit - «набор для получения прав root») - программа или набор программ для скрытого взятия под контроль взломанной системы. Это утилиты, используемые для сокрытия вредоносной активности. Они маскируют вредоносные программы, чтобы избежать их обнаружения антивирусными программами. Руткиты модифицируют операционную систему на компьютере и заменяют основные ее функции, чтобы скрыть свое собственное присутствие и действия, которые предпринимает злоумышленник на зараженном компьютере. Руткиты

23 слайд

Описание слайда:

Защита от хакерских атак, сетевых червей и троянских программ. Защита компьютерных сетей или отдельных компьютеров от несанкционированного доступа может осуществляться с помощью межсетевого экрана. Межсетевой экран позволяет: блокировать хакерские DoS-атаки, не пропуская на защищаемый компьютер сетевые пакеты с определенных серверов (определенных IP-адресов или доменных имен); не допускать проникновение на защищаемый компьютер сетевых червей (почтовых, Web и др.); препятствовать троянским программам отправлять конфиденциальную информацию о пользователе и компьютере.

Виды и методы защиты информации От преднамеренного искажения, вандализма (компьютерных вирусов) Общие методы защиты информации; профилактические меры; использование антивирусных программ От несанкционированного (нелегального) доступа к информации (её использования, изменения, распространения) Шифрование; паролирование; «электронные замки»; совокупность административных и правоохранительных мер Вид защиты Метод защиты

28 слайд

Описание слайда:

Подводя итоги, следует упомянуть о том, что известно множество случаев, когда фирмы (не только зарубежные) ведут между собой настоящие «шпионские войны», вербуя сотрудников конкурента с целью получения через них доступа к информации, составляющую коммерческую тайну. Регулирование вопросов, связанных с коммерческой тайной, еще не получило в России достаточного развития. Имеющееся законодательство все же не обеспечивает соответствующего современным реалиям регулирования отдельных вопросов, в том числе и о коммерческой тайне. В то же время надо отдавать себе отчет, что ущерб, причиненный разглашением коммерческой тайны, зачастую имеет весьма значительные размеры (если их вообще можно оценить). Наличие норм об ответственности, в том числе уголовной, может послужить работникам предостережением от нарушений в данной области, поэтому целесообразно подробно проинформировать всех сотрудников о последствиях нарушений. Хотелось бы надеяться что создающаяся в стране система защиты информации и формирование комплекса мер по ее реализации не приведет к необратимым последствиям на пути зарождающегося в России информационно - интеллектуального объединения со всем миром. Заключение

Вредоносное ПО эволюционирует вместе с Интернетом. Если ранее действия подобных программ носили деструктивный характер, то на сегодняшний день malware старается скрыть факт “заражения”, чтобы использовать ресурсы вычислительной системы в своих целях.

Ботнет – это совокупность сетевых хостов, которые были “заражены” зловредным программным обеспечением (далее malware). Данное ПО незаметно для пользователя контактирует с т.н. C&C (Command and Control) с целью получения команд / отправки информации. Типичное использование ботнетов – рассылка спама, осуществление DDoS атак, кража чувствительной информации (банковские аккаунты, номера кредитных карт, и т.д.).

“Заражение” хоста происходит несколькими путями: через вложение в e-mail, через уязвимость сервиса, через скачиваемый файл, и т.д. Самый распространённый способ – drive-by download (загрузка вредоносного ПО с web сайта, происходящая незаметно для пользователя). После того как malware тем или иным способом попадает на хост, как правило, происходят попытки “заражения” соседних станций. Таким образом, в гетерогенной среде распространение может происходить очень быстро.

Корпоративные сети не являются исключением, для них так же актуальны данные угрозы, как и для домашних ПК.

1 ESG APT Survey Октябрь 2011
2 Ponemon 2 ое ежегодное исследование стоимости кибертерорризма Август 2011
3 Исследование Kaspersky lab. 2011
4 Отчет угроз безопасности Sophos 2011

Инструментальные средства

Предлагаемое решение основано на продукте Anti-bot Software Blade компании Check Point . Anti-bot Software Blade включен в ПО Check Point Security Gateway версии R75.40 и выше.

Инсталляция возможна также и в режиме мониторинга, когда осуществляется сбор трафика со SPAN порта. Второй вариант удобно использовать на начальном этапе, когда необходимо определить степень угрозы в конкретной сети, например, процент инфицированных хостов.

Используемые технологии

Ключевыми элементом в организации защиты являются две информационные структуры, предоставляемые Check Point: ThreatCloud Repository и ThreatSpect Engine .

ThreatCloud представляет собой распределённое информационное хранилище, которое используется для идентификации заражённых сетевых хостов.

Хранилище наполняется данными, получаемыми из нескольких источников. В первую очередь это обширная сеть сенсоров, которые размещены по всему миру. Также данные собираются с самих устройств Check Point, на которых активирован Anti-Bot Software Blade. Дополнительная информация предоставляется компаниями-партнёрами. С ними осуществляется обмен информацией и репутации IP/DNS/URL.

Ещё одним источником обновлений является подразделение Check Point, занимающееся исследованием (в частности reverse engineering) экземпляров вредоносного ПО. Данное подразделение производит анализ поведения malware в изолированной среде. Информация, полученная в результате анализа, загружается в ThreatCloud.

Информация, содержащаяся в ThreatCloud, является набором адресов и DNS имён, которые используются ботами для коммуникации с C&C. Также там содержатся поведенческие сигнатуры различных семейств malware, и информация, получаемая с сенсоров.

ThreatSpect Engine является распределённой многоуровневой вычислительной системой, которая занимается анализом сетевого трафика и корреляцией полученных данных для обнаружения активности ботов, а также других типов malware.

Анализ осуществляется по нескольким направлениям:

Репутация – анализируется репутация URL, IP адресов и доменных имён, к которым хосты, расположенные внутри организации, пытаются получить доступ. Производится поиск известных ресурсов, либо подозрительной активности, такой как обращение C&C;
Сигнатурный анализ – определяется наличие угрозы путём поиска уникальных сигнатур в файлах, либо в сетевой активности;
Подозрительная e-mail активность – обнаружение инфицированных хостов путём анализа исходящего почтового трафика;
Поведенческий анализ – детектирование уникальных шаблонов в поведении хоста, которые свидетельствуют о факте заражения. Например, фиксированная частота обращений к C&C по определённому протоколу.

ThreatSpect и ThreatCloud работают совместно – ThreatSpect получает информацию для анализа из ThreatCloud, а после осуществления анализа и корреляции, загружает полученные данные обратно в распределённое хранилище в виде сигнатур и репутационных баз.

Главным преимуществом технологии является тот факт, что, по сути, мы имеем глобальную базу с информацией об активности вредоносного ПО, обновляемую в реальном времени. Таким образом, если происходит массированное заражение хостов в сети одного из участников данной системы, информация об атаке через ThreatCloud поступает другим участникам. Это позволяет ограничить быстрое распространение вредоносного ПО на сети многих компаний.

Методы, используемые для выявления угрозы

Следует понимать, что функционал Anti-Bot Software Blade направлен на выявление уже инфицированных станций и минимизацию вреда от них. Данное решение не предназначено для предотвращения заражения. Для этих целей следует использовать другие средства.

Для обнаружения подозрительной активности используются следующие методы:

Идентификация адресов и доменных имён C&C – изменение адресов происходит постоянно, поэтому важно поддерживать список в актуальном состоянии. Это достигается при помощи инфраструктуры Check Point ThreatCloud;
Идентификация шаблонов , используемых при коммуникации различными семействами malware – каждое семейство malware имеет свои уникальные параметры, по которым его можно идентифицировать. Исследования проводятся в отношении каждого семейства с целью формирования уникальных сигнатур;
Идентификация по поведению – детектирование инфицированной станции путём анализа её поведения, например, при участии в DDoS атаке, или рассылке спама.

Анализ инцидентов, зафиксированных Anti-Bot Software Blade, производится при помощи компонентов SmartConsole: SmartView Tracker и SmartEvent. В SmartView Tracker можно получить подробную информацию о трафике, который вызвал срабатывание Anti-Bot Blade. SmartEvent содержит более подробную информацию о событиях. Можно осуществлять группировку по различным категориям, также присутствует возможность анализа событий безопасности за длительный период, генерация отчётов.

Методы, используемые для предотвращения угрозы

Помимо обнаружения угроз, Anti-Bot Software Blade способен предотвращать ущерб, который могут принести инфицированные хосты.

Осуществляется блокировка попыток инфицированного хоста связаться с C&C, и получить от него инструкции. Такой режим работы доступен только когда трафик проходит через гейтвей с включённым Anti-Bot Software Blade (режим inline).

Используется два независимых метода блокировки:

Блокировка трафика, который направлен к известному адресу C&C;
DNS Trap – реализация техники DNS sinkhole. Блокировка происходит при попытке разрешить доменное имя, которое используется инфицированными хостами для обращения к C&C. В ответе DNS сервера IP адрес подменяется на фиктивный, таким образом, делая невозможным отправку запроса к C&C для заражённого хоста.

В общем случае информация получается из кэша, но, если обнаружена подозрительная активность, которая однозначно не идентифицируется имеющимися сигнатурами, Anti-Bot Software Blade делает запросы к ThreatCloud в реальном времени.

Классификация и оценка достоверности

Процесс работы с событиями безопасности

Обработка информации, собранной при помощи Anti-Bot Software Blade, осуществляется двумя приложениями SmartConsole – SmartView Tracker и SmartEvent . SmartEvent требует наличия отдельного блейда (SmartEvent Software Blade), и крайне рекомендуется к использованию при анализе.

При анализе событий Anti-Bot Software Blade, в первую очередь следует обращать внимание на множественные срабатывания на трафике с одним Source IP и срабатывания, случающиеся с некоторой периодичностью.
Во многом картина зависит от модели поведения бот-программы.
Например, примитивные типы malware делают частые обращения к DNS в попытке разрешить имя C&C. При этом в SmartEvent будет достаточно большое количество однотипных событий с одинаковым Source IP, а отличаться друг от друга события будут только DNS именем в запросе к серверу.

Также следует обратить внимание на множественные одиночные детектирования одного типа malware для разных source IP. Данный метод анализа эффективен, т.к. malware обычно старается распространиться на другие уязвимые хосты в локальной сети. Для корпоративной среды это особенно актуально, и набор ПО, в том числе антивирусного, зачастую одинаков на рабочих станциях. На скриншоте выше показано массовое детектирование одного типа malware. В похожей ситуации стоит выборочно проверить пару машин из списка.

Хотя Anti-Bot Software Blade помогает обнаружить и блокировать активность заражённых malware хостов, в большинстве случаев требуется дополнительный анализ полученной информации. Не все типы malware могут быть легко идентифицированы. Для обработки инцидентов необходимы квалифицированные специалисты, которые будут изучать пакетные трассы, выявлять активность вредоносного ПО. Anti-Bot Software Blade представляет из себя мощный инструмент для автоматизации мониторинга malware активности.

Действия после обнаружения

В первую очередь необходимо воспользоваться базой Threat Wiki, предоставляемой Check Point.
Если угроза является актуальной, необходимо воспользоваться процедурой , рекомендованной вендором.

Также для подтверждения заражения хоста следует через Google поискать malware по имени, вероятно удастся найти технические подробности данного вредоносного ПО, что поможет безошибочно его идентифицировать. Например, поиск по имени “Juasek” (название взято из события Anti-Bot Software Blade) позволяет найти много информации о данном malware на сайте Symantec. Также там содержится описание процедуры удаления.

Если не преследуется цель изучения malware, то можно воспользоваться одним или несколькими malware removal tool. Самыми популярными являются продукты от Malwarebytes , Kaspersky , Microsoft .

Практические результаты использования

Ниже представлены результаты суточного мониторинга трафика в организации. На коммутаторе был зеркалирован трафик одного из пользовательских сегментов, идущий к DNS-серверам, и к прокси-серверам. Отчёты получены при помощи ПО Check Point SmartEvent.

Статистика практического использования Antibot

За сутки в отчёт Antibot попало 1712 событий, из них уникальных хостов – 134. Результаты выборочной проверки компьютеров.

· использовать операционные системы, не дающие изменять важные файлы без ведома пользователя;

· своевременно устанавливать обновления;

· если существует режим автоматического обновления, включить его;

· для проприетарного ПО: использовать лицензионные копии. Обновления для двоичных файлов иногда конфликтуют со взломщиками;

· помимо антивирусных продуктов, использующих сигнатурные методы поиска вредоносных программ, использовать программное обеспечение, обеспечивающеепроактивную защиту от угроз (необходимость использования проактивной защиты обуславливается тем, что сигнатурный антивирус не замечает новые угрозы, ещё не внесенные в антивирусные базы). Однако, его использование требует от пользователя большого опыта и знаний;

· постоянно работать на персональном компьютере исключительно под правами пользователя, а не администратора, что не позволит большинству вредоносных программ инсталлироваться на персональном компьютере и изменить системные настройки. Но это не защитит персональные данные от вредоносных (Trojan-Clicker, Trojan-DDoS, Trojan-Downloader, Trojan-Ransom (шифрующий файлы), Trojan-Spy, Trojan .Keylogger ) и потенциально-нежелательных программ (Adware, Hoax), имеющих доступ к файлам пользователя, к которым ограниченная учетная запись имеет разрешение на запись и чтение (например, домашний каталог - подкаталоги /home в GNU/Linux, Documentsandsettings в Windows XP, папка «Пользователи» в Windows 7), к любым папкам, в которые разрешена запись и чтение файлов, или интерфейсу пользователя (как программы для создания снимков экрана или изменения раскладки клавиатуры);

· ограничить физический доступ к компьютеру посторонних лиц;

· использовать внешние носители информации только от проверенных источников на рабочем компьютере;

· не открывать компьютерные файлы, полученные от ненадёжных источников, на рабочем компьютере;

· использовать межсетевой экран (аппаратный или программный), контролирующий выход в сеть Интернет с персонального компьютера на основании политик, которые устанавливает сам пользователь;

· Использовать второй компьютер (не для работы) для запуска программ из малонадежных источников, на котором нет ценной информации, представляющей интерес для третьих лиц;

· делать резервное копирование важной информации на внешние носители и отключать их от компьютера.

5. Характеристика и назначение основных антивирусных программ (Norton, Kaspersky)

Антивирус Касперского (AntivirusKaspersky) - антивирус разработан «Лабораторией Касперского». «Лаборатория Касперского» - самый известный в России производитель систем защиты от вирусов, спама и хакерских атак. Работает на рынке систем безопасности более 10 лет. Очень надёжная и эффективная программа для борьбы с вредоносным ПО.

Антивирус Касперского (AntivirusKaspersky) состоит из следующих компонентов:

1. Файловый Антивирус - компонент, контролирующий файловую систему компьютера. Он проверяет все открываемые, запускаемые и сохраняемые файлы на компьютере.

2. Почтовый Антивирус- компонент проверки всех входящих и исходящих почтовых сообщений компьютера.

3. Веб-Антивирус – компонент, который перехватывает и блокирует выполнение скрипта, расположенного на веб-сайте, если он представляет угрозу.

4. Проактивная защита - компонент, который позволяет обнаружить новую вредоносную программу еще до того, как она успеет нанести вред. Таким образом, компьютер защищен не только от уже известных вирусов, но и от новых, еще не исследованных.

Основные функции антивируса Касперского:

– имеет три степени защиты от известных и новых интернет-угроз: проверка по базам сигнатур, эвристический анализатор и поведенческий блокиратор;

– защита от вирусов, троянских программ и червей;

– проверка файлов, почты и интернет-трафика в режиме реального времени;

– защита от вирусов при работе с ICQ и другими IM-клиентами;

– защита от всех типов клавиатурных шпионов;

– обнаружение всех видов руткитов;

– автоматическое обновление баз.

SymantecNortonAntiVirus - продукт американской компании Symantec. Компания Symantec является мировым лидером в области приложений, программно-аппаратных комплексов и услуг, которые помогают конечным пользователям обеспечивать безопасность, готовность и целостность самого важного актива - информации. Неоднократно занимал призовые места в крупнейших международных антивирусных тестах. Нортон Антивирус обладает приятным интерфейсом и удобными настройками.

NortonAntiVirus состоит из одного модуля, который постоянно находится в памяти компьютера и осуществляет такие задачи как мониторинг памяти и сканирование файлов на диске. Доступ к элементам управления и настройкам программы выполняется с помощью соответствующих закладок и кнопок.

Автозащита должна быть всегда включенной, чтобы обеспечить защиту ПК от вирусов. Автозащита работает в фоновом режиме, не прерывая работу ПК.

Основные функции NortonAntiVirus:

– находит и удаляет вирусы и программы-шпионы;

– автоматически блокирует программы-шпионы;

– не позволяет рассылать зараженные письма;

– распознает и блокирует вирусы, программы-шпионы и троянские компоненты;

– обнаруживает угрозы типа Rootkit и устраняет угрозы, скрытые в операционной системе;

– функция защиты от интернет-червей: функция осмотра электронной почты и мгновенных сообщений;

– полный осмотр системы позволяет провести тщательный анализ и удалить найденные вирусы, программы-шпионы и другие угрозы

ЗАКЛЮЧЕНИЕ

В данной работе изложена основная часть вредоносного ПО, рассмотрена классификация и выявлены способы борьбы с различными угрозами.

Использование антивирусных программ, создания защищенной локальной сети, установка фильтров на запрещенные сайты с которых возможно проникновение вирусов, подходит для защиты от вредоносного программного обеспечения в компьютерном классе.

СПИСОК ЛИТЕРАТУРЫ

Антивирусная защита ПК. От «чайника» к пользователю: Александр Жадаев - Санкт-Петербург, БХВ-Петербург, 2010 г.- 224 с.

Антивирусы: П. П. Алексеев, А. П. Корш, Р. Г. Прокди - Санкт-Петербург, Наука и техника, 2010 г.- 80 с.

Как защитить компьютер (+ CD-ROM): Василий Леонов - Санкт-Петербург, Эксмо, 2010 г.- 240 с.

Защита компьютера на 100 %. Сбои, ошибки и вирусы: Петр Ташков - Москва, Питер, 2011 г.- 288 с.

Компьютерные вирусы и борьба с ними: А. В. Михайлов - Санкт-Петербург, Диалог-МИФИ, 2011 г.- 104 с.

Технологии борьбы с компьютерными вирусами: С. В. Гошко - Санкт-Петербург, Солон-Пресс, 2011 г.- 352 с.

Методы защиты от вредоносных программ

Основной метод борьбы с вредоносными программами, как и в медицине, - своевременная профилактика. Компьютерная профилактика предполагает соблюдение правил «компьютерной гигиены», позволяющих значительно снизить вероятность заражения и потери каких-либо данных. Уяснение и строгое следование основным правилам поведения при использовании индивидуального компьютера и в сети является важным методом защиты от компьютерных злоумышленников. Всего есть три основных правила, которые верны как для индивидуальных, так и для корпоративных пользователей.

1. Обязательное использование антивирусной защиты. Если вы не являетесь экспертом в области компьютерной безопасности, то лучше воспользуйтесь надежной антивирусной защитой и защитой от сетевых атак (сетевой экран) - доверьте свою безопасность профессионалам. Большинство современных антивирусных программ защищают от самых разнообразных компьютерных угроз - от вирусов, червей, троянских программ и рекламных систем. Интегрированные решения по безопасности также ставят фильтр против спама, сетевых атак, посещения нежелательных и опасных интернет-ресурсов.
2. Не следует доверять всей поступающей на компьютер информации - электронным письмам, ссылкам на веб-сайты, сообщениям на интернет-пейджеры. Категорически не следует открывать файлы и ссылки, приходящие из неизвестного источника. Риск заражения снижается также при помощи организационных мер. К таким мерам относятся различные ограничения в работе пользователей, как индивидуальных, так и корпоративных, например:
- запрет на использование интернет-пейджеров;
- доступ только к ограниченному числу веб-страниц;
- физическое отключение внутренней сети предприятия от Интернета и использование для выхода в Интернет выделенных компьютеров и т.д.

К сожалению, жесткие ограничительные меры могут конфликтовать с пожеланиями каждого конкретного пользователя или с бизнес-процессами предприятия. В таких случаях необходимо искать баланс, причем в каждом отдельно взятом случае этот баланс может быть различным.

3. Следует обращать достаточно внимания на информацию от антивирусных компаний и от экспертов по компьютерной безопасности. Обычно они своевременно сообщают о новых видах интернет-мошенничества, новых вирусных угрозах, эпидемиях и т.п. - уделяйте больше внимания подобной информации.

Факторы, определяющие качество антивирусных программ

Качество антивирусной программы определяется несколькими факторами; перечислим их по степени важности.

1. Надежность и удобство работы - отсутствие «зависаний» антивируса и прочих технических проблем, требующих от пользователя специальной подготовки.
2. Качество обнаружения вирусов всех распространенных типов, сканирование внутри файлов-документов/таблиц, упакованных и архивированных файлов. Отсутствие «ложных срабатываний». Возможность лечения зараженных объектов.
3. Существование версий антивируса под основные популярные платформы (DOS, Windows, Linux и т.д.).
4. Возможность сканирования «налету».
5. Существование серверных версий с возможностью администрирования сети.
6. Скорость работы.

Как правильно организовать оборону компьютерных сетей от вредоносного ПО.

Статья адресована начинающим системным администраторам.

Под антивирусной защитой я подразумеваю защиту от любого вредоносного ПО: вирусы, трояны, рут-киты, бэк-доры,…

1 Шаг по антивирусной защите - установка антивирусного ПО на каждом компьютере в сети и обновление не реже чем ежедневно. Правильная схема обновления антивирусных баз: за обновлениями ходят 1-2 сервера и раздают обновления всем компьютерам в сети. Обязательно ставьте пароль на отключение защиты.

У антивирусного ПО много недостатков. Главный недостаток - они не ловят вирусы, написанные на заказ и которые не получили широкого распространения. Второй недостаток- они нагружают процессор и занимают память на компьютерах, кто-то больше (Касперский), кто-то меньше (Eset Nod32), это надо учитывать.

Установка антивирусного ПО - обязательный, но недостаточный способ защиты от вирусных эпидемий, часто сигнатура вируса появляется в антивирусных базах на следующий день после его распространения, за 1 день вирус может парализовать работу любой компьютерной сети.

Обычно системные администраторы останавливаются на 1 шаге, хуже того, не доводят его до конца либо не следят за обновлениями и рано или поздно заражение все-таки происходит. Ниже перечислю другие важные шаги по усилению антивирусной защиты.

2 Шаг. Политика паролей. Вирусы (трояны) умеют заражать компьютеры в сети подбирая пароли к стандартным учетным записям: root, admin, Administrator, Администратор. Всегда используйте сложные пароли! За учетные записи без паролей либо с простыми паролями системный администратор должен быть уволен с соответствующей записью в трудовой книжке. После 10 попыток неверного ввода пароля учетная запись должна блокироваться на 5 минут, чтобы защититься от брут-форса (подбор пароля методом простого перебора). Встроенные учетные записи администраторов крайне желательно переименовать и заблокировать. Периодически пароли нужно менять.

3 Шаг. Ограничение прав пользователей. Вирус (троян) распространяется по сети от имени пользователя, который его запустил. Если у пользователя права ограничены: нет доступа на другие компьютеры, нет административных прав на свой компьютер, то даже запущенный вирус ничего не сможет заразить. Нередки случаи, когда сами системные администраторы становятся виновниками распространения вируса: запустили админ кей-ген и пошел вирус заражать все компьютеры в сети…

4 Шаг. Регулярная установка обновлений безопасности. Это сложная работа, но делать ее надо. Обновлять нужно не только ОС, но и все приложения: СУБД, почтовые серверы.

5 Шаг. Ограничение путей проникновения вирусов. Вирусы попадают в локальную сеть предприятия двумя путями: через сменные носители и через другие сети (Интернет). Запретив доступ к USB, CD-DVD, вы полностью перекрываете 1 путь. Ограничив доступ в Интернет, вы перекрываете 2 путь. Этот метод очень эффективен, но тяжело реализуем.

6 Шаг. Межсетевые экраны (МСЭ), они же файерволы (firewalls), они же брэндмауэры. Их нужно обязательно устанавливать на границах сети. Если ваш компьютер подключен к Интернет напрямую, то МСЭ должен быть включен обязательно. Если компьютер подключен только к локальной сети (ЛВС) и выходит в Интернет и другие сети через серверы, то на этом компьютере МСЭ включать необязательно.

7 Шаг. Разделение сети предприятия на подсети. Сеть удобно разбивать по принципу: один отдел в одной подсети, другой отдел - в другой. На подсети можно делить на физическом уровне (СКС), на канальном уровне (VLAN), на сетевом уровне (не пересекаемые по адресам ip подсети).

8 Шаг. В Windows есть замечательный инструмент по управлению безопасностью больших групп компьютеров - это групповые политики (ГПО). Через ГПО можно настроить компьютеры и серверы так, что заражение и распространение вредоносного ПО станет практически невозможным.

9 Шаг. Терминальный доступ. Поднимите в сети 1-2 терминальных сервера, через которые пользователи будут ходить в Интернет и вероятность заражения их персональных компьютеров упадет до нуля.

10 Шаг. Отслеживание всех запускаемых на компьютерах и серверах процессов и служб. Можно сделать так, чтобы при запуске неизвестного процесса (службы) системному администратору приходило уведомление. Коммерческое ПО, которое умеет это делать, стоит немало, но в некоторых случаях затраты оправданы.