Вирусы и средства борьбы с ними

Введение.

Жизнь человечества невозможен без  систематизации, накопления, передачи и сохранения знаний. Осуществлять строительство, проводить научные  исследования, заниматься торговлей  очень трудно на основе лишь приблизительных  расчетов. По мере накопления человечеством  информации стали актуальными вопросы  сохранения, тщательного отбора и  систематизации имеющихся данных. Так  человечество постепенно пришло к изобретению  и использованию устройств или  систем, способных выполнять заданную, чётко определённую последовательность операций, численных расчётов и манипулирования  данными - компьютер.

Прогресс в вычислительной технике  не может не восхищать. Всего за несколько  лет быстродействие серийно выпускаемых  ЭВМ увеличилось в миллион  раз при существенном уменьшении размеров и энергопотребления этих умных монстров. В период столь  бурного развития комьпьюторная  техника прошла множество этапов технической доработки и программного обеспечения.

По мере развития и модернизации компьютерных систем и программного обеспечения возрастает объем и  повышается уязвимость хранящихся в  них данных.

В наш век многие области деятельности человека связаны с применением  компьютера. Эти машины плотно внедрились в нашу жизнь. Они имеют колоссальные возможности, позволяя тем самым  освободить мозг человека для более  необходимых и ответственных  задач, В результате утомляемость резко снижается, и мы начинаем работать гораздо производительнее, нежели без применения компьютера. Компьютер может хранить и обрабатывать очень большое количество информации, которая в настоящее время является необходимым ресурсом во многих сферах деятельности .

Одной из самых опасных на сегодняшний  день угроз информационной безопасности являются компьютерные вирусы.

Вирусы и средства борьбы с ними.

Компьютерный вирус — разновидность компьютерных программ или вредоносный код, отличительной особенностью которых является способность к размножению (саморепликация). В дополнение к этому вирусы могут без ведома пользователя выполнять прочие произвольные действия, в том числе наносящие вред пользователю и/или компьютеру.   Принято разделять вирусы по поражаемым объектам, по поражаемым операционным системам и платформам, по технологиям, используемым вирусом, по языку, на котором написан вирус.

Классификация по поражаемым объектам:

1. Загрузочные (boot) вирусы – запускаются при загрузке компьютера и заражают программу начальной загрузки, хранящуюся в загрузочном секторе дискеты или винчестера.                                                                    
2. Файловые вирусы – прикрепляют себя к файлу или программе, и активизируются при каждом использовании файла. Могут распространяться через файлы документов, не модифицировать их, а лишь иметь к ним какое-то отношение. 
   

Классификация файловых вирусов по способу заражения:

1. Перезаписывающие вирусы – вирусы данного типа записывают своё тело вместо кода программы, не изменяя названия исполняемого файла, вследствие чего исходная программа перестаёт запускаться.
2. Вирусы-компаньоны – как и перезаписывающие вирусы, создают свою копию на месте заражаемой программы, но в отличие от перезаписываемых не уничтожают оригинальный файл, а переименовывают или перемещают его
3. Файловые черви – создают собственные копии с привлекательными для пользователя названиями в надежде на то, что пользователь их запустит.
4. Вирусы-звенья – не изменяют код программы, а заставляют операционную систему выполнить собственный код, изменяя адрес местоположения на диске заражённой программы на собственный адрес.
5. Паразитические вирусы – файловые вирусы, изменяющие содержимое файла, добавляя в него свой код. При этом заражённая программа сохраняет полную или частичную работоспособность.
6. Вирусы, поражающие исходный код программ – вирусы данного типа поражают исходный код программы или её компоненты (.OBJ, .LIB, .DCU), а также VCL и ActiveX-компоненты. После компиляции программы оказываются встроенными в неё.
7. Вирусы без точки входа – к ним относятся вирусы, не записывающие команд передачи управления в заголовок COM-файлов (JMP) и не изменяющие адрес точки старта в заголовке EXE-файлов. Такие вирусы записывают команду перехода на свой код в какое-либо место в середину файла и получают управление не непосредственно при запуске зараженного файла, а при вызове процедуры, содержащей код передачи управления на тело вируса.
8. Скриптовые вирусы – написаны на различных скриптовых языках – BATCH, PHP, JS, VBS.
9. Макровирусы – являются программами на языках, встроенных во многие системы обработки данных. Для своего размножения такие вирусы используют возможности макро-языков и при их помощи переносят себя из одного зараженного файла в другие.
10. Сетевые черви – распространяется в локальных и глобальных компьютерных сетях целиком, не подкачивая по сети свои части.

Классификация по поражаемым операционным системам и платформам:

1. DOS вирусы
2. Microsoft Windows
3. Unix
4. Linux

Классификация по технологиям, используемым вирусом:

1. Полиморфные вирусы – вирусы, использующие технику, позволяющую затруднить обнаружение компьютерного вируса с помощью скан-строк и, возможно, эвристики.
2. Стелс-вирусы – вирус, полностью или частично скрывающий свое присутствие в системе, путем перехвата обращений к операционной системе, осуществляющих чтение, запись, чтение дополнительной информации о зараженных объектах .

Классификация по языку, на котором написан вирус:

1. Ассемблер
2. Высокоуровневый язык
3. Скриптовый

Классификация по деструктивным возможностям:

1. Безвредные вирусы – вирусы никак не влияющие на работу компьютера.
2. Неопасные вирусы – вирусы влияние которых ограничивается уменьшением свободной памяти на диске и графическими, звуковыми и пр. эффектами.
3. Опасные вирусы – вирусы, которые могут привести к серьезным сбоям в работе компьютера.
4. Очень опасные вирусы – вирусы в алгоритм работы которых заведомо заложены процедуры, которые могут привести к потере программ.

Так же, антивирусы можно разделить еще на две большие категории:

1. Предназначенные для непрерывной работы - к этой категории относятся средства проверки при доступе, почтовые фильтры, системы сканирования проходящего трафика Интернет, другие средства, сканирующие потоки данных
2. Предназначенные для периодического запуска - различного рода средства проверки по запросу, предназначенные для однократного сканирования определенных объектов.

Антивирусная  программа  — любая программа для обнаружения компьютерных вирусов, а также считающихся вредоносными программ и модифицированных такими программами файлов, а также для профилактики — предотвращения модификации файлов или операционной системы вредоносным кодом.

Основными задачами антивируса является:

1. Препятствование проникновению вирусов в компьютерную систему
2. Обнаружение наличия вирусов в компьютерной системе
3. Устранение вирусов из компьютерной системы без нанесения повреждений другим объектам системы
4. Минимизация ущерба от действий вирусов

Технологии, применяемые в антивирусах, можно  разбить на две группы:

1. Технологии сигнатурного анализа                                                              Сигнатурный анализ — метод обнаружения вирусов, заключающийся в проверке наличия в файлах сигнатур вирусов. Для проведения проверки антивирусу необходим набор вирусных сигнатур, который хранится в антивирусной базе.
2. Технологии вероятностного анализа                                                            Технологии вероятностного анализа в свою очередь подразделяются на три категории:

• Эвристический анализ                                                                   Технология, основанная на вероятностных алгоритмах, результатом работы которых является выявление подозрительных объектов.                                                                                                    В процессе эвристического анализа проверяется структура файла, его соответствие вирусным шаблонам. Эвристической технологией является проверка содержимого файла на предмет наличия модификаций уже известных сигнатур вирусов и их комбинаций. Это помогает определять гибриды и новые версии ранее известных вирусов без дополнительного обновления антивирусной базы.

• Поведенческий анализ                                                                              Технология, в которой решение о характере проверяемого объекта принимается на основе анализа выполняемых им операций.
• Анализ контрольных сумм                                                                                               Способ отслеживания изменений в объектах компьютерной системы. На основании анализа характера изменений — одновременность, массовость, идентичные изменения длин файлов — можно делать вывод о заражении системы.

Антивирусный  комплекс - набор антивирусов, использующих одинаковое антивирусное ядро или ядра, предназначенный для решения  практических проблем по обеспечению  антивирусной безопасности компьютерных систем. В антивирусный комплекс также  в обязательном порядке входят средства обновления антивирусных баз.                                                              Исходя из текущей необходимости в средствах защиты выделяют следующие типы антивирусных комплексов:

1. Антивирусный комплекс для защиты рабочих станций                               Состоит из средств непрерывной работы и предназначенных для периодического запуска, а также средств обновления антивирусных баз.
2. Антивирусный комплекс для защиты файловых серверов                                 Обычно состоит из двух ярко выраженных представителей средств непрерывного работы и периодического запуска:

• Антивирусного сканера при доступе - аналогичен сканеру при доступе для рабочей станции

• Антивирусного сканера по требованию - аналогичен сканеру по требованию для рабочей станции,а также средства обновления антивирусных баз.

3. Антивирусный комплекс для защиты почтовых систем                                Безусловно, антивирусный комплекс не предназначен для защиты почтовой системы от поражения вирусами, его назначение - препятствовать доставке зараженных сообщений пользователям сети

4. Антивирусный комплекс для защиты шлюзов                                          Предназначен для проверки на наличие вирусов данных, через этот шлюз передаваемых.

При организации защиты сети и выборе антивирусного комплекса нужно  принимать во внимание:

1. Трудоемкость обслуживания — установка антивирусного комплекса без удаленного управления на каждую из станций сети вынуждает администратора совершать регулярные обходы всех станций с целью проверки актуальности антивирусных баз.
2. Отказоустойчивость - система антивирусной защиты должна работать непрерывно.
3. Большая критичность системы — как правило, ценность информации, хранящейся в сети организации выше чем у информации, хранящейся в компьютере домашнего пользователя.
4. Человеческий фактор. Как и для любой системы безопасности, пользователь должен пассивно участвовать в работе системы антивирусной защиты.

Внедрение комплексной системы антивирусной защиты включает в себя следующие  этапы:

1. Создание рабочей группы специалистов, ответственных за проведение работ по внедрению.
2. Обработка информации, полученной в результате обследования
3. Разработка Плана внедрения и Программы и методики проведения испытаний
4. Проведение работ по установке антивирусных комплексов, входящих в состав внедряемой КСАЗ и дополнительных работ, связанных с установкой заплат безопасности для используемых операционных систем
5. Настройка КСАЗ и передача ее в опытную эксплуатацию
6. Опытная эксплуатация КСАЗ
7. Проведение приемочных испытаний и приемка КСАЗ в промышленную эксплуатацию
8. Промышленная эксплуатация КСАЗ

Основой комплексной системы антивирусной защиты является совокупность организационных, правовых и программно-аппаратных мер и средств, направленных на обеспечение эффективной антивирусной защиты информации в локальной сети.                                                                             К организационным мерам антивирусной защиты можно отнести организационно-технические и организационно-правовые мероприятия, осуществляемые в процессе создания, внедрения и эксплуатации с целью обеспечения антивирусной защиты информации. Существуют также и общеправовые меры воздействия, предусмотренные Уголовным кодексом РФ. Статьи: 272. «Неправомерный доступ к компьютерной Информации»; 273. «Создание, использование и распространение вредоносных программ для ЭВМ»; 274. «Нарушение правил эксплуатации ЭВМ, системы ЭВМ или их сети.»

Организации вычислительных систем.

Шестнадцатиразрядные процессоры сами по себе уже представляют в основном лишь исторический интерес. Но именно на них создавались и развивались миллионы РС столь популярных в современном мире.   Первый 16–разрядный процессор  фирма Intel выпустила в 1978 году. Годом позже появилась его модификация 1088. Оба эти процессора выполняют 8/86-битные логические и арифметические операции, включая умножение и деление, операции с строками и операции ввода-вывода. Процессоры имеют 20-разрядную шину адреса, которая позволяет адресовать до 1 Мб памяти. Шина данных у 8086 16-разрядная, у 8088 разрядность внешней шины  данных сокращена до 8 бит. С программной точки зрения эти процессоры идентичны, их система команд и набор процессоров включены во все процессоры РС- совместимых компьютеров. В процессорах применима конвейерная архитектура, позволяющая выполнить выборку кодов инструкций из памяти их декодирование во время выполнения внутренних операций. Конвейер повышает производительность процессора за счет сокращения  времени простоя его операционных узлов. Конвейер процессора 8086 имеет 6-байтную внутреннюю очередь инструкций. Блок предварительной выборки при наличии 2 свободных байт в очереди старается ее заполнить в то время, когда внешняя шина процессора не занята операциями обмена. Очередь у процессора 8088 сокращена до 4 байт, а предварительная выборка осуществляется уже при наличии одного свободного байта. Это отличия оптимизируют конвейер с учетом разрядности шины данных. Очередь обнуляется при выполнении любой команды передачи управления, даже при переходе на следующий адрес. Этим свойством часто пользуются при программировании управления устройствами ввода-вывода, требующими задержки между соседними операциями обмена.                               Программная модель представляется набором его регистров. Регистр является устройством временного хранения данных и используется с целью облегчения арифметических, логических и пересылочных операций.   Центральный процессор 8086 имеет четыре 16-битных регистра общего назначения AX, BX, CX, DX, четыре регистра-указателя SI, DI, BP и SP, четыре регистра сегментов CS, DS, ES, SS, один 16-битовый регистр флагов FLAGS и указатель программ IP.Регистр-аккумулятор AX используется для хранения промежуточных данных и результатов.                     С появлением Intel-286 впервые стали говорить о различных режимах работы IA-32. Это первый представитель данного семейства микропроцессоров, в котором были реализованы многозадачность и защищенная архитектура. Чтобы обеспечить совместимость с предыдущими представителями этого семейства, в Intel-286 было реализовано два режима функционирования: режим реального адреса (режим эмуляции 8086) и защищенный режим, в котором используются все возможности МП. В последующих поколениях МП этого семейства защищенный режим становится основным режимом работы. В режиме реального адреса используется упрощенная схема формирования линейного адреса. В этом случае базовый адрес сегмента берется из сегментного регистра. Значение в сегментном регистре представляет собой биты 4-19 базового адреса сегмента. Из этого следует, что сегменты в этих режимах выровнены по 16-битной границе и все сегменты начинаются в пределах нижнего мегабайта линейного адресного пространства. Действительный физический адрес получается умножением на 16 базового адреса сегмента. Предел для всех сегментов одинаков. В режиме реального адреса предел сегмента - 64 Кбайт.  Значения, помещаемые в сегментные регистры, называются селекторами. Дескриптор - это 8-байтная единица описательной информации, распознаваемая устройством управления памятью в защищенном режиме, хранящаяся в дескрипторной таблице.                                                             Дескриптор сегмента содержит базовый адрес описываемого сегмента, предел (размер) сегмента и права доступа к сегменту. В защищенном режиме сегменты могут начинаться с любого линейного адреса.                            Для определения физического адреса базовый адрес сегмента суммируется со смещением. Существуют две обязательных дескрипторных таблицы - глобальная (GDT) и дескрипторная таблица прерывания (IDT), - а также множество (до 8192) локальных дескрипторных таблиц (LDT), из которых в один момент времени процессору доступна только одна. Расположение дескрипторных таблиц определяется регистрами процессора GDTR, IDTR, LDTR. Регистры GDTR и IDTR - содержат базовый адрес и предел дескрипторной таблицы.                                                                                                                 Массовое распространение и открытость архитектуры PC привили к лавинообразному появлению программного обеспечения. Процессор 80286, заменяющий следующий этап архитектуры, появился в 1982 году. Он уже имел 134 тыс. транзисторов (технология 1.5 мкм) и адресовал до 16 Мб физической памяти. Его принципиальное новшество – защищенный режим и виртуальная память размером до 1 Гб – не нашли массового применения, процессор большей частью использовался как очень быстрый 8088.                                                                                                         Существенное повышение производительности МП 80286 по сравнению с базовой моделью семейства стало возможным благодаря внедрению в архитектуру семейства IA32 конвейерной обработки. Конвейеризация позволяет нескольким внутренним блокам МП работать одновременно, совмещая дешифрование команды, операции АЛУ, вычисление эффективного адреса и циклы шины нескольких команд.                                      

Класс 32-разрядных процессоров  был  открыт в 1985 году моделью 80386 (275 тыс. транзисторов, 1,5 мкм). Разрядность шины данных достигла 23 бит, адресуемая физическая память - 4 Гб. Появились новые регистры, новые 32-битные операции, существенно доработан  защищенный режим, появился режим V86, страничное управление памятью. Процессор нашел широкое применение в PC, и на благодатной почве его свойств стал разрастаться  MS Windows с приложениями.                                             Программная модель включает восемь регистров общего назначения, шесть регистров сегментов, указатель команд, регистр системных флагов, регистры системных адресов, четыре регистра управления и шесть регистров отладки.                                                                                                    Восемь регистров общего назначения имеют длину в 32 бит и содержат адреса или данные. Они поддерживают операнды-данные длиной 1, 8, 16, 32 и (при использовании двух регистров) 64 бит; битовые поля от 1 до 32 бит; операнды-адреса длиной 16 и 32 бит. Эти регистры называются EAX, EBX, ECX, EDX, ESI, EDI, EBP, ESP. Доступ к младшим 16 бит этих регистров выполняется независимо при использовании соответствующих имен 16-битных регистров: AX, BX, CX, DX, SI, DI, BP и SP. Также могут использоваться индивидуально младший (биты 0-7) и старший (биты 8-15) байты регистров AX, BX, CX, DX. Им соответствуют обозначения AH, DH, CH, BH и AL, DL, CL, BL.                                                                                     После инициализации МП находится в реальном режиме. В реальном режиме МП работает как очень быстрый 8086 с возможностью использования 32-битных расширений. Механизм адресации, размеры памяти и обработка прерываний МП 8086 полностью совпадают с аналогичными функциями других МП IA-32 в реальном режиме. В отличие от 8086, остальные члены семейства IA-32 в определенных ситуациях генерируют исключения, например, при превышении предела сегмента, который для всех сегментов в реальном режиме равен 0FFFFh. Имеется две фиксированные области в памяти, которые резервируются в режиме реальной адресации: область инициализации системы и область таблицы прерываний.                                                                                         Ячейки от 00000h до 003FFH резервируются для векторов прерываний. Каждое из 256 возможных прерываний имеет зарезервированный 4-байтовый адрес перехода.                                                                                    В новых поколениях МП Intel появился еще один режим работы - режим системного управления. Начиная с расширенных моделей Intel-486, этот режим стал обязательным элементом архитектуры IA-32. С его помощью прозрачно даже для операционной системы на уровне BIOS реализуются функции энергосбережения. Режим системного управления предназначен для выполнения некоторых действий с возможностью их полной изоляции от прикладного программного обеспечения и даже от операционной системы. МП переходит в этот режим только аппаратно: по низкому уровню на контакте SMI# или по команде с шины APIC (Pentium+). Никакой программный способ не предусмотрен для перехода в этот режим.                                                                                                             Основным режимом работы МП является защищенный режим. Ключевые особенности защищенного режима: виртуальное адресное пространство, защита и многозадачность. МП может быть переведен в защищенный режим установкой бита 0 (Protect Enable) в регистре CR0. Вернуться в режим реального адреса МП может по сигналу RESET или сбросом бита PE (в Intel-286 недоступно). В защищенном режиме программа оперирует с адресами, которые могут относиться к физически отсутствующим ячейкам памяти, поэтому такое адресное пространство называется виртуальным. Размер виртуального адресного пространства программы может превышать емкость физической памяти и достигать 64Тбайт.

В 1993 году появились первые процессоры Pentium частотой 60 и 66 МГц – 32 разрядные процессоры с 64-битной шиной данных.                                     Основные характеристики процессоров семейства Pentium следующие:

• 32-разрядная внутренняя структура;
• использование системной шины с 36 разрядами адреса и 64 разрядами данных;
• раздельная внутренняя кэш-память первого уровня для команд и данных емкостью по 16 Кбайт;
• поддержка общей кэш-памяти команд и данных второго уровня емкостью до 2 Мбайт;
• конвейерное исполнение команд;
• предсказание направления программного ветвления с высокой точностью;
• ускоренное выполнение операций с плавающей точкой;
• приоритетный контроль при обращении к памяти;
• поддержка реализации мультипроцессорных систем;
• наличие внутренних средств, обеспечивающих самотестирование, отладку и мониторинг производительности.
• суперскалярная архитектура, включающая два конвейера и позволяющая за один такт процессора выполнить более одной команды;
• предсказание ветвлений в программе, что реализуется специальными логическими схемами, которые определяют точку передачи управления в программе и обеспечивают предварительную подготовку к выполнению определенных фрагментов программы;
• конвейерное устройство для обработки данных с плавающей точкой (FPU);
• раздельные кэш-памяти команд и данных емкостью 8 Кбайт каждая;
• конвейеризация машинного цикла;
• контроль на четность адреса и данных;
• внутренний контроль на четность;
• режим управления системой (System Management Mode).

В процессор Pentium встроены средства самотестирования и средства отладки программного обеспечения на основе механизма  контрольных точек для останова процессора при выборе команд и обращений к данным.Процессор Pentium включает полный набор команд процессора Intel-486 и содержит ряд новых команд, обеспечивающих расширение его функциональных возможностей.                                                                 Процессоры семейства Pentium имеют ряд архитектурных и структурных особенностей по сравнению с предыдущими моделями микропроцессоров фирмы Intel. Наиболее характерными из них являются:

• гарвардская архитектура с разделением потоков команд и данных при помощи введения отдельных внутренних блоков кэш-памяти для хранения команд и данных, а также шин для их передачи;
• суперскалярная архитектура, обеспечивающая одновременное выполнение нескольких команд в параллельно работающих исполнительных устройствах;
• динамическое исполнение команд, реализующее изменение последовательности команд, использование расширенного регистрового файла и эффективное предсказание ветвлений;
• двойная независимая шина, содержащая отдельную шину для обращения к кэш-памяти 2-го уровня (выполняется с тактовой частотой процессора) и системную шину для обращения к памяти и внешним устройствам (выполняется с тактовой частотой системной платы).

Повышение производительности IA-32 достигалось  не только путем оптимизации конвейера  команд и добавления исполнительных блоков, но и, например, внедрением кэш-памяти в ядро процессора. В семействе IA-32 встроенный кэш L1 размером 8 Кбайт впервые  был реализован в процессорах Intel-486. В процессорах Pentium размер кэша был  удвоен. Первые представители P6 (Pentium Pro) содержали также кэш L2 размером 256 или 512 Кбайт. Процессор Pentium 4 является 32-разрядным представителем семейства IA-32, по микроархитектуре принадлежащим  к новому, седьмому (по классификации Intel) поколению. С программной точки  зрения он представляет собой процессор IA-32 с очередным расширением системы  команд - SSE2. По набору программно-доступных  регистров Pentium 4 повторяет процессор Pentium III. С внешней, аппаратной точки  зрения - это процессор с системной  шиной нового типа, в которой кроме  повышения тактовой частоты применены  ставшие уже привычными принципы двойной (2х) и четырехкратной (4х) синхронизации, а также предпринят ряд мер  по обеспечению работоспособности  на ранее немыслимых частотах.

Заключение.

В рамках данной курсовой работы  мы рассмотрели вопросы  Организации вычислительных систем и проблему комьпьютерных вирусов.                                                                                                                      К сожалению, полностью раскрыть  все аспекты работы вирусных программ и противовирусных комплексов, описать особенности функционирования вычислительных систем на каждом из этапов их развития не позволяет объём курсовой работы. Однако, опираясь на поставленные задачи, удалось раскрыть как сущность работы вредоносных программ и программных комплексов по борьбе с вирусами так и рассмотреть архитектурные особенности и режимы работы вычислительных систем .

Изначально были раскрыты базовые вещи, включающие описание общих понятий об вирусах и  вредоносных программах, принципы классификации вирусов, угрозы безопасности информации и способы их реализации, определение антивирусной программы, ее задачи, архитектурные особенности и режимы работы 16-битных процессоров фирмы Intel: основные регистры, режимы работы, станичную и сегментную адресацию памяти, многозадачность, формат команд, режим пакетирования. суперскалярная архитектура, динамическое исполнение программ.                                                                                                                         На базе полученных знаний были выявлены сходства и различия между типами вирусов и антивирусных программ Для завершения полной картины в данной курсовой работы был проведен сравнительный анализ технических и программных возможностей процессоров фирмы Intel. от 8086  до Pentium 4 . Также были описаны вопросы об конвейеризации шины, режиме пакетирования, динамическом исполнение программ.