Компьютерные вирусы

В табл.1 приведены специфические названия и термины: "троянский конь", "вирус", "червь", которые употребляются для именования некоторых распространенных угроз безопасности АСОИ. Хотя эти названия имеют жаргонный оттенок, они уже вошли в общепринятый компьютерный лексикон. Дадим краткую характеристику этих распространенных угроз безопасности АСОИ.

"Троянский конь" представляет собой программу, которая наряду с действиями, описанными в ее документации, выполняет некоторые другие действия, ведущие к нарушению безопасности системы и деструктивным результатам. Аналогия такой программы с древнегреческим "троянским конем" вполне оправдана, так как в обоих случаях не вызывающая подозрений оболочка таит серьезную угрозу.

Термин "троянский конь" был впервые использован хакером Даном Эдварсом, позднее ставшим сотрудником Агентства Национальной Безопасности США. "Троянский конь" использует, в сущности, обман, чтобы побудить пользователя запустить программу со скрытой внутри угрозой. Обычно для этого утверждается, что такая программа выполняет некоторые весьма полезные функции. В частности, такие программы маскируются под какие-нибудь полезные утилиты.

Опасность "троянского коня" заключается в дополнительном блоке команд, вставленном в исходную безвредную программу, которая затем предоставляется пользователям АСОИ. Этот блок команд может срабатывать при наступлении какого-либо условия (даты, состояния системы) либо по команде извне. Пользователь, запустивший такую программу, подвергает опасности как свои файлы, так и всю АСОИ в целом. Приведем для примера некоторые деструктивные функции, реализуемые "троянскими конями".

• Уничтожение информации. Выбор объектов и способов уничто­жения определяется фантазией автора вредоносной програм­мы.

• Перехват и передача информации. В частности, известна программа, осуществляющая перехват паролей, набираемых на клавиатуре.

• Целенаправленная модификация текста программы, реализующей функции безопасности и защиты системы.

В общем, "троянские кони" наносят ущерб АСОИ посредством хищения информации и явного разрушения программного обеспечения системы. "Троянский конь" является одной из наиболее опасных угроз безопасности АСОИ. Радикальный способ защиты от этой угрозы заключается в создании замкнутой среды исполнения программ, которые должны храниться и защищаться от несанкционированного доступа.

Компьютерный "вирус" представляет собой своеобразное явление, возникшее в процессе развития компьютерной и информационной техники. Суть этого явления состоит в том, что программы-вирусы обладают рядом свойств, присущих живым организмам, - они рождаются, размножаются и умирают.

Термин "вирус" в применении к компьютерам был предложен Фредом Коэном из Университета Южной Калифорнии [89]. Исторически первое определение, данное Ф.Коэном: "Компьютерный вирус - это программа, которая может заражать другие программы, модифицируя их посредством включения в них своей, возможно, измененной копии, причем последняя сохраняет способность к дальнейшему размножению". Ключевыми понятиями в определении компьютерного вируса являются способность вируса к саморазмножению и способность к модификации вычислительного процесса. Указанные свойства компьютерного вируса аналогичны паразитированию в живой природе биологического вируса.

Вирус обычно разрабатывается злоумышленниками таким образом, чтобы как можно дольше оставаться необнаруженным в компьютерной системе. Начальный период "дремоты" вирусов является механизмом их выживания. Вирус проявляется в полной мере в конкретный момент времени, когда происходит некоторое событие вызова, например пятница 13-е, известная дата и т.п.

Компьютерный вирус пытается тайно записать себя на компьютерные диски. Способ функционирования большинства вирусов заключается в таком изменении системных файлов компьютера, чтобы вирус начинал свою деятельность при каждой загрузке. Например, вирусы, поражающие загрузочный сектор, пытаются инфицировать часть дискеты или жесткого диска, зарезервированную только для операционной системы и хранения файлов запуска. Эти вирусы особенно коварны, так как они загружаются в память при каждом включении компьютера. Такие вирусы обладают наибольшей способностью к размножению и могут постоянно распространяться на новые диски.

Другая группа вирусов пытается инфицировать исполняемые файлы, чтобы остаться необнаруженными. Обычно вирусы отдают предпочтение ЕХЕ- или СОМ-файлам, применяемым для выполнения кода программы в компьютерной системе. Некоторые вирусы используют для инфицирования компьютерной системы как загрузочный сектор, так и метод заражения файлов. Это затрудняет выявление и идентификацию таких вирусов специальными программами и ведет к их быстрому распространению. Существуют и другие разновидности вирусов. Компьютерные вирусы наносят ущерб системе за счет многообразного размножения и разрушения среды обитания.

Сетевой "червь" представляет собой разновидность программы-вируса, которая распространяется по глобальной сети и не оставляет своей копии на магнитном носителе. Термин "червь" пришел из научно-фантастического романа Джона Бруннера "По бурным волнам". Этот термин использу ется для именования про­грамм, которые подобно ленточным червям перемещаются по компьютерной сети от одной системы к другой.

Первоначально "черви" были разработаны для поиска в сети других компьютеров со свободными ресурсами, чтобы получить возможность выполнить распределенные вычисления. При правильном использовании технология "червей" может быть весьма полезной. Например, "червь" World Wide Web Worm формирует индекс поиска участков Web. Однако "червь" легко превращается во вредоносную программу. "Червь" использует механизмы поддержки сети для определения узла, который может быть поражен. Затем с помощью этих же механизмов передает свое тело в этот узел и либоактивизируется, либо ждет подходящих условий для активизации.

Наиболее известным представителем этого класса вредоносных программ является "червь" Морриса, который представлял собой программу из 4000 строк на языке Си и входном языке командного интерпретатора системы UNIX. Студент Корнеллского Университета Роберт Таппан Моррис-младший запустил 2 ноября 1988 г. на компьютере Массачусетсского Технологического Института свою программу-червь. Используя ошибки в операционной системе UNIX на компьютерах VAX и Sun, эта программа передавала свой код с машины на машину. Всего за 6 часов были поражены подключенные к сети internet 6000 компьютеров ряда крупных университетов, институтов и исследовательских лабораторий США. Ущерб от этой акции составил многие миллионы долларов.

Сетевые "черви" являются самым опасным видом вредоносных программ, так как объектом их атаки может стать любой из миллионов компьютеров, подключенных к глобальной сети Internet. Для защиты от "червя" необходимо принять меры предосторожности против несанкционированного доступа к внутренней сети. Следует отметить, что "троянские кони", компьютерные вирусы и сетевые "черви" относятся к наиболее опасным угрозам АСОИ. Для защиты от указанных вредоносных программ необходимо применение ряда мер:

• исключение несанкционированного доступа к исполняемым файлам;

• тестирование приобретаемых программных средств;

• контроль целостности исполняемых файлов и системных областей;

• создание замкнутой среды исполнения программ.