Антивирусы 2 страница

В последнее время наметилась тенденция к совмещению в червях обоих способов распространения. Многие представители семейства Mytob обладают функциями распространения через электронную почту и через уязвимость в службе LSASS.

Способ поиска компьютера-жертвы полностью базируется на используемых протоколах и приложениях. В частности, если речь идёт о почтовом черве, производится сканирование файлов компьютера на предмет наличия в них адресов электронной почты, по которым в результате и производится рассылка копий червя.

Точно так же интернет-черви сканируют диапазон IP-адресов в поисках уязвимых компьютеров, а P2P черви кладут свои копии в общедоступные каталоги клиентов пиринговых сетей. Некоторые черви способны эксплуатировать списки контактов интернет-пейджеров, таких как ICQ, AIM, MSN Messenger, Yahoo! Messenger и др.

Сказанное ранее о подготовке копий для распространения вирусов применимо и для червей.

Наиболее часто среди червей встречаются упрощённые реализации метаморфизма. Некоторые черви способны рассылать свои копии в письмах как с внедрением скрипта, приводящего к автоматической активации червя, так и без внедрения. Такое поведение червя обусловлено двумя факторами: скрипт автоматической активации повышает вероятность запуска червя на компьютере пользователя, но при этом уменьшает вероятность проскочить антивирусные фильтры на почтовых серверах.

Аналогично, черви могут менять тему и текст инфицированного сообщения, имя, расширение и даже формат вложенного файла – исполняемый модуль может быть приложен как есть или в заархивированном виде. Всё это нельзя считать мета- или полиморфизмом, но определённой долей изменчивости черви, безусловно, обладают.

5.1.3. Трояны

Приведём интуитивное определение троянской программы, или трояна.

Троян (троянский конь) – тип вредоносных программ, основной целью которых является вредоносное воздействие по отношению к компьютерной системе. Трояны отличаются отсутствием механизма создания собственных копий. Некоторые трояны способны к автономному преодолению систем защиты КС с целью проникновения и заражения системы. В общем случае троян попадает в систему вместе с вирусом либо червем в результате неосмотрительных действий пользователя или же активных действий злоумышленника.

В силу отсутствия у троянов функций размножения и распространения их жизненный цикл крайне короток – всего три стадии:

- проникновение на компьютер;

- активация;

- выполнение заложенных функций.

Это, само собой, не означает малого времени жизни троянов. Напротив, троян может длительное время незаметно находиться в памяти компьютера, никак не выдавая своего присутствия, до тех пор пока не будет обнаружен антивирусными средствами.

Задачу проникновения на компьютер пользователя трояны решают обычно одним из двух следующих методов.

1. Маскировка– троян выдаёт себя за полезное приложение, которое пользователь самостоятельно загружает из Интернет и запускает. Иногда пользователь исключается из этого процесса за счёт размещения на web-странице специального скрипта, который, используя дыры в браузере, автоматически инициирует загрузку и запуск трояна.

Пример. Trojan.SymbOS.Hobble.a является архивом для операционной системы Symbian (SIS-архивом). При этом он маскируется под антивирус Symantec и носит имя symantec.sis. После запуска на смартфоне троян подменяет оригинальный файл оболочки FExplorer.app на повреждённый. В результате при следующей загрузке операционной системы большинство функций смартфона оказываются недоступными.

Одним из вариантов маскировки может быть также внедрение злоумышленником троянского кода в код другого приложения. В этом случае распознать троян ещё сложнее, так как заражённое приложение может открыто выполнять какие-либо полезные действия, но при этом тайком наносить ущерб за счёт троянских функций.

Распространён также способ внедрения троянов на компьютеры пользователей через веб-сайты. При этом используется либо вредоносный скрипт, загружающий и запускающий троянскую программу на компьютере пользователя, используя уязвимость в веб-браузере, либо методы социальной инженерии – наполнение и оформление веб-сайта провоцирует пользователя к самостоятельной загрузке трояна. При таком методе внедрения может использоваться не одна копия трояна, а полиморфный генератор, создающий новую копию при каждой загрузке. Применяемые в таких генераторах технологии полиморфизма обычно не отличаются от вирусных полиморфных технологий.

2. Кооперация с вирусами и червями– троян путешествует вместе с червями или, реже, с вирусами. В принципе, такие пары «червь-троян» можно рассматривать целиком как составного червя, но в сложившейся практике принято троянскую составляющую червей, если она реализована отдельным файлом, считать независимым трояном с собственным именем. Кроме того, троянская составляющая может попадать на компьютер позже, чем файл червя.

Пример. Используя backdoor-функционал червей семейства Bagle, автор червя проводил скрытую инсталляцию трояна SpamTool.Win32. Small.b, который собирал и отсылал на определённый адрес электронной почты, имевшийся в файлах на заражённом компьютере.

Нередко наблюдается кооперация червей с вирусами, когда червь обеспечивает транспортировку вируса между компьютерами, а вирус распространяется по компьютеру, заражая файлы.

Пример. Известный в прошлом червь Email-Worm.Win32.Klez.h при заражении компьютера также запускал на нём вирус Virus.Win32.Elkern.c. Зачем это было сделано, сказать тяжело, поскольку вирус сам по себе, кроме заражения и связанных с ошибками в коде вредоносных проявлений (явно выраженных вредоносных процедур в нём нет), никаких действий не выполняет, т.е. не является «усилением» червя в каком бы то ни было смысле.

Здесь приёмы те же, что и у червей: ожидание запуска файла пользователем либо использование уязвимостей для автоматического запуска.

В отличие от вирусов и червей, деление которых на типы производится по способам размножения/распространения, трояны делятся на типы по характеру выполняемых ими вредоносных действий. Наиболее распространены следующие виды троянов.

- Клавиатурные шпионы– трояны, постоянно находящиеся в памяти и сохраняющие все данные, поступающие от клавиатуры с целью последующей передачи этих данных злоумышленнику. Обычно таким образом злоумышленник пытается узнать пароли или другую конфиденциальную информацию.

Пример. В прошлом, буквально пару лет назад ещё встречались клавиатурные шпионы, которые фиксировали все нажатия клавиш и записывали их в отдельный файл. Trojan-Spy.Win32.Small.b, например, в бесконечном цикле считывал коды нажимаемых клавиш и сохранял их в файле C:\SYS.

Современные программы-шпионы оптимизированы для сбора информации, передаваемой пользователем в Интернет, поскольку среди этих данных могут встречаться логины и пароли к банковским счетам, PIN-коды кредитных карт и прочая конфиденциальная информация, относящаяся к финансовой деятельности пользователя. Trojan-Spy.Win32.Agent.fa отслеживает открытые окна Internet Explorer и сохраняет информацию с посещаемых пользователем сайтов, ввод клавиатуры в специально созданный файл servms.dll в системном каталоге Windows.

- Похитители паролей– трояны, также предназначенные для получения паролей, но не использующие слежение за клавиатурой. В таких троянах реализованы способы извлечения паролей из файлов, в которых эти пароли хранятся различными приложениями.

Пример. Trojan-PSW.Win32.LdPinch.kw собирает сведения о системе, а также логины и пароли для различных сервисов и прикладных программ – мессенджеров, почтовых клиентов, программ дозвона. Часто эти данные оказываются слабо защищены, что позволяет трояну их получить и отправить злоумышленнику по электронной почте.

- Утилиты удалённого управления– трояны, обеспечивающие полный удалённый контроль над компьютером пользователя. Существуют легальные утилиты такого же свойства, но они отличаются тем, что сообщают о своём назначении при установке или же снабжены документацией, в которой описаны их функции. Троянские утилиты удалённого управления, напротив, никак не выдают своего реального назначения, так что пользователь и не подозревает о том, что его компьютер подконтролен злоумышленнику. Наиболее популярная утилита удалённого управления – Back Orifice.

Пример. Backdoor.Win32.Netbus.170 предоставляет полный контроль над компьютером пользователя, включая выполнение любых файловых операций, загрузку и запуск других программ, получение снимков экрана и т.д.

- Люки (backdoor)– трояны, предоставляющие злоумышленнику ограниченный контроль над компьютером пользователя. От утилит удалённого управления отличаются более простым устройством и, как следствие, небольшим количеством доступных действий. Тем не менее, обычно одними из действий являются возможность загрузки и запуска любых файлов по команде злоумышленника, что позволяет при необходимости превратить ограниченный контроль в полный.

Пример. В последнее время backdoor-функционал стал характерной чертой червей. Например, Email-Worm.Win32.Bagle.at использует порт 81 для получения удалённых команд или загрузки троянов, расширяющих функционал червя.

Есть и отдельные трояны типа backdoor. Троян Backdoor.win32. Wootbot.gen использует IRC-канал для получения команд от «хозяина». По команде троян может загружать и запускать на выполнение другие программы, сканировать другие компьютеры на наличие уязвимостей и устанавливать себя на компьютеры через обнаруженные уязвимости.

- Анонимные smtp-сервера и прокси– трояны, выполняющие функции почтовых серверов или прокси и использующиеся в первом случае для спам-рассылок, а во втором – для заметания следов хакерами.

Пример. Трояны из семейства Trojan-Proxy.Win32.Mitglieder распространяются с различными версиями червей Bagle. Троян запускается червем, открывает на компьютере порт и отправляет автору вируса информацию об IP-адресе заражённого компьютера. После этого компьютер может использоваться для рассылки спама.

- утилиты дозвона– сравнительно новый тип троянов, представляющий собой утилиты dial-up доступа в Интернет через дорогие почтовые службы. Такие трояны прописываются в системе как утилиты дозвона по умолчанию и влекут за собой огромные счета за пользование Интернетом.

Пример. Trojan.Win32.Dialer.a при запуске осуществляет дозвон в Интернет через платные почтовые службы. Никаких других действий не производит, в том числе не создаёт ключей в реестре, т.е. даже не регистрируется в качестве стандартной программы дозвона и не обеспечивает автозапуск.

- Модификаторы настроек браузера– трояны, которые меняют стартовую страницу в браузере, страницу поиска или ещё какие-либо настройки, открывают дополнительные окна браузера, имитируют нажатия на баннеры и т.п.

Пример. Trojan-Clicker.JS.Pretty обычно содержится в html-стра-ницах. Он открывает дополнительные окна с определёнными веб-стра-ницами и обновляет их с заданным интервалом.

- Логические бомбы– чаще не столько трояны, сколько троянские составляющие червей и вирусов, суть работы которых состоит в том, чтобы при определённых условиях (дата, время суток, действия пользователя, команда извне) произвести определённое действие, например уничтожение данных.

Пример. Virus.Win9x.CIH, Macro.Word97.Thus.

Черви и вирусы могут осуществлять все те же действия, что и трояны (см. предыд. п.). На уровне реализации это могут быть как отдельные троянские компоненты, так и встроенные функции. Кроме этого, за счёт массовости для вирусов и червей характерны также другие формы вредоносных действий:

- Перегрузка каналов связи– свойственный червям вид ущерба, связанный с тем, что во время масштабных эпидемий по интернет-каналам передаются огромные количества запросов, заражённых писем или непосредственно копий червя. В ряде случаев пользование услугами Интернета во время эпидемии становится затруднительным. Пример: Net-Worm.Win32.Slammer.

- DDoS атаки– благодаря массовости, черви могут эффективно использоваться для реализации распределённых атак на отказ в обслуживании (DDoS атак). В разгар эпидемии, когда заражёнными являются миллионы и даже десятки миллионов компьютеров, обращение всех инфицированных систем к определённому интернет-ресурсу приводит к полному блокированию этого ресурса. Так, во время атаки червя MyDoom сайт компании SCO был недоступен в течение месяца. Примеры: Net-Worm.Win32.CodeRed.a – не совсем удачная атака на www.whitehouse.gov, Email-Worm.Win32.Mydoom.a – удачная атака на www.sco.com.

- Потеря данных– более характерное для вирусов, чем для троянов и червей, поведение, связанное с намеренным уничтожением определённых данных на компьютере пользователя. Примеры: Virus.Win9x.CIH – удаление стартовых секторов дисков и содержимого Flash BIOS; Macro.Word97.Thus – удаление всех файлов на диске C:; Email-Worm.Win32.Mydoom.e – удаление файлов с определёнными расширениями в зависимости от показателя счётчика случайных чисел.

- Нарушение работы ПО– также более свойственная вирусам черта. Из-за ошибок в коде вируса заражённые приложения могут работать с ошибками или не работать вовсе. Пример: Net-Worm.Win32.Sasser.a – перезагрузка заражённого компьютера.

- Загрузка ресурсов компьютера– интенсивное использование ресурсов компьютера вредоносными программами ведёт к снижению производительности как системы в целом, так и отдельных приложений. Пример: в разной степени – любые вредоносные программы.

Наличие деструктивных действий вовсе не является обязательным критерием для классификации программного кода как вирусного. Следует также отметить, что одним только процессом саморазмножения вирус способен причинить колоссальный ущерб. Наиболее яркий пример – Net-Worm.Win32.Slammer.

5.1.4. Угрозы безопасности информации

Рассмотрим угрозы безопасности информации с точки зрения вирусов. Учитывая тот факт, что общее число вирусов по состоянию на сегодня превосходит 100 000, проанализировать угрозы со стороны каждого из них является слишком трудоёмкой и бесполезной задачей, поскольку ежедневно возрастает количество вирусов, а значит, необходимо ежедневно модифицировать полученный список. В этой работе мы будем считать, что вирус способен реализовать любую из угроз безопасности информации.

Существует множество способов классификации угроз безопасности информации, которая обрабатывается в автоматизированной системе. Наиболее часто используется классификация угроз по результату их влияния на информацию, а именно – нарушение конфиденциальности, целостности и доступности.

Для каждой угрозы существует несколько способов её реализации со стороны вирусов.

Угроза нарушения конфиденциальности:

- кража информации и её распространение с помощью штатных средств связи либо скрытых каналов передачи: Email-Worm.Win32.Sircam – рассылал вместе с вирусными копиями произвольные документы, найденные на заражённом компьютере;

- кража паролей доступа, ключей шифрования и пр.: любые трояны, крадущие пароли, Trojan-PSW.Win32.LdPinch.gen;

- удалённое управление: Backdoor.Win32.NetBus, Email-Worm.Win32. Bagle (backdoor-функциональность).

Угроза нарушения целостности:

- модификация без уничтожения (изменение информации): любой паразитирующий вирус;

- модификация посредством уничтожения либо шифрации (удаление некоторых типов документов): Virus.DOS.OneHalf – шифрование содержимого диска, Virus.Win32.Gpcode.f – шифрует файлы с определёнными расширениями, после чего самоуничтожается, оставляя рядом с зашифрованными файлами координаты для связи по вопросам расшифровки файлов;

- модификация путём низкоуровневого уничтожения носителя (форматирование носителя, уничтожение таблиц распределения файлов): Virus.MSWord.Melissa.w – 25 декабря форматирует диск C:.

Угроза нарушения доступности:

- загрузка каналов передачи данных большим числом пакетов: Net-Worm.Win32.Slammer – непрерывная рассылка инфицированных пакетов в бесконечном цикле;

- любая деятельность, результатом которой является невозможность доступа к информации; различные звуковые и визуальные эффекты: Email-Worm.Win32.Bagle.p – блокирование доступа к сайтам антивирусных компаний;

- вывод компьютера из строя путём уничтожения либо порчи критических составляющих (уничтожение Flash BIOS): Virus.Win9x.CIH – порча Flash BIOS.

Как несложно было убедиться, для каждого из приведённых выше способов реализации угроз можно привести конкретный пример вируса, реализующего один или одновременно несколько способов.

Вредоносные программы отличаются условиями существования, применяемыми технологиями на различных этапах жизненного цикла, собственно вредоносным воздействием – все эти факторы и являются основой для классификации. В результате по основному (с исторической точки зрения) признаку – размножению – вредоносные программы делятся на три типа: собственно вирусы, черви и трояны.

Независимо от типа вредоносные программы способны наносить значительный ущерб, реализуя любые угрозы информации – угрозы нарушения целостности, конфиденциальности, доступности. В связи с этим при проектировании комплексных систем антивирусной защиты и даже в более общем случае – комплексных систем защиты информации необходимо проводить градацию и классифицировать объекты сети по важности обрабатываемой на них информации и по вероятности заражения этих узлов вирусами.

Антивирус– программное средство, предназначенное для борьбы с вирусами.

Как следует из определения, основными задачами антивируса являются:

- препятствование проникновению вирусов в компьютерную систему;

- обнаружение наличия вирусов в компьютерной системе;

- устранение вирусов из компьютерной системы без нанесения повреждений другим объектам системы;

- минимизация ущерба от действий вирусов.

5.2.1. Технологии обнаружения вирусов

Технологии, применяемые в антивирусах, можно разбить на две группы:

- технологии сигнатурного анализа;

- технологии вероятностного анализа.

Сигнатурный анализ – метод обнаружения вирусов, заключающийся в проверке наличия в файлах сигнатур вирусов.

Сигнатурный анализ является наиболее известным методом обнаружения вирусов и используется практически во всех современных антивирусах. Для проведения проверки антивирусу необходим набор вирусных сигнатур, который хранится в антивирусной базе.

Антивирусная база – база данных, в которой хранятся сигнатуры вирусов.

Ввиду того, что сигнатурный анализ предполагает проверку файлов на наличие сигнатур вирусов, антивирусная база нуждается в периодическом обновлении для поддержания актуальности антивируса. Сам принцип работы сигнатурного анализа также определяет границы его функциональности – возможность обнаруживать лишь уже известные вирусы – против новых вирусов сигнатурный сканер бессилен.

С другой стороны, наличие сигнатур вирусов предполагает возможность лечения инфицированных файлов, обнаруженных при помощи сигнатурного анализа. Однако лечение допустимо не для всех вирусов – трояны и большинство червей не поддаются лечению по своим конструктивным особенностям, поскольку являются цельными модулями, созданными для нанесения ущерба.

Грамотная реализация вирусной сигнатуры позволяет обнаруживать известные вирусы со стопроцентной вероятностью.

Технологии вероятностного анализа в свою очередь подразделяются на три категории:

- эвристический анализ;

- поведенческий анализ;

- анализ контрольных сумм.

Эвристический анализ – технология, основанная на вероятностных алгоритмах, результатом работы которых является выявление подозрительных объектов.

В процессе эвристического анализа проверяется структура файла, его соответствие вирусным шаблонам. Наиболее популярной эвристической технологией является проверка содержимого файла на предмет наличия модификаций уже известных сигнатур вирусов и их комбинаций. Это помогает определять гибриды и новые версии ранее известных вирусов без дополнительного обновления антивирусной базы.

Эвристический анализ применяется для обнаружения неизвестных вирусов и, как следствие, не предполагает лечения.

Данная технология не способна на 100 % определить, вирус перед ней или нет, и, как любой вероятностный алгоритм, грешит ложными срабатываниями.

Поведенческий анализ – технология, в которой решение о характере проверяемого объекта принимается на основе анализа выполняемых им операций.

Поведенческий анализ весьма узко применим на практике, так как большинство действий, характерных для вирусов, могут выполняться и обычными приложениями. Наибольшую известность получили поведенческие анализаторы скриптов и макросов, поскольку соответствующие вирусы практически всегда выполняют ряд однотипных действий. Например, для внедрения в систему почти каждый макровирус использует один и тот же алгоритм: в какой-нибудь стандартный макрос, автоматически запускаемый средой Microsoft Office при выполнении стандартных команд (например, «Save», «Save As», «Open» и т.д.), записывается код, заражающий основной файл шаблонов normal.dot и каждый вновь открываемый документ.

Средства защиты, вшиваемые в BIOS, также можно отнести к поведенческим анализаторам. При попытке внести изменения в MBR компьютера анализатор блокирует действие и выводит соответствующее уведомление пользователю.

Помимо этого поведенческие анализаторы могут отслеживать попытки прямого доступа к файлам, внесение изменений в загрузочную запись дискет, форматирование жёстких дисков и т.д.

Поведенческие анализаторы не используют для работы дополнительных объектов, подобных вирусным базам, и, как следствие, неспособны различать известные и неизвестные вирусы – все подозрительные программы априори считаются неизвестными вирусами. Аналогично, особенности работы средств, реализующих технологии поведенческого анализа, не предполагают лечения.

Как и в предыдущем случае, возможно выделение действий, однозначно трактующихся как неправомерные – форматирование жёстких дисков без запроса, удаление всех данных с логического диска, изменение загрузочной записи дискеты без соответствующих уведомлений и пр. Тем не менее, наличие действий неоднозначных (например, макрокоманда создания каталога на жёстком диске) заставляет также задумываться о ложных срабатываниях и зачастую о тонкой ручной настройке поведенческого блокиратора.

Анализ контрольных сумм – это способ отслеживания изменений в объектах компьютерной системы. На основании анализа характера изменений – одновременность, массовость, идентичные изменения длин файлов – можно делать вывод о заражении системы.

Анализаторы контрольных сумм (также используется название «ревизоры изменений»), как и поведенческие анализаторы, не используют в работе дополнительные объекты и выдают вердикт о наличии вируса в системе исключительно методом экспертной оценки. Большая популярность анализа контрольных сумм связана с воспоминаниями об однозадачных операционных системах, когда количество вирусов было относительно небольшим, файлов было немного и менялись они редко. Сегодня ревизоры изменений утратили свои позиции и используются в антивирусах достаточно редко. Чаще подобные технологии применяются в сканерах при доступе – при первой проверке с файла снимается контрольная сумма и помещается в кэше, перед следующей проверкой того же файла сумма снимается ещё раз, сравнивается, и в случае отсутствия изменений файл считается незаражённым.

Подводя итоги обзора технологий, применяемых в антивирусах, отметим, что сегодня практически каждый антивирус использует несколько из перечисленных выше технологий, при этом использование сигнатурного и эвристического анализа для проверки файлов и именно в этом порядке является повсеместным. В дальнейшем средства, реализующие комбинацию сигнатурного и эвристического анализа, мы будем называть антивирусными сканерами.

Вторая группа технологий более разнородна, поскольку ни один из применяемых подходов не даёт гарантии обнаружения неизвестных вирусов. Очевидно, что и совместное использование всех этих технологий не даёт такой гарантии. На сегодняшний день лучшим способом борьбы с новыми угрозами является максимально быстрое реагирование разработчиков на появление новых экземпляров вирусов выпуском соответствующих сигнатур. Также, учитывая наличие активных вредоносных программ, необходимо не менее быстро реагировать на обнаружение новых уязвимостей в операционных системах и устанавливать соответствующие заплаты безопасности.

5.2.2. Режимы работы антивирусов

Помимо используемых технологий, антивирусы отличаются друг от друга условиями эксплуатации. Уже из анализа задач можно сделать вывод о том, что препятствование проникновению вредоносного кода должно осуществляться непрерывно, тогда как обнаружение вредоносного кода в существующей системе – скорее разовое мероприятие. Следовательно, средства, решающие эти две задачи, должны функционировать по-разному.

Таким образом, антивирусы можно разделить на две большие категории:

- предназначенные для непрерывной работы – к этой категории относятся средства проверки при доступе, почтовые фильтры, системы сканирования проходящего трафика Интернета, другие средства, сканирующие потоки данных;

- предназначенные для периодического запуска – различного рода средства проверки по запросу, предназначенные для однократного сканирования определённых объектов. К таким средствам можно отнести сканер по требованию файловой системы в антивирусном комплексе для рабочей станции, сканер по требованию почтовых ящиков и общих папок в антивирусном комплексе для почтовой системы (в частности для Microsoft Exchange).

Как показывает практика, предотвратить возникновение проблемы гораздо проще, чем пытаться впоследствии её решить. Именно поэтому современные антивирусные комплексы в большинстве своём подразумевают непрерывный режим эксплуатации. Тем не менее, средства периодической проверки гораздо эффективнее при борьбе с последствиями заражения и поэтому не менее необходимы.

5.2.3. Антивирусный комплекс

Антивирусное ядро – реализация механизма сигнатурного сканирования и эвристического анализа на основе имеющихся сигнатур вирусов.

Антивирусный комплекс – набор антивирусов, использующих одинаковое антивирусное ядро или ядра, предназначенный для решения практических проблем по обеспечению антивирусной безопасности компьютерных систем. В антивирусный комплекс также в обязательном порядке входят средства обновления антивирусных баз.

Помимо этого антивирусный комплекс дополнительно может включать в себя поведенческие анализаторы и ревизоры изменений, которые вовсе не используют антивирусное ядро.

В качестве вспомогательной утилиты антивирусный комплекс может содержать (и на практике обычно содержит) планировщик заданий.

Исходя из текущей необходимости в средствах защиты, выделяют следующие типы антивирусных комплексов:

- для защиты рабочих станций;

- файловых серверов;

- почтовых систем;

- шлюзов.

Как видно из определения, КСАЗ должна контролировать и осуществлять проверку всех информационных потоков, циркулирующих в локальной сети и представляющих угрозу как потенциальный канал для распространения вирусов.

Следовательно, перед проектированием КСАЗ необходимо произвести анализ сети и циркулирующих в ней информационных потоков, определить защищаемые узлы и узлы, на которые будут установлены антивирусные комплексы.

Каждая сеть устроена по-своему и содержит особенности, однако мы можем говорить здесь о типовой локальной сети, типовых узлах и информационных потоках, которые между этими узлами циркулируют. При проектировании реальных систем к описанным далее компонентам будут добавлены новые, некоторые классы защищаемых узлов будут разделены на подклассы.

Итак, типовая локальная сеть содержит следующие типы узлов:

- рабочие станции;

- файловые серверы;

- почтовые серверы;

- шлюзы.

Файловые серверы следует понимать в описанном ранее широком смысле.

Рабочая станция принимает участие в следующих информационных потоках: пользователь имеет интерактивный доступ к ресурсам Интернета (http/ftp протоколы), работает с электронной почтой (smtp/pop/imap протоколы либо протокол передачи данных системы групповой работы), взаимодействует с файловыми серверами (как с файловыми хранилищами, так и с серверами баз данных), а также с другими станциями сети. Поток между станциями в штатном режиме работы сети не должен быть существенным, поскольку вся информация должна храниться на серверах, однако этот поток нельзя исключать по причине его важности для антивирусной защиты. Помимо перечисленных, рабочая станция содержит различные дисководы и возможно подключение к ней сменных носителей – дискет, компакт-дисков, flash-накопителей.