Жанр: Учеба
Большой справочник по компьютерным вирусам
...на оптическом диске;
- 800 Мбайт памяти для пользовательских программ и данных;
- постоянный контроль за любым вводом (по заданию времени);
- возможность формирования ежедневного протокола работы.
- 297 -
6. Системные компоненты
Система состоит из следующих аппаратных компонент:
- 10 Мгц АТ (640 Кбайт ОЗУ);
- 0,36/1,2 Мбайт дисковод для дискет;
- 35 Мбайт жесткий диск;
- 2 кварцевых диска, совместная память до 1 Мбайта максимум;
- 800 Мбайт оптический диск.
Для безопасной работы вводятся следующие компоненты программного
обеспечения:
- операционная система MS-DOS 3.3;
- KEYLOCK.SYS (драйвер клавиатуры с блокировкой, а также различные
специальные функции по особому заказу);
- START_D.SYS (драйвер кварцевого диска);
- WORM.SYS (драйвер оптического диска);
- AS.COM (программа проверки; обеспечивает целостность информации);
- KEYSAVE.COM (создает SYSLOG для вводов с клавиатуры);
- KEYLOG.COM (создает распечатку протокола LOG-файла);
- KEYGET.COM (восстанавливает дату после системной аварии);
- HISTORY.COM (восстанавливает стертые или измененные данные).
7. Специальные возможности
Поскольку такого рода комплексная система (по производительности
и емкости памяти - это почти мини-ЭВМ) трудно обозреваема, а
требования к ней со стороны пользователе весьма различны, предлагается,
помимо индивидуальных консультаций, ее комплексная установка по
индивидуальным пользовательским запросам.
Такая установка подразумевает:
- определение системно-значимых данных;
- включение этих данных в процесс тестирования;
- формирование права доступа при системных ошибках;
- восстановление данных или программ в случае ошибки;
- разработку и включение специальных функций по желанию пользователя.
15.7 Что делать, если ЭТО все же произошло ?
Снова и снова обращаются люди с этим вопросом к автору. Общий ответ
на этот вопрос невозможен. Несмотря на то, что распознать начало заражения
вообще чрезвычайно трудно, дальнейшие действия зависят в первую очередь
от значимости оборудования, программы и данных. В экстремальных случаях
одно лишь подозрение в возможном заражении может повлечь за собой
полное выключение оборудования и уничтожение всех данных и программ.
Однако в виду того, что читатель этой книги, как правило, не относится
к владельцам оборудования со столь важными данными, нужно не доводить
дело до таких экстремальных случаев. Предлагаем несколько советов, которые
помогут читателю минимизировать риск распространения вируса. Разумеется
момент, в который необходимо переходить к перечисленным ниже мероприятиям,
определяется самим пользователем и зависит, как уже упоминалось, от
важности собственно вычислительного оборудования и актуальности данных.
Вот двенадцать шагов, которые помогут Вам избежать серьезных последствий:
1. Выключить оборудование (отключить питание).
Таким образом любое дальнейшее распространение вируса прекращается.
Кроме того, удаляются вирусы, резидентные в оперативной памяти.
2. Отсоединить все линии передачи данных, оставив подключенными лишь
необходимые для работы процессора периферийные устройства.
Таким образом можно:
а) исключить возможность распространения "инфекции" за пределами
ЭВМ;
b) перекрыть пути внедрения вирусов в процессор извне;
3. Носители данных, насколько это возможно, снабдить защитой записи.
Для дискеты это означает заклейку прорези, предназначенной для защиты,
для больших дисков (типа Control Data) или для магнитной ленты -
это означает, обычно, выключение тумблера "защита записи". Таким
образом предотвращается дальнейшее распростанение заражения.
4. Использовать для нового запуска оригинальную версию операционной системы.
Так называется полученная с поставкой и, чаще всего, защищенная от
записи дискета (или сменный диск). Резервная копия, смотря по
обстоятельствам, уже может быть зараженной !
5. Данные и программы скопировать на новый носитель данных и опечатать.
Эта информация может помочь при устранении повреждений, поскольку
служит доказательством претензий к виновнику. Кроме того, она может
оказаться чрезвычайно важной в том случае, когда резервная копия
испорчена (вирусом или чем-либо другим). Опечатывание должно воспре-
пятствовать несанкционированному использованию носителя данных.
6. Все старые носители данных системы отформатировать. Вновь удалить
защиту записи и предпринять форматирование. Посредством
форматирования удаляются все, возможно находящиеся на носителе данных,
вирусы.
7. Оригинальную версию программного обеспечения использовать для
восстановления. Для оригинальной версии, которая как правило, защищена
от записи, можно предполагать отсутствие вирусов.
8. Сохраненое состояние данных проверить на целостность. Резервные копии
данных должны быть проверены, чтобы гарантировать, что с ними
не производилось никаких манипуляций (при этом для
данных нет никакой опасности, они могут быть только изменены).
9. Если целостность была установлена, данные переносятся в систему.
Если определенно установлено, что состояние данных не изменялось,
они без всяких сомнений могут быть использованы в дальнейшем.
10. Если целостность не может быть гарантирована, последняя резервная копия,
для которой эта целостность установлена, используется для
реставрации данных. Иногда это может означать, что необ-
ходимо вернуться к очень старым копиям данных.
11. Опечатанные записи программ передаются на исследовательское
оборудование, предназначенное для поиска вирусов, чтобы либо
подтвердить предположение о заражении, либо отказаться от него.
Адреса исследовательских можно получить у автора этой книги.
Распознавание вирусов позволит другим пользователям надежно от
него защититься.
12. Для работы устанавливают тестирующее или защитное программное
обеспечение и тщательнейшим образом тестируют систему.
Каждое необычное изменение в характеристиках вычислительного
оборудования протоколируется и этот протокол передают на соответствующее
исследовательское оборудование.
Эти мероприятия тоже не обещают полной гарантии, но риск
дальнейшего распролстранения может быть ощутимо уменьшен. Особенно важно
каждый вновь обнаруженный вирус каталогизировать с помощью исследовательского
оборудования для того, чтобы своевреммено предупредить о возможной опасности
остальных пользователей.
15.8 Что делать со стандартами ?
Рассмотренная выше опасность, которая вытекает из факта появления
компьютерных вирусов, связана в первую очередь, со стандартизацией ЭВМ.
Вторым условием ее возникновения является сама идея Неймановской ЭВМ,
с ликованием встреченная в 1948 году. До этого момента программы
состояли только из механически изменяемого аппаратного обеспечения в
форме проводниковых связей, которые должны были заново устанавливаться
при перепрограммировании. Помешать решению подобным образом запрограммированной
задачи не смог бы ни один вирус в мире ! Фон Нейман предложил
революционную идею, заменить эти проводниковые связи информацией о них
и хранить их как данные в памяти ЭВМ. По этому поводу д-р Ганцхорн (IBM)
сказал: " Ранние машины-автоматы уже могли выполнять автоматически довольно
много операций. Однако управление ими требовало постоянного изменения внешних
управляющих сигналов или дополнительных управляющих устройств. Основная
идея хранящихся в памяти программ состоит в том, чтобы отобразить эти сигналы
и устройства их преобразования в виде информации. Таким образом,
вычислительная машина, обрабатывающая информацию, имеет возможность
обрабатывать и изменять не только нужную информацию, но и свой
собственный порядок работы, который точно также запоминается в ней в виде
информации."
В момент введения изобретенной вычислительной системы, пожалуй,
никто не предчувствовал,что именно это свойство автомодификации
должно быть проклято системными инженерами и пользователями во
всем мире! Однако до этого момента был еще долгий путь,на
котором могли быть достигнуты все новые уровни производительности.
Читатель мог бы вернуться мысленно на несколько лет назад и вспомнить
"удобную" для эксплуатации вычислительную систему того времени.Если в
такой системе нужно было внести изменение в программу или установить
новую программу,то при использовании перфокарт или перфолент,
для этого необходимо было,смотря по обстоятельствам, от нескольких
часов до нескольких дней. Никакая, даже самая эффективная
вирусная программа была бы не в состоянии сократить
время,необходимое для загрузки или вывода перфокарт или перфолент
с ее текстом.
Только с введением дисковых накопителей стало легко изменять или
разрабатывать новые программы,однако это были задачи,которые были по
силам лишь лучшим инженерам.Затем, создание домашних компьютеров
приблизило знания об операционном и программном обеспечении к
"среднестатистическому" гражданину, однако эти устройства были все еще
слишком громоздкими, и могли потребовать для загрузки одной большой
программы до получаса времени.Кроме того, рынок был затоплен компьютерами с
различными операционными системами, из которых некоторые не заслуживали
имени "операционной", а некоторые и не претендовали на него.
Параллельно с этим разрабатывались персональные компьютеры, к которым
причисляются ЭВМ с операционной системой СР/М. С СР/М случилось
прямо-таки невероятное.Программы, разработанные для ЭВМ фирмы Х,
действительно могли быть запущены в эксплуатацию на ЭВМ фирмы
Y. Предполагалось,что дискетный формат согласуется, что вообще почти
неправдоподобно. Когда же изготовитель действительно останавливался
на СР/М,то дискетные форматы - приблизительно несколько сот - были
настолько различны, что польза от совместимости снова исчезала.
Поскольку емкость в 128 Кб для 8-дюймовых дискет могла быть столь же
обычной (или необычной), что и 800 Кб для 5 -дюймовых дискет, получалось
то,что и должно было получаться,когда ссорятся двое: радуется только третий.
IBM представляла свои ПЭВМ с MS DOS.Хотя MS DOS существенно медленней,
чем СР/M, "Голубой гигант" за несколько лет наводнил рынок.Это означает,
что рынок наводнили ЭВМ c MS DOS, хотя лишь часть из них могла претендовать
на родство с "Big Bluе". Львиная доля ЭВМ поставлялась другими
изготовителями, а между
тем едва ли хоть один изготовитель заявлял в своей в программе создание
IBM-совместимой ЭВМ. В этом обстоятельстве несомненно отчасти виновата
сама IBM, поскольку в концепции ее персональных компьютеров речь
шла об открытой системе. На практике это
означало, что можно было легко использовать имеющиеся в продаже
стандартные модули и предлагать хорошую документацию,так как не
представляло никаких проблем воспроизводить эти устройства.
Только этим можно обьяснить то обстоятельсво, что пользователям
MS DOS оказалось доступным почти безграничное множество программ, и
что эти программы,которые разрабатывались где-либо, может быть даже
на другом континенте, могли устанавливаться и эксплуатироваться
на местных ЭВМ, а потому вирусы могли распространяться среди пользователей
ЭВМ с MS DOS практически беспрепятственно.
Таким образом, требование пользователей могло бы прозвучать
так: "Снова отменить стандарты!" .
Однако очень маловероятно,чтобы такое требование было высказано.
Слишком велики преимущества,которые пользователь получает от
стандартизированной вычислительной системы. Хотелось бы найти дорогу, на
которой можно сохранить преимущества использования стандартного
програмного обеспечения, и, тем не менее, воспрепятствовать засылке
стандартных вирусов.
Первые шаги
Для работающих под управлением MS-DOS систем интерфейс пользовательских
программ с аппаратным обеспечением организуется посредством системы прерываний,
которые для всех ЭВМ, поддерживающих MS-DOS, выполняют одинаковые системные
функции, даже если аппаратное обеспечение различно. В техническом
смысле было бы возможно
оборудовать все ЭВМ различными системами прерываний или даже поставлять
пользователю ЭВМ, позволяющие организовывать собственные системы прерываний.
Такая организация позволила бы все системы сделать непрозрачными. Точно также,
каждое программное обеспечение, разрабатываемое для подобной ЭВМ должно
было бы предлагать возможности согласования с измененной системой прерываний.
Согласование программ или организация новой системы прерываний могли бы выполняться
по внутриаппаратному паролю. Эффект был бы следующий:
Чужие программы можно было бы использовать только после установки
их лицами, знакомыми с паролем. Вместе с тем возможность установки стандартного
программного обеспечения сохраняется. Собственные программы могут разрабатываться
и применяться без этих ограничений. Программные вирусы, которые
заносятся извне, в этом случае столь же мало опасны, как и программы ими
зараженные. Проникновение вирусов, таким образом, возможно лишь с помощью лиц,
знакомых с паролем или тех, кто включает тексты программ-вирусов в
программы, находящиеся в стадии разработки. Следовательно, круг возможных
виновников заражения был бы резко ограничен.
Итак, искусственная несовместимость уже обеспечивает довольно
высокую степень защищенности программного обеспечения. Правда,для реализации
подобного рода концепции необходима была бы совместная работа таких
серьезных разработчиков программного обеспечения, как Mikrosoft и т.п.
Поскольку же действительная готовность разработчиков сотрудничать между собой
ничтожно мала, подобная концепция лучше всего реализуется в рамках одного
предприятия. Разумеется, покупатели программного обеспечения могли бы,
обьединившись, потребовать таких разработок, но и это лишь из области
предположений...
Первым шагом по пути защиты программного обеспечения
можно считать уже упомянутую в 8.2 программу RENAME_BATCH (A.G. Buchmeier).
Сначала все файлы EXE переименовываются в *.XXX. Подобным же
образом поступают с файлами COM (переименовывая их, например,
в *YYY). Таким образом, для нормальной программы-вируса жертв больше
нет. Для запуска этих переименованных программ, нужен небольшой командный
файл, который запускается, например, под именем START.BAT:
echo off
ren %.XXX %.EXE
%1
ren %.EXE %1.XXX
Например, если нужно вызвать WORDSTAR, вводят:
START WS
Этот весьма эффективный с точки зрения трудозатрат метод предлагает уже
достаточно хорошую защиту для пользователя. Разумеется, лишь до тех пор,
пока новые расширения остаются неизвестными. Обратите внимание: для того,
чтобы можно было работать с этим командным файлом, нужно знать
расширения исходных программ (COM или EXE). Эта проблема может быть устранена
посредством небольшого дополнения:
echo off
if exist %1.XXX goto exefile
if exist %1.YYY goto comfile
echo FILE NOT FOUND
goto ende
:exefile
ren %1.XXX %1.EXE
%1
goto ende
:comfile
ren %1YYY %1.COM
%1
ren %1.COM %1.YYY
:ende
Так, посредством создания искусственной несовместимости,
удается несколько сдержать распространение вирусов.
16. Перспективы развития
После всего сказанного возникает естественный вопрос: что делать
делать дальше? Не захлестнет ли волна вирусов наши ЭВМ? Разумеется,
уже сегодня разрабатываются, а в некоторых случаях даже появились на рынке
средства защиты от вирусов. Однако даже самые совершенные защитные
средства не принесут пользы, если опасность не будет осознана каждым
пользователем ЭВМ, заставляя его изменить привычную технику работы с машиной.
Если же все останется также, как было до сих пор, взрыв компьютеной преступности
неминуем.
Однако время приносит не только рост преступлений, реализуемых с помощью
ЭВМ. Растет также число исследований и разработок в области "вирусологии",
правда на сегодня больше в теории, чем на практике.
Автомодифицируемые и авторепродуциремые коды могут открыть
дорогу к новым принципам программирования. Однако раздаются и предупреждения,
в которых также как в отношении генной инженерии, звучит ужас перед
возможной потерей контроля над программами-вирусами.
16.1 Каким видится программное обеспечение будущего ?
Распространение вирулентных программных кодов приводит к радикальным
изменениям в области вычислительных средств. После бума вокруг так называемых
"пакетов защиты" неизбежна мысль о создании защищенного от вирусов
программного обеспечения.
Вирусозащищенность в данном случае означает не только то, что
эти программы должны сопровождаться хорошей документацией, позволяющей
осуществлять контроль на цельность программного обеспечения
и наличие возможных изменений.
Прежде всего в программном обеспечении необходимо отказаться от
нерациональной защиты от копирования и использовать в нем стандартные
программы, осуществляющие самоконтроль программного обеспечения каждый
раз, когда это технически возможно.
О документации
Некоторые виды установки программного обеспечения, особенно того,
которое снабжается защитой тот копирования, требуют такого режима
использования винчестера или рабочих дискет, как если бы изготовители
программных продуктов заплатили за дисководы и носители данных
собственные деньги. Приведем один пример.
Записанная в двух файлах общим объемом 35180 байт программа, имя
которой здесь не будет названо, тем не менее занимает на 360-Кбайтной
дискете 80 Кбайт. Следовательно, на дискете остаются свободными лишь
280 Кбайт памяти. Причину столь удивительного эффекта можно установить
лишь с помощью различных усилий. В действительности на этой дискете
находятся шесть различных файлов, относящихся к данной программе.
Такие структуры программ (естественно, не отраженные в руководстве
пользователя) не слишком затрудняют создателя вирусов, который найдет,
куда "пристроить" свой вирус.
Хорошая документация должна содержать и исходные коды поставляемых
программ. Автор уже слышит возмущенные голоса производителей
программного обеспечения, для которых жизненно важно сохранить в тайне
исходные коды своих программ. Но и покупатели и законодатели настойчиво
требуют изменить сложившуюся практику поставок ПО.
Покупатели могут доверять программам лишь в той мере, в которой они
доверяют разработчикам программы. Поскольку пользователь, как правило,
не знаком с программистом, он вынужден довериться совершенно чужим
людям. В какой другой области коммерсанты столь легковерны?
Законодатели должны потребовать четкого определения защиты авторских
прав разработчиков программного обеспечения, чтобы разработчики были
застрахованы от его тиражирования в тех случаях, когда он поставляет
вместе с программным продуктом его исходный код.
О защите от копирования
Очевидно, что вышеописанные программные структуры характерны не
только для одной, но и для целого класса программ c защитой от копирования.
Наряду с замаскированными файлами эти программы, как правило, создают на
жестком диске или дискете пару дефектных блоков: этот не совсем порядочный
по отношению к пользователю способ необходим только для размещения файлов,
которые нужно замаскировать.Разработчики программного обеспечения часто
относятся по отношению к аппаратуре клиента так, как будто она их собственная!
Для сравнения читатель может представить себе покупку нового легкового
автомобиля в рамках арендного контракта: в день получения автомобиля
продавец здоровенной кувалдой делает мощную вмятину на капоте, для того,
как он поясняет, чтобы Вы не смогли тайком перепродать этот автомобиль!
Вообще говоря, защита от копирования для честного покупателя не нужна:
купив оригинальную программу Вы больше не нуждаетесь в копировании ворованой,
если же Вы достали программу каким-то другим образом, Вам нет необходимости
покупать оригинал. В лучшем случае владение похищенной программой может
привести к покупке оригинальной из-за желания получить комплект
соответствующей документации и соответствующую поддержку поставщика.Разумеется,
если поставщик предлагает Вам такую же поддержку, как и похититель, т.е.
никакой, он не смеет жаловаться на похитителя! На самом деле имя
разработчика означает больше, чем право на продажу программ, но это понимают
далеко не все.
О самозащите
Чтобы предотвратить манипуляции с программным обеспечением и данными,
необходимо иметь в распоряжении стандартные программы, которые в состоянии
распознавать и указывать пользователю на:
a) изменения программного обеспечения на носителе данных;
b) изменения программного обеспечения в оперативной памяти.
Хорошей основой для этого может послужит закодированная программа,
что весьма сложно сделать "наружнему"(т.е. находящемуся вне фирмы) специалисту,
и которая распознает структуру программ и тем самым затрудняет нежелательное
манипупулирование. Здесь необходимо еще раз подчеркнуть, что механизмы защиты,
включаемые в программное обеспечение лишь затрудняют манипуляции, но не
могут полностью устранить их!
16.2 Надежно защищенный путь к ЭВМ
Времена, когда можно было, надев белый халат, проникнуть в святая святых
любого вычислительного центра, давно миновали. Сегодня, почти каждый серьезный
пользователь эксплуатирует свою собственную область ЭВМ как "черный
ящик" (closed shop). Сотрудники допускаются к работе c помощью специальных
блокирующих устройств только в том случае, если они располагают
соответствующими удостоверениями (чаще всего в форме электронной или
магнитной карты). При этом для каждого очевидно, что моменты начала и
окончания заботы протоколируются. Однако даже электронные или магнитные
карты имеют такой же недостаток, что и механические замок и ключ: они слепо
повинуются владельцу. Любой, кто владеет ими считается, с точки
зрения аппаратуры электронной блокировки, имеющим право быть допущенным
к ЭВМ. Новейшие разработки все более и более переходят к тому, чтобы распознавать
неизменяемые признаки конкретной личности для контроля доступа к ЭВМ. Эти,
так называемые биометрические, данные либо с большим трудом, либо вовсе
никак не поддаются копированию. К биометрическим данным относятся, например:
- фотография или изображение;
- отпечаток пальца;
- образец рисунка кожи;
- образец голоса;
- геометрия руки.
Этот тип защиты, разумеется, может значительно снизить риск вмешательства
извне. Право на доступ в этом случае становится
"неотьемлемым" в буквальном смысле, как неотьемлем чемоданчик с деньгами,
прикованный цепью к запястью банковского посыльного. На последствиях попытки
несанкционированного доступа при таком типе защиты в данном случае мы останавливаться
не будем.
С технической точки зрения более простым способом защиты, чем
идентификация биомеханических данных несомненно является комбинация
числового кода и магнитной карты. Этот способ более совершенен, чем защита
с помощью "только ключа". Способ, разумеется, предполагает некоторые интеллектуальные
усилия со стороны персонала. Каждый служащий должен быть в
состоянии по меньшей мере в течение "; часов удерживать в голове
комбинацию из 4-5 цифр. Те, для кого это требование покажется невыполнимым,
могут воспользоваться номером своей чековой книжки.
Для реализации этого способа контроля в настоящий момент есть все необходимое.
Итак, какие вообще задачи должны выполняться посредством контроля доступа?
1) Контроль доступа должен гарантировать, что во время рабочего
времени в помещении вычислительного центра находятся только лица,
имеющие право на это (вне рабочего времени специальное оборудование блокирует
доступ к ЭВМ).
2) В самом вычислительном центре всегда должны находиться как минимум
два человека одновременно.
3) Все действия должны в обязательном порядке протоколироваться.
4) Любой внос или вынос носителей с программами и данными должны быть
запрещен.
Для того, чтобы добиться выполнения перечисленных требований, внутри
предприятия образуют специальные зоны. Эти зоны образуются примерно следующим
образом:
1) Открытые зоны
(улица,подходы и подьезды к зданию)
- никакой охраны
2) Открытые зоны предприятия
(вестибюль, земельные участки предприятия, стоянка)
- охранное наблюдение (визуальный и видео- обзор)
3) Зоны работы персонала
(бюро, конференц-залы)
- охрана с помощью швейцара, ключа или магнитной карты
4) Зона обеспечения ЭВМ
(помещения для программирования, обработки бумаг)
- охрана, обьединяющая в тех или иных соотношениях все,
перечисленное в пункте 3, и/или с соблюдением принципа
"четырех глаз"
5) Зона собственно ЭВМ
(аппаратное обеспечение ЭВМ, архив данных, обеспечение защиты)
- охрана, в зависимости от реализованного по пункту 4. По мень-
шей мере такая же.
6) Зона жизнеобеспечения центра
(основные магистрали питания, телефонный коммутатор)
- доступ только с сопровождающим.
Эта, теоретически достаточно хорошо продуманная структура и соответ-
ствующие мероприятия на практике зачастую доводятся персоналом до абсурда.
Например, в том случае, когда один сотрудник попадаетв какую-нибудь зону,
не используя свою магнитную карту, вместе с другим сотрудником. Потом
аппаратура не пропускает "лишнего" сотрудника. Тогда он, чтобы удовлетворить
требование защитной аппаратуры, сначала регистрирует свой приход, фактически
давно уже совершенный, и только затем - уход. Разумеется и в этом случае есть
возможность усовершенствования, которое повлечет за собой еще более жесткий
контроль за сотрудниками. К примеру, проход в зону можно контролировать еще и
по весу, чтобы одновременно мог пройти лишь один человек. Однако такие усовершенствования
определенно не направлены на улучшение рабочего клима
...Закладка в соц.сетях
