Что такое современный антивирус?
Антивирус в традиционном понимании — это программа для обнаружения, идентификации и устранения вирусов с компьютера или другого устройства.
Эволюция компьютерных вирусов происходила в том же направлении и с теми же темпами, что и развитие технологий обмена информацией. Большая часть вирусов написана под Microsoft Windows — самую популярную операционную систему в мире. Вслед за распространением интернета и мобильных устройств, киберпреступники ринулись в эти сферы и ожидаемо получили массу новых возможностей для атак, слежки и кражи личных данных пользователей. Но, как известно, на любое действие найдётся противодействие. Принцип работы антивирусных программ претерпел значительные изменения с момента их появления в конце 80-х годов. А борьба с вирусописателями вышла на новый уровень.
Строго говоря, классических вирусов, заражающих исполняемые файлы ОС и создающих свои копии в разных отделах диска, уже нет. Зато есть много других вредоносных программ (malware): трояны, черви, руткиты, эксплойты, шпионы, ботнеты, бэкдоры, рекламные приложения (один из самых распространенных видов) и другие.
Получается, что слово «антивирус» тоже не совсем корректное. Сегодня антивирусные программы работают не просто как сканеры, ищущие вирусы на диске. Теперь это многофункциональное комплексное решения для защиты от киберугроз на всех уровнях.
Типы антивирусного ПО
Сканеры. После запуска сканируют файловую систему и ОЗУ (оперативную память) ПК и нейтрализуют найденные вирусы.
Мониторы (сторожа). Отслеживают запускаемые на компьютере процессы в реальном времени.
Полифаги. Наиболее эффективные, универсальные решения. Сканируют запускаемые файлы и загрузочные секторы жестких дисков на предмет появления новых вирусов.
Блокировщики. Могут обнаружить компьютерный вирус на ранней стадии заражения ПК (при его записи в загрузочный сектор жесткого диска).
Ревизоры. Создают базу сведений о параметрах файлов и контролируют их изменение. Не могут находить вирусы в новых файлах, так как не имеют о них данных в своей базе.
Блокировщики часто входят в BIOS (Basic Input-Output system – базовая система ввода/вывода, которая хранится на микросхеме материнской платы). Полифаги наиболее «тяжеловесные», они занимают много места на диске и «съедают» большой объем оперативной памяти.
Разновидности защит
В зависимости от типа угрозы (известная или неизвестная конкретному ПО) антивирус может осуществить проактивную или реактивную защиту:
Проактивная защита (эвристика). Защита от неизвестных вирусов, основанная на изучении кода и поведения программ, характерных для вредоносного ПО. Такой тип защиты показывает лучший результат при борьбе с модифицированными вирусами. За основу принимаются данные об уже существующих угрозах.Эвристика в антивирусном контексте — набор правил, которые используются для обнаружения действий вредоносных программ без необходимости определения конкретной угрозы.
Реактивная защита (вирусная сигнатура). Защита от уже известных вирусов, основанная на информации о коде и остальных особенностях вредоносного ПО. Для максимально эффективной работы такие антивирусы должны постоянно обновлять свои базы данных вирусных сигнатур.Защита, основанная на вирусных сигнатурах подразумевает обращение к словарю с уже известными вирусами, которые составили разработчики антивирусного ПО.
Главный недостаток проактивной защиты — так называемые «ложные срабатывания», частые блокировки незараженного программного обеспечения. Минус реактивной защиты — невозможность защититься от новых угроз. В современном антивирусном ПО используется и проактивная, и реактивная защита.
Как только антивирус обнаруживает вредоносный код, он может выполнить следующие действия (в зависимости от настроек пользователя):
Попытаться «вылечить» зараженный файл, убрав из него вредоносный код.
Отправить инфицированный файл в карантин. Актуально для ценных пользователю файлов. Находясь в карантине, зараженный файл не сможет навредить ПК; позже его можно вылечить самостоятельно или с помощью сторонних специалистов.
Удалить зараженный файл. Если исправить код не удалось, файл можно безвозвратно удалить с жесткого диска.
Не выполнять никаких действий. Если предполагается, что файл был помечен как «вредоносный» по ошибке, можно добавить этот файл в список исключений антивируса.
Монитор. Отслеживает все манипуляции с файлами в режиме реального времени. Находит и обезвреживает вредоносное ПО до того, как оно успевает инфицировать систему.
Проактивная защита или HIPS. Анализирует в реальном времени поведение всех запущенных программ и файлов в системе. Выявляет нежелательную активность и вредоносные программы, включая эксплойты.
Файервол. Контролирует входящий трафик для защиты устройства от несанкционированного вторжения из локальной сети или интернета. Фильтрует подозрительный исходящий трафик. Этот модуль может выпускаться как отдельное ПО. Помните, что автоматический режим работы файервола не является оптимальным, поэтому лучше настраивать правила для программ и серверов.