Покарання за поведінку

Михайло Брод

Чим загрожує поява на комп'ютері вірусів, знає кожен. Багато стикалися з спробами проникнення на свій комп'ютер ззовні, коли він підключений до Інтернету. Можливо, хтось стикався і програмами, які були "підкинути" на комп'ютер і фіксували всю інформацію, що набирає на клавіатурі - так звані "програми-шпигуни". Для запобігання подібних явищ ставляться антивірусні програми, файервол, що програми, які виявляють настирлива реклама та інші програмні засоби, що захищають ваш комп'ютер. Але всі ці програми засновані на одному принципі - захист від уже відомих шкідливих проявів.

Антивірусні програми перевіряють файли на основі своїх довідкових баз і алгоритмів, заснованих на пошуку вже відомих сигнатур. Файєрвол захищають від атак, які описані і закладені в їхній алгоритм пошуку. Аналогічним чином діють і програми, вишукують рекламу, шпигунів, припиняють інші проникнення на комп'ютер. І майже ніхто не ризикує заявити про те, що розроблене компанією програмне забезпечення готове запобігти проникненню ще не відомих вірусів або захистити від ще не відомих атак. Ніхто, крім компанії StarForce.

Ця компанія є експертом в області захисту ігор, освітнього, розважального і ділового програмного забезпечення від копіювання і злому. Компанія займається розробкою комплексу рішень по захисту інтелектуальної власності. А деякий час тому вона оголосила про випуск абсолютно нового програмного продукту - Safe'n'Sec. Ця програма - додаток до вже що є на комп'ютері засобів захисту, таким, як антивірусні, файервол і інші програми. В її основу покладено принцип превентивного захисту (або, як її називають розробники, проактивного) та виявлення шкідливого коду. Ці принципи використовують аналіз поведінки програм, особливо - підозрілих проявів такої поведінки. Це дозволяє контролювати і аналізувати активність додатків на комп'ютері користувача і запобігати шкідливі дії.

Алгоритми, використані в програмі, забезпечують низький рівень помилкових спрацьовувань і дуже рідко вимагають втручання користувачів для захисту комп'ютера. Програма спокійно "уживається" з вже встановленими на комп'ютері засобами захисту (в моєму випадку вона встановлена і працює паралельно з anti-DrWeb і файерволом Agnitum Outpost). При цьому ніяких протиріч в їх роботі не виявляється.

Основна програма призначена для відстеження ненормальною активності програм і програм, які можуть проявлятися при роботі на комп'ютері. До таких дій можна віднести будь-які спроби виконати запис даних до реєстру або змінити їх, видалити системні файли або змінювати ті, що не повинні змінюватися без дозволу користувача. При цьому зовсім неважливо, що за програма намагається це зробити, отже, відстеження подібних проявів не залежить від того, чи виконує ці дії вже відоме як шкідливого програму або вірус, або невідоме. Програма Safe'n'Sec буде припиняти дії навіть цілком "пристойних" програм, які можуть виконувати подібні дії.

Так, програма видає попередження при кожному запуску поштового клієнта The Bat!, попереджаючи про те, що "додаток Kernel32.dll намагається зареєструватися на автоматичний запуск при старті системи. Це порушує політику безпеки. Дія потенціонально небезпечно. Ви можете заборонити або дозволити як виконання цієї дії, так і всю активність додатки. " А в поясненні мовиться, чому видано таке попередження - багато шкідливі програми змінюють значення ключа реєстру. У відповідь на це попередження можна встановити, яку дію потрібно зробити в даній ситуації - дозволити його або заблокувати. При цьому можна вибрати і варіанти -- застосувати вибраний результат реагування лише до активного дії, або до будь-якої аналогічної активності, виконувати перевірку при кожному запуску програми, в даній сесії або одноразово.

Такі попередження можна отримувати і до того моменту, як користувач зареєструється в системі - адже паразити не обов'язково будуть чекати моменту реєстрації, щоб починати свою "підривну" діяльність. Для того, щоб користувач міг отримувати попередження до своєї реєстрації, потрібно встановити відповідну опцію в настройках програми. Якщо ця опція відключена, будь-яка шкідлива активність, що виявилася до реєстрації користувача в системі, буде заблокована (дія за замовчуванням). Проте немає повної впевненості в тому, що не буде прийнято за шкідливу активність дію будь-якої корисної програми, без якої система буде функціонувати неправильно.

Після установки програми вона готова до роботи. Але тільки модуль, який відповідає за пошук шкідливого коду і захист від нього, захист від нових вірусів і хакерських атак. Для того, щоб перевірити файли на "зараженість" вірусами, потрібно встановити додаток - базу даних сигнатур відомих вірусів, для чого використовуються дані від провідних виробників антивірусних програм. Всі параметри захисту від відомих вірусів, нових шкідливих програм і хакерских атак в Safe'n'Sec об'єднані в рівні безпеки. Користувачу не потрібно настроювати захист, досить вибрати той рівень безпеки, який йому підходить. Так, наприклад, у період вірусних епідемій рекомендується вибрати самий високий рівень безпеки. Він забезпечить максимальний захист даних на комп'ютері користувача.

Але основне завдання програми Safe'n'Sec - захист даних на комп'ютері від невідомих на поточний момент погроз і вразливостей. Захист від нових загроз і вразливостей включає в себе три етапи:

Контроль - Постійний моніторинг будь-якої активності на комп'ютері користувача: запуск/зупинка сервісів, робота встановлених на комп'ютері програм, дії користувача і т.д.

Аналіз - Дослідження та обробка послідовності виконуваних додатками дій.

Висновок - Прийняття рішення щодо шкідливості програми на підставі аналізу дій.

Два першого етапу спираються на політики контролю активності, що визначають, що саме контролювати і як аналізувати. Висновок про шкідливість програми виносить інтелектуальний аналізатор. При ухваленні рішення використовується інформація про дії, виконаних додатком, і їх послідовності. Результатом прийняття рішення є статус, який присвоюється контрольованому додатком. Для аналізу стану системи і активності додатків використовуються спеціальні алгоритми та методики, що забезпечують високу швидкість прийняття рішення щодо програми. Аналізатор виносить висновок про підозрілу активності того чи іншого додатка, підставою для чого є набір і послідовність виконуваних цієї програми дій. Небезпечні з точки зору програми програми блокуються ще до того, як вони зможуть завдати шкоду або порушити працездатність комп'ютера. Залежно від обраного рівня безпеки та інших налаштувань, програма автоматично блокує або пропускає дії програми, або видає запит користувачеві для прийняття рішення ім.

Safe'n'Sec забезпечує не тільки контроль активності, але і пошук небезпечного коду у вже розміщених на комп'ютері файлах. Для цього є окрема опція, що вбудовується також в Провідник Windows. Якщо цю функцію запускати з меню програми, то пошук буде вестися на всіх локальних дисках. Через меню Провідника можна перевірити будь-який окремо взятий розділ, вибравши опцію "Пошук шкідливого коду ". Рівень перевірки встановлюється в панелі налаштування - вибираючи один з трьох можливих варіантів, частковий, строгий і повний. При частковому рівні перевіряються тільки потенційно небезпечні файли - виконувані модулі, і файли, змінені з моменту останнього оновлення баз. При повній перевірці додатково перевіряються потенційно заражає файли, архіви і поштові бази.

Всі дії програми повинні протоколюватися, але в поточній версії ця можливість не реалізована. До протоколу записується тільки дії з файлами, в яких виявлено вірус чи шкідливий код (знову ж таки є три варіанти дій - пропуск такого файлу, приміщення в карантин і видалення). Але при цьому не відзначається, що ж виявлено у тому чи іншому файлі. І тут, у поточній версії програми, також є недоробка - при приміщенні в карантин файлів з однаковими іменами, більш пізній затирає попередній. Ще одна недоробка -- після переміщення в карантин поштової бази програми The Bat!, він стає невідновні. (Розробники обіцяли розібратися з цими недоліками до найближчого оновлення програми.) І не реалізовано поки протоколювання всіх виявлених підозрілих дій, що виконуються на комп'ютері. А без цього вкрай складно проаналізувати джерела і походження загроз.

Safe'n'Sec підтримує автоматичні оновлення через Інтернет. Це непогано - можна буде своєчасно отримувати нові дані. А ось як працювати з довіреними і забороненими програмами - незрозуміло. У документації сказано, що програма "використовує списки довірених і заборонених застосувань, але ніде не йдеться і відсутній в інтерфейсі можливість роботи з такими списками.

Загальний висновок. Програма може бути використана як додатковий засіб захисту від невідомих погроз, але не потрібно принаймні на поточному етапі відмовлятися від звичних антивірусних програм і файерволів.

Список літератури

Для підготовки даної роботи були використані матеріали з сайту http://www.softkey.info/