Аудит сети. Понятие и система

Активное развитие технологий в области передачи данных, выход на рынок новых бизнес-приложений и интеграция IT инфраструктуры с системами безопасности всё чаще вызывают несостоятельность ИТ систем у предприятий малого и среднего бизнеса. В моменты, когда можно зарабатывать еще больше за счет открывающихся возможностей, владельцы бизнеса сталкиваются с необходимостью модернизации IT инфраструктуры. Порой улучшение в работе корпоративной сети может дать покупка нового оборудования, а иногда помогает изменение сетевой топологии. В обоих случаях рекомендуется сперва провести профессиональный аудит своей IT инфраструктуры. Как показывает практика, аудит корпоративной сети довольно часто запрашивается владельцем бизнеса еще и с целью проверки деятельности своей IT службы или системного администратора.

Что представляет из себя технический аудит IT инфраструктуры?

Технический аудит корпоративной сети - это её комплексная проверка с выдачей заключения о качестве работы IT инфраструктуры. В заключении содержится подробная информация о параметрах работы сети, сведения о выявленных проблемах и узких местах, где необходима модернизация. Завершается оно конкретными рекомендациями по улучшению качества работы корпоративной сети.

Т.Е. владелец бизнеса получает объективную оценку состояния IT инфраструктуры и может подходить к вопросу дальнейших инвестиций более конструктивно.

В ходе аудита удается получить ответы на следующие вопросы и задачи:

• Выполнение ревизии компьютерной техники;
• Оценка действий сотрудников IT службы и других отделов;
• Выявление причин роста затрат на трафик в Интернете;
• Обнаружение проблем сетевой безопасности;
• Тестирование пропускной способности корпоративной локальной сети.

В ходе аудита проверяется работа структурированной кабельной системы и проводится обследование локальной сети вместе с активным сетевым и компьютерным оборудованием.

Давайте рассмотрим состав обследуемого оборудования более подробно. В ходе аудита проверяются:

В ходе проверки СКС оценивается корректность укладки кабелей, качество обжатия коннекторов, температура в серверных помещениях и т.п. Параллельно с этим аудиторы оценивают деятельность штатной IT службы на предмет профессионализма в их действиях. Отслеживается уровень информационной безопасности серверов и Wi-Fi сети , а также определяется топология корпоративной сети.

Из каких этапов состоит аудит корпоративной локальной сети?

Технический аудит состоит из трех основных этапов: подготовка, обследование и выдача рекомендаций Заказчику.
Давайте рассмотрим, как происходит процесс подготовки. После заключения договора и внесения предоплаты определяется область проведения обследования (составляется список исследуемых объектов). В сотрудничестве с руководством Заказчика осуществляется сбор необходимых для обследования данных (проектная документация по СКС, понимание структуры сети и пр.). Завершается подготовка после составления программы предстоящих работ.

• Интервьюирование или анкетирование сотрудников организации, которые включены в работу IT подсистем;
• При помощи специального программного обеспечения , которое устанавливается на рабочих станциях и серверах, составляется структурная схема корпоративной сети. Попутно собираются данные о конфигурации компьютеров, серверов и сетевого оборудования. Фактически проводится инвентаризация компьютерной техники;
• Исследование журналов системных событий на серверах и рабочих станциях;
• Проводится мониторинг работы и состояния активного сетевого оборудования;
• Проводится исследование сетевой безопасности и определяется уровень защиты от проникновений из Интернета;
• Оцениваются перспективы развития ИТ инфраструктуры в компании.

На основании данных, которые были получены в ходе обследования, формируется сводная таблица параметров рабочих станций. Кроме неё создается схема размещения и работы сетевого оборудования, где подробно описывается работа каждого порта.
Таким образом, анализ складывается из совокупности программных тестов и оценок IT инфраструктуры со стороны аудиторов.

Аудит локальной сети – это процесс, направленный на поиск уязвимостей элементов ЛВС с целью их выявления и устранения. В рамках данной процедуры осуществляется полная комплексная диагностика, предназначенная для сбора достоверной информации о корректности работы каналов связи, серверного оборудования, рабочих станций и основных сетевых сервисов. Если не выполнить аудит локальной сети компании, то в будущем это может быть причиной весьма серьезных проблем, связанных не только с эффективностью документооборота, но и безопасностью хранения конфиденциальных данных. Обычно данный процесс состоит из трех этапов, внутреннего, внешнего и сканирования ЛВС. Однако наиболее важным из них является последний, так как именно на этом этапе проводится ИТ аудит локальной сети, связанный с поиском уязвимостей, которые могут быть использованы для несанкционированного вторжения из внешней системы и кражи с серверов информации, представляющей корпоративную тайну.

Аудит локальной сети

Аудит локальной сети позволяет эффективно выявить даже самые мелкие “бреши”, которые могут отрицательным образом сказываться на безопасности корпоративной системы, а также мешать пользователям при ежедневной работе. Так, например, если Вы заметили, что с ЛВС периодически происходят странные вещи, такие как внезапное отключение одной или нескольких рабочих станций или систематическое зависание сервера, то это верный сигнал о том, что Вам требуется, как можно быстрее выполнить аудит локальной сети компании. Мы имеем многолетний опыт проведения данных мероприятий, в которые входит:

• Предварительная диагностика ЛВС при первичном осмотре
• Составление подробного план-графика и сметы на запланированные работы
• Обнаружение кабельных трас и портов для последующей маркировки
• Проведение тестирования в области безопасности и топологии системы
• Доскональная проверка работы всего активного оборудования

Аудит локальной сети компании

Помимо документирования процессов, аудит локальной сети компании позволяет проверить насколько хорошо было выполнено создание ЛВС. Это позволяет владельцам получить реалистичную картину того, насколько эффективно были израсходованы все средства, выделенные на формирование вычислительной системы. В случае, если аудит локальной сети компании покажет, что интегратор допустил просчеты на этапе внедрения, у Вас появится возможность срочно их устранить без финансовых проблем. Проверка имеет большое значение, так как монтажные работы обычно выполняются не специализированными предприятиями.

В работе ЛВС возникают неполадки? Отсутствует документация? Требуется выполнить проверку корректности монтажных работ после переезда? Аудит локальной сети компании решит все эти проблемы. Специалисты проведут мониторинг системы, после чего предоставят Вам подробный отчет, содержащий все выявленные ошибки и уязвимости, а также рекомендации по устранению!

Современный бизнес просто не может нормально развиваться без выхода в интернет и передачи данных на большие расстояния. Но вместе с ростом скорости производственных процессов, повышается и вероятность кражи конфиденциальных данных. Аудит локальной сети компании позволяет выявить слабые места в топологии ЛВС и предупредить появление происшествий. Во время данной процедуры сканируется каждый узел и компьютер системы, благодаря чему удается выявить незначительные уязвимости.

Цена аудита локальной сети

На аудит локальной сети цена определяется исходят из суммарного количества рабочих станций в системе, топологии ЛВС и часов, затраченных специалистом на проведение мероприятий по диагностике. Также определяющим фактором может являться наличие подробной документации, в которой должны быть указаны все особенности сетевой инфраструктуры. Наличие данного материала существенно ускорит деятельность специалистов, благодаря чему на аудит локальной сети цена изменится в меньшую сторону. Однако всегда стоит помнить, что стоимость данных работ, в независимости от их сложности и масштаба, существенно ниже возможного ущерба от взлома корпоративной системы и кражи данных с серверов.

После того, как аудит локальной сети компании будет полностью окончен, и все рекомендации переданы клиенту, мы можем предложить Вам услуги по регулярному обслуживанию компьютерного парка, поставке оборудования или проведению разовых доработок и исправлений несоответствий в функционировании ЛВС. В большинстве случае сотрудничество с нами значительно выгоднее наличия штатного специалиста или системного администратора для проведения таких работ, как аудит локальной сети. В данном случае, Вы платите исключительно за диагностику, благодаря чему повышается эффективность от вложенных средств.

Заказать аудит локальной сети

Заказать аудит локальной сети компании является эффективной проверкой, целью которой является формирование точного представления о качестве функционирования корпоративной системы. В него входит подробная информация о параметрах работы ЛВС, сведения о выявленных брешах в защите информационной системы, а также узлах и компонентах, которым срочно требуется модернизация. В результате, если решено заказать аудит локальной сети, руководство получает достоверную и объективную оценку безопасности системы для принятия решений о необходимости и размере будущих инвестиций, которые необходимо сделать для улучшения эффективности и защищенности инфраструктуры.

Рассмотрим пример аудита сети на предмет сбора сведений о структуре, выявлении уязвимости, получения учётных данных пользователей.

На большинстве предприятий организации защиты сетевой инфраструктуры оставляет желать лучшего. Наличие в сети беспроводных точек доступа лишь упрощает проникновение в сеть, стоит только злоумышленнику подключить свой компьютер в свободную розетку, как скорее всего он получит всё необходимое...

Итак, приступим: подключаемся через любой доступный метод (в нашем случае для наглядности методов был произведён брутфорс wifi). Проникновение не стало серьёзной проблемой т.к. пароли в офисах часто ставятся понятные для персонала и относительно легко запоминающиеся, в нашем случае было именно так. После получения сетевого адреса выяснить адреса серверов DHCP и DNS не составляет труда. Следующим шагом было сканирование нужного диапазона сети и выявление компьютера администратора сети. Отметим основные признаки, по которым можно судить, что данный компьютер системного администратора:

1. Название машины (Admin, root, или похожие по смыслу);
2. Использование Linux в качестве операционной системы;
3. Использование красивых ip-адресов (172.16.100.100 10.10.10.10 и т.д.);
4. Характерные открытые порты.

В данном случае быстрый осмотр имён компьютеров не дал желаемого результата: в сети было много машин на основе разных платформ, насколько подсетей. Тем не менее, компьютер администратора сети был выявлен Lesno-v. Выяснилось это при помощи утилиты сканера портов Nmap. Согласитесь что у обычного пользователя не будут открыты ssh, vnc, web-vnc, webmin, rdp, и что самое подозрительное это порт 5190:). Узнав адрес машины 192.168.0.6 начинаем прослушку пакетов. Для данной цели была использована атака MitM (Man in the Middle) Для реализации такой атаки необходим так называемый ARP-spoofing. Суть его в следующем:

Когда админ лезет почитать руборд, его компьютер кричит на всю сеть - кто тут знает, в какой стороне руборд? Обычно шлюз отвечает "я знаю". Суть ARP-spoofing в том, что компьютер злоумышленника тоже начинает отвечать, что он знает где руборд и компьютер админа ему верит. В итоге все пакеты админа идут через компьютер атакующего на шлюз и дальше в интернет. По такой же цепочке пакеты возвращаются к компу админа. Соответственно все учетные данные в открытом или шифрованном виде проходят через атакующий компьютер. Кстати, это одна из самых популярных атак в банковских сетях. Итак посмотрим сто получится... запускаем backtrack. Идем в меню, находим утилиту Ettercap и запускаем ее. В меню утилиты выбираем Unified sniffing и указываем наш сетевой интерфейс (обычно eth0 или eth1).После чего указываем, какой компьютер атаковать (Select target). Указываем ip адрес вот так /192.168.0.6/ . Если нужен диапазон, то вот так /192.168.0.2-16/ Выбираем в меню Start Sniffing, теперь сканируем хосты с помощью меню Scan for hosts. Выбираем тип атаки ARP poisoning. После чего в появившемся окне ставим флажок sniff remote connections и нажимаем Start mitm attack. Открываем список соединеий (Connections) И ждем. Как только админ отправит учетные данные на подключение к чему либо, мы сразу это увидим.

После непродолжительного ожидания мы выявили необходимы нам данные. Админ решил зайти на mail.ru и судя по названию на корпоративную почту. Как видите, после проникновения в сеть получение критичных к распространению данных - лишь вопрос времени. Давайте рассмотрим плюсы и минусы такой атаки и методы защиты.

Плюсы:

1. Работает практически всегда, не зависит от типа ОС;
2. Если подменить сертификат можно получить данные из SSL трафика;
3. Не зашифрованные данные ловятся моментально;
4. Некоторые зашифрованные протоколы можно отловить при обмене ключами, например, протокол управления удалённым рабочим столом RDP.

Минусы:

1. Позволяет прослушивать сеть до первого роутера. У роутера свои ARP-таблицы и проскочить через него с этим типом атаки в другую подсеть будет очень проблематично, но как правило на предприятиях один роутер;
2. В случае шифрованных данных показывает hash, который приходится ломать перебором по словарям;
3. При установленных VPN подключениях вообще ничего не показывает. Так и должно быть.

Все действия были проведены с предварительного разрешения управляющей компании. Не применяйте данный метод у себя в локальной сети, администраторы Вашей сети могут быть подготовлены к таким действиям и успеют разогреть паяльник до того как поднимутся к Вам в кабинет:)

Теперь о главном - меры предосторожности:

1. Шифрование данным асимметричными ключами, передача и обмен ключами только по надёжным каналам;
2. Обязательное использование фаерволлов на клиентских компьютерах;
3. Пристальное внимание к централизованному управлению политиками безопасности;
4. Использование VPN каналов.

Цель аудита сети - анализ уязвимостей компонентов автоматизированных систем (таких как сервера баз данных, межсетевые экраны, маршрутизаторы, сервера приложений, терминальные, почтовые, WEB, рабочие станции) с целью устранения этих уязвимостей, оптимизации и повышения надежности.

Аудит локальной сети - это комплексная диагностика платформы функционирования информационной системы и ее составной части - компьютерной сети с целью локализации дефектов и «узких мест», характеризующих общее состояние, а также дающее возможность оценить количественные характеристики и качество обслуживания.

В рамках технического аудита сети проводится комплекс работ, позволяющих сделать достоверные выводы о производительности и исправности серверов, рабочих станций, активного оборудования, каналов связи локальной и распределенной сети, каналов связи с Internet (качество услуг ISP), а также о качестве работы основных сетевых сервисов (WEB, SQL, SMTP).

Для чего нужен аудит ЛВС

Многие организации производят стыковку своих сетей с общественными сетями передачи данных (Public Data Networks), в частности с Internet. В связи с этим обеспечение безопасности передаваемой и хранимой информации требует все больших усилий.

Кроме того, безопасность информации напрямую зависит и от надежности работы самой сети, поэтому неудивительно, что все меньше остается предприятий, желающих строить сети кустарным способом. Большинство их доверяют проектирование и построение сетей специализированным фирмам. Это дает возможность предприятию получить грамотно реализованную компьютерную сеть, но, конечно, не гарантирует безопасности информации. Для этого необходимо осуществлять специальные организационно-технические меры.

При правильном использовании возможностей аудита можно без дополнительных финансовых затрат существенно повысить безопасность информации в имеющейся компьютерной сети.

Аудит ЛВС целесообразно проводить в следующих случаях:

1. перед модернизацией сети, если Вы хотите спроектировать новую сеть на основе объективных «цифр», а не на основе «субъективных ощущений» администратора сети

2. чтобы установить истину, когда одна сторона утверждает, что виновата сеть, а другая сторона, что виноваты прикладные программы

3. после модернизации сети, чтобы убедиться, что сеть была спроектирована адекватно требованиям ТЗ, например, если системный интегратор при сдаче сети заказчику не проводил ее комплексное тестирование (а проверил, например, только качество кабельной системы)

4. при запуске нового программного обеспечения, когда необходимо установить является ли существующая сеть приемлемой технически и/или субъективно, для функционирования нового комплекса

5. при возникновении подозрений в утечке трафика и несанкционированного доступа к ресурсам локальной сети Заказчика

6. для оценки качество сервиса. Например, чтобы убедиться, что ISP выполняет взятые на себя обязательства по качеству предоставляемого сервиса (производительности канала, его доступности и т.п.)

7. при передаче функций администрирования локальной сети другому лицу или организации.

Что входит в аудит локальных вычислительных сетей

Внутренний аудит ресурсов локальной сети:

Изучение особенностей аппаратных и программных ресурсов рабочих станций и серверов локальной сети Заказчика

Состояние носителей информации, их отказоустойчивость

Наличие систем резервного копирования информации

Анализ распределения прав доступа и возможностей получения информации из публичных или удалённых сетей

Сканирование локальной компьютерной сети заказчика

Сканирование позволяет выявить уязвимости, которые есть в сети, даст четкую картину того, что видит взломщик при атаке на компьютеры или сеть.

Любой узел, предоставляющий какой-нибудь сервис, не может быть на 100% защищен. Если компьютер уязвим, то уязвимость в какой-то момент времени может быть использована. Даже наиболее сложные системы безопасности могут иметь «дыры» и аудит системы безопасности с внешней стороны является наилучшим способом обнаружить это.

Сканирование включает более 1000 тестов для ОС UNIX, Windows и активного сетевого оборудования. Некоторые тесты называются «сбор информации» и они производятся для того, чтобы показать, что постороннее лицо может узнать о вашем компьютере. Остальные тесты проверяют уязвимость систем, производиться сканирование на наличие известных «дыр».

Каждый компьютер сканируется на наличие открытых портов, и пользователи будет знать, какие из запущенных сервисов видны и уязвимы для хакерских атак.

Сканирование не наносит вреда, так как «разрушительные» действия не предпринимаются.

При сканировании риск минимизируется, избегается перегрузка сети или превышение максимума пропускной способности сети.

Однако не стоит считать сканирование панацеей от всех бед. Эти работы ни в коем случае не заменяют полного комплекса мер по обеспечению режима безопасности. Они всего лишь помогают быстро проверить сотни узлов, в т.ч. и находящихся на других территориях.

Они помогут обнаружить практически все известные уязвимости и порекомендовать меры, их устраняющие. Они автоматизируют этот процесс, а с учетом возможности описания своих собственных проверок, помогут эффективно применять их в сети любой организации, учитывая именно вашу специфику.

Надо помнить, что сканер - это всего лишь часть эффективной политики безопасности сети, которая складывается не только из применения различных технических мер защиты (средств анализа защищенности, систем обнаружения атак, межсетевых экранов и т.п.), но и из применения различных организационных и законодательных мер.

Внешний аудит, тестирование на проникновение

Выявление в предоставленных для исследования Интернет-ресурсах Заказчика уязвимостей и определение их уровня.

В случае обнаружения уязвимостей, Исполнитель предоставляет документальные доказательства возможности компрометации, искажения, уничтожения критичной информации Заказчика в предоставленных для исследования Интернет-ресурсах Заказчика;

На основании результатов проведенных работ Заказчик сможет:

Определить эффективность защиты критичной информации от несанкционированного доступа через Интернет

Устранить существующие уязвимости принадлежащих Заказчику Интернет-ресурсах

Уменьшить риск несанкционированной компрометации, искажения, уничтожения критичной информации Заказчика со стороны глобальной компьютерной сети Интернет

Результаты аудита локальных вычислительных сетей

В результате проведения обследования Заказчик получает:

Перечень выявленных уязвимостей (слабых мест) в настройках оборудования, сетевых сервисов, операционных систем, прикладного программного обеспечения

Подробное описание каждой обнаруженной уязвимости, ее расположение и оценка возможных последствий ее использования злоумышленниками

Рекомендации по нейтрализации уязвимостей (снижению возможного ущерба от их использования злоумышленниками), изменению конфигурации и настроек компонент АС, используемых защитных механизмов, установке необходимых обновлений (patches, hot-fixes) установленного программного обеспечения и т.п.

Технический Аудит Сети - это комплексная проверка сети, результатами которой являются:

1. письменное заключение о качестве работы сети:

Информация о характеристиках работы сети

Дефектах

Процедура АУДИТА

Технический аудит ЛВС проводят специалисты компании СЦ Компьютерные системы.

Результаты технического аудита позволяют руководителям компаний:

Объективно оценить соответствие ИТ требованиям бизнеса

Провести анализ выявленных недостатков и упущений

Обосновать потребность в инвестициях в управленческую деятельность

Прогнозировать развитие ситуации и надежно управлять ею

Эффективно планировать развитие ИТ-структуры организации

Осознавать выгоды и риск при внесении изменений в информационную систему

Прогнозировать возникновение проблемных ситуаций (проблем и инцидентов)

Обосновано решать проблемы информационной безопасности и контроля деятельности

Аргументированно приобретать или модернизировать аппаратно-программные средства

Принимать своевременное решение о приобретении технических услуг (outsourcing)

Проводить планомерное повышение квалификации сотрудников ИТ-подразделений

Управлять ИТ-составляющей бизнес-проектов (контролировать время и стоимость их реализации, оценивать полноту достижения целей).

Протоколирование - это сбор и накопление информации о событиях, происходящих в информационной системе в процессе ее функционирования.

Аудит - это анализ накопленной информации, проводимый оперативно или периодически (например, один раз в день).

Реализация протоколирования и аудита в системах защиты преследует следующие основные цели:

Обеспечение подотчетности пользователей и администра­торов;

Обеспечение возможности реконструкции последователь­ности событий;

Обнаружение попыток нарушения информационной без­опасности;

Предоставление информации для выявления анализа проблем.

Принцип работы систем обнаружения нарушения информа­ционной безопасности заключается в том, что отслеживаются аномалии сетевого трафика. Отклонения в большинстве случаев являются признаком сетевой атаки. Например, нетипичная длина сетевого пакета, неполная процедура установления соедине­ния - все эти критерии фиксируются системами обнаружения атак (СОВ). У данного способа обнаружения атак был и остается один существенный недостаток - он имеет дело с уже свершив­шимися событиями, т.е. с уже реализованными атаками. Знания о совершенных несанкционированных действиях позволяют предотвратить повторение этих действий.

Примеры вопросов

1. Протоколирование действий пользователей дает возможность:

Решать вопросы управления доступом;

Восстанавливать утерянную информацию;

Обеспечивать конфиденциальность информации;

реконструировать ход событий при реализации угрозы безопас­ности информации?

2. Сетевой аудит включает:

Выборочный анализ действий пользователей в сети;

Протоколирование действий всех пользователей в сети;

Анализ всех действий пользователей в сети;

Анализ безопасности каждой новой системы (как программной, так и аппаратной) при ее инсталляции в сеть?

Экранирование

Экран контролирует информационные потоки между узлами сети. Контроль потоков состоит в их фильтрации с выполнением некоторых преобразований.

Фильтрация информационных потоков осуществляется межсетевыми экранами на основе набора правил, определяемых политикой безопасности организации. Межсетевые экраны про­изводят логический анализ получаемой информации. При этом учитываются содержание информации, порт, через который по­ступил сетевой запрос, и т.д.

Примеры вопросов

1. Какое средство наиболее эффективно для защиты от сетевых
атак:

использование сетевых экранов, или Firewall;

Посещение только «надежных» интернет-узлов;

Использование антивирусных программ;

Использование только сертифицированных программ-браузеров при доступе к сети Интернет?

2. Принципиальное отличие межсетевых экранов (МЭ) от систем обнаружения атак (СОВ) заключается в том, что:

Принципиальных отличий МЭ от СОВ нет;

МЭ работают только на сетевом уровне, а СОВ - еще и на физическом;

МЭ были разработаны для активной или пассивной защиты, а СОВ - для активного или пассивного обнаружения;

МЭ были разработаны для активного или пассивного обнару­жения, а СОВ - для активной или пассивной защиты?

Шифрование

Различают два основных метода шифрования: симметричный и асимметричный. В первом из них один и тот же ключ (хранящийся в секрете) используется и для шифрования, и для расшифровки данных. Во втором используются два ключа. Один из них несе­кретный (он может публиковаться вместе с адресом пользовате­ля), используется для шифрования сообщения, другой, секретный (известный только получателю) - для расшифровки.

Криптография необходима для реализации трех сервисов безопасности: шифрования; контроля целостности и аутенти­фикации.

Пример вопроса

Криптографическое преобразование информации - это:

Ограничение доступа;

Резервное копирование;

Использование системы паролей;

шифрование?

Электронная подпись

Электронная цифровая подпись (ЭЦП) - реквизит электронного до­кумента, предназначенный для защиты данного электронного до­кумента от подделки, полученный в результате криптографического преобразования информации с использованием закрытого ключа электронной цифровой подписи и позволяющий идентифициро­вать владельца сертификата ключа подписи, а также установить отсутствие искажения информации в электронном документе.

Алгоритм шифрования подписи должен определять секретный ключ пользователя, известный только владельцу ключа. Алгоритм проверки правильности подписи должен определять открытый ключ пользователя, известный абонентам-получателям. При та­ком подходе воспользоваться подписью может только владелец ключа, а проверить ее подлинность - любой абонент, которому передан открытый ключ, путем дешифрования сообщения этим ключом.

Пример вопроса

1. Электронно-цифровая подпись позволяет:

удостовериться в истинности отправителя и целостности сообще­ния;

Восстанавливать поврежденные сообщения:

Пересылать сообщение по секретному каналу;

Зашифровать сообщение для сохранения его секретности.

Антивирусная защита

Классификация вирусов. Компьютерный вирус - это программа, способная к самостоятельному размножению и функциони­рованию, и имеющая защитные механизмы от обнаружения и уничтожения. В настоящее время известно более 5000 программ­ных вирусов, которые можно классифицировать по различным признакам.

В зависимости от среды обитания вирусы подразделяются на сетевые, файловые и загрузочные.

Сетевые вирусы распространяются по различным компью­терным сетям.

Файловые вирусы инфицируют главным образом исполняемые файлы с расширениями СОМ и ЕХЕ.

Загрузочные вирусы внедряются в загрузочный сектор диска (Boot-сектор) или в сектор, содержащий программу загрузки системного диска.

По способу заражения вирусы делятся на резидентные и не­резидентные.

Резидентные вирусы при заражении компьютера помещаются в оперативную память. Они перехватывают обращения опера­ционной системы к объектам заражения (файлам, загрузочным секторам дисков и т.п.) и внедряются в них.

Нерезидентные вирусы не заражают память компьютера и являются активными ограниченное время.

По особенностям алгоритма вирусы трудно классифицировать из-за большого разнообразия, можно лишь выделить основные типы:

вирусы-репликаторы (черви) распространяются по ком­пьютерным сетям, вычисляют адреса сетевых компьютеров и
записывают по этим адресам свои копии. Вирусы-черви не изменяют содержимое файлов, однако они очень опасны, так как
уменьшают пропускную способность сети и замедляют работу серверов;

вирусы-невидимки (стеле-вирусы) очень трудно обнаружи­ваются и обезвреживаются, так как они перехватывают обраще­ния операционной системы к пораженным файлам и секторамдисков и подставляют вместо своего тела незараженные участки диска;

вирусы-мутанты содержат алгоритмы шифровки-расшифровки, благодаря которым копии одного и того же вируса
не имеют ни одной повторяющейся цепочки байтов;

квазивирусные, или «троянские», программы не способны к самораспространению, но очень опасны, так как, маскируясь под
полезную программу, разрушают загрузочный сектор и файловую систему дисков или собирают на компьютере информацию, не
подлежащую разглашению.

Основными путями проникновения вирусов в компьютер являются съемные диски (гибкие и лазерные), а также ком­пьютерные сети. Заражение жесткого диска вирусами может произойти при загрузке программы с носителя информации, содержащего вирус.

Основные признаки появления вирусов:

Медленная работа компьютера, частые зависания и сбои;

Исчезновение файлов и каталогов или искажение их со­держимого;

Изменение размера, даты и времени модификации фай­лов;

Значительное увеличение количества файлов на диске;

Уменьшение размера свободной оперативной памяти;

Вывод на экран непредусмотренных сообщений или звуковых сигналов.

Примеры вопросов

1. Вирусы распространяются:

При чтении файла;

при выполнении исполняемого файла;

При создании файла;

При копировании файла?

2. Основным путем заражения вирусами по сети является:

HTML-документ;
. SMS;

почтовое сообщение;

Сообщения с Интернет-пейджера?

3. Вирусы по способу заражения среды обитания подразделяются:

На растровые - векторные;

На резидентные - нерезидентные;

На физические - логические;

Па цифровые - аналоговые?

4. Файловые вирусы поражают:

Аппаратную часть компьютера;

Оперативную память;

Системные области компьютера;

программы на внешних носителях памяти?

5. Сетевые черви - это:

Программы, которые изменяют файлы на дисках и распростра­няются в пределах компьютера;

Программы, распространяющиеся только при помощи электронной почты через Интернет;

программы, которые не изменяют файлы на дисках, а распространяются в компьютерной сети, проникают в операционную систему компьютера, находят адреса других компьютеров или
пользователей и рассылают по этим адресам свои копии;

Вредоносные программы, действия которых заключается в создании сбоев при питании компьютера от электросети?

6. Троянской программой является:

Программа, проникающая на компьютер пользователя через Интернет;

вредоносная программа, которая сама не размножается, а выдает себя за что-то полезное, тем самым пытаясь побудить пользо­вателя переписать и установить на свой компьютер программу
самостоятельно;

Программа, вредоносное действие которой выражается в уда­лении или модификации системных файлов компьютера;

Программа, заражающая компьютер независимо от действий пользователя?

7. Заражение компьютерным вирусом не может проявляться как:

вибрация монитора;

Изменение даты и времени модификации файлов;

Замедление работы компьютера;

Появление на экране непредусмотренных сообщений?

Классификация антивирусных программ. Антивирусные про­граммы подразделяются на несколько видов: детекторы, доктора (фаги), ревизоры, доктора-ревизоры, фильтры и вакцины (им-мунизаторы).

Программы- детекторы позволяют обнаруживать файлы, за­раженные одним из известных вирусов. Эти программы проверяют файлы на указанном пользователем логическом диске на наличие в них специфической для данного вируса комбинации байтов. При ее обнаружении в каком-либо файле на экран выводится соответствующее сообщение. Большинство программ-детекторов имеют режимы лечения или уничтожения зараженных файлов. Программы-детекторы, как правило, не способны обнаруживать в памяти компьютера «невидимые» вирусы.

Программы-ревизоры запоминают сведения о состоянии си­стемы (до заражения), после чего на всех последующих этапах работы программа-ревизор сравнивает характеристики программ и системных областей дисков с исходным состоянием и сооб­щает пользователю о выявленных несоответствиях. Как правило, сравнение состояний производится сразу после загрузки опера­ционной системы. При сравнении проверяются длина файла, контрольная сумма файла, дата и время последней модификации. Многие программы-ревизоры могут отличать изменения в фай­лах, сделанные пользователем, от изменений, вносимых вирусом, так как вирусы обычно производят одинаковые изменения в разных программных файлах.

Программы-доктора, или фаги - программы, которые не только обнаруживают зараженные файлы и системные области дисков, но и «лечат» их в случае заражения. Вначале своей работы фаги ищут вирусы в оперативной памяти, уничтожают их, после чего переходят к «лечению» файлов. Среди фагов можно выделить полифаги, т.е. программы-доктора, предназначенные для поиска и уничтожения большого количества вирусов.

Программы-фильтры, или «сторожа» располагаются в опе­ративной памяти компьютера и перехватывают обращения к операционной системе, которые могут использоваться вирусами для размножения и нанесения вреда программной среде:

Попытки коррекции загрузочных файлов;