Muhammad al-xozazmiy nomidagi toshkent axborot texnologiyalari universiteti kiberxavfsizlik asoslari kafedrasi

Antivirus dasturlari viruslar evolyutsiyasi.



Antivirus dasturlari viruslar evolyutsiyasi bilan parallel ravishda rivojlandi. Viruslarni yaratishning yangi texnologiyalari paydo bo'lishi bilan antivirus mahsulotlarini ishlab chiqishda qo'llaniladigan matematik apparatlar murakkablashdi.
Birinchi antivirus algoritmlari benchmark bilan taqqoslashga asoslangan edi. Biz virusni klassik yadro tomonidan ma'lum bir niqob yordamida aniqlaydigan dasturlar haqida gapiramiz. Algoritmning g'oyasi statistik usullardan foydalanishdir. Niqob, bir tomondan, fayl hajmi maqbul hajmda bo'lishi uchun kichik bo'lishi kerak, boshqa tomondan, noto'g'ri pozitivlardan qochish uchun etarlicha katta bo'lishi kerak ("do'st" "begonalik" sifatida qabul qilinganda va aksincha).
Ushbu printsip asosida qurilgan birinchi antivirus dasturlari (polifag skanerlari deb ataladigan) bir qator viruslarni bilishgan va ularni davolay olgan. Ushbu dasturlar quyidagicha yaratilgan: ishlab chiquvchi virus kodini olgan (virus kodi dastlab statik edi), ushbu kod yordamida noyob niqob tuzdi (10-15 bayt ketma-ketligi) va uni antivirus dasturining ma'lumotlar bazasiga kiritdi. Antivirus dasturi fayllarni skanerdan o'tkazdi va agar berilgan baytlar ketma-ketligini topsa, fayl infektsiyalangan degan xulosaga keldi. Bu ketma-ketlik (imzo) shunday tanlanganki, u noyob bo'lib, odatiy ma'lumotlar to'plamida uchramaydi.
Ta'riflangan yondashuvlar ko'pchilik antivirus dasturlari tomonidan 90-yillarning o'rtalariga qadar, o'z tanasini oldindan aytib bo'lmaydigan algoritmlarga ko'ra o'zgartiradigan birinchi polimorf viruslar paydo bo'lgunga qadar ishlatilgan. Keyin imzo usuli protsessor emulyatori bilan to'ldirildi, bu aniq doimiy imzoga ega bo'lmagan shifrlangan va polimorfik viruslarni topishga imkon beradi.
Protsessorni emulyatsiya qilish printsipi rasmda ko'rsatilgan. bitta. Agar odatda shartli zanjir uchta asosiy elementdan iborat bo'lsa: CPU®OS®Program, u holda protsessorga taqlid qilishda bunday zanjirga emulyator qo'shiladi. Emulyator, xuddi ma'lum bir virtual makonda dastur ishini takrorlaydi va uning asl tarkibini qayta tiklaydi. Emulyator har doim to'xtatishga qodir dasturning bajarilishi, o'z harakatlarini kuzatib boradi, har qanday narsa buzilishining oldini oladi va virusga qarshi skanerlash mexanizmini chaqiradi.
90-yillarning o'rtalarida paydo bo'lgan va barcha antiviruslar tomonidan qo'llaniladigan ikkinchi mexanizm evristik tahlil... Gap shundaki, tahlil qilinayotgan dastur tomonidan bajarilgan harakatlarning siqishini olish imkonini beruvchi protsessor emulyatsiyasi qurilmasi har doim ham ushbu amallarni qidirishga imkon bermaydi, balki ba'zi tahlillarni o'tkazish va gipotezani ilgari surishga imkon beradi. "virusmi yoki virus emasmi?"
Bunday holda, qaror qabul qilish statistik yondashuvlarga asoslanadi. Va tegishli dastur evristik analizator deb ataladi.
Ko'payish uchun virus har qanday aniq harakatlarni bajarishi kerak: xotiraga nusxa ko'chirish, sektorlarga yozish va hokazo. Evristik analizator (u antivirus dvigatelining bir qismidir) bunday harakatlar ro'yxatini o'z ichiga oladi, dasturning bajariladigan kodini ko'rib chiqadi, nima qilayotganini aniqlaydi va shu asosda qaror qabul qiladi. bu dastur virus yoki yo'q.
Shu bilan birga, virusga qarshi dasturga noma'lum bo'lgan virusni yo'qotish foizi juda kichik. Bu texnologiya hozirda barcha antivirus dasturlarida keng qo'llaniladi.

2.