Антивирусы сторожа — это антивирусные программы, выполняющие фильтрацию данных с целью обнаружения вирусов.
Введение
Под компьютерным вирусом понимается вредоносная программа, которая может причинить вред информационным данным, размещённым на компьютере, или просто сделать компьютер неработоспособным.
Как правило, вирус попадает в компьютер незаметно для пользователя, который даже не подозревает о таком проникновении. Такие проникновения осуществляются, обычно, при открытии ссылки в интернете, которая заражена вирусами. При этом вирусный файл переписывается на компьютер в фоновом режиме. Также заражённые ссылки могут быть в письмах, полученных по электронной почте, различных чатах, социальных сетях и так далее.
Антивирусные программы, основой которых является фильтрация информации и которые иначе называются ещё сторожами, выдают пользователю сообщение о подозрительных действиях на его компьютере. Например, если вредоносная программа вознамерится выкрасть пароль и переслать его какому-либо хакеру, программа-сторож обнаружит это действие и задаст вопрос: «Выдать запрет или разрешение на эту операцию?». Следует заметить, что использование защиты от вирусов такого типа потребует от пользователя некоторых навыков. Не все пользователи досконально знают, что означает та или иная операция. Есть вероятность заблокировать, к примеру, обновление операционной системы или других полезных приложений. Но антивирусные программы, работающие как фильтры, всё-таки существуют почти на всех персональных компьютерах и именуются брандмауэрами. Это стандартная программа-сторож, встроенная в операционную систему. Если она не удовлетворяет все потребности пользователя, то следует обратиться к другим специализированным программам.
Антивирусы сторожа
Под антивирусными программами фильтрации или сторожами понимаются резидентные программы, выдающие сообщения пользователю о любых подозрительных действиях. Например, это может быть попытка какого-либо приложения записать что-то на диск или даже отформатировать его. Если обнаружен подозрительный объект, который собирается выполнить подозрительные действия, на монитор выдаётся запрос на запрет или разрешение этой операции. То есть принцип действия таких программ базируется на блокировке (перехвате) основных векторов прерываний и запросе дальнейших действий. Преимуществом программ-сторожей относительно программ-детекторов является их универсальный принцип работы как с уже известными, так и с вновь появившимися вирусными вложениями. Программы-детекторы могут блокировать только уже известные разработчикам на текущий момент вирусы.
К достоинствам антивирусных программ-сторожей можно отнести:
- Эффективное противодействие вирусам, которые способны мутировать.
- Способность отследить вирусы-трояны.
К недостаткам программ фильтрации (сторожей) относятся:
- Неспособность отследить вирусы, которые работают напрямую с BIOS, а также вирусы, которые активизируются ещё при загрузке, то есть до пуска антивирусной программы.
- Довольно сложная процедура применения.
Подозрительными или подпадающими под контроль программы-сторожа, считаются следующие действия:
- Попытка модифицировать главную загрузочную запись или загрузочные записи логических дисков.
- Попытка записи информации с использованием абсолютной адресации.
- Попытка форматирования диска низкого уровня.
- Попытка оставить в оперативной памяти резидентный модуль и другие действия.
Подобно программам-ревизорам, сторожа тоже частенько бывают крайне «навязчивыми», что вызывает некоторые трудности и помехи при работе пользователя. Резидентный монитор извещает пользователя в случае попытки какой-нибудь программы выполнить следующее:
- Модифицировать сектор загрузки жёсткого диска или исполняемый файл.
- Сохранить в оперативной памяти резидентный модуль.
Резидентный монитор осуществляет контроль следующих операций:
- Перезапись, попытки обновить программные файлы и системные зоны дисков.
- Процедуру форматирования диска.
- Расположение в оперативной памяти программ в качестве резидентных.
Эти действия сопровождаются запросом на их запрет или разрешение. Как отмечалось уже выше, основополагающим принципом работы программ-сторожей является перехват необходимых векторов прерываний.
Практически все резидентные мониторы имеют возможность в автоматическом режиме выполнять проверку всех запускаемых программ на инфекции уже известными вирусами, то есть фактически осуществлять сканерные функции. Такие проверки, естественно, отнимают какое-то время, что замедляет операцию загрузки программы, но при этом появляется уверенность в недоступности для известных вирусов пользовательского компьютера. Но следует заметить, что резидентные мониторы обладают всё же рядом недостатков, которые сводят такой вид антивирусных программ к малопригодным для применения. Есть много программных приложений, которые не содержат вирусов, но на их работу откликается резидентный монитор. К примеру, простая команда LABEL может менять информацию в секторе загрузки, что вызовет реакцию монитора. То есть пользовательская работа всё время останавливается вызывающими раздражение посланиями программы-сторожа. И пользователю необходимо каждый раз принимать решение и определять, чем вызвано каждое сообщение, вирусом или нет. Из практики известно, что с течением времени пользователь устаёт реагировать и выключает резидентный монитор. К недостаткам резидентных мониторов также можно отнести то, что эта программа всё время находится в оперативной памяти, чем сокращает её реальный доступный размер.
В процессе установки отдельных резидентных антивирусов-сторожей возможно появление конфликтов с другими резидентными программами, которые применяют те же вектора прерываний и поэтому просто не работают.
