Лекции Беликова. Лекции БЕЛИКОВОЙ Н.В.. Конспект лекций по дисциплине Информационная безопасность для специальности 080505 Управление персоналом

• Название: Конспект лекций по дисциплине Информационная безопасность для специальности 080505 Управление персоналом
• Анкор: Лекции Беликова
• Дата: 17.11.2020
• Размер: 1.25 Mb.
• Имя файла: Лекции БЕЛИКОВОЙ Н.В..doc
• Тип: Конспект лекций; #151366
• страница: 11 из 14

4.4 Методы антивирусной защиты информационных систем

Сегодня вроде бы никого не надо убеждать в необходимости построения антивирусной защиты любой более-менее ответственной информационной системы. По оценкам западных аналитиков, ежегодный общемировой ущерб от проникновения вирусов, червей, троянских коней и прочей программной "живности" составляет от 8 до 12 млрд долларов. Достаточно вспомнить, как в 2001 году весь мир был захвачен вирусом "IloveYou" (ущерб - 2 млрд долларов, затем "отличилась" Nimda (ущерб - до 1 млрд долларов) и т.д. И творцы вирусов не сидят, сложа руки: по различным оценкам, ежедневно в мире неизвестные умельцы создают от 2 до 10 новых вирусов! В условиях, когда компьютерные системы становятся основой бизнеса, а базы данных - главным капиталом многих компаний, антивирусная защита прочно встает рядом с вопросами общей экономической безопасности организации. Особенно эта проблема актуальна для банков, по сути дела являющихся хранителями весьма конфиденциальной информации о клиентах и бизнес которых построен на непрерывной обработке электронных данных. Кража, уничтожение, искажение информации, сбой и отказ компьютерных систем - вот те проблемы, которые несут с собой вирусы и вирусоподобные программы.

4.4.1 Понятие о видах вирусов

К вредоносным программам (иначе называемым разрушающими программными воздействиями) относятся компьютерные вирусы и программные закладки. Впервые термин компьютерный вирус ввел в употребление специалист из США Ф. Коэн в 1984 г.

Компьютерным вирусом называют автономно функционирующую программу, обладающую одновременно тремя свойствами:

• способностью к включению своего кода в тела других файлов и системных областей памяти компьютера;

• последующему самостоятельному выполнению;

• самостоятельному распространению в компьютерных системах.

Компьютерные вирусы классифицируются по следующим признакам.

1. По способу распространения в КС:

a) файловые вирусы, заражающие файлы одного или нескольких типов;

b) загрузочные вирусы, заражающие загрузочные сектора жестких дисков и дискет;

c) комбинированные вирусы, способные заражать и файлы, и загрузочные сектора дисков.

2. По способу заражения других объектов КС:

a) резидентные вирусы, часть кода которых постоянно находится в оперативной памяти компьютера и заражает другие объекты КС;

b) нерезидентные вирусы, которые заражают другие объекты КС в момент открытия уже зараженных ими объектов.

3. По деструктивным возможностям:

a) безвредные вирусы, созданные в целях обучения, однако снижающие эффективность работы КС за счет потребления ее ресурсов (времени работы центрального процессора, оперативной и внешней памяти и др.);

b) неопасные вирусы, создающие различные звуковые и видеоэффекты;

c) опасные и очень опасные вирусы, вызывающие сбои в работе программного и (или) аппаратного обеспечения компьютера, потерю программ и данных, а потенциально — вывод из строя аппаратуры КС и нанесение вреда здоровью пользователей (с помощью, например, эффекта двадцать пятого кадра).

4. По особенностям реализуемого алгоритма:

a) вирусы-спутники, создающие для заражаемых файлов одноименные файлы с кодом вируса и переименовывающие исходные файлы (при открытии зараженного файла фактически открывается файл с кодом вируса, в котором после выполнения предусмотренных автором действий открывается исходный файл);

b) паразитические вирусы, которые обязательно изменяют содержимое заражаемых объектов;

c) вирусы-невидимки («стелс»-вирусы), в которых путем перехвата обращений операционной системы к зараженным объектам и возврата вместо них оригинальных незараженных данных скрывается факт присутствия вируса в КС (при собственном обращении к дисковой памяти вирусы-невидимки также используют нестандартные средства для обхода средств антивирусной защиты);

d) вирусы-призраки (полиморфные вирусы), каждая следующая копия которых в зараженных объектах отличается от предыдущих (не содержит одинаковых цепочек команд за счет применения шифрования на различных ключах базового кода вируса).

5. По наличию дополнительных возможностей:

a) по обработке атрибута «только чтение» заражаемых файлов;

b) сохранению времени последнего изменения зараженного файла;

c) обработке прерывания, вызванного неисправимой ошибкой устройства ввода-вывода (например, для подавления сообщения операционной системы об ошибке при попытке заражения объекта на защищенном от записи устройстве или объекта, доступ к которому по записи для текущего пользователя запрещен; вывод подобного сообщения может обнаружить присутствие вируса в КС);

d) распространению в КС не только при открытии уже зараженного объекта, но и при выполнении любой операции с ним.

Кто и почему пишет компьютерные вирусы? Одной из главных причин, безусловно, является наличие достаточного количества квалифицированных программистов, обладающих избытком свободного времени и не отягощенных морально-этическими нормами. Развитие рынка информационных технологий в конкретном государстве или регионе, очевидно, должно способствовать сокращению в нем количества потенциальных авторов вирусов, поскольку облегчает получение ими хорошо оплачиваемой работы и уменьшает их время досуга.

Другая причина появления компьютерных вирусов и вредоносных программ вообще является гораздо более серьезной и объективно постоянной. Разработка, внедрение и распространение вредоносных программ стало неотъемлемой частью современного информационного оружия, которое, в свою очередь, явилось порождением различных информационных войн между конкурирующими государствами, коммерческими организациями, общественно-политическими группами и т.п. Очевидно, что эти причины появления вредоносных программ будут иметь место на протяжении весьма длительного периода времени.

4.4.2 Программные закладки

Программной закладкой называют внешнюю или внутреннюю по отношению к атакуемой компьютерной системе программу, обладающую определенными разрушительными функциями по отношению к этой системе:

• уничтожение или внесение изменений в функционирование программного обеспечение КС, уничтожение или изменение обрабатываемых в ней данных после выполнения некоторого условия или получения некоторого сообщения извне КС («логические бомбы»);

• превышение полномочий пользователя с целью несанкционированного копирования конфиденциальной информации других пользователей КС или создания условий для такого копирования («троянские» программы);

• подмена отдельных функций подсистемы защиты КС или создание люков в ней для реализации угроз безопасности информации в КС (например, подмена средств шифрования путем эмуляции работы установленной в КС платы аппаратного шифрования);

• перехват паролей пользователей КС с помощью имитации приглашения к его вводу или перехват всего ввода пользователей с клавиатуры;

• перехват потока информации, передаваемой между объектами распределенной КС (мониторы);

• распространение в распределенных КС с целью реализации той или иной угрозы безопасности информации (компьютерные черви, которые в отличие от компьютерных вирусов не должны обладать свойством включения своего кода в тела других файлов) и др.

Для отнесения конкретной программы к разряду программных закладок достаточно, чтобы данная программа обладала хотя бы одним из следующих свойств:

• скрытие признаков своего присутствия в КС («зачем Вы прячетесь — ведь за Вами никто не гонится»);

• реализация самодублирования, ассоциации себя с другими объектами КС, перенос своего кода в не занимаемые ранее области оперативной или внешней памяти;

• искажение кода других программ в оперативной памяти компьютера;

• сохранение данных, размещенных в оперативной памяти, в других ее областях;

• искажение, блокировка, подмена сохраняемых (передаваемых) данных, полученных в результате работы других программ или уже находящихся во внешней памяти.

4.4.3 Проблема выбора антивирусной программы

Какой антивирус самый лучший? Любой, если на вашем компьютере вирусы не водятся и вы не пользуетесь вирусоопасными источниками информации. Если же вы любитель программ, игрушек, ведете активную переписку по электронной почте и используете при этом Word или обмениваетесь таблицами Excel, то вам все-таки следует использовать какой-либо антивирус. Какой именно — решайте сами, однако есть несколько позиций, по которым различные антивирусы можно сравнить между собой.

Качество антивирусной программы определяется, на мой взгляд, по следующим позициям, приведенным в порядке убывания их важности.

1. Надежность и удобство работы — отсутствие зависаний антивируса и прочих технических проблем, требующих от пользователя специальной подготовки.

2. Качество обнаружения вирусов всех распространенных типов, сканирование внутри файлов документов/таблиц (MS Word, Excel, Office 97), упакованных и архивированных файлов. Отсутствие "ложных срабатываний". Возможность лечения зараженных объектов. Для сканеров (см. ниже), как следствие, важной является также периодичность появления новых версий, т. е. скорость настройки сканера на новые вирусы.

3. Существование версий антивируса под все популярные платформы (DOS, Windows, Windows 95, Windows NT, Novell NetWare, OS/2, Alpha, Linux и т. д.), присутствие не только режима "сканирование по запросу", но и "сканирование на лету", существование серверных версий с возможностью администрирования сети.

4. Скорость работы и прочие полезные особенности, функции, "припарки" и"вкусности".

Надежность работы антивируса является наиболее важным критерием, поскольку даже абсолютный антивирус может оказаться бесполезным, если он будет не в состоянии довести процесс сканирования до конца — повиснет и не проверит часть дисков и файлов и, таким образом, оставит вирус незамеченным в системе. Если же антивирус требует от пользователя специальных знаний, то он также окажется бесполезным, большинство пользователей просто проигнорируют сообщения антивируса и нажмут ОК либо Cancel случайным образом, в зависимости от того, к какой кнопке ближе находится курсор мыши в данный момент. Ну а если антивирус будет чересчур часто задавать сложные вопросы рядовому пользователю, то, скорее всего, он (пользователь) перестанет обращаться к такому антивирусу или даже удалит его с диска.

Качество детектирования вирусов стоит следующим пунктом по вполне естественной причине: антивирусные программы потому и называются антивирусными, что их прямая обязанность — ловить и лечить вирусы. Любой самый "навороченный" по своим возможностям антивирус бесполезен, если он не в состоянии ловить вирусы или делает это не вполне качественно. Например, если антивирус не детектирует 100% какого-либо полиморфного вируса, то при заражении системы этим вирусом такой антивирус обнаружит только часть (допустим, 99%) всех зараженных на диске файлов. Необнаруженными останется всего 1%, но когда вирус снова проникнет в компьютер, то антивирус опять обнаружит 99%, но уже не от всех файлов, а только от вновь зараженных. В результате на диске будет заражено уже 1,99% файлов. И так далее, пока все файлы на диске не будут заражены при полном молчании антивируса.

Поэтому качество детектирования вирусов является вторым по важности критерием "качества" антивирусной программы, более важным, чем мно-гоплатформность, наличие разнообразного сервиса и т. д. Однако если при этом антивирус с высоким качеством детектирования вирусов вызывает большое количество ложных срабатываний, то его уровень полезности резко падает, поскольку пользователь вынужден либо уничтожать незараженные файлы, либо самостоятельно производить анализ подозрительных файлов, либо привыкает к частым ложным срабатываниям — перестает обращать внимание на сообщения антивируса и в результате пропускает сообщение о реальном вирусе.

Многоплатформность антивируса является следующим пунктом в списке, поскольку только программа, рассчитанная на конкретную ОС, может полностью использовать функции этой системы. "Неродные" же антивирусы часто оказываются неработоспособными, а иногда даже разрушительными. Например, вирус OneHalf поразил компьютер с установленными на нем Windows 95 или Windows NT. Если для расшифровки диска (данный вирус шифрует секторы диска) воспользоваться DOS-антивирусом, то результат может оказаться плачевным: информация на диске будет безнадежно испорченной, поскольку Windows 95/NT не позволит антивирусу пользоваться прямыми вызовами чтения/записи секторов при расшифровке секторов. Антивирус же, являющийся Windows-программой, справляется с этой задачей без проблем.

Возможность проверки файлов на лету также является достаточно важной чертой антивируса. Моментальная и принудительная проверка приходящих на компьютер файлов и вставляемых дискет является практически 100%-ной гарантией от заражения вирусом, если, конечно, антивирус в состоянии детектировать этот вирус. Очень полезными являются антивирусы, способные постоянно следить за "здоровьем" серверов — Novell NetWare, Windows NT, а в последнее время, после массового распространения макровирусов, и за почтовыми серверами, сканируя входящую/исходящую почту. Если же в серверном варианте антивируса присутствует возможность антивирусного администрирования сети, то его ценность еще более возрастает.

Следующим по важности критерием является скорость работы. Если на полную проверку компьютера требуется несколько часов, то вряд ли большинство пользователей будут запускать его достаточно часто. При этом медленность антивируса совсем не говорит о том, что он ловит вирусов больше и делает это лучше, чем более быстрый антивирус. В разных антивирусах используются различные алгоритмы поиска вирусов, один алгоритм может оказаться более быстрым и качественным, другой — медленным и менее качественным. Все зависит от способностей и профессионализма разработчиков конкретного антивируса.

Наличие дополнительных функций и возможностей стоит в списке качеств антивируса на последнем месте, поскольку очень часто эти функции никак не сказываются на уровне полезности антивируса. Однако эти дополнительные функции значительно упрощают жизнь пользователя и, может быть, даже побуждают его запускать антивирус почаще.

4.4.5 Методика использования антивирусных программ

Следите за тем, чтобы антивирусные программы, используемые для проверки, были самых последних версий. Если к программам поставляются обновления, то проверьте их на "свежесть". Обычно выход новых версий антивирусов анонсируется, поэтому достаточно посетить соответствующие узлы WWW, ftp или BBS.

"Национальность" антивирусов в большинстве случаев не имеет значения, поскольку на сегодняшний день процесс эмиграции вируса в другие страны и иммиграции антивирусных программ ограничивается только скоростью Internet, поэтому как вирусы, так и антивирусы не признают границ.

Когда на компьютере обнаружен вирус, то самое главное — не паниковать (тем, для кого встреча с вирусом — вполне обыденное явление, такая рекомендация может показаться смешной). Паника никогда не доводила до добра:

непродуманные действия могут привести к печальным последствиям.

Если вирус обнаружен в каком-то из новых файлов и еще не проник в систему, то нет причин для беспокойства: убейте этот файл (или удалите вирус любимой антивирусной программой) и спокойно работайте дальше. В случае обнаружения вируса сразу в нескольких файлах на диске или в загрузочном секторе, то проблема становится более сложной, но все равно разрешимой — антивирусники не зря едят свой хлеб.

Следует еще раз обратить внимание на термин "ложное срабатывание". Если в каком-либо одном файле, который достаточно долго "живет" на компьютере, какой-либо один антивирус обнаружил вирус, то это скорее всего ложное срабатывание. По меньшей мере это крайне странно, поскольку такой файл запускался несколько раз, а вирус так и не переполз в другие файлы. Попробуйте проверить файл другими антивирусами. Если они хранят молчание, отправьте этот файл в лабораторию фирмы — производителя антивируса, обнаружившего в нем вирус.

Если же на компьютере действительно найден вирус, то надо сделать следующее.

1. В случае обнаружения файлового вируса компьютер необходимо отключить от сети и проинформировать системного администратора. Если вирус еще не проник в сеть, это защитит сервер и другие рабочие станции от проникновения вируса. Если же вирус уже поразил сервер, то отключение от сети не позволит ему вновь проникнуть на компьютер после лечения. Подключение к сети возможно лишь после того, как будут выключены все серверы и рабочие станции.

При обнаружении загрузочного вируса отключать компьютер от сети не следует: вирусы этого типа по сети не распространяются (естественно, кроме файлово-загрузочных вирусов).

Если произошло заражение макровирусом, вместо отключения от сети достаточно на период лечения убедиться в том, что соответствующий редактор (Word или Excel) неактивен на всех компьютерах.

2. Когда обнаружены файловые или загрузочные вирусы, следует убедиться в том, что вирус либо нерезидентный, либо резидентная часть вируса обезврежена: при запуске некоторые (но не все) антивирусы автоматически обезвреживают резидентные вирусы в памяти. Удаление вируса из памяти необходимо для того, чтобы остановить его распространение. При сканировании файлов антивирусы открывают их, многие из резидентных вирусов перехватывают это событие и заражают открываемые файлы. В результате большая часть файлов окажется зараженной, поскольку вирус не удален из памяти. То же может произойти и в случае загрузочных вирусов: все проверяемые дискеты могут оказаться зараженными.

Если используемый антивирус не удаляет вирусы из памяти, следует перезагрузить компьютер с заведомо незараженной и защищенной от записи системной дискеты. Перезагрузка должна быть "холодной" (клавиша Reset или выключение/включение компьютера), так как некоторые вирусы "выживают" при теплой перезагрузке. Некоторые вирусы используют приемы, позволяющие им "выжить" и при холодной перезагрузке (см., например, вирус Ugly), поэтому также следует проверить в настройках BIOS пункт "последовательность загрузки А: С:", чтобы гарантировать загрузку DOS с системной дискеты, а не с зараженного винчестера.

Помимо резидентности/нерезидентности полезно ознакомиться и с другими характеристиками вируса: типами заражаемых вирусом файлов, проявлениями и пр. Единственный известный мне источник подробной информации данного рода практически обо всех известных вирусах — "Энциклопедия вирусов AVP".

3. При помощи антивирусной программы нужно восстановить зараженные файлы и затем проверить их работоспособность. Перед лечением или одновременно с ним — создать резервные копии зараженных файлов и распечатать или сохранить где-либо список зараженных файлов (log-файл антивируса). Это необходимо для того, чтобы восстановить файлы, если лечение не будет иметь успеха из-за ошибки в лечащем модуле антивируса либо по причине неспособности антивируса лечить данный вирус. В этом случае придется прибегнуть к помощи какого-либо другого антивируса.

Гораздо надежнее, конечно, восстановить зараженные файлы из резервной копии (если она есть), однако все равно потребуются услуги антивируса — вдруг не все копии вируса окажутся уничтожены, или если файлы в back-up-копии также заражены.

Следует отметить, что качество восстановления файлов многими антивирусными программами оставляет желать лучшего. Многие популярные антивирусы частенько необратимо портят файлы вместо их лечения. Поэтому если потеря файлов нежелательна, то выполнять перечисленные выше пункты следует в полном объеме.

В случае загрузочного вируса необходимо проверить все дискеты независимо от того, загрузочные они (т. е. содержат файлы DOS) или нет. Даже совершенно пустая дискета может стать источником распространения вируса — достаточно забыть ее в дисководе и перезагрузить компьютер (если, конечно же, в BIOS Setup загрузочным диском отмечен гибкий-диск).

Помимо перечисленных выше пунктов необходимо обращать особое внимание на чистоту модулей, сжатых утилитами типа LZEXE, PKLITE или DIET, файлов в архивах (ZIP, ARC, ICE, ARJ и т. д.) и данных в самораспаковывающихся файлах, созданных утилитами типа ZIP2EXE. Если случайно упаковать файл, зараженный вирусом, то обнаружение и удаление такого вируса без распаковки файла практически невозможно. В данном случае типичной будет ситуация, при которой все антивирусные программы, неспособные сканировать внутри упакованных файлов, сообщат о том, что от вирусов очищены все диски, но через некоторое время вирус появится опять.

Штаммы вируса могут проникнуть и в резервные копии ПО при обновлении этих копий. Причем архивы и резервные копии являются основными поставщиками давно известных вирусов. Вирус может годами сидеть в дистрибутивной копии какого-либо программного продукта и неожиданно проявиться при установке программ на новом компьютере.

Никто не гарантирует полного уничтожения всех копий компьютерного вируса, так как файловый вирус может поразить не только выполняемые файлы, но и оверлейные модули с расширениями имени, отличающимися от СОМ или ЕХЕ. Загрузочный вирус может остаться на какой-либо дискете и внезапно проявиться при случайной попытке перезагрузиться с нее. Поэтому целесообразно некоторое время после удаления вируса постоянно пользоваться резидентным антивирусным сканером (хотя желательно пользоваться им постоянно).

4.4.6 Перспективные методы антивирусной защитыинформационных систем

Проблема заключается в том, что несмотря на наличие антивирусного программного обеспечения (ПО) угроза вирусных атак по-прежнему присутствует. Это происходит по нескольким причинам:

• 
  Установлено разрозненное антивирусное ПО, нет единой системы центрального управления и сбора информации о вирусных атаках
  
• 
  Отсутствует техническая поддержка поставленного ПО, библиотека сигнатур (образов вирусов) устарела и антивирусное ПО не выявляет новые вирусы
  
• 
  Отсутствует программы действий в экстремальных ситуациях, ликвидация последствий вирусной атаки происходит медленно и некачественно, утерянные данные не восстанавливаются
  
• 
  Отсутствует связь с производителем антивирусного ПО при возникновении н овых вирусов.
  

Требования к структуре системы

В общем случае, антивирусная защита банковской информационной системы должна строиться по иерархическому принципу:

• 
  службы общекорпоративного уровня - 1-й уровень иерархии;
  
• 
  службы подразделений или филиалов - 2-й уровень иерархии;
  
• 
  службы конечных пользователей - 3-й уровень иерархии.
  

Службы всех уровней объединяются в единую вычислительную сеть (образуют единую инфраструктуру), посредством локальной вычислительной сети.

Службы общекорпоративного уровня должны функционировать в непрерывном режиме.

Управление всех уровней должно осуществляться специальным персоналом, для чего должны быть предусмотрены средства централизованного администрирования.

Антивирусная система должна предоставлять следующие виды сервисов на общекорпоративном уровне:

• 
  получение обновления программного обеспечения и антивирусных баз;
  
• 
  управление распространением антивирусного программного обеспечения;
  
• 
  управление обновлением антивирусных баз;
  
• 
  контроль за работой системы в целом (получение предупреждений об обнаружении вируса, регулярное получение комплексных отчетов о работе системы в целом);
  
• 
  на уровне подразделений:
  
• 
  обновление антивирусных баз конечных пользователей;
  
• 
  обновление антивирусного программного обеспечения конечных пользователей, управление локальными группами пользователей;
  
• 
  на уровне конечных пользователей:
  
• 
  автоматическая антивирусная защита данных пользователя.
  

Функциональные требования

• 
  Удаленное управление. Возможность управления всей системой с одного рабочего места (например, с рабочей станции администратора).
  
• 
  Ведение журналов. Ведение журналов работы в удобной настраиваемой форме.
  
• 
  Оповещения. В системе защиты должна быть возможность отправки оповещений о происходящих событиях.
  
• 
  Производительность системы. Необходимо регулировать уровень нагрузки от антивирусной защиты
  
• 
  Защита от различных типов вирусов. Необходимо обеспечить возможность обнаружения вирусов исполняемых файлов, макросов документов. Кроме этого, должна быть предусмотрены механизмы обнаружения неизвестных программному обеспечению вирусов.
  
• 
  Постоянная защита рабочих станций. На рабочих станциях должно работать программное обеспечение, обеспечивающее проверку файлов при их открытии и записи на диск.
  
• 
  Автоматическое обновление антивирусной базы. Должна быть предусмотрена возможность автоматического получения обновлений антивирусной базы и обновления антивирусной базы на клиентах.
  

Общие требования

Программно-технические компоненты системы антивирусной защиты должны обеспечивать формирование интегрированной вычислительной среды, удовлетворяющей следующим общим принципам создания автоматизированных систем:

• 
  Надежность - система в целом должна обладать продолжать функционировать независимо от функционирования отдельных узлов системы и должна обладать средствами восстановления после отказа.
  
• 
  Масштабируемость - система антивирусной защиты должна формироваться с учетом роста числа защищенных объектов.
  
• 
  Открытость - система должна формироваться с учетом возможности пополнения и обновления ее функций и состава, без нарушения функционирования вычислительной среды в целом.
  
• 
  Совместимость - поддержка антивирусным программным обеспечением максимально-возможного количества сетевых ресурсов. В структуре и функциональных особенностях компонент должны быть представлены средства взаимодействия с другими системами.
  
• 
  Унифицированность (однородность) - компоненты должны представлять собой стандартные, промышленные системы и средства, имеющие широкую сферу применения и проверенные многократным использованием.
  

Кроме того, система должна обеспечивать регулярное обновление используемой антивирусной базы, содержать в себе механизмы поиска ранее неизвестных вирусов и макро вирусов, как наиболее распространенных и опасных в настоящее время.

Требования к надежности и функционированию системы

• 
  Система антивирусной защиты не должна нарушать логику работы остальных используемых приложений.
  
• 
  Система должна обеспечивать возможность вернуться к использованию предыдущей версии антивирусных баз.
  
• 
  Система должна функционировать в режиме функционирования объекта (рабочая станция/сервер) на котором она установлена.
  
• 
  Система должна обеспечивать оповещение администратора системы при сбоях или обнаружении вирусов.
  

Общая структура решения

Общая структура решения по антивирусной защите банковской информационной системы приведена на рисунке. На первом уровне защищают подключение в Интернет или сеть поставщика услуг связи - это межсетевой экран и почтовые шлюзы, поскольку по статистике именно оттуда попадает около 80% вирусов. Необходимо отметить что таким образом будет обнаружено не более 30% вирусов, так как оставшиеся 70% будут обнаружены только в процессе выполнения.


Рис. Общая структура антивирусной защиты.

Применение антивирусов для межсетевых экранов на сегодняшний день сводится к осуществлению фильтрации доступа в Интернет при одновременной проверке на вирусы проходящего трафика.

Осуществляемая такими продуктами антивирусная проверка сильно замедляет работу и имеет крайне не высокий уровень обнаружения, по этому в отсутвии необходимости фильтрации посещаемых пользователями веб-узлов применение таких продуктов является не целесообразным .

2. Как правило, защищают файл-сервера, сервера баз данных и сервера систем коллективной работы, поскольку именно они содержат наиболее важную информацию. Антивирус не является заменой средствам резервного копирования информации, однако без него можно столкнуться с ситуацией, когда резервные копии заражены, а вирус активизируется спустя полгода с момента заражения.

3. Ну и напоследок защищают рабочие станции, те хоть и не содержат важной информации, но защита может сильно снизить время аварийного восстановления.