мораль и правл. Лабораторная работа №3 Дмитриева Иванна. Методы обеспечения технологической и эксплуатационной безопасности по выполнили студентка 3 курса
 Скачать 125.63 Kb.
|
|
ФГАОУ ВО СВФУ имени М.К.Аммосова Колледж инфраструктурных технологий Кафедра эксплуатация и обслуживания информационных систем. ЛАБОРАТОРНАЯ РАБОТА №3 Тема: Методы обеспечения технологической и эксплуатационной безопасности ПО Выполнили: студентка 3 курса Группы: ИССС-18-1 Дмитриева Иванна Проверил: Яковлева Л.Е Якутск 2020 Задания: 1. Агенты ботнетов. Ботнетом называется группа зараженных компьютеров, получающих команды от злоумышленника; за прием и исполнение этих команд отвечает соответствующая вредоносная программа. Такая сеть может насчитывать от нескольких единиц до миллионов компьютеров, она также называется зомби-сетью. Эксплойты — хакерские утилиты, предназначенные для эксплуатации уязвимостей в программном обеспечении. Бекдоры — программы для удаленного подключения к компьютеру и управления им. Компьютерные вирусы. Вирусом принято называть программу, которая внедряет свой код в другие приложения («заражает» их), так что при каждом запуске инфицированного объекта этот код исполняется. Руткиты — средства скрытия вредоносной деятельности (например, другие приложения не смогут обнаружить файлы, принадлежащие нежелательному ПО). Сетевые черви — вредоносные программы с самой разной функциональной нагрузкой, которые способны самостоятельно распространяться по компьютерным сетям. «Троянские кони» («трояны») — широкий класс вредоносных объектов разнообразного назначения, которые обычно не имеют собственного механизма распространения (т.е. не могут заражать файлы или размножать свои копии через сеть). Название произошло от ранней тактики их проникновения — под видом легитимной программы или в качестве скрытого дополнения к ней. В особую группу можно выделить вымогатели и шифровальщики (ransomware). Сценарий работы таких вредоносных программ состоит в том, что они каким-либо способом блокируют доступ пользователя к его данным и требуют выкуп за разблокировку. Черви — Worm Червь – программа, которая делает копии самой себя. Ее вред заключается в захламлении компьютера, из-за чего он начинает работать медленнее. Отличительной особенностью червя является то, что он не может стать частью другой безвредной программы. Вирусы-маскировщики — Rootkit Эти вирусы используются для сокрытия вредоносной активности. Они маскируют вредоносные программы, чтобы избежать их обнаружения антивирусными программами. Rootkit'ы также могут модифицировать операционную систему на компьютере и заменять основные ее функции, чтобы скрыть свое собственное присутствие и действия, которые предпринимает злоумышленник на зараженном компьютере. Вирусы – шпионы — Spyware Шпионы собирают информацию о действиях и поведении пользователя. В основном их интересует информация — адреса, пароли, данные кредитных карт). Зомби — Zombie Зомби позволяют злоумышленнику управлять компьютером пользователя. Компьютеры – зомби могут быть объединены в сеть —бот-нет) и использоваться для массовой атаки на сайты или рассылки спама. Пользователь может даже не догадываться, что его компьютер зомбирован и используется злоумышленником. Рекламные вирусы — Adware Программы-рекламы, без ведома пользователей встраиваются в различное программное обеспечение с целью демонстрации рекламных объявлений. Как правило, программы-рекламы встроены в программное обеспечение, распространяющееся бесплатно. Реклама располагается в рабочем интерфейсе. Зачастую данные программы также собирают и переправляют своему разработчику персональную информацию о пользователе. Такие программы блокирует пользователю доступ к операционной системе. При загрузке компьютера появляется окно, в котором пользователя обвиняют в скачивании нелицензионного контента или нарушении авторских прав. И под угрозой полного удаления всех данных с компьютера требуют отослать смс на номер телефона или пополнить его счет. Естественно, после перевода денег на счет злоумышленника, баннер никуда не пропадает. Троянские вирусы — Trojan Троянская программа является самым опасным типом вирусов, так как она маскируется в других безвредных программах. И до того момента как пользователь не запустит эту самую безвредную программу, троян не несет никакой опасности и обнаружить его нелегко. Троянская программа может нанести различный ущерб для компьютера. В основном трояны используются для кражи, изменения или удаления личных данных пользователя. Отличительной особенностью вируса-трояна является то, что он не может самостоятельно размножаться. Детекторы обеспечивают выявление вирусов посредством просмотра исполняемых файлов и поиска так называемых сигнатур - устойчивых последовательностей байтов, имеющихся в телах известных вирусов. Наличие сигнатуры в каком-либо файле свидетельствует о его заражении соответствующим вирусом. Антивирус, обеспечивающий возможность поиска различных сигнатур, называют полидетектором. Фаги выполняют функции, свойственные детекторам, но, кроме того, "излечивают" инфицированные программы посредством "выкусывания" вирусов из их тел. По аналогии с полидетекторами, фаги, ориентированные на нейтрализацию различных вирусов, именуют полифагами. В отличие от детекторов и фагов, вакцины по своему принципу действия подобны вирусам. Вакцина имплантируется в защищаемую программу и запоминает ряд количественных и структурных характеристик последней. Если вакцинированная программа не была к моменту вакцинации инфицированной, то при первом же после заражения запуске произойдет следующее: активизация вирусоносителя приведет к получению управления вирусом, который, выполнив свои целевые функции, передаст управление вакцинированной программе. В последней, в свою очередь, сначала управление получит вакцина, которая выполнит проверку соответствия запомненных ею характеристик аналогичным характеристикам, полученным в текущий момент. Если указанные наборы характеристик не совпадают, то делается вывод об изменении текста вакцинированной программы вирусом. Принцип действия прививок основан на учете того обстоятельства, что любой вирус, как правило, помечает инфицируемые программы каким-либо признаком с тем, чтобы не выполнять их повторное заражение. В ином случае имело бы место многократное инфицирование, сопровождаемое существенным и поэтому легко обнаруживаемым увеличением объема зараженных программ. Прививка, не внося никаких других изменений в текст защищаемой программы, помечает ее тем же признаком, что и вирус, который, таким образом, после активизации и проверки наличия указанного признака, считает ее инфицированной и "оставляет в покое". Ревизоры обеспечивают слежение за состоянием файловой системы, используя для этого подход, аналогичный реализованному в вакцинах. Программа-ревизор в процессе своего функционирования выполняет применительно к каждому исполняемому файлу сравнение его текущих характеристик с аналогичными характеристиками, полученными в ходе предшествующего просмотра файлов. Если при этом обнаруживается, что, согласно имеющейся системной информации, файл с момента предшествующего просмотра не обновлялся пользователем, а сравниваемые наборы характеристик не совпадают, то файл считается инфицированным. Характеристики исполняемых файлов, получаемые в ходе очередного просмотра, запоминаются в отдельном файле (файлах), в связи с чем увеличения длин исполняемых файлов, имеющего место при вакцинации, в данном случае не происходит. Другое отличие ревизоров от вакцин состоит в том, что каждый просмотр исполняемых файлов ревизором требует его повторного запуска. Монитор представляет собой резидентную программу, обеспечивающую перехват потенциально опасных прерываний, характерных для вирусов, и запрашивающую у пользователей подтверждение на выполнение операций, следующих за прерыванием. В случае запрета или отсутствия подтверждения монитор блокирует выполнение пользовательской программы. Способы (методы) защиты информации: Препятствие - создание на пути угрозы преграды, преодоление которой сопряжено с возникновением сложностей для злоумышленника или дестабилизирующего фактора. Управление - оказание управляющих воздействий на элементы защищаемой системы. Маскировка - действия над защищаемой системой или информацией, приводящие к такому их преобразованию, которое делает их недоступными для злоумышленника. (Сюда можно, в частности, отнести криптографические методы защиты ). Регламентация - разработка и реализация комплекса мероприятий, создающих такие условия обработки информации, которые существенно затрудняют реализацию атак злоумышленника или воздействия других дестабилизирующих факторов. Принуждение - метод заключается в создании условий, при которых пользователи и персонал вынуждены соблюдать условия обработки информации под угрозой ответственности (материальной, уголовной, административной) Побуждение - метод заключается в создании условий, при которых пользователи и персонал соблюдают условия обработки информации по морально-этическим и психологическим соображениям. Средства защиты информации: Физические средства - механические, электрические, электромеханические, электронные, электронно-механические и т. п. устройства и системы, которые функционируют автономно, создавая различного рода препятствия на пути дестабилизирующих факторов. Аппаратные средства - различные электронные и электронно-механические и т.п. устройства, схемно встраиваемые в аппаратуру системы обработки данных или сопрягаемые с ней специально для решения задач защиты информации. Программные средства - специальные пакеты программ или отдельные программы, включаемые в состав программного обеспечения с целью решения задач защиты информации. Организационные средства - организационно-технические мероприятия, специально предусматриваемые в технологии функционирования системы с целью решения задач защиты информации. Законодательные средства - нормативно-правовые акты, с помощью которых регламентируются права и обязанности, а также устанавливается ответственность всех лиц и подразделений, имеющих отношение к функционированию системы, за нарушение правил обработки информации, следствием чего может быть нарушение ее защищенности. Психологические (морально-этические средства) - сложившиеся в обществе или данном коллективе моральные нормы или этические правила, соблюдение которых способствует защите информации, а нарушение их приравнивается к несоблюдению правил поведения в обществе или коллективе. Защита информации в конкретной операционной системе неразрывно связана с задачами, для решения которых применяется данная ОС. Unix-подобные операционные системы, и в частности Linux, изначально использовались в качестве сетевых ОС на серверах локальных вычислительных сетей. И сейчас по статистике проекта Netcraft примерно 89% серверов в сети Интернет работают под управлением таких операционных систем. Среди последних немалую часть составляют различные модификации Linux. Из-за специфичности областей применения архитектура ОС Linux во многом отлична от архитектуры, например, ОС Windows, а сама система менее знакома массовому пользователю. Ожесточенные споры между поклонниками этих операционных систем вызывает вопрос, что лучше: Linux или Windows? Невозможно также однозначно ответить, какая из систем устойчивее и безопаснее, поскольку области их применения различны и задуманы они были для решения совершенно разных задач. Что такое Linux?Linux представляет собой полностью многозадачную многопользовательскую операционную систему. Основной составляющей частью ее является ядро. Именно ядро отличает Linux от других Unix-подобных операционных систем. Несмотря на то что существует множество дистрибутивов иногда с абсолютно различными принципами настройки и процессами начальной загрузки, все они имеют общее ядро. Любой желающий, приложив некоторые усилия, может собрать собственный дистрибутив на основе одного из стандартных ядер. Собственно, ядро системы - это и есть то, что принято называть Linux. Разработчики дистрибутивов нередко вносят в стандартное, также называемое каноническим, ядро какие-то свои изменения, но они по большей части касаются работы специфичного для этих дистрибутивов программного обеспечения. Ядро имеет, как правило, модульную структуру, модули ядра можно задействовать (подгружать) по мере необходимости, чаще всего модулями оформлены драйверы периферийных устройств и файловых систем.
Кроме ядра в системе существуют постоянно выполняющиеся в памяти процессы, называемые демонами. Демоны - аналоги резидентов в DOS и служб в Windows. Стартуют в качестве демонов те программы, для работы которых не требуется вмешательства пользователя; обычно это различные серверы. Например, сервер MySQL - mysqld, сервер Apache - httpd. Неуловимый ДжоК сожалению, очень распространен ряд заблуждений, связанных с безопасностью Linux. Некоторые пользователи убеждены в том, что Linux абсолютно защищена сразу после установки и не требуются никакие дополнительные меры, направленные на увеличение ее безопасности. Как один из вариантов подобного заблуждения бытует мнение, что «вирусов под Linux не бывает». Отсутствие вирусов объясняют особенностями архитектуры системы, которая делает их существование невозможным. Данное мнение не совсем верно: вирусы и другие вредоносные программы под Linux встречаются, хотя и не в таком количестве, как под ОС семейства Windows. Особенностью вредоносных программ под Linux является то, что для начала своих деструктивных действий они требуют прямого вмешательства пользователя. Самопроизвольной активации вируса без участия пользователя (обычная ситуация в Windows, например, в случае вирусов MSBlast, NetSky...) не происходит. Таким образом, малое количество вирусов объясняется слабой распространенностью Linux именно в качестве операционной системы для пользовательского компьютера. Подобная ситуация складывалась с ОС Windows NT 4.0 во времена ее появления. Вирусов под нее было очень мало, и написать серьезный вирус считалось невозможным из-за того, что ее архитектура была недостаточно изучена авторами вирусов да и система тогда еще не приобрела популярности. Аналогичное положение до сих пор сохраняется для системы NetWare, внутренняя архитектура которой мало знакома неспециалистам. Второе довольно распространенное заблуждение относится не только к системам на базе Linux: многие пользователи почему-то уверены, что именно их сервер никто не станет взламывать. Если ваш сервер или рабочая станция в сети до сих пор не подвергались злонамеренному воздействию, это не значит, что и в будущем никто не предпримет подобных попыток. Даже если на сервере нет никаких важных данных, захваченный сервер можно использовать для рассылки спама или для организации атак на другие серверы. Есть несколько ставших уже классическими рекомендаций по обеспечению общей безопасности, касающихся не только Linux-серверов, но и практически любого программного обеспечения, от которого требуется безопасность при работе с данными. Рассмотрим эти рекомендации с учетом специфики такой операционной системы, как Linux. Человеческий факторСамый страшный враг пользователя - это он сам. В подтверждение данного высказывания можно привести простой пример. В Linux, как и в любой Unix-подобной системе, существует специальный пользователь root, называемый также суперпользователем. Root имеет практически неограниченные права и может выполнять в системе любые действия. Согласно идеологии Unix, пользователь root предназначен только для внесения изменений в критичные системные настройки и установки программ, которые требуют прав на запись в системные каталоги. К сожалению, достаточно часто root используется для выполнения повседневных операций, например посещения веб-страниц, чтения личной почты. И однажды пользователь, просматривающий веб-форум под учетной записью root, встречает там просьбу помочь отладить программу, состоящую всего из одной строки на языке Perl. Программа написана в лучших традициях программирования на Perl и выглядит как набор вполне бессмысленных символов (скрипт был опубликован в форуме linux.org.ru, автор неизвестен). cat «test... test... test...» | perl -e '$??s:;s:s;;$?::s;;=]=>%-{<-|}<&|`{;;y; -/:-@[-`{-};`-{/» -;;s;;$_;see' Самый распространенный способ отладки подозрительных программ - это, конечно, немедленный их запуск с правами суперпользователя и изучение результатов. В данном случае результатом будет несколько секунд молчаливой работы «винчестера» и гарантированное удаление с него всех данных. Аналогичную, но не настолько разрушительную ситуацию можно представить и в Windows, но администраторские права в этой операционной системе не столь велики, как права root в Linux. Регулярные обновленияПроцедура регулярного обновления всего используемого ПО - одна из важнейших в механизме обеспечения безопасности любой операционной системы. Предположение, что любая программа содержит хотя бы одну ошибку, вполне согласуется с действительностью, но с учетом того, что ошибка обычно не одна. В современных условиях, когда период между обнаружением очередной ошибки в ПО и обнародованием методов ее исправления сильно уменьшился, автоматическое обновление ПО стало особенно необходимым. Широко известен механизм борьбы с ошибками в ПО Microsoft, например, в ОС Windows - непрерывный выпуск «заплаток», устраняющих ту или иную недоработку. В качестве системы автоматического обновления используется сервис Windows Update. ОС Linux - яркий пример применения концепции ПО с открытым исходным кодом, поэтому устранение программных недоработок там выглядит совершенно иначе. В какой-то степени его можно назвать эволюцией ПО, так как регулярный выпуск обновлений, «заплаток» и новых версий - это естественный процесс развития для открытого ПО. Система обновлений одновременно исполняет роль и средства отладки, и технической поддержки. Почти каждый дистрибутив Linux имеет свою, специфичную процедуру обновления программного обеспечения. Для пакетно-ориентированных дистрибутивов, таких как RedHat, используется средство обновления apt-get, которое умеет получать из главного хранилища готовых пакетов дистрибутива (иначе называемом репозиторием) пакеты новых версий используемого в системе ПО. Аналогичные утилиты обновления применяются и в других дистрибутивах - репозиторий Sisyphus для отечественного дистрибутива ALT Linux, служба YaST Online Update дистрибутива SuSE. Все эти механизмы в какой-то мере похожи на метод обновления Windows, но гораздо более масштабны, так как затрагивают все системное ПО в целом. Для Linux возможен и другой путь поддержания актуальности используемого ПО - сборка программ из исходных текстов, причем хранилище исходных текстов регулярно обновляется до актуальной версии, а программы систематически подвергаются перекомпиляции. Активнее всего этот подход используется в дистрибутиве Gentoo, при установке целиком компилирующемся из исходников. Повышение привилегий и контроль целостностиОдной из интересных особенностей системы безопасности Linux и одновременно едва ли не самым большим недостатком является механизм SUID. Флаг SUID в правах доступа к файлу означает, что тот, кто запускает процесс, получает не просто права пользователя, а права владельца файла. Подобный механизм позволяет избежать передачи пользователю пароля root в тех случаях, когда ему необходимо запустить процесс, требующий для корректной работы привилегий суперпользователя, например смены пароля - passwd, создания сокета (комбинация из номера порта и IP-адреса) с номером порта меньше 1024 - rlogin и некоторых других. В стандартной поставке любого дистрибутива Linux таких файлов около полусотни. Достаточно много методов злонамеренного повышения локальных привилегий в Linux основано или на использовании какой-либо недоработки в исполняемом файле, на который установлен флаг SUID, или на создании своего исполняемого файла с таким флагом. Таким образом, появление новых файлов с установленным SUID-флагом или модификация уже существующих SUID-файлов часто является признаком вмешательства в работу системы. Найти в системе все файлы с установленным флагом SUID можно с помощью команды. find / -type f -perm -u+s В современных дистрибутивах, особенно ориентированных на повышенную безопасность, создатели пытаются отойти от механизма создания SUID-файлов. Как замена подобному механизму может использоваться технология sudo. В последнее время все больше дистрибутивов Linux переходят на использование механизма аутентификации PAM - гибко настраиваемой модульной системы проверки прав доступа пользователей. Кроме файлов с выставленным флагом SUID в Linux существуют и другие специфические опасности, например наборы «троянов», перехватчиков клавиатуры, подмененных системных файлов, используемые злоумышленниками для повышения привилегий в системе. Подобные наборы носят название руткитов (rootkits), и появление таких файлов на жестком диске почти однозначно указывает на попытку взлома сервера. Некоторые руткиты, специализированные под веб-серверы, могут содержать веб-интерфейс для управления захваченным сервером. Для борьбы с руткитами используется специальное ПО, которое, единожды подсчитав контрольные суммы важных системных файлов, далее проверяет их целостность. Как пример подобного ПО под Linux можно назвать Chkrootkit, Samhain, FreeVeracity, Fcheck. Для Windows аналогичные функции может выполнять системная утилита sfc. Защита сетиОС Linux изначально была задумана как система с поддержкой работы в сети, в отличие от ОС Windows, которая проектировалась всего лишь как графическая оболочка для рабочей станции. Более того, Linux считается скорее серверной операционной системой, чем системой для рабочих станций. Основное требование к серверу сети - стабильность и надежность в работе. Одним из популярных типов атак на сервер сети является атака типа DDoS (Distributed Denial of Service). При классической DDoS-атаке сервер подвергается многочисленным некорректным запросам на соединение и их обработка занимает все процессорное время или пропускную способность канала. Защита от атак подобного рода осуществляется при помощи правильно настроенного межсетевого экрана, иначе firewall'а. Для Linux существует множество программных решений межсетевых экранов, например iptables или ipchains, которые занимаются обработкой проходящего через сервер сетевого трафика и осуществляют фильтрацию паразитного мусорного трафика, характерного, например, для DDoS-атаки. Подобные программы под Linux позволяют гибко настроить правила обработки, основываясь на следующих параметрах: IP-адрес источника пакета. IP-адрес назначения пакета. Интерфейс, который принял пакет. Протокол, по которому осуществляется передача пакета. Порт назначения пакета. Основываясь на данных анализа проходящего пакета, межсетевой экран может произвести над ним некоторый набор действий: Пропустить пакет. Подсчитать размер пакета. Изменить значения полей пакета IP-адресов, портов, ttl. Уничтожить без обработки. Межсетевые экраны под Linux часто используются не только как средство обеспечения безопасности, их широкие возможности по управлению трафиком позволяют организовать с их помощью системы подсчета трафика, сбора статистики, распределения трафика, организовать виртуальные подсети с выходом в Интернет с одного IP-адреса и многое другое. Неплохой принцип, которым стоит руководствоваться при настройке межсетевого экрана на сервере Linux, - запрещено все, что явно не разрешено. В начале выбираются диапазоны IP-адресов сети, затем интерфейсы сервера, через которые будет проходить обрабатываемый трафик, потом параметры пропускаемого трафика (тип пакетов, порты, размер, значение ttl). Затем выбранный тип трафика явно разрешается, снабжается ограничениями, а остальные пакеты явно запрещаются.
Основное отличие межсетевых экранов в Linux от подобных программ под Windows, часто называющихся персональными межсетевыми экранами, - в логике, по которой обрабатывается сетевой трафик. Межсетевые экраны для Windows чаще всего управляют сетевой активностью приложений и осуществляют обработку трафика по критерию доверенности приложения, которое пытается получить доступ к сети. Доверенность приложения нередко вычисляется изощренными методами, включая глубокий контроль компонентов и подгружаемых библиотек. Подобный метод эффективен для предотвращения атак изнутри, например вирусной активности или деятельности троянских программ. Конечно, и под платформу Windows существуют межсетевые экраны, действующие по принципам, аналогичным iptables, но это довольно дорогие программные решения. Система обнаружения вторженийКроме DDoS-атак на сервер могут предприниматься так называемые DoS-атаки. Для атак подобного типа не нужно участие множества компьютеров, в отличие от DDoS эти атаки проходят незаметно, и виден только их конечный результат - неработоспособность сервера, исчезновение данных, нежелательная сетевая активность. Для обнаружения попыток подобных вторжений извне в ОС Linux существует большое количество специализированного ПО. Эти программы объединены под общим названием IDS (Intrusion Detection System - системы обнаружения вторжений). Самой популярной IDS на сегодняшний день считается система Snort. Snort использует специальный язык правил, которыми дается описание потенциально опасного сетевого трафика. Формат правил похож на формат пакетных межсетевых экранов под Linux. В правилах можно задать реакцию на подозрительное содержимое любой части IP-пакета. Snort обладает модульной архитектурой и может контролировать сетевую активность на любом уровне сетевого интерфейса, начиная с канального и заканчивая прикладным. При обнаружении трафика, подпадающего под заданные правила, snort может разорвать соединение с компьютером, от которого он исходит, заблокировать его IP-адрес и внести запись в журнал. Защита почтового сервераРабота в качестве mail-сервера - одно из самых распространенных применений серверов под управлением Linux. Проблема безопасности сообщений электронной почты появилась одновременно с введением достаточно небезопасных протоколов обмена mail-сообщениями, таких как POP3 и SMTP. Во времена их создания мало кто задумывался, что передача такой информации, как имя пользователя, пароль, да и содержания письма в открытом виде является не самой лучшей реализацией схемы обмена информацией. В обоих протоколах не было предусмотрено возможности точной идентификации отправителя и его обратного адреса. Отсюда основные проблемы электронной почты - анонимные спам-сообщения, рассылка вирусов и перехват почтового трафика. Главным средством реализации почтового сервера на базе Linux является программный пакет Sendmail. Можно сказать, что на сегодняшний момент Sendmail - лучший инструмент для построения системы управления почтовой корреспонденцией. При помощи Sendmail можно организовать практически любую теоретически возможную схему управления почтой. Приятной особенностью его архитектуры является реализованный в нем интерфейс работы с внешними модулями - milter. Благодаря milter появляется возможность отправлять почтовые сообщения на обработку внешним программам, поддерживающим взаимодействие по этому интерфейсу. Такими программами могут быть различные антивирусные пакеты и фильтры содержимого сообщений. Из популярных программных решений, выполненных как модули Sendmail, можно упомянуть из антивирусов, например, антивирусный пакет DrWeb for Unix, а также открытую разработку - антивирус Clamav. Для борьбы с нежелательными сообщениями часто применяется пакет анализа содержимого Spamassassin. Для обеспечения закрытости почтовой переписки существует отечественное криптографическое решение, выполненное также в виде модуля milter к пакету Sendmail, - комплекс «Криптон-почта». Контрольные вопросы: Динамический и Статический анализ В качестве более эффективной альтернативы динамическому анализу часто рассматривают статический анализ. В случае статического анализа поиск возможных ошибок осуществляется без запуска исследуемой программы, например, по исходному коду приложения. Обычно при этом строится абстрактная модель программы, которая, собственно, и является объектом анализа. При этом следует подчеркнуть следующие характерные особенности статического анализа: - Возможен раздельный анализ отдельно взятых фрагментов программы (обычно отдельных функций или процедур), что дает достаточно эффективный способ борьбы с нелинейным ростом сложности анализа. - Возможны ложные срабатывания, обусловленные либо тем, что при построении абстрактной модели некоторые детали игнорируются, либо тем, что анализ модели не является исчерпывающим. - При обнаружении дефекта возникают, во-первых, проблема проверки истинности обнаруженного дефекта (false positive) и, во-вторых, проблема воспроизведения найденного дефекта при запуске программы на определенных входных данных. В отличие от статического анализа, динамический анализ осуществляется во время работы программы. При этом: - Для запуска программы требуются некоторые входные данные. - Динамический анализ обнаруживает дефекты только на трассе, определяемой конкретными входными данными; дефекты, находящиеся в других частях программы, не будут обнаружены. - В большинстве реализаций появление ложных срабатываний исключено, так как обнаружение ошибки происходит в момент ее возникновения в программе; таким образом, обнаруженная ошибка является не предсказанием, сделанным на основе анализа модели программы, а констатацией факта ее возникновения. Повторяемость некоторых операторов делает степень подобия программ визуально видимой, особенно для программ с одинаковым функциональным назначением, поскольку целевая направленность часто определяет и выбор операторов. Глаз плохо различает относительные значения амплитуд на различных гистограммах, поэтому удобнее изображать частоту появления операторов в одной программе в зависимости от частоты появления в другой. В этом случае для программ одного вида подобия точки будут размещаться на биссектрисе первого квадранта под углом 45. Если программы существенно различаются по частоте вхождения операторов в последовательности операторов, тогда точки будут иметь существенный разброс.  Суть процесса обфускации заключается в том, чтобы запутать программный код и устранить большинство логических связей в нем, то есть трансформировать его так, чтобы он был очень труден для изучения и модификации посторонними лицами (будь то взломщики, или программисты которые собираются узнать уникальный алгоритм работы защищаемой программы). Неформально, обфускатор — это эффективный, вероятностный компилятор, который в качестве входа имеет программу Р и производит новую программу 0(Р), которая имеет те же функциональные возможности, что и Р, но в то же время является неясной (непонятной) для противника |
