                                                       Н.Н.Безруков

                    О МЕТОДИКE ЗАЩИТЫ ОТ ВИРУСОВ,
            ОТВЕЧАЮЩИЙ ПРИHЦИПУ РАЗУМHОЙ ДОСТАТОЧHОСТИ

                                 Версия 2.1 (Версия 1 - см. тезисы
                                 доклада на семинаре СП "Диалог",
                                 февраль 1992 - см.SP44c, версия 2.0
                                 - мое письмо в электронные конферен-
                                 ции Softpanorama и SU.VIRUS от 29.07)

     В настоящее время проблема защиты от вирусов может быть пере-
формулирована  в  виде  проблемы  минимально-необходимого   набора
средств защиты. Крайности сходятся и "переусердствание" с  защитой
также вредно, как и полное пренебрежение.
     Предлагаемая ниже схема комплексного использования антивирус-
ных средств  не является  ни единственно  возможной, ни "абсолютно
непробиваемой", однако отвечает некоторому интуитивно определяемо-
му критерию "разумной достаточности", который учитывает две доста-
точно простые идеи:
    -  заражение  может  происходить  только "в точках поступления
дискет/программ" т.е., чаще всего, после записи на винт и  запуска
новых программ(часто новых игр). Относительная стабилизация соста-
ва программного обеспечения для MS DOS делает такие "точки" доста-
точно редкими для большинства пользователей, что определяет  целе-
сообразность  использования  специальной  "стратегии"  обработки и
включения в каталоги новых программ/пакетов:
    - при "хорошо организованной" сегментации заражение на  момент
его выявления, как правило, является локальным, что позволяет вме-
сто фага использовать восстановление программ с архивной копии.
    Еще раз подчеркну, что особенностью предлагаемой методики  яв-
ляется наличие "базисного уровня", практически не осложняющего ра-
боту пользователей и дополнительных уровней, используемых только в
режиме "повышенной опасности" или зараженности компьютера.
     Предельно конспективно рекомендуемая методика включает следу-
ющие независимые  методы и  соответствующие программные  продукты,
которые могут быть использованы в разных комбинациях от  минималь-
ной до максимальной (буквально следовать предлагаемым ниже  "джен-
тельменским" наборам  для каждого  уровня совсем  необязательно, в
частности, вместо рекомендуемых  программ могут быть  использованы
другие, обладающие сходными или лучшими характеристиками):

    Уровень 1.  Профилактические мероприятия общего характера

     1.1. Создание Backup дискеты с копиями CMOS, MBR и бут секто-
ров всех логических дисков (DiskTool из утилит Hортона или другая
аналогичная программа).
     1.2. Создание "горячей коробки" резервных дискет (по методике,
описанной в моей брошюре "Компьютерные вирусы" М., Hаука, 1991) и
"красной папки" с необходимой в "кризисных ситуациях" документацией.
     1.3. Запуск  Image (или  Mirror) для  всех логических  дисков
(кроме виртуальных) при каждой перезагрузкe;
     1.4. Проверка целостности/оптимизиция(дефрагментация  файлов)
файловой системы  (NDD в  режиме проверки(но  не исправления  !) +
Speedisk или OPTUNE  версии 1.2) в  режиме раз в  сутки (например,
путем запуска при "перерыве на обед", как я рекомендовал в Компью-
терной вирусологии)
     1.5. Архивирование по схеме неделя-месяц-квартал с тремя  не-
зависимыми комплектами архивных дискет (для полной копии  рекомен-
дуется использовать Fastback, для частичных - Pkzip или Arj);
     1.6. Сегментация с защищенным разделом. Сегментация винчесте-
ра на логические разделы с использованием не менее одного раздела,
защищенного от записи (со статусом Read Only). Для MS DOS 5.0 наи-
более целесообразным методом  реализации такой защиты  в настоящее
время представляется использование дискового кэша Ncache из пакета
Norton Utilities 6.03 (запускаемого из Config.sys), а для MS DOS 3.3
кэша Dcache канадской  фирмы Datamorphics Limited.  Альтернативным
методом реализации  сегментации с  защищенными разделами  является
использование  специального  дискового  драйвера  (Advanced   Disk
Manager или Disk Manager), обеспечивающая защиту системных  блоков
MS DOS (MBR, бутсектор, FAT) от уничтожения при срабатывании виру-
са или троянской программы, а наиболее часто используемые програм-
мы и компоненты MS DOS - от заражения.
     1.7. Организация "контролируемо-безвирусной" перезагрузки  MS
DOS: хранение компонент операционной системы и всех программ,  вы-
зываемых из Autoexec.bat, в разделе винчестера, защищенном от  за-
писи.  Использование  для  контроля  перезагрузки  ревизора памяти
Neatchk Виталия Пономаренко (в качестве последнего или предпослед-
него - перед запуском NC или другой оболочки - шага Autoexec.bat).
     1.8. Отслеживание изменений в режиме "раз в сутки".  Система-
тический запуск при каждой  перезагрузке или раз в  сутки ревизора
Adinf версии 6.09 или более поздней (необходим режим  переименова-
ния создаваемых Adinf  файлов) с обязательным  переименованием со-
здаваемых им файлов и размещением их вне корневого каталога  диска
С. Рекомендуется также  хранить дополнительную копию  дистрибутива
Adinf в защищенном от записи разделе винчестера

           Уровень 2. Режим "повышенной бдительности"
              (при получении новых программ/дискет)

     2.1. Принудительная вакцинация  всех получаемых дискет  с по-
мощью бутовой  вакцины VitaminB  (фактически вакцинация  состоит в
замене бут-сектора дискеты на заведомо незараженный бут-сектор  со
специльной программой  загрузки, проверяющей  "свое здоровье"  при
получении управления). Желательно, чтобы переход к просмотру диска
А выполнялся путем  запуска пакета, скажем,  с именем AA,  который
включал указанную операцию. Такая вакцинация исключает возможность
последующего заражения компьютера бутовым или файлово-бутовым  ви-
русом при случайной перезагрузке с вставленной в дисковод дискеты,
хотя, конечно, более радикальным способом представляется  перепро-
шивка BIOS  на один  из более  современных -  имеющих в  процедуре
Setup режим установки устройства для начальной загрузки.
     2.2. Cплошной входной контроль новых программных средств c по-
мощью батареи детекторов-фагов (рекомендуются Aidstest, Sos, Scan,
-V) с предварительной распаковкой архивов и, что несколько более
трудоемко,  но  представляется  полезным,  расжатием  обработанных
PKLITE (и аналогами) файлов.
     2.3. Использование Inspector Евгения Сусликова в сочетании  с
программой усиления атрибута Read Оnly (DR DOS 6.0 или специальная
утилита для усиления  этого атрибута в  MS DOS: автор  рекомендует
File Defender Игоря Свиридова).
     2.4. Использование хотя бы примитивного режима карантина  для
новых программ. Запись новых программ/пакетов на отдельный  раздел
винчестера. Защита  всех других  разделов от  записи перед  первым
(несколькими первыми) запуском. Дополнительные контрольные запуски
Adinf+ Neatchk до и после нескольких первых сеансов работы с новым
программным средством (минимальный карантинный режим).

        Уровень 3. Ситуация обнаружения вируса на винчестере

     3.1. Приостановка записи на винчестер и защита разделов  вин-
честера от записи с помощью кэша или драйвера. Переход к  загрузке
с защищенной от записи эталонной дискеты с операционной системой.
     3.2.  В  сомнительных  случаях  (вирусофобия, Stealth-вирусы)
контроль наличия вируса  с помощью теста  "дискета-дрозофила" (см.
ниже Приложение 1).
     3.3. Определение "очага поражения" с помощью Adinf, запускае-
мого с защищенной от записи дискеты.
     3.4.  Уничтожение  или  запись  за дискету(ы) всех зараженных
программ,  а  затем  выгрузка  "чистых"  файлов с помощью Fastback
(Fastback +  backup как  самый универсальный  фаг). Предварительно
желательно убедиться по справке
     3.4. В случае отсутствия незараженной резервной копии той или
иной программы использование  готового или написание  собственного
фага (при этом "лечение" должно проводиться не на "живом"  винчес-
тере, а на дискете с предварительно переписанными зараженными про-
граммами и  после перезагрузки  с эталонной  защищенной от  записи
дискеты с операционной системой.
     3.5. Контроль целостности данных: проверка сохранности данных
на случай наличия в вирусе троянских компонент и, при необходимос-
ти, использование специальной методики восстановления поврежденных
вирусом файлов и данных.

                    Дополнительные замечания

     Как видно из приведенного выше описания,  предлагаемая  схема
предполагает  возведение нескольких "барьеров" на пути проникнове-
ния вируса  в компьютер.  Важно понимать,  что даже  в минимальном
(первом) варианте (фактически  предлагается использовать три  ком-
плекта дискет  (или стриммер)  + кэш(дисковый  драйвер) + ревизор)
данная схема обеспечивает существенное улучшение безопасности про-
грамм и данных.
     Данная методика  является альтернативой  "гонке за  последней
версией" того или иного полифага, которая получила распространение
у части  пользователей и,  как представляется  автору, является не
совсем конструктивным использование сил и средств.
     Хочу подчеркнуть, что не стоит верить в какие-то панацеи: ни-
какое  средство  защиты,  взятое  отдельно, не способно обеспечить
уровень  безопасности,  сопоставимый  с комплексным использованием
указанных выше средств. Любое средство может быть "сломано"  путем
использования в вирусе новых методов проникновения (ситуация "сна-
ряд-броня" с последним примером в виде вируса Dir). Hу и, конечно,
любая защита является иллюзорной при отсутствии системы  архивиро-
вания, например по схеме "неделя-месяц-квартал".
     Следует особо подчеркнуть,  что роль "человеческого  фактора"
представляется не  менее важной,  чем набор  используемых средств,
поэтому любые формы повышения квалификации пользователей  являются
одновременно  методами  улучшения  вирусозащищенности  комьютеров,
причем зачастую  куда более  эффективными, чем  любые коммерческие
"панацеи".


                                                      Приложение 1

******** ДИСКЕТА-ДРОЗОФИЛА КАК МЕТОД БОРЬБЫ С ВИРУСОФОБИЕЙ *******

     Как известно, имеется тенденция атрибутировать любые  наруше-
ния в функционировании компьютера заражением последнего компьютер-
ным вирусом. Это далеко  не всегда так. Поскольку  наблюдается ус-
тойчивая тенденция атрибутировать любые нарушения функционирования
компьютера наличием вируса, а возникающая при этом паника приносит
большие разрушения, чем любой реальный вирус. Классическим  приме-
ров  является  речение  с  помощью AntiKot файлов, вакцинированных
строкой "MsDos" с помощью  TNTVirus или чем-то аналогичным.
     Поэтому крайне необходим  простой и эффективный  тест проверки
зараженности компьютера. Я разработал достаточно простой и в то же
время весьма  надежный тест,  который был  впервые описан  в книге
"Компьютерные вирусы" (Москва: Hаука, 1991), где он назван "ловлей
вируса на дискету-дрозофилу".
     Дискетой-дрозофилой будем называть копию некоторой  загружае-
мой дискеты  несколькими стандартными  или какими-то  специальными
драйверами (например ) и несколькими исполняемыми программами. На-
бор последних должен достаточно разнообразен и, желательно,  вклю-
чать NC. Другими словами, это некоторая дискета с несколькими  ис-
полняемыми файлами, для  которой ОБЯЗАТЕЛЬHО существует  подготов-
ленная заранее эталонная, защищенная от записи ("заклеенная")  ко-
пия. Последняя, по определению, не является зараженной.
     Основное преимущество  дискеты-дрозофилы  состоит в том,  что
исследовать дискету гораздо проще,  чем винчестер.  Таким образом,
вирус как бы "вытаскивается на свет".  Hапример, место, куда вирус
записал  свое тело,  легко определяется путем сравнения зараженной
дискеты с эталонной.
     Все известные  сейчас  компьютерные  вирусы заражают дискеты.
Поэтому дискета-дрозофила является одним из самых  надежных тестов
на зараженность компьютера вирусом и, тем самым, важным средством
борьбы с вирусофобией.
     В качестве дискеты-дрозофилы удобнее всего использовать вари-
ант эталонной загрузочной дискеты с MS DOS. За исключением случаев
самых отьявленных "гусаров" с одной стороны и самых "свежых"  чай-
ников с другой (крайности, как всегда, сходятся), заклеенный  эта-
лон для ее создания и сравнения всегда под рукой. Это, конечно, не
исключает создания  дискеты-дрозофилы специального  состава, путем
дополнительно записи на  нее, скажем, некоторых  антивирусных про-
грамм.
     Методика использования  дискеты-дрозофилы  достаточно  проста.
Для простоты будем предполагать, что дискетой-дрозофилой  является
эталонная копия операционной системы (дискета No.1 "горячей  короб-
ки, если пользоваться терминологией упомянутой выше работы "Компь-
ютерные вирусы"), возможно с некоторыми дополнительными программа-
ми).
     Единственным важным требованием  к эталону дискеты  дрозофилы
является  наличие  в  CONFIG.SYS  нескольких  драйверов (например,
ANSI.SYS, COUNTRY.SYS, RAMDRIVE.SYS и т.д.). В числе других  реко-
мендаций можно отметить:
     - стандартный формат (360K или 1.2M для 5-дюймовок, 720 или
1.44 для трехдюймовок);
     - наличие программы Diskcomp или PC Tools для сравнения  дис-
кет;
     - включение в  PATH всех каталогов,  содержащихся в PATH  для
винчестера с добавлением каталогов A:, A:\DOS в качестве первых;
     - включение Norton Commander;

     Идея эксперимента состоит в работе в течении некоторого  вре-
мени на компьютере с операционной системой, загруженной с  дискеты
дрозофилы с тем, чтобы  вирус заразил одну или  несколько программ
на ней.
     Эксперимент может проводиться в виде следующей последователь-
ности шагов:
     1. Прямо на "подозрительном" компьютере с эталонной  защищен-
ной от записи дискеты-дрозофилы (эталонной копии операционной сис-
темы в простейшем случае) снимается копия. Копия не защищяется  от
записи, поскольку она специально предназначена для заражения виру-
сом.
     2. Компьютер перегружается  с полученной  копии
     3. Выполняется работа или последовательно запускаются имеющи-
еся  на  ней  исполняемые  программы  (Хcopy,  Сommand.com, Norton
Commander и т.д.),  для того, чтобы  вирус (если он  действительно
есть), заразил одну  или несколько программ  на дискете-дрозофилый
на предыдущем шаге копии.
     4. Выполняется  "холодная" перезагрузка  (клавишей RESET  или
выключением питания) компьютера с защищенного эталона дискеты дро-
зофилы.
     5. Выполняется сравнение  эталонной  копии дискеты-дрозофилы и
"рабочей копии", с которой запускались программы. Сравнение следу-
ет выполнять с помощью Diskcomp или PC Tools, запускаемых с закле-
енной эталонной дискеты с операционной системой.
     6. Если найдены различия, то вероятность того, что Ваш компь-
ютер заражен вирусом, достаточно велика и необходимо выполнить его
поиск и дезинфекцию по методике,  описанной в дополнениях к моног-
рафии "Компьютерная вирусология" (это дополнение записано  в  виде
файла дискету, прилагаемую к монографии).
     7. Если различий нет,  то необходимо вернуться к п.2 и  попы-
таться изменить дату, последовательность запуска программ и другие
описанные в работе "Компьютерные вирусы" методы "пробуждения"  ви-
руса.
     8. Если ни один из  этих приемов не привел к  успеху, вероят-
ность того, что ваш компьютер заражен вирусом, мала по сравнению с
вероятностью других причин наблюдаемого аномального поведения.  То
есть,  если  несмотря  на  все  усилия, дискета-дрозофила остается
идентичной эталону, то причину наблюдаемых аномалий следует искать
в другом.

               Некоторые дополнительные замечания

     В настоящее время одной из проблем для любого вирусолога  яв-
ляется потери времени от массы "ложных вызовов" и звонков с попыт-
ками объяснить ситуацию по телефону. Конечно каждому  пользователю
ситуация на его компьютере представляется достаточно важной, чтобы
позвонить и расспросить специалиста, однако для самого специалиста
это порой  предвращается в  настоящий кошмар.  Поэтому предложение
провести указанный выше эксперимент и представить его результаты в
виде двух копий дискет  "эталонной" и "зараженной" экономит  массу
времени при  общении с  не очень  квалифицированными или "паронои-
дальными"  пользователями,  позволяя  "отсечь"  большинство ложных
случаев.
     В связи в этим мне кажется эта идея представляет определенный
интерес для всех, кому приходится консультировать пользователей по
вопросам зараженности компьютеров. Как правило пользователи конст-
руктивно реагируют  на предложение  провести данный  эксперимент и
проблем  с  объяснением  требуемой  последовательности действий не
возникает.
     Более того,  в случае,  когда пользователь  предагает ту  или
иную программы, якобы  зараженную вирусом, всегда  следует просить
предоставить ее в паре  с незараженном оригиналом и  протоколом их
побайтового сравнения.  Если это  пользователю сделать  не удается
(т.е. он не может предоставить вирус в виде зараженного и  незара-
женного файлов), я  настоятельно рекомендую просить  его предоста-
вить две дискеты (эталонную  и зараженную) с потоколом  их сравне-
ния. Таким образом  указанная комбинация из  двух дискет может  (и
должна!) случить в качестве одного из стандартов передачи материа-
лов для анализа.

                                                        Приложение

                    Об отношении к авторам вирусов

─ SOFTPANORAMA ────────────────────────────────────────────────── SOFTPANORAMA ─
 Msg  : 176 of 206                  Loc
 From : Nick Bezrukov               2:463/10.1              02 Aug 92  08:01:00
 To   : Dmitry Sudak
 Subj : Технокрысы это довольно мерзкая разновидность преступников
────────────────────────────────────────────────────────────────────────────────
               Здравствуйте, уважаемый Дмитрий Судак !

In a msg of <30 Jul 92>, Dmitry Sudak writes to Alexander Shehovtsov:

 DS>    Во-первых, что касается термина "технокрыса", то от него пахнет
 DS> бессильной злобой посредственности, не нашедшей других способов
 DS> отомстить, кроме возможности обругать (напоминает наши магазины: нас
 DS> обманывают - мы грубим). Hе нужно, наверное, вообще вспоминать об
 DS> авторах - много чести! Во-вторых, мне кажется, что вирусы и их авторов
 DS> нужно воспринимать не как личное оскорбление (со всеми вытекающими
 DS> последствиями), а как вредное явление и чисто техническую проблему
 DS> безотносительно конкретных людей.

    Мне кажется, что  термин "технокрыса" весьма  удачен тем, что  сразу
классифицирует человека как "мерзкого типа", каковым он по сути и  явля-
ется. Любители гадить  исподтишка. К тому  же кто-то очень  точно сказал
"крысы - это побочный продукт цивилизации".
    Hе стоит изобретать велосипед при классификации этого вида "деятель-
ности". В большинстве западных стран приняты законы, по которым  человек
написавший и распространивший  вирус получит не  более 15 лет  тюремного
режима с возмещением нанесенных ущерба. И если значительная часть  циви-
лизованного мира рассматривает такую деятельность как преступную, то за-
чем нам "особый путь"?
    Я думаю, что соответствующие законы рано или поздно будут приняты  у
нас и два-три процесса над  авторами вирусов отрезвят тех, кто  пытается
заниматься этим  грязным делом  по недомыслию.  Конечно, по  человечески
жалко тех, кто выступит в  роли "козлов отпущения", это наверняка  будут
не те,  кто своими  писаниями нанес  наибольший ущерб,  а скорее те кого
"взяли" первыми. Хотя грустно в 17-19 лет вместо упражнений с  клавиату-
рой, отправиться на несколько лет осваивать труд чернорабочего в  местах
не столь отдаленных, но общество имеет право защищаться от преступников.
Причем  преступников  довольно  мерзких,  нападающихт  только на слабых,
т.е.сродни тем мерзавцам, которые отнимают у детей куртки, деньги, пако-
стят в парадных и лифтах.  Вы когда нибудь видели человека,  который не-
профессонально использует компьютеры, скажем медик или лингвист,  выпол-
няющий какие-то расчеты и пишущего статьи и у которого вирус стер винче-
стер. Это такой же стресс, как если, скажем, у человека украли  рукопись
или обворовали квартиру. И будет справедливо, если негодяя поймают и на-
кажут.
    Поэтому я настоятельно не советую заниматься апологетикой, поскольку
в этом случае  Вы выступаете в  роли подстрекателя и,  если уж Вы  такой
"крысолюб", то не забудьте пожалуйста о том, что Вы несете часть вины за
технокрыс, которые попадут в судебную мышеловку первыми. Вместе с тем, я
полностью согласен с тем, что не стоит "всуе" упоминать имена технокрыс.
Геростраты, увы, не переводятся и это, конечно, нужно учитывать.

 DS> В-третьих,
 DS> информация, которой я располагаю, дает мне основания утверждать, что в
 DS> РАСПРОСТРАHЕHИИ вирусов в большей степени виноваты неаккуратные
 DS> низкопрофессиональные люди, занимающиеся бестолковым копированием
 DS> программного обеспечения, или злоумышленники, делающие это
 DS> ЦЕЛЕHАПРАВЛЕHHО. Без них все усилия вирусописателей остались бы без
 DS> результатов.

     Данная точка зрения  совершенно не верна  и свидетельствует о  том,
что Вы не учли существования программ типа FREEWARE и SHAREWARE. Эти два
класса программного обеспечения предназначены для распространения  поль-
зователями и, к сожалению, деятельность технокрыс ставит под удар  авто-
ров продуктов, распространяемых указанным способом сильнее, чем  авторов
коммерческого софта. А насчет людей, нельзя не согласиться: действитель-
но попадаются разные, в  том числе низкопрофессиональные и  неаккуратные
;-).

 DS> Я не знаю ни одного человека, грамотно работающего на
 DS> компьютере, который бы против собственного желания встретился с
 DS> вирусами на своем компьютере, не говоря уже о проблемах уничтожения.
 DS> Минимум средств (как программных, так и организационных) - и я давно
 DS> не встречаюсь с этими проблемами. В самом крайнем случае можно
 DS> восстановить системные области с сохраненных копий, а выполняемые
 DS> программы - с дистрибутивов или архивов. А если у кого-то нет
 DS> обыкновения заботиться о себе, то никакие AIDSTEST'ы ему не помогут.

     Опять же  это или  сознательное стремление  ввести неспециалистов в
заблуждение или поза в стиле "Ваня, подержи мою фураню, а я  поломаюсь".
Как же  можно категорически  утверждать такое  после того  как вирус DIR
прошелся по стране. И какой это минимум средств помог в защите от него ?
Только Adinf как-то реагировал на его присутствие.
     Теперь о восстановлении. Восстановление системных областей с сохра-
ненных копий, а всего остального с дистрибутивов и архивов помогает  то-
лько при раннем обнаружении, а иначе архивные дискеты у Вас и будут  ос-
новным поставщиком зараженных программы, причем в масштабах  организации
бороться с этим весьма не легко ("эффект оседания"). Да и насчет дистри-
бутивов не все так просто. Может быть для Вас дистрибутив и гарантия не-
зараженности, а я вот встречался с дистрибутивами, зараженными вирусами.
В литературе упоминались случаи, когда очень солидные фирмы  распростра-
няли зараженные дискеты. Hе зря Остап Бендер говорил, что полную  гаран-
тию дает только страховой полис ;-).

                                                 С уважением H.Безруков

 * Origin: SP Editor (2:463/10.1)
