Настройка антивирусных программных комплексов

3.1.1. Семейство антивирусных программ Dr.WEB

Программы семейства Dr.WEB выполняют поиск и удаление известных им вирусов из памяти и с дисков компьютера, а также осуществляют эвристический анализ файлов и системных областей дисков компьютера /7/. Эвристический анализ позволяет с высокой степенью вероятности обнаруживать новые, ранее неизвестные, компьютерные вирусы.

В комплект программ для Windows 95-XP входит:

 - полифаг Dr.WEB;

 - резидентный сторож SpIDer Guard и начиная с версии 4.20

 - планировщик Dr.WEB.

Dr.WEB представляет собой классический полифаг и предназначена для использования в 32-битных операционных системах семейства Windows (т.е. Windows 95/98/2000/ME/XP, а также Windows NT 4.0 и выше). Программа производит сканирование файлов и системных областей дисков компьютера на наличие в них компьютерных вирусов и, при нахождении последних, производит их лечение. Кроме того, в составе программы имеется эвристический анализатор, позволяющий находить новые, неизвестные вирусы.

SpIDer Guard является резидентной антивирусной программой (сторож), работающей под операционными системами Windows 9х/2000/ME/XP, а также Windows NT 4.0 и выше. SpIDer Guard перехватывает обращения к файлам и системным областям дисков, осуществляя проверку на наличие в них компьютерных вирусов "на лету". При обнаружении вируса SpIDer Guard предпринимает действия по обезвреживанию (лечению, удалению, перемещению в заранее заданную область) или блокированию инфицированного файла (запрещение доступа к инфицированному файлу). Действия могут предприниматься в автоматическом (без вмешательства пользователя) или полуавтоматическом режимах. В полуавтоматическом режиме пользователь самостоятельно определяет тип конкретного действия с инфицированным файлом. Таким образом, при активизированном стороже, доступ к файлам и/или системным областям разрешается только в случае, если вирусы не обнаружены, либо их удалось обезвредить. Кроме того, в SpIDer Guard предусмотрен специальный режим работы - обнаружение и блокирование вирусной активности. При активизации этого режима SpIDer Guard способен обнаружить и заблокировать попытки неизвестных и неопределяемых эвристическим анализатором компьютерных вирусов производить повторное инфицирование объектов на дисках компьютера.

Планировщик Dr.WEB, позволяет производить запуск антивирусных программ и проверку устройств хранения информации, а также осуществлять обновление вирусных баз и компонентов программы по графику, задаваемому пользователем.

Настройка программы DrWeb. Для вызова окна настроек программы можно воспользоваться кнопкой [Настройки] в главном окне, пунктом меню Настройки -> Изменить установки, или горячей клавишей F9. Окно настроек включает следующие закладки:

1. проверка; 2.типы; 3. действия; 4. архивы; 5. отчет; 6. пути; 7. события; 8. обновления и 9. общие.

Закладка «Проверка». На этой закладке определяются настройки антивирусного сканирования.

Переключатель [Эвристический анализ] включает или выключает эвристический анализ, позволяющий производить поиск и обнаружение новых, неизвестных Dr.WEB вирусов. Уникальный эвристический анализатор производит запуск проверяемых программ в модели операционной системы, контролируя и анализируя все действия тестируемого объекта. При обнаружении подозрительного действия, пользователю выводится предупреждение о возможном заражении объекта определенным типом вируса. Выключение этой опции увеличивает скорость работы программы, однако поиск вирусов в этом случае производится лишь на основе записей, имеющихся в основной и дополнительных вирусных базах.

Переключатель [Проверять память] позволяет в режиме по умолчанию включать или отключать проверку оперативной памяти компьютера на наличие активного резидентного вируса при запуске программы. Для проверки памяти при уже запущенной программе можно воспользоваться меню Файл -> Проверить память или горячей клавишей F6.

Переключатель [Проверять загрузочные сектора] позволяет в режиме по умолчанию включать или отключать проверку загрузочных секторов дисков на наличие в них вирусов.

Переключатель [Проверять подкаталоги] позволяет в режиме по умолчанию включать или выключать проверку файлов во вложенных подкаталогах.

Переключатель [Проверка нескольких дискет] инициирует выдачу предложения проверки следующей дискеты после завершения анализа текущей.

Переключатель [Запрос подтверждения всегда] инициирует выдачу запроса на подтверждение любого действия, которое собирается предпринять Dr.WEB.

Закладка «Типы». На этой закладке определяются типы файлов, подлежащих тестированию.

С помощью переключателей, объединенных в группу под названием Режим проверки, задаются типы проверяемых файлов.

При включении опции Все файлы будет производиться проверка всех файлов без исключения, в том числе текстовых, графических, баз данных и т.д. Эта работа может занять слишком много времени. Рационально производить такую проверку лишь при первичной установке программы.

Опция По формату позволяет производить отбор файлов на тестирование в соответствии с их внутренним форматом, без учета расширения. Исполняемый инфицированный файл может быть переименован, например в текстовый, для уклонения от тестирования антивирусными программами, работающими только по расширению файлов.

При включении опции Выбранные типы отбор файлов на тестирование производится в соответствии со списком расширений, приведенном в правой панели. С помощью кнопок Добавить и Удалить данный список можно редактировать, а кнопкой Базовый можно вернуться к списку, заданному по умолчанию.

Опция Заданные маски позволяет производить отбор файлов для тестирования, имена которых подходят под определенные маски, заданные в дополнительном, редактируемом списке, приведенном в правой панели. С помощью кнопок Добавить и Удалить можно редактировать этот список, а кнопкой Базовый можно вернуться к списку, заданному по умолчанию.

Три переключателя, находящиеся на этой закладке - [Файлы в архивах], [Упакованные файлы] и [Почтовые файлы], включают проверку файлов в архивах (ZIP, ARJ, RAR, TAR, GZIP и CAB), упакованных файлов (DIET, LZEXE, PKLITE, EXEPACK, COMPACK, OPTLINK, WWPACK, WWPACK32, PMGPAK, UCEXE) и почтовых вложений в формате UUE и MIME соответственно.

ВНИМАНИЕ: лечение инфицированных файлов в архивах и почтовых вложениях не производится.

Закладка «Действия». На этой закладке определяются действия, которые Dr.WEB будет производить с инфицированными, неизлечимыми и подозрительными файлами.

В верхней части закладки размещены три кнопки выбора категории файлов, для которых

ниже можно определить действия Dr.WEB:

[Для инфицированных] [Для неизлечимых] [Для подозрительных]

Справка:

· под инфицированным понимается файл, содержащий в себе тело вируса, известного программе Dr.WEB. Излечение такого файла возможно.

· под неизлечимым понимается файл, содержащий в себе тело вируса, известного программе Dr.WEB. Причем излечение такого файла невозможно по причине необратимого инфицирования.

· под подозрительным понимается файл, проверка которого вызвала срабатывание эвристического анализатора Dr.WEB. Такой файл может содержать вирус, неизвестный Dr.WEB.

Для любой категории файлов действия, предпринимаемые программой определяются с помощью набора переключателей.

Выбор опции [Информировать] приведет к тому, что программа при обнаружении файлов соответствующей категории будет лишь информировать пользователя об обнаружении вируса или подозрении о его наличии.

При выборе опции [Вылечить] Dr.WEB, обнаружив инфицированный файл, будет пытаться его вылечить. Данная опция недоступна для неизлечимых и подозрительных файлов.

При выборе опции [Удалить], [Переименовать] или [Переместить в], файл, в котором Dr.WEB определил наличие вируса, будет удален, переименован или перемещен соответственно. Переименование будет осуществлено путем замены расширения файла на другое, заданное в поле справа от опции [Переименовать]. Перемещение будет произведено в каталог, путь к которому указан в поле справа от опции [Переместить в]. С помощью [...] кнопки можно задать путь, не вводя его вручную.

Флажок [Запрос подтверждения] отвечает за выдачу пользователю запроса для подтверждения выполнения заданного действия после обнаружения инфицированного, неизлечимого или подозрительного файла.

Закладка «Архивы»

На этой закладке определяются действия, которые Dr.WEB будет производить с инфицированными, неизлечимыми и подозрительными файлами, обнаруженными в архивах, почтовых файлах и контейнерах.

В верхней части закладки размещены три кнопки выбора категории файлов, для которых ниже можно определить действия Dr.WEB:

[Для архивов]    [Для почтовых файлов]      [Для контейнеров]

Для любой категории действия, предпринимаемые программой при обнаружении инфицированного, неизлечимого и подозрительного файла, определяются с помощью набора переключателей.

Выбор опции [Информировать] приведет к тому, что программа при обнаружении инфицированного, неизлечимого и подозрительного файла будет лишь информировать пользователя об обнаружении вируса или подозрении о его наличии.

При выборе опции [Переименовать] или [Переместить] в, архив, почтовый файл или контейнер, в котором Dr.WEB определил наличие вируса, будет переименован или перемещен соответственно. Переименование архива, почтового файла или контейнера будет осуществлено путем замены расширения файла на другое, заданное в поле справа от опции [Переименовать]. Перемещение будет произведено в каталог, путь к которому указан в поле справа от опции [Переместить в]. С помощью кнопки [...] можно задать путь, не вводя его вручную.

Флажок [Запрос подтверждения] отвечает за выдачу пользователю запроса для подтверждения выполнения заданного действия после обнаружения инфицированного, неизлечимого или подозрительного файла.

Закладка «Отчет». На этой закладке определяется файл отчета, формируемый при работе программы DrWeb и производится настройка его параметров. С помощью переключателя [Вести файл отчета] можно запретить или разрешить формирование программой Dr.WEB файла отчета. Имя формируемого файла задается в поле редактирования, приведенном ниже переключателя.

С помощью группы переключателей [Режим открытия отчета] определяется режим ведения файла отчета:

· добавлять новые записи к уже существующим записям;

· перезаписывать файл заново, в этом случае записи, внесенные в отчет при предыдущих сеансах работы, теряются.

С помощью группы переключателей [Кодировка] задается вариант используемой кодировки русских символов при записи в файл отчета:

· ANSI соответствует кодировке, используемой в Windows. Использование данной кодировки позволяет открывать созданные Dr.WEB файлы отчета с помощью программ просмотра или редактирования для Windows (например, программой NotePad).

· OEM соответствует кодировке, применяемой в DOS. Использование данной кодировки удобно при открытии файла отчета, например, программой просмотра DOS-Navigator'а.

В группе [Детали] можно определить степень детальности информации, записываемой в файл отчета. Включение опции Проверяемые объекты приводит к включению в отчет имени каждого проверяемого объекта. Это значительно увеличивает размер создаваемого файла.

Установка [Предельного размера файла отчета] позволяет ограничить размер файла до объема, заданного пользователем. При превышении предельного размера, файл будет начат сначала.

Закладка «Пути». На этой закладке определяются каталоги (папки), внутри которых антивирусная проверка файлов производиться не будет, а также задаются пути к вирусным базам программы Dr.WEB.

Практически у каждого пользователя на жестком диске присутствует каталог, а то и несколько, в которых хранятся файлы архивного назначения. Проверка этих каталогов на наличие вирусов при каждом запуске Dr.WEB'а будет занимать дополнительное время. На данной закладке можно определить список каталогов, в которых файлы проверяться не будут.

Для внесения каталога в список исключенных из анализа необходимо ввести полный путь к данному каталогу в поле ввода Список исключаемых путей (или нажав кнопку [...], отметить нужный каталог и нажать Ok), а затем подтвердить выбор кнопкой Добавить. Для удаления каталога из списка достаточно нажать ▼ и в появившемся списке выбрать исключаемый каталог, подтвердив действие кнопкой Удалить.

Вирусные базы Вы можете хранить в каталоге, отличном от местонахождения программы Dr.WEB. В этом случае имеется возможность определения дополнительных путей поиска вирусных баз.

Для внесения каталога в список путей поиска вирусных баз, необходимо ввести полный путь к данному каталогу в поле ввода Список путей к вирусным базам (или нажав кнопку [...] отметить нужный каталог и нажать Ok), а затем подтвердить выбор кнопкой Добавить. Для удаления каталога из списка достаточно нажать ▼ и в появившемся списке выбрать исключаемый каталог, подтвердив действие кнопкой Удалить.

Закладка «События». На этой закладке можно определить звуковые эффекты, которые могут сопровождать события, происходящие в процессе работы программы, на компьютере, оборудованном звуковой картой.

Для каждого события, выпадающий список которых появляется при нажатии на кнопку ▼, может быть сопоставлен звуковой файл в формате WAV. Выбрав в списке событие, достаточно ввести имя звукового файла в поле ввода справа. Для быстрого поиска и ввода имени звукового файла можно воспользоваться кнопкой [...].

Закладка «Обновление». На этой закладке устанавливаются параметры, необходимые для автоматического обновления Dr.WEB через Internet или локальную сеть.

Для работы подсистемы автоматического обновления в поле ввода Адрес сервера обновления должен быть введен адрес расположения удаленной системы обновления. В качестве такого адреса может быть задано:

· HTTP URL. Обновление через Internet поддерживается только по протоколу HTTP. По умолчанию подсистема обновления настроена на обращение к коммерческому разделу www-сервера ООО "СалД" "http://www.drweb.ru/ftp/update". С таким URL обновление доступно только для зарегистрированных пользователей программы Dr.WEB, имеющих персональные атрибуты для доступа к данному ресурсу сети - имя пользователя и пароль. В этом случае персональные атрибуты должны быть определены в полях Имя пользователя и Пароль. Для пользователей, имеющих демонстрационные и ознакомительные версии программы, адрес сервера обновления необходимо изменить на обращение к некоммерческому разделу www-сервера ООО "СалД" - "http://www.drweb.ru/ftp/update_free". Следует отметить, что обращение к данному разделу возможно без персональных атрибутов, однако при этом обновляются только дополнительные вирусные базы для последней (новейшей) версии программы Dr.WEB.

· Каталог на локальном или сетевом диске, например, "F:\DRWEB\UPDATE";

· Сетевой каталог, например, "\\UPDATE_SERVER\DRWEB\UPDATE".

При работе подсистемы обновления с использованием прокси-сервера, требующего аутентификации, в полях Имя пользователя прокси-сервера и Пароль к прокси-серверу необходимо ввести соответствующую информацию.

Закладка «Общие». На этой закладке задаются общие настройки программы Dr.WEB для Windows 95-XP.

Переключатель [Автосохранение установок при выходе] позволяет включать или отключать автоматическое сохранение всех установок программы Dr.WEB для Windows 95-XP при окончании каждого сеанса работы.

Переключатель [Использовать установки из реестра] позволяет сохранять в системном реестре Windows текущие размеры окна программы, его расположение и т.д. и восстанавливать их при следующих запусках.

С помощью регулятора [Приоритет проверки] можно изменять системный приоритет программы Dr.WEB для Windows 95-XP. Увеличение приоритета приводит к увеличению скорости работы программы, требуя больших системных ресурсов, что приводит к замедлению работы других запущенных в системе задач. Поэтому, если Вы планируете запустить Dr.WEB для Windows 95-XP, и пока он занимается поставленной перед ним задачей, поработать с Microsoft Word, то лучше уменьшить приоритет проверки. При монопольном запуске Dr.WEB и желании получить результаты как можно скорее, целесообразно приоритет установить максимальным.

Настройка программы SpIDer

ВНИМАНИЕ! Любое изменение настроек SpIDer вступает в силу только после перезагрузки MS Windows.

Загруженный резидентный сторож SpIDer не может быть отключен или выгружен в течение всего текущего сеанса работы в MS Windows. Чтобы отключить автоматическую загрузку SpIDer в следующем сеансе работы в Windows, необходимо убрать флажок [Автозагрузка программы], расположенный во вкладке Проверка, и завершить работу с панелью настроек нажатием кнопки Ok.

Группа переключателей Режим проверки «на лету» определяет, какие именно типы файловых операций подлежат перехвату «на лету», т.е. в каких случаях сторож должен проверять объекты, к которым происходит обращение. Можно установить следующие режимы:

[Запуск и открытие] - проверка программных файлов при запуске и всех открываемых файлов;

[Создание и запись] - проверка всех создаваемых новых файлов и всех существующих файлов при их изменении, записи в них;

[Оптимальный] -

(1) на локальных жестких дисках антивирусная проверка выполняется как в режиме "Создание и запись ", т.е. только для файлов, в которые производится запись, в то время как файлы, открываемые только на чтение, в частности, при запуске программ, не проверяются. Другими словами, предполагается, что все файлы на локальных жестких дисках уже были проверены ранее, при их создании или изменении (впрочем, их все равно стоит периодически проверять, осо-

бенно при обновлении версии Dr.Web или дополнении вирусной базы);

(2) на сетевых дисках и сменных носителях файлы проверяются всегда - при обращении к ним как на запись, так и на чтение (т.е. этот режим объединяет "Запуск и открытие" и "Создание и запись").

Замечание: перехват обращений к файлам на сетевых дисках обеспечивается только для стандартных сетевых клиентов Microsoft. Если используется другой сетевой клиент, например, Novell, то перехват обращений к файлам на сетевых дисках может не поддерживаться.

Флажок [Контроль вирусной активности] включает (выключает) специальный режим работы SpIDer, который позволяет обнаруживать и блокировать попытки вирусов, в том числе неизвестных и даже не определяемых эвристическим анализатором, заражать файлы. При обнаружении вирусной активности имеется возможность запретить выполнение вызвавшей подозрения операции записи в файл. При этом, однако, следует иметь в виду, что в случае некоторых типов резидентных вирусов файл может быть в результате разрушен.

Для просмотра результатов работы SpIDer'а в текущем сеансе предназначена закладка Статистика.

В поле Проверено: выводится общее число проверенных объектов (как файлов, так и загрузочных областей).

В поле Инфицированных: выводится количество объектов, инфицированных известными SpIDer'у вирусами.

В поле Модификаций: выводится количество объектов, инфицированных модификациями известных SpIDer'у вирусов.

В поле Подозрительных: выводится количество объектов, вызвавших срабатывание эвристического анализатора, т.е. подозрительных на наличие вирусов с точки зрения SpIDer'а.

В поле Вирусных действий: выводится число подозрительных действий, отмеченных анализатором вирусной активности. Ненулевые значения могут отражать как наличие неизвестных вирусов, так и «подозрительное» поведение ряда специфических программных приложений.

В поле Исцелено: указывается общее количество успешно вылеченных инфицированных объектов.

В поле Удалено: указывается общее количество удаленных инфицированных объектов.

В поле Переименовано: указывается общее количество переименованных объектов.

В поле Перемещено: указывается общее количество перемещенных объектов.

В поле Запрещен доступ: указывается общее объектов, в доступе к которым было отказано программой SpIDer.

Содержимое остальных закладок соответствует содержимому соответствующих закладок Dr.WEB для Windows 95-XP.

Настройка программы Планировщик DrWebWCL

После запуска Планировщика он становится активным, и признаком этого служит иконка с часами в правой части панели задач Windows (System Tray). Двойным нажатием левой кнопки мыши (или одинарным - правой) на этой иконке вызывается панель Планировщика, содержащая список заданий и меню Планировщика.

Среди настроек Планировщика при его запуске всегда включается режим автозагрузки, означающий автоматическую активизацию Планировщика при каждой перезагрузке Windows. Если по каким-то причинам автозагрузку в следующем сеансе работы Windows требуется отключить, то нужно снять отметку в меню [Настройки | Автозагрузка программы].

Для нового задания Планировщику указывается:

 - Заголовок - произвольное название задания;

 - Путь - имя программы, подлежащей запуску, с полным путем;

 - Параметры - набор параметров, которые должны быть переданы запускаемой программе в командной строке, если таковые требуются;

 - Расписание запусков - поддерживаются следующие типы расписаний:

- Однократно - указывается точная дата и время запуска задания;

- Ежечасно - указывается, на какой минуте каждого часа запускать задание;

- Еженедельно - указывается день недели и время запуска в этот день;

- Ежемесячно - указывается число месяца и время запуска в этот день;

- Ежегодно - указывается число, месяц и время запуска в этот день;

- Ежедневно - указываются дни недели (в отличие от еженедельного запуска здесь их разрешается указать несколько, например, понедельник, среда, пятница) и время запуска в этот день.

Задание может быть временно выключено из обработки Планировщиком без удаления самого задания. Для этого нужно в настройках задания снять отметку в поле [Разрешить].

Замечание: Если время запуска задания по некоторому расписанию уже прошло, а задание не было реально выполнено (например, так может получиться, если компьютер был в это время выключен), то существующая реализация Планировщика всегда назначает для данного задания следующее по расписанию время запуска. Таким образом, отложенные запуски пропущенных заданий не поддерживаются.

Если при установке Dr.Web пользователь заказывает использование Планировщика, то программа установки активизирует Планировщик и предусматривает ряд типовых заданий в расписании Планировщика, но для всех заданий снимает отметку [Разрешить]. Таким образом, после установки Dr.Web пользователю следует по своим потребностям настроить типовые задания и восстановить эту отметку, или описать собственные задания.

 

3.1.2. Программный комплекс Антивирус Касперского

Антивирус Касперского OEM выполняет следующие функции /8/:

· Обнаруживает и удаляет вирусы всех типов в файлах на указанных для проверки дисках, в загрузочных секторах и оперативной памяти.

· Обнаруживает и удаляет вирусы из файлов, упакованных PKLITE, LZEXE, DIET, COM2EXE и другими утилитами сжатия.

· Обнаруживает вирусы в заархивированных файлах всех наиболее распространенных форматов (ZIP, ARJ, LHA, RAR и др.).

· Использует усовершенствованный эвристический механизм поиска неизвестных вирусов (эффективность – до 92%).

Элементы главного окна. Главное окно программы состоит из трех частей:

· список дисков (вверху);

· кнопки управления (посередине);

· открывающаяся "крышка" (внизу).

В списке дисков необходимо выбрать те диски, которые Вы хотите проверить на вирусы. Для этого подведите курсор мыши к требуемому диску, а затем нажмите левую клавишу. Выбранный диск будет отмечен маркером. Для пролистывания списка дисков служат специальные кнопки. Кнопки  также являются индикаторами, показывающими наличие дисков вверху или внизу списка, т.е. если будет достигнут конец списка (начало списка), то кнопка исчезнет.

Основные кнопки управления имеют следующие назначения:

Искать - запуск проверки на вирусы. Если программа находит вирус, то информация об этом пишется в отчет, а пользователю предлагается удалить инфицированный объект. В этом режиме программа НЕ УДАЛЯЕТ вирусы, а только их ОБНАРУЖИВАЕТ.

Лечить -проверка выбранных дисков на вирусы и попытка лечения обнаруженных инфицированных объектов. Информация обо всех инфицированных и подозрительных объектах поступает в отчет. Если программа не может вылечить объект, то она предлагает его удалить.

При поиске вирусов в режиме обнаружения (лечения) кнопка Искать (Лечить) исчезает, и вместо нее появляется кнопка Стоп, для остановки проверки на вирус.

В нижней части окна располагается панель с дополнительными кнопками управления и с информацией о программе. Она выполнена в виде открывающейся крышки. Чтобы открыть (закрыть) крышку, нажмите на кнопку в форме треугольника , расположенную на крышке.

Дополнительные кнопки управления имеют следующие назначения:

Отчет – открытие окна отчета;

Помощь – открытие окна помощи;

Обновить – запуск обновления антивирусных баз данных;

Монитор – запуск проверки на присутствие вирусов в реальном времени. Кнопка заблокирована, если Антивирус Касперского OEM работает в режиме мониторинга.

При нажатии на изображение логотипа, которое располагается на закрытой крышке, на экране откроется браузер c WEB-страницей компании "Лаборатория Касперского". Когда крышка открыта, можно увидеть в окне информацию о продукте (названии и дате выхода версии), количестве проверенных объектов при предыдущей проверке и дате последнего обновления антивирусных баз данных, а также о количестве вирусов, которое может быть обнаружено и вылечено с помощью Антивируса Касперского OEM.