Проект на тему &quot;Сравнительная характеристика антивирусных программ для ПК&quot;

соответственно, заинтересован в защите ПК от вредоносного ПО. Самым распространённым и простым способом защиты для пользователя является установка антивирусного программного обеспечения. Производители такого программного обеспечения предлагают множество вариантов антивирусных программ и пакетов, отличающихся набором функций и методов защиты. В следствии, возникает вопрос об эффективности различного программного обеспечения и выборе лучшего из них.

Поэтому целью данной курсовой работы является выявление лучшего антивирусного пакета.

Для достижения этой цели в работе решаются следующие задачи:

-изучить литературу по теме курсового исследования;

-изучить понятия вредоносной программы и антивирусного средства;

-изучить классификацию вредоносных программ;

-изучить принципы работы антивирусных средств; -провести сравнительный анализ антивирусных пакетов; -сделать выводы на основе исследования.

ГЛАВА 1.ТЕОРЕТИЧЕСКАЯ ЧАСТЬ.

1. Вредоносное программное обеспечение.

1.1 Определение и типы классификаций вредоносного ПО.

Вредоносное программное обеспечение (вредоносная программа) – это всевозможное программное обеспечение, созданное для получения доступа к ресурсам компьютера или другого устройства, а также к информации, содержащейся на нем, с целью несанкционированного применения этих ресурсов и информации или нанесения ущерба владельцу устройства посредством копирования, изменения или удаления информации.

Общепринятой единой системы классификации вредоносных программ в настоящее время не существует, однако исторически сложилось несколько типов классификаций вредоносного ПО. Например, есть возможность классифицировать его по типу операционной системы, для которой оно разработано (для ОС семейства Microsoft Windows, Mac OS, платформы Google Android и др.). Также существует классификация по вредоносным функциям и по степени опасности. Последняя классификация является самой распространенной, причем современные антивирусные компании используют именно ее, так как новое, разрабатываемое вредоносное ПО может иметь не одну, а несколько деструктивных функций[2]. Однако для ознакомления с вредоносным ПО лучше использовать распределение по типам согласно формальным признакам, определяющим именно их вредоносные функции. По моему мнению, такая классификация наиболее детально раскрывает возможности каждой вредоносной программы.

Вредоносная программа имеет свою сигнатуру. Сигнатура - это целочисленная или текстовая константа, используемая для однозначной идентификации данных. На сигнатуре файлов основан метод сканирования сигнатур в антивирусных программах.

1.2 Вирусы

Компьютерный вирус – это разновидность вредоносной программы, обладающая следующими отличительными свойствами:

- является самореплицирующейся;

- заражает другие программные файлы компьютерной системы.

Рассмотрим подробнее каждое из свойств. Саморепликация это способность программы осуществлять несанкционированное, то есть без желания самого пользователя, порождение своих функционально идентичных копий. Под «функционально идентичными» подразумевается, что коды вирусов могут не иметь ничего общего, однако должны выполнять одни и те же функции[3]. Компьютерный вирус и троянские программы обладают принципиальным различием в том плане, что троянские программы не способны к самовоспроизведению и предназначены только с целью выполнения несанкционированных, чаще всего деструктивных операций. Однако компьютерные черви, о которых будет рассказано позже, тоже являются самореплицирующимися, поэтому главным отличием вируса от другого вредоносного ПО следует считать его второе свойство - способность к заражению файловых объектов. Под заражением понимается внедрение вируса в файл исполняемого приложения, не нарушая его основные функциональные возможности[3].

По принципу активации вирусы можно разделить на два типа: резидентные и нерезидентные. Резидентные вирусы при заражении внедряются в оперативную память компьютера и постоянно находятся в активном состоянии вплоть до выключения или перезагрузки системы. Они способны перехватывать обращения программ к операционной системе и затем заражать их. Например, исполнимые программы заражаются в момент запуска. Нерезидентные вирусы начинают работу в момент старта зараженного носителя, причем время их активности ограничено[2].

В настоящее время почти все вирусы используют различные полиморфные технологии. Полиморфные вирусы – вирусы, способные изменять свой программный код в процессе исполнения с целью снижения риска обнаружения. Процедура, которая отвечает за изменение кода, также может меняться от заражения к заражению. Чаще всего для модификации структуры кода в него добавляют такие операторы, которые не изменяют алгоритм работы вируса, а соответственно, не меняют его функциональные возможности. Это могут быть пустые строки, пустые циклы, любой аналог оператора NOP или операции с переменной, не участвующей в основном алгоритме кода. Таким образом, вирус как бы «шифруется», что мешает выявлению его сигнатуры и занесению ее в базу данных антивирусных программ[2].

Еще одной разновидностью компьютерных вирусов является макровирус. Макровирусы – это вирусы, разработанные на языках, применяющихся для создания макросов в различных офисных приложениях, например Microsoft Office. Макровирусы способны внедряться в макросы. Макрос – это программа, позволяющая пользователю автоматизировать выполнение часто используемых действий в приложении. Долгое время макровирусы являлись основным типом вирусов, пока Microsoft по умолчанию не отключила макросы в Office. Они быстро заражали документы, и их трудно было обнаружить, так как они являются нерезидентными вирусами[2].

Вирусы могут быть разной степени опасности. Некоторые никак не мешают работе компьютера, однако способны существенно уменьшать объем оперативной памяти. Более опасные вирусы приводят к сбоям в работе системы или программ. В класс самых опасных вирусов включены те, которые занимаются зловредными манипуляциями с информацией пользователя, и те, которые способны полностью вывести из строя операционную систему[4].

1.3. Черви

Компьютерные черви – еще одна разновидность вредоносных программ. Они так же могут самореплицироваться, причем обладают возможностью распространяться через локальные и глобальные сети, в том числе Интернет. Некоторые черви, как и вирусы, заражают файлы системы и в принципе, их можно считать разновидностью вирусов, однако есть важное различие: в то время как компьютерный вирус – это фрагмент программного кода, который добавляется к полезным файлам, червь является самостоятельной программой[2].

Черви можно распределить по способу распространения. Почтовые черви используют электронную почту. Запущенные в исполнение, они отыскивают в инфицированной системе все возможные адреса электронной почты и отправляют письма с вложенной в него своей копией[3]. Сетевые черви или интернет-черви распространяются по локальной или глобальной сети с помощью сетевых протоколов, рассылая свои копии внутри информационных пакетов. Некоторые черви способны публиковать ссылки на скачивание своей копии в мессенджерах и чатах. Так же существуют файловые черви, которые при заражении копируют себя на съемные диски и другие носители информации, давая своим копиям менее подозрительные имена типа INSTALL.EXE или WINSTART.BAT, чтобы заставить пользователя запустить эти копии. Помимо этого, червь способен разместить в корневой папке носителя файл AUTORUN.INF, который при обращении к зараженному накопителю автоматически запускает червя[2].

1.4. Троянские программы

Троянские программы (троянцы) являются самым многочисленным и распространенным вредоносным ПО[4]. Как уже упоминалось ранее, они не способны к саморепликации, однако это нисколько не уменьшает их опасности. Троянские программы маскируются под полезные приложения, обычно под игровые или развлекательные, в том числе и под антивирус, и начинают свою деструктивную деятельность непосредственно при запуске приложения пользователем. Чаще всего злоумышленники рассылают троянцев в виде вложений в сообщения электронной почты под видом коммерческих приложений, сообщений почтовых служб и интернет-магазинов, скидочных купонов и тому подобное. Кроме того, очагами распространения троянских программ традиционно являются сайты категории «для взрослых», всевозможные коллекции пиратских и взломанных коммерческих программ, файлообменные интернет ресурсы, сборники утилит для взлома лицензионных продуктов[2]. В процессе исполнения они могут осуществлять сбор информации на компьютере пользователя, злонамеренно изменять, удалять и передавать ее злоумышленнику, а так же заражать систему вирусами[5].

В общем случае трояны состоят из двух элементов: Клиент и Сервер. При запуске трояна приводится в исполнение Сервер. Он соединяется с Клиентом, компьютером атакующей стороны, который установлен на приём соединений. После того как осуществилось успешное соединение, Клиент может отправлять на него команды, которые Сервер будет исполнять на машине-жертве.

1.5. Другие виды вредоносного ПО

В связи с развитием в сфере программирования, границы между классификациями вредоносного ПО постепенно размываются, поэтому некоторые типы вирусов и троянских программ выродились в отдельные, более опасные типы вредоносного ПО. К таким типам относятся бэкдоры, буткиты, руткиты, биоскиты и боты.

Например, бэкдоры, включающие в себя как троянские программы, так и вирусы, способны перехватывать управление компьютером без ведома пользователя[6]. Наиболее простые бэкдоры могут транслировать поступающие извне директивы командному интерпретатору операционной системы( cmd в Microsoft Windows, bash или sh с Linux), более «продвинутые» обладают собственной системой команд, позволяющей выполнять различные операции с файловыми объектами и самой операционной системой. Данные, которыми обменивается бэкдор с удаленным сервером злоумышленников, как правило, шифруются[2].

Буткиты могут заражать загрузочную запись компьютера и таким образом запускаться вместе с операционной системой, то есть раньше любого антивирусного ПО. Они перехватывают некоторые функции управления операционной системой, а так же имеют возможность получить в ней максимальные привилегии, в том числе и права администратора, и как следствие, способны блокировать запуск антивирусного ПО и попытки «вылечить» компьютер. В общем случае алгоритм действия буткитов таков: запустившись на зараженном компьютере, он размещает свою копию в одной из свободных логических областей диска, а затем модифицирует существующую загрузочную запись, внедряя в нее собственный код, который получает управление при запуске операционной системы и загружает в оперативную память основное тело буткита[2]. По окончании этого процесса буткит передает управление дальнейшей загрузкой оригинальной загрузочной записи, позволяя ОС стартовать в штатном режиме. На момент завершения загрузки вредоносная программа уже находится в памяти и может выполнять различные деструктивные действия. Буткиты так же опасны тем, что при их неправильном удалении возникает риск повреждения логической структуры диска, и система может вовсе перестать загружаться[6].

Руткиты выродились из класса стелс-вирусов. Это вредоносное ПО, разработанное с целью скрывать свое присутствие, а иногда и деятельность других вредоносных программ в зараженной операционной системе, а так же препятствовать попыткам их поиска и удаления[2]. Одним из способов работы руткита является захват таблиц вызова. Таблицы вызова представляют собой массив, в котором каждый элемент хранит адрес процедур. Руткит изменяет адреса в таблице, что приводит к неправильной работе программ компьютера, выгодной злоумышленнику. Так же руткит может осуществлять перехват функций модификацией кода. В начало каждой перехватываемой функции записывается код, который осуществляет передачу управления, а уже затем появляется возможность вызвать перехваченную функцию[6].

Биоскиты модифицируют содержимое микросхем BIOS зараженного компьютера. Однако, такое вредоносное ПО встречается редко, и в настоящее время не получило широкого развития[2].

Некоторые вирусы, троянские программы и бэкдоры способны объединиться в сеть, называемую ботнетом, а сами такие вредоносные программы называются ботами. Ботнет находится под управлением злоумышленников через один или несколько командных серверов и чаще всего используется для централизованной атаки на сервера Интернета или массовой рассылки спама[2]. Если к веб-сайту по команде одновременно обратится несколько сотен тысяч компьютеров, посылая запросы каждые несколько микросекунд, у сервера не останется ресурсов для обслуживания других клиентов и он откажется работать. Подобный типа атак называется «атака на отказ в обслуживании» - DDoS-атаками.

1.6 Признаки заражения вредоносным ПО

При заражении компьютера в первую очередь важно обнаружить вредоносное ПО. Работу некоторых зловредных программ выявить не так просто, однако существуют некоторые общие признаки их деятельности[5]:

• Завершение работы, или неправильная работа ранее успешно функционировавших программ;

• Медленная работа компьютера;

• Невозможность загрузки операционной системы или перезапуск компьютера без вмешательства пользователя;

• Исчезновение или искажение файлов, каталогов и их содержимого;

• Уменьшение размеров оперативной памяти;

• Появление в реестре автозапуска новых неизвестных ранее приложений;

• Частые зависания и сбои в работе системы;

• Изменение даты и времени модификаций файлов;

• Вывод на экран непредусмотренных сообщений;

• Подача непредусмотренных звуковых сигналов;

2. Антивирусное программное обеспечение.

2.1 Понятие антивирусного пакета.

Антивирусный пакет – специализированный набор программных инструментов, необходимый компьютеру для защиты его от вредоносного ПО. Сама по себе антивирусная программа занимается поиском вирусов и предотвращением заражения файловых объектов и является только частью комплексной защиты. Современные антивирусные пакеты борются не только с вирусами, но и с другими видами нежелательного ПО, а так же способны восстанавливать зараженные и поврежденные файлы системы. Для такого ПО название «антивирус» не совсем корректно, однако оно прочно закрепилось в лексиконе современных пользователей.

Первым подобием антивируса можно считать разработку Энди Хопкинса, написанную в 1984 году под названием CHK4BOMB. Она сканировала текст загрузочного модуля и могла выявлять «подозрительные» участки кода. Резидентный антивирус был создан Джи Вонг уже в следующем году и назывался DRPROTECT, который блокировал все операции, выполняемые через BIOS, и если таковая обнаруживалась, DRPROTECT требовал рестарта системы[7].

Долгое время антивирусы представляли собой просто набор сигнатур известных вирусов, хранящихся в теле программы. Так же подразумевалось наличие процедуры поиска этих сигнатур в файлах системы. Появление полиморфных вирусов дало новый толчок в развитии методов защиты, и позже Евгением Касперским был разработан антивирус AVP, который включал в себя эмулятор кода, способного выявлять постоянное тело полиморфного вируса[8]. Первой широко известной полноценной антивирусной программой можно считать Dr. Solomon’s Anti-Virus Toolkit, созданной Аланом Соломоном в 1988 году. Она была способна не только выявлять вирусы, но и предотвращать заражения и восстанавливать зараженные файлы[8].

В связи с широким распространением сети Интернет разработчики антивирусного ПО создают межсетевой экран или фаервол – программный комплекс, который осуществляет контроль и фильтрацию сетевого трафика[7].

Борьба с вредоносным ПО продолжается и в настоящее время. Современные антивирусные средства включают в себя множество функций, в том числе[7]:

• Защита от вредоносных программ;

• Предотвращение хакерских атак;

• Проверка файлов на ПК и съемных носителях информации;

• Проверка сайтов на безопасность; • Восстановление зараженных объектов;

• Блокировка нежелательного контента.

К дополнительным функциям антивирусного ПО относят:

• Блокировка нежелательной электронной почты;

• Блокировка фишинг-сообщений;

• Настройка фильтров информации.

2.2. Принцип работы антивирусной программы. 2.2.1 Методы обнаружения вредоносного ПО и зараженных объектов.

Антивирусные программы используют различные методы для защиты компьютера от вредоносного ПО. Самым первым методом обнаружения зараженного объекта является сигнатурный метод. Это надежный и быстродействующий метод, основанный на поиске сигнатуры вируса в сканируемом объекте. Сигнатуры известных вирусов хранятся в базе данных антивирусных средств. Отсюда вытекает ряд недостатков. Во-первых, метод сканирования сигнатур обнаруживает только известные вирусы и не помогает в поиске новых. Специалисты антивирусной лаборатории выполняют анализ кода зараженного файла, на основании которого выявляют сигнатуру нового вируса, на что требуется определенное количество времени. Во-вторых, необходимо постоянное обновление баз данных. Рост количества новых вирусов приводит к тому, что базы данных становятся больших размеров, от чего теряется одно из главных достоинств метода – быстродействие. Впервые этот метод был применен для борьбы с вирусами, однако в настоящее время он хорошо подходит и для другого вредоносного ПО[9].

Практически любое вредоносное ПО оставляет следы деятельности в компьютере. На основе этого существует метод контроля целостности. В данном случае антивирусная программа производит периодическое сканирование содержимого диска и важных внутренних областей файловых систем. При этом осуществляется сравнение заранее подсчитанной контрольной суммы и контрольной суммы текущего состояния сканируемой области. При несовпадении значений сканируемый объект отправляется на дополнительную проверку другим методом. У этого метода есть некоторое преимущество - он работает быстрее предыдущего, так как подсчет контрольной суммы не требует много времени, а так же позволяет обнаружить деятельность неизвестного вируса или червя, которого еще нет в базе данных сигнатур. Однако имеется и значительный недостаток – вредоносную программу удается обнаружить только после своего выполнения. Так же нужно быть уверенным, что сканируемые программы и файлы устанавливаются из проверенного источника[9].

Следующий метод, называемый эвристическим анализом, является самым распространенным, его используют практически все современные антивирусные программы[7]. Чаще всего он применяется совместно с сигнатурным методом, и необходим для поиска полиморфных и шифрующихся вирусов, а так же он позволяет обнаружить ранее неизвестные вредоносные программы. Эвристический алгоритм у каждой антивирусной компании свой и держится в секрете. В общем случае эвристический анализатор антивирусной программы занимается поиском характерных для вредоносного ПО особенностей: фрагментов программного кода, определенных ключей реестра, файлов и процессов. Эвристический анализ может проводиться и над всей системой в целом, например, для поиска руткитов. Тогда анализируется совокупность данных в реестре, файлов на диске, процессов и библиотек в памяти, активных сервисов и загруженных драйверов. Одним из примеров эвристического анализа служит сканирование содержимого файлов на предмет наличия модификаций уже известных сигнатур и их комбинаций. Таким образом, антивирус определяет гибриды и новые версии ранее известных вирусов без дополнительного обновления баз данных. Несмотря на свою популярность, метод имеет существенный недостаток: большое количество «ложных» срабатываний[9].

Некоторые антивирусные программы пытаются имитировать начало выполнения кода каждой вызываемой программы с целью выявления подозрительных событий после ее запуска. Другими словами происходит эмуляция действий запускаемой программы. Например, если антивирус обнаружил, что программа использует самоизменяющийся код или пытается внедрить свой код в другие файлы системы, она будет считаться вредоносной. Как и предыдущий метод, эмуляция имеет высокий риск ошибочных предупреждений, однако тоже подходит для ранее неизвестных вредных программ[7].

Для обнаружения вредоносного ПО антивирусные программы могут использовать «песочницы», которые имитируют операционную систему. Подозрительная программа запускается в песочнице, и после ее выполнения антивирус проверяет содержимое песочницы на присутствие каких-либо изменений, характерных для вредоносного ПО (повреждений файлов, наличие зараженных объектов и т.д.). Чаще всего эти действия выполняются по запросу пользователя из-за снижения быстродействия системы. Антивирусные программы с такой функцией более эффективны, но и затраты на работу у них выше, однако увеличение мощностей домашних компьютеров позволяет использовать этот метод в любом современном антивирусном пакете[7].

Еде одна технология по борьбе с вредоносными программами – это «белый список». Эта технология предотвращает выполнение всех компьютерных кодов, за исключением тех, которые были ранее обозначены пользователем как безопасные. Для домашних компьютеров эта технология не совсем применима, так как необходимо следить за тем, какие программы вы устанавливаете и добавлять их в белый список. У современных предприятий есть множество надежных приложений, и ответственность за ограничения в использовании этой технологии возлагается на системных администраторов и соответствующим образом составленные ими «белые списки» надежных приложений[7].

Каждый метод обладает своими преимуществами и недостатками, поэтому современные антивирусные компании используют комбинации этих методов для обеспечения качественной защиты системы.

2.2.2. Действия антивирусной программы по результатам сканирования.

По результатам анализа антивирус производит различные действия с файловым объектом:

• Если в файле обнаружен вредоносный код, антивирус блокирует файл, помещает его копию в резервное хранилище (если таковое имеется) и пытается «лечить» файл. Под «лечением» подразумевается удаление основного тела вируса, возвращая файл в исходное состояние[4]. В зависимости от того, в какой части кода файла расположено тело вируса, антивирус выполняет следующие действия: если тело вируса находится в конце или в начале кода файла, антивирусная система попросту «отрезает» тело вируса(при случае, если вирус извлечен из конца, добавляется оператор, возвращающий управление операционной системе). В другом, более распространенном случае, когда тело вируса расположено в середине кода файла, антивирус заменяет его нулями. Однако, это самые простые технологии. Для шифрующихся и полиморфных вирусов существуют отдельные алгоритмы лечения. В результате успешного лечения файл становится доступным для работы, если же лечение произвести не удалось, файл удаляется.

• Если в файле обнаружен код, похожий на вредоносный, но стопроцентной гарантии этого нет, файл помещается в специальное хранилище, называемое карантин, для предотвращения запуска программы и возможного дальнейшего распространения вируса[7]. При обновлении баз данных сигнатур необходимо периодически проверять файлы в карантине.

• Если в файле не обнаружено вредоносного кода, он сразу же становится доступным для работы.

Если была обнаружена программа, выполняющая подозрительные функции, она проверяется с помощью баз данных сигнатур. Если выявлено совпадение сигнатур, она удаляется, если нет – помещается в карантин.

2.3. Виды антивирусных программ.

Антивирусный пакет может включать в себя несколько видов антивирусных программ, или же они могут предлагаться пользователю по отдельности в зависимости от запроса. Это могут быть программы-детекторы, доктора, ревизоры, фильтры и иммунизаторы[4].

Программы-детекторы занимаются поиском и обнаружением вирусов в оперативной памяти и на внешних носителях, и при обнаружении выдают соответствующее сообщение[4]. Обычно используют сигнатурный метод поиска зараженных объектов.

Программы-доктора сканируют систему на наличие вредоносного ПО, удаляют его, а затем находят зараженные файлы и «лечат» их[4].

Программы-ревизоры работают по следующему принципу: сначала они запоминают исходное состояние системы, предположительно, не зараженной, а далее периодически или по желанию пользователя сравнивают текущее состояние с исходным. Такие программы чаще всего используют метод контроля целостности[4].

Программы-фильтры представляют собой небольшие резидентные программы, предназначенные для обнаружения подозрительных действий при работе компьютера, характерных для вредоносного ПО[4]. В таких программах обычно применяется эвристический метод или метод эмуляции.

Программы-вакцины или иммунизаторы— это резидентные программы, которые предотвращают заражение файлов. Они модифицируют файлы или диск так, чтобы это не отражалось на их работе, а вирус, от которого производится вакцинация, будет воспринимать их зараженными и не внедрится. Однако эти программы крайне неэффективны в связи с частым появлением новых вирусов. Вакцинация возможна только от известных вирусов[4].

ГЛАВА 2. ПРАКТИЧЕСКАЯ ЧАСТЬ.

1. Сравнительная характеристика антивирусных программ.

1.2. Выбор объектов для эксперимента.

Перед началом работы были выбраны пять различных антивирусных программ:

1. Dr.Web Security Space – мультиплатформенная антивирусная программа от российской компании «Доктор Веб». По заявлению разработчика, является удобной и гибкой в настройке программой, включающей в себя файервол, превентивную защиту и облачную базу данных сигнатур. В настоящий момент является коммерческой. Цена составляет 1790 рублей в год на 2 компьютера и 2 мобильных устройства, однако разработчик предоставляет бесплатную пробную лицензию с полным функционалом на 30 дней использования.

2. Kaspersky Internet Security – коммерческая антивирусная программа, разработанная «лабораторией Касперского», подходящая для операционных систем семейства Windows, Mac OS и Android. По данным сайта «лаборатории Касперского», антивирус имеет лучшую защиту от вирусов и самую высокую производительность по тестам AV-TEST, набрав 5,91 и 5,78 из 6 баллов по соответствующим критериям. Цена составляет от 1800 рублей в год в зависимости от количества защищаемых устройств.

3. 360 Total Security – простая, но мощная антивирусная программа, созданная популярной в Китае компанией «Qihoo 360». Помимо защиты компьютера включает в себя функции ускорения работы компьютера и очистки системы. Существует бесплатная версия с достаточно широким функционалом, так же есть и платная версия за 999 рублей в год.

4. Avast Free Antivirus – бесплатная антивирусная программа, разработанная чешской компанией «Avast Software». По данным сайта австрийской тестовой лаборатории AV-Comparatives, она входит в топ-5 самых распространенных антивирусных программ в мире. Является мультиплатформенным антивирусом, по заявлению разработчика обладает не большим, но хорошим функционалом.

5. ESET NOD32 - антивирусный пакет, выпускаемый словацкой фирмой ESET. Разработчик утверждает, что данный антивирус способен защитить компьютер даже от самых сложных современных киберугроз благодаря расширенному машинному обучению. На официальном русскоязычном сайте компании ESET антивирус предлагается за 1490 рублей на 3 устройства на 1 год. Существуют версии для разных операционных систем, однако больший функционал работы представлен именно для семейства Windows.

В курсовой работе были рассмотрены те критерии, которые удалось проверить в доступных лабораторных условиях, это:

• Доступность и функционал антивирусного пакета;

• Взаимодействие антивирусов с системой; • Результаты сканирования вредоносного ПО;

• Реакция на новый вирус.

В данной работе тесты проводились на операционной системе Windows 10 и в виртуальной машине Oracle VM VirtualBox с установленной операционной системой Windows 10.

1.2. Доступность и функционал антивирусного пакета.

На сайте каждого разработчика был приведен перечень функционала каждого антивирусного пакета. На основании доступной информации была составлена таблица 2.1. Рассмотренные функции:

• Антивирус – наличие возможности сканирования компьютера и обнаружения угроз в реальном времени;

• Анализ поведения программ – отслеживание поведения программ и, при соответствии поведения программы действиям вредоносного ПО, их блокирование;

• Фаервол – наличие межсетевого экрана;

• Защита персональных данных – защита веб-камеры, защита

аудиоустройств и защита от кейлоггеров;

• Эмуляция или наличие «песочницы» - возможность проводить эмуляцию действий программы или проверять ее в виртуальной машине;

• Эвристический алгоритм – наличие алгоритма для поиска новых вирусов, чьих сигнатур еще нет в базе данных;

• Защита Е-mail;

• Облачная база данных сигнатур – наличие облачного хранилища сигнатур для проверки файлов;

• Антиспам;

• Система обновлений;

• Проверка веб-страниц;

Таблица 1.2.1 - Результаты сравнительного анализа характеристик и функционала антивирусных программ.

функции

антивирусный пакет

Dr.Web

Security

Space

Kaspersky

Internet

Security

360 Total

Security

Avast Free Antivirus

ESET NOD32

антивирус

+

+

+

+

+

анализ поведения программ

+

+

+

+

+

фаервол

+

-

-

-

-

защита персональных данных

+

+

+

-

+

эмуляция или наличие "песочницы

+

+

+

-

-

эвристический алгоритм

+

+

+

+

+

защита E-mail

+

+

+

+

+

облачная база данных сигнатур

+

+

-

+

-

антиспам

+

+

-

-

-

система обновлений

+

+

+

+

+

проверка веб-страниц

+

+

+

+

+

цена на 1 устройство на 1 год, руб

447,5

666,3

0

0

496,6

Все рассматриваемые антивирусные пакеты обладают большим функционалом. По данному анализу Avast Free Antivirus имеет меньший набор функций, чем все остальные, чего и следовало ожидать от бесплатной программы. Самый большой набор функций нам предоставляет Dr.Web Security

Space, который опережает более дорогой Kaspersky Internet Security.

1.3. Взаимодействие антивирусных пакетов с системой.

Выбранные антивирусные пакеты устанавливались на операционную систему Windows 10, далее проводилось сканирование компьютера с помощью каждого антивируса, и фиксировались такие значения как: время установки антивирусного ПО, время полной проверки компьютера, загрузка процессора при сканировании, использование памяти. Всего проверялось 201547 объектов памятью 254 Гб. Для удобства данные представлены в таблице 2.3.1.

Таблица 1.3.1 - Результаты тестов на взаимодействие антивирусов с системой

категория антивирусный пакет тестирования Dr.Web Kaspersky 360 Total Avast ESET

Security Space Internet Security Free NOD32

Security Antivirus

время установки 20 мин 23 мин 15 мин 10 мин 18 мин

время полной 2 ч 33 мин 2 ч 48 мин 2 ч 47 мин 3 ч 4 мин 2 ч 40

проверки ПК мин загрузка 17,5 24,1 10,6 9,8 35,4 процессора, %

использование 164,2 226,3 102,1 150,4 123,7 памяти, мб

В среднем время проверки ПК для каждого антивируса не сильно отличается, однако Dr.Web Security Space показал себя как самый быстрый, причем он является не таким ресурсозатратным, как Kaspersky Internet Security. ESET NOD32 выделяется тем, что загрузка процессора в его случае является наибольшей среди всех представленных значений – 35,4%, что говорит о том, что он может не подойти для слабых процессоров. Различие в использовании памяти бесплатных (360 Total Security и Avast Free Antivirus) и платных антивирусных средств по таблице становится очень заметно, разница составляет около 100-120 МБ. Такое различие можно обосновать разным количеством функций, а соответственно, разным количеством запущенных в системе модулей этих антивирусных пакетов.

1.4. Результаты сканирования вредоносного ПО.

Следующий тест, на мой взгляд, является самым информативным. Для антивирусных пакетов был подготовлен архив, включающий в себя 21457 файлов различного вредоносного ПО, в том числе вирусов, троянский программ и других. Для безопасности всей системы, архив проверялся в виртуальной машине с операционной системой Windows 10. Результаты этого теста так же представлены в таблице 2.4.1, в которой зафиксировано количество выявленного вредоносного ПО, и подсчитан процент обнаружения. Чем выше процент обнаружения, тем больше количество известных сигнатур в базе данных рассматриваемого антивирусного пакета.

Таблица 1.4.1 – результаты проверки архива на наличие в нем вредоносного ПО.

Kaspersky

Лучшим процентом обнаружения обладает антивирус Kaspersky Internet Security, следом за ним Dr.Web Security Space. Самый низкий процент обнаружения выявился у Avast Free Antivirus. Разница в процентах небольшая(около 0,5%), однако в данном тесте она расценивается как существенная. Даже один ненайденный вирус может привести к серьезным последствиям, разница же между лучшим и худшим антивирусом в этом случае составляет 221 вредоносное ПО. Такой результат у Avast Free Antivirus может говорить о плохо разработанной базе данных сигнатур.

1.5. Реакция на новый вирус.

Для данного теста с помощью встроенных команд Windows 10 был разработан файл формата bat, представляющий собой вирус(см. приложение 1). Предполагается, что его сигнатуры нет в базе данных антивируса, поэтому тест проверяет эвристический анализатор антивирусного пакета. Примерно через 2 минуты после создания вируса на него отреагировал Dr.Web Security Space, распознав его как вредоносное ПО и удалив, примерно через такое же время отреагировал и Kaspersky Internet Security. Остальные антивирусы не реагировали на только что созданную вредоносную программу, однако после проверки файла с этим вирусом, они распознали его как вредоносное ПО и удалили.

Далее провелась модификация вируса, были добавлены пустые строки, комментарии и операторы с переменными, не участвующими в основном алгоритме кода вируса(см. приложение 2). После этого вирус уже не обнаруживался сразу после создания ни одним из антивирусов, а после проверки файла вирус обнаружили только 4 из 5 проверяемых антивирусов, Avast Free Antivirus не смог определить программу как вредоносную, что говорит о посредственности эвристического алгоритма данного антивируса.

2. Выводы по результатам исследований.

Kaspersky Internet Security проявила себя как хорошая антивирусная программа. Несмотря на то, что она загружает систему больше, чем другие антивирусы, Kaspersky обладает наивысшим процентом обнаружения и развитым эвристическим алгоритмом, что является важным критерием при отборе. Этот антивирус обладает широким функционалом, однако, и высокой стоимостью.

Dr.Web Security Space представлен в более доступном ценовом варианте, чем предыдущий. Он не слишком нагружает систему, быстро проверяет компьютер и имеет относительно высокий процент обнаружения. Эвристический алгоритм развит не хуже, чем у Kaspersky. Dr.Web так же смог быстро определить и обезвредить новый вирус, поэтому этот антивирусный пакет можно по праву считать лучшим из всех предложенных.

ESET NOD32, по сравнению со своими коммерческими конкурентами, в этих тестах не показал особых результатов. Функционал его немного уже, чем у Dr.Web Security Space и Kaspersky Internet Security, однако он загружает систему гораздо больше, а так же обладает более низким процентом обнаружения. Из исследований можно сделать вывод, что у этого антивируса не лучшим образом разработана система проверки в реальном времени, так как ему не удалось определить только что созданный вирус. ESET NOD32 и Dr.Web Security Space находятся в одной ценовой категории, и все же предпочтение стоит отдать второму из них.

360 Total Security и Avast Free Antivirus проявили себя значительно хуже

платных программ, однако если стоит выбор между бесплатными антивирусами, выбрать стоит 360 Total Security. Помимо того, что он обладает большим функционалом по сравнению с Avast Free Antivirus, он так же имеет более высокий процент обнаружения вредоносного ПО и успешно справился при нахождении модифицированного вируса.

ЗАКЛЮЧЕНИЕ

В настоящее время с уверенностью можно сказать, что абсолютно все пользователи современных устройств сталкивались с последствиями от действий различного вида вредоносного ПО. Непроверенный съемный носитель или установка «пиратских» программ – все это может привести к загрузке вируса или зловреда на компьютер, деструктивные действия которого могут нарушить важные функции системы. Каждый заинтересован в защите своего ПК, и первой ступенью к обеспечению этой защиты является установка антивирусного ПО, так как это самый доступный и распространенный метод, подходящий для обычного пользователя, мало просвещенного в вопросах компьютерной безопасности. Поэтому проблема антивирусной защиты является как никогда актуальной.

Задачи, поставленные в курсовой работе, были достигнуты: изучены понятия вредоносного ПО и антивирусных средств, детально разобрана их классификация и принципы работы. Так же был проведен анализ антивирусных пакетов. В первую очередь отобраны 5 антивирусных пакетов разных ценовых категорий, и, на основе изученного материала, составлены тесты для их проверки. В ходе тестов удалось разобрать функционал каждого антивируса и его взаимодействие с системой. С помощью собственного разработанного вируса получилось проверить эффективность каждой программы, и на основе результатов был выбран лучший из них - Dr.Web Security Space, который обладает быстрой скоростью проверки, высоким процентом обнаружения вредоносного ПО и хорошим эвристическим анализатором. Поэтому можно сказать, что цель данной курсовой работы была успешно выполнена.

СПИСОК ЛИТЕРАТУРЫ:

1. Уголовный кодекс Российской Федерации от 13.12.1996 N 63-ФЗ (ред. от 23.04.2019) // Собрание законодательства Российской Федерации. - 1996 - № 25 - ст. 2954.

2. Холмогоров, В. PRO вирусы / В. Холмогоров. - Санкт-Петербург:

ООО «Страта», 2015.

3. Климентьев, К. Е. Компьютерные вирусы и антивирусы: взгляд программиста / К. Е Климентьев. - М.: ДМК Пресс, 2018. - 656 с.

4. Белоус, А.И. Программные и аппаратные трояны - способы внедрения и методы противодействия. Первая техническая энциклопедия: в 2 т.

Т.1 / А.И Белоус, В.А. Солодуха, С.В Шведов. - М.: ТЕХНОСФЕРА, 2019. - 688 с.

5. Белоус, А.И. Программные и аппаратные трояны - способы внедрения и методы противодействия. Первая техническая энциклопедия: в 2 т.

Т.2 / А.И Белоус, В.А. Солодуха, С.В Шведов. - М.: ТЕХНОСФЕРА, 2019. - 630 с.

6. Зайцев О. Rootkits, SpyWare_AdWare, Keyloggers & BackDoors.

Обнаружение и защита / Олег Зайцев. - Санкт-Петербург: БХВ-Петербург,

2014. – 296 с.

7. Бирюков А.А Информационная безопасность: защита и нападение /

А.А Бирюков. - М.: ДМК Пресс, 2012. – 474 с.

8. Язов, Ю.К. Организация защиты информации в информационных системах от несанкционированного доступа / Ю.К. Язов, С.В. Соловьев. - Воронеж: Кварта, 2018. - 440 с.

9. Лысенко, А. В. Анализ методов обнаружения вредоносных программ / А.В. Ласенко, И.С. Кожевникова, Е.В Ананьин, А.В. Никишова //

Молодой ученый. – 2016. - №21(125) – C. 758-761.