Начальная загрузка и копирование кодов в сеансовую память могут выполняться как последовательно, так и параллельно – суть разделения этапов от этого не меняется.

Рис. 56. Новая гарвардская архитектура

Новая архитектура характеризуется динамической изменяемостью, что обеспечивает защищенность и эффективность, неизменность операционной системы, «вирусный иммунитет» и не мешает возможности применения адаптированных стандартных ОС и всего ПО, написанного для них.

Основных преимуществ два: высокий уровень «вирусного иммунитета» и возможность создания и поддержки доверенной среды, возможность использовать все ранее наработанное ПО.

10.1.1.2. Борьба с вирусами или «вирусный иммунитет»

Каждая крупная компания, специализирующаяся в этой сфере, описывает свои достижения в своей собственной терминологии, основы которой не всегда ясны; иногда представляется, что термины используются произвольно. Именно поэтому неискушенному читателю сложно разобраться, включает ли проактивная защита в себя эвристические анализаторы или, наоборот, между ними есть четкая грань; означает ли наличие класса эвристических анализаторов то, что проактивная защита и поведенческие блокираторы носят не эвристический, а аналитический характер, и т. д.

Встретившись с новым для себя феноменом – компьютерными вирусами, человечество восприняло его как стихию и стало бороться с вирусами как таковыми, как с «вещью в себе», позабыв об их среде обитания и жизненном цикле в целом, выхватив всего лишь одно свойство вирусов (и то совершенно фрагментарно) и построив индустрию антивирусных программ, только исходя из абсолютно неправильного предположения, что можно написать программу, способную проанализировать другую программу.

Попробуем исключительно на понятийном уровне, избегая любых сложностей и подробностей, рассмотреть жизненный цикл вирусов, проиллюстрировать известные методы защиты информации и прокомментировать неудачи в антивирусной борьбе.

Жизненный цикл разрушающих программных воздействий (РПВ) включает в себя:

1) заказ на РПВ;

2) разработку РПВ;

3) транспортировку РПВ на компьютеры пользователей;

4) исполнение РПВ;

5) борьбу с РПВ;

6) восстановление состояния.

Противодействие на первых двух этапах – это зоны деятельности преимущественно государства. Заказчик РПВ – это заказчик преступления, разработчик РПВ – исполнитель. Так и надо к этому относиться.

Нет сомнения, что компьютерный вирус – это программа. Программу пишут люди. Значит, все вирусы так или иначе созданы человеком.

Написать программу – нелегкий труд, а за нелегкий труд целесообразно ожидать хорошую оплату. Оплата (пусть не сейчас, а когда-нибудь потом) – это и есть мотивация «вирусописателей».

Что можно противопоставить мотивации? Вряд ли что-нибудь кроме мотивации более сильной. Что же является более сильной мотивацией, чем желание получить много денег? Видимо, что-то касающееся более простых и потому более важных вещей – желание остаться на свободе, например. Здесь уже чувствуется роль государства как аппарата принуждения. Конечно, важна роль гражданского общества, действительно, общественное мнение имеет первостепенное значение, но наказывать надо, если кто-то кое-где у нас порой…

Государство должно из словосочетания «компьютерное преступление» выбросить слово «компьютерное». А преступник должен сидеть в тюрьме.

Итак, пока вируса на вашем компьютере нет – вам нечего опасаться. Стало быть, вознамерившись вам навредить, злоумышленник первым делом должен доставить вирус (разрушающее программное воздействие) на ваш компьютер.

О том, как доставляются вирусы, написаны тома (см., например, [86, 87]). Как только вирусы не маскируют – от простейшего грима под «полезную утилиту» до «любовных писем» и фотографий звезд (с анонсом «обнаженная»). Все это только для одной цели – доставить вирус на ваш компьютер. По сути, в том или ином виде всегда используется все тот же метод социальной инженерии: для доставки вам вируса злоумышленнику необходимо вас же мотивировать. Как с этим бороться – твердят на каждом шагу: применяйте антивирусные программы, и не просто применяйте, а применяйте, своевременно обновив. В этом случае можно выявить вирусы, которые уже известны антивирусной компании.

Вот в этом месте задержимся ненадолго. Итак:

– выявить таким образом можно не все вирусы, а только известные, и

– только посредством антивирусного пакета с актуальными базами сигнатур.

Первый факт позволяет утверждать, что если антивирусные программы и могут предотвратить вирусную эпидемию, то защитить ваш компьютер от нового вируса они не могут. И чем более активны вы в сети, тем больше у вас шансов одним из первых «познакомиться» с новым вирусом и, конечно, пасть его жертвой. Вряд ли при этом вас успокоит тот факт, что эпидемии все-таки не будет.

Не менее интересен и второй отмеченный факт. Из него точно следует, что время от времени вы вынуждены получать из сети данные, о которых принято думать, что это обновления антивирусных баз. Вот здесь стоит задуматься: почему, получая из сети от некоторого субъекта некоторые данные, мы верим, что перед нами именно то, чего мы ожидаем, и именно от того абонента, от которого мы этого ждем? Доверие – фундаментальная характеристика безопасности, но слепое, ничем не обоснованное доверие – это, скорее всего, либо неинформированность, либо просто глупость.

Рассмотрим проблемы обновления антивирусных баз (как, кстати, и обновления ОС) подробнее.

Итак, если вы используете программное обеспечение Microsoft и любой из существующих антивирусных пакетов, то периодическая легальная доставка обновлений осуществляется обязательно. Естественно, этим может воспользоваться злоумышленник, отправив пользователю разрушающее программное воздействие, замаскированное под обновление. Никаких технических препятствий этому в настоящее время не существует. У вас доставка обновления не вызовет никаких опасений – это действие вполне привычное и кажущееся безопасным. Иллюзию безопасности поддерживают также проверки, которые проводит сервер перед передачей обновления. Но эти проверки призваны защищать интересы (как правило, финансовые) компании, а вовсе не ваши. А на вашем компьютере, как правило, просто нет оборудования, которое способно установить подлинность (аутентифицировать) абонента.

Для того чтобы вы могли установить, что автором обновления является именно антивирусная компания, средствами которой вы пользуетесь, было бы достаточно, если бы обновление подписывалось ЭП производителя, а вы могли эту подпись проверить. В этом случае, установив, что подпись правильна, срок ее действия не истек, сертификат действующий и т. д., вы можете убедиться, что получили именно то обновление, которое изготовлено вашим контрагентом – антивирусной компанией. Можно с уверенностью сказать, что подписание обновлений электронной подписью и проверка вами этой подписи способны блокировать угрозу подмены обновлений. Конечно, для этого необходимо как минимум, чтобы авторы обновлений захотели их подписывать, а на вашем компьютере были средства проверки ЭП.

Но есть и более опасные возможности доставки РПВ от злоумышленника к вам. Эти способы известны специалистам и связаны с возможностью «навязать» антивирусной компании доставку вам в составе обновлений некоторой последовательности, которая при определенных условиях может быть преобразована в разрушающее программное воздействие. Чтобы блокировать угрозы такого рода, необходимо применение гораздо более сложных контрольных процедур, требующих аппаратной поддержки. Измениться при этом должна и процедура сертификации обновлений антивирусных баз.

Можно сказать и больше: в общем случае нельзя предотвратить доставку кода вируса на компьютер. Проиллюстрируем это на примере, предложенном проф. А.Ю. Щербаковым.

Пусть К — код РПВ; S1 – случайное число такой же длины, как К.

Если ⊕ – операция сложения по модулю 2, легко вычислить