------------------- --------------------- ----------------------
( antivirus, herramienta de protección antivirus, herramienta de detección de malware ) es un programa especializado para detectar virus informáticos , así como programas no deseados (considerados maliciosos ) y recuperar archivos infectados (modificados) por dichos programas y prevención: prevención de infecciones (modificaciones) de archivos o del sistema operativo por código malicioso.
Los primeros antivirus aparecieron a fines de la década de 1980, es difícil establecer de manera inequívoca el momento de su aparición. Los pioneros fueron AntiVir y Dr. Solomon's Anti-Virus Toolkit , creado en 1988, y Symantec antivirus para Macintosh , lanzado un año después.
Métodos de protección antivirus
Se utilizan tres grupos de métodos para protegerse contra los virus:
· Métodos basados en el análisis del contenido de archivos (tanto archivos de datos como archivos con códigos de comando). Este grupo incluye el análisis de firmas de virus, así como la comprobación de integridad y el análisis de comandos sospechosos.
·
· Métodos basados en seguimiento del comportamiento de los programas durante su ejecución. Estos métodos consisten en registrar todos los eventos que amenazan la seguridad del sistema y ocurren durante la ejecución real del código que se está verificando o durante su emulación de software.
· Métodos de regulación del orden de trabajo con archivos y programas. Estos métodos son medidas administrativas de seguridad.
El método de escaneo de firma ( análisis de firma, método de firma) se basa en la búsqueda de archivos para una secuencia única de bytes: firmas , característico de un virus en particular. Para cada virus recién descubierto, los especialistas del laboratorio antivirus analizan el código, en base a lo cual se determina su firma. El fragmento de código resultante se coloca en una base de datos especial de firmas de virus que con el que trabaja el programa antivirus. La ventaja de este método es una proporción relativamente baja de falsos positivos, y la principal desventaja es la imposibilidad fundamental de detectar un nuevo virus en el sistema para el cual no hay firma en la base de datos del antivirus. -programa de virus, por lo que se requiere la actualización oportuna de la base de datos de firmas.
El método de control de integridad se basa en el hecho de que cualquier cambio inesperado e irracional de datos en el disco es un evento sospechoso que requiere una atención especial del sistema antivirus. El virus necesariamente deja constancia de su presencia (cambios en los datos de los archivos existentes (especialmente del sistema o ejecutables), aparición de nuevos archivos ejecutables, etc.). El hecho del cambio de datos - violación de la integridad - se establece fácilmente comparando la suma de comprobación(resumen) calculado de antemano para el estado inicial del código bajo prueba, y la suma de comprobación (resumen) del estado actual del código bajo prueba. Si no coinciden, la integridad se rompe y hay muchas razones para realizar una verificación adicional de este código, por ejemplo, escaneando las firmas de virus. Este método funciona más rápido que el método de escaneo de firmas, ya que el cálculo de sumas de verificación requiere menos cálculos que las operaciones de comparación byte a byte de fragmentos de código, además, le permite detectar rastros de la actividad de cualquier virus, incluso desconocido. no es, para los que aún no hay firmas en la base de datos.
El método de escaneado de comandos sospechosos ( escaneo heurístico, método heurístico ) se basa en la detección de una serie de comandos sospechosos y/o signos de secuencias de código sospechosas en el archivo escaneado (por ejemplo, un comando de formato de disco duro o una función de inyección en un proceso en ejecución o código ejecutable). Después de eso, se hace una suposición sobre la naturaleza maliciosa del archivo y se toman medidas adicionales para verificarlo. Este método tiene un buen rendimiento, pero muy a menudo no es capaz de detectar nuevos virus .
Método de seguimiento del comportamiento del programa es fundamentalmente diferente de los métodos de escaneo de contenido de archivos mencionados anteriormente. Este método se basa en el análisis del comportamiento de los programas en ejecución, comparable a la captura de un criminal "de la mano" en la escena del crimen. Las herramientas antivirus de este tipo requieren a menudo de la participación activa del usuario, al que se le pide que tome decisiones en respuesta a numerosas advertencias del sistema, una parte importante de las cuales pueden convertirse posteriormente en falsas alarmas. La frecuencia de falsos positivos (sospechar de un virus por un archivo inofensivo u omitir un archivo malicioso) cuando se supera un cierto umbral hace que este método sea ineficaz y el usuario puede dejar de responder a las advertencias o elegir una estrategia optimista (permitir todas las acciones a todos los que se ejecutan). programas o desactivar esta característica de la herramienta antivirus). Cuando se utilizan sistemas antivirus que analizan el comportamiento de los programas, siempre existe el riesgo de ejecutar comandos de código de virus que pueden dañar la computadora o la red protegida. Para eliminar esta deficiencia, más tarde se desarrolló un método de emulación (imitación) que le permite ejecutar el programa bajo prueba en un entorno creado artificialmente (virtual), que a menudo se denomina caja de arena ( sandbox ), sin el peligro de dañar el entorno de información. El uso de métodos para analizar el comportamiento de los programas ha demostrado su alta eficiencia en la detección de malware tanto conocido como desconocido.
Los principales tipos de programas antivirus.
· Los programas detectores brindan búsqueda y detección de virus en la RAM y en medios externos, y al detectarlos emiten un mensaje correspondiente. Hay detectores universales y especializados .
· Los programas médicos (fagos) no solo encuentran archivos infectados por virus, sino que también los "curan", es decir, eliminan el cuerpo del programa de virus del archivo, devolviendo los archivos a su estado original. Al comienzo de su trabajo, los fagos buscan virus en la RAM, los destruyen y solo luego proceden a "tratar" los archivos. Entre los fagos se distinguen los polífagos, es decir, programas médicos diseñados para buscar y destruir una gran cantidad de virus. Dado que constantemente aparecen nuevos virus, los programas de detección y los programas médicos se vuelven rápidamente obsoletos y se requieren actualizaciones periódicas de sus versiones.
· Los programas de auditoría se encuentran entre los medios más confiables para protegerse contra los virus. Los auditores recuerdan el estado inicial de los programas, directorios y áreas del sistema del disco cuando la computadora no está infectada con un virus, y luego, periódicamente o a pedido del usuario, comparan el estado actual con el original. Los cambios detectados se muestran en la pantalla del monitor. Por regla general, los estados se comparan inmediatamente después de cargar el sistema operativo. Al comparar, se verifican la longitud del archivo, el código de control cíclico (suma de verificación del archivo), la fecha y hora de la modificación y otros parámetros.
· Los programas de filtro (watchmen) son pequeños programas residentes diseñados para detectar acciones sospechosas durante el funcionamiento de la computadora que son características de los virus.
· Los programas de vacunas (inmunizadores) son programas residentes que previenen la infección de archivos. Las vacunas se usan si no hay programas médicos que “traten” este virus. La vacunación solo es posible contra virus conocidos. La vacuna modifica el programa o disco de forma que no afecta a su funcionamiento, y el virus los percibirá como infectados y por tanto no arraigará. Un inconveniente importante de estos programas es su capacidad limitada para prevenir la infección de una gran cantidad de virus diferentes.
Clasificaciones de los programas antivirus.
Los programas antivirus se dividen por ejecución (herramientas de bloqueo) en:
software;
software y hardware.
Sobre la base de la ubicación en la memoria de acceso aleatorio asignada:
• residente (comienzan su trabajo cuando se inicia el sistema operativo, están constantemente en la memoria de la computadora y verifican automáticamente los archivos);
• no residente (puesta en marcha a petición del usuario o de acuerdo con el horario fijado para éste).
Según el tipo (método) de protección contra virus, existen:
· Los programas detectores, o escáneres , encuentran virus en la RAM, en medios internos y (o) externos, y muestran un mensaje cuando se detecta un virus.
· Los programas médicos (fagos , polífagos) encuentran archivos infectados y los “curan”. Entre este tipo de programas, existen polífagos que son capaces de eliminar varios tipos de virus, siendo los más famosos los antivirus polífagos Norton AntiVirus , Doctor Web , Kaspersky Antivirus .
· Los programas vacunales (inmunizadores) inmunizan el sistema (archivos, directorios) bloqueando la acción de los virus.
· Los programas Auditor son los más fiables en cuanto a protección contra virus. Los auditores recuerdan el estado inicial de los programas, directorios, áreas del sistema del disco hasta que la computadora se infectó (como regla, según el cálculo de las sumas de verificación), luego comparan el estado actual con el inicial, mostrando los cambios encontrados en la pantalla.
· Los programas de monitoreo comienzan su trabajo cuando se inicia el sistema operativo, están constantemente en la memoria de la computadora y verifican automáticamente los archivos según el principio "aquí y ahora".
· Los programas de filtrado (watchdogs) detectan el virus en una etapa temprana, antes de que comience a multiplicarse.
· Los programas de vigilancia son pequeños programas residentes cuyo propósito es detectar acciones que son características de los virus.
--------------------------------------------------- -------------------- ------------------------
https://www.ecured.cu
-------------------------- -----------------------
No hay comentarios:
Publicar un comentario
El Dejar algun Comentario en este Blog cede sus derechos de publicacion en favor del titular de mismo y podrá ser usada con fines diversos, incluyendo la transmisión a instituciones de seguridad del gobierno.
Adicional a Esto:
Bienvenidos. -