Осторожно: компьютерные вирусы. Основы работы антивирусных программ

От переводчика: Эвристический анализ, пожалуй, единственный метод тестирования юзабилити, который реально осуществим в белорусских условиях. Полномасштабное тестирование на пользователях требует серьезных денежных затрат, которые неадекватны получаемым за сайты суммам, так что возврата инвестиций не будет. Эвристический анализ &mdash самый дешевый способ, который не требует специального оборудования, так что он представляет реальный интерес.

Рассматриваемый вопрос:

Вы хотите быть уверенными в том, что ваш продукт соответствует принципам юзабилити (эвристикам).

Определение:

«Эвристический анализ — это инспектирование пользовательского интерфейса, направленное на выявление проблем в проектировании интерфейса, которые могут появляться при итеративном процессе» (Нильсен, 1993)

Преимущества/недостатки:

Преимущества и недостатки эвристического анализа показаны в таблице.

Процедура:

Эвристический анализ проводится одним или несколькими экспертами. В течение осмотра, эксперт сверяет интерфейс с заданным набором эвристик. Этот набор может быть общим, а может быть специфическим для данной организации. В приведенной ниже таблице перечислены 10 самых важных эвристик, выделенные Нильсеном в 1993 году.

Эвристика	Объяснение
Простые и естественные диалоги	Диалоги не должны содержать неподходящую по смыслу информацию, или информацию, которая редко бывает нужна
Говорите на языке пользователя	Используйте слова и термины, понятные пользователям
Минимизируйте затраты памяти пользователя	Не заставляйте пользователя запоминать вещи от одно действия к другому
Последовательность	Пользователи должны иметь возможность обучиться последовательности действий с одной частью системы и использовать ее с другой частью
Обратная связь	Дайте пользователю знать, какой эффект на систему окажет их действие
Ясно обозначенные выходы	Если пользователь попал в область системы, которая в данный момент ему не интересна, он должен иметь возможность легко вернуться назад ничего не повредив
Быстрый вызов действий	Опытные пользователи должны иметь возможность быстро вызывать нужные действия
Хорошие сообщения об ошибках	Правильные сообщения об ошибках объясняют пользователям в чем заключается проблема и как ее решить
Предотвращение ошибок	Каждый раз, когда вы выводите сообщение об ошибке, вы должны думать, можно ли этой ошибки избежать?
Помощь и документация	Даже если систему можно использовать без документации, все равно документация и помощью должны быть предоставлены

В течении сеанса эксперт тщательно изучает интерфейс и его отдельные элементы и сравнивает каждый элемент с набором эвристик. Не существует однозначных мнений на тот счет, сколько раз эксперт должен проходить по интерфейсу, однако Нильсен считает, что не менее двух. На первом проходе эксперт составляет общее мнение о системе и выявляет базовые принципы взаимодействия с пользователем, на втором проходе эксперт концентрируется на отдельных элементах интерфейса.

Определение

Наблюдатель (Test Monitor) — ответственный за контроль над командой тестировщиков, работает с зазработчиками над созданием тестов, собирает и передает результаты тестирования. Обычно, наблюдатель &mdash это человек, который управляет всеми аспектами тестирования.

В течение эвристического анализа комментарии эксперта можно записывать двумя разными способами. Каждый эксперт может записывать свои комментарии во время изучения интерфейса. Если это не подходит, то рядом с экспертом может сидеть наблюдатель (Test Monitor) и записывать его комментарии. В этом случае эксперт должен озвучивать свои комментарии. Преимущество второго подхода в том, что наблюдатель может отвечать на вопросы, которые возникают у эксперта во время инспекции интерфейса. Важно отметить, что эксперт не обязан знать ту область, в которой будет применяться интерфейс, потому что он просто инспектирует интерфейс на предмет соответствия набору эвристик. Так что наблюдатель может отвечать на вопросы, связанные с предметной областью. Кроме того, если возникают непредвиденные проблемы (например, система падает), наблюдатель может помочь их устранить.

После того, как эксперты провели инспекцию интерфейса, надо организовать небольшое собрание, на котором эксперты обсуждают найденные ошибки и вырабатывают общее мнение. Эта процедура важна, так как позволяет получить независимые и объективные результаты от каждого эксперта. Итоги обсуждения могут фиксироваться двумя способами: во-первых, можно выбрать человека из числа экспертов и поручить ему все записывать, во-вторых, можно привлечь стороннего человека, например, им может быть наблюдатель.

На выходе:

После эвристического анализа создается документ, в котором перечисляются все проблемы интерфейса с кратким описанием и ссылкой на нарушаемую эвристику.

Для проведения эвристического анализа вам понадобится:

• Набор эвристик
• Эксперты
• Пачка бумаги для записи обнаруженных недостатков
• Наблюдатель (опционно)
• Компьютерное оборудование (опционно)

Когда проводить?

Эвристический анализ можно проводить в любое время в течении дизайнерского процесса. Его можно проводить на самых ранних стадиях. Так как инспектировать можно интерфейс, который существует только на бумаге и пока не внедрен, эвристический анализ хорошо подходит для ранних стадий (Нильсен, 1990). Рекомендуется проводить эвристический анализ до остального тестирования юзабилити, потому что он позволяет устранить большинство очевидных недостатков интерфейса без привлечения пользователей, на которых нужны дополнительные расходы.

Эвристические методы анализа

Вы в своей жизни, вероятно, встречали человека, который прежде всего поражал вас тем, что у него чрезвычайно развитое воображение, оригинальные и неожиданные суждения, идеи, которые свойственны высокоразвитому интуитивному мышлению. Такого человека мы, как правило, называем творческой личностью. А способность к генерированию новых идей есть все основания отнести к одному из важнейших признаков творческой личности.

И в школе, и в высших и средних специальных учебных заведениях, к сожалению, развитию интуиции, способностей к генерированию новых идей уделяют недостаточное внимание. Педагоги в основном обращают внимание на логические методы решения задач, в том числе в процессе решения творческих задач.

Расчетные методы оперируют только количественно-определенной информацией, использование которой при анализе систем управления весьма ограничено. Для анализа хозяйственной деятельности большое значение имеет использование эвристических методов, направленных на получение качественных характеристик субъекта хозяйствования. Методы эвристики основываются главным образом на опыте и интуиции специалистов, их индивидуальных или коллективных суждениях. Среди эвристических методов можно выделить оценочные и оценочно-поисковые методы анализа.

Эвристические методы широко излагаются в работах по управлению персоналом, организации управления и организационного поведения.

Условия, предопределяющие необходимость использования эвристических методов, можно охарактеризовать следующим образом:

Качественный характер исходной информации, описываемый с помощью экономических и социальных параметров, отсутствие достаточно представительных и достоверных сведений по характеристикам объекта исследования;

Большая неопределенность исходных данных для анализа;

Отсутствие четкого предметного описания и математической формализации предмета оценки;

Недостаток времени и средств для исследования с применением формальных моделей;

Отсутствие технических средств с соответствующими характеристиками для аналитического моделирования;

Экстремальность анализируемой ситуации.

Эвристические методы анализа представляют собой особую группу приемов сбора и обработки информации, опирающуюся на профессиональное суждение группы специалистов.

Классификация эвристических методов анализа

Эвристические методы оценки

ОЦЕНОЧНО-ПОИСКОВЫЕ МЕТОДЫ

Комиссии и конференции

Мозговой штурм

Коллективный блокнот

Банк идей

Метод активного социологического тестированного анализа и контроля

Деловые игры

Функционально-стоимостной анализ.

Эвристические методы часто называют креативными, так как они опираются на творческое мышление группы людей. Залогом надежности и обоснованности выводов анализа при эвристических методах является правильный подбор экспертов. В зависимости от целей и направленности группа экспертов может быть однородной или включать представителей разных групп связанных специалистов, а иногда и просто заинтересованных лиц. Например, при формировании группы экспертов для анализа технологических разработок в нее включаются технологи, которые профессионально могут оценить техническую новизну решения, экономисты, оценивающие его эффективность, механики, которые могут дать оценку возможности реализации новой технологии на имеющейся производственной базе, рабочие - исполнители новой технологии. При оценке качества продукции и спроса на нее в состав группы экспертов включаются не только товароведы, но и производители и потребители продукции. В то же время при разработке какого-то технического решения на первой стадии в состав группы экспертов включаются только специалисты соответствующего профиля.

На практике сложились достаточно сложные методы формирования группы экспертов:

По формальным критериям, когда учитываются специальность, стаж работы, длительность пребывания в одном коллективе; сюда же относятся психологические оценки личности по данным социологической службы организации (если таковые имеются), например, способность к творческому мышлению, конструктивность мышления и т.п.;

На основе самооценки личности, полученной при анкетировании, в этом случае сам будущий эксперт оценивает свои возможности, включая квалификацию, аналитичность и конструктивность мышления, способность адаптироваться к определенным ситуациям и т.п.; такой отбор экспертов дополняется определением уровня самооценки будущего эксперта - заниженная, завышенная или адекватная, что проводится при специальном

психологическом отборе экспертов;

На основе оценки лиц, связанных с претендентом, когда профессиональные и личностные качества специалиста оцениваются специалистами аналогичного профиля, потребителями услуг, работниками, реализующими решения эксперта;

Методом случайного отбора (выборки), если в качестве экспертов может выступать множество лиц (например, потребителей продукции и услуг).

Достаточно часто при анализе деятельности хозяйствующего субъекта в состав группы экспертов входят руководители разных уровней и работники. Например, так формируется группа экспертов при выборе стратегии развития производства, изменении системы стимулирования, реформировании систем учета и отчетности, перестройке организационных структур.

Таким образом, при отборе экспертов широко используются как формальные, так и психологические методы отбора. В этой связи эвристические методы часто называют психологическими.

(Мелюхова Яна) 1)Метод типологии основывается на ставшей популярной теории позиционирования. Основная идея этой теории заключается в существовании готовой, единой для всех картины стандартных ситуаций и решений. Задача аналитика состоит в выборе позиции, соответствующей объекту анализа по определенным параметрам, и получении стандартного решения, предлагаемого разработчиками метода. Практическими приложениями этой теории являются матрицы ЗКГ, Мак-Кензи и др. Технология реализации метода включает такие этапы, как:

Оценка анализируемого объекта по некоторым заданным параметрам;

Позиционирование объекта в типологической схеме в соответствии со значениями параметров;

схеме типом анализируемого объекта.

При построении типологической схемы можно использовать два параметра и более. Параметры могут отражать как простые свойства, так и комплексные. Примером комплексного свойства служит перспективность рынка, характеризуемая размерами, темпом роста, уровнем удовлетворения потребностей пользователей, конкуренцией, уровнем цен, доходностью и

т.д. Как видно из приведенного примера, параметры могут иметь как количественную, так и качественную оценку. Позиционирование анализируемого объекта (объектов) на типологической сетке возможно в виде той или иной отметины (точек, окружностей и т.д.).

При наличии разработок в конкретных областях использование типологических сеток позволяет определить тип анализируемого объекта и воспользоваться готовыми рекомендациями по его совершенствованию. Однако с методом типологии необходимо быть крайне осторожным. Нужно иметь в виду, что универсальные «рецепты» достаточно соблазнительны своей простатой, контрастирующей с решением творческих задач, но польза от применения полученных рекомендаций весьма ограничена. Лучше знать, как выявить и решить проблемы, чем верить в готовые рецепты успеха. По мнению автора, лишь в сочетании с другими приемами оценки метод типологии позволяет охарактеризовать ситуацию и найти приемлемые варианты прогнозных управленческих решений.

(Киселева Оля) 2)Метод экспертной оценки опирается на выявление обобщенной оценки экспертной группой путем статистической обработки индивидуальных, независимых оценок, вынесенных экспертами. Члены группы в этом случае могут быть равноценными или иметь разный ранг, учитываемый при выведении результатов экспертизы.

При наборе экспертов следует руководствоваться такими требованиями, как:

Высокий уровень общей эрудиции, обладание специальными знаниями в анализируемой области;

Наличие определенного практического и (или) исследовательского опыта по рассматриваемой проблеме;

Способность к адекватной оценке тенденций развития исследуемого объекта;

Отсутствие предвзятости, заинтересованности в конкретном результате оценки.

Благоприятные условия для работы экспертов создаются в результате предварительного инструктирования, обучения методике исследования, предоставления дополнительной информации об объекте анализа.

(Оля Прилепа) 3)Метод экспертной комиссии основан на выявлении единого коллективного мнения специально подобранными экспертами при обсуждении поставленной проблемы и альтернатив ее решения в результате определенных компромиссов.

При использовании метода экспертной комиссии осуществляется не только статистическая обработка результатов индивидуальной балльной оценки всех экспертов, но и обмен мнениями по результатам экспертизы и уточнение оценок. Недостаток такой процедуры состоит в сильном влиянии авторитетов на мнение большинства участников экспертизы.

Название этой группы методов происходит от приписываемого Архимеду знаменитого греческого слова «эврика!» - «нашел!», выражающего радость по поводу сделанного им открытия. Эвристические методы основываются на творческом мышлении и знаниях специалистов - экспертов, практическом опыте хозяйственных руководителей, их интуиции, на индивидуальных и коллективных суждениях. Такие методы считаются качественно-логическими, дополняющими формализованные количественные методы анализа. Необходимость их применения обусловлена сложностью и невозможностью четкого математического моделирования многих социально-экономических процессов (хотя многие из таких методов и предусматривают использование математических процедур для обработки исходной информации и результатов логического экспертного анализа).

Все эвристические методы условно можно разделить на экспертные методы и методы активизации творческого мышления (иногда их называют психологическими).

Экспертные методы, опираясь на знания, суждения и опыт специалистов, позволяют решать две группы аналитических задач:

• 1) получение информации о конкретных экономических явлениях и их причинах, о требованиях ключевых заинтересованных сторон бизнеса;
• 2) оценки характерных проявлений устойчивых причинно-следственных связей, прогнозирование возможного развития социально- экономических процессов и обоснование наиболее рациональных для данной ситуации управленческих решений.

Первая группа задач решается при помощи анкетирования, опросов и интервью работников предприятий и представителей других групп стейкхолдеров этих предприятий. Для решения второй группы задач привлекаются высококвалифицированные эксперты-профессионалы. При этом могут использоваться как индивидуальные, так и коллективные методы экспертных оценок.

Индивидуальные методы предполагают использование мнений отобранных специалистов-экспертов, сформулированных каждым из них независимо друг от друга и собранных посредством интервью или анкетирования. Недостаток такого подхода состоит в известной ограниченности знаний отдельных специалистов обо всех аспектах исследуемой проблемы, в приверженности каждого из них какой-то конкретной позиции или научной школе.

Более эффективно применение коллективных методов, основанных на привлечении групп различных экспертов - теоретиков и практиков, хорошо осведомленных о сути проблемы, о специфике смежных отраслей знаний и видов деятельности, имеющих различные точки зрения. Взаимодействие привлекаемых специалистов дает возможность исследовать поставленную проблему с различных сторон. Среди подобных методов наиболее популярен метод комиссий (производственных совещаний, конференций, семинаров и «круглых столов»), позволяющий выработать общую позицию участников с учетом всех обсуждаемых обстоятельств. Недостатком такого метода является то, что принимаемые решения, в силу стремления к компромиссам и психологического давления наиболее авторитетных экспертов, не обязательно отражают их лучшие варианты, предлагаемые отдельными участниками комиссий. Отчасти преодолевается этот недостаток при помощи разделения работы комиссии на два этапа:

• ? общее обсуждение проблемы и свободное высказывание мнений участников;
• ? критический анализ всех высказанных предложений и выработка решений.

В еще большей степени позволяет избегать конформизма экспертов метод Дэлъфи, основанный на проводимом в несколько туров заочном анонимном опросе независимых экспертов (часто даже не знающих о существовании друг друга) с последующей статистической обработкой результатов и выработкой окончательного решения группой аналитиков - организаторов опроса.

Широко известны методы коллективного блокнота и банка идей, позволяющие постепенно накапливать выдвигаемые независимыми экспертами идеи и предложения, удачные типовые решения, практические примеры с возможностью их систематизации и оценки.

Методы активизации творческого мышления направлены на создание психологических условий, позволяющих человеку генерировать новые идеи и искать пути решения различных проблем. Среди подобных способов организации творческого процесса при решении задач экономического анализа наибольшее распространение получил метод «мозгового штурма».

«Мозговой штурм» представляет собой эффективный метод групповой организации аналитической деятельности по решению каких- либо проблем, основанный на раскрепощении творческой активности его участников. Обычно он предусматривает три этапа. Первый этап - четкая формулировка проблемы, требующей решения, и отбор участников творческой группы. Состав участников не должен быть большим, но он должен включать не только специалистов по данному вопросу, но и других заинтересованных лиц, не связанных отношениями подчиненности. Второй этап - генерация идей для решения поставленной проблемы. Особенностью этого этапа является создание условий для максимально свободного творчества при полном отсутствии оценок и какой-либо критики высказываемых предложений. При этом не задаются даже направления поиска идей и критерии их оценки. Главная цель - это максимальное количество выдвигаемых предложений и их возможных сочетаний, все они должны быть зафиксированы. Приветствуются даже фантастические и кажущиеся абсурдными идеи. Продолжительность этого этапа не должна превышать полутора часов, так как после этого творческая активность, как правило, начинает затихать. Третий этап - это выполняемые аналитиками - организаторами «штурма» классификация высказанных предложений, отбор, оценка и разработка различных комбинаций наиболее перспективных идей.

Модификацией метода «мозгового штурма» является метод си- нектики. Сам термин «синектика» означает использование для решения творческих задач соединения в единое целое различных, зачастую разнородных элементов, кажущихся несовместимыми. От классического «мозгового штурма» синектика отличается организацией влияния группы на творческую активность ее членов, определением конкретных приемов выработки идей, допущением критического обсуждения и отсеивания выдвигаемых идей непосредственно на стадии их генерирования. При этом в состав группы должны входить не просто профессионалы, а творческие личности, стремящиеся к соревнованию и готовые отстаивать свои позиции, обладающие различными психоэмоциональными характеристиками (энтузиасты, консерваторы, оптимисты, скептики и т.п.). Характерным для синектики является использование различных вербальных приемов активизации мышления: аналогий (нахождение решений на основе анализа уже решенных аналогичных проблем в других областях, поиск решений в фантастике, мифах, сказках), инверсии (поиск решений «от обратного»), эмпатии (отождествление себя с анализируемым объектом и понимание проблемы на основе собственных ощущений), идеализации (исследование с позиций получения идеального результата). Следует отметить, что для синектической группы экспертов очень важны предварительная подготовка, взаимопонимание и сплоченность, иначе нарастающая критичность обсуждений может просто заблокировать генерацию новых идей.

Морфологический метод. Этот метод основывается на оценке внутренней структуры исследуемого объекта и соответствующей декомпозиции рассматриваемой проблемы на отдельные задачи, подборе возможных решений для каждой из этих задач, их систематизации и синтезировании общего решения проблемы путем комбинирования частных решений.

Теория решения изобретательских задач (ТРИЗ). Изначально целью ТРИЗ было исследование принципов развития технических систем и создание практических методов решения изобретательских задач на основе выявления и устранения противоречий в таких системах для достижения идеального конечного результата. Ныне ТРИЗ превратилась в универсальную методологию анализа разнообразных проблем во многих областях, в том числе и в экономике. Активизация творческого мышления при этом достигается структурированием задач анализа и определенной последовательностью их решения:

• 1) для чего предназначена система, из каких элементов она состоит, каковы их функции и как они взаимодействуют;
• 2) какие связи элементов системы и их функции являются полезными, какие бесполезными, а какие вредными;
• 3) какие элементы, функции и связи можно изменять, а какие изменять невозможно;
• 4) какие возможны варианты изменений элементов системы, их функций и связей;
• 5) какие изменения обеспечивают улучшение функционирования системы в целом, а какие вызывают противоречия в системе и ослабляют ее;
• 6) как осуществить улучшающие изменения при одновременном устранении или минимизации возникающих противоречий.

Для стимулирования творческой активности и организации систематической самостоятельной работы экспертов-аналитиков часто прибегают к выполнению своеобразных правил. Правило 24 предписывает, что все 24 часа в сутки аналитик должен думать об исследуемой проблеме. Правило 25 - для успешного решения поставленной задачи необходимо выдвинуть не менее 25 идей. Правило 26 - в английском алфавите 26 букв, и в качестве подсказки самому себе надо думать, на какую букву будет начинаться ключевое для решения проблемы слово.

Слово "эвристика" происходит от греческого глагола "находить". Суть эвристических методов состоит в том, что решение проблемы основывается на некоторых правдоподобных предположениях, а не на строгих выводах из имеющихся фактов и предпосылок. Поскольку такое определение звучит достаточно сложно и непонятно, рассмотрим примеры различных эвристических методов

Поиск вирусов, похожих на известные Эвристический анализ основывается на предположении, что новые вирусы часто оказываются похожи на какие-либо из уже известных. И заключается в поиске файлов, которые не полностью, но очень близко соответствуют сигнатурам известных вирусов. Положительным эффектом от использования этого метода является возможность обнаружить новые вирусы еще до того, как для них будут выделены сигнатуры.

Поиск вирусов, похожих на известные Отрицательные стороны: Вероятность ошибочно определить наличие в файле вируса, когда на самом деле файл чист - такие события называются ложными срабатываниями Невозможность лечения - и в силу возможных ложных срабатываний, и в силу возможного неточного определения типа вируса, попытка лечения может привести к большим потерям информации, чем сам вирус, а это недопустимо Низкая эффективность - против действительно новаторских вирусов, вызывающих наиболее масштабные эпидемии, этот вид эвристического анализа малопригоден

Поиск вирусов, выполняющих подозрительные действия Метод основан на выделении основных вредоносных действий, таких как, например: 1. Удаление файла 2. Запись в файл 3. Запись в определенные области системного реестра 4. Открытие порта на прослушивание 5. Перехват данных вводимых с клавиатуры 6. Рассылка писем и др. Выполнение каждого действия по отдельности не повод считать программу вредоносной. Но если программа последовательно выполняет несколько таких действий эта программа по меньшей мере подозрительна.

Поиск вирусов, выполняющих подозрительные действия Понятно, что выполнение каждого такого действия по отдельности не является поводом считать программу вредоносной. Но если программа последовательно выполняет несколько таких действий, например, записывает запуск себя же в ключ автозапуска системного реестра, перехватывает данные вводимые с клавиатуры и с определенной частотой пересылает эти данные на какой-то адрес в Интернет, значит эта программа по меньшей мере подозрительна. Основанный на этом принципе эвристический анализатор должен постоянно следить за действиями, которые выполняют программы. Преимуществом описанного метода является возможность обнаруживать неизвестные ранее вредоносные программы, даже если они не очень похожи на уже известные. Например, новая вредоносная программа может использовать для проникновения на компьютер новую уязвимость, но после этого начинает выполнять уже привычные вредоносные действия. Такую программу может пропустить эвристический анализатор первого типа, но вполне может обнаружить анализатор второго типа. Отрицательные черты те же, что и раньше: Ложные срабатывания Невозможность лечения Невысокая эффективность

Дополнительные средства Практически любой антивирус сегодня использует все известные методы обнаружения вирусов. Но одних средств обнаружения мало для успешной работы антивируса, для того, чтобы чисто антивирусные средства были эффективными, нужны дополнительные модули, выполняющие вспомогательные функции.

Модуль обновления Каждый антивирус должен содержать модуль обновления. Это связано с тем, что основным методом обнаружения вирусов сегодня является сигнатурный анализ, который полагается на использование антивирусной базы. Для того чтобы сигнатурный анализ эффективно справлялся с самыми последними вирусами, антивирусные эксперты постоянно анализируют образцы новых вирусов и выпускают для них сигнатуры. файлы с сигнатурами размещаются на серверах компании - производителя антивируса и становятся доступными для загрузки. Модуль обновления обращается к этим серверам, определяет наличие новых файлов, загружает их на компьютер пользователя и дает команду антивирусным модулям использовать новые файлы сигнатур.

Модуль управления По мере увеличения количества модулей в антивирусе возникает необходимость в дополнительном модуле для управления и настройки. В простейшем случае - это общий интерфейсный модуль, при помощи которого можно в удобной форме получить доступ к наиболее важным функциям: 1. Настройке параметров антивирусных модулей 2. Настройке обновлений 3. Настройке периодического запуска обновления и проверки 4. Запуску модулей вручную, по требованию пользователя 5. Отчетам о проверке 6. Другим функциям, в зависимости от конкретного антивирус

Карантин Среди прочих вспомогательных средств во многих антивирусах есть специальные технологии, которые защищают от возможной потери данных в результате действий антивируса. Например, легко представить ситуацию, при которой файл детектируется как возможно зараженный эвристическим анализатором и удаляется согласно настройкам антивируса. Однако эвристический анализатор никогда не дает стопроцентной гарантии того, что файл действительно заражен, а значит с определенной вероятностью антивирус мог удалить незараженный файл. Или же антивирус обнаруживает важный документ зараженный вирусом и пытается согласно настройкам выполнить лечение, но по каким-то причинам происходит сбой и вместе с вылеченным вирусом теряется важная информация. Разумеется, от таких случаев желательно застраховаться. Проще всего это сделать, если перед лечением или удалением файлов сохранить их резервные копии, тогда если окажется, что файл был удален ошибочно или была потеряна важная информация, всегда можно будет выполнить восстановление из резервной копии.

Антивирусные программы - это программы, основной задачей которых является защита именно от вирусов, или точнее, от вредоносных программ.

Методы и принципы защиты теоретически не имеют особого значения, главное чтобы они были направлены на борьбу с вредоносными программами. Но на практике дело обстоит несколько иначе: практически любая антивирусная программа объединяет в разных пропорциях все технологии и методы защиты от вирусов, созданные к сегодняшнему дню.

Из всех методов антивирусной защиты можно выделить две основные группы:

• Сигнатурные методы - точные методы обнаружения вирусов, основанные на сравнении файла с известными образцами вирусов
• Эвристические методы - приблизительные методы обнаружения, которые позволяют с определенной вероятностью предположить, что файл заражен

Сигнатурный анализ

Слово сигнатура в данном случае является калькой на английское signature , означающее "подпись" или же в переносном смысле "характерная черта, нечто идентифицирующее". Собственно, этим все сказано. Сигнатурный анализ заключается в выявлении характерных идентифицирующих черт каждого вируса и поиска вирусов путем сравнения файлов с выявленными чертами.

Сигнатурой вируса будет считаться совокупность черт, позволяющих однозначно идентифицировать наличие вируса в файле (включая случаи, когда файл целиком является вирусом). Все вместе сигнатуры известных вирусов составляют антивирусную базу.

Задачу выделения сигнатур, как правило, решают люди - эксперты в области компьютерной вирусологии, способные выделить код вируса из кода программы и сформулировать его характерные черты в форме, наиболее удобной для поиска. Как правило - потому что в наиболее простых случаях могут применяться специальные автоматизированные средства выделения сигнатур. Например, в случае несложных по структуре троянов или червей, которые не заражают другие программы, а целиком являются вредоносными программами.

Практически в каждой компании, выпускающей антивирусы, есть своя группа экспертов, выполняющая анализ новых вирусов и пополняющая антивирусную базу новыми сигнатурами. По этой причине антивирусные базы в разных антивирусах отличаются. Тем не менее, между антивирусными компаниями существует договоренность об обмене образцами вирусов, а значит рано или поздно сигнатура нового вируса попадает в антивирусные базы практически всех антивирусов. Лучшим же антивирусом будет тот, для которого сигнатура нового вируса была выпущена раньше всех.

Одно из распространенных заблуждений насчет сигнатур заключается в том, каждая сигнатура соответствует ровно одному вирусу или вредоносной программе. И как следствие, антивирусная база с большим количеством сигнатур позволяет обнаруживать больше вирусов. На самом деле это не так. Очень часто для обнаружения семейства похожих вирусов используется одна сигнатура , и поэтому считать, что количество сигнатур равно количеству обнаруживаемых вирусов, уже нельзя.

Соотношение количества сигнатур и количества известных вирусов для каждой антивирусной базы свое и вполне может оказаться, что база с меньшим количеством сигнатур в действительности содержит информацию о большем количестве вирусов. Если же вспомнить, что антивирусные компании обмениваются образцами вирусов, можно с высокой долей уверенности считать, что антивирусные базы наиболее известных антивирусов эквивалентны.

Важное дополнительное свойство сигнатур - точное и гарантированное определение типа вируса. Это свойство позволяет занести в базу не только сами сигнатуры, но и способы лечения вируса. Если бы сигнатурный анализ давал только ответ на вопрос, есть вирус или нет, но не давал ответа, что это за вирус , очевидно, лечение было бы не возможно - слишком большим был бы риск совершить не те действия и вместо лечения получить дополнительные потери информации.

Другое важное, но уже отрицательное свойство - для получения сигнатуры необходимо иметь образец вируса. Следовательно, сигнатурный метод непригоден для защиты от новых вирусов, т. к. до тех пор, пока вирус не попал на анализ к экспертам, создать его сигнатуру невозможно. Именно поэтому все наиболее крупные эпидемии вызываются новыми вирусами. С момента появления вируса в сети Интернет до выпуска первых сигнатур обычно проходит несколько часов, и все это время вирус способен заражать компьютеры почти беспрепятственно. Почти - потому что в защите от новых вирусов помогают дополнительные средства защиты, рассмотренные ранее, а также эвристические методы, используемые в антивирусных программах.

Эвристический анализ

Слово " эвристика " происходит от греческого глагола "находить". Суть эвристических методов состоит в том, что решение проблемы основывается на некоторых правдоподобных предположениях, а не на строгих выводах из имеющихся фактов и предпосылок. Поскольку такое определение звучит достаточно сложно и непонятно, проще объяснить на примерах различных эвристических методов

Если сигнатурный метод основан на выделении характерных признаков вируса и поиске этих признаков в проверяемых файлах, то эвристический анализ основывается на (весьма правдоподобном) предположении, что новые вирусы часто оказываются похожи на какие-либо из уже известных. Постфактум такое предположение оправдывается наличием в антивирусных базах сигнатур для определения не одного, а сразу нескольких вирусов. Основанный на таком предположении эвристический метод заключается в поиске файлов, которые не полностью, но очень близко соответствуют сигнатурам известных вирусов.

Положительным эффектом от использования этого метода является возможность обнаружить новые вирусы еще до того, как для них будут выделены сигнатуры. Отрицательные стороны:

• Вероятность ошибочно определить наличие в файле вируса, когда на самом деле файл чист - такие события называются ложными срабатываниями
• Невозможность лечения - и в силу возможных ложных срабатываний, и в силу возможного неточного определения типа вируса, попытка лечения может привести к большим потерям информации, чем сам вирус, а это недопустимо
• Низкая эффективность - против действительно новаторских вирусов, вызывающих наиболее масштабные эпидемии, этот вид эвристического анализа малопригоден

Поиск вирусов, выполняющих подозрительные действия

Другой метод, основанный на эвристике, исходит из предположения, что вредоносные программы так или иначе стремятся нанести вред компьютеру. Метод основан на выделении основных вредоносных действий, таких как, например:

• Удаление файла
• Запись в файл
• Запись в определенные области системного реестра
• Открытие порта на прослушивание
• Перехват данных вводимых с клавиатуры
• Рассылка писем
• И др.

Понятно, что выполнение каждого такого действия по отдельности не является поводом считать программу вредоносной. Но если программа последовательно выполняет несколько таких действий, например, записывает запуск себя же в ключ автозапуска системного реестра, перехватывает данные вводимые с клавиатуры и с определенной частотой пересылает эти данные на какой-то адрес в Интернет, значит эта программа по меньшей мере подозрительна. Основанный на этом принципе эвристический анализатор должен постоянно следить за действиями, которые выполняют программы.

Преимуществом описанного метода является возможность обнаруживать неизвестные ранее вредоносные программы, даже если они не очень похожи на уже известные. Например, новая вредоносная программа может использовать для проникновения на компьютер новую уязвимость, но после этого начинает выполнять уже привычные вредоносные действия. Такую программу может пропустить эвристический анализатор первого типа, но вполне может обнаружить анализатор второго типа.

Отрицательные черты те же, что и раньше:

• Ложные срабатывания
• Невозможность лечения
• Невысокая эффективность