Honeypot ilovasi

Zararli dasturlarni masofadan olib tashlash
Ideal holda, zararli dasturlarning namunalarini aniqlagandan so'ng, administrator ularni antivirus laboratoriyasiga yuboradi, u erda ular tahlilchilar tomonidan tezda o'rganiladi va tegishli imzolar virusga qarshi ma'lumotlar bazalariga qo'shiladi. Ushbu imzolar avtomatik yangilanishlar orqali foydalanuvchilarning shaxsiy kompyuterlariga tushadi va antivirus administrator aralashuvisiz zararli dasturlarni avtomatik ravishda o'chiradi. Biroq, bu zanjir har doim ham kutilganidek ishlamaydi, xususan, buzilishning quyidagi sabablari bo'lishi mumkin:

• 
  tarmoq ma'muriga bog'liq bo'lmagan bir qator sabablarga ko'ra tasvirlar virusga qarshi laboratoriyaga etib bormasligi mumkin;
  
• 
  antivirus laboratoriyasining samaradorligi etarli emas - ideal holda, namunalarni o'rganish va ularni ma'lumotlar bazalariga qo'shish 1-2 soatdan ko'proq vaqtni oladi, ya'ni bir ish kuni ichida siz yangilangan imzo ma'lumotlar bazalarini olishingiz mumkin. Biroq, hammasi emas antivirus laboratoriyalari ular juda tez ishlaydi va yangilanishlarni bir necha kun kutish mumkin (kamdan-kam hollarda, hatto haftalar);
  
• 
  antivirusning yuqori ishlashi - bir qator zararli dasturlar faollashtirilgandan so'ng antiviruslarni yo'q qiladi yoki boshqa yo'l bilan ularning ishini buzadi. Klassik misollar - olib kelish xost fayli antivirusni avtomatik yangilash tizimining normal ishlashini blokirovka qiluvchi, virusga qarshi jarayonlarni, xizmatlarni va drayverlarni o'chirish, ularning sozlamalarini buzish va h.k.
  

Shuning uchun, bunday holatlarda siz zararli dasturlarni qo'lda hal qilishingiz kerak bo'ladi. Ko'pgina hollarda, bu qiyin emas, chunki kompyuterlarni tahlil qilish natijalari ma'lum bo'lgan kompyuterlar, shuningdek, zararli dasturlarning to'liq nomlari. Faqat ularni masofadan olib tashlashni amalga oshirish uchun qoladi. Agar zararli dastur o'chirishdan himoyalanmagan bo'lsa, uni quyidagi shakldagi AVZ skripti bilan yo'q qilish mumkin:
// Faylni o'chirish
DeleteFile('fayl nomi');
ExecuteSysClean;
Ushbu skript bitta belgilangan faylni (yoki bir nechta fayllarni, chunki skriptda cheksiz miqdordagi DeleteFile buyruqlari bo'lishi mumkin) o'chiradi va keyin avtomatik ravishda ro'yxatga olish kitobini tozalaydi. Keyinchalik murakkab holatda, zararli dastur o'zini o'chirishdan himoya qilishi mumkin (masalan, fayllari va ro'yxatga olish kitobi kalitlarini qayta yaratish orqali) yoki rootkit texnologiyasidan foydalangan holda o'zini yashirishi mumkin. Bunday holda, skript yanada murakkablashadi va quyidagicha ko'rinadi:
// Anti-rootkit
SearchRootkit(to'g'ri, rost);
// AVZGuard boshqaruvi
SetAVZGuardStatus(to'g'ri);
// Faylni o'chirish
DeleteFile('fayl nomi');
// BootCleaner jurnalini yoqish
BC_LogFile(GetAVZDirectory + 'boot_clr.log');
// BootCleaner vazifasiga skript tomonidan o'chirilgan fayllar ro'yxatini import qiling
BC_ImportDeletedList;
// BootCleaner-ni faollashtiring
// Tizimni evristik tozalash
ExecuteSysClean;
Windows-ni qayta ishga tushirish(to'g'ri);
Ushbu skript rootkitlarga faol qarshilikni, AVZGuard tizimidan foydalanishni (bu zararli dasturlarni bloklovchi) va BootCleaner tizimini o'z ichiga oladi. BootCleaner - tizimni ishga tushirishning dastlabki bosqichida qayta yuklash paytida KernelMode'dan belgilangan ob'ektlarni olib tashlaydigan drayver. Amaliyot shuni ko'rsatadiki, bunday skript mavjud zararli dasturlarning katta qismini yo'q qilishga qodir. Istisno - bu har bir qayta yuklashda bajariladigan fayllarning nomlarini o'zgartiradigan zararli dastur - bu holda tizimni o'rganish jarayonida topilgan fayllar nomini o'zgartirish mumkin. Bunday holda, siz kompyuterni qo'lda dezinfeksiya qilishingiz yoki o'zingizning zararli dastur imzolaringizni yaratishingiz kerak bo'ladi (imzo qidirishni amalga oshiradigan skriptning namunasi AVZ yordamida tasvirlangan).
Xulosa
Ushbu maqolada biz antivirus mahsulotlaridan foydalanmasdan LAN epidemiyasini qo'lda hal qilishning ba'zi amaliy usullarini ko'rib chiqdik. Ta'riflangan usullarning aksariyati foydalanuvchilarning kompyuterlarida xorijiy shaxsiy kompyuter va troyan xatcho'plarini qidirish uchun ham ishlatilishi mumkin. Zararli dasturlarni topish yoki dezinfektsiya skriptlarini yaratishda qiynalayotgan bo'lsangiz, administrator forumning http://virusinfo.info saytining "Yordam" bo'limidan yoki http://forum.kaspersky.com/ forumining "Viruslarga qarshi kurash" bo'limidan foydalanishi mumkin. index.php?showforum= o'n sakkiz. Protokollarni o'rganish va davolanishga yordam berish ikkala forumda ham bepul amalga oshiriladi, kompyuter tahlili AVZ protokollari bo'yicha amalga oshiriladi va ko'p hollarda davolash tajribali mutaxassislar tomonidan tuzilgan zararlangan shaxsiy kompyuterlarda AVZ skriptini bajarishga to'g'ri keladi. bu forumlar.

Foydalanuvchi kompyuterida jismoniy fayl yaratilishini kutishga majbur bo'lgan tarmoq himoyasi foydalanuvchining kompyuteriga tarmoq orqali kelgan kiruvchi ma'lumotlar oqimlarini tahlil qilishni boshlaydi va ular tizimga kirishdan oldin tahdidlarni bloklaydi.
Asosiy yo'nalishlar tarmoq himoyasi Symantec texnologiyalari quyidagilarni taqdim etadi:
Drive-by yuklamalar, veb-hujumlar;
- ijtimoiy muhandislik hujumlari: FakeAV (soxta antiviruslar) va kodeklar;
- Facebook kabi ijtimoiy tarmoqlar orqali hujumlar;
- zararli dasturlarni, rootkitlarni va bot bilan zararlangan tizimlarni aniqlash;
- murakkab tahdidlardan himoya qilish;
- Nolinchi kun tahdidlari;
- dasturiy ta'minotning tuzatilmagan zaifliklaridan himoya qilish;
- Zararli domenlar va IP manzillardan himoya.