ожна виділити дві основні групи:
. Сигнатурні методи - точні методи виявлення вірусів, засновані на порівнянні файлу з відомими зразками вірусів
. Евристичні методи - приблизні методи виявлення, які дозволяють з певною ймовірністю припустити, що файл заражений
Сигнатурні методи
Слово сигнатура в даному випадку є калькою на англійське signature, що означає підпис або ж у переносному значенні характерна межа, щось идентифицирующее raquo ;. Власне, цим все сказано. Сигнатурний аналіз полягає у виявленні характерних ідентифікуючих рис кожного вірусу і пошуку вірусів шляхом порівняння файлів з виявленими рисами.
Сигнатурою вірусу вважатися сукупність рис, що дозволяють однозначно ідентифікувати наявність вірусу у файлі (включаючи випадки, коли файл цілком є ??вірусом). Всі разом сигнатури відомих вірусів складають антивірусну базу.
Задачу виділення сигнатур, як правило, вирішують люди - експерти в галузі комп'ютерної вірусології, здатні виділити код вірусу з коду програми і сформулювати його характерні риси у формі, найбільш зручній для пошуку. Як правило - тому що в найбільш простих випадках можуть застосовуватися спеціальні автоматизовані засоби виділення сигнатур. Наприклад, у випадку нескладних за структурою троянів або черв'яків, які не заражають інші програми, а цілком є ??шкідливими програмами.
Практично в кожній компанії, що випускає антивіруси, є своя група експертів, що виконує аналіз нових вірусів і поповнює антивірусну базу новими сигнатурами. З цієї причини антивірусні бази в різних антивірусах відрізняються. Тим не менше, між антивірусними компаніями існує домовленість про обмін зразками вірусів, а значить рано чи пізно сигнатура нового вірусу потрапляє в антивірусні бази практично всіх антивірусів. Кращим же антивірусом буде той, для якого сигнатура нового вірусу була випущена раніше всіх.
Одне з поширених помилок щодо сигнатур полягає в тому, кожна сигнатура відповідає рівно одному вірусу або шкідливій програмі. І як наслідок, антивірусна база з великою кількістю сигнатур дозволяє виявляти більше вірусів. Насправді це не так. Дуже часто для виявлення сімейства схожих вірусів використовується одна сигнатура, і тому вважати, що кількість сигнатур дорівнює кількості виявляються вірусів, вже не можна.
Співвідношення кількості сигнатур і кількості відомих вірусів для кожної антивірусної бази своє і цілком може виявитися, що база з меншою кількістю сигнатур насправді містить інформацію про більшу кількість вірусів. Якщо ж згадати, що антивірусні компанії обмінюються зразками вірусів, можна з високою часткою впевненості вважати, що антивірусні бази найбільш відомих антивірусів еквівалентні.
Важлива додаткова властивість сигнатур - точне і гарантоване визначення типу вірусу. Ця властивість дозволяє занести в базу не тільки самі сигнатури, але і способи лікування вірусу. Якби сигнатурний аналіз давав тільки відповідь на питання, чи є вірус чи ні, але не давав відповіді, що це за вірус, очевидно, лікування було б не можливо - дуже великим був би ризик зробити не ті дії і замість лікування отримати додаткові втрати інформації.
Інша важлива, але вже негативна властивість - для отримання сигнатури необхідно мати зразок вірусу. Отже, сигнатурний метод непридатний для захисту від нових вірусів, т. К. До тих пір, поки вірус не потрапив на аналіз до експертів, створити його сигнатуру неможливо. Саме тому всі найбільш великі епідемії викликаються новими вірусами. З моменту появи вірусу в мережі Інтернет до випуску перших сигнатур зазвичай проходить кілька годин, і весь цей час вірус здатний заражати комп'ютери майже безперешкодно. Майже - тому що в захисті від нових вірусів допомагають додаткові засоби захисту, наприклад: евристичні методи, використовувані в антивірусних програмах.
Евристичні методи
Слово евристика походить від грецького дієслова знаходити raquo ;. Суть евристичних методів полягає в тому, що вирішення проблеми ґрунтується на деяких правдоподібних припущеннях, а не на строгих висновках з наявних фактів і передумов. Оскільки таке визначення звучить достатньо складно і незрозуміло, простіше пояснити на прикладах різних евристичних методів.
Сканер McAffee VirusScan перевіряє диск
Якщо сигнатурний метод заснований на виділенні характерних ознак вірусу і пошуку цих ознак у файлах, то евристичний аналіз ґрунтується на (вельми правдоподібному) припущенні, що нові віруси часто виявляються схожі на які-небудь з вже відомих. Постфактум таке припущення виправдовується наявністю в антивірусних базах сигнатур для визначення не одного, а відразу декі...
