Информационная безопасность. Корнюшин П.Н - 114 стр.

        Поскольку в борьбе с троянцами на отметку о времени последней модификации файла и
его размер положиться нельзя, необходимо предложить какой-то иной метод. Одним из наиболее
эффективных методов является метод "контрольной суммы" файла. Для подсчета контрольной
суммы элементы файла суммируются, и получившееся в результате число объявляется его
контрольной суммой. Например, в операционной системе SunOS существует специальная утилита
sum, которая выводит на устройство стандартного вывода STDOUT контрольную сумму файлов,
перечисленных в строке аргументов этой утилиты.
        Однако и контрольную сумму в общем случае оказывается не так уж трудно подделать.
Поэтому для проверки целостности файловой системы компьютера используется особая
разновидность алгоритма вычисления контрольной суммы, называемая односторонним
хэшированием. Функция хэширования называется односторонней, если задача отыскания двух
аргументов, для которых ее значения совпадают, является трудно решаемой. Отсюда следует, что
функция одностороннего хэширования может быть применена для того, чтобы отслеживать
изменения, вносимые злоумышленником в файловую систему компьютера. Последнее возможно,
поскольку вероятность получения неизменного значения контрольной суммы исходного и
модифицированного файлов, полученное путем его одностороннего хэширования, очень мала.
        Исторически сложилось так, что большинство утилит, позволяющих бороться с
проникновением в компьютерную систему троянских программ путем однонаправленного
хэширования файлов, было создано для операционных систем UNIX. Одной из наиболее удобных
в эксплуатации и эффективных является утилита TripWire, которую можно найти в Internet по
адресу http://www.tripwiresecurity.com/. Она позволяет производить однонаправленное
хэширование файлов при помощи нескольких алгоритмов. Вычисленные хэш-значения файлов
хранятся в специальной базе данных, которая, в принципе, является самым уязвимым звеном
утилиты TripWire. Поэтому пользователям TripWire предлагается в обязательном порядке
принимать дополнительные меры защиты, чтобы исключить доступ к этой базе данных со
стороны злоумышленника (например, помещать ее на съемном носителе, предназначенном только
для чтения).
        Средства борьбы с троянцами в операционных системах семейства Windows (95/98/NT)
традиционно являются частью их антивирусного программного обеспечения. Поэтому, чтобы
отлавливать Back Orifice, NetBus, SubSeven и другие подобные им троянские программы,
необходимо обзавестись самым современным антивирусом (например, программой Norton
Antivirus 2000 компании Symantec, которая позволяет обнаруживать присутствие в компьютерной
системе наиболее распространенных троянцев и избавляться от них). Следует регулярно
проверять свой компьютер на присутствие в нем вирусов.
        Достаточно хорошо известна программа The Clear компании MooSoft Development
(http://www.homestead.com/moosoft/cleaner.html). Эта утилита используется для борьбы
с более чем сорока разновидностями троянских программ в операционных системах семейства
Windows.
        Недавно появились программные пакеты, предназначенные для комплексной защиты от
угроз, с которыми сталкиваются пользователи настольных компьютеров при работе в Internet.
Одним из таких пакетов является eSafe Protect компании Aladdin Knowledge Systems
(http://www.esafe.com). Функционально eSafe Protect делится на три компонента – антивирус,
персональный брандмауэр и модуль защиты компьютерных ресурсов. Антивирус избавляет
компьютер от вредоносных программ благодаря применению антивирусного модуля VisuSafe,
сертифицированного американским Национальным агентством компьютерной безопасности.
Персональный брандмауэр контролирует весь входящий и исходящий трафик по протоколу
TCP/IP, наделяя используемые IP-адреса определенными правами (например, ограничивая доступ
в Internet в определенные часы или запрещая посещение некоторых Web-узлов). Для защиты
ресурсов компьютера, на котором установлен программный пакет eSafe Protect, создается
специальная изолированная область – так называемая песочница. Все автоматически загружаемые
из Internet Java-аплеты и компоненты ActiveX сначала помещаются в "песочницу", где они
находятся под неусыпным наблюдением eSafe Protect. Если попавшая в "песочницу" программа
попытается выполнить какое-либо недозволенное действие, то оно будет немедленно
блокировано. В течение заданного интервала времени (от 1 до 30 дней) каждое приложение,
загруженное в компьютер из Internet, проходит "карантинную" проверку в "песочнице".
Полученная в ходе такой проверки информация заносится в особый журнал. По истечении


                                            115