Аппаратно-программные средства и методы защиты информации. Варлатая С.К - 202 стр.

то при первом же после заражения запуске произойдет следующее.
Активизация вирусоносителя приведет к получению управления вирусом,
который,       выполнив       свои    целевые       функции,     передаст       управление
вакцинированной программе. В последней, в свою очередь, сначала управление
получит вакцина, которая выполнит проверку соответствия запомненных ею
характеристик аналогичным характеристикам, полученным в текущий момент.
Если указанные наборы характеристик не совпадают, то делается вывод об
изменении текста вакцинированной программы вирусом. Характеристиками,
используемыми вакцинами, могут быть длина программы, ее контрольная
сумма и т.д.
     Принцип действия прививок основан на учете того обстоятельства, что
любой вирус, как правило, помечает инфицируемые программы каким-либо
признаком с тем, чтобы не выполнять их повторное заражение. В ином случае
имело бы место многократное инфицирование, сопровождаемое существенным
и поэтому легко обнаруживаемым увеличением объема зараженных программ.
Прививка, не внося никаких других изменений в текст защищаемой программы,
помечает ее тем же признаком, что и вирус, который, таким образом, после
активизации      и   проверки        наличия      указанного    признака,   считает     ее
инфицированной и "оставляет в покое".
     Ревизоры обеспечивают слежение за состоянием файловой системы,
используя для этого подход, аналогичный реализованному в вакцинах.
Программа-ревизор         в    процессе     своего     функционирования         выполняет
применительно к каждому исполняемому файлу сравнение его текущих
характеристик с аналогичными характеристиками, полученными в ходе
предшествующего просмотра файлов. Если при этом обнаруживается, что,
согласно       имеющейся        системной         информации,     файл      с     момента
предшествующего просмотра не обновлялся пользователем, а сравниваемые
наборы характеристик не совпадают, то файл считается инфицированным.
Характеристики       исполняемых файлов, получаемые в ходе очередного
просмотра, запоминаются в отдельном файле (файлах), в связи с чем

                                            202