Що таке евристичний пошук вірусів? Евристичний аналіз. Евристичне сканування. Програмні та апаратні вимоги

Евристичний аналіз (евристичне сканування)- сукупність функцій антивірусу, орієнтованих виявлення невідомих вірусним базам шкідливих програм. У той самий час цей термін означає і з конкретних способів.

Практично всі сучасні антивірусні засоби застосовують технологію евристичного аналізу програмного коду. Евристичний аналіз нерідко використовується спільно з сигнатурним скануванням для пошуку складних вірусів, що шифруються і поліморфних. Методика евристичного аналізу дозволяє виявляти раніше невідомі інфекції, проте лікування в таких випадках практично завжди виявляється неможливим. У такому випадку, як правило, потрібне додаткове оновлення антивірусних баз для отримання останніх сигнатур та алгоритмів лікування, які, можливо, містять інформацію про раніше невідомий вірус. В іншому випадку файл передається для дослідження антивірусним аналітикам або авторам антивірусних програм.

Технологія евристичного аналізу

Методи евристичного сканування не забезпечують гарантованого захисту від нових, відсутніх у сигнатурному наборі комп'ютерних вірусів, що обумовлено використанням як об'єкт аналізу сигнатур раніше відомих вірусів, а як правил евристичної верифікації - знань про механізм поліморфізму сигнатур. У той самий час, оскільки цей метод пошуку виходить з емпіричних припущеннях, повністю виключити помилкові спрацьовування не можна.

У ряді випадків евристичні методи виявляються надзвичайно успішними, наприклад, у випадку дуже коротких програмних частин у завантажувальному секторі: якщо програма робить запис у сектор 1, доріжку 0, сторону 0, це призводить до зміни розділу накопичувача. Але крім допоміжної програми fdisk ця команда більше ніде не використовується, і тому у разі її несподіваної появи йдеться про завантажувальний вірус.

У процесі евристичного аналізу проводиться перевірка емульованої програми аналізатором коду. Наприклад, програма інфікована поліморфним вірусом, що складається із зашифрованого тіла та розшифровувача. Емулятор коду зчитує інструкції в буфер антивірусу, розбирає їх на інструкції та виконує їх виконання по одній інструкції, після цього аналізатор коду підраховує контрольну суму та звіряє її з тією, що зберігається в базі. Емуляція продовжуватиметься доти, доки необхідна для підрахунку контрольної суми частина вірусу не буде розшифрована. Якщо сигнатура збіглася – програма визначена.

Недоліки евристичного сканування

Надмірна підозрілість евристичного аналізатора може викликати помилкові спрацьовування за наявності у програмі фрагментів коду, що виконує дії та/або послідовності, у тому числі й властиві деяким вірусам. Зокрема, розпакувальник у файлах, запакованих PE-пакувальником (Win)Upack викликає помилкові спрацьовування цілого ряду антивірусних засобів, які не визнають такої проблеми.

Наявність найпростіших методик обману евристичного аналізатора. Як правило, перш ніж розповсюджувати шкідливу програму (вірус), її розробники досліджують існуючі поширені антивірусні продукти, у різний спосіб уникаючи її детектування при евристичному скануванні. Наприклад, видозмінюючи код, використовуючи елементи, виконання яких підтримується емулятором коду даних антивірусів, використовуючи шифрування частини коду та інших.
Незважаючи на заяви та рекламні проспекти розробників антивірусних засобів щодо вдосконалення евристичних механізмів, ефективність евристичного сканування далека від очікуваної.
Навіть при успішному визначенні лікування невідомого вірусу практично завжди є неможливим. Як виняток, деякими продуктами можливе лікування однотипних і ряду поліморфних вірусів, що шифруються, не мають постійного вірусного тіла, але використовують єдину методику впровадження. У такому разі для лікування десятків і сотень вірусів може існувати один запис у вірусній базі.

Сканування

Антивірусний захист.

Основним засобом боротьби з вірусами були і залишаються антивірусні програми. Можна використовувати антивірусні програми (антивіруси), не маючи уявлення про те, як вони влаштовані. Однак без розуміння принципів пристрою антивірусів, знання типів вірусів, а також способів їх поширення не можна організувати надійний захист комп'ютера. Як результат, комп'ютер може бути заражений навіть якщо на ньому встановлені антивіруси.

Сьогодні використовується кілька основних методик виявлення та захисту від вірусів:

· Сканування;

· евристичний аналіз;

· Використання антивірусних моніторів;

· Виявлення змін;

· Використання антивірусів, вбудованих в BIOS комп'ютера.

Крім того, практично всі антивірусні програми забезпечують автоматичне відновленнязаражених програм та завантажувальних секторів. Звісно, якщо це можливо.

Найпростіша методика пошуку вірусів полягає в тому, що антивірусна програма послідовно переглядає файли, що перевіряються в пошуку сигнатур відомих вірусів. Під сигнатурою розуміється унікальна послідовність байт, що належить вірусу, і яка не зустрічається в інших програмах.

Антивірусні програми-сканери здатні знайти тільки вже відомі та вивчені віруси, для яких було визначено сигнатуру. Застосування простих програм-сканерів не захищає ваш комп'ютер від проникнення нових вірусів.

Для шифруючих та поліморфних вірусів, здатних повністю змінювати свій код при зараженні нової програмиабо завантажувального сектора, неможливо виділити сигнатуру. Тому прості антивірусні програми-сканери не можуть знайти поліморфні віруси.

Евристичний аналіз дозволяє виявляти раніше невідомі віруси, причому для цього не треба заздалегідь збирати дані про файловій системіЯк цього вимагає, наприклад, розглянутий нижче метод виявлення змін.

Антивірусні програми, що реалізують метод евристичного аналізу, перевіряють програми та завантажувальні сектори дисків та дискет, намагаючись виявити в них код, характерний для вірусів. Евристичний аналізатор може виявити, наприклад, що програма, що перевіряється, встановлює резидентний модуль у пам'яті або записує дані у здійснений файл програми.

Майже всі сучасні антивірусні програми реалізують власні способи евристичного аналізу. На рис. 1 ми показали одну з таких програм – сканер McAffee VirusScan, запущений вручну для антивірусної перевірки диска.

Коли антивірус виявляє заражений файл, він зазвичай виводить повідомлення на екрані монітора і робить запис у власному або системному журналі. Залежно від налаштувань, антивірус може також надсилати повідомлення про виявлений вірус адміністратору мережі.

Якщо це можливо, антивірус лікує файл, відновлюючи його вміст. В іншому випадку пропонується лише одна можливість - видалити заражений файл і потім відновити його з резервної копії(Якщо, звичайно, вона у Вас є).

Сторінка 1

Евристичний аналіз дозволяє визначати невідомі віруси, але при цьому не вимагає попереднього збирання, обробки та зберігання інформації про файлову систему. Його сутність полягає у перевірці можливих середовищ існування вірусів та виявлення в них команд (груп команд), характерних для вірусів. Під час виявлення підозрілих команд у файлах або завантажувальних секторах видається повідомлення про можливе зараження.

Евристичний аналіз, як і розглянуті вище методи прогнозування, будується за принципами індуктивної логіки, оскільки його центральним поняттям є достовірність гіпотези, ступеня її справедливості. Очевидно, що підвищити ступінь справедливості евристичної гіпотези щодо прогнозу розвитку науково-технічного прогресу в будь-яких його напрямках можна з огляду на аналіз динаміки та тенденції розвитку наукових досліджень у цих напрямках науки.

За допомогою евристичного аналізу можна для обраного алгоритму техпроцесу встановити найбільш доцільні поєднання функціональних підгруп, що входять до складу відповідних функціональних груп: наприклад, технологічний та транспортний ротори, що не вимагають верхньої плити для встановлення їх на станині.

Цим ми завершуємо наш евристичний аналіз зоряної спекл-інтерферометрії.

Програмою передбачається можливість проведення евристичного аналізу на трьох рівнях. При цьому досліджуються файли та системні області дисків з метою виявлення невідомих вірусів за характерними кодовими послідовностями.

Другий принцип полягає в евристичному аналізі значущості факторів, що враховуються, виходячи з практичного досвіду та інтуїції.

У 1998 р. створено систему візуального евристичного аналізу числових матриць Visual HCA під керівництвом профф. Неодноразово публікувалися доповіді на конференціях у Мексиці (Китай, Бельгія) та статті у зарубіжних та вітчизняних журналах. У 2000 р. розроблено прикладна системавізуального моніторингу даних вимірів забруднення Мехіко із застосуванням системи візуального евристичного аналізу.

Реалізований у цій антивірусній програміспеціальний алгоритм евристичного аналізу дозволяє виявляти також файли, заражені новими типами вірусів.

У ряді випадків така схема упорядкованих детермінованих розрахунків, що супроводжується глибоким евристичним аналізом, дозволяє отримати досить обґрунтовані рішення і тим самим закінчити оптимізацію адсорбційної установки за неповної інформації. Але іноді отримані рішення можуть суттєво відрізнятися за своїми компонентами. Тоді рекомендується продовжити оптимізаційний розрахунок за схемою, наведеною нижче.

Оскільки ми вже маємо точної теорією рішень ігор, ми повинні після цього попереднього евристичного аналізу дати точний аналіз, суворо заснований на математичної теорії.

Слід підкреслити, що дослідницька група, що формується для вирішення того чи іншого завдання організаційного управління, повинна вміти використовувати формальний математичний апарат і мати здатність до суто евристичного аналізу реальних ситуацій.

Маклорена і що поділ відбудеться, коли зростаюче ставлення т досягне критичного значення 0 14 (див. розд. З цього евристичного аналізу випливають два цікаві результати. По-перше, зірки з М 0 8 MQ досягають головної послідовності і перестають стискатися, перш ніж в їх ядрі може статися поділ, викликаний обертанням.

Вирішення завдання побудови безлічі конфліктних варіантів проводиться за допомогою ППП оптимального проектування, що входять до математичного забезпечення автоматизованої системи проектування. Далі, застосовуючи алгоритми евристичного аналізу, ЕОМ спочатку здійснює ранжування та вибір кінцевого числа найкращих варіантів проекту АЛ, потім їх діагностику або, навпаки, спочатку діагностику, потім вибір. Отримані результати видаються на термінальні пристрої для того, щоб проектувальник зміг провести остаточну оцінку.

При вирішенні двокритеріальної задачі слід прагнути забезпечити екстремум лінійної комбінації критеріїв або знаходити безліч Парето і приймати остаточне рішення виходячи з евристичного аналізу цих множин. Іноді надходять у такий спосіб. На один із критеріїв накладають обмеження та домагаються, щоб другий критерій набув екстремального значення.

Назва цієї групи методів походить від знаменитого грецького слова «еврика!», що приписується Архімеду. - «Знайшов!», що виражає радість з приводу зробленого ним відкриття. Евристичні методи ґрунтуються на творчому мисленні та знаннях фахівців – експертів, практичному досвіді господарських керівників, їх інтуїції, на індивідуальних та колективних судженнях. Такі методи вважаються якісно-логічними, що доповнюють формалізовані кількісні методи аналізу. Необхідність їх застосування обумовлена складністю та неможливістю чіткого математичного моделювання багатьох соціально-економічних процесів (хоча багато з таких методів і передбачають використання математичних процедур для обробки вихідної інформації та результатів логічного експертного аналізу).

Усі евристичні методи умовно можна поділити на експертні методи та методи активізації творчого мислення (іноді їх називають психологічними).

Експертні методи,спираючись на знання, міркування та досвід фахівців, дозволяють вирішувати дві групи аналітичних завдань:

1) отримання інформації про конкретні економічні явища та їх причини, про вимоги ключових зацікавлених сторін бізнесу;
2) оцінки характерних проявів стійких причинно-наслідкових зв'язків, прогнозування можливого розвитку соціально-економічних процесів та обґрунтування найбільш раціональних для цієї ситуації управлінських рішень.

Перша група завдань вирішується за допомогою анкетування, опитувань та інтерв'ю працівників підприємств та представників інших груп стейкхолдерів цих підприємств. Для вирішення другої групи завдань залучаються висококваліфіковані експерти-професіонали. При цьому можуть використовуватись як індивідуальні, так і колективні методи експертних оцінок.

Індивідуальні методипередбачають використання думок відібраних фахівців-експертів, сформульованих кожним з них незалежно один від одного та зібраних за допомогою інтерв'ю або анкетування. Недолік такого підходу полягає у відомій обмеженості знань окремих фахівців про всі аспекти досліджуваної проблеми, у прихильності кожного з них до якоїсь конкретної позиції чи наукової школи.

Більш ефективне застосування колективних методів,заснованих на залученні груп різних експертів - теоретиків і практиків, добре обізнаних про суть проблеми, про специфіку суміжних галузей знань та видів діяльності, що мають різні точки зору. Взаємодія фахівців, що залучаються, дає можливість дослідити поставлену проблему з різних сторін. Серед подібних методів найпопулярніший метод комісій(виробничих нарад, конференцій, семінарів та «круглих столів»), що дозволяє виробити спільну позицію учасників з урахуванням усіх обставин, що обговорюються. Недоліком такого методу є те, що рішення, що приймаються в силу прагнення до компромісів і психологічного тиску найбільш авторитетних експертів, не обов'язково відображають їх кращі варіанти, запропоновані окремими учасниками комісій. Почасти долається цей недолік за допомогою поділу роботи комісії на два етапи:

? загальне обговорення проблеми та вільне висловлювання думок учасників;
? критичний аналіз всіх висловлених пропозицій та вироблення рішень.

Ще більшою мірою дозволяє уникати конформізму експертів метод Дел'фі,заснований на заочному анонімному опитуванні незалежних експертів, що проводиться в кілька турів (часто навіть не знають про існування один одного) з подальшою статистичною обробкою результатів і виробленням остаточного рішення групою аналітиків - організаторів опитування.

Широко відомі методи колективного блокноту та банку ідей,що дозволяють поступово накопичувати ідеї та пропозиції, що висуваються незалежними експертами, вдалі типові рішення, практичні приклади з можливістю їх систематизації та оцінки.

Методи активізації творчого мисленняспрямовані на створення психологічних умов, що дозволяють людині генерувати нові ідеї та шукати шляхи вирішення різних проблем. Серед подібних способів організації творчого процесу під час вирішення завдань економічного аналізу найбільшого поширення набув метод «мозкового штурму».

"Мозковий штурм"являє собою ефективний методгруповий організації аналітичної діяльності з вирішення будь-яких проблем, заснований на розкріпачення творчої активності його учасників. Зазвичай він передбачає три етапи. Перший етап - чітке формулювання проблеми, яка потребує вирішення, та відбір учасників творчої групи. Склад учасників не повинен бути більшим, але він повинен включати не лише фахівців з цього питання, а й інших зацікавлених осіб, які не пов'язані відносинами підпорядкованості. Другий етап - генерація ідей на вирішення поставленої проблеми. Особливістю цього етапу є створення умов для максимально вільної творчості за повної відсутності оцінок і будь-якої критики пропозицій, що висловлюються. При цьому не задаються навіть напрями пошуку ідей та критерії їхньої оцінки. Головна мета - це максимальна кількість пропозицій, що висуваються, і їх можливих поєднань, всі вони повинні бути зафіксовані. Вітаються навіть фантастичні ідеї, що здаються абсурдними. Тривалість цього етапу не повинна перевищувати півтори години, тому що після цього творча активність, як правило, починає затихати. Третій етап – це виконувані аналітиками – організаторами «штурму» класифікація висловлених пропозицій, відбір, оцінка та розробка різних комбінацій найбільш перспективних ідей.

Модифікацією методу «мозкового штурму» є метод синектики.Сам термін «синектика» означає використання на вирішення творчих завдань з'єднання у єдине ціле різних, найчастіше різнорідних елементів, які здаються несумісними. Від класичного «мозкового штурму» синектика відрізняється організацією впливу групи на творчу активність її членів, визначенням конкретних прийомів вироблення ідей, припущенням критичного обговорення і відсіювання ідей, що висуваються безпосередньо на стадії їх генерування. При цьому до складу групи повинні входити не просто професіонали, а творчі особи, які прагнуть змагання і готові відстоювати свої позиції, які мають різні психоемоційні характеристики (ентузіасти, консерватори, оптимісти, скептики тощо). Характерним для синектики є використання різних вербальних прийомів активізації мислення: аналогій (знаходження рішень на основі аналізу вже вирішених аналогічних проблем в інших галузях, пошук рішень у фантастиці, міфах, казках), інверсії (пошук рішень «від зворотного»), емпатії (тотожнення себе з аналізованим об'єктом та розуміння проблеми на основі власних відчуттів), ідеалізації (дослідження з позицій отримання ідеального результату). Слід зазначити, що з синетичної групи експертів дуже важливі попередня підготовка, взаєморозуміння та згуртованість, інакше наростаюча критичність обговорень може просто заблокувати генерацію нових ідей.

Морфологічний методЦей метод ґрунтується на оцінці внутрішньої структури досліджуваного об'єкта та відповідної декомпозиції розглянутої проблеми на окремі завдання, підборі можливих рішеньдля кожного з цих завдань, їх систематизації та синтезу загального вирішення проблеми шляхом комбінування приватних рішень.

Теорія вирішення винахідницьких завдань(ТРИЗ). Спочатку метою ТРВЗ було дослідження принципів розвитку технічних системта створення практичних методів вирішення винахідницьких завдань на основі виявлення та усунення протиріч у таких системах для досягнення ідеального кінцевого результату. Нині ТРВЗ перетворилася на універсальну методологію аналізу різноманітних проблем у багатьох сферах, у тому числі і в економіці. Активізація творчого мислення при цьому досягається структуруванням завдань аналізу та певною послідовністю їх вирішення:

1) для чого призначена система, з яких елементів вона складається, які їх функції та як вони взаємодіють;
2) які зв'язки елементів системи та їх функції є корисними, які марними, а які шкідливими;
3) які елементи, функції та зв'язки можна змінювати, а які змінювати неможливо;
4) які можливі варіанти змін елементів системи, їх функцій та зв'язків;
5) які зміни забезпечують покращення функціонування системи в цілому, а які викликають протиріччя в системі та послаблюють її;
6) як здійснити поліпшуючі зміни при одночасному усуненні або мінімізації суперечностей, що виникають.

Для стимулювання творчої активності та організації систематичної самостійної роботи експертів-аналітиків часто вдаються до виконання своєрідних правил. Правило 24наказує, що всі 24 години на добу аналітик повинен думати про досліджувану проблему. Правило 25 -для успішного вирішення поставленого завдання необхідно висунути щонайменше 25 ідей. Правило 26 -в англійському алфавіті 26 літер, і як підказка самому собі треба думати, на яку літеру буде починатися ключове для вирішення проблеми слово.

Евристичні методи аналізу

Ви у своєму житті, ймовірно, зустрічали людину, яка перш за все вражала вас тим, що в неї надзвичайно розвинена уява, оригінальні та несподівані міркування, ідеї, які властиві високорозвиненому інтуїтивному мисленню. Таку людину ми, як правило, називаємо творчою особистістю. А здатність до створення нових ідей є всі підстави віднести до однієї з найважливіших ознак творчої особистості.

І в школі, і у вищих та середніх спеціальних навчальних закладах, на жаль, розвитку інтуїції, здібностей до генерування нових ідей приділяють недостатню увагу. Педагоги переважно звертають увагу до логічні методи розв'язання завдань, зокрема у процесі розв'язання творчих завдань.

Розрахункові методи оперують лише кількісно-визначеною інформацією, використання якої під час аналізу систем управління дуже обмежене. Для аналізу господарську діяльність велике значення має використання евристичних методів, вкладених у отримання якісних показників суб'єкта господарювання. Методи евристики ґрунтуються головним чином на досвіді та інтуїції фахівців, їх індивідуальних чи колективних судженнях. Серед евристичних методів можна виділити оціночні та оціночно-пошукові методи аналізу.

Евристичні методи широко викладаються у роботах з управління персоналом, організації управління та організаційної поведінки.

Умови, що визначають необхідність використання евристичних методів, можна охарактеризувати так:

Якісний характер вихідної інформації, що описується за допомогою економічних та соціальних параметрів, відсутність достатньо представницьких та достовірних відомостей щодо характеристик об'єкта дослідження;

Велика невизначеність вихідних даних для аналізу;

Відсутність чіткого предметного опису та математичної формалізації предмета оцінки;

Нестача часу та засобів для дослідження із застосуванням формальних моделей;

Відсутність технічних засобівз відповідними характеристиками для аналітичного моделювання;

Екстремальність аналізованої ситуації.

Евристичні методи аналізу являють собою особливу групу прийомів збору та обробки інформації, що спирається на професійну думку групи фахівців.

Класифікація евристичних методів аналізу

Евристичні методи оцінки

ОЦІНОЧНО-ПОШУКОВІ МЕТОДИ

Комісії та конференції

Мозковий штурм

Колективний блокнот

Банк ідей

Метод активного соціологічного тестованого аналізу та контролю

Ділові ігри

Функціонально-вартісний аналіз.

Евристичні методи часто називають креативними, оскільки вони спираються творче мислення групи людей. Запорукою надійності та обґрунтованості висновків аналізу за евристичних методів є правильний підбір експертів. Залежно від цілей та спрямованості група експертів може бути однорідною або включати представників різних группов'язаних фахівців, інколи ж і просто зацікавлених осіб. Наприклад, при формуванні групи експертів для аналізу технологічних розробок до неї включаються технологи, які професійно можуть оцінити технічну новизну рішення, економісти, що оцінюють його ефективність, механіки, які можуть оцінити можливості реалізації нової технологіїна існуючій виробничій базі, робітники - виконавці нової технології. При оцінці якості продукції та попиту на неї до складу групи експертів включаються не тільки товарознавці, а й виробники та споживачі продукції. У той же час, при розробці якогось технічного рішенняна першій стадії до складу групи експертів включаються лише спеціалісти відповідного профілю.

Насправді склалися досить складні методи формування групи експертів:

За формальними критеріями, коли враховуються спеціальність, стаж роботи, тривалість перебування у одному колективі; сюди ж відносяться психологічні оцінки особистості за даними соціологічної служби організації (якщо є), наприклад, здатність до творчого мислення, конструктивність мислення тощо;

На основі самооцінки особи, отриманої при анкетуванні, у цьому випадку сам майбутній експерт оцінює свої можливості, включаючи кваліфікацію, аналітичність та конструктивність мислення, здатність адаптуватися до певних ситуацій тощо; такий відбір експертів доповнюється визначенням рівня самооцінки майбутнього експерта - занижена, завищена чи адекватна, що проводиться за спеціального

психологічний відбір експертів;

На основі оцінки осіб, пов'язаних з претендентом, коли професійні та особисті якості експерта оцінюються фахівцями аналогічного профілю, споживачами послуг, працівниками, що реалізують рішення експерта;

Методом випадкового відбору (вибірки), якщо в якості експертів може виступати безліч осіб (наприклад, споживачів продукції та послуг).

Досить часто при аналізі діяльності суб'єкта господарювання до складу групи експертів входять керівники різних рівнів і працівники. Наприклад, так формується група експертів при виборі стратегії розвитку виробництва, зміні системи стимулювання, реформуванні систем обліку та звітності, розбудові організаційних структур.

Отже, під час відбору експертів широко використовуються як формальні, і психологічні методи відбору. У зв'язку з цим евристичні методи часто називають психологічними.

(Мелюхова Яна) 1) Метод типології ґрунтується на популярної теорії позиціонування. Основна ідея цієї теорії полягає у існуванні готової, єдиної для всіх картини стандартних ситуацій та рішень. Завдання аналітика полягає у виборі позиції, що відповідає об'єкту аналізу за певними параметрами, та отриманні стандартного рішення, запропонованого розробниками методу. Практичними додатками цієї теорії є матриці ЗКГ, Мак-Кензі та ін. Технологія реалізації методу включає такі етапи, як:

Оцінка аналізованого об'єкта за деякими заданими параметрами;

Позиціонування об'єкта у типологічній схемі відповідно до значень параметрів;

схемою типом аналізованого об'єкта

При побудові типологічної схеми можна використовувати два і більше параметри. Параметри можуть відбивати як прості властивості, і комплексні. Прикладом комплексного властивості служить перспективність ринку, що характеризується розмірами, темпом зростання, рівнем задоволення потреб користувачів, конкуренцією, рівнем цін, прибутковістю та

і т.д. Як очевидно з наведеного прикладу, параметри може мати як кількісну, і якісну оцінку. Позиціонування аналізованого об'єкта (об'єктів) на типологічній сітці можливе у вигляді тієї чи іншої мітки (крапок, кіл і т.д.).

За наявності розробок у конкретних областях використання типологічних сіток дозволяє визначити тип об'єкта, що аналізується, і скористатися готовими рекомендаціями щодо його вдосконалення. Однак із методом типології необхідно бути вкрай обережним. Потрібно мати на увазі, що універсальні «рецепти» досить спокусливі своєю простотою, яка контрастує з вирішенням творчих завдань, але користь від застосування отриманих рекомендацій дуже обмежена. Краще знати, як виявити та вирішити проблеми, ніж вірити у готові рецепти успіху. На думку автора, лише у поєднанні з іншими прийомами оцінки метод типології дозволяє охарактеризувати ситуацію та знайти прийнятні варіанти прогнозних управлінських рішень.

(Кисельова Оля) 2) Метод експертної оцінки спирається на виявлення узагальненої оцінки експертною групою шляхом статистичного опрацювання індивідуальних, незалежних оцінок, винесених експертами. Члени групи у разі можуть бути рівноцінними чи мати різний ранг, врахований при виведенні результатів експертизи.

При наборі експертів слід керуватися такими вимогами, як:

Високий рівень загальної ерудиції, володіння спеціальними знаннями в області, що аналізується;

Наявність певного практичного та (або) дослідницького досвіду з розглянутої проблеми;

Здатність до адекватної оцінки тенденцій розвитку об'єкта, що досліджується;

Відсутність упередженості, зацікавленості у конкретному результаті оцінки.

Сприятливі умови для роботи експертів створюються в результаті попереднього інструктування, навчання методики дослідження, надання додаткової інформаціїпро об'єкт аналізу.

(Оля Прилепа) 3) Метод експертної комісії заснований на виявленні єдиної колективної думки спеціально підібраними експертами під час обговорення поставленої проблеми та альтернатив її вирішення внаслідок певних компромісів.

При використанні методу експертної комісії здійснюється не лише статистична обробка результатів індивідуальної бальної оцінки всіх експертів, а й обмін думками щодо результатів експертизи та уточнення оцінок. Нестача такої процедури полягає у сильному впливі авторитетів на думку більшості учасників експертизи.

Вконтакте

Що таке евристичний аналізатор?

Евристичний метод, на відміну сигнатурного методу, націлений виявлення не сигнатур шкідливого коду, а типові послідовності операцій, що дозволяють зробити висновок про природу файлу з достатньою часткою ймовірності. Перевагою евристичного аналізу і те, що його роботи не потрібно наявність попередньо складених баз. За рахунок цього нові загрози розпізнаються до того, як їхня активність стає відома вірусним аналітикам.
прохання якщо дізнаєшся напиши мені
Евристичне сканування Метод роботи антивірусної програми, заснований на сигнатурах і евристиці, покликаний поліпшити здатність сканерів застосовувати сигнатури і розпізнавати модифіковані версії вірусів у тих випадках, коли сигнатура збігається з тілом невідомої програми не на 100%, але в підозрілій програмі очевидна. Ця технологіяПроте, застосовується в сучасних програмах дуже обережно, оскільки може підвищити кількість помилкових спрацьовувань.
Евристичний аналізатор (евристик) це антивірусний модуль, який аналізує код виконуваного файлу і визначає, чи об'єкт, що перевіряється, інфікований.
Під час евристичного аналізу не використовуються стандартні сигнатури. Навпаки, евристик приймає рішення з урахуванням заздалегідь у нього закладених, іноді зовсім чітких правил.
Для більшої наочності такий підхід можна порівняти зі штучним інтелектом, що самостійно проводить аналіз і приймає рішення. Проте така аналогія відображає суть лише частково, оскільки евристик не вміє вчитися і, на жаль, має низьку ефективність. За оцінками антивірусних експертів, навіть найсучасніші аналізатори не здатні зупинити понад 30% шкідливих кодів. Ще одна проблема помилкові спрацьовування, коли легітимна програма визначається як інфікована.
Однак, незважаючи на всі недоліки, евристичні методи, як і раніше, використовуються в антивірусних продуктах. Справа в тому, що комбінація різних підходів дозволяє підвищити підсумкову ефективність сканера. Сьогодні евристики мають продукти всіх основних гравців на ринку: Symantec, Лабораторії Касперського, Panda, Trend Micro і McAfee.
У процесі евристичного аналізу перевіряється структура файлу, його відповідність до вірусних шаблонів. Найбільш популярною евристичною технологією є перевірка вмісту файлу щодо наявності модифікацій вже відомих сигнатур вірусів та їх комбінацій. Це допомагає визначати гібриди та нові версії раніше відомих вірусів без додаткового поновленняантивірусної основи.
Евристичний аналіз застосовується виявлення невідомих вірусів, і, як наслідок, передбачає лікування.
Ця технологія не здатна на 100% визначити вірус перед нею чи ні, і як будь-який ймовірнісний алгоритм грішить помилковими спрацьовуваннями.
Будь-які питання - будуть вирішені мною, звертайтеся, допоможемо, чим зможемо
Евристичний аналізатор підсумовує тенденції програмного коду щодо звернень до системних переривань, екстраполюючи рівень можливої шкідливості. Тим самим здійснюється збалансований захист операційної системи.
Ну все начебто пояснив, зрозуміло?;))
це типу штучного інтелекту. в реалі ця технологія недоступна, якісь наближення до неї є, начебто антивірус сам аналізує прогу і вирішує вірус вона чи ні

Сканування

Антивірусний захист.

Сьогодні використовується кілька основних методик виявлення та захисту від вірусів:

· Сканування;

· евристичний аналіз;

· Використання антивірусних моніторів;

· Виявлення змін;

· Використання антивірусів, вбудованих в BIOS комп'ютера.

Крім того, практично всі антивірусні програми забезпечують автоматичне відновлення заражених програм та завантажувальних секторів. Звісно, якщо це можливо.

Для шифруючих та поліморфних вірусів, здатних повністю змінювати свій код при зараженні нової програми або завантажувального сектора, неможливо виділити сигнатуру. Тому прості антивірусні програми-сканери не можуть знайти поліморфні віруси.

Евристичний аналіз дозволяє виявляти раніше невідомі віруси, причому для цього не треба попередньо збирати дані про файлову систему, як цього вимагає, наприклад, розглянутий метод виявлення змін.

Коли антивірус виявляє заражений файл, він зазвичай виводить повідомлення на екрані монітора і робить запис у власному чи системному журналі. Залежно від налаштувань, антивірус може також надсилати повідомлення про виявлений вірус адміністратору мережі.

Якщо це можливо, антивірус лікує файл, відновлюючи його вміст. В іншому випадку пропонується тільки одна можливість - видалити заражений файл і відновити його з резервної копії (якщо, звичайно, вона у Вас є).

Антивірусні програми - це програми, основним завданням яких є захист саме від вірусів, або точніше від шкідливих програм.

Методи та принципи захисту теоретично не мають особливого значення, головне, щоб вони були спрямовані на боротьбу зі шкідливими програмами. Але на практиці справа трохи інакша: практично будь-яка антивірусна програма об'єднує в різних пропорціях всі технології та методи захисту від вірусів, створені до сьогоднішнього дня.

З усіх методів антивірусного захисту можна виділити дві основні групи:

Сигнатурні методи- Точні методи виявлення вірусів, засновані на порівнянні файлу з відомими зразками вірусів
Евристичні методи- приблизні методи виявлення, які дозволяють певною мірою припустити, що файл заражений

Сигнатурний аналіз

Слово сигнатура у разі є калькою на англійське signature , що означає " підпис " чи ж у переносному сенсі " характерна риса, щось ідентифікуюче " . Власне, це все сказано. Сигнатурний аналізполягає у виявленні характерних ідентифікуючих рис кожного вірусу та пошуку вірусів шляхом порівняння файлів із виявленими рисами.

Сигнатурою вірусубуде вважатися сукупність характеристик, що дозволяють однозначно ідентифікувати наявність вірусу у файлі (включаючи випадки, коли файл цілком є вірусом). Усі разом сигнатури відомих вірусів становлять антивірусну основу.

Завдання виділення сигнатур, як правило, вирішують люди - експерти в галузі комп'ютерної вірусології, здатні виділити код вірусу з коду програми та сформулювати його характерні риси у формі, найбільш зручній для пошуку. Як правило - тому що в найпростіших випадках можуть застосовуватись спеціальні автоматизовані засоби виділення сигнатур. Наприклад, у разі нескладних за структурою троянів або хробаків, які не заражають інші програми, а цілком шкідливі програми.

Практично у кожній компанії, що випускає антивіруси, є своя група експертів, яка виконує аналіз нових вірусів та поповнює антивірусну базу новими сигнатурами. З цієї причини антивірусні бази в різних антивірусахвідрізняються. Тим не менш, між антивірусними компаніями існує домовленість про обмін зразками вірусів, а значить рано чи пізно сигнатура нового вірусу потрапляє до антивірусних баз практично всіх антивірусів. Найкращим антивірусом буде той, для якого сигнатура нового вірусу була випущена раніше за всіх.

Одна з найпоширеніших помилок щодо сигнатур полягає в тому, кожна сигнатура відповідає рівно одному вірусу або шкідливій програмі. І, як наслідок, антивірусна база з великою кількістю сигнатур дозволяє виявляти більше вірусів. Насправді, це не так. Дуже часто для виявлення сімейства схожих вірусів використовується одна сигнатура, і тому вважати, що кількість сигнатур дорівнює кількості вірусів, що виявляються, вже не можна.

Співвідношення кількості сигнатур та кількості відомих вірусів для кожної антивірусної бази своє і цілком може виявитися, що база з меншою кількістю сигнатур насправді містить інформацію про більшу кількість вірусів. Якщо ж згадати, що антивірусні компанії обмінюються зразками вірусів, можна з високою впевненістю вважати, що антивірусні бази найбільш відомих антивірусів еквівалентні.

Важлива додаткова властивість сигнатур – точне та гарантоване визначення типу вірусу. Ця властивість дозволяє занести в основу не лише самі сигнатури, а й методи лікування вірусу. Якби сигнатурний аналіздавав тільки відповідь на запитання, чи є вірус чи ні, але не давав відповіді, що це за вірус, очевидно, лікування було б не можливе - занадто великим був би ризик здійснити не ті дії і замість лікування отримати додаткові втрати інформації.

Інша важлива, але негативна властивість - для отримання сигнатури необхідно мати зразок вірусу. Отже, сигнатурний методнепридатний для захисту від нових вірусів, оскільки доти, доки вірус не потрапив на аналіз до експертів, створити його сигнатуру неможливо. Саме тому всі найбільші епідемії викликаються новими вірусами. З моменту появи вірусу в Інтернеті до випуску перших сигнатур зазвичай проходить кілька годин, і весь цей час вірус здатний заражати комп'ютери майже безперешкодно. Майже тому, що в захисті від нових вірусів допомагають додаткові засоби захисту, розглянуті раніше, а також евристичні методи, що використовуються в антивірусних програмах.

Евристичний аналіз

Слово "евристика" походить від грецького дієслова "знаходити". Суть евристичних методів полягає в тому, що вирішення проблеми ґрунтується на деяких правдоподібних припущеннях, а не на суворих висновках з фактів і передумов. Оскільки таке визначення звучить досить складно та незрозуміло, простіше пояснити на прикладах різних евристичних методів

Якщо сигнатурний метод заснований на виділенні характерних ознак вірусу і пошуку цих ознак у файлах, що перевіряються, то евристичний аналіз грунтується на (дуже правдоподібному) припущенні, що нові віруси часто виявляються схожі на які-небудь з вже відомих. Постфактум таке припущення виправдовується наявністю в антивірусних базахсигнатур визначення не одного, а відразу кількох вірусів. Засноване на такому припущенні евристичний метод полягає у пошуку файлів, які не повністю, але дуже близько відповідають сигнатурам відомих вірусів.

Позитивним ефектом від цього методу є можливість виявити нові віруси ще до того, як для них будуть виділені сигнатури. Негативні сторони:

Імовірність помилково визначити наявність у файлі вірусу, коли насправді файл чистий – такі події називаються хибними спрацьовуваннями
Неможливість лікування - і через можливі помилкові спрацьовування, і через можливе неточне визначення типу вірусу, спроба лікування може призвести до більших втрат інформації, ніж сам вірус, а це неприпустимо
Низька ефективність - проти справді новаторських вірусів, що викликають найбільш масштабні епідемії, цей вид евристичного аналізу малопридатний

Пошук вірусів, які виконують підозрілі дії

Інший метод, заснований на евристиці, виходить із припущення, що шкідливі програми так чи інакше прагнуть завдати шкоди комп'ютеру. Метод заснований на виділенні основних шкідливих дій, таких як, наприклад:

Видалення файлу
Запис у файл
Запис у певні галузі системного реєстру
Відкриття порту на прослуховування
Перехоплення даних, що вводяться з клавіатури
Розсилка листів
Та ін.

Зрозуміло, що виконання кожної такої дії не є підставою вважати програму шкідливою. Але якщо програма послідовно виконує кілька таких дій, наприклад, записує запуск себе в ключ автозапуску системного реєстру, перехоплює дані, що вводяться з клавіатури і з певною частотою пересилає ці дані на якусь адресу в Інтернет, значить ця програма щонайменше підозріла. Заснований у цьому принципі евристичний аналізатор повинен постійно стежити за діями, які виконують програми.

Перевагою описаного методу є можливість виявляти невідомі раніше шкідливі програми, навіть якщо вони дуже схожі вже відомі. Наприклад, нова шкідлива програма може використовувати для проникнення на комп'ютер нову вразливість, але після цього починає виконувати вже звичні шкідливі дії. Таку програму може пропустити евристичний аналізатор першого типу, але може виявити аналізатор другого типу.

Негативні риси ті ж, що й раніше:

Хибні спрацьовування
Неможливість лікування
Невисока ефективність

Ця стаття про те, антивірусному програмне забезпечення. Для застосування евристики в оцінці юзабіліті див евристичної оцінки.

Евристичний аналізє метод, використовуваний багатьма комп'ютерними антивірусними програмами, призначеними виявлення раніше невідомих комп'ютерних вірусів , і навіть нові варіанти вірусів вже у «дикої природі».

Евристичний аналіз є на основі експертного аналізу, який визначає сприйнятливість системи до особливої загрози/ризику з використанням різних правил прийняття рішень або методів зважування. Аналіз Багатокритеріальний (MCA) є одним із засобів зважування. Цей метод відрізняється від статистичного аналізу, що спирається на наявні дані / статистику.

операція

Більшість антивірусних програм, які використовують евристичний аналіз виконання цієї функції, виконавши команди програмування із сумнівної програми або сценарію в спеціалізованій віртуальній машині, тим самим дозволяючи антивірусну програму внутрішньо імітувати те, що сталося б, якщо підозрілий файл повинні були бути виконані за збереження підозрілого коду, виділений із реального світу машини. Потім він аналізує команди, як вони виконуються, моніторинг поширених вірусних заходів, таких як реплікація, файл перезаписує та намагається приховати існування підозрілого файлу. Якщо один або кілька вірусів, як дії будуть виявлені, підозрілий файл позначений як потенційний вірус і користувач насторожити.

Інший поширений метод евристичного аналізу для антивірусної програми, щоб декомпілювати підозрілі програми, а потім аналізувати машинний код, що міститься всередині. Вихідний код підозрілого файлу порівнюються з вихідним кодом відомих вірусів та вірусоподібної діяльності. Якщо певний відсоток від вихідного коду збігається з кодом відомих вірусів або вірусів, як діяльності, файл позначено, і користувач насторожити.

ефективність

Евристичний аналіз дозволяє виявляти багато раніше невідомих вірусів і нових варіантів поточних вірусів. Тим не менш, евристичний аналіз працює на основі досвіду (порівнюючи підозрілий файл з кодом та функцією відомих вірусів). Це означає, що, швидше за все, пропустити нові віруси, які містять раніше невідомі методи роботи, не знайшли в одному з відомих вірусів. Отже, ефективність досить низька щодо точності та кількості помилкових спрацьовувань.

Оскільки нові віруси виявляються людськими дослідниками, інформація про них додається евристичним аналізом двигуна, тим самим забезпечуючи двигун засіб для виявлення нових вірусів.

Що таке евристичний аналіз?

Евристичний аналіз є методом виявлення вірусів шляхом аналізу коду підозрілих властивостей.

Традиційні методи виявлення вірусів залучають виявлення шкідливих програм шляхом порівняння коду у програмі з кодом відомих типів вірусів, які вже зіткнулися, проаналізовані та записані у базі даних - відомих як виявлення підпису.

У той час як корисні і досі використовуються методи сигнатурного виявлення також став більш обмеженим, у зв'язку з розвитком нових загроз, які вибухали на рубежі століть і продовжують з'являтися весь час.

Для вирішення цієї проблеми, евристична модель була спеціально розроблена, щоб виявити підозрілі ознаки, які можуть бути знайдені в невідомий, нові віруси та модифіковані версії існуючих загроз, а також відомих зразків шкідливих програм.

Кіберзлочинці постійно розробляють нові загрози, і евристичний аналіз є одним з небагатьох методів, що використовуються для боротьби з величезним обсягом нових загроз бачили щодня.

Евристичний аналіз також є одним із небагатьох методів, здатних боротьби поліморфних вірусів – термін для шкідливого коду, який постійно змінюється та адаптується. Евристичний аналіз включені передові рішеннябезпеки, що пропонуються такими компаніями, як Kaspersky Labs, щоб виявити нові загрози, перш ніж вони завдати шкоди, без необхідності конкретного підпису.

Яка евристичний аналіз робота?

Евристичний аналіз дозволяє використовувати безліч різних методик. Один евристичний метод, відомий як статичний евристичний аналіз, включає декомпіляцію підозрілої програми і розглядають його вихідний код. Цей код порівнюються з вірусами, які вже відомі та знаходяться в евристичних базах даних. Якщо якийсь відсоток від вихідного коду збігається із записом у базі евристичних даних, код позначений як можлива загроза.

Інший метод відомий як динамічні евристики. Коли вчені хочуть аналізувати щось підозріле, не наражаючи на небезпеку людей, вони містять речовини в контрольованому середовищі, як захищеної лабораторії та проведення випробувань. Цей процес аналогічний для евристичного аналізу – а й у віртуальному світі.

Вона ізолює підозрілі програми або шматок коду всередині спеціалізованої віртуальної машини- або пісочниці - і дає антивірусній програмі шанс перевірити код і симулювати, що станеться, якщо підозрілий файл дозволено працювати. Він розглядає кожну команду, як це спрацьовує, і шукає будь-які підозрілі поведінки, наприклад самовідтворення, перезапис файлів, а також інші дії, які є спільними для вірусів. Потенційні проблеми

Евристичний аналіз ідеально підходить для виявлення нових загроз, але, щоб бути ефективними, евристики повинні бути ретельно відрегульовані з метою забезпечення найкращого виявлення нових загроз, але без генерації помилкових спрацьовувань на абсолютно безневинному коді.