Модели и методы защиты от вредоносных программ на основе контроля доступа к файлам

• Автор: Маркина, Татьяна Анатольевна
• Шифр специальности: 05.13.19
• Научная степень: Кандидатская
• Год защиты: 2014
• Место защиты: Санкт-Петербург
• Количество страниц: 140 с. : ил.

Содержание
Введение
1 Исследование актуальности задачи защиты от вредоносных программ
1.1 Классификация вредоносных программ
1.1.1 Классификация и описание вредоносных программ
1.1.1.1 Вредоносные макро-программы
1.1.1.2 Загрузочные вредоносные программы
1.1.1.3 Сетевые вредоносные программы
1.1.1.4 Файловые вредоносные программы
1.1.1.4.1 Классические компьютерные вирусы
1.1.1.4.2 Троянские программы
1.1.1.4.3 Компьютерные черви
1.1.1.4.4 Хакерские утилиты, потенциально нежелательные программы и
прочие вредоносные программы
1.1.1.5 Скриптовые вредоносные программы
1.1.2 Предлагаемая классификация вредоносных программ
1.2 Способы внедрения вредоносных программ
1.3 Существующие методы и средства защиты от вредоносных программ
1.3.1 Методы защиты от вредоносных программ
1.3.2 Средства защиты от вредоносных программ
1.4 Основные результаты и выводы
2 Оценка актуальности угрозы вредоносных программ и эффективности существующих методов защиты
2.1 Оценка актуальности угрозы внедрения и запуска вредоносной программы для информационной системы
2.2 Модель и количественная оценка эффективности существующих методов защиты от вредоносных программ
2.3 Основные результаты и выводы
3 Предлагаемые модели и методы защиты от вредоносных программ

3.1 Общий подход к защите от вредоносных программ на основе контроля доступа к ресурсам
3.2 Разработка моделей и методов защиты от вредоносных программ
3.2.1 Модель и метод защиты без возможности администрирования при работающей системе защиты
3.2.2 Модель и метод защиты с дополнительным контролем расположения исполнимых файлов
3.2.3 Модель и метод защиты с возможностью администрирования при работающей системе защиты
3.2.4 Модель и метод защиты с дополнительным контролем способов модификации объектов доступа
3.2.5 Модель и метод защиты с дополнительным контролем переименования объектов доступа
3.2.6 Модель и метод защиты с дополнительной защитой от скриптовых исполнимых файлов
3.2.7 Модель и метод защиты с дополнительной защитой от наделения вредоносными свойствами интерпретаторов (виртуальных машин)
3.3 Разработка требований, позволяющих построить безопасную систему
3.3.1 Основополагающие требования
3.3.2 Требования к объектам доступа
3.3.3 Требования к субъектам доступа
3.3.4 Требования к заданию правил доступа
3.4 Основные результаты и выводы
4 Реализация разработанных методов защиты
4.1 Предлагаемое решение
4.1.1 Реализация разграничительной политики доступа в ОС МБ Vindows
4.1.2 Функциональная схема механизма защиты
4.1.3 Интерфейс средства защиты информации
4.2 Реализация разграничительных политик доступа для защиты от вредоносных программ
4.2.1 Реализация разграничительной политики доступа в случае защиты от бинарных исполнимых вредоносных файлов
4.2.2 Реализация разграничительной политики доступа в случае защиты от скриптовых исполнимых вредоносных программ
4.3 Основные результаты и выводы
5 Оценка эффективности защиты
5.1 Оценка эффективности разработанных методов
5.2 Оценка влияния на загрузку вычислительного ресурса
5.3 Основные результаты и выводы
Заключение
Список литературы
Приложение А

Исходя из этих положений, можно судить о состоянии системы (и, следовательно, о возможном присутствии в ней вредоносных программ), сравнивая его с эталоном (за эталон принимается «здоровое» состояние системы) или анализируя совокупность отдельных ее параметров. Для эффективного обнаружения вредоносного кода методом анализа аномалий необходима достаточно сложная аналитическая система - наподобие экспертной системы или нейронной сети.
Теперь рассмотрим аналитические системы антивирусов, которые можно условно разделить на три категории:
1. Простое сравнение
Вердикт выносится по результатам сравнения единственного объекта с имеющимся образцом. Результат сравнения бинарный («да» или «нет»).
Примеры:
о идентификация вредоносного кода по строго определенной последовательности байт;
о идентификация подозрительного поведения программы по единственному совершенному ею действию (такому, как запись в критичный раздел реестра или в папку автозагрузки).
2. Сложное сравнение
Вердикт выносится по результатам сравнения одного или нескольких объектов с соответствующими образцами. Шаблоны для сравнения могут быть гибкими, а результат сравнения - вероятностным.
Примеры:
о идентификация вредоносного кода по одной из нескольких байтовых сигнатур, каждая из которых задана нежестко (например, так, что отдельные байты не определены);
о идентификация вредоносного кода по нескольким используемым им и вызываемым непоследовательно АРВфункциям с определенными параметрами.
3. Экспертная система