Kitobni o'qish: «Восстановление данных»

Name: Восстановление данных
Author: Алексей Гультяев
ISBN: 5-469-01360-X

Shrift:

Введение

Чем более заметную роль играет компьютер в вашей повседневной жизни, тем ценнее становятся для вас хранящиеся в нем данные, и тем обиднее их потерять.

Вероятно, каждый владелец компьютера сталкивался с ситуацией, когда из компьютера бесследно исчезали только что созданные «непосильным трудом» документы или найденная на бескрайних просторах Интернета картинка. Возможно, читатель знаком и с такими случаями, когда компьютер вообще переставал загружаться, хотя только вчера вечером все было нормально. Все данные словно оказывались в сейфе с испорченным секретным замком. Отчего же такое происходит и можно ли с этим бороться?

Дело в том, что умный (с виду) компьютер пока еще не научился как следует сам себя защищать – себя и те данные, которые он хранит и обрабатывает. А защищаться есть от чего. Здесь и вредоносные программы, и горе-специалисты, способные превратить своими советами и неумелыми действиями ваш компьютер в бесполезный ящик, и внезапные отключения электричества, и, наконец, ваши собственные ошибки в работе.

Таким образом, первый шаг в деле восстановления данных – это их защита, то есть предотвращение потери имеющейся информации. Именно по названной причине первые две главы книги посвящены вопросам, связанным с повышением безопасности данных, с которыми вы работаете. Приведенный в них материал должен помочь выбрать наиболее подходящие для вас (точнее – для вашего компьютера) средства и методы защиты от разных неприятных неожиданностей. Причем совершенно не обязательно устанавливать на компьютер именно те программы, которые описаны в книге. Главное – осознать необходимость присутствия на компьютере «защитных» программных средств и приучаться регулярно и правильно их использовать.

Третья глава – «Настройка системных параметров» – посвящена прежде всего правильному (опять-таки с точки зрения безопасности) размещению данных на жестких дисках компьютера. Наличие этой главы обусловлено тем, что основным хранителем данных по-прежнему остается винчестер. Выход из строя или неправильное использование именно этого устройства способны сделать владельца компьютера глубоко несчастным человеком. Чтобы ваши действия были уверенными, а их результат – предсказуемым, здесь же рассмотрены основные особенности файловых систем FAT32 и NTFS.

Глава 4 полностью посвящена резервному копированию данных – наиболее простому и надежному способу обеспечения их сохранности. И, к тому же, наиболее универсальному: с его помощью можно одинаково успешно восстанавливать как системные компоненты, так и данные пользователя.

Главы 5 и 6 называются, соответственно, «Восстановление системной информации» и «Восстановление данных пользователя». Почему именно в таком порядке? Казалось бы, учиться лучше на менее «взрывоопасных» ситуациях. Однако в результате изучения материала пятой главы вы должны уяснить, что восстановление удаленных или испорченных системных данных – вполне реальная задача. Достаточно лишь соблюдать хладнокровие и аккуратность, а также придерживаться некоторых не очень сложных правил. Тем более что в вашем распоряжении предостаточно соответствующих инструментов. И наконец, последний аргумент: если ничто не помогает, систему можно переустановить. Повторная ее настройка займет значительно меньше времени, нежели повторное создание документов, мультимедийных файлов и других данных, о восстановлении которых рассказано в шестой главе. В этой же главе значительное внимание уделено восстановлению данных на сменных носителях – компакт-дисках, DVD, картах памяти.

Завершает книгу глава «Восстановление данных на жестких дисках». В ней рассмотрены ситуации, когда по тем или иным причинам автоматические средства восстановления оказываются бессильны, и человеку приходится действовать «голыми руками», погружая их по локоть в двоичные нули и единицы, разбросанные по жесткому диску. Еще лет десять назад такая глава занимала бы центральное место в книге под названием «Восстановление данных». Однако поскольку сейчас существуют эффективные средства автоматического восстановления и программы резервного копирования, изложенные в этой главе методы можно отнести, скорее, к разряду экстремальных. И предназначены они в первую очередь для любителей острых ощущений и тех, кто никак не может заставить себя применять «цивилизованные» методы защиты своих данных.

От издательства

Ваши замечания, предложения и вопросы отправляйте по адресу электронной почты comp@piter.com (издательство «Питер», компьютерная редакция).

Мы будем рады узнать ваше мнение!

Подробную информацию о наших книгах вы найдете на веб-сайте издательства http://www.piter.com.

Глава 1
Что имеем – не храним, или Почему теряются данные

Потерять можно все – любые данные, практически на любом носителе: на жестких дисках компьютера, на гибком диске, а также файлы на компакт-диске или на флэш-карте. Более того, пострадать может даже программа BIOS, хранящаяся в постоянном запоминающем устройстве материнской платы. Разумеется, последствия потери различных данных могут быть разными. Одно дело – лишиться текстового файла из пяти строчек, и совсем другое – когда портится системный реестр.

Не торопитесь восстанавливать

В каждом из таких случаев следует использовать адекватные средства и методы восстановления данных. Например, небольшой текстовый файл можно просто набрать заново, а для восстановления системного реестра может потребоваться полная переустановка операционной системы.

Поэтому, прежде чем приступать к процедуре восстановления, полезно ответить на следующие вопросы:

данные какого типа вы потеряли;

на каком носителе (запоминающем устройстве) размещались данные;

каким образом были созданы (получены) утраченные данные;

что явилось причиной утраты (или повреждения) данных.

Имея ответы на приведенные вопросы, вы можете сберечь не только собственное время, но и изрядное количество своих нервных клеток.

Например, удалив случайно рисунок, скачанный из Интернета, совсем не обязательно пытаться восстановить его с помощью специальных программ. Проще скачать его еще раз. Причем, скорее всего, подключаться к Интернету не потребуется, поскольку файл остался в кэше вашего веб-браузера.

А бывает и так, что тревога оказывается ложной. Например, открыв в поисках нужного файла некоторую папку и не обнаружив его там, вы можете решить, что файл был по какой-то причине удален. А он, родимый, жив-здоров и сидит себе на месте, но в другой папке. Это случается, когда в используемой вами программе установлены параметры сохранения файлов по умолчанию. Скажем, редактор MS Word очень часто пытается сохранить новый документ в папке Мои документы. Однако на компьютере может оказаться несколько папок с таким именем (рис. 1.1). И если вы работаете с одной из этих папок, а MS Word – с другой, то созданный документ можно «потерять».

Рис. 1.1. Файл может «потеряться» в одноименных папках

Теперь вернемся к первому из поставленных ранее вопросов: данные какого рода могут быть потеряны?

В самом общем случае все «теряемые» данные можно разделить на три вида:

пользовательские файлы и папки;

прикладные программы, установленные пользователем на компьютере;

системные файлы (в том числе исполняемые, с расширениями. exe,bat,com) и папки.

Чем различаются перечисленные виды данных? Различий много. Однако, с точки зрения восстановления данных, основное из них состоит в следующем. Для восстановления системных файлов и папок предусмотрены специальные средства, входящие в состав операционной системы, в то время как о восстановлении своих файлов владелец компьютера должен заботиться сам. Например, регулярно создавая их резервные копии.

ПРИМЕЧАНИЕ ____________________
Несколько забегая вперед, следует сказать, что резервное копирование – это вообще универсальное «лекарство» практически от всех проблем, связанных с потерей данных. В силу важности вопросов, связанных с резервным копированием, они будут подробно рассмотрены в отдельной главе.

Чтобы восстановить работоспособность прикладной программы, бывает недостаточно заменить файлы их резервными копиями. Часто приходится дополнительно восстанавливать и/или редактировать системный реестр и другую системную информацию.

Что касается второй характеристики потерянных данных (типа носителя), то она оказывает большое влияние на выбор методов и для защиты данных, и для их восстановления. При этом именно учет типа носителя требует наличия дополнительных знаний, которые в повседневной работе на компьютере вовсе и не нужны. Например, чтобы восстановить данные на жестком диске, иногда требуется знать тип используемой файловой системы, способ адресации физического пространства диска, размещение и формат служебных зон и многое другое. Соответственно, при более глубоком анализе причин «исчезновения» того или иного файла может оказаться, что как раз с файлом ничего не случилось, а повреждена служебная информация файловой системы.

Если же речь идет о компакт-диске, то «реаниматор» должен, по крайней мере, знать, к какому типу относится CD с данными: «только для чтения» (CD-ROM), записываемый (CD-R) или перезаписываемый (CD-RW). Кроме того, вероятность успешного восстановления существенно возрастет, если вы имеете представление об особенностях логических форматов записи на компакт-диски и DVD.

ПРИМЕЧАНИЕ
Сделанная выше оговорка относительно того, что неплохо бы знать тип и формат записи поврежденного носителя CD/DVD, – это вовсе не шутка. Практика показывает, что далеко не все пользователи представляют себе, как именно хранятся данные на таких носителях.

Программное средство, с помощью которого был создан (записан) файл, также имеет немаловажное значение. Дело в том, что некоторые «особо умные» программы способны в критических ситуациях автоматически создавать резервную копию данных, с которыми работает пользователь, и затем восстанавливать их. Например, такую способность иногда проявляет MS Word; более стабильны в этом отношении веб-браузер Opera и HTML-редактор Macromedia HomeSite 5. Собственной «службой спасения» располагает также популярный архиватор WinRAR. Это и понятно: порча одного архивного файла может означать потерю нескольких папок с файлами, упакованных в архив (рис. 1.2).

СОВЕТ ____________________
Если программа предоставляет возможность восстановления данных, то ею следует воспользоваться.

Причины, по которым данные могут быть утрачены, заслуживают отдельного обсуждения. Им посвящен следующий раздел.

Виды угроз безопасности информации

Специалисты в области безопасности информации считают, что компьютерные данные подвержены трем типам опасностей, к которым относятся:

нарушение конфиденциальности – данные становятся известны тому, кто их знать не должен;

нарушение целостности – данные частично или полностью изменяются (модифицируются) вопреки желанию их владельца; например, нарушением целостности является изменение форматирования документа или изменение логических связей между элементами базы данных;

нарушение доступности – владелец компьютера лишается возможности работать с данными вследствие отказа сервисов, функций или служб, предназначенных для их обработки; например, если возникают проблемы с идентификацией на почтовом сервере, вы не сможете прочитать поступившие электронные письма, даже если они не повреждены.

В свою очередь, опасность каждого типа может быть связана как со случайными факторами, так и с преднамеренными действиями злоумышленников. Опасности первого рода называют случайными угрозами, а опасности второго рода – умышленными угрозами.

В государственных и коммерческих учреждениях и организациях наиболее тяжелые последствия связаны с успешно осуществленными умышленными угрозами. Объясняется это тем, что в таких случаях происходит целенаправленное воздействие на уязвимые точки системы защиты информации.

Для владельцев домашних компьютеров вероятность умышленных угроз мала: вряд ли кто-нибудь из них станет утверждать, что за его файлами охотятся агенты спецслужб или конкуренты из соседнего подъезда. Поэтому основные мероприятия по защите «домашних» данных должны быть направлены как раз на предотвращение случайных угроз и на преодоление их последствий.

Тем не менее истинность поговорки «предупрежден – значит вооружен» проверена жизнью, а потому для начала рассмотрим умышленные угрозы.

Умышленные угрозы

Итак, умышленных угроз следует опасаться лишь тому, кто считает, что у него есть враги (недоброжелатели), недобросовестные конкуренты или друзья, способные на соответствующие «шутки».

Теоретически, перечисленные выше лица могут использовать для реализации своих недобрых намерений самые разнообразные средства: перехват побочных электромагнитных излучений, визуальное наблюдение, ведение агентурной работы, перехват телефонных переговоров, применение радиозакладок и даже поджог (с целью уничтожения компьютерных данных вместе с самим компьютером). Однако для большинства владельцев ПК наиболее реальной угрозой представляется так называемый несанкционированный доступ к информации (сокращенно – НСД).

ПРИМЕЧАНИЕ ____________________
Вопреки достаточно распространенному мнению, НСД не является синонимом любого «неразрешенного» доступа к данным. В частности, «подсматривание» или «подслушивание» с помощью специальных технических устройств и даже перехват электромагнитного излучения – это не НСД. Согласно документам Государственной технической комиссии (основного государственного ведомства, занимающегося вопросами безопасности компьютерной информации), НСД предполагает неправомерный доступ к информации с помощью штатных средств вычислительной техники. То есть, например, удаление «чужого» файла штатными средствами Windows – это НСД, а похищение жесткого диска – это не НСД.

Несмотря на наличие регламентированного определения НСД, это достаточно широкое понятие. По той причине, что даже штатные средства компьютера предоставляют злоумышленникам массу способов для нарушения конфиденциальности, целостности и доступности данных. Например, злоумышленник может войти в систему под вашим паролем и скопировать текст дипломной работы или изменить авторство созданного вами документа.

С распространением сетевых технологий все большая опасность для персональных данных исходит извне, то есть со стороны других пользователей Сети. Самый, пожалуй, «популярный» на сегодня вариант злонамеренного воздействия на чужие данные – это внедрение в систему того или иного вредоносного программногообеспечения. А наиболее простой и распространенный способ внедрения – это почтовое отправление (электронное, разумеется).

Поскольку вредоносному программному обеспечению посвящен специальный раздел этой главы, сейчас мы обратимся к другим видам угроз, которые возможны при работе в Сети:

несанкционированный доступ к сетевым ресурсам; например, злоумышленник может воспользоваться принтером, подключенным к компьютеру, работающему в сети (он вряд ли захочет затем забрать распечатку, но объем выводимых данных может привести к исчерпанию картриджа или блокированию принтера);

раскрытие и модификация данных и программ, их копирование; например, злоумышленник может, получив доступ к жесткому диску компьютера, отыскать на нем сетевое имя и пароль пользователя, под которым тот подключается к Интернету;

раскрытие, модификация или подмена трафика вычислительной сети; характерный пример – «бомбардировка» почтового сервера фиктивными письмами, что способно привести к перегрузке сервера;

фальсификация сообщений, отказ от факта получения информации или изменение времени ее приема; например, недобросовестный диспетчер может аннулировать заявку на проведение ремонтных работ или изменить время ее приема, чтобы «спихнуть» заявку на своего сменщика;

перехват и ознакомление с информацией, передаваемой по каналам связи; скажем, если вы решите заказать через Интернет железнодорожные билеты с доставкой на дом, то злоумышленники вполне могут узнать и адрес, и период времени, в течение которого хозяева будут в отъезде.

Очевидно, что приведенный перечень угроз не является исчерпывающим, однако он вполне достаточен для подтверждения того, что при отсутствии должной защиты ваши данные уязвимы.

Кстати, уязвимость– это еще одно важное понятие в теории (и в практике) защиты информации. Под уязвимостью понимают такое свойство системы, которое позволяет реализовать соответствующую угрозу. Например, система, не содержащая в своем составе средств антивирусного контроля, уязвима по отношению к вирусам; система, в которой вход пользователей осуществляется без использования паролей, уязвима с точки зрения несанкционированного доступа.

Случайные угрозы

«Все, что может случиться, – случается; что не может случиться, – случается тоже», – гласит известный закон Мэрфи.

На самом деле основная причина всех неприятных случайностей – это недостаточно бережное отношение владельца к компьютеру вообще и к компьютерным данным в частности. Иначе говоря, недостаточный уровень «компьютерной грамотности».

В частности, многие новички полагают, что нет никакой принципиальной разницы между компьютером и другой бытовой техникой, например холодильником, стиральной машиной или DVD-плеером. А разница есть.

Первое отличие состоит в том, что у владельца компьютера имеются практически неограниченные возможности по управлению его работой. Вы можете устанавливать, убирать или заменять внешние устройства и электронные компоненты, вплоть до «сердца» и «мозга» – процессора и оперативной памяти, устанавливать и удалять или изменять программное обеспечение, в том числе «душу» компьютера – операционную систему. Можно ли проделать то же самое с холодильником или телевизором?

Второе отличие, еще более важное, заключается в том, что с помощью компьютера вы можете творить – создавать то, чего до вас не создавал никто. В том числе и программы, поведение которых оказывается неподвластным их создателю. Вот, например, отрывок из письма читателя в один популярный компьютерный журнал: «Уважаемая редакция, недавно написал программу-перекодировщик текстовых файлов. По размеру программа совсем небольшая, однако после запуска и нескольких минут работы на экране появляется сообщение: „Недостаточно ресурсов для завершения операции". После этого система зависает…».

Вследствие указанных причин на каждом отдельно взятом компьютере может быть создана такая комбинация аппаратно-программных средств, которую не в состоянии предсказать ни один компьютерный гуру, включая производителей «железа», программного обеспечения и сотрудников служб технической поддержки. Зачастую оказывается очень сложно прогнозировать поведение конкретного компьютера в той или иной ситуации.

ПРИМЕЧАНИЕ
Именно поэтому, обращаясь за помощью к специалистам, постарайтесь как можно точнее описать конфигурацию аппаратно-программных средств компьютера и перечень тех действий, которые выполнялись непосредственно перед возникновением сбоя или отказа системы.

СОВЕТ ____________________
Для восстановления работоспособного состояния системымогут оказаться полезны сведения, занесенные работающей программой в файл протокола (или в журнал). Обычно такие файлыимеют расширение. log и содержат записи в обычном текстовом формате. Поэтому, если новая программа, устанавливаемая вами на компьютер, предлагает вести файл протокола, не отказывайтесь от этого предложения.

Иногда причиной неприятностей становится излишняя самоуверенность. Некоторые владельцы компьютеров без тени сомнений настраивают «под себя» критически важные параметры системы, отключают Корзину, не читают сообщения, выводимые системой на экран и, разумеется, не утруждают себя созданием резервных копий даже самых ценных данных.

Имеются, конечно, и другие причины неприятных сюрпризов, не зависящие от уровня подготовки и характера владельца ПК: внезапные отключения электричества или, что еще хуже, скачки напряжения; отказы и сбои оборудования, неожиданные проявления ошибок в, казалось бы, надежных программах; чисто «механические» казусы, когда, например, щелкают на кнопке Нет вместо кнопки Да.

ПРИМЕЧАНИЕ
Абсолютно «надежных» программ (то есть программ без ошибок) не бывает. Объясняется это тем, что разработчики при всем желании не могут проверить (протестировать) работоспособность создаваемой программы для всех возможных сочетаний входных данных, конфигураций взаимодействующих программ и действий пользователей. Поэтому рано или поздно программа «натыкается» на одну из таких непроверенных ситуаций, и (по упомянутому выше закону Мэрфи) именно в этой ситуации проявляется допущенная ошибка. Иногда ошибка оказывается фатальной и приводит к потере данных или к отказу всей системы. Ясно, что разработчики программы не имели злого умысла, но…

В роли «без вины виноватого» может оказаться и ваш друг, предложивший переписать интересующий вас файл с зараженного вирусом гибкого диска (сам предварительно не проверил, а вы не подстраховались…).

Итак, перечислим наиболее вероятные угрозы случайного характера:

ошибки обслуживающего персонала и пользователей;

потеря информации, обусловленная неправильным хранением данных;

случайное уничтожение или изменение данных;

сбои и отказы аппаратной части компьютера;

перебои электропитания;

некорректная работа программного обеспечения;

непреднамеренное заражение системы компьютерными вирусами или другими видами вредоносного программного обеспечения.

ВНИМАНИЕ
Хотя вредоносные программы и оказались в приведенном перечне на последнем месте, по своей «вредности» они опережают многие другие угрозы безопасности данных.

Разновидности вредоносного программного обеспечения

Как ни странно, до сих пор нет единой классификации известных видов вредоносных программ. Вот одна из причин тому: в последнее время все больше появляется универсальных «вредителей», объединяющих в себе наиболее гнусные качества.

«Вирусами» следует называть только такие вредоносные программы, которые способны к саморазмножению. Что понимается под этим свойством? Способность вируса создавать собственную копию и внедрять ее в тело заражаемого файла или в системную область (загрузочный сектор) диска.

Помимо вирусов существуют еще так называемые программные закладки – программы или отдельные модули программ, которые выполняют скрытые функции, способные нарушить конфиденциальность, доступность или целостность данных. Программные закладки, в свою очередь, разделяются на два вида: программы-шпионы (spyware) и логические бомбы. Программа-шпион выполняет свои функции в течение всего периода пребывания на компьютере пользователя. Логическая бомба срабатывает один раз (по внешнему сигналу или по своим «внутренним часам»).

Иногда к «шпионским» относят также программы, получившие обобщенное наименование AdWare. Приложения такого типа содержат дополнительный код, который обеспечивает вывод на экран дополнительных («всплывающих») окон, содержащих информацию рекламного характера. Кроме того, некоторые подобные программы отслеживают личную информацию пользователя (возраст, пол, посещаемые веб-сайты, адреса электронной почты) и передают ее своим «хозяевам».

Третий вид вредоносных программ – это почтовые черви (mail worms). Червь представляет собой разновидность вируса, который распространяется вместе с вложением к электронному письму и (за редким исключением) не наносит вреда локальным данным. Механизм распространения вируса-червя в сети основан на том, что он отыскивает на компьютере адреса электронной почты и рассылает себя по этим адресам. Наиболее «продвинутые» черви способны генерировать текст отправляемого письма и наименование темы (тело червя прикрепляется к письму в виде вложения).

Рассмотрим названные виды вредоносных программ подробнее.

Компьютерные вирусы

В общем случае жизненный цикл компьютерного вируса содержит следующие этапы:

внедрение (инфицирование);

инкубационный период, в течение которого вирус себя не проявляет (как правило, ожидает либо появления подходящего объекта для заражения, либо выполнения заданных автором вируса условий);

саморазмножение (может выполняться различными способами, о которых будет сказано ниже);

выполнение специальных функций, то есть собственно выполнение тех вредных действий, для которых вирус создавался;

проявление – заключается в демонстрации вирусом своего присутствия на компьютере (обычно в визуальной или в звуковой форме).

Перечисленные этапы не являются обязательными (за исключением этапов инфицирования и саморазмножения) и могут иметь иную последовательность. Например, вирус может сначала сообщить о своем присутствии и лишь после этого заняться заражением. Особую опасность представляет этап выполнения специальных функций, которые могут привести к катастрофическим последствиям.

Как уже было сказано выше, любая классификация вирусов достаточно условна. Тем не менее один из вариантов классификации мы все-таки приведем.

В соответствии с ним вирусы подразделяются на классы по следующим признакам:

среда обитания;

способ заражения;

деструктивная возможность;

особенности алгоритма вируса.

По среде обитания компьютерные вирусы можно разделить на загрузочные, дисковые, файловые, флэш-вирусы и сетевые.

Загрузочные вирусы внедряются в загрузочный сектор диска (boot-сектор) или в сектор, содержащий системный загрузчик винчестера.

Дисковые вирусы замечательны тем, что способны работать с физическими секторами жестких дисков. Такой вирус захватывает свободные (или даже занятые данными) секторы диска, устанавливает для них в файловой системе признак «плохих» (такие секторы в дальнейшем не распределяются под данные) или «специальных» (не подлежащих перезаписи) и «живет» в них до прихода доктора-антивируса.

К файловым относят вирусы, заражающие исполняемые файлы (файлы с расширениями. exe,com,bat). Особой разновидностью файловых вирусов являются так называемые макровирусы. Они «живут» в макросах – программах, написанных на языке VBA (Visual Basic Application), которые используются для расширения функциональных возможностей приложений из комплекта MS Office.

Еще один, наиболее «современный» тип файловых вирусов – это вредоносные сценарии (скрипты), написанные на одном из популярных скриптовых языков программирования (VBScript или JavaScript) и входящие в состав HTML-страниц. Для краткости будем именовать такие вирусы сценарными (или скриптовыми).

Флэш-вирусы обязаны своим названием микросхемам перезаписываемой энергонезависимой памяти (флэш-памяти). Как известно, в современных компьютерах такие микросхемы используются на материнских платах для хранения кода программы BIOS. Неудивительно, что компьютеры, «подцепившие» флэш-вирус, зачастую вообще оказываются неспособны загружаться.

Сетевые вирусы для распространения активно используют протоколы и возможности локальных и глобальных сетей. Основным принципом работы сетевого вируса является возможность самостоятельно передать свой код на удаленный сервер или рабочую станцию. «Полноценные» сетевые вирусы при этом обладают возможностью запустить на выполнение свой код на удаленном компьютере или, по крайней мере, «подтолкнуть» пользователя к запуску зараженного файла.

Помимо перечисленных, существуют и «комбинированные» вирусы – например, файлово-загрузочные, способные заражать как файлы, так и загрузочные секторы дисков. Такие вирусы, как правило, работают по довольно сложным алгоритмам и часто применяют оригинальные методы проникновения в систему.

ПРИМЕЧАНИЕ
По состоянию на ноябрь 2005 года почтовые и сетевые черви составляли около 78 % от всех выявленных вирусов, файловые вирусы – около 20 %, загрузочные и другие вирусы в общей сложности составляют около 2 % (по данным Лаборатории Касперского).

По способу заражения вирусы подразделяются на резидентные и нерезидентные.

Резидентный вирус при инфицировании компьютера оставляет в оперативной памяти (ОП) свою резидентную часть, которая затем перехватывает обращение операционной системы к объектам заражения и внедряется в них. Обычно эта процедура предусматривает проверку, не присутствует ли уже в объекте копия вируса. Если объект «чист», то вирус копируется из памяти в заражаемый объект с модификацией его первой команды. Объектами заражения в этом случае могут быть исполняемые программы на жестком диске и на гибких дисках. Резидентные вирусы находятся в памяти и активны вплоть до выключения или перезагрузки компьютера. Резидентными можно считать макровирусы, поскольку они постоянно присутствуют в памяти компьютера в течение всего времени работы приложения, использующего «вредоносный» макрос. Соответственно, все документы, созданные или просто открытые в это время, будут заражены.

Нерезидентные (транзитные) вирусы не заражают ОП и активны ограниченное время. Транзитные вирусы не остаются в памяти после выполнения зараженной программы. Такой вирус перед передачей управления исходной программе ищет незараженный файл, пригодный для внедрения.

По деструктивным способностям вирусы можно разделить на:

безвредные;

неопасные;

опасные;

очень опасные.

Безвредные вирусы только уменьшают объем свободной памяти на диске в результате своего распространения.

Влияние неопасных вирусов ограничивается также уменьшением свободной памяти на диске и дополнительно сопровождается графическими, звуковыми и другими эффектами.

Опасные вирусы приводят к серьезным сбоям в работе компьютера.

В результате работы очень опасных вирусов уничтожаются программы, данные, удаляется необходимая для работы информация, записанная в системных областях памяти. Особо опасны вирусы, прикрепляемые к объектной библиотеке какого-либо компилятора. Такие вирусы автоматически внедряются в любую программу, работающую с инфицированной библиотекой. Известны также вирусы, способные разрушать BIOS компьютера, что приводит к невозможности его загрузки.

Вообще известные в настоящее время вирусы могут выполнять следующие разрушительные функции:

изменение данных в файлах;

изменение данных, передаваемых через параллельные и последовательные порты;

изменение назначенного диска (запись информации производится не на диск, указанный пользователем, а на диск, указанный вирусом);

переименование файлов;

форматирование отдельных частей жесткого диска (гибкого диска) или даже всего диска;

уничтожение, изменение или перемещение загрузочного сектора диска;

снижение производительности системы из-за постоянного выполнения паразитных программ;

отказ в выполнении определенной функции (например, блокировку клавиатуры, блокировку загрузки программы с защищенного от записи гибкого диска и т. д.).

Вирусы могут использовать следующие алгоритмы работы:

стелс-алгоритмы;

самошифрование и полиморфизм;

нестандартные приемы.

Применение стелс-алгоритмов (от англ. stealth – «невидимка») позволяет вирусам полностью или частично скрыть себя в системе. Наиболее распространенным стелс-алгоритмом является перехват запросов OC на чтение-запись зараженных объектов. Стелс-вирусы при этом либо временно лечат их, либо «подставляют» вместо себя незараженные участки информации. В случае макровирусов наиболее популярный способ – запрет вызовов меню просмотра макросов. Один из первых файловых стелс-вирусов – вирус «Frodo», первый загрузочный стелс-вирус – «Brain».

Самошифрование и полиморфизм (от англ. polymorphism – «многообразие») используются практически всеми типами вирусов для того, чтобы максимально усложнить процедуру обнаружения вируса. Полиморфик-вирусы – это вирусы, не имеющие сигнатур, то есть не содержащие ни одного постоянного участка кода. В большинстве случаев два образца одного и того же полиморфик-вируса не будут иметь ни одного совпадения. Это достигается шифрованием основного тела вируса и модификациями программы-расшифровщика.

Различные нестандартные приемы часто используются в вирусах для того, чтобы как можно глубже спрятать себя в ядре OC (как это делает вирус «3APA3A»), защитить от обнаружения свою резидентную копию (вирусы «TPVO», «Trout2»), затруднить лечение от вируса (например, поместив свою копию в Flash-BIOS) и т. д.

Программы-шпионы

Почему из программных закладок уделено внимание только программам-шпионам? Дело в том, что логические бомбы – вещь достаточно сложная и дорогостоящая, и потому на уровне «домашних» компьютеров практически не встречаются. Можно привести такой пример использования логических бомб. В свое время (в начале 90-х годов прошлого века) для вооруженных сил Ирака были закуплены во Франции зенитно-ракетные комплексы. Как потом стало известно, их программное обеспечение содержало логические бомбы. Когда США начали боевые действия против Ирака (операция «Буря в пустыне»), логические бомбы были активизированы по сигналам с военных спутников. В результате практически вся система противовоздушной обороны Ирака оказалась выведенной из строя.

Но вернемся к более «мирным» программам-шпионам. На такие программы обычно возлагаются следующие функции:

сбор сведений о программном обеспечении, установленном на компьютере (в том числе тип и версия используемой операционной системы);

перехват клавиатурного ввода (в частности, отслеживание вводимых паролей, сетевых имен и т. д.);

поиск на жестком диске (дисках) персональных данных;

выявление адресов посещаемых веб-сайтов, адресов электронной почты и т. п.;

создание снимков экрана или окон конкретных активных приложений (некоторые «шпионы» способны также записывать целые видеоклипы о работе владельца компьютера).

Большинство программ-шпионов умеет передавать собранные сведения своему «хозяину», то есть лицу (или организации), заславшему «шпиона».

Наиболее простой и распространенный на сегодняшний день способ передачи «шпионом» собранных сведений – это пересылка их посредством Интернета (например, по электронной почте).

Кому могут принести пользу собранные сведения? В первую очередь на ум приходят пресловутые спецслужбы, контролирующие личную жизнь граждан. Но это, скорее, исключение. Значительно большую заинтересованность в сборе сведений о конфигурации компьютера «рядового» пользователя проявляют производители программного обеспечения и аппаратных компонентов вычислительной техники. Конкретные цели сбора сведений могут быть разными: это и борьба с пиратским использованием программ, и исследование потребительского рынка, и конкурентная борьба, а также другие смежные направления.

ПРИМЕЧАНИЕ
Иногда программы-шпионыиспользуются не для нападения, а для защиты – когда владелец компьютера устанавливает такую программу сам, чтобыона следила за работой на компьютере других лиц. Частный случай подобного применения «шпионов» – контроль за действия подчиненных со стороны руководства.

Теперь о том, каким образом программы-шпионы попадают на компьютер. Может применяться тот же способ, что и при заражении вирусами, то есть «шпион» может «прятаться» внутри файла данных или исполняемого файла. Однако это не самый популярный вариант, поскольку размер «шпиона» обычно значительно больше размера вируса, и спрятать его внутри файла-контейнера непросто.

Значительно чаще «шпион» входит в дистрибутив какой-либо безобидной (или даже полезной) программы, приобретаемой или скачиваемой из Интернета. В процессе установки такой программы на компьютер параллельно производится также установка «шпиона». Нередко «шпион» прописывается на компьютере по всем правилам: с регистрацией в системном реестре, с созданием собственной папки, собственных типов файлов данных и т. д. Благодаря этому «шпион» зачастую продолжает «жить и работать» даже после удаления той основной программы, в которой он был спрятан.

Таким образом, программа, обеспечивающая установку «шпиона» на компьютер, играет роль своеобразного троянского коня, в недрах которого прячется неприятный сюрприз.

ПРИМЕЧАНИЕ
Изначально именно программы, содержащие недекларированные возможности, получили прозвище «троянские кони», или, в сокращенном варианте, «троянцы» (ато и вовсе «трояны»). Однако со временем входившая в них шпионская начинка стала использоваться самостоятельно (или кочевала из одной программы-контейнера в другую). В результате наименование «троянец» стало применяться не к контейнеру, а собственно к вредоносной программе. Сейчас можно встретить программы-вирусы, которые называют троянцами, хотя они используют отнюдь не «троянскую» технологию распространения (например, TROJ_EVIL, распространяющийся как файловый вирус). Имя вируса, данное ему автором, далеко не всегда соответствует типу вируса. Например, если вирус называется Worm, это еще не значит, что перед вами действительно вирус-червь. Возможно, его создателю просто понравилось это словечко.

На сегодняшний день известно несколько достаточно популярных программ, содержащих в своем составе шпионские модули, в том числе CuteFTP, Go!Zilla, ReGet.

Известен также и перечень наиболее популярных «шпионов», услугами которых пользуются создатели программного обеспечения. Суперагентами сегодня считаются программы-шпионы Radiate, Cydoor и Web3000. Все они попадают на компьютер с довольно известными продуктами. Так, например, Radiate используют разработчики программ Gif Animator, Go!Zilla, GetRight и ReGet. Cydoor вы получаете в нагрузку к Audio CD MP3 Studio 2000, PC-to-Phone и ReGet. А Web3000 попадает на ваш компьютер вместе с NetCaptor, NetSonic и NetMonitor.

Антишпионские программы содержат в своих базах данных сведения о 200300 программах, относящихся к классу spyware.

Сегодня в связи с развитием сетевых технологий все большее распространение получает специфический вид программ-шпионов – так называемый бэкдор (транслитерация от англ. backdoor – «черный ход»).

Бэкдор – это программа, позволяющая удаленно управлять компьютером. Она может, например, изменить параметры рабочего стола, скорректировать права доступа пользователей компьютера, инсталлировать или, наоборот, удалить установленное программное обеспечение и т. п. Изначально подобная технология была разработана с целью облегчения жизни системных администраторов, но.

Каким образом бэкдор может попасть на компьютер пользователя? Так же, как и любая другая вредоносная программа.

При первом запуске бэкдор скрытно устанавливает себя в операционную систему и затем следит за действиями пользователя, не выдавая никаких сообщений. Более того, запущенный бэкдор может отсутствовать в перечне активных приложений. В результате владелец компьютера не знает о присутствии в системе программы удаленного администрирования, в то время как его компьютером может удаленно управлять злоумышленник.

В качестве примера относительно «свежего» бэкдора (появился в августе 2005 года) можно назвать Backdoor.Win32.Haxdoor.dw. После запуска он создает в системном каталоге Windows несколько файлов (avpx32.dll, avpx32.sys, avpx64.sys, p3.ini, qy.sys, qz.dll и qz.sys), а также изменяет системный реестр таким образом, чтобы обеспечить свой автоматически запуск при каждой последующей загрузке Windows. Будучи запущенным на выполнение, бэкдор открывает несколько портов зараженного компьютера и ожидает подключения машин-клиентов «хозяев» вредителя), которые затем могут отдавать ему команды на похищение паролей, системной информации, различных файлов и выполнение других несанкционированных действий. В частности, по команде «хозяина» бэкдор может просматривать список активных процессов, завершать некоторые из них и отсылать злоумышленнику найденную информацию.

Небольшое отступление, косвенно связанное со сказанным выше. Многие известные программы имеют в своем составе недекларированные возможности, часто называемые пасхальными яйцами. Чтобы активизировать такую скрытую функцию, следует знать специальный «ключик». Вот лишь один пример.

В «недрах» редактора электронных таблиц MS Excel 2000 спрятана трехмерная игра с условным названием «Автогонки» (кадр из нее приведен на рис. 1.3).

Рис. 1.3. «Шпионская» игра

Для запуска игры требуется выполнить следующие манипуляции.

1. Откройте MS Excel 2000, и в меню Файл выберите команду Создать ► Новая книга.

2. С помощью команды Файл ► Сохранить как Веб-страницу откройте диалоговую панель сохранения файла, поставьте в ней переключатель выделенное: Лист и флажок Добавить интерактивность; укажите маршрут сохраняемого файла.

3. Откройте созданный файл в браузере MS Internet Explorer (версия не ниже 5.0).

4. Во внедренном в HTML-страницу листе Excel найдите и выделите строку под номером 2000.

5. С помощью клавиши Tab сделайте активной ячейку этой строки в столбце WC (именно с помощью клавиши, не используя мышь).

6. Нажав и удерживая клавиши Ctrl+Alt+Shift, щелкните левой клавишей мыши на значке MS Office в левом верхнем углу внедренного окна Excel.

Приведенный пример наглядно демонстрирует непредсказуемость поведения всего того, что некоторые товарищи беспечно устанавливают на свои компьютеры.

Глава 2
Стратегия защиты и восстановления данных

У некоторых читателей может возникнуть вопрос: начинается уже вторая глава книги, а ни один рецепт по восстановлению данных еще не приведен. В чем дело?

Дело в том, что восстановление данных – это лишь одна из частей общей технологии защиты компьютерных данных. Как известно, любую болезнь проще предупредить, чем вылечить. Поэтому прежде, чем мы перейдем к «рецептам», рассмотрим основные профилактические средства, которые способны уберечь вас от потери данных.

Стратегия защиты данных должна быть направлена на противодействие наиболее вероятным случайным и умышленным угрозам. Реализация такой стратегии основана на трех «китах»:

обеспечении бесперебойного электропитания компьютера;

правильной настройке системных параметров;

применении средств резервного копирования и другого «защитного» программного обеспечения.

В данной главе рассматриваются средства обеспечения бесперебойного электропитания компьютера, а также виды «защитного» программного обеспечения (за исключением программ для резервного копирования). Технологии резервного копирования посвящена отдельная, четвертая глава книги. Вопросы настройки системных параметров рассмотрены в главе 3.

Обеспечение бесперебойного электропитания

Казалось бы, имея резервные копии всех данных, размещенные на резервных (опять же) носителях, можно избежать всех возможных неприятностей. Однако внезапное отключение электричества или броски напряжения могут привести не только к выходу из строя критически важных компонентов компьютера, но и к потере резервных копий (если проблемы с электричеством возникнут в момент создания этой самой резервной копии).

Необходимо отметить, что лишь около 20 % скачков напряжения бывают вызваны ударами молнии или проблемами у энергетиков. Большинство же энергетических импульсов исходит от копировальных аппаратов, принтеров, бытовых кондиционеров и другой офисной техники (равно как и от бытовых электроприборов).

Виды защитных устройств

Минимальный уровень защиты от энергетических неприятностей обеспечивают так называемые сетевые фильтры.

Сетевой фильтр – это устройство, которое позволяет защитить компьютер только от импульсных помех, то есть от кратковременных (длительностью в несколько тысячных долей секунды) выбросов напряжения. Такие выбросы могут вызываться короткими замыканиями, молниями, коммутированием и работой мощных потребителей электроэнергии и т. д. Мощные импульсные помехи очень опасны, так как они могут полностью сжечь блок питания и даже электронные схемы компьютера, а также вывести из строя внешние устройства компьютера. Многие современные модели сетевых фильтров обеспечивают также защиту подключенных устройств от высокочастотных помех и от короткого замыкания. Однако от падения напряжения ниже некоторого допустимого уровня фильтр защитить не сможет.

Более глубокую защиту способны обеспечить стабилизаторы. Предназначенные для компьютеров стабилизаторы сочетают в себе функции сетевого фильтра и «обычного» стабилизатора напряжения. Они не только отфильтровывают импульсные помехи, но и поддерживают на выходе стабильное напряжение при колебаниях входного напряжения на 30–40 % (как в большую, так и в меньшую сторону). Впрочем, в последнее время компьютерные стабилизаторы применяются редко, так как по стоимости соизмеримы с источниками бесперебойного питания, а по возможностям существенно им уступают. В крайнем случае вы можете подключить компьютер к сети через сетевой фильтр и бытовой стабилизатор (если таковой у вас имеется). Мощность стабилизатора должна быть не менее 200 Вт.

Источники бесперебойного питания (ИБП), или UPS (Uninterrupted Power Supplied), обеспечивают наиболее полную защиту компьютеров от проблем электропитания. Они содержат аккумулятор, который позволяет поддерживать в течение некоторого времени (от 5 до 30 минут) работу компьютеров и других подключенных к ним устройств даже при полном отключении внешней электросети. За это время можно, по крайней мере, корректно завершить работу активных программ и сохранить обрабатываемые данные. Кроме того, многие современные ИБП способны защитить от скачков напряжения телефонную (модемную) линию.

Источники бесперебойного питания на сегодняшний день представляют собой практически идеальное решение проблем для владельцев домашних компьютеров, поэтому рассмотрим их несколько подробнее.

Источники бесперебойного питания

К основным характеристикам современных ИБП относятся следующие:

способ формирования выходного напряжения;

диапазон значений входного напряжения, для которого ИБП способен выполнять свои функции;

время перехода на питание от аккумулятора;

выходная мощность.

Три первые из указанных характеристик напрямую зависят от класса ИБП. В настоящее время представленные на рынке ИБП могут быть отнесены к одному из трех классов.

Резервные (Stand-by, либо Off-line UPS, рис. 2.1, слева) – наиболее простые ИБП; называются резервными потому, что переключаются на питание от батареи лишь при выходе напряжения питания сети за границы определенного диапазона (обычно 187–264 В). При этом напряжение может колебаться в пределах допустимого коридора. Недостатком таких ИБП является относительно большое время переключения на резервный источник (порядка 5-20 мс). Еще одним недостатком следует считать форму выходного напряжения при питании от батареи: вместо синусоиды выходное напряжение представляет собой или трапецию, или прямоугольник, что отрицательно сказывается на долговечности компьютера.

Линейно-интерактивные ИБП (Line-interactive, или Ferroresonant UPS, называемые иногда также гибридными ИБП, рис. 2.1, справа) представляют собой дальнейшее развитие резервных ИБП в направлении улучшения фильтрации входного напряжения и улучшения формы выходного напряжения. В них используется встроенный автотрансформатор, регулирующий напряжение в заданном диапазоне (обычно в пределах 15–25 % от номинала в обе стороны). Если входное напряжение выходит за пределы этого диапазона, ИБП переключается в режим работы от батарей. К недостаткам линейно-интерактивных ИБП можно отнести все недостатки класса off-line, хотя и с некоторыми оговорками: например, время перехода на питание от батареи у линейно-интерактивных ИБП заметно ниже (1–5 мс). Кроме того, иногда, в силу наличия сложных фильтров и цепей обратной связи в линейно-интерактивных ИБП, возможно возникновение устойчивых искажений выходного сигнала, что является недопустимым в критичных областях применения компьютеров (например, в медицинском оборудовании или в качестве серверов баз данных).

ИБП двойного преобразования (или On-line UPS) – в них энергия питающей сети до того, как поступить на выход ИБП, дважды преобразуется: сначала напряжение сети выпрямляется, затем постоянное напряжение корректируется до необходимого уровня, после чего выполняется обратное преобразование. Такой принцип работы позволяет ИБП защитить подключенную нагрузку практически от всех существующих неполадок в электросети: высоковольтных выбросов, всплесков напряжения, электромагнитных и радиочастотных помех, кратковременного повышения или понижения напряжения, искажения его формы, полного отключения электропитания и т. п. Кроме того, при переключении на аккумуляторные батареи полностью отсутствуют переходные процессы у выходного напряжения, благодаря чему такое переключение можно считать мгновенным. Единственным серьезным недостатком является стоимость онлайновых ИБП, которая заметно выше, чем у линейно-интерактивных или резервных, поэтому они редко применяются в домашних условиях.

Рис. 2.1. Источники бесперебойного питания: резервный (слева) и линейно-интерактивный (справа)

Большинство современных моделей резервных и линейно-интерактивных ИБП поставляются вместе со специальным программным обеспечением. Как правило, такое ПО позволяет контролировать и настраивать рабочие параметры ИБП (входное и выходное напряжение, частоту, емкость аккумулятора, уровень нагрузки, рис. 2.2.), а также корректно завершать работу компьютера при длительных или чрезмерных перебоях питания. Кроме того, некоторые из управляющих программ способны при возникновении сбоев в электропитании посылать предупреждающие сообщения по электронной почте или локальной сети.

Мощность ИБП, как правило, не зависит от их класса. Например, мощность линейно-интерактивных ИБП одной и той же модели может составлять от 200 до 1000 ВА. Знать мощность используемого ИБП необходимо потому, что она должна соответствовать потребляемой мощности подключаемой нагрузки. Причем как в большую, так и в меньшую сторону. Так, для многих ИБП мощность нагрузки должна составлять не менее 30 % от мощности ИБП. То есть приобретать ИБП с большим запасом по мощности не только экономически невыгодно, но и вредно.

ВНИМАНИЕ ____________________
Мощность ИБП традиционно измеряется в вольт-амперах (ВА), а не в ваттах (Вт). Объясняется это тем, что ИБП является источником энергии, а не потребителем. Чтобыпра-вильно соотнести мощность ИБП и потенциальную нагрузку, следует учитывать соотношение 1 ВА = 0,7 Вт. Например, нагрузка для ИБП мощностью 500 ВА не должна превышать 350 Вт. Кроме того, необходимо помнить, что к ИБП запрещается подключать лазерные принтеры, а также устройства, имеющие блоки питания с трансформаторами на входе. Это может привести к выходу из строя электронной «начинки» ИБП.

Виды защитного программного обеспечения

Проблема защиты данных от всевозможных угроз занимает сегодня всех, кто так или иначе связан с компьютерами – от рядовых пользователей до производителей компьютеров и программного обеспечения. И потому сегодня практически на любую компьютерную «болячку» есть свой программный «пластырь» (насколько он эффективен – это уже другой вопрос). Причем та регулярность, с какой появляются средства «нападения» и средства «защиты», иногда вызывает подозрение, что и те и другие создаются усилиями одних и тех же творческих коллективов. Но это так, к слову.

Программное обеспечение, пригодное для выполнения защитных функций, можно достаточно условно разделить на несколько видов:

программы контроля целостности данных;

антивирусные программы;

программные средства контроля и разграничения доступа;

программные средства сетевой защиты;

средства криптографической защиты;

программы для работы с жесткими дисками и сменными носителями.

Последний пункт носит весьма общий характер. К этой категории отнесены, в частности, программы резервного копирования и восстановления данных, а также программы для создания и изменения параметров файловой системы. Такое обобщение вызвано тем, что именно программам этой группы посвящены последующие главы книги.

Для других защитных программ далее приведена краткая характеристика с некоторыми рекомендациями по их практическому применению.

Программы контроля целостности данных

Из всего перечисленного выше «джентльменского набора» это наиболее простые программы. Даже и не программы, а утилиты, поскольку реализуют они, как правило, одну-единственную функцию: определяют факт изменения содержимого файла или папки.

Механизм работы таких программ основан на вычислении так называемой контрольной свертки – CRC (Cyclic Redundancy Check, дословно – «циклический избыточный контрольный код»).

ПРИМЕЧАНИЕ ____________________
Иногда аббревиатуру CRC интерпретируют как «контрольная сумма», что неверно, поскольку вычисление контрольной суммы для некоторого блока данных – это альтернативный метод проверки, более простой и менее надежный. Вычисление же CRC основано на применении специального «магического» полинома, коэффициентыкоторого определяются в соответствии с используемым алгоритмом CRC.

Обычно длина значения CRC составляет 16 или 32 двоичных разряда. 32-разрядную контрольную свертку для определенности обозначают CRC32, а само значение представляют в шестнадцатеричном коде.

Использование CRC32 обеспечивает очень высокую достоверность контроля. Достаточно изменить единственный бит в контролируемом файле, и значение контрольной свертки станет совершенно другим. Например, взгляните на значения CRC32 для двух текстовых файлов, различающихся одним битом (рис. 2.3).

Рис. 2.3. Значения CRC32 для двух файлов

Известно достаточно много программ, обеспечивающих контроль целостности данных на основе вычисления CRC. Большинство из них бесплатны или условно-бесплатны. В разных программах могут использоваться различные алгоритмы вычисления CRC, однако принцип работы один: сначала программа вычисляет контрольную свертку для каждого из указанных файлов (или папок), а затем при повторном запуске выполняет повторный расчет CRC и сравнивает полученное значение с тем, которое хранится в базе данных программы.

Необходимо отметить, что утилиты контроля целостности данных на основе CRC входят в состав более сложных и мощных защитных программ. В частности, анализ CRC контролируемых файлов выполняют антивирусные пакеты (с целью выявления факта несанкционированного изменения этих файлов). В программах-архиваторах CRC используется для контроля целостности архива (рис. 2.4).

Антивирусные программы

На сегодняшний день перечень доступных антивирусных программ весьма обширен. Они различаются как по цене (от весьма дорогих до абсолютно бесплатных), так и по своим функциональным возможностям. Наиболее мощные (и, как правило, наиболее дорогие) антивирусные программы представляют собой на самом деле пакеты специализированных утилит, способных при совместном их использовании поставить заслон практически любому виду зловредных программ.

Вот типовой (но, возможно, неполный) перечень тех функций, которые способны выполнять такие антивирусные пакеты:

сканирование памяти и содержимого дисков по расписанию;

сканирование памяти компьютера, а также открываемых и записываемых файлов в реальном режиме времени с помощью резидентного модуля;

выборочное сканирование файлов с измененными атрибутами;

распознавание поведения, характерного для компьютерных вирусов;

блокировка и/или удаление выявленных вирусов;

восстановление зараженных информационных объектов;

принудительная проверка подключенных к корпоративной сети компьютеров;

удаленное обновление антивирусного программного обеспечения и баз данных с информацией о вирусах, в том числе автоматическое обновление вирусных баз данных через Интернет;

фильтрация трафика Интернета на предмет выявления вирусов в передаваемых программах и документах;

выявление потенциально опасных Java-апплетов и модулей ActiveX;

ведение протоколов, содержащих информацию о событиях, касающихся антивирусной защиты.

К наиболее мощным и популярным на сегодняшний день (в России) антивирусным пакетам относятся:

Doctor Web (Dr Web) – программа российской компании «ДиалогНаука» (www.dialognauka.ru);

Антивирус Касперского (AVP) – разработка российской фирмы «Лаборатория Касперского» (www.kaspersky.ru);

Norton Antivirus корпорации Symantec; сайт компании (www.symantec.com) имеет русскоязычный раздел;

McAfee VirusScan компании Network Associates (www.mcafee.ru);

Panda Antivirus компании Panda SoftWare (www.pandasoftware.com).

Популярность перечисленных выше пакетов обусловлена прежде всего тем, что в них реализован комплексный подход к борьбе с вредоносными программами. То есть, установив такой пакет на своем компьютере, вы избавляетесь от необходимости использовать дополнительные антивирусные средства.

ПРИМЕЧАНИЕ
Последние версии антивирусных пакетов содержат также средства борьбы с вредоносными программами, проникающими из сети. Тем не менее специализированные инструменты отражения сетевых угроз рассматриваются отдельно.

Так какие же, собственно, существуют технологии выявления и нейтрализации компьютерных вирусов?

Специалисты в области антивирусной защиты (в частности, Е. Касперский) выделяют пять типов антивирусов, реализующих соответствующие технологии:

сканеры;

мониторы;

ревизоры изменений;

иммунизаторы;

поведенческие блокираторы.

Сканеры

Принцип работы антивирусного сканера состоит в том, что он просматривает файлы, оперативную память и загрузочные сектора дисков на предмет наличия вирусных масок, то есть уникального программного кода вируса. Вирусные маски (описания) известных вирусов содержатся в антивирусной базе данных сканера, и если он встречает программный код, совпадающий с одним из этих описаний, то выдает сообщение об обнаружении соответствующего вируса.

ПРИМЕЧАНИЕ
В качестве маски вируса обычно используется так называемая сигнатура, то есть характерная для данного вируса последовательность байтов.

Недостаток любого сканера заключается в том, что он не способен обнаруживать новые (неизвестные) вирусы, о которых отсутствует информация в базе данных сканера. Кроме того, сканер практически бессилен против полиморфных вирусов, каждая новая копия которых отличается от предыдущей.

Мониторы

Мониторы являются разновидностью сканеров. Монитор постоянно находится в памяти компьютера и осуществляет автоматическую проверку всех используемых файлов в масштабе реального времени. Современные мониторы проверяют программы в момент их открытия и закрытия. Благодаря этому исключается возможность запуска ранее инфицированных файлов и заражения новых файлов резидентным вирусом. Для включения антивирусной защиты достаточно загрузить монитор при запуске операционной системы или приложения. Как правило, это делает сам антивирусный пакет в процессе его установки. В случае обнаружения вредоносной программы монитор, в зависимости от настроек, «вылечит» файл, заблокирует его выполнение или изолирует, переместив в специальную «карантинную» папку для дальнейшего исследования.

В настоящее время используются мониторы трех типов:

файловые мониторы;

мониторы для почтовых программ;

мониторы для специальных приложений.

Файловые мониторы работают как часть операционной системы, в масштабе реального времени проверяя все используемые объекты, вне зависимости от их происхождения и принадлежности какому-либо приложению.

Мониторы для почтовых программ интегрируются в программы обработки электронной почты (как серверные, так и клиентские) и при поступлении нового письма автоматически проверяют его.

Мониторы для специальных приложений также обеспечивают фоновую проверку объектов, но только в рамках приложения, для которого они предназначены. Типичный пример – мониторы для MS Office. Подобно своим «почтовым» «коллегам», они интегрируются в программу и находятся в памяти компьютера во время ее работы.

Ревизоры

Принцип работы ревизоров изменений основан на вычислении для файлов, системных секторов и системного реестра контрольных сверток (CRC). Они сохраняются в базе данных ревизора, и при следующем запуске ревизор сверяет «отпечатки» с их оригиналами и сообщает пользователю о выявленных отклонениях, обращая особое внимание на вирусоподобные изменения. При использовании ревизоров «лечение» зараженных объектов основывается не на опознании конкретного вируса, а на знании того, как должен выглядеть «чистый» файл или сектор: любые отклонения от эталона регистрируются ревизором, который способен вернуть объект к исходному состоянию.

Однако у ревизоров изменений имеются свои недостатки. Во-первых, они не способны поймать вирус в момент его появления в системе, а делают это лишь через некоторое время, уже после того, как вирус заразит хотя бы один объект. Во-вторых, они не могут определить вирус в новых файлах, поскольку для таких файлов в базе данных ревизора отсутствует эталонное значение CRC.

Иммунизаторы

Иммунизаторы, которые иногда называют также вакцинами, действуют подобно медицинским вакцинам: они помещают в тело информационного объекта специальные метки, препятствующие их настоящему заражению вирусом.

Иммунизаторы бывают двух типов: информирующие и блокирующие.

Первые обычно записываются в конец файлов (по принципу файлового вируса), и каждый раз при запуске файла проверяют его на изменение. Такие иммуниза-торы имеют один существенный недостаток: они не способны обнаружить заражение вирусами-невидимками.

Иммунизаторы второго типа защищают систему от заражения определенным вирусом. Блокирующий иммунизатор помечает файлы таким же образом, как и нейтрализуемый вирус, благодаря чему тот считает их уже зараженными. Например, чтобы предотвратить заражение COM-файла вирусом Jerusalem, достаточно дописать в конец файла строку MSDos. Для защиты от резидентного вируса в память компьютера заносится программа, имитирующая копию вируса. При запуске вирус обнаруживает ее и считает, что система уже заражена.

Иммунизаторы не получили большого распространения и в настоящее время практически не используются.

Блокираторы

Поведенческие блокираторы, в отличие от других антивирусных программ, не просто «смотрят» и пытаются «узнавать» вирусы, они еще и «думают». Принцип действия таких антивирусов основан на эвристическом анализе поведения активных программ и «подозрительных» событий, происходящих в системе. Другими словами, поведенческие блокираторы опираются в своей работе не на базу данных, а на базу знаний. Знаний о том, что может происходить в системе в случае попадания в нее вредоносного программного обеспечения. Это делает поведенческие блокираторы универсальным оружием, которое может использоваться в борьбе не только с вирусами, но и, например, с программами-шпионами.

Считается, что разработка поведенческих блокираторов, использующих методы искусственного интеллекта – это наиболее перспективное направление в создании антивирусных средств.

Существующие сегодня поведенческие блокираторы не предназначены для удаления вирусов. Их цель – обнаружение и предотвращение распространения вирусов. Поэтому их необходимо использовать совместно с антивирусным сканером, который способен уничтожить выявленный вирус.

Как было сказано выше, наиболее мощные антивирусные пакеты содержат в своем составе утилиты, реализующие все (или почти все) известные технологии. Например, пакет AVP при инсталляции предлагает использовать полный арсенал средств (рис. 2.5).

Рис. 2.5. Арсенал пакета Антивирус Касперского

ВНИМАНИЕ
Не рекомендуется устанавливать и использовать на одном компьютере два или более антивирусных пакета. Дело в том, что при выполнении своих функций антивирусы сами действуют подобно вредоносным программам (например, те же иммунизаторы изменяют исходный код файлов). В результате альтернативный антивирус может поднять «ложную тревогу» или уничтожить «конкурента». Частой причиной конфликта различных антивирусов является также наличие в их модулях (в базе данных и/или в документации) образцов сигнатур вирусов, которые воспринимаются «конкурентом» как признак заражения.

Вообще выбор наилучшего антивирусного средства – задача весьма сложная. Однозначного лидера среди таких средств сейчас нет, да и «назначить» такового непросто, поскольку требуется учитывать целый ряд факторов, среди которых важную роль играют не всегда самые очевидные. Например, очень важно, чтобы для используемого антивируса выполнялось оперативное обновление вирусной базы. А это зависит не только от «реактивности» разработчиков, но и от качества организации работы службы поддержки, – и, в частности, от того, насколько удобно реализована процедура удаленного обновления базы (через Интернет).

Достаточно объективное сравнение существующих антивирусов можно получить на веб-сайте журнала Virus Bulletin. Экспертная комиссия журнала (в нее входят профессионалы в области безопасности информации, в том числе Е. Касперский) ежемесячно присуждает своеобразный почетный знак «100%VB» тем антивирусам, которые обеспечивают 100-процентное обнаружение «живых» (и в первую очередь – самых новых) вирусов. Обобщенные результаты сравнения на момент посещения сайта можно найти по адресу https://www.virusbtn.com/magazine/ archives/index.xml.

Программные средства разграничения и контроля доступа

Программные средства указанного типа, как следует из их названия, призваны не допустить к работе с системой или с конкретным набором данных того, кто не имеет на это прав. Причем, когда речь идет о работе с данными, имеется в виду не только пользователь, но и программа (точнее, процесс), которая может быть автоматически запущена на компьютере без ведома легального пользователя.

ПРИМЕЧАНИЕ
Как пользователь, так и процесс, осуществляющий доступ к данным (информационным объектам), в документах Гостехкомиссии именуются субъектами доступа.

Разграничение прав доступа состоит в создании списка легальных пользователей, определении круга полномочий каждого из них и назначении пользователям (или группам пользователей с равными правами) идентификатора (отличительного признака) для входа в систему или для доступа к определенным объектам.

В простейшем случае в качестве такого идентификатора используется пароль – некое секретное слово (а точнее, последовательность символов), известное только его владельцу (и, возможно, администратору системы).

ПРИМЕЧАНИЕ
В многопользовательских системах и системах, обрабатывающих и хранящих критически важные данные, должна применяться специальная политика управления паролями, включающая и правила их выбора (формирования). Не вдаваясь в детали, отметим, что надежность пароля зависит от трех факторов: его длины, количества символов в алфавите, используемого для формирования пароля, и случайности их выбора из этого алфавита. Например, пароль A12#7ячZ на несколько порядков надежнее пароля ИванС.

Однако сама по себе парольная защита не гарантирует соблюдение правил доступа. Достаточно злоумышленнику получить (подсмотреть, скопировать) пароль, и все – защиты нет. Кроме того, даже легальный пользователь может тем или иным образом активизировать процесс, имеющий доступ к защищенным данным. Еще выше вероятность того, что такой процесс инициирует злоумышленник. Причем для этого ему совсем не обязательно иметь физический доступ к клавиатуре и мыши компьютера (вспомните о «троянах» и программах-шпионах).

Итак, для обеспечения надежной защиты конфиденциальных или важных данных от несанкционированного доступа должен применяться набор программных средств, обеспечивающий решение следующих основных задач:

идентификация пользователей, осуществляющих вход в систему или доступ к данным;

контроль действий пользователя, вошедшего в систему;

контроль процессов, которые обращаются к защищаемым данным.

Средства идентификации пользователей

Функции идентификации на основе паролей реализованы сегодня во многих прикладных программах и непосредственно в подсистеме администрирования операционной системы.

В первую очередь отметим, что, в отличие от Windows 9*, система паролей в операционных системах Windows 2000/XP/Server действительно способна разграничить доступ к разным наборам данных для разных пользователей. То же самое относится и к разграничению прав по управлению параметрами системы. Именно поэтому в этих ОС предусмотрен «главный» пользователь – Администратор. Он может создавать новые и удалять имеющиеся учетные записи, назначать и изменять пароли для себя и для других пользователей. Разумеется, Администратор имеет право устанавливать и удалять программное обеспечение, а также изменять системные параметры. На противоположном конце шкалы полномочий стоит пользователь – Гость. Такой пользователь не может закрыть свои данные паролем, да и вообще не может практически ничего (кроме как запустить одну из разрешенных для него программ или подключиться к Интернету со стандартными настройками). Несколько шире возможности у пользователя С ограниченными правами. Он может, помимо запуска программ, устанавливать и изменять пароль для защиты персональных данных (рис. 2.6).

Таким образом, если вы хотите защитить системные настройки вашего компьютера, установленное на нем программное обеспечение и данные от постороннего воздействия, создайте для себя учетную запись с правами администратора, защищенную паролем, а другим потенциальным пользователям отведите роль гостей или пользователей с ограниченными правами.

Тем не менее для разграничения доступа на уровне отдельных информационных объектов (папок, файлов, приложений) зачастую удобнее воспользоваться соответствующими встроенными функциями прикладных программ либо специализированными приложениями.

Например, вы можете «закрыть» паролем документ, созданный в Word, или архив, сгенерированный с помощью архиватора WinRAR (рис. 2.7).

Рис. 2.7. Многие приложения поддерживают функцию парольной защиты «своих» файлов

Кроме того, существуют программы, позволяющие закрывать паролем даже те файлы, для которых создавшее их приложение обеспечить парольную защиту не способно.

Пример такой программы – Virtual Password. Она позволяет закрыть паролем любой файл, имеющийся на компьютере, независимо от его типа (рис. 2.8).

Однако, как и у многих подобных программ, пароль в данном случае используется в качестве ключа шифрования. Соответственно при «закрытии» файла его исходное содержимое изменяется, и если вы забудете или потеряете пароль, то вместе с ним потеряете и первоначальное содержимое защищенного файла (правда, Virtual Password перед шифрованием создает резервную копию исходного файла; с одной стороны – это помощь для рассеянных, с другой – новый объект для защиты/нападения).

Для временного блокирования системы (на время отсутствия легального пользователя) могут применяться так называемые хранители экрана, или скринсейверы (от англ. screensaver), снабженные функцией парольной защиты.

Возможен и несколько иной подход, а именно: разрешать делать только то, что не запрещено. Используя соответствующие программы-блокираторы, вы можете запретить запуск конкретных программ, открытие/перемещение/удаление указанных файлов и папок, изменение настроек Рабочего стола и т. п.

Таких программ-блокираторов, реализующих комплексный подход к управлению доступом к ресурсам компьютера, существует не один десяток. Одной из наиболее удачных (по мнению автора) можно считать программу WinLock производства компании Crystal Office Systems. Оценочную версию программы (с несколько ограниченными функциональными возможностями) можно бесплатно получить на веб-сайте компании (www.crystaloffice.com).

Даже в «урезанном» варианте WinLock предоставляет широкие возможности: от блокирования входа в систему до запрета на работу с отдельными устройствами и на открытие конкретных файлов (рис. 2.9).

Средства контроля действий пользователя

Что касается контроля действий пользователя, вошедшего в систему, то для этого совершенно не обязательно стоять у него за спиной. Достаточно установить на компьютер одну или несколько программ, выполняющих соответствующие функции (аналогичные, по сути, функциям программ-шпионов). Например, небольшая (36 Кбайт) бесплатная программка Home Key Logger (http://www.spyarsenal.com) позволяет регистрировать всю информацию, вводимую с клавиатуры, и затем просматривать протокол всех нажатий клавиш (как текстовых, так и управляющих). Причем в файле протокола указываются дата, время, приложение и файл, с которым работал пользователь. Более «продвинутый» вариант программы – Family Key Logger – обеспечивает некоторые дополнительные возможности (в частности, автоматический запуск в скрытом режиме, рис. 2.10).

Возможен также визуальный контроль действий пользователя. Речь идет о программах, создающих снимки экрана (или снимки окон активных приложений) через заданные интервалы времени. Снимки сохраняются в определенной папке в виде набора графических файлов, просмотрев которые, вы можете получить полное представление о том, какие задачи решались на компьютере в ваше отсутствие. Пример такой программы – Spy Camera. Она снабжена минимальным числом настраиваемых параметров (рис. 2.11), однако исправно выполняет свои задачи.

В отличие от многих аналогичных программ, она способна делать снимки экрана во время работы приложений, использующих полноэкранный режим отображения (например, при просмотре видео).

Рис. 2.11. Окно настроек программы Spy Camera

Для сторонников комплексных решений также имеется богатый выбор подходящих программ-наблюдателей с соответствующими возможностями. В качестве примера рассмотрим две из них. Обе программы созданы российскими программистами и относятся к категории условно-бесплатных (Shareware), то есть по истечении определенного интервала времени для продолжения работы с программой следует зарегистрировать используемую копию. Первая программа называется Spylo PC Monitor (автор – Alexei Vylegjanine (Sontrex Software)). Вторая – StatWin (разработка компании Security extensible Research Software (www.sxrsoft.com)).

Spylo PC Monitor обеспечивает:

регистрацию клавиатурного ввода;

контроль запускаемых приложений;

создание снимков экрана для активных приложений;

регистрацию работы в Интернете.

Spylo PC Monitor состоит из двух основных компонентов: монитора, который собирает информацию, и модуля просмотра результатов (Spylo Commander). Монитор работает скрытно и может запускаться автоматически при загрузке системы. При этом ни на панели задач, ни в списке активных приложений, ни в системном трее никаких признаков его присутствия нет.

Spylo Commander может быть вызван обычным способом (если пользователь, запускающий его, знает установленный пароль) и способен «поделиться» всеми данными, собранными монитором (рис. 2.12, вверху).

Рис. 2.12. Окно Spylo Commander программы Spylo PC Monitor

Помимо двух названных модулей в состав Spylo PC Monitor входит утилита Anti-Spy Killer. Она играет роль своеобразного телохранителя для Spylo PC Monitor, поскольку предназначена для борьбы с программами-антишпионами. Для уничтожения «врага» надо указать имя файла, активность которого следует предотвратить, и/или соответствующий параметр системного реестра (рис. 2.12, внизу).

Программа StatWin обладает более широкими возможностями, объединяя, по сути, функции разграничения доступа и функции контроля. При этом StatWin обеспечивает слежение не только за действиями пользователей, но и за активными процессами (рис. 2.13).

Кроме того, программа умеет делать снимки экрана и регистрировать клавиатурный ввод. Более подробно возможности StatWin будут рассмотрены в следующем подразделе.

Средства контроля процессов

Программа Family Key Logger показательна в том плане, что, фиксируя действия пользователя, она практически ничего не сообщает о своей работе. Владельцы компьютеров, имеющие опыт работы с Windows 9*, привыкли использовать три «волшебные» клавиши Ctrl+Alt+Del, чтобы вывести на экран список активных задач и (если необходимо) принудительно завершить некоторые из них. Так вот, Family Key Logger вы не увидите в списке задач, и, соответственно, не сможете принудительно завершить его работу.

Тем не менее, даже используя «штатные» средства Windows, можно обнаружить программы, подобные Family Key Logger. В среде Windows 98 это сделать несколько сложнее, при работе с Windows XP – проще.

В Windows 98, чтобы получить сведения о запущенных процессах, необходимо в меню Пуск открыть подменю Стандартные Служебные, а в нем выбрать пункт Сведения о системе. Затем в левой панели открывшегося окна раскройте раздел Программная среда, а в нем выберите ветвь Системные ловушки (рис. 2.14).

Все приложения, перехватывающие системные сообщения, будут представлены в правой панели окна утилиты.

Чтобы получить список всех активных задач (процессов), требуется активизировать еще одну системную утилиту, которая называется Доктор Ватсон. Для этого в окне Сведения о системе откройте меню Сервис и выберите в нем команду Доктор Ватсон. Указанная утилита после запуска сразу переходит в режим ожидания, сворачивается и оставляет лишь свой значок в системном трее. Для активизации «доктора» щелкните дважды на значке. Далее, чтобы получить список активных процессов, выполните следующие действия.

1. В меню Вид выберите пункт Расширенный вид.

2. Перейдите на вкладку Задачи (рис. 2.15).

Очевидно, что данный вариант далеко не идеален. Чтобы подобным образом выявить «шпионские» задачи, требуется либо знать, как называется соответствующий исполняемый файл (.exe,bat или. com), либо, наоборот, знать перечень всех «санкционированных» программ. И то и другое условие выполнить на практике достаточно сложно. Как, например, догадаться, что исполняемый файл программы Family Key Logger называется Cisvc.exe (см. рис. 2.15)? Кроме того, даже если вы опознаете «врага», запретить его работу с помощью программы Доктор Ватсон невозможно.

Что же делать? Опять-таки воспользоваться услугами одной из специальных программ, обеспечивающих слежение за активными процессами и принудительное их завершение. При работе с операционными системами Windows 9* для указанной цели можно использовать вполне «официальную» утилиту от Microsoft. Утилита называется Process Viewer; она входит в состав пакета Visual Studio, но может использоваться автономно. Утилита собирает сведения обо всех активных процессах и отображает их список в окне (рис. 2.16).

Чтобы завершить какой-либо процесс, достаточно выбрать его в списке и затем на панели инструментов щелкнуть на кнопке Kill Process (Завершить процесс). По сравнению с многочисленными «полулюбительскими» аналогами Process Viewer обладает двумя достоинствами: работает очень корректно и дает достаточно полную информацию о «происхождении» процесса.

При работе с Windows XP процедура получения списка процессов значительно проще. Достаточно открыть с помощью все тех же «волшебных» клавиш Ctrl+Alt+Del окно диспетчера задач и перейти на вкладку Процессы (рис. 2.17).

Рис. 2.17. Просмотр списка выполняемых процессов в Windows XP

Обнаружив подозрительный процесс, вы можете его остановить, просто щелкнув на кнопке Завершить процесс, расположенной в правом нижнем углу окна. Правда, данное окно не содержит сведений о том, в какой папке находится приложение или системный модуль, инициировавший соответствующий процесс.

Обширную информацию по процессам способна предоставить упоминавшаяся выше программа StatWin. Причем с ее помощью вы можете получить статистику не только по активным процессам, но также по завершенным. Весьма полезными также могут оказаться сведения, относящиеся к работе пользователя в Интернете и к использованию подключенного к компьютеру принтера.

Что касается работы в Интернете, то с помощью трех разделов статистики – Модем, Интернет: Сайты и Интернет: Серверы, – представленных на одноименных вкладках основного окна программы, заинтересованное лицо получит следующие основные сведения (рис. 2.18):

общее время, проведенное в Сети;

общий объем переданных и полученных данных;

время и длительность подключения к конкретному веб-серверу или пребывания на веб-сайте.

Кроме того, вы можете задать интервал времени, по истечении которого StatWin должен произвести принудительный разрыв соединения.

Рис. 2.18. Сведения о работе пользователя в Интернете, предоставляемые StatWin

Однако разрыв соединения – это единственный вид активных действий, предусмотренный в StatWin. Он не позволяет завершать нежелательные процессы. Вместе с тем StatWin способен защитить одно из наиболее уязвимых мест системы – системный реестр – от негативного воздействия. Для этого достаточно указать, какой именно ключ (или конкретный параметр) следует защищать.

И все-таки даже при работе в среде Windows XP штатные средства операционной системы не способны уведомить пользователя о присутствии в системе программ типа SpyWare или AdWare. В качестве «контрразведчиков» должны использоваться специальные инструменты.

К достаточно популярным «контрразведчикам» относится, в частности, программа Ad-aware компании Lavasoft Sweden (бесплатную версию программы для персонального использования можно загрузить с веб-сайта www.lavasoftusa.com). Программа умеет сканировать оперативную память, системный реестр и указанные пользователем папки на предмет наличия там шпионских модулей или их частей (рис. 2.19).

Рис. 2.19. Ad-aware умеет сканировать оперативную память, системный реестр и указанные папки

Кроме того, Ad-aware умеет находить файлы cookie, созданные веб-серверами с «плохой репутацией». Опознание вредоносного программного обеспечения Ad-aware производит на основе сведений, содержащихся в его базе данных. Делает она это весьма проворно и достаточно эффективно. Например, ей не составило никакого труда обнаружить в оперативной памяти процесс, относящийся к программе Family Key Logger (перехватчик клавиатурного ввода), а также найти среди папок и в реестре всю относящуюся к ней информацию (рис. 2.20).

Сведения о проделанной работе Ad-aware записывает в файл отчета, а сами обнаруженные объекты по желанию пользователя помещает в специальную «карантинную» папку. Оттуда они могут быть удалены либо возвращены на прежнее место. Перед удалением объектов Ad-aware позволяет создать их резервную копию, и если после «чистки» система будет работать некорректно, все можно сделать «как было».

Необходимо отметить, что создатели Ad-aware приписывают программе некие «интеллектуальные» способности, позволяющие ей отыскивать подозрительные объекты, сведения о которых отсутствуют в базе данных программы. Однако это утверждение вызывает сомнения, поскольку Ad-aware не обратила никакого внимания на программу StatWin, работающую как настоящий шпион.

Рис. 2.20. Результаты работы Ad-aware

ПРИМЕЧАНИЕ ____________________
К дополнительным преимуществам Ad-aware по сравнению со многими другими программами этого класса можно отнести возможность установки локализованного (русского) интерфейса и наличие русскоязычного раздела на сайте производителя.

Еще один инструмент, достаточно хорошо зарекомендовавший себя в деле борьбы со «шпионами», – это SpyBot-Search &Destroy (Patrick Michael Kolla / Safer Networking Limited, http://www.safer-networking.org).

Основные возможности программы:

поиск и блокирование программ-шпионов;

поиск и блокирование cookies;

защита системного реестра;

надежное удаление файлов;

поиск и блокирование подозрительных ActiveX;

отображение списка активных процессов и остановка любого из них;

контроль изменений в системе, производимых инсталлируемыми программами.

Несомненными достоинствами SpyBot S &D для российских пользователей можно считать бесплатность программы (автор рассчитывает лишь на «добровольные пожертвования») и наличие русскоязычного варианта интерфейса (рис. 2.21).

Рис. 2.21. Один из режимов работы SpyBot-Search &Destroy

По каждой из вредоносных программ, имеющихся в базе данных SpyBot-Search&Destroy, вы можете получить достаточно подробную информацию. В частности, SpyBot-Search &Destroy сообщит вам о производителе (или распространителе) данного ПО и о тех неприятностях, которые можно от него ожидать. Что касается слежения за текущим состоянием системы, то в составе SpyBot-Search &Destroy имеется специальный модуль, контролирующий обращение приложений к системному реестру. Этот модуль работает постоянно в фоновом режиме и при каждой попытке изменения реестра предлагает пользователю принять или запретить это изменение (рис. 2.22).

SpyBot-Search&Destroy содержит в качестве дополнительного инструмента межсетевой экран (firewall) и модуль для блокирования подозрительных файлов cookies. О том, что собой представляют межсетевые экраны – в следующем подразделе.

Программные средства сетевой защиты

Разумеется, вредоносная программа может «пробраться» на ваш компьютер с взятого у приятеля гибкого диска или с компакт-диска, приложенного к компьютерному журналу. Однако значительно более реальная опасность таится на просторах Интернета (которым, наверное, бабушки скоро будут пугать непослушных внуков, как раньше пугали серым волком). И действительно, чуть ли не ежедневно появляются сообщения о новой напасти, пришедшей неизвестно откуда.

Все виды «защитного» программного обеспечения, рассмотренные в предыдущих разделах, имеют один общий недостаток: они противодействуют тем вредителям, которые уже проникли в компьютер. Среди средств сетевой защиты основная роль отводится инструментам, которые способны предупредить сам факт такого проникновения.

К таким инструментам относятся:

межсетевые экраны;

системы обнаружения атак;

сетевые сканеры;

антиспамеры.

Межсетевые экраны

Иногда вместо термина «межсетевой экран» используются термины брандмауэр (от немецкого слова Brandmauer – «пожарная стена») или firewall (английское слово с тем же значением).

ПРИМЕЧАНИЕ
Почему немецкое слово используется в русской транскрипции, а английское (обычно) в исходной форме? Объясняется это тем, что российские пожарные (в отличие от российских программистов) применяли немецкую терминологию (вспомните, например, брандмейстера). Вне компьютерной сферыбрандмауэром называют стену из негорючих материалов, препятствующую распространению пожара в здании.

Компьютерный брандмауэр (межсетевой экран) призван предотвратить несанкционированный доступ злоумышленников на защищаемую территорию, под которой обычно понимается внутренняя сеть организации или отдельный компьютер. Если межсетевой экран защищает отдельный компьютер, то он обычно называется персональным брандмауэром.

Теперь приведем несколько более строгое определение. Межсетевой экран – это программно-аппаратная система, позволяющая разделить вычислительную сеть на две или более частей и реализовать набор правил, определяющих условия прохождения пакетов с данными через границу из одной части сети в другую.

Межсетевой экран отслеживает данные, перемещающиеся в обоих направлениях: извне в защищаемый сегмент и из сегмента наружу. Необходимость блокирования несанкционированного исходящего трафика вызвана возможным присутствием в сегменте программных закладок (в частности, программ типа Spyware или AdWare).

Эффективность применения межсетевых экранов оказалась весьма высокой, и это привело к появлению достаточно большого числа конкурирующих продуктов. Ниже рассмотрены наиболее популярные из них, относящиеся к категории персональных брандмауэров.

Первый из них – ICF (Internet Connection Firewall). Далеко не самый эффективный, но достаточно распространенный, поскольку входит в состав операционной системы Windows XP.

Межсетевой экран Windows XP позволяет настраивать параметры защиты не для компьютера в целом, а для каждого созданного сетевого подключения в отдельности. Чтобы убедиться, что для имеющегося соединения ICF включен, выполните следующие действия.

1. В меню Пуск выберите интересующее сетевое подключение (Настройки Сетевые подключения) и щелкните на его имени правой кнопкой мыши.

2. В контекстном меню подключения выберите пункт Свойства.

3. В открывшейся панели свойств перейдите на вкладку Дополнительно; посмотрите, поставлен ли флажок Защитить мое подключение к Интернету (рис. 2.23).

Когда брандмауэр включен, он блокирует все несанкционированные пакеты, поступающие через сетевой интерфейс. Для проверки пакетов в брандмауэре ICF используется так называемая NAT-таблица потоков (Network Address Translation – преобразование сетевых адресов) с проверкой любого входящего пакета на соответствие записям в этой таблице. Входящие пакеты данных пропускаются только в том случае, если в NAT-таблице имеется соответствующее разрешение (рис. 2.24). Для изменения списка разрешений необходимо открыть окно настроек, щелкнув на кнопке Параметры (см. рис. 2.23).

Если обмен информацией не санкционирован из защищенной сети, входящие данные игнорируются. При этом брандмауэр ICF не посылает пользователю никаких уведомлений, а просто прерывает передачу данных, которые он не запрашивал. Вместо этого брандмауэр может вести журнал безопасности, записывая в него все необходимые сведения о наблюдаемой активности.

ПРИМЕЧАНИЕ ____________________
При использовании ICF следует иметь в виду, что целый ряд защитных функций, реализованных в других брандмауэрах, вынесены в веб-браузер Internet Explorer. Например, Internet Explorer способен блокировать файлы cookie.

Персональные брандмауэры других производителей обладают по сравнению с ICF целым рядом дополнительных (и весьма полезных) возможностей. В частности, они способны ограничить список приложений, получающих доступ в Сеть, запретить или ограничить поступление на компьютер баннерной рекламы, блокировать появление всплывающих окон на веб-страницах, контролировать вложения к электронным письмам и многое другое. Следует также отметить, что многие из популярных брандмауэров предоставляются пользователям бесплатно.

Лидирующие позиции во многих тестовых обзорах часто занимает брандмауэр Agnitum Outpost Firewall, созданный компанией Agnitum Ltd. (www.agnitum.com). Его свободно распространяемая версия (Outpost Firewall Free) по своим возможностям незначительно уступает «профессиональной» (Outpost Firewall Pro) и имеет локализованную (русскоязычную) версию (рис. 2.25).

Рис. 2.25. Брандмауэр Agnitum Outpost Firewall

Outpost Firewall контролирует как входящий, так и исходящий трафик, блокируя доступ в Интернет «подозрительных» приложений. Контроль активности в обоих направлениях производится на основе системы правил. Интересной особенностью Outpost Firewall является то, что правило можно задавать либо явным образом, либо предоставив Outpost Firewall возможность «учиться» правилам вашей работы в Интернете самому. Например, если вы разрешите загрузку веб-страниц с помощью Internet Explorer, то Outpost Firewall автоматически внесет его в список «разрешенных» приложений (рис. 2.26).

Создать правило для IEXPLORE.EXE

Рис. 2.26. Outpost Firewall можетсамообучаться

Помимо режима обучения (он используется по умолчанию) в Outpost Firewall предусмотрено еще 4 режима (политики) работы:

Разрешать – разрешены все соединения, которые не заблокированы явно;

Блокировать – блокируются все соединения, которые не были разрешены явно; в этом режиме для каждого «разрешенного» приложения должно быть задано правило работы;

Запрещать – блокируются все соединения, в том числе разрешенные явно;

Отключить – брандмауэр отключается и, соответственно, допускаются любые соединения.

В Outpost Firewall имеются следующие полезные функции:

работа в режиме невидимки (Stealth), когда компьютер не реагирует на ICMP-сообщения (при этом все соответствующие порты компьютера недоступны);

возможность блокирования загружаемых веб-страниц или фрагментов страниц по HTML-коду; например, можно заблокировать загрузку строк, содержащих ссылку на таблицу стилей или на баннерную рекламу;

возможность блокирования веб-сайтов по их адресам;

возможность блокирования активных элементов веб-страниц (сценариев, элементов ActiveX, Java-апплетов), а также файлов cookie;

кэширование (запоминание) серверов DNS (для ускорения последующего подключения).

Перечень неполон, но весьма показателен.

Необходимо также отметить, что Outpost Firewall – это приложение с открытой архитектурой, и любой пользователь может создать для него собственный подключаемый компонент (plug-in) с целью расширения функциональных возможностей брандмауэра.

С брандмауэром Outpost Firewall сопоставим по популярности брандмауэр Zone-Alarm компании Zone Labs (http://www.zonelabs.com). Как и Outpost Firewall, брандмауэр ZoneAlarm существует в двух вариантах: бесплатном и «профессиональном» (ZoneAlarm Pro). Установив на своем компьютере бесплатный вариант, вы получаете возможность оценить в течение 15 дней те дополнительные возможности, которые предоставляет ZoneAlarm Pro. К таковым относятся (рис. 2.27):

быстрое конфигурирование брандмауэра;

усиленная защита электронной почты;

блокирование всплывающих окон;

контроль файлов cookie.

Рис. 2.27. Дополнительные возможности ZoneAlarm Pro

При отслеживании приложений, пытающихся установить внешнее соединение, ZoneAlarm действует примерно на тех же принципах, что и Outpost Firewall. Контроль данных, поступающих извне, основан на разделении внешнего пространства на три зоны (рис. 2.28):

Blocked Zone – блокируемая зона – сетевые объекты, обращение которых к защищаемому компьютеру должно быть запрещено;

Trusted Zone – доверенная зона – сетевые объекты, обращение которых к защищаемому компьютеру разрешено;

Internet Zone – зона Интернета – сетевые объекты, относительно надежности которых сведений нет.

Рис. 2.28. Правила фильтрации в ZoneAlarm основаны на понятии зоны

При этом для каждой из зон Trusted и Internet может быть установлен определенный уровень безопасности. Например, установив для зоны Trusted наивысший уровень безопасности (High), вы можете превратить ее (скажем, на некий опасный период) в зону Internet (рис. 2.29).

Установка для зон Trusted и Internet низшего уровня безопасности (Low) соответствует временному выключению брандмауэра. Если же, наоборот, требуется срочно блокировать связь с Интернетом, достаточно щелкнуть на кнопке в виде знака Stop, расположенной на панели инструментов основного окна ZoneAlarm (рис. 2.29).

Когда ZoneAlarm обнаруживает попытку несанкционированного выхода какого-либо приложения в Интернет, он выводит на экран диалоговое окно с достаточно подробным описанием ситуации (рис. 2.30).

Рис. 2.30. Окно с сообщением о попытке подключения к Интернету

Получив от владельца компьютера разрешение (или запрет) на допуск приложения в Интернет, ZoneAlarm запоминает выбор (если установить в окне соответствующий флажок) и по данному приложению больше вопросов не задает.

Аналогичные действия выполняются и в случае попытки обращения извне к какому-нибудь порту компьютера.

К недостаткам ZoneAlarm можно отнести то, что он некорректно отображает русскоязычные наименования приложений.

Системы обнаружения атак

Системы обнаружения атак (или IDS – Intrusion Detection System) предназначены для выявления вторжений путем регистрации некорректной или аномальной деятельности пакетов данных, циркулирующих в локальной сети или поступающих на отдельный компьютер из внешней сети.

Сама по себе сетевая атака зачастую не несет непосредственной угрозы компьютерным данным или локальной сети. Она лишь является частью общей стратегии злоумышленника, направленной на достижение некой цели. Например, атака может заключаться в сканировании портов компьютера с целью выявления незащищенных «точек входа» либо в регистрации и анализе сетевого трафика с целью определения его интенсивности, параметров пересылаемых пакетов и т. п. Другими словами, некоторые виды атак можно рассматривать как «разведку боем». В случае успешного проведения такой разведки могут быть начаты непосредственно «боевые действия». Например, злоумышленник может внедрить через незащищенный порт шпионскую программу либо бомбардировать систему ложными сообщениями с целью захвата ее ресурсов.

Атаки, направленные на захват ресурсов, обычно приводят к тому, что атакованный веб-сервер перестает обслуживать «нормальные» запросы. Поэтому подобные атаки называются атаками на отказ в обслуживании – Denied of Service (DoS). Атаки типа DoS являются сегодня одними из наиболее распространенных.

Для обнаружения атак используется либо технология обнаружения аномального поведения (anomaly detection), либо технология обнаружения злоупотреблений (misuse detection). Вторая технология заключается в описании атаки в виде шаблона или сигнатуры и поиске данного шаблона в контролируемом пространстве (например, сетевом трафике или журнале регистрации). Подобные системы очень похожи на антивирусные сканеры. Именно на такой технологии основаны практически все предлагаемые сегодня системы обнаружения атак.

Необходимо отметить, что многие персональные брандмауэры содержат функции (или модули) обнаружения атак. Разумеется, они не могут претендовать на высокую эффективность, однако для «типовых» ситуаций вполне пригодны. Например, в составе рассмотренного выше брандмауэра Outpost Firewall имеется специальный модуль обнаружения атак – Детектор атак (рис. 2.31).

Детектор атак регистрирует сведения обо всех попытках подключения к портам компьютера и адрес источника такой попытки. Для атак типа DoS модуль использует в качестве защитной меры блокирование атакуемого порта или блокирование источника угрозы (рис. 2.32).

Рис. 2.32. Брандмауэр Outpost Firewall защищает от DoS-атак

Более мощными функциями по обнаружению и блокированию атак обладает пакет BlacklCE компании PC Protection (до версии 3.0 пакет именовался BlacklCE Defender). Он ориентирован на «домашних» пользователей (оценочную версию можно найти, например, по адресу http://download.iss.net/cgi-bin/download/getFile5.pl/BIPCPEvalSetup.exe.) Этот инструмент, напротив, содержит в своем составе брандмауэр в качестве дополнительного модуля. Брандмауэр блокирует связь с теми внешними абонентами, которые были идентифицированы основным модулем как источники атак.

Сетевые сканеры и антиспамеры

Данные два типа инструментов принципиально различаются по своему предназначению и включены в один подраздел только потому, что и те и другие будут описаны вкратце.

Сетевые сканеры (или системы анализа защищенности) – это программы, которые просматривают узлы сети (ПЭВМ и серверы) с целью получения следующей информации:

имя и роль узла;

используемые сетевые сервисы (наличие средств электронной почты, вебсерверов и т. д.);

типы и версии используемых ОС и прикладного ПО;

учетные записи (параметры доступа для различных пользователей);

общие параметры политики безопасности (система паролей, категории пользователей и т. д.);

наличие незарегистрированных устройств (модемов, ноутбуков, анализаторов протоколов).

На основе полученной информации сканер выдает рекомендации по изменению установленных параметров защиты и/или оповещает администратора сети о наличии неизвестных устройств. Сетевые сканеры – это достаточно дорогие и сложные инструменты, и «домашними» пользователями практически не используются.

Антиспамеры предназначены для блокирования спама.

ПРИМЕЧАНИЕ
Сегодня мало кто помнит, откуда появилось само слово «спам». Оказывается, Spam – зарегистрированная торговая марка консервов компании Hormel Foods Corporation. Компьютерный термин Spam (спам) происходит от пародии британской комик-группы, в которой изображалось, что посетители ресторана вынуждены слушать хор, воспевающий мясные консервы. Отсюда и пошло наименование навязчивой сетевой рекламы в новостных конференциях. Этим же словом называли сообщения, которые принудительно рассылаются подписчикам телеконференций для напоминания о тематике дискуссионных списков. Позднее и другие непрошенные рекламные сообщения в электронной почте стали называть «спамом», а отправителей подобных посланий – спамерами.

Принцип работы антиспамеров основан на фильтрации сообщений, поступающих по электронной почте, на основе некоторых правил. В отличие от сетевых сканеров антиспамеры получили широкое распространение среди пользователей домашних компьютеров. Причем существует достаточно много бесплатных антиспамеров, неплохо справляющихся со своими обязанностями.

Одна из таких программ – SpamPal (www.spampal.com). В процессе работы SpamPal сверяет каждое входящее письмо с некоторым числом списков DNSBL. На панели настроек можно выбрать списки, с которыми вы хотите сверять свои почтовые сообщения.

ПРИМЕЧАНИЕ
DNSBL (DNS Black List – «черный список» DNS») – это динамически обновляющийся список IP-адресов серверов, с помощью которых производились массовые рассылки почты (то есть замеченных в распространении спама).

Если вы получаете много спама с одного и того же адреса, то можно занести этот адрес в индивидуальный «черный список»; соответствующий адрес будет автоматически блокироваться программой SpamPal.

В программе предусмотрен также «белый список». Особенность «белого списка» состоит в том, что включенные в него адреса никогда не помечаются как спам. Это полезно в тех случаях, когда адрес вашего надежного абонента относится к провайдеру, занесенному в один из списков DNSBL.

Записи «белого списка» имеют более высокий приоритет по сравнению с записями «черного списка». Поэтому можно, например, добавить в «черный список» запись *@mail.com, а в «белый список» – конкретных надежных адресатов, почтовые ящики которых зарегистрированы на Hotmail.

Остается только добавить, что программа SpamPal имеет русскоязычный интерфейс и локализованный вариант документации.

Средства криптографической защиты

Суть криптографической защиты данных заключается в их шифровании. Зашифровать можно данные любого типа: текст, графику, видео, аудио, исполняемые файлы и т. д. Очевидно, что криптозащита обеспечивает конфиденциальность данных, но никак не может помочь в деле сохранения их целостности и доступности.

ВНИМАНИЕ ____________________
Надежность шифрования обеспечивается не секретностью применяемого алгоритма, а качеством и сохранностью используемого криптографического ключа.

Это означает, что для надежной защиты данных следует, во-первых, использовать известные, проверенные и описанные в соответствующих стандартах алгоритмы шифрования, а во-вторых, соблюдать правила создания, хранения и использования ключей.

Полезно также знать, что существующие алгоритмы (методы) шифрования подразделяются на два вида:

симметричные, в которых один и тот же секретный ключ используется и для шифрования, и для дешифрования;

несимметричные, в которых один ключ (открытый, или публичный) используется для шифрования, а второй (секретный, закрытый) – для дешифрования.

ПРИМЕЧАНИЕ ____________________
Криптографический ключ – это некое число или набор символов, который используется определенным образом для шифрования/дешифрования данных. Например, можно применить в качестве ключа число 7 и сложить его последовательно с числовыми кодами символов передаваемого сообщения. Понятно, что расшифровать такой «код» не составляет никакого труда, особенно если известен ключ. Поэтому в основе «настоящих» методов шифрования лежит именно принцип выбора ключа.

При использовании криптосистемы с открытым ключом владельцем этого самого открытого ключа является (условно говоря) отправитель сообщения, а владельцем закрытого ключа – потенциальный получатель сообщения. Открытый и закрытый ключи связаны между собой: открытый ключ формируется на основе закрытого. Однако обратное преобразование должно быть невозможно (по крайней мере, у злоумышленника должно не хватить на это времени и сил).

Криптосистемы с открытым ключом становятся в последнее время все более популярными в связи с развитием цифровых коммуникационных систем, в которых один сервисный центр обменивается сообщениями с большим числом клиентов.

Характерный пример – система электронных платежей. Принцип несимметричного шифрования лежит также в основе электронной цифровой подписи (ЭЦП).

Надежные алгоритмы шифрования весьма сложны с математической точки зрения. Однако разбираться с математическими основами шифрования сегодня совершенно не обязательно, поскольку существуют соответствующие программные инструменты, автоматизирующие выполнение всех необходимых операций.

Наиболее популярным из них является пакет PGP (аббревиатура от «скромного» названия – Pretty Good Privacy, то есть «довольно хорошая секретность»). Вплоть до версии 8.0 пакет PGP распространялся абсолютно бесплатно (теперь бесплатен только «облегченный» вариант) и стал фактически монополистом не только в среде частных пользователей, но и в достаточно крупных организациях. Объясняется это двумя основными факторами:

в основу работы PGP положены стандартизованные алгоритмы шифрования;

интерфейс PGP позволяет эффективно использовать эти алгоритмы даже не очень подготовленным пользователям.

Следует также отметить и достаточно богатый набор сервисных функций, предоставляемый PGP. В состав «облегченной» версии пакета входят следующие модули:

PGPkeys – подсистема генерации и управления наборами ключей;

PGPmail – подсистема криптозащиты электронных писем и текста сообщений ICQ; позволяет зашифровать сообщение и/или снабдить его цифровой подписью;

PGPtray – шифрование и дешифрование данных в буфере обмена и в активных окнах приложений; позволяет также генерировать для таких данных цифровую подпись.

Модуль PGPkeys можно считать основным, поскольку именно с генерации пары ключей (закрытый + открытый) начинается работа пакета PGP. После того как ключи созданы, вы можете использовать их для шифрования данных или генерации цифровой подписи (рис. 2.33).

Для обладателей персональной лицензии (Personal License), а также в предыдущих (бесплатных) версиях PGP доступна еще одна полезная утилита – PGPdisk, которая обеспечивает шифрование данных на жестких дисках компьютера. Смысл ее работы состоит в том, что вы можете создать как бы отдельный логический диск (том), информация на котором хранится в шифрованном виде. Шифрование производится автоматически при записи на этот том новых данных, а раскодирование – также автоматически при считывании.

Таким образом, принципиальный, стратегический шаг в деле обеспечения безопасности данных – определение того базового «джентльменского набора» защитных программ, о котором шла речь в данной главе. Разумеется, с течением времени этот набор будет изменяться (появятся новые программные инструменты или новые версии существующих, станут доступны новые технологии и т. д.). Но чем раньше вы привыкнете к мысли, что кроме игр, графических и текстовых редакторов, мультимедийных проигрывателей и бухгалтерских программ на компьютере должно быть установлено и сервисное программное обеспечение, тем лучше.

Глава 3
Настройка системных параметров

Первые две главы книги должны были убедить читателя в том, что восстановление данных начинается с их защиты. Чем внимательнее вы отнесетесь к профилактическим мерам, тем меньше времени и сил придется затратить на восстановление важной информации. Цель третьей главы – приблизить вас еще на один шаг к безопасности данных. Речь в ней пойдет о том, как лучше подготовить файловую систему компьютера к возможным неприятностям. Некоторые настройки достаточно просты, и для их выполнения даже не обязательно знать, что такое файловая система. Чтобы успешно справиться с другими, потребуется выяснить, как размещаются данные на жестком диске и какая системная информация используется для работы с ними.

Правила, которые следует выполнять

Как вы, вероятно, помните, одной из наиболее серьезных угроз безопасности данных является так называемый человеческий фактор. Ошибка, допущенная по невнимательности или по какой-то другой причине, может зачастую нанести больше вреда, чем самый страшный вирус. Поэтому полезно приучить себя к соблюдению некоторых правил, призванных снизить риск потери данных.

Среди новичков (и не только) встречаются две противоположные категории. Одни считают, что в настройках системы ничего менять не следует. Поскольку, мол, «от добра добра не ищут». Работает компьютер – и хорошо. Представители второй категории приступают к настройке системы «под себя», еще даже не уяснив как следует, чего же, собственно, они хотят добиться. Истина, как всегда, лежит где-то посередине.

Для начала попробуем определить, какие параметры системы влияют в той или иной степени на сохранность и восстанавливаемость данных.

Первое, о чем следует позаботиться, – это о возможности загрузки системы с резервного носителя в случае ее «краха», а также об управлении поведением системы на начальном этапе ее загрузки. Для установки соответствующих параметров потребуется познакомиться с BIOS.

Второй важный момент – это правильная организация работы с жесткими дисками. Какие бы альтернативные виды накопителей ни привлекали ваше внимание, ключевую роль в хранении данных и обеспечении работы системы в целом по-прежнему играют винчестеры. Поэтому для уверенной и корректной работы с данными весьма полезно представлять себе, как, собственно, выглядит файловая система «изнутри».

И, наконец, третья составляющая – это установка рациональных значений параметров, относящихся к пользовательскому интерфейсу файловой системы. Привыкнув решать многие задачи «буквально двумя щелчками мыши», мы не всегда даже обращаем внимание на ответную реакцию системы. А ведь иногда в ответ на бурное наше негодование по поводу удаленного файла или «зависания» системы она вполне могла бы заметить: «Мы ведь вас предупреждали…».

Установка параметров BIOS

BIOS (Basic Input/Output System – базовая система ввода-вывода) – это специальная программа, которая хранится в энергонезависимом ПЗУ (постоянном запоминающем устройстве) материнской платы и обеспечивает инициализацию загрузки системы, а также выполнение некоторых других функций, о которых будет сказано ниже.

Основные функции BIOS

Ранее BIOS рассматривалась как часть операционной системы, ответственная за взаимодействие ядра операционной системы с устройствами ввода-вывода (откуда, собственно, и название BIOS). Однако теперь ее можно считать, скорее, своеобразным драйвером материнской платы, играющим роль посредника между «железом» и операционной системой. Вообще же современные BIOS выполняют три основные задачи:

тестирование всего установленного на материнской плате оборудования (за исключением дополнительных плат расширения), в том числе модулей оперативной памяти; эта процедура называется POST (Power On Self Test – самотестирование при включении);

опознание и инициализацию устройств, подключенных к контроллерам, в том числе жестких дисков и приводов компакт-дисков и DVD;

инициализацию загрузки операционной системы.

По указанной причине используемые в настоящее время BIOS имеют несколько десятков настраиваемых параметров, из которых нас пока будут интересовать только имеющие отношение к восстановлению работоспособности системы.

ПРИМЕЧАНИЕ
На самом деле практически все параметрыBIOS в той или иной степени влияют на надежность или восстанавливаемость системыв целом в силу их важности. О том, как восстановить или обновить «испорченную» BIOS, будет рассказано в главе 5.

Для настройки параметров BIOS используется специальная программа – BIOS Setup. Она хранится в том же ПЗУ, что и сама BIOS. Способ активизации BIOS Setup зависит от особенностей материнской платы, но обычно для этого достаточно нажать клавишу Del сразу после завершения (или даже во время выполнения) процедуры самотестирования материнской платы.

Интерфейс BIOS Setup также может быть различным, что определяется в первую очередь фирмой-производителем. На сегодня общепризнанных фирм-производителей BIOS Setup, как ни странно, всего три: American Megatrends Inc (AMI), Award Software International и Microid Research. Причем последние две в настоящее время являются подразделениями компании Phoenix (www.phoenix.com), хотя созданные ими ранее варианты BIOS продолжают сопровождаться под прежними торговыми марками – Award BIOS и MR BIOS соответственно.

Многочисленные параметры BIOS распределены по нескольким разделам (окнам) программы BIOS Setup.

Параметры загрузки системы

Первый интересующий нас параметр определяет набор устройств, с которых разрешена загрузка операционной системы, и последовательность поиска таких устройств в составе компьютера. Параметр входит в раздел, который в программе BIOS Setup от компании Award называется BIOS Features Setup (установка параметров BIOS), а в варианте компании AMI – Advanced CMOS Setup (дополнительные параметры CMOS).

ПРИМЕЧАНИЕ
Аббревиатура CMOS означает complementary metal-oxide semiconductor (комплементарная МОП-структура) и используется для обозначения микросхемыпамяти, в которой хранятся текущие (пользовательские) значения параметров BIOS. CMOS является экономичной, но все-таки энергозависимой памятью, питаемой от специальной батарейки. Отключение батарейки приводит через некоторое время (около 2 часов) к утере содержимого CMOS. Термин CMOS иногда употребляется в качестве синонима BIOS, что не совсем корректно.

Наименование данного параметра и перечень его возможных значений зависят от версии используемой программы BIOS Setup. В некоторых версиях BIOS Setup для указания последовательности просмотра системных устройств применяется набор взаимосвязанных параметров. Ниже рассмотрены некоторые из наиболее распространенных вариантов.

Параметр Boot Sequence (последовательность загрузки). Непосредственно определяет список устройств, с которых разрешена загрузка системы, и последовательность просмотра таких устройств (рис. 3.1). Если устройство, указанное в списке первым, недоступно или имеющийся в нем сменный носитель не содержит системной информации, проверяется второе в списке устройство и так далее. Если ни одно из указанных устройств не способно выполнить загрузку, на экран выводится соответствующее сообщение.

Выбор наиболее подходящего варианта зависит от реальной конфигурации компьютера, а также от типа используемых системных резервных носителей.

СОВЕТ ____________________
Чтобы обеспечить более высокую скорость загрузки в обычном режиме работы, выберите вариант, в котором первым указан жесткий диск; если в качестве системного используется диск с интерфейсом SCSI, то первым в списке лучше указать его. И, разумеется, убедитесь, что не выбран вариант, запрещающий использование альтернативных устройств загрузки (например, C Only).

Следующие два варианта, задающие перечень разрешенных системных устройств, используются совместно.

HDD Sequence SCSI/IDE First (первый по порядку HDD). Возможные значения: IDE или SCSI. Параметр определяет, с какого из жестких дисков, IDE или SCSI, будет загружаться операционная система. При этом следует учитывать, что под диском SCSI понимается любой диск, не подключенный к контроллеру IDE на материнской плате. Поэтому в случае использования внешнего контроллера IDE для загрузки с подключенного к нему диска следует установить значение SCSI.

Removable Device (устройство со сменным носителем). Параметр позволяет указать тип устройства со сменным носителем, с которого следует загрузить операционную систему. Возможные значения:

Legacy Floppy – гибкий диск (дискета);

ATAPI CD-ROM – привод CD-ROM с интерфейсом ATAPI (IDE);

LS-120 – накопитель типа LS-120;

ZIP-100 – накопитель типа Iomega ZIP;

ATAPI MO – магнитооптический накопитель с интерфейсом IDE;

Disabled – загрузка с любого из указанных выше устройств запрещена.

В некоторых версиях BIOS Setup в качестве возможного значения параметра может быть использован вариант ARMD (ATAPI Removable Multimedia Device, то есть «мультимедийное устройство со сменным носителем»).

Следующие три параметра также используются совместно.

IDE Hard Drive (жесткий диск с интерфейсом IDE). Задает жесткий диск, с которого следует загрузить операционную систему. Может принимать значение C, D, E или F.

ATAPI CD-ROM. Указывает, с какого привода CD-ROM будет выполняться загрузка операционной системы. При циклическом нажатии клавиши Enter на экране должны последовательно отображаться имена всех приводов CD-ROM и CD-RW, установленных на компьютере.

Other Boo Device Select (выбор других устройств для загрузки). Позволяет определить устройство для загрузки операционной системы, не заданное в параметрах IDE Hard Drive или ATAPI CD-ROM.

Возможные значения:

Network – загрузка с сетевого сервера;

SCSI Boot Device – загрузка с любого доступного SCSI-устройства;

Disabled – загрузка с сервера или SCSI-устройства не требуется.

Набор параметров, с помощью которых выполняется указание порядка просмотра устройств для загрузки системы, зависит от конкретной версии BIOS Setup. В свою очередь, при выборе значений этих параметров следует учитывать тот реальный набор устройств, пригодных для загрузки системы, которым вы располагаете. Тем не менее при изменении этого набора вы всегда сможете скорректировать и параметры BIOS.

Параметры антивирусной защиты и контроля доступа

Практически все современные BIOS содержат в своем составе средства диагностики и/или защиты системного жесткого диска от вирусов.

BIOS контролирует поведение программ, пытающихся что-либо изменить в системной области диска. Соответственно защита, реализуемая BIOS, направлена в первую очередь против загрузочных вирусов. С помощью BIOS Setup можно разрешить или запретить такую защиту.

Наименования соответствующих параметров также зависят от версии BIOS Setup, но практически везде они входят в раздел BIOS Features Setup (в BIOS от компании Award) или Advanced CMOS Setup (в варианте компании AMI).

Параметр Virus Warning (предупреждение о вирусе). Возможные значения:

Enabled – блокируется любая попытка записи в загрузочный сектор жесткого диска без разрешения пользователя;

Disabled – защита отключена.

Такой же смысл и аналогичные значения имеет другой вариант этого параметра – Anti-Virus Protection (антивирусная защита).

Параметр Boot Virus Detection (обнаружение загрузочных вирусов) также может принимать значение Enabled или Disabled. Однако смысл этого параметра отличается от Virus Warning. Идея заключается в следующем: если установлено значение Enabled, то до загрузки операционной системы BIOS переписывает загрузочный сектор во флэш-память и сохраняет его там. При следующей загрузке BIOS не будет загружать систему с жесткого диска, если содержимое boot-сектора отличается от сохраненного в CMOS. Дальнейшие действия выбираются пользователем: можно загрузить систему либо с жесткого диска (если вы уверены, что произошедшие изменения корректны), либо с системного гибкого диска.

При борьбе с вирусами достаточно важное значение имеет еще одна особенность современных BIOS. Производители BIOS стремятся повысить их адаптивность к быстро изменяющимся «типовым» конфигурациям компьютеров. С этой целью BIOS часто записывается не в ПЗУ, содержимое которого можно изменить только с помощью специального устройства – программатора, а в перезаписываемые микросхемы (flash), содержимое которых можно изменить программно. Разумеется, создатели вирусов не преминули использовать возможность напакостить пользователям, испортив содержимое Flash BIOS. Так вот, при наличии в настройках BIOS параметра Flash BIOS Protection (защита Flash BIOS) его обязательно следует установить в положение Enabled. В этом случае микросхема Flash BIOS будет закрыта для записи.

В некоторых версиях BIOS Setup в разделе параметров BIOS Features Setup присутствует параметр, в определенной степени связанный с защитой от несанкционированного копирования данных. Он называется Floppy Disk Access Control (R/W) (управление доступом к гибкому диску).

Возможные значения:

Enabled – запись информации на гибкий диск разрешена;

Disabled – допускается обращение к гибкому диску только для чтения.

Вы можете также установить средствами BIOS Setup пароль на загрузку системы и/или на доступ к настройкам BIOS. Для этого достаточно выбрать соответствующий пункт в списке разделов BIOS Setup и в дополнительном окне ввести значение пароля. Обычно пункты меню для указания пароля именуются следующим образом:

Setup Supervisor Password (установить пароль супервизора) (рис. 3.2);

Setup User Password (установить пароль пользователя); после установки пароля наименование раздела изменяется на Change User Password (изменить пароль пользователя).

После установки пароля целесообразно вернуться в раздел параметров BIOS Features Setup и установить подходящее значение для параметра Security Setup (параметры защиты):

Setup (установка) – пароль запрашивается при запуске программы BIOS Setup;

System (система) – пароль запрашивается перед загрузкой ОС.

Следует иметь в виду, что для любой BIOS существуют так называемые инженерные пароли, которые имеют более высокий приоритет, чем любой пользовательский пароль. Эти пароли устанавливаются фирмами-производителями BIOS и предназначены, в общем-то, для специалистов из сервисных служб. Однако инженерным паролем может воспользоваться и злоумышленник.

Кроме того, выбранный вами (пользовательский) пароль запоминается в CMOS, как и другие параметры BIOS. Обесточив CMOS, можно тем самым отменить наряду с другими пользовательскими настройками и парольную защиту.

Параметры защиты по питанию

На самом деле такой параметр только один, но в разных версиях BIOS Setup он может иметь разные наименования и разные варианты допустимых значений.

Речь идет о параметре, который в Award BIOS называется State after Power Failure (состояние после аварийного отключения питания). Параметр определяет, что делать с компьютером после аварийного отключения электропитания.

Возможные значения:

Off – после восстановления питания компьютер остается выключенным;

On – после восстановления питания компьютер включается (даже если он ранее был выключен);

Auto, или Last State, – после восстановления питания компьютер переходит в то состояние, в котором был до отключения.

Очевидно, что первый вариант является наиболее безопасным и безболезненным для системы. Особенно в тех случаях, когда имеет место несколько последовательных отключений, а пользователь отсутствует за компьютером.

Поэтому даже если вы используете ИБП, установите параметр State after Power Failure в положение Off.

Установка параметров файловой системы

Несколько упрощая, можно сказать, что файловая система – это часть операционной системы, которая «отвечает» за корректное хранение данных и предоставление доступа к ним пользователю и прикладным программам.

Можно также сказать, что файловая система имеет два лица: одно из них, доброжелательное и несколько простоватое, обращено к человеку. Общаясь с этой стороной файловой системы, пользователь видит только папки и «документы». Причем черты этого «лица» практически одинаковы для всех современных ОС с графическим интерфейсом. Работая в среде Windows 98, Windows XP или даже Linux, мы видим все то же дерево папок, открываем папки и файлы щелчком мыши, перетаскиваем их из одного места в другое и т. д.

Второе лицо файловой системы, суровое и сосредоточенное, изборожденное задумчивыми складками и даже (иногда) шрамами, обращено к «железу» компьютера и к компонентам системного программного обеспечения. Лишь взглянув на файловую систему с этой стороны, вы можете определить, в состав какой ОС она входит.

Более того: одна и та же ОС может поддерживать работу нескольких разнотипных файловых систем. Скажем, для перезаписываемых компакт-дисков в настоящее время используется пять (!) различных типов файловых систем. Так о чем же пойдет речь в данном разделе?

Вначале мы рассмотрим особенности организации файловых систем, используемых при работе с жесткими дисками в среде ОС Windows 98 и Windows XP. Причем с той стороны, которая обращена к «железу».

Затем мы подойдем к файловой системе с другой стороны, то есть со стороны папок и файлов. И поговорим о тех параметрах, которые призваны защищать пользователя от «глупых», «дурацких» и тому подобных ошибок в работе с данными.

Организация хранения данных на жестком диске

В процессе создания на жестком диске файловой системы определенного типа выполняется логическое форматирование диска. Полученная логическая структура зависит, с одной стороны, от особенностей файловой системы, а с другой – от физической структуры диска.

Физическая структура жесткого диска

Жесткий диск хранит информацию блоками фиксированного размера, которые называются секторами. Сектор (sector) является наименьшей порцией данных, имеющей уникальный адрес на жестком диске. Размер сектора стандартный для всех жестких дисков и составляет 512 байт. Для ускорения доступа к данным поверхность диска разделена на концентрические дорожки (track). Сектор, соответственно, является частью дорожки.

Поскольку каждый жесткий диск – это «слоеный пирог» из нескольких дисков, то совокупность дорожек, одинаково удаленных от центра на всех рабочих поверхностях дисков, образует так называемый цилиндр (cylinder). В свою очередь, каждая рабочая поверхность диска «обслуживается» отдельной магнитной головкой. Поэтому часть дискового пространства, соответствующую одной рабочей поверхности, называют головкой (head) (рис. 3.3).

Рис. 3.3. Физическая структура жесткого диска

Таким образом, общая емкость диска (V) вычисляется как произведение четырех сомножителей: числа цилиндров (С), количества секторов на одной дорожке (S), размера одного сектора (512) и числа головок (H):

V = C х S х 512 х H.

В соответствии с ограничениями BIOS предыдущего поколения и контроллеров жестких дисков для кодирования номера цилиндра выделяется 10 двоичных разрядов, для кодирования номера головки – 4 разряда, и для номера сектора – 6 разрядов.

В результате максимальное адресуемое пространство жесткого диска при использовании трех координат (номер цилиндра, номер головки, номер сектора) ограничено значением 528 Мбайт:

(210 = 1024 цилиндра) х (24 = 16 головок) х (26-1 = 63 сектора) х х 512 байт = 528 Мбайт.

Такой способ адресации получил обозначение CHS (Cylinder, Head, Sector); сейчас он обычно именуется «обычным» режимом адресации – Normal, и под таким именем используется, в частности, в параметрах BIOS.

ПРИМЕЧАНИЕ
Обратите внимание, что первый сектор в адресном пространстве CHS имеет номер 1, то есть CHS-адрес этого сектора – (0, 0, 1).

До появления жестких дисков большой емкости (более 528 Мбайт) проблем с адресацией данных на диске не возникало.

Однако с появлением дисков большего объема система адресации CHS была заменена линейной адресацией – LBA (Logical Block Addressing, адресация логических блоков), в которой используется «сквозная» нумерация секторов (блоков) по всем цилиндрам и головкам:

LBA = (Cylinder х Heads + Head) х Sectors + (Sector – 1).

В приведенной выше формуле использованы следующие обозначения:

Cylinder – номер цилиндра;

Heads – количество головок диска;

Head – номер головки, к которой относится адресуемый блок;

Sectors – количество секторов на дорожке;

Sector – номер адресуемого блока (сектора) на дорожке.

При этом нумерация логических блоков начинается с нуля, то есть логический блок с номером 0 в адресации LBA соответствует первому сектору в адресном пространстве CHS (то есть сектору с адресом (0, 0, 1)).

Таким образом, логический блок – это сектор, пронумерованный в соответствии с адресацией LBA.

ПРИМЕЧАНИЕ
При увеличении номера блока в первую очередь меняется номер сектора, потом номер головки, потом номер цилиндра. Отсюда следует, что цилиндры – это самые большие области смежных блоков данных. По этой причине цилиндры являются границами, по которым выравниваются разделы при их создании «вручную» (точнее, с помощью низкоуровневых редакторов дисков).

Благодаря объединению всех двоичных разрядов адреса в номер логического блока адресация LBA позволила увеличить поддерживаемую емкость дисков до 2 Тбайт, а также более гибко изменять размер кластера в зависимости от размера диска.

Кластер (Cluster) – это минимальный участок памяти на диске, который может быть выделен файловой системой при создании файла. Физически кластер представляет собой несколько смежных секторов, число которых должно быть равно степени 2 (то есть кластер может включать 1, 2, 4, 8, 16, 32 или даже 64 сектора).

ПРИМЕЧАНИЕ ____________________
Кластеры нумеруются в пределах одного логического диска, Первый кластер логического диска имеет номер 0. Для каждого логического диска пользователем может быть задан свой размер кластера. Понятие «логический диск» рассмотрено ниже.

Размер кластера существенно влияет на эффективность использования дискового пространства. Например, если размер кластера составляет 32 Кбайт, это означает, что самый маленький файл (скажем, одна буква «Я») будет занимать на диске 32 Кбайт.

При работе с файловой системой (FAT32 или NTFS) пользователь может на этапе логического форматирования диска выбрать размер кластера с учетом емкости диска, задав соответствующий параметр в программе форматирования. В табл. 3.1 приведены возможные варианты.

Существует и еще один метод адресации дискового пространства – LARGE. Он применяется для тех дисков большого объема, которые не поддерживают режим LBA. Метод LARGE заключается в следующем. Если число цилиндров диска превосходит предельное значение 1024, то выбирается коэффициент К, при делении на который оно становится меньше или равно 1024. Например, если число цилиндров больше 1024 и меньше 2048, то К будет равен 2; если число цилиндров лежит в диапазоне от 2048 до 4096, то Кравен 4, и т. д. (Квыбирается равным степени 2). Число головок диска, наоборот, умножается на выбранный коэффициент К. Это не приведет к выходу за пределы адресного пространства, поскольку появление 32-разрядных операционных систем позволило выделять для нумерации головок 8 разрядов вместо 4 (соответственно, максимальный номер головки может быть равен 2⁸ – 1 = 255).

Недостаток метода LARGE состоит в том, что в некоторых версиях BIOS могут использоваться свои алгоритмы пересчета параметров диска, отличающиеся от описанного выше. Вследствие этого жесткий диск на компьютерах с разными BIOS может в режиме LARGE иметь различную геометрию, а это, в свою очередь, может вызвать потерю записанных на диске данных.

Узнать применяемый метод адресации и геометрию установленных на компьютере жестких дисков можно с помощью программы BIOS Setup (рис. 3.4).

Рис. 3.4. Метод адресации и геометрию жестких дисков можно узнать с помощью BIOS Setup

Формирование физической структуры диска, то есть разбиение его на дорожки, цилиндры и секторы, выполняется на этапе низкоуровневого (физического) форматирования. В настоящее время такая операция выполняется производителями дисков, и в большинстве случаев физическая структура не может быть изменена пользователем. В отличие от логической структуры, к описанию которой мы переходим.

Логическая структура жесткого диска

Логическое форматирование жесткого диска выполняется пользователем либо с помощью стандартных (служебных) утилит, поставляемых вместе с операционной системой, либо с помощью специальных сервисных программ от сторонних производителей. Рекомендации по выбору и применению таких программ приведены в разделе «Создание логических дисков и изменение их атрибутов».

В любом случае логическое форматирование диска производится в два этапа:

♦ разбиение диска на разделы;

♦ создание логических дисков и их форматирование.

Сначала о том, что такое раздел и какие существуют типы разделов.

Раздел (Partition) – это часть физического диска, которая после форматирова– ния может использоваться файловой системой как отдельное устройство (исключение составляет так называемый дополнительный раздел, о котором сказано ниже). В простейшем случае весь жесткий диск может быть представлен един– ственным разделом. Особенности использования и допустимые операции по работе с разделом зависят от его типа.

Различают следующие типы разделов.

♦ Основной раздел (Primary Partition), который иногда называют «первичным» разделом, – это часть физического диска, с которой можно работать как с отдельным физическим устройством. Важнейшей особенностью основного раздела является то, что только с раздела такого типа может производиться загрузка операционной системы. Каждый основной раздел имеет собственное имя – букву диска. На одном физическом диске с главной загрузочной записью (о ней будет сказано ниже) можно создать до четырех основных разделов либо три основных раздела и один дополнительный раздел с несколькими логическими дисками.

♦ Дополнительный раздел (Extended Partition), который иногда не очень правильно называют «расширенным», – это специальный раздел, который создается (точнее, может быть создан) на жестком диске с целью преодоления ограничений на максимально допустимое число основных разделов. В отличие от основного раздела, дополнительный раздел не требуется форматировать и ему не назначается буква диска. Вместо этого на дополнительном разделе создается один или несколько логических дисков.

♦ Логический диск – это часть дополнительного раздела, с которой можно работать как с отдельным устройством. Логический диск должен быть отформатирован и ему должна быть присвоена буква диска. Число создаваемых логи– ческих дисков не ограничено (ограничен лишь их суммарный объем: он не должен превышать размера дополнительного раздела, на котором создаются диски). Правда, реальное число доступных логических дисков ограничено числом 26, то есть длиной английского алфавита.

Каждому основному разделу, создаваемому на физическом диске, также ставится в соответствие логический диск. И в дальнейшем операционная система работает именно с логическими дисками, не «опускаясь» до уровня секторов и цилиндров, с которыми работает BIOS.

ПРИМЕЧАНИЕ
Для большей определенности логические диски, соответствующие основным разделам, в документации Windows именуются томами.

И так, на каждом физическом жестком диске компьютера может быть создано несколько разделов, с которых возможна загрузка операционных систем. Причем допустима ситуация, когда на разных томах установлены разнотипные операционные системы.

Возможна и такая конфигурация, при которой компоненты одной ОС распределены по нескольким дискам. В связи с этим введем еще два понятия.

Системный раздел – это раздел, содержащий файлы операционной системы.

Загрузочный раздел – это раздел, содержащий файлы, необходимые для загрузки операционной системы.

ПРИМЕЧАНИЕ
По какой-то загадочной причине в документации Windows системные тома именуются загрузочными и наоборот. В соответствии с этой документацией системный том содержит файлыподдержки оборудования, необходимые для загрузки Windows, а на загрузочном томе размещаются файлыоперационной системыWindows. Причем загрузочный том не обязательно является системным (каково, а?!). Основным признаком системного диска для ОС можно считать наличие в его корневой папке файла boot.ini, который содержит параметрыпроцедурызагрузки установленных ОС. Подробнее о роли файла boot.ini в процессе загрузки системыи поддержании ее работоспособности рассказано в главе 5.

В конфигурации компьютера может иметься несколько загрузочных разделов (например, один – для загрузки Windows 98, второй – для загрузки Windows XP, третий – для загрузки Linux).

Чтобы BIOS могла определить, с какого именно раздела должна выполняться загрузка при включении компьютера, используется признак активности раздела.

Активный раздел – основной раздел, с которого производится загрузка ОС при включении компьютера. Признак активности устанавливается для раздела при его создании, но может быть впоследствии установлен для другого раздела.

Теперь несколько слов о том, как организована и где хранится информация о созданных разделах.

На этапе разбиения диска на разделы в первый сектор диска (цилиндр 0, головка 0, сектор 1) записывается служебная информация, которая, собственно, и делает возможным дальнейшее применение диска «по назначению»:

в начало сектора помещается так называемая главная загрузочная запись – Master Boot Record (MBR). Она содержит программу начальной загрузки BIOS (ROM Bootstrap routine), которая считывает и загружает в оперативную память первый физический сектор активного раздела диска, называемый загрузочным сектором (Boot Sector);

после MBR, начиная с адреса 1BE (в шестнадцатеричном коде), создается таблица разделов (Partition Table), состоящая из 4 строк по 16 байт каждая (вот с чем связано ограничение в 4 основных раздела). Каждая запись в таблице разделов содержит адрес начала и размер раздела на жестком диске, а также информацию о том, является ли раздел активным.

В свою очередь, каждый раздел (кроме дополнительного) также имеет в своем составе служебную область, в которую обязательно входит загрузочная запись раздела – Boot Record (BR). Загрузочные записи логических дисков, входящих в состав дополнительного раздела, помещаются в каждый из них.

Загрузочная запись раздела (и логического диска) располагается в его первом секторе. Как и MBR, она содержит программу загрузки. Только в данном случае имеется в виду загрузка ОС, установленной на данном диске. Если диск не является системным, то при попытке загрузиться с него программа загрузки выдаст сообщение об ошибке.

Кроме того, в BR логического диска имеется своя (дополнительная) таблица разделов, EPT (Extended Partition Table). Если дополнительный раздел содержит несколько логических дисков, то EPT каждого логического диска (кроме последнего) содержит ссылку на EPT следующего логического диска.

Состав других компонентов, относящихся к служебной области раздела (логического диска), зависит от типа файловой системы, под которую он отформатирован.

Bepul matn qismi tugad.

Восстановление данных

Алексей Гультяев

3,7

3 baho

taqriz

Parchani o`qish

10 169,49 s`om

Janrlar va teglar

Ma’lumotlar bazasi

Yo‘lboshchilar

Yosh cheklamasi:

Litresda chiqarilgan sana:

30 dekabr 2008

Hajm:

557 Sahifa 296 illyustratsiayalar

ISBN:

5-469-01360-X

Mualliflik huquqi egasi:

Питер (Айлиб)

Yuklab olish formati:

epub, fb2, fb3, ios.epub, mobi, pdf, txt, zip

Kitobni o'qish: «Восстановление данных»

Введение

От издательства

Глава 1Что имеем – не храним, или Почему теряются данные

Не торопитесь восстанавливать

Рис. 1.1. Файл может «потеряться» в одноименных папках

Виды угроз безопасности информации

Умышленные угрозы

Случайные угрозы

Разновидности вредоносного программного обеспечения

Компьютерные вирусы

Программы-шпионы

Рис. 1.3. «Шпионская» игра

Глава 2Стратегия защиты и восстановления данных

Обеспечение бесперебойного электропитания

Виды защитных устройств

Источники бесперебойного питания

Рис. 2.1. Источники бесперебойного питания: резервный (слева) и линейно-интерактивный (справа)

Виды защитного программного обеспечения

Программы контроля целостности данных

Антивирусные программы

Рис. 2.5. Арсенал пакета Антивирус Касперского

Программные средства разграничения и контроля доступа

Средства идентификации пользователей

Рис. 2.7. Многие приложения поддерживают функцию парольной защиты «своих» файлов

Средства контроля действий пользователя

Средства контроля процессов

Рис. 2.19. Ad-aware умеет сканировать оперативную память, системный реестр и указанные папки

Программные средства сетевой защиты

Системы обнаружения атак

Сетевые сканеры и антиспамеры

Средства криптографической защиты

Глава 3Настройка системных параметров

Правила, которые следует выполнять

Установка параметров BIOS

Основные функции BIOS

Параметры загрузки системы

Параметры антивирусной защиты и контроля доступа

Параметры защиты по питанию

Установка параметров файловой системы

Организация хранения данных на жестком диске

Рис. 3.3. Физическая структура жесткого диска

Логическая структура жесткого диска

Janrlar va teglar

Ushbu kitob bilan o'qiladi

O'xshash kitoblar

Muallifning boshqa kitoblari

Глава 1
Что имеем – не храним, или Почему теряются данные

Глава 2
Стратегия защиты и восстановления данных

Глава 3
Настройка системных параметров