1.6.3. Сетевые черви и защита от них

Определения и обозначения

Сетевой червь — вредоносная программа, которая распространяется по компьютерным сетям, обычно создавая свои копии без участия пользователя. В отличие от многих других вредоносных программ, ей не обязательно прикрепляться к документу или ждать запуска заражённого файла. Это понятие помогает распознать угрозу, способную быстро перемещаться между устройствами.

Уязвимость — ошибка или недостаток в программном обеспечении, которым червь может воспользоваться для проникновения на компьютер. Например, из-за ошибки сетевая служба может принять и выполнить специально подготовленные данные. Понимание уязвимостей объясняет, почему обновления программ нужны не только для новых возможностей, но и для защиты.

Антивирусная программа — программное средство, которое обнаруживает, блокирует и удаляет вредоносные программы, в том числе сетевых червей. Она проверяет файлы и действия программ, сопоставляя их с признаками угроз или выявляя подозрительное поведение. Антивирус помогает найти заражение, но его эффективность зависит от актуальности защитных механизмов.

Межсетевой экран — средство контроля сетевых соединений, ограничивающее нежелательный обмен данными между компьютером и сетью. Он может запрещать соединения, которые не соответствуют заданным правилам. Это помогает уменьшить возможности червя для проникновения или передачи копий.

Как это устроено

Сетевой червь отличается от компьютерного вируса способом распространения. Вирус обычно присоединяется к файлу или программе и попадает на другое устройство вместе с ними, поэтому для распространения часто требуется действие пользователя. Червь же может самостоятельно передавать свои копии через сеть. Именно эта самостоятельность позволяет ему заражать компьютеры быстрее и без обычного обмена файлами.

Чтобы найти новые цели, червь анализирует сетевые адреса и проверяет, какие службы доступны на устройствах. Сетевая служба — программа, которая принимает запросы по сети, например для обмена данными. Если червь обнаруживает подходящий компьютер, он пытается связаться с такой службой и найти способ проникновения. Поиск множества адресов увеличивает вероятность встретить устройство с подходящей уязвимостью.

Уязвимость или небезопасная настройка может дать червю возможность отправить специальные данные и добиться выполнения своего кода. Причина в том, что программа или устройство неправильно обрабатывает запрос либо разрешает действие, которое следовало ограничить. Если защита не блокирует такой запрос, вредоносный код получает доступ к компьютеру. Поэтому закрытие уязвимостей и настройка разрешений мешают червю использовать этот путь.

После проникновения червь может запустить свою копию и продолжить поиск других устройств. Каждый новый заражённый компьютер становится дополнительным источником сетевых запросов и копий. Если устройства связаны с одной локальной сетью, распространение может идти одновременно по нескольким направлениям. Так цепочка заражений быстро разрастается, а сеть начинает работать медленнее из-за лишнего обмена данными.

Защита строится из нескольких мер, потому что ни одна из них не перекрывает все пути заражения. Обновления закрывают известные уязвимости, антивирус обнаруживает или удаляет вредоносный код, а межсетевой экран ограничивает подозрительные соединения. Осторожность при работе в сети снижает риск запуска опасных файлов и использования ненадёжных ресурсов. Если заражение уже подозревается, изоляция компьютера помогает остановить дальнейшую передачу копий.

Сетевые черви: особенности и меры защиты

Сопоставляй каждую особенность червя с мерой, которая уменьшает соответствующий риск. Защита работает лучше, когда меры применяются вместе: например, обновлённые программы не заменяют контроль соединений. Если заражение уже возможно, сначала нужно остановить распространение, а затем устранять его причину.

Разбор задач

Задача 1

Программа самостоятельно рассылает свои копии на другие компьютеры в сети. Нужно объяснить, почему её относят к сетевым червям. Сначала выделим описанное действие, затем сопоставим его с характерным признаком вредоносной программы. Важно отличить самостоятельное распространение от переноса программы пользователем.

1. Определяем, что программа создаёт или передаёт собственные копии.
2. Проверяем, что копии попадают на другие устройства именно через сеть.
3. Учитываем, что для этого не требуется обязательное внедрение в другой файл.

Ответ: это сетевой червь, потому что он самостоятельно распространяет свои копии по сети. Такое поведение и является основным признаком червя.

Задача 2

Червь использует уязвимость в сетевой службе, и нужно защитить остальные компьютеры. Действия следует расположить так, чтобы сначала уменьшить риск новых заражений, а затем устранить источник угрозы. Простое удаление файла на одном компьютере не исправит уязвимость в других устройствах.

1. Ограничить сетевое подключение заражённого устройства, чтобы оно не передавало копии.
2. Проверить компьютер антивирусной программой, удалить червя и убедиться, что вредоносная активность прекращена.
3. Установить обновление сетевой службы или программы, устраняющее уязвимость.
4. Проверить остальные компьютеры и обновить их, поскольку они могли стать следующими целями.

Ответ: сначала изолировать заражённое устройство, затем очистить его, закрыть уязвимость обновлением и проверить остальные компьютеры. Такой порядок одновременно ограничивает распространение и снижает вероятность повторного заражения.

Задача 3

В школьной сети несколько компьютеров передают необычно много данных, а антивирус обнаружил червя на одном устройстве. Пользователю важно не пытаться самостоятельно менять сетевые настройки, если он не отвечает за сеть. Администратору нужно выяснить масштаб заражения и остановить обмен копиями, не ограничиваясь одной проверкой.

1. Пользователь сообщает администратору и прекращает работу с подозрительным компьютером; администратор изолирует заражённые устройства от сети.
2. Администратор проверяет сетевой обмен и остальные компьютеры, чтобы определить, не появились ли новые заражения.
3. На заражённых устройствах удаляют червя с помощью защитных средств и проверяют результат.
4. Устанавливают обновления, устраняют уязвимость и настраивают межсетевой экран так, чтобы ограничить нежелательные соединения.

Ответ: пользователь должен быстро сообщить о проблеме и не мешать изоляции устройства, а администратор — локализовать заражение, проверить сеть, очистить компьютеры и закрыть уязвимость. Проверка сети нужна, чтобы не оставить другие заражённые устройства, а обновление и настройки защиты помогают предотвратить повторение ситуации.

Типичные ошибки

Считать червя и вирус одним и тем же неверно: оба вида вредоносны, но червь способен распространяться по сети самостоятельно. Такое смешение возникает потому, что и тот и другой могут заражать компьютеры и причинять вред. Проверь себя вопросом: нужно ли программе внедряться в другой файл или достаточно сетевого соединения для передачи копии?

Полагать, что червь попадает на компьютер только после запуска вложения пользователем, — ошибка. Этот сценарий знаком по опасным файлам, однако червь может использовать уязвимость сетевой службы. Чтобы проверить своё понимание, спроси, может ли устройство получить сетевой запрос без того, чтобы пользователь открывал файл.

Установленный антивирус не гарантирует, что заражения никогда не будет. Иногда защита не распознаёт новую угрозу или не может закрыть программную уязвимость; к тому же устаревшие базы снижают её эффективность. Проверь себя: обновлены ли антивирус и программы, и соблюдаются ли правила осторожной работы в сети?

Удалить подозрительный файл, оставив компьютер подключённым к сети, недостаточно. Пока вредоносная программа активна, она может продолжить передавать копии, а удаление одного файла не всегда устраняет заражение. При подозрении сначала ограничь сетевое подключение и сообщи ответственному за компьютер или сеть, затем выполни проверку.

Связь с другими темами

Для понимания темы нужно знать устройство компьютерной сети, значение сетевого адреса и назначение сетевых служб: червь использует их для поиска целей и обмена данными. Тема связана с компьютерными вирусами, уязвимостями программного обеспечения и защитой информации, но требует отдельно учитывать самостоятельное распространение по сети. Эти знания пригодятся при безопасной работе в локальной сети и Интернете. Они также станут основой для дальнейшего изучения информационной безопасности и настройки защитных средств.

Что запомнить

• Сетевой червь — вредоносная программа, распространяющаяся по сети.
• Для заражения червь может использовать уязвимости программ и небезопасные настройки.
• Заражённый компьютер может стать источником дальнейшего распространения червя.
• Обновления закрывают многие уязвимости, которыми пользуются вредоносные программы.
• Антивирус и межсетевой экран помогают обнаруживать и ограничивать вредоносную активность.
• При подозрении на заражение важно как можно быстрее ограничить сетевое подключение и проверить устройство.