Реферат
Віруси та антивірусні програми
Зміст
1. Віруси
а) Що таке вірус
б) Що може і чого не може комп'ютерний вірус
в) Заразитися комп'ютерним вірусом можна тільки в дуже обмеженій кількості випадків
г) Типи вірусів
д) Що робити, якщо зараження вже сталося
2. Методи виявлення вірусів
а) Метод відповідності визначенню вірусів в словнику
б) Метод знаходження підозрілої поведінки програм
в) Метод виявлення за допомогою емуляції
г) Метод «Білого списку»
д) Інші методи виявлення вірусів
3. Важливі зауваження
4. Класифікація антивірусів
5. Антивіруси на SIM, флеш - картах і USB пристроях
1. Віруси
а) Що таке вірус
Комп'ютерні віруси - шкідливі саме поширюються програми; основною ознакою комп'ютерного вірусу є його здатність створювати власні копії (не завжди схожі на оригінал) і впроваджувати їх у виконувані об'єкти (програми, системні області ...)
Шкідливий програмний код, звичайно замаскований під що-небудь привабливе (наприклад, малюнок популярного спортсмена) або корисне і виконує незаплановані або небажані дії, наприклад пошкодження даних.
(Virus - лат.) - Вид програм, що характеризуються здатністю прихованого від користувача саморозмноження для ураження інших програм, комп'ютерів або мереж.
У загальному випадку комп'ютерний вірус - це невелика програма, яка приписує себе в кінець виконуваних файлів, драйверів, або "поселяється" в завантажувальному (BOOT) секторі диска. При запуску заражених програм і драйверів спочатку відбувається виконання вірусу, а вже потім управління передається самій програмі. Якщо ж вірус "оселився" в завантажувальному секторі, то його активізація відбувається в момент завантаження операційної системи з такого диска. У той момент, коли управління належить вірусу, зазвичай виконуються різні неприємні для користувача, але необхідні для продовження життя даного вірусу дії. Це перебування та зараження інших програм, псування даних і т. д. Вірус може також залишитися в пам'яті резидентної і продовжувати шкодити до перезавантаження комп'ютера. Після закінчення роботи вірусу управління передається зараженій програмі, яка зазвичай працює "як ні в чому не бувало", маскуючи тим самим наявність в системі вірусу. На жаль, дуже часто вірус виявляється занадто пізно, коли більшість програм вже заражено. У цих випадках втрати від зловмисних дій вірусу можуть бути дуже великі.
Останнім часом з'явилися так звані макровіруси. Вони передаються разом з документами, в яких передбачено виконання макрокоманд (наприклад, документи текстового редактора Word), звідси і їх назва. Макровіруси представляють собою дії, які наказують переносити тіло вірусу в інші документи, і, по можливості, здійснювати різні шкідливі дії. Найбільшого поширення в даний час набули макровіруси, що заражають документи текстового редактора Word і табличного редактора Excel.
Як проявляють себе віруси
Прояви вірусів досить різні. Це:
1 Значне сповільнення роботи комп'ютера.
2 Несподівана поява на екрані сторонніх фраз.
3 Поява різних відеоефектів (наприклад, перекидання екрану).
4 Зникнення інформації з екрану.
5 Генерація різних звуків.
6 Деякі програми перестають працювати, а інші ведуть себе дуже дивно.
7 На дисках з'являється велика кількість зіпсованих файлів даних, текстових файлів.
8 Разом рушиться вся файлова система на одному з дисків.
9 Операційна система несподівано перестає бачити вінчестер.
10 Довільно змінюється довжина окремих файлів.
11 Несподівані проблеми з 32-х бітним доступом до диска і файлів у Windows 3.11 або Windows 95.
12 Видалення всіх незахищених від стирання файлів користувача і системних файлів
13 Мимовільний необмежений «розгін» відеокарти і процесора, що призводить до їх перегріву і поломки
14 Підміна існуючих драйверів на драйвера, невідповідні до даної системи, що призводить до виникнення великої кількості помилок, уповільнення роботи системи і зупинки роботи важливих сервісних програм
15 Завантаження при підключеному Інтернет-з'єднанні великої кількості непотрібною, небезпечної інформації, сміття та інших вірусів
Різні віруси можуть вести себе по-різному. Деякі тільки розмножуються, не здійснюючи шкідливих дій, інші ж відразу після зараження роблять багато дуже неприємних дій. Є такі, які спочатку ведуть себе непомітно, а по закінченні якогось часу раптом разом псують всі дані (скажімо, форматується вінчестер).
б) Що може і чого не може комп'ютерний вірус
Комп'ютерний вірус може заразити дуже обмежене число файлів. Перерахуємо ці файли. У першу чергу це виконувані файли з розширенням. Com і. Ехе, потім - драйвери пристроїв з розширеннями. Sys і тим же. Ехе. динамічні бібліотеки (розширення dll) і. нарешті, оверлейні модулі виконуваних файлів (як правило, мають розширення. ovl).
Існують віруси, що заражають пакетні. Bat файли, але ці віруси вкрай примітивні і надходять дуже просто: вони вставляють в пакетні файли команди свого виклику. Спіймати такі віруси не становить труднощів.
Також можуть бути піддані зараженню файли документів і шаблонів редакторів, в яких при відкритті документа передбачено виконання макрокоманд. Зокрема, це. Doc і. Dot файли текстового редактора Word,. Xls і, xlt файли табличного редактора Excel.
Ні за яких умов не можуть бути піддані зараженню текстові (. Txt) і графічні файли (. Tif,. Gif,. Bmp тощо), файли даних та інформаційні файли.
в) Заразитися комп'ютерним вірусом можна тільки в дуже обмеженій кількості випадків
Це:
Запуск на комп'ютері виконуваної програми, зараженої вірусом.
Завантаження комп'ютера з дискети, яка містить завантажувальний вірус.
Підключення до системи зараженого драйвера.
Відкриття документа, зараженого макровірусів.
Установка на комп'ютері зараженої операційної системи.
Комп'ютер не може бути заражений, якщо:
На нього переписувалися текстові та графічні файли (за винятком файлів, які передбачають виконання макрокоманд).
На ньому вироблялося копіювання з однієї дискети на іншу за умови, що ні один файл з дискет не запускався.
На комп'ютері проводиться обробка принесених ззовні текстових і графічних файлів, файлів даних та інформаційних файлів (за винятком файлів, які передбачають виконання макрокоманд).
Переписування на комп'ютер зараженого вірусом файлу ще не означає зараження його вірусом. Щоб зараження відбулося потрібно або запустити заражену програму, або підключити заражений драйвер, або відкрити заражений документ (або, природно, завантажитися з зараженої дискети).
Інакше кажучи, заразити свій комп'ютер можна тільки в тому випадку, якщо запустити на ньому неперевірені програми і (або) програмні продукти, встановити неперевірені драйвера і (або) операційні системи, завантажитися з неперевіреною системної дискети або відкрити неперевірені документи, піддані зараженню макровирусами.
Не варто приписувати всі збої в роботі обладнання або програм дії комп'ютерного вірусу. Вірус - це звичайна програма причому невеликого розміру, і вона не може здійснювати ніяких надприродних дій.
г) Типи вірусів
Віруси - супутники. Найбільш примітивний тип вірусів. Для кожного файлу з розширенням. Ехе створюють файл з тим же ім'ям, але з розширенням. Com. містить тіло вірусу. При запуску файлу операційна система спочатку шукає. Com файли, а потім. Ехе файли. Тому спочатку управління отримує вірус, а потім вже він сам викликає необхідний ехе файл.
Файлові віруси. Вражають файли з розширенням. Com,. Ехе, рідше. Sys або оверлейні модулі. Ехе файлів. Ці віруси дописують своє тіло на початок, середину або кінець файлу і змінюють його таким чином, щоб першими отримати управління. Деякі з цих вірусів не дбають про збереження заражає файли, в результаті чого він виявляється непрацездатним, і, що найсумніше, такий файл не можна відновити. Частина цих вірусів залишається в пам'яті резидентної.
Завантажувальні віруси. Вражають завантажувальні сектори дисків. Інфікування нових дисків відбувається в той момент, коли в заражений комп'ютер вставляють нову дискету і починають з нею працювати. Часто вірус не збожеволіє цілком у завантажувального запису, туди пишеться тільки його початок, а продовження тіла вірусу зберігається в іншому місці диска. Після запуску залишаються в пам'яті резидентної.
Віруси, що поєднують в собі властивості файлових і завантажувальних вірусів. Такі віруси можуть вражати як файли, так і завантажувальні сектори.
Віруси DIR *. Цікавий клас вірусів, що з'явився недавно. Ці віруси змінюють файлову систему диска дуже хитрим чином. У таблиці розміщення файлів (FAT) для всіх виконуваних файлів посилання на початок замінюються посиланнями на тіло вірусу. Адреси ж почала файлів в закодованому вигляді містяться в невикористовувані елементи директорії. У результаті, як тільки ви запускаєте будь-яку програму, управління автоматично отримує вірус. Він залишається в пам'яті резидентної і при роботі відновлює правильні посилання на початку файлів. Якщо диск, заражений вірусом DIR, потрапляє на чистий комп'ютер, рахувати з нього дані, природно, виявляється неможливим (читається тільки один кластер). При спробі протестувати файлову структуру - скажімо Norton Disk Doctor - на екран видається повідомлення про величезну кількість помилок, але варто запустити хоч одну програму з зараженого диска, як файлова система відразу ж "відновлюється". Насправді ж відбувається інфікування ще одного комп'ютера.
Макровіруси. Досить оригінальний клас вірусів (хоча вірусами в повному сенсі цього слова їх навіть не можна назвати), що заражає документи, в яких передбачено виконання макрокоманд. При відкритті таких документів спочатку виконуються дії (спеціальні програми високого рівня), що містяться в цьому документі,-макровірус якраз іпредставляет собою таку макрокоманду. Таким чином, як тільки буде відкрито заражений документ, вірус отримає управління і зробить все шкідливий дії (зокрема, знайде і заразить ще не заражені документи).
Механізми захисту вірусів від виявлення
Як правило віруси легко виявляються з особливих ділянках коду тіла вірусу. Правда, останнім часом широкого поширення набули два нових типи вірусів - віруси-невидимки (або стелс-віруси) і самомодіфіцірующіеся віруси (віруси-привиди).
Стелс-віруси (від англійського stealth - Стелс-вірус - вірус, тим чи іншим способом приховує свою присутність в системі.) Реалізують дуже хитрий механізм, що утруднює їх виявлення. При зараженні ці віруси залишаються у пам'яті резидентної і при зверненні до заражених файлів і областях диска підміняють інформацію так, що "замовник" отримує її в незараженою, початковому вигляді. Досягається це перехоплювання звернень DOS і установкою своїх векторів переривань. Побачити такий вірус можна або на незараженою компьетере (наприклад, завантажившись з явно чистої дискети), або в тому випадку, коли програма не користується засобами DOS а прямо звертається до диску.
Віруси-примари маскуються за допомогою іншого механізму. Ці віруси постійно модифікують себе таким. чином ', що не містять однакових фрагментів. Такі віруси зберігають своє тіло в закодованому вигляді і постійно змінюють параметри цієї кодування. Стартова ж частина, що займається декодуванням безпосередньо самого тіла, може генеруватися дуже складним способом. При перенесенні вірусу даного типу з комп'ютера на комп'ютер код вірусу змінюється таким чином, що вже не має нічого спільного зі своїм попереднім варіантом. А частина вірусів може самомодіфіціроваться і в межах одного комп'ютера. Виявлення таких вірусів дуже ускладнене, хоча частина антивірусних програм намагається знаходити їх по дільницях коду, характерним для стартової частини.
* - DIR - Поле у клітинці управління ресурсами, що показує напрямок RM-осередки по відношенню до потоку даних, з яким цей осередок пов'язана. Джерело даних встановлює DIR = 0, одержувач - DIR = 1.
д) Що робити, якщо зараження вже сталося
Стандартні дії при зараженні вірусом
Ви повинні:
Відразу ж вимкнути живлення, щоб вірус перестав поширюватися далі. Єдине, що можна зробити до виключення живлення, - це зберегти результати поточної роботи. Не слід використовувати гарячу перезавантаження (Ctrl + Alt + Del), тому що деякі віруси при цьому зберігають свою активність.
Увійти в SETUP і включити завантаження з диска А:. Заодно рекомендується перевірити правильність всіх установок, включаючи параметри жорстких дисків. Якщо відбулися які-небудь зміни, то необхідно відновити старі значення.
Ні в якому разі не запускати жодної програми, яка знаходиться на жорсткому диску.
Необхідно завантажитися з дискети (вона повинна бути захищена від запису) і запустити по черзі програми-детектори, що знаходяться на дискеті. Якщо одна з програм виявить завантажувальний вірус, то його можна тут же видалити, аналогічно треба вчинити і при наявності вірусу DIR. Врахуйте, що вірусів може бути багато.
Якщо програма-детектор виявить файловий вірус, то можливі два варіанти дій. Якщо у вас
встановлена програма-ревізор з лікуючим модулем, то відновлення файлів краще робити з її допомогою.
Якщо таке програми немає. то необхідно скористатися для лікування одним з детекторів. Зіпсовані файли (якщо, звичайно, вони не текстові і не файли даних) необхідно видалити.
Після того як всі віруси видалені, необхідно заново перенести операційну систему на жорсткий диск (за допомогою команди SYS).
Необхідно перевірити цілісність файлової системи на вінчестері (за допомогою CHKDSK) і виправити всі пошкодження. Якщо таких пошкоджень дуже багато, то перед виправленням файлової структури необхідно спробувати скопіювати найбільш важливі файли на дискети.
Необхідно ще раз перевірити жорсткий диск на наявність вірусів, якщо таких не виявилося, то можна перезавантажитися з вінчестера. Після перезавантаження вінчестера необхідно оцінити втрати від дій вірусу. Якщо пошкоджень дуже багато, то простіше заново переформатувати вінчестер (при необхідності зберігши найважливіші файли).
Необхідно відновити всі необхідні файли і програми з допомогою архіву - і для страковкі, ще раз завантажившись з дискети, протестувати вінчестер. Якщо знову буде виявлений вірус, то-вам не пощастило, ваш архів також заражений вірусом. У цьому випадку ви повинні протестувати весь ваш архів.
Якщо все гаразд, то необхідно перевірити всі дискети, які могли виявитися зараженими вірусом і при необхідності пролікувати їх. Не забудьте тільки відключити завантаження з диска А:.
Після того як вірус дезактивірован, ви можете продовжувати свою роботу. Рекомендується тільки підключити на деякий час одну з програм-фільтрів.
Нестандартні ситуації
Під час вірусної атаки може виникнути ряд нестандартних ситуацій. Розглянемо їх.
Якщо у вас встановлений менеджер диска, то при завантаження з дискети частина дисків може бути недоступна. Тоді необхідно пролікувати спочатку всі доступні на даний момент диски, потім завантажитися з жорсткого системного диска і пролікувати все залишилися логічні диски.
Якщо при завантаженні з дискети з'ясовується, що система просто "не бачити" ваш вінчестер, то швидше за все вірус пошкодив таблицю розбиття жорсткого диска. У цьому випадку необхідно ще раз перевірити установки SETUP і спробувати відновити розбиття за допомогою Norton Disk Doctor (або, якщо ви добре уявляєте собі свої дії, за допомогою Norton Disk Edit). Якщо це не допоможе, то, на жаль, вся інформація з вінчестера втрачена, залишається тільки скористатися програмою FDISK.
Якщо ви зіткнулися з невідомим вірусом, то справа йде трохи складніше. По-перше, ви можете скористатися програмою-ревізором, якщо вона у вас встановлена. Цілком можливо, що вона допоможе знешкодити ваш вірус. Якщо її немає або вона не допомогла, то залишається тільки заново перенести операційну систему, а потім видалити з нього всі виконувані і пакетні файли, драйвери і оверлейні файли, після чого відновити їх з архіву. Можна також скористатися послугами антивірусної швидкої допомоги.
І на закінчення одне зауваження. Не варто приписувати всі ваші неприємності діям вірусу. Говорити ж про дію невідомого вірусу, а тим більше вдаватися до радикальних заходів слід тільки тоді, коли не залишається жодних сумнівів. Варто спочатку спробувати відновити файли, і, тільки якщо це не вдається, видалити їх.
Ситуація, яка склалася зараз в області вірусної безпеки, досить стабільна. Різні організації (крім, звичайно, Інститутські навчальні центри, на яких пробують свої сили юні автори вірусів) піддаються вірусним атакам дуже рідко, - не кажучи вже про індивідуальних користувачів.
2. Методи виявлення вірусів
а) Метод відповідності визначенню вірусів в словнику
Це метод, коли антивірусна програма під час перегляду файлу, звертається до антивірусних баз, що складений авторами програми-антивіруса. У разі відповідності якого або ділянки коду програми, що проглядається, відомому коду (сигнатурі) вірусу в базах, програма антивірус може виконувати одну з наступних дій:
Видалити інфікований файл.
Заблокувати доступ до інфікованій файлу.
Відправити файл в карантин (тобто зробити його недоступним для виконання з метою недопущення подальшого розповсюдження вірусу).
Спробувати відновити файл, видаливши сам вірус з тіла файла.
У випадку неможливості лікування / видалення, виконати цю процедуру при перезавантаженні.
Для того щоб така антивірусна програма успішно працювала впродовж довгого часу, в словник вірусів потрібно періодично завантажувати (зазвичай, через Інтернет) оновлені дані. Якщо пильні і мають схильність до техніки користувачі визначать вірус за гарячими слідами, вони можуть послати заражені файли розробникам антивірусної програми, а вони потім додадуть інформацію про нові віруси у свій словник.
Для багатьох антивірусних програм зі словником характерна перевірка файлів в той момент, коли операційна система створює, відкриває, закриває або посилає їх поштою. Таким чином, програма може виявити відомий вірус відразу після його отримання. Зауважте також, що системний адміністратор може встановити в антивірусній програмі розклад для регулярної перевірки (сканування) всіх файлів на жорсткому диску компьютера.Хотя антивірусні програми, створені на основі пошуку відповідності визначенню вірусу в словнику, за звичайних обставин можуть досить ефективно перешкоджати спалахам зараження комп'ютерів, автори вірусів намагаються триматися на півкроку попереду таких програм-антивірусів, створюючи «олігоморфіческіе», «поліморфічне» та найновіші, «метаморфічні» віруси, в яких деякі частини шифруються або спотворюються так, щоб було неможливо виявити збіг з визначенням в словнику вірусів.
б) Метод знаходження підозрілої поведінки програм
Антивіруси, що використовують метод виявлення підозрілої поведінки програм не намагаються ідентифікувати відомі віруси, замість цього вони простежують поведінку всіх програм. Якщо програма намагається записати якісь дані у виконуваний файл (exe-файл), програма-антивірус може помітити цей файл, попередити користувача і запитати що слід сделать.В даний час, подібні превентивні методи виявлення шкідливого коду, в тому чи іншому вигляді, широко застосовуються як модуль антивірусної програми, а не окремого продукта.Другіе назви: Проактивний захист, Поведінковий блокіратор, Host Intrusion Prevention System (HIPS). На відміну від методу пошуку відповідності визначенню вірусу в антивірусних базах, метод виявлення підозрілої поведінки дає захист від нових вірусів, яких ще немає в антивірусних базах. Проте слід враховувати, що програми або модулі, побудовані на цьому методі, видають також велику кількість попереджень (у деяких режимах роботи), що робить користувача мало сприйнятливим до всіх попереджень. Останнім часом ця проблема ще більш погіршала, оскільки почало з'являтися все більше не шкідливих програм, що модифікують інші exe-файли, незважаючи на існуючу проблему помилкових попереджень. Незважаючи на наявність великої кількості застережливих діалогів, в сучасному антивірусному програмному забезпеченні цей метод використовується все більше і більше. Так, у 2006 році вийшло кілька продуктів, вперше реалізували цей метод: Kaspersky Internet Security, Kaspersky Antivirus, Safe'n'Sec, F-Secure Internet Security, Outpost Firewall Pro, DefenceWall. Багато програм класу файрволл здавна мали в своєму складі модуль знаходження підозрілої поведінки програм.
в) Метод виявлення за допомогою емуляції
Деякі програми-антивіруси намагаються імітувати початок виконання кода кожної нової викликається на виконання програми перед тим як передати їй управління. Якщо програма використовує самоизменяющегося код або проявляє себе як вірус (тобто негайно починає шукати інші exe-файли наприклад), така програма буде вважатися шкідливою, здатною заразити інші файли. Однак цей метод теж рясніє великою кількістю помилкових попереджень.
г) Метод «Білого списку»
Загальна технологія по боротьбі з шкідливими програмами - це «білий список». Замість того, щоб шукати тільки відомі шкідливі програми, це технологія запобігає виконанню всіх комп'ютерних кодів за винятком тих, які були раніше позначені системним адміністратором як безпечні. Вибравши цей параметр відмови за умовчанням, можна уникнути обмежень, характерних для оновлення сигнатур вірусів. До того ж, ті застосування на комп'ютері, які системний адміністратор не хоче встановлювати, не виконуються, тому що їх немає в «білому списку». Так як у сучасних підприємств є безліч надійних додатків, відповідальність за обмеження у використанні цієї технології покладається на системних адміністраторів і відповідним чином складені ними «білі списки» надійних додатків. Робота антивірусних програм з такою технологією включає інструменти для автоматизації переліку та експлуатації дій з «білим списком».
д) Інші методи виявлення вірусів
Ряд інших методів пропонується в дослідженнях і використовується в антивірусних програмах (див. також евристичне сканування).
3. Важливі зауваження
Поширення вірусів по електронній пошті (можливо найбільш численних і шкідливих) можна було б запобігти недорогими і ефективними засобами без установки антивірусних програм, якби були усунені дефекти програм електронної пошти, які зводяться до виконання без відома і дозволу користувача виконуваного коду, що міститься в листах.
Навчання користувачів може стати ефективним доповненням до антивірусного програмного забезпечення. Просте навчання користувачів правилами безпечного використання комп'ютера (наприклад не завантажувати і не запускати на виконання невідомі програми з Інтернету) знизило б вірогідність розповсюдження вірусів і позбавило б від потреби користуватися багатьма антивірусними програмами.
Користувачі комп'ютерів не повинні весь час працювати з правами адміністратора. Якби вони користувалися режимом доступу звичайного користувача, то деякі різновиди вірусів не змогли б розповсюджуватися (або, принаймні, збиток від дії вірусів був би менше). Це одна з причин, по яких віруси в Unix-подібних системах відносно рідкісне явище.
Метод виявлення вірусів по пошуку відповідності в словнику не завжди достатній із-за триваючого створення все нових вірусів, метод підозрілої поведінки не працює досить добре з-за великого числа помилкових рішень про приналежність до вірусів не заражених програм. Отже, антивірусне програмне забезпечення в його сучасному вигляді ніколи не переможе комп'ютерні віруси.
Різні методи шифрування і упаковки шкідливих програм роблять навіть відомі віруси не виявляються антивірусним програмним забезпеченням. Для виявлення цих «замаскованих» вірусів потрібно потужний механізм розпаковування, який може дешифрувати файли перед їх перевіркою. До нещастя, в багатьох антивірусних програмах ця можливість відсутня і, у зв'язку з цим, часто неможливо виявити зашифровані віруси.
Постійна поява нових вірусів дає розробникам антивірусного програмного забезпечення хорошу фінансову перспективу.
Деякі антивірусні програми можуть значно знизити швидкодію. Користувачі можуть заборонити антивірусний захист, щоб запобігти втраті швидкодії, у свою чергу, збільшуючи ризик зараження вірусами. Для максимальної захищеності антивірусне програмне забезпечення повинно бути підключено завжди, незважаючи на втрату швидкодії. Деякі антивірусні програми (як AVG for Windows) не дуже сильно впливають на швидкодію.
Іноді доводиться відключати антивірусний захист при установці оновлень програм, таких, наприклад, як Windows Service Packs. Антивірусна програма, що працює під час установки оновлень, може стати причиною неправильної установки модифікацій або повного скасування установки модифікацій. Перед оновленням Windows 98, Windows 98 Second Edition або Windows ME на Windows XP (Home або Professional), краще відключити захист від вірусів, у іншому разі процес оновлення може завершитися невдачею.
Деякі антивірусні програми насправді є шпигунським ПЗ, яке під них маскується. Краще кілька разів перевірити, що антивірусна програма, яку ви завантажуєте, дійсно є такою. Ще краще використовувати ПО відомих виробників і завантажувати дистрибутиви тільки з сайту розробника.
Деякі з продуктів, використовують декілька ядер для пошуку і видалення вірусів і спайваре. Наприклад в розробці NuWave Software, використовується 4 ядра (два для пошуків вірусів і два для пошуку спайваре).
4. Класифікація антивірусів
Касперський Євген Валентинович використовував наступну класифікацію антивірусів залежно від їх принципу дії (визначального функціональність) [1]:
Сканери (застарілий варіант «полифаги») Визначають наявність вірусу по БД [2], що зберігає сигнатури (або їх контрольні суми) вірусів. Їх ефективність визначається актуальністю вірусної бази і наявністю евристичного аналізатора
Ревізори запам'ятовують стан файлової системи, що робить надалі можливим аналіз змін. (Клас близький до IDS).
Сторожа (монітори) Відслідковують потенційно небезпечні операції, видаючи користувачеві відповідний запит на дозвіл / заборона операції.
Вакцини Змінюють щеплений файл таким чином, щоб вірус, проти якого робиться щеплення, вже вважав файл зараженим. У сучасних (2007) умовах, коли кількість можливих вірусів вимірюється десятками тисяч, цей підхід непридатний.
5. Антивіруси на SIM, флеш-картах і USB пристроях
Випускаються сьогодні мобільні телефони мають широкий спектр інтерфейсів і можливостями передачі даних. Споживачам слід ретельно вивчити методи захисту перш, ніж вставляти будь-які невеликі устройства.Такіе методи захисту, як апаратні, можливо, антивіруси на USB пристроях або на SIM, більше підійдуть споживачам мобільних телефонів. Технічна оцінка та огляд того, як встановити антивірусну програму на стільниковий мобільний телефон, повинні розглядатися, як процес сканування, який може вплинути на інші легальні додатки на цьому телефоні.
Антивірусні програми на SIM з антивірусом, вбудованому в зону пам'яті невеликої ємності, забезпечують боротьбу з шкідливим ПЗ / вірусами, захищаючи PIN і інформацію користувача телефону. Антивіруси на флеш-картах дають користувачеві можливість обмінюватися інформацією і використовувати ці продукти з різними апаратними пристроями.