Антивирусный монитор NOD32. Инженерия защитного ПО

NOD32 – антивирус, разрабатываемый компанией Eset еще с 1998 года. До недавнего времени этот продукт был почти не известен в России, где традиционно первые места удерживает «Антивирус Касперского», однако в последнее время все больше пользователей, к коим отношусь и я, выбирают именно этот антивирус. Почему? Да потому что NOD32 сочетает в себе практически все качества, которые предъявляются к идеальному антивирусному средству. Он весьма эффективен, обладает небольшими размерами, почти не загружает операционную систему, не задает лишних вопросов пользователю, легок в настройках, обновляется несколько раз в день и предоставляет отличную функциональность. Ну и самое главное: по результатам тестов, проводимых авторитетнейшим ресурсом Virus Bulletin, NOD32 еще с 1998 года ежегодно получает значок VB100% – это означает, что он сумел выловить и обезвредить все вирусы, на которых проводилось тестирование, без малейшего сбоя. Что интересно, многие другие, значительно более известные антивирусы подобный значок не получали ни разу.

Как и «Антивирус Касперского 6.0», NOD32 предоставляет пользователям целый ряд инструментов для защиты компьютера:

На русскоязычном сайте производителя компании Eset по адресу www.nod32russia.com. Там прямо на главной странице есть ссылка «Скачать демоверсию», по которой вы и найдете дистрибутив этого антивируса для различных операционных систем. Версия для Windows XP занимает примерно 10 мегабайт. Демонстрационная версия обладает всеми возможностями коммерческой версии, но ограничена по времени 30 сутками, в течение которых вы должны принять решение о том, будете ли вы приобретать коммерческую версию. Если в дальнейшем вы решите приобрести коммерческую версию, обращаю ваше внимание на то, что, как и все остальные антивирусы, NOD32 за определенную сумму предоставляет лицензию на свое использование и получение обновлений в течение года или двух (в зависимости от суммы). Лицензия на один год для персональной версии стоит ровно столько же, сколько и соответствующий «Антивирус Касперского», – $39.

В процессе установки NOD32 сразу предлагает начать конфигурировать свои параметры под ваши задачи. На выбор дается несколько режимов:

Вы можете оставить режим «Типичный», выбранный по умолчанию, – он подходит для большинства задач. Далее возникает вопрос о включении режима своевременного обнаружения:

Настройка системы своевременного обнаружения

Система своевременного обнаружения – это обратная связь между вами и компанией-разработчиком. Если у вас на компьютере обнаруживается какая-то зараза, которую по тем или иным причинам фирма Eset хотела бы изучить, вам будет предложено отправить этот файл (или только прицепленный к нему вирус) в лабораторию фирмы – через Интернет, разумеется. На функциональность NOD32 включение или выключение этой системы никак не влияет, просто если ее включить, то вы становитесь как бы добровольным помощником разработчиков, и опыт, полученный компанией при анализе присланной вами заразы, может весьма пригодиться другим пользователям. Если вы не желаете, чтобы с вашего компьютера что-то отправлялось в лабораторию, – выключите систему своевременного обнаружения. Но даже если она будет включена, вы можете заставить систему запрашивать ваше подтверждение при каждой отправке.

Далее следует вопрос о включении резидентного монитора:

Резидентный монитор имеет свои плюсы и минусы. Плюсы – то, что в процессе работы за компьютером идет постоянный контроль выполняемых и прочих программ. И если какая-то зараза все-таки проникнет, она тут же будет обнаружена. Минусы – постоянно сканирующий рабочие программы и файлы монитор несколько замедляет работу компьютера. Поэтому монитор рекомендуется включать для начинающих пользователей, использующих более или менее шустрый компьютер. Продвинутым пользователям, которые что-то понимают в сфере компьютерной безопасности, держать включенным монитор обычно нет необходимости.

Все, далее остается только перезагрузить компьютер, чтобы NOD32 начал свою работу.

Следует отметить, что инсталляция коммерческой версии проходит точно так же, за исключением того, что в момент установки вам предлагают ввести свои лицензионные данные – логин и пароль к программе.

Во время инсталляции NOD32 прописывает свой вызов в параметры загрузки операционной системы. Загруженный NOD32 показывает свой значок в системной области уведомлений, и после щелчка по значку открывается окно центра управления антивируса:

Навигация по центру управления довольно проста: слева выбираете нужный модуль или какой-то из служебных разделов, справа открывается окно с настройками выбранного модуля или раздела.

После первого запуска антивирус сообщит, что его вирусные базы сильно устарели и нуждаются в обновлении через Интернет. Вы можете щелкнуть мышью по разделу «Обновление» и далее нажать кнопку «Обновить сейчас», однако можно этого и не делать, потому что по умолчанию NOD32 настроен так, что он автоматически соединится со своим сервером и скачает все необходимые обновления. Следует иметь в виду, что при первом запуске антивирусу понадобится скачать немаленький объем информации – порядка семи мегабайт, и на диалапе это займет довольно продолжительное время. Процесс обновления будет отражаться в соответствующем окне:

Теперь давайте рассмотрим настройки различных модулей.

Если монитор включен, то в правом окне вы найдете соответствующие данные: количество проверенных с момента запуска монитора файлов, количество инфицированных и очищенных файлов. Механизм монитора достаточно гибко настраивается, поэтому давайте туда заглянем и посмотрим, что к чему, – кнопка «Настройка».

Настройка действия и целей при сканировании

Здесь, в общем-то, лучше ничего не менять. По умолчанию монитор будет проверять файлы при их открытии, выполнении и создании на всех носителях – дискеты, локальные диски и носители, сетевые диски и носители. Если монитор будет заметно тормозить систему, тогда оставьте сканирование только дискет и сетевых устройств. Также имеет смысл нажать кнопку «Расширения» и там снять отметку с опции «Сканировать все файлы» – после этого антивирус будет сканировать не все файлы вашего компьютера, а только те, которые могут подвергнуться заражению. Это также уменьшит торможение работы компьютера из-за постоянно запущенного монитора.

Как известно, далеко не все файлы могут быть заражены. Есть довольно большое количество типов файлов, в которые вирус никак не может внедриться, – например, обычные текстовые файлы, некоторые виды графических файлов и так далее.

«Нет у вас методов против Кости Сапрыкина!» – говорил персонаж фильма «Место встречи изменить нельзя». В фильме против Кости Кирпича Жегловым был применен всего один метод, да и то – не слишком корректный. NOD32 предлагает аж четыре метода сканирования для антивирусного монитора, причем эти методы – весьма эффективны.

«Вирусные базы» – это обнаружение уже известных вирусов по вирусной базе (аналог милицейских ориентирок, о которых я говорил в примере, иллюстрирующем механизм работы антивируса). Чтобы этот метод был эффективен, NOD32 должен иметь возможность обновлять свои базы не реже одного раза в день.

«Эвристический анализ» – это довольно сложный алгоритм, позволяющий обнаруживать неизвестные программе вирусы.

Adware/Spyware/Riskware – включает обнаружение Adware (небольшие программы, которые загружают рекламную информацию из Интернета), Spyware (программы-шпионы, которые могут отправлять персональную информацию в Интернет) и Riskware (инструменты, которые могут быть потенциально использованы).

«Потенциально опасные приложения» – включает обнаружение коммерческих программ, которые могут быть использованы злоумышленниками (например, инструменты для удаленного доступа и администрирования). Этот пункт начинающим пользователям лучше отключить, потому что данный метод может выдавать пугающие предупреждения при запуске самых обычных системных программ.

Здесь задаются действия, которые антивирус будет производить при обнаружении угроз. При работе в штатном режиме лучше задавать вывод окна тревоги с возможностью выбора действий. При этом рекомендуется отметить опцию «Переместить вновь созданные файлы в карантин», чтобы в специальной папке под названием «Карантин» сохранились те зараженные файлы, которые вы приказали удалить, – ну, мало ли что, на всякий случай.

Однако если вы установили NOD32 на вдупель зараженный компьютер, тогда на данной вкладке поставьте пункт «Автоматически очистить», чтобы вас не замучили вопросами. Когда компьютер будет полностью очищен, тогда выберите первый пункт.

На этой вкладке вы можете задать список вариантов действий при тревоге (обычно имеет смысл оставить, например, только «Очистить» и «Удалить»), задать автоматическую загрузку монитора и незамедлительное обновление вирусной базы данных (вот незамедлительное обновление непременно нужно включить).

Данный монитор защищает документы MS Office от макровирусов. Его настоятельно рекомендуется держать включенным, потому что с документами MS Office вирусы пересылаются достаточно часто.

Нажмем кнопку «Настройка» и посмотрим, какие параметры там можно задать. На вкладке «Действия» можно настроить реакцию монитора при обнаружении вирусов в документах:

Настройка действий при обнаружении вирусов

Рекомендуется выставить параметры так, как на скриншоте. Этот вариант действий позволяет, во-первых, не мучить вас лишними вопросами, а во-вторых, все излеченные, а также удаляемые в случае невозможности излечить файлы будут на всякий случай копироваться в карантин, откуда их при необходимости можно будет достать. Впрочем, практика показывает, что если уж NOD32 не смог очистить файл от вируса, то этот файл лучше всего похоронить и забыть о нем навсегда.

Монитор электронной почты обеспечивает проверку входящей и исходящей корреспонденции в почтовых клиентах Microsoft Outlook и Microsoft Exchange Extension. Он достаточно гибко настраивается – давайте посмотрим, что там предлагается:

Входящую почту проверять обязательно, исходящую – желательно (на случай если у вас на компьютере сидит троян и заражает исходящую почту, хотя при наличии работающего NOD32 такое практически невозможно), а вот прочитанную можно не проверять. Тело приложенных к письмам RTF-сообщений проверять нужно, так как там могут содержаться вирусы.

Здесь лучше выставить те параметры, о которых мы уже говорили при настройке монитора проверки документов: при обнаружении вируса попробовать очистить, скопировав на всякий случай зараженное письмо в карантин, а если не удалось очистить, тогда удалить, скопировав оригинальное письмо в карантин.

Это довольно важная настройка. Почтовый монитор умеет добавлять к теме инфицированного (и излеченного) письма специальную строчку, которая покажет вам, что письмо было заражено. Троян не может внедряться в обычный (plain) текст электронного письма, поэтому или прикладывается к письму в виде зараженного файла (выполняемого или архива), или внедряется в виде макроса в письмо формата HTML. Когда антивирус обнаруживает троян, он его уничтожает, оставляя только безопасную текстовую часть письма. Так как обезвреженное письмо почти всегда не несет никакой полезной информации, его можно, не читая, уничтожать средствами почтового клиента. Для этого и нужно добавлять специальную пометку в тему письма, по которой вы сможете сделать в почтовом клиенте правило (фильтр) – что-то вроде: «Если тема письма начинается со строчки "[virus]" – письмо удалить». Поэтому добавление уведомления лучше настроить так, как на рисунке.

В настройке режима работы важен пункт «Обработка инфицированной почты». Я рекомендую зараженные письма вообще удалять, потому что даже вылеченные письма вам никак не понадобятся – их создают вирусы, а не люди. Впрочем, если вы по каким-то причинам хотите сохранять вылеченные письма, выберите настройку перемещения сообщения в специальную папку.

Этот монитор непременно должен быть включен! Он обеспечивает первую линию защиты при работе в Сети с интернет-страничками, файлами, загружаемыми из Интернета, а также при использовании электронной почты. Давайте посмотрим настройки этого монитора.

Протокол POP3 (Post Office Protocol) – это основной используемый протокол электронной почты. (Также для работы с e-mail используется протокол IMAP4, но он довольно специфичен и встречается на несколько порядков реже, чем POP3.) Если включить проверку монитором NOD32 почты, попадающей на компьютер через данный протокол, это позволит вылавливать вирусы при использовании любого почтового клиента, работающего с POP3: MS Outlook Express, The Bat!, Mozilla Thunderbird и так далее. Вам остается только в настройках заставить монитор помечать инфицированные сообщения, после чего создать фильтр для их удаления.

Когда монитор обнаружит в письме вирус, он выдаст вам примерно следующее сообщение:

Здесь, как видите, вы можете на лету выбрать различные варианты действий – например, скопировать письмо в карантин, предоставить в лабораторию Eset на анализ, удалить инфицированный файл, – а также настроить окно предупреждений, для чего нужно просто щелкнуть мышью по опции «Показывать окно предупреждений». Перед вами возникнет отдельное окно настроек предупреждений, где можно отметить соответствующие опции:

Совсем выключить окно предупреждений, как видно из рисунка, монитор не разрешает, однако можно скомандовать ему заткнуться по крайней мере до перезапуска компьютера. Инфицированные файлы (письма), как я уже говорил, лучше просто удалять.

HTTP – это протокол, который используется при работе с интернетовскими страничками. Со страничек также могут исходить различные угрозы – файлы, зараженные вирусами, трояны, вредоносные скрипты, – и данный монитор может обнаруживать и блокировать попытки вторжения и заражения. Здесь, в общем, по умолчанию все настроено правильно, вам может потребоваться только подкорректировать параметры загрузки больших файлов в зависимости от скорости вашего соединения с Интернетом.

Лог (протоколирование) попыток вторжения обязательно нужно вести – это поможет проанализировать, с каких сайтов исходили потенциальные угрозы вашему компьютеру. Исключение каких-то сетевых приложений из обработки монитором нужно делать только в том случае, если наблюдаются проблемы при работе с этими приложениями.

Опцию «Автоматически отображать прогресс загрузки больших файлов» лучше включить, особенно если у вас небыстрый доступ в Интернет. В этом случае монитор сможет отображать прогресс загрузки больших сообщений в системной области уведомлений, причем при необходимости вы можете сделать это окно полупрозрачным:

Опцию «Использовать список известных сайтов с вредоносными файлами» обязательно нужно включить, чтобы монитор мог автоматически блокировать доступ к известным сайтам, содержащим только вредоносный код. Этот список ведется разработчиком антивируса и постоянно обновляется.

Это не монитор, а просто «остановка по требованию» – вызов антивирусного сканера для того, чтобы прошерстить диски, устройства, папки и файлы. Сканер может вызываться отсюда, из центра управления, но его также можно вызвать отдельно: «Пуск – Программы – Eset – NOD32».

В правом окне вам предлагаются четыре кнопки для вызова четырех вариантов сканирования.

1. Локальный. Это быстрое сканирование всех локальных дисков вашего компьютера с заданными параметрами.

2. Запуск NOD32. Запуск сканера с возможностью выбора объектов для сканирования.

3. Дискеты. Быстрое сканирование вставленной дискеты.

4. Глубокий анализ. Тщательное изучение всех файлов на всех локальных устройствах с параметрами, установленными на максимум. Этот вариант занимает больше всего времени.

Давайте нажмем кнопку «Запуск NOD32». При этом загрузится окно сканера и перед вами сначала появится выбор целей сканирования:

Здесь, как видно на рисунке, можно легко и быстро задать диски для сканирования (разделы жесткого диска, сменные носители, сетевые носители), а также конкретные файлы и папки.

На вкладке «Действия» задается последовательность действий антивируса при обнаружении всевозможных угроз:

Настройка действий при обнаружении вируса

По умолчанию выставляется «Предложить действие», но я обычно предпочитаю и при сканировании выставлять такую же последовательность, как и в настройках монитора: очистить с копированием в карантин, а если очистка невозможна – удалить с копированием в карантин.

На вкладке «Настройка» выбираются цели сканирования:

Здесь перед вами открывается широкое поле для настроек. Если речь идет о необходимости «быстро прошерстить» – выбирайте сканирование файлов, загрузочных секторов и системной памяти, а метод диагностики – только вирусная база и Adware/Spywere/Riskware. Для более внимательного изучения желательно включить в диагностику SFX-архивы и упаковщики, а также добавить эвристический анализ. Отмечать все объекты для сканирования и все виды диагностики, в общем, не нужно, потому что это все автоматически включается при запуске глубокого анализа.

Ну и дальше остается только нажать кнопку «Сканировать», и тогда в окне автоматически активизируется вкладка «Лог сканирования», в которой будет демонстрироваться процесс обработки:

В разделе меню левого окна «Логи – Лог вирусов» можно посмотреть, какие вирусы, а также где и когда их обнаружил NOD32:

В меню «Служебные программы» располагаются ссылки на четыре служебные программы.

Тот самый раздел, куда попадают оригиналы зараженных или удаляемых файлов, если вы в настройках задали использование карантина.

Здесь можно, во-первых, посмотреть, какие именно задачи уже запланированы в результате различных установок, а во-вторых, можно добавлять, редактировать и удалять новые задачи. Причем планировщик задач в NOD32 – достаточно мощный и не ограничивается только сканированием компьютера. Если нажать кнопку «Добавить», перед вами появится следующее окно:

Как видите, планировщик может запускать сканирование, обновление, а также любое внешнее приложение. Но нас, разумеется, больше всего интересует именно сканирование по расписанию, поэтому давайте посмотрим, как создать задачу по сканированию компьютера антивирусом в указанное время – например, ежедневно в два часа ночи.

Выбираем «NOD32 – Сканирование» и нажимаем «Далее». Появляется окно, в котором задаче нужно дать имя и указать, как ее выполнять:

Далее задается время старта задачи, а потом указывается, что делать, если задача не будет по каким-то причинам выполнена:

Ну и далее только остается задать, какой профиль настроек задача будет использовать, – в данном случае рекомендуется выбрать глубокое сканирование:

И все, после этого новая задача появляется в списке и вы ее можете включить или выключить, отредактировать и удалить.

Последний пункт меню в служебных программах NOD32 – «Настройки системы»:

В правом окне показаны основные настройки, а если нажать кнопку ниже, появится возможность задать некоторые весьма интересные параметры NOD32.

Здесь, особенно начинающим пользователям, имеет смысл отметить опцию «Включить тихий режим» – чтобы система не выдавала сообщения, не требующие вмешательства пользователя.

Одна из очень полезных возможностей NOD32 – возможность отправки уведомлений о сигналах тревоги и различных важных событиях удаленному администратору: по электронной почте или по локальной сети. Для чего это может быть полезно? Например, вы поставили этот антивирус на компьютер своего знакомого – полного чайника. Включили там тихий режим, чтобы NOD32, как говорится, защищал, но не выступал. При этом вам хотелось бы знать, что там на компьютере происходит, подвергается ли он атакам вирусов и прочей дряни. Так вот, с помощью этой настройки вы можете заставить NOD32 отправлять соответствующие сообщения на ваш электронный адрес (или по сети). Пользователь-чайник никаких раздражающих его воплей от антивируса получать не будет, а вы будете в курсе, что у него происходит.

Ну и на этой вкладке вы можете задать поведение окон сообщений (автоматическое закрытие их через заданное число секунд – вполне полезная опция), а также указать расположение папки карантина (ну или просто посмотреть, где ее искать в случае чего).

На мой взгляд, NOD32 является весьма реальным конкурентом таких известных и распространенных в России антивирусов, как «Антивирус Касперского 6.0», DrWeb, Norton Antivirus. Это уж не говоря о том, что по некоторым параметрам NOD32 заметно превосходит аналогичные программы.

Главное в этом пакете – простота, удобство и гибкость настроек, умение выполнять свою работу без лишних криков-воплей, быстрота, незначительная загрузка компьютера даже при активном мониторе и при всем при этом – высочайшая эффективность защиты! Причем этот антивирус отлично подходит и для начинающих, и для продвинутых пользователей, которые могут настроить его под свои задачи и предпочтения.

На своем компьютере я уже год использую именно NOD32 и его работой чрезвычайно доволен. Кроме того, у меня была возможность протестировать этот антивирус в условиях крайне зараженного компьютера, и он отлично справился с поставленной задачей.

Знаете ли Вы, что любой разумный человек скажет, что не может быть улыбки без кота и дыма без огня, что-то там, в космосе, должно быть, теплое, излучающее ЭМ-волны, соответствующее температуре 2.7ºК. Действительно, наблюдаемое космическое микроволновое излучение (CMB) есть тепловое излучение частиц эфира, имеющих температуру 2.7ºK. Еще в начале ХХ века великие химики и физики Д. И. Менделеев и Вальтер Нернст предсказали, что такое излучение (температура) должно обнаруживаться в космосе. В 1933 году проф. Эрих Регенер из Штуттгарта с помощью стратосферных зондов измерил эту температуру. Его измерения дали 2.8ºK - практически точное современное значение. Подробнее читайте в FAQ по эфирной физике.