“Лаборатория Касперского” запатентовала еще одну технологию
"Лаборатория Касперского" получила в США патент на технологию, позволяющую обнаруживать несанкционированные изменения данных. Как известно, значительная часть вредоносного ПО внедряется в исполняемые файлы, меняя их содержимое, после чего при их запуске начинает исполняться код с вредоносной функциональностью. Поэтому обеспечение целостности данных остается одной из важнейших задач в сфере компьютерной безопасности. Кроме того, намеренное или случайное несанкционированное изменение данных приводит к их искажениям и потере, а неправомерное изменение программного кода может вести к некорректному исполнению программ.
Для гарантирования целостности файлов используются такие технологии, как хеширование, электронно-цифровая подпись и отслеживание модификации файла по времени последнего изменения. Однако первые два слишком ресурсоемки, чтобы использовать их для обеспечения целостности всех файлов компьютерной системы. Стандартная же реализация третьего метода ненадежна – в последнее время многие вредоносные программы стали менять временные метки на более ранние, чтобы скрыть факт реального изменения файлов. Таким образом, использование стандартных методов проверки целостности сильно перегружает ресурсы системы или может привести к пропуску зараженного файла и дальнейшему распространению вредоносной программы.
Технология "Лаборатории Касперского", разработанная Михаилом Павлющиком, позволяет проверять целостность файлов достоверно, быстро и без значительных затрат ресурсов. Патент на нее зарегистрирован Патентным бюро США 28 апреля 2009 г. под номером 7526516.
Технология основана на том, что специальный перехватчик получает запросы программ на изменение временных меток файла или группы файлов. Перехватчик отмечает такие запросы для каждого файла и хранит эту информацию в базе данных. Впоследствии эта информация передается специальному модулю (обычно являющемуся частью антивирусной программы), способному сравнивать показания счетчика обновлений временных меток и содержание этих меток. Изменение показания счетчика без изменения временной метки сигнализирует о модификации файла и возможном его заражении. Антивирусная программа может инициировать сканирование файла на наличие вредоносного кода или вывод предупреждения об опасности для пользователя.
Таким образом, запатентованный "Лабораторией Касперского" метод и его программная реализация позволяют отследить факт изменения файла и начать проверку с целью не допустить запуск вредоносного кода. Главное преимущество этого метода заключается в его быстроте: проверка файла требует минимальных затрат системных ресурсов. Технология позволяет сделать работу антивирусной программы незаметной для пользователя, при сохранении самого высокого уровня защиты компьютера. Запатентованная технология уже активно применяется в продуктах "Лаборатории Касперского".