Эвристический анализ. Большая энциклопедия нефти и газа

Cтраница 1

Эвристический анализ позволяет определять неизвестные вирусы, но при этом не требует предварительного сбора, обработки и хранения информации о файловой системе. Его сущность заключается в проверке возможных сред обитания вирусов и выявление в них команд (групп команд), характерных для вирусов. При обнаружении подозрительных команд в файлах или загрузочных секторах выдается сообщение о возможном заражении.  

Эвристический анализ, как и рассмотренные выше методы прогнозирования, строится на принципах индуктивной логики, поскольку его центральным понятием является достоверность гипотезы, степени ее справедливости. Очевидно, что повысить степень справедливости эвристической гипотезы в отношении прогноза развития научно-технического прогресса в любых его направлениях можно, учитывая при анализе динамику и тенденции развития научных исследований в этих направлениях науки.  

С помощью эвристического анализа можно для выбранного алгоритма техпроцесса установить наиболее целесообразные сочетания функциональных подгрупп, входящих в состав соответствующих функциональных групп: например, технологический и транспортный роторы, не требующие верхней плиты для установки их на станине.  

Этим мы завершаем наш эвристический анализ звездной спекл-интерферометрии.  

Программой предусматривается возможность проведения эвристического анализа па трех уровнях. При этом исследуются файлы и системные области дисков с целью обнаружения неизвестных вирусов по характерным кодовым последовательностям.  

Второй принцип заключается в эвристическом анализе значимости учитываемых факторов, исходя из практического опыта и интуиции.  

В 1998 г. Создана система визуального эвристического анализа числовых матриц Visual HCA под руководством профф. Неоднократно публиковались доклады на конференциях в Мексике (Китай, Бельгия) и статьи в зарубежных и отечественных журналах. В 2000 г. разработана прикладная система визуального мониторинга данных измерений загрязнения Мехико с применением системы визуального эвристического анализа.  

Реализованный в данной антивирусной программе специальный алгоритм эвристического анализа позволяет выявлять также и файлы, зараженные новыми типами вирусов.  

В ряде случаев такая схема упорядоченных детерминированных расчетов, сопровождаемая глубоким эвристическим анализом, позволяет получить достаточно обоснованные решения и тем самым закончить оптимизацию адсорбционной установки при неполной информации. Но иногда полученные решения могут существенно различаться по своим компонентам. Тогда рекомендуется продолжить оптимизационный расчет по схеме, изложенной ниже.  

Так как мы сейчас уже располагаем точной теорией решений игр, мы обязаны после этого предварительного эвристического анализа дать точный анализ, строго основанный на математической теории.  

Следует подчеркнуть, что исследовательская группа, формируемая для решения той или иной задачи организационного управления, должна уметь использовать формальный математический аппарат и обладать способностью к чисто эвристическому анализу реальных ситуаций.  

Маклорена и что деление произойдет, когда растущее отношение т достигнет критического значения ть 0 14 (см. разд. Из этого эвристического анализа следуют два интересных результата. Во-первых, звезды с М 0 8 MQ достигают главной последовательности и перестают сжиматься, прежде чем в их ядре может произойти деление, вызванное вращением.  

Решение задачи построения множества конфликтных вариантов проводится с помощь ППП оптимального проектирования, входящих в математическое обеспечение автоматизированной системы проектирования. Далее, применяя алгоритмы эвристического анализа, ЭВМ вначале производит ранжировку и выбор конечного числа наилучших вариантов проекта АЛ, потом их диагностику или, наоборот, вначале диагностику, потом выбор. Полученные результаты выдаются на терминальные устройства для того, чтобы проектировщик смог провести окончательную их оценку.  

При решении двухкритериальной задачи следует стремиться обеспечить экстремум линейной комбинации критериев или находить множества Парето и принимать окончательное решение исходя из эвристического анализа этих множеств. Иногда поступают следующим образом. На один из критериев накладывают ограничение и добиваются, чтобы второй критерий принял экстремальное значение.  

Эвристический анализ

Практически все современные антивирусные средства применяют технологию эвристического анализа программного кода. Эвристический анализ нередко используется совместно с сигнатурным сканированием для поиска сложных шифрующихся и полиморфных вирусов. Методика эвристического анализа позволяет обнаруживать ранее неизвестные инфекции, однако, лечение в таких случаях практически всегда оказывается невозможным. В таком случае, как правило, требуется дополнительное обновление антивирусных баз для получения последних сигнатур и алгоритмов лечения, которые, возможно, содержат информацию о ранее неизвестном вирусе. В противном случае, файл передается для исследования антивирусным аналитикам или авторам антивирусных программ.

Технология эвристического анализа

Методы эвристического сканирования не обеспечивают какой-либо гарантированной защиты от новых, отсутствующих в сигнатурном наборе, компьютерных вирусов, что обусловлено использованием в качестве объекта анализа сигнатур ранее известных вирусов, а в качестве правил эвристической верификации – знаний о механизме полиморфизма сигнатур. В то же время, этот метод поиска базируется на эмпирических предположениях, полностью исключить ложные срабатывания нельзя.

В ряде случаев, эвристические методы оказываются чрезвычайно успешными, к примеру, в случае очень коротких программных частей в загрузочном секторе: если, программа производит запись в сектор 1, дорожку 0, сторону 0, то это приводит к изменению раздела накопителя. Но кроме вспомогательной программы FDISK эта команда больше нигде не используется, и потому в случае ее неожиданного появления речь идет о загрузочном вирусе.

В процессе эвристического анализа производится проверка эмулируемой программы анализатором кода. К примеру, программа инфицирована полиморфным вирусом, состоящим из зашифрованного тела и расшифровщика. Эмулятор кода эмулирует работу данного вируса по одной инструкции, после этого анализатор кода подсчитывает контрольную сумму и сверяет ее с той, которая хранится в базе. Эмуляция будет продолжаться до тех пор, пока необходимая для подсчета контрольной суммы часть вируса не будет расшифрована. Если сигнатура совпала - программа идентифицирована.

Другим распространенным методом эвристического анализа, применяемым большой группой антивирусов, является декомпиляция подозрительной программы и анализ ее исходного кода. Исходный код подозрительного файла проходит сверку и сравнение с исходным кодом известных вирусов и образчиков вирусной активности. В случае, если определенный процент исходного кода идентичен коду известного вируса или вирусной активности, файл отмечается как подозрительный, о чем оповещается пользователь.

Недостатки эвристического сканирования

• Чрезмерная подозрительность эвристического анализатора может вызывать ложные срабатывания при наличии в программе фрагментов кода, выполняющего действия и/или последовательности, в том числе и свойственные некоторым вирусам. В частности, распаковщик в файлах, запакованных PE-упаковщиком (Win)Upack вызывает ложные срабатывания целого ряда антивирусных средств, де-факто не признающих такой проблемы. Другой проблемой анализаторов является ошибочное срабатывание при проверке совершенно безобидного кода.

К примеру, скомпилированный с помощью Delphi 7 или Delphi 2007 код:

Program XDC; {$APPTYPE CONSOLE} uses SysUtils; begin if (paramstr (3 ) ="d" ) then begin FileSetReadOnly (paramstr (2 ) ,false ) ; DeleteFile (paramstr (2 ) ) ; end ; end .

Вызывает ложные срабатывания у антивирусов типа Panda (независимо от версии компилятора), Webwasher GateWay (при компиляции Delphi 2007 ), F-Secure (при компиляции Delphi 7 ). Как видно из примера, программа абсолютно безопасна и совершенно отсутствуют какие-либо признаки вредоносного кода и вирусного функционала (весь функционал примера: если в качестве третьего параметра указан ключ «d», программа удаляет файл, указанный во втором параметре).

• Наличие простых методик обмана эвристического анализатора. Как правило, прежде чем распространять вредоносную программу (вирус), ее разработчики исследуют существующие распространенные антивирусные продукты, различными методами избегая ее детектирование при эвристическом сканировании. К примеру, видоизменяя код, используя элементы, выполнение которых не поддерживается эмулятором кода данных антивирусов, используя шифрование части кода и др.

Несмотря на заявления и рекламные проспекты разработчиков антивирусных средств относительно совершенствования эвристических механизмов, эффективность эвристического сканирования на данный момент далека от ожидаемой. Независимые тесты компонентов эвристического анализа показывают, что уровень обнаружения новых вредоносных программ составляет не более чем 40-50% от их числа. (англ.)

• Даже при успешном определении, лечение неизвестного вируса практически всегда является невозможным. Как исключение, некоторыми продуктами возможно лечение однотипных и ряда полиморфных, шифрующихся вирусов, не имеющих постоянного вирусного тела, но использующих единую методику внедрения. В таком случае, для лечения десятков и сотен вирусов может существовать одна запись в вирусной базе, как это реализовано, к примеру, в антивирусе И. Данилова.

См. также

Ссылки

Внешние ссылки

Wikimedia Foundation . 2010 .

Смотреть что такое "Эвристический анализ" в других словарях:

- (эвристика) алгоритм решения задачи, не имеющий строгого обоснования, но, тем не менее, дающий приемлемое решение задачи в большинстве практически значимых случаев. Содержание 1 Определение 2 Применение … Википедия

У этого термина существуют и другие значения, см. Полиморфизм. Полиморфизм компьютерного вируса (греч. πολυ много + греч. μορφή форма, внешний вид) специальная техника, используемая авторами вредоносного программного… … Википедия

Стиль этой статьи неэнциклопедичен или нарушает нормы русского языка. Статью следует исправить согласно стилистическим правилам Википедии … Википедия

Проактивные технологии – совокупность технологий и методов, используемых в антивирусном программном обеспечении, основной целью которых, в отличие от реактивных (сигнатурных) технологий, является предотвращение заражения системы пользователя, а… … Википедия

Эта статья или раздел грубый перевод статьи на другом языке (см. Проверка переводов). Он мог быть сгенерирован программой переводчиком или сделан человеком со слабыми познаниями в языке оригинала. Вы можете помочь … Википедия

Разработчик ОС Windows XP/Vista Лицензия Сайт … Википедия

Скриншот программы Тип … Википедия

OllyDbg … Википедия

Эту статью следует викифицировать. Пожалуйста, оформите её согласно правилам оформления статей. Некоторые модели человеческого поведения в общественных науках предполагают, что поведение людей может быть адекватно опи … Википедия

Эвристический анализ

Слово "эвристика" происходит от греческого глагола "находить". Суть эвристических методов состоит в том, что решение проблемы основывается на некоторых правдоподобных предположениях, а не на строгих выводах из имеющихся фактов и предпосылок. Поскольку такое определение звучит достаточно сложно и непонятно, проще объяснить на примерах различных эвристических методов

Поиск вирусов, похожих на известные

Если сигнатурный метод основан на выделении характерных признаков вируса и поиске этих признаков в проверяемых файлах, то эвристический анализ основывается на (весьма правдоподобном) предположении, что новые вирусы часто оказываются похожи на какие-либо из уже известных. Постфактум такое предположение оправдывается наличием в антивирусных базах сигнатур для определения не одного, а сразу нескольких вирусов. Основанный на таком предположении эвристический метод заключается в поиске файлов, которые не полностью, но очень близко соответствуют сигнатурам известных вирусов.

Положительным эффектом от использования этого метода является возможность обнаружить новые вирусы еще до того, как для них будут выделены сигнатуры. Отрицательные стороны:

Вероятность ошибочно определить наличие в файле вируса, когда на самом деле файл чист - такие события называются ложными срабатываниями

Невозможность лечения - и в силу возможных ложных срабатываний, и в силу возможного неточного определения типа вируса, попытка лечения может привести к большим потерям информации, чем сам вирус, а это недопустимо

Низкая эффективность - против действительно новаторских вирусов, вызывающих наиболее масштабные эпидемии, этот вид эвристического анализа малопригоден

Поиск вирусов, выполняющих подозрительные действия

Другой метод, основанный на эвристике, исходит из предположения, что вредоносные программы так или иначе стремятся нанести вред компьютеру. Метод основан на выделении основных вредоносных действий, таких как, например:

Удаление файла

Запись в файл

Запись в определенные области системного реестра

Открытие порта на прослушивание

Перехват данных вводимых с клавиатуры

Понятно, что выполнение каждого такого действия по отдельности не является поводом считать программу вредоносной. Но если программа последовательно выполняет несколько таких действий, например, записывает запуск себя же в ключ автозапуска системного реестра, перехватывает данные вводимые с клавиатуры и с определенной частотой пересылает эти данные на какой-то адрес в Интернет, значит эта программа по меньшей мере подозрительна. Основанный на этом принципе эвристический анализатор должен постоянно следить за действиями, которые выполняют программы.

Преимуществом описанного метода является возможность обнаруживать неизвестные ранее вредоносные программы, даже если они не очень похожи на уже известные. Например, новая вредоносная программа может использовать для проникновения на компьютер новую уязвимость, но после этого начинает выполнять уже привычные вредоносные действия. Такую программу может пропустить эвристический анализатор первого типа, но вполне может обнаружить анализатор второго типа.

Отрицательные черты те же, что и раньше:

Ложные срабатывания

Невозможность лечения

Невысокая эффективность

Дополнительные средства

Практически любой антивирус сегодня использует все известные методы обнаружения вирусов. Но одних средств обнаружения мало для успешной работы антивируса, для того, чтобы чисто антивирусные средства были эффективными, нужны дополнительные модули, выполняющие вспомогательные функции.

Модуль обновления

В первую очередь, каждый антивирус должен содержать модуль обновления. Это связано с тем, что основным методом обнаружения вирусов сегодня является сигнатурный анализ, который полагается на использование антивирусной базы. Для того чтобы сигнатурный анализ эффективно справлялся с самыми последними вирусами, антивирусные эксперты постоянно анализируют образцы новых вирусов и выпускают для них сигнатуры. После этого главной проблемой становится доставка сигнатур на компьютеры всех пользователей, использующих соответствующую антивирусную программу.

Именно эту задачу и решает модуль обновления. После того, как эксперты создают новые сигнатуры, файлы с сигнатурами размещаются на серверах компании - производителя антивируса и становятся доступными для загрузки. Модуль обновления обращается к этим серверам, определяет наличие новых файлов, загружает их на компьютер пользователя и дает команду антивирусным модулям использовать новые файлы сигнатур.

Модули обновления разных антивирусов весьма похожи друг на друга и отличаются типами серверов, с которых они могут загружать файлы обновлений, а точнее, типами протоколов, которые они могут использовать при загрузке - HTTP, FTP, протоколы локальных Windows-сетей. Некоторые антивирусные компании создают специальные протоколы для загрузки своих обновлений антивирусной базы. В таком случае модуль обновления может использовать и этот специальный протокол.

Второе, в чем могут отличаться модули обновления - это настройка действий, на случай, если источник обновлений недоступен. Например, в некоторых модулях обновления можно указать не один адрес сервера с обновлениями, а адреса нескольких серверов, и модуль обновления будет обращаться к ним по очереди, пока не обнаружит работающий сервер. Или же в модуле обновления может быть настройка - повторять попытки обновления с заданным интервалом определенное количество раз или же до тех пор, пока сервер не станет доступным. Эти две настройки могут присутствовать и одновременно.

Модуль планирования

Второй важный вспомогательный модуль - это модуль планирования. Существует ряд действий, которые антивирус должен выполнять регулярно: в частности, проверять весь компьютер на наличие вирусов и обновлять антивирусную базу. Модуль обновления как раз и позволяет настроить периодичность выполнения этих действий.

Для обновления антивирусной базы рекомендуется использовать небольшой интервал - один час или три часа, в зависимости от возможностей канала доступа в Интернет. В настоящее время новые модификации вредоносных программ обнаруживаются постоянно, что вынуждает антивирусные компании выпускать новые файлы сигнатур буквально каждый час. Если пользователь компьютера много времени проводит в Интернете, он подвергает свой компьютер большому риску и поэтому должен обновлять антивирусную базу как можно чаще.

Полную проверку компьютера нужно проводить хотя бы потому, что сначала появляются новые вредоносные программы, а только потом сигнатуры к ним, а значит всегда есть возможность загрузить на компьютер вредоносную программу раньше, чем обновление антивирусных баз. Чтобы обнаружить эти вредоносные программы, компьютер нужно периодически перепроверять. Разумным расписанием для проверки компьютера можно считать раз в неделю.

Исходя из сказанного, основная задача модуля планирования - давать возможность выбрать для каждого действия расписание, которое больше всего подходит именно для этого типа действия. Следовательно модуль обновления должен поддерживать много различных вариантов расписания из которых можно было бы выбирать.

Модуль управления

По мере увеличения количества модулей в антивирусе возникает необходимость в дополнительном модуле для управления и настройки. В простейшем случае - это общий интерфейсный модуль, при помощи которого можно в удобной форме получить доступ к наиболее важным функциям:

Настройке параметров антивирусных модулей

Настройке обновлений

Настройке периодического запуска обновления и проверки

Запуску модулей вручную, по требованию пользователя

Отчетам о проверке

Другим функциям, в зависимости от конкретного антивируса

Основные требования к такому модулю - удобный доступ к настройкам, интуитивная понятность, подробная справочная система, описывающая каждую настройку, возможность защитить настройки от изменений, если за компьютером работает несколько человек. Подобным модулем управления обладают все антивирусы для домашнего использования. Антивирусы для защиты компьютеров в крупных сетях должны обладать несколько иными свойствами.

Уже не раз говорилось, что в большой организации за настройку и правильное функционирование антивирусов отвечают не пользователи компьютеров, а специальные сотрудники. Если компьютеров в организации много, то каждому ответственному за безопасность сотруднику придется постоянно бегать от одного компьютера к другому, проверяя правильность настройки и просматривая историю обнаруженных заражений. Это очень неэффективный подход к обслуживанию системы безопасности.

Поэтому, чтобы упростить работу администраторов антивирусной безопасности, антивирусы, которые используются для защиты больших сетей, оборудованы специальным модулем управления. Основные свойства этого модуля управления:

Поддержка удаленного управления и настройки - администратор безопасности может запускать и останавливать антивирусные модули, а также менять их настройки по сети, не вставая со своего места

Защита настроек от изменений - модуль управления не позволяет локальному пользователю изменять настройки или останавливать антивирус, чтобы пользователь не мог ослабить антивирусную защиту организации

Это далеко не все требования к управлению антивирусной защитой в крупной организации, а только основные принципы. Подробнее об особенностях антивирусной защиты сетей и требованиях к модулям управления будет рассказано позже в соответствующем разделе.

Карантин

Среди прочих вспомогательных средств во многих антивирусах есть специальные технологии, которые защищают от возможной потери данных в результате действий антивируса.

Например, легко представить ситуацию, при которой файл детектируется как возможно зараженный эвристическим анализатором и удаляется согласно настройкам антивируса. Однако эвристический анализатор никогда не дает стопроцентной гарантии того, что файл действительно заражен, а значит с определенной вероятностью антивирус мог удалить незараженный файл.

Или же антивирус обнаруживает важный документ зараженный вирусом и пытается согласно настройкам выполнить лечение, но по каким-то причинам происходит сбой и вместе с вылеченным вирусом теряется важная информация.

Разумеется, от таких случаев желательно застраховаться. Проще всего это сделать, если перед лечением или удалением файлов сохранить их резервные копии, тогда если окажется, что файл был удален ошибочно или была потеряна важная информация, всегда можно будет выполнить восстановление из резервной копии.

Название этой группы методов происходит от приписываемого Архимеду знаменитого греческого слова «эврика!» - «нашел!», выражающего радость по поводу сделанного им открытия. Эвристические методы основываются на творческом мышлении и знаниях специалистов - экспертов, практическом опыте хозяйственных руководителей, их интуиции, на индивидуальных и коллективных суждениях. Такие методы считаются качественно-логическими, дополняющими формализованные количественные методы анализа. Необходимость их применения обусловлена сложностью и невозможностью четкого математического моделирования многих социально-экономических процессов (хотя многие из таких методов и предусматривают использование математических процедур для обработки исходной информации и результатов логического экспертного анализа).

Все эвристические методы условно можно разделить на экспертные методы и методы активизации творческого мышления (иногда их называют психологическими).

Экспертные методы, опираясь на знания, суждения и опыт специалистов, позволяют решать две группы аналитических задач:

• 1) получение информации о конкретных экономических явлениях и их причинах, о требованиях ключевых заинтересованных сторон бизнеса;
• 2) оценки характерных проявлений устойчивых причинно-следственных связей, прогнозирование возможного развития социально- экономических процессов и обоснование наиболее рациональных для данной ситуации управленческих решений.

Первая группа задач решается при помощи анкетирования, опросов и интервью работников предприятий и представителей других групп стейкхолдеров этих предприятий. Для решения второй группы задач привлекаются высококвалифицированные эксперты-профессионалы. При этом могут использоваться как индивидуальные, так и коллективные методы экспертных оценок.

Индивидуальные методы предполагают использование мнений отобранных специалистов-экспертов, сформулированных каждым из них независимо друг от друга и собранных посредством интервью или анкетирования. Недостаток такого подхода состоит в известной ограниченности знаний отдельных специалистов обо всех аспектах исследуемой проблемы, в приверженности каждого из них какой-то конкретной позиции или научной школе.

Более эффективно применение коллективных методов, основанных на привлечении групп различных экспертов - теоретиков и практиков, хорошо осведомленных о сути проблемы, о специфике смежных отраслей знаний и видов деятельности, имеющих различные точки зрения. Взаимодействие привлекаемых специалистов дает возможность исследовать поставленную проблему с различных сторон. Среди подобных методов наиболее популярен метод комиссий (производственных совещаний, конференций, семинаров и «круглых столов»), позволяющий выработать общую позицию участников с учетом всех обсуждаемых обстоятельств. Недостатком такого метода является то, что принимаемые решения, в силу стремления к компромиссам и психологического давления наиболее авторитетных экспертов, не обязательно отражают их лучшие варианты, предлагаемые отдельными участниками комиссий. Отчасти преодолевается этот недостаток при помощи разделения работы комиссии на два этапа:

• ? общее обсуждение проблемы и свободное высказывание мнений участников;
• ? критический анализ всех высказанных предложений и выработка решений.

В еще большей степени позволяет избегать конформизма экспертов метод Дэлъфи, основанный на проводимом в несколько туров заочном анонимном опросе независимых экспертов (часто даже не знающих о существовании друг друга) с последующей статистической обработкой результатов и выработкой окончательного решения группой аналитиков - организаторов опроса.

Широко известны методы коллективного блокнота и банка идей, позволяющие постепенно накапливать выдвигаемые независимыми экспертами идеи и предложения, удачные типовые решения, практические примеры с возможностью их систематизации и оценки.

Методы активизации творческого мышления направлены на создание психологических условий, позволяющих человеку генерировать новые идеи и искать пути решения различных проблем. Среди подобных способов организации творческого процесса при решении задач экономического анализа наибольшее распространение получил метод «мозгового штурма».

«Мозговой штурм» представляет собой эффективный метод групповой организации аналитической деятельности по решению каких- либо проблем, основанный на раскрепощении творческой активности его участников. Обычно он предусматривает три этапа. Первый этап - четкая формулировка проблемы, требующей решения, и отбор участников творческой группы. Состав участников не должен быть большим, но он должен включать не только специалистов по данному вопросу, но и других заинтересованных лиц, не связанных отношениями подчиненности. Второй этап - генерация идей для решения поставленной проблемы. Особенностью этого этапа является создание условий для максимально свободного творчества при полном отсутствии оценок и какой-либо критики высказываемых предложений. При этом не задаются даже направления поиска идей и критерии их оценки. Главная цель - это максимальное количество выдвигаемых предложений и их возможных сочетаний, все они должны быть зафиксированы. Приветствуются даже фантастические и кажущиеся абсурдными идеи. Продолжительность этого этапа не должна превышать полутора часов, так как после этого творческая активность, как правило, начинает затихать. Третий этап - это выполняемые аналитиками - организаторами «штурма» классификация высказанных предложений, отбор, оценка и разработка различных комбинаций наиболее перспективных идей.

Модификацией метода «мозгового штурма» является метод си- нектики. Сам термин «синектика» означает использование для решения творческих задач соединения в единое целое различных, зачастую разнородных элементов, кажущихся несовместимыми. От классического «мозгового штурма» синектика отличается организацией влияния группы на творческую активность ее членов, определением конкретных приемов выработки идей, допущением критического обсуждения и отсеивания выдвигаемых идей непосредственно на стадии их генерирования. При этом в состав группы должны входить не просто профессионалы, а творческие личности, стремящиеся к соревнованию и готовые отстаивать свои позиции, обладающие различными психоэмоциональными характеристиками (энтузиасты, консерваторы, оптимисты, скептики и т.п.). Характерным для синектики является использование различных вербальных приемов активизации мышления: аналогий (нахождение решений на основе анализа уже решенных аналогичных проблем в других областях, поиск решений в фантастике, мифах, сказках), инверсии (поиск решений «от обратного»), эмпатии (отождествление себя с анализируемым объектом и понимание проблемы на основе собственных ощущений), идеализации (исследование с позиций получения идеального результата). Следует отметить, что для синектической группы экспертов очень важны предварительная подготовка, взаимопонимание и сплоченность, иначе нарастающая критичность обсуждений может просто заблокировать генерацию новых идей.

Морфологический метод. Этот метод основывается на оценке внутренней структуры исследуемого объекта и соответствующей декомпозиции рассматриваемой проблемы на отдельные задачи, подборе возможных решений для каждой из этих задач, их систематизации и синтезировании общего решения проблемы путем комбинирования частных решений.

Теория решения изобретательских задач (ТРИЗ). Изначально целью ТРИЗ было исследование принципов развития технических систем и создание практических методов решения изобретательских задач на основе выявления и устранения противоречий в таких системах для достижения идеального конечного результата. Ныне ТРИЗ превратилась в универсальную методологию анализа разнообразных проблем во многих областях, в том числе и в экономике. Активизация творческого мышления при этом достигается структурированием задач анализа и определенной последовательностью их решения:

• 1) для чего предназначена система, из каких элементов она состоит, каковы их функции и как они взаимодействуют;
• 2) какие связи элементов системы и их функции являются полезными, какие бесполезными, а какие вредными;
• 3) какие элементы, функции и связи можно изменять, а какие изменять невозможно;
• 4) какие возможны варианты изменений элементов системы, их функций и связей;
• 5) какие изменения обеспечивают улучшение функционирования системы в целом, а какие вызывают противоречия в системе и ослабляют ее;
• 6) как осуществить улучшающие изменения при одновременном устранении или минимизации возникающих противоречий.

Для стимулирования творческой активности и организации систематической самостоятельной работы экспертов-аналитиков часто прибегают к выполнению своеобразных правил. Правило 24 предписывает, что все 24 часа в сутки аналитик должен думать об исследуемой проблеме. Правило 25 - для успешного решения поставленной задачи необходимо выдвинуть не менее 25 идей. Правило 26 - в английском алфавите 26 букв, и в качестве подсказки самому себе надо думать, на какую букву будет начинаться ключевое для решения проблемы слово.

Эвристический анализ (эвристическое сканирование) - совокупность функций антивируса, нацеленных на обнаружение неизвестных вирусным базам вредоносных программ. В то же время этот термин обозначает и один из конкретных способов.

Практически все современные антивирусные средства применяют технологию эвристического анализа программного кода. Эвристический анализ нередко используется совместно с сигнатурным сканированием для поиска сложных шифрующихся и полиморфных вирусов . Методика эвристического анализа позволяет обнаруживать ранее неизвестные инфекции, однако, лечение в таких случаях практически всегда оказывается невозможным. В таком случае, как правило, требуется дополнительное обновление антивирусных баз для получения последних сигнатур и алгоритмов лечения, которые, возможно, содержат информацию о ранее неизвестном вирусе. В противном случае, файл передается для исследования антивирусным аналитикам или авторам антивирусных программ.

Технология эвристического анализа

Методы эвристического сканирования не обеспечивают гарантированной защиты от новых, отсутствующих в сигнатурном наборе компьютерных вирусов, что обусловлено использованием в качестве объекта анализа сигнатур ранее известных вирусов, а в качестве правил эвристической верификации - знаний о механизме полиморфизма сигнатур. В то же время, поскольку этот метод поиска базируется на эмпирических предположениях, полностью исключить ложные срабатывания нельзя.

В ряде случаев эвристические методы оказываются чрезвычайно успешными, к примеру, в случае очень коротких программных частей в загрузочном секторе: если программа производит запись в сектор 1, дорожку 0, сторону 0, то это приводит к изменению раздела накопителя. Но кроме вспомогательной программы fdisk эта команда больше нигде не используется, и потому в случае её неожиданного появления речь идёт о загрузочном вирусе.

В процессе эвристического анализа производится проверка эмулируемой программы анализатором кода. К примеру, программа инфицирована полиморфным вирусом, состоящим из зашифрованного тела и расшифровщика. Эмулятор кода считывает инструкции в буфер антивируса, разбирает их на инструкции и производит их исполнение по одной инструкции, после этого анализатор кода подсчитывает контрольную сумму и сверяет её с той, которая хранится в базе. Эмуляция будет продолжаться до тех пор, пока необходимая для подсчета контрольной суммы часть вируса не будет расшифрована. Если сигнатура совпала - программа определена.

Недостатки эвристического сканирования

• Чрезмерная подозрительность эвристического анализатора может вызывать ложные срабатывания при наличии в программе фрагментов кода, выполняющего действия и/или последовательности, в том числе и свойственные некоторым вирусам. В частности, распаковщик в файлах, запакованных PE-упаковщиком (Win)Upack вызывает ложные срабатывания целого ряда антивирусных средств, не признающих такой проблемы.

• Наличие простых методик обмана эвристического анализатора. Как правило, прежде чем распространять вредоносную программу (вирус), её разработчики исследуют существующие распространенные антивирусные продукты, различными методами избегая её детектирование при эвристическом сканировании. К примеру, видоизменяя код, используя элементы, выполнение которых не поддерживается эмулятором кода данных антивирусов, используя шифрование части кода и др.
• Несмотря на заявления и рекламные проспекты разработчиков антивирусных средств относительно совершенствования эвристических механизмов, эффективность эвристического сканирования далека от ожидаемой.
• Даже при успешном определении, лечение неизвестного вируса практически всегда является невозможным. Как исключение, некоторыми продуктами возможно лечение однотипных и ряда полиморфных, шифрующихся вирусов, не имеющих постоянного вирусного тела, но использующих единую методику внедрения. В таком случае, для лечения десятков и сотен вирусов может существовать одна запись в вирусной базе.