Анализ принципов функционирования антивирусных программ и алгоритмов обнаружения угроз: всесторонняя курсовая работа

В современном мире, где цифровые технологии пронизывают каждый аспект нашей жизни — от личной переписки до критически важных инфраструктурных систем, — информационная безопасность становится не просто приоритетом, а жизненной необходимостью. По прогнозам, глобальные экономические потери от киберпреступности к 2025 году могут превысить 11 триллионов долларов США, а количество киберугроз растет в среднем на 11% ежегодно. Эти ошеломляющие цифры ярко демонстрируют масштаб проблемы и подчеркивают критическую роль антивирусных программ как первой линии обороны в этом постоянно развивающемся цифровом противостоянии.

Настоящая курсовая работа посвящена всестороннему анализу принципов функционирования антивирусных программ и детальному изучению основных алгоритмов, используемых для обнаружения и нейтрализации компьютерных угроз. В центре нашего внимания — не только то, как работают эти защитные механизмы, но и почему они развивались именно таким образом, постоянно адаптируясь к изощренным тактикам киберпреступников.

Объектом исследования выступают антивирусные программы как комплексные системы защиты, а предметом — их архитектурные решения и алгоритмическая база, лежащая в основе детектирования вредоносного программного обеспечения. Мы обоснуем необходимость глубокого изучения этих механизмов, поскольку без понимания их внутренней логики невозможно эффективно противостоять угрозам завтрашнего дня.

Структура данной работы выстроена таким образом, чтобы обеспечить полное и глубокое погружение в тему: от классификации современных киберугроз и базовых принципов работы антивирусов до детального рассмотрения традиционных и передовых алгоритмов обнаружения, а также эволюции технологий защиты и роли искусственного интеллекта в этой непрекращающейся «гонке вооружений». Цель работы — предоставить студентам технических и IT-вузов исчерпывающее аналитическое руководство, способствующее формированию комплексного понимания архитектуры и функционирования антивирусных систем.

Основные угрозы информационной безопасности и их классификация

Мир цифровых технологий, подобно дикому Западу, полон возможностей и одновременно скрытых опасностей. Каждый день организации и частные лица сталкиваются с угрозами, которые могут подорвать доверие, нанести финансовый ущерб и даже поставить под угрозу национальную безопасность. Понимание природы этих угроз — первый и самый важный шаг на пути к эффективной защите.

Понятие угрозы информационной безопасности и её основные свойства

В самом общем смысле, угроза информационной безопасности (ИБ) — это потенциальная опасность для компьютерных систем, сетей или данных, способная привести к их повреждению, хищению или уничтожению. Фундаментальная цель любой такой угрозы — нарушить одно или несколько базовых свойств информации, на которых строится вся концепция кибербезопасности:

• Конфиденциальность: Обеспечение того, что информация доступна только авторизованным лицам. Нарушение конфиденциальности означает несанкционированный доступ, раскрытие или утечку данных.
• Целостность: Гарантия того, что информация точна, полна и не была изменена несанкционированным образом. Нарушение целостности приводит к искажению, подделке или уничтожению данных.
• Доступность: Обеспечение того, что авторизованные пользователи могут получать доступ к информации и связанным активам тогда, когда это необходимо. Нарушение доступности проявляется в ограничении или полной невозможности доступа к ресурсам.

Эти три столпа, известные как триада CIA (Confidentiality, Integrity, Availability), формируют основу для оценки любой угрозы и разработки защитных мер, ведь без их соблюдения любая система становится уязвимой.

Классификация компьютерных угроз

Многообразие угроз требует их структурированной классификации, что позволяет лучше понять их природу и разработать адекватные стратегии противодействия. Угрозы информационной безопасности можно классифицировать по нескольким ключевым критериям:

1. По степени активности:
   • Пассивные угрозы: Не вносят прямых изменений в систему, но позволяют собирать информацию. Примеры: прослушивание сетевого трафика (сниффинг), анализ остаточных данных.
   • Активные угрозы: Напрямую воздействуют на систему, изменяют данные, нарушают работу или получают несанкционированный контроль. Примеры: заражение вирусами, DDoS-атаки, модификация файлов.
2. По происхождению:
   • Случайные угрозы: Результат непреднамеренных ошибок, сбоев оборудования, программного обеспечения или человеческого фактора (например, случайно удаленные файлы, неправильная конфигурация).
   • Умышленные угрозы: Целенаправленные действия злоумышленников, направленные на причинение вреда или извлечение выгоды. Большинство кибератак попадают в эту категорию.
   • Естественные угрозы: Вызваны природными или техногенными событиями, не зависящими от человека (ураганы, наводнения, пожары, землетрясения, сбои в электроснабжении). Хотя они не связаны напрямую с киберпреступностью, их последствия могут привести к потере данных и недоступности систем.
3. По расположению первоисточника:
   • Внутренние угрозы: Исходят изнутри организации. Включают инсайдерские действия сотрудников (как умышленные, так и неумышленные ошибки), нарушения политик безопасности, неконтролируемое использование личных устройств (BYOD).
   • Внешние угрозы: Исходят извне периметра организации. К ним относятся хакерские группировки, анонимные пользователи, государственные спецслужбы, кибертеррористические организации.
4. По объекту воздействия:
   • Нарушение конфиденциальности (незаконный доступ к данным).
   • Нарушение целостности (изменение и искажение данных).
   • Нарушение доступности (ограниченность или невозможность доступа).
5. По способам воздействия:
   • Информационные: Незаконные действия с данными (копирование, удаление, модификация).
   • Программные: Внедрение вредоносного ПО (вирусы, закладки, трояны).
   • Физические: Уничтожение оборудования, кража носителей информации, повреждение инфраструктуры.
   • Организационно-правовые: Несоблюдение требований безопасности, отсутствие необходимых политик и регламентов.

Виды современных кибератак и вредоносного ПО

Современный ландшафт угроз чрезвычайно разнообразен и постоянно эволюционирует. Ниже приведен детальный обзор наиболее распространённых видов кибератак и вредоносного ПО:

• Хакерские атаки: Общий термин, охватывающий множество методов. К ним относятся:
  • Фишинг: Попытки обманным путем получить конфиденциальные данные (логины, пароли, данные банковских карт), маскируясь под доверенный источник (например, банк, социальная сеть).
  • Атаки с подбором паролей (брутфорс): Последовательный перебор всех возможных комбинаций символов или использование словарей для угадывания паролей.
  • DDoS-атаки (Distributed Denial of Service): Распределенные атаки типа «отказ в обслуживании», направленные на перегрузку целевой системы или сети потоком запросов, делая ее недоступной для легитимных пользователей.
  • Атаки «человек посередине» (MitM, Man-in-the-Middle): Злоумышленник перехватывает и, возможно, изменяет коммуникацию между двумя сторонами, которые считают, что общаются напрямую.
  • SQL-инъекции: Внедрение вредоносного SQL-кода в поля ввода веб-приложения для манипулирования базой данных, получения несанкционированного доступа или кражи данных.
  • Межсайтовый скриптинг (XSS, Cross-Site Scripting): Внедрение вредоносного клиентского скрипта в веб-страницы, просматриваемые другими пользователями, для кражи сессионных куки, обхода механизмов безопасности.
  • Сетевая разведка (сниффинг пакетов): Перехват и анализ сетевого трафика для получения конфиденциальной информации.
  • IP-спуфинг: Подмена IP-адреса отправителя в сетевых пакетах для маскировки личности злоумышленника или обхода фильтров.
  • Переполнение буфера: Эксплуатация программной ошибки, при которой программа пытается записать больше данных в буфер, чем он может вместить, что может привести к выполнению произвольного кода.
  • Использование уязвимостей в ПО: Эксплуатация известных или неизвестных (0-day) уязвимостей в операционных системах и приложениях.
  • Спуфинг: Собирательный термин для атак, при которых злоумышленник маскируется под другого человека, компанию или объект. Разновидности включают подмену адреса электронной почты (email spoofing), ARP-спуфинг, подмену DNS, веб-сайтов, SMS (SMS spoofing) и идентификатора звонящего (caller ID spoofing).
• Вредоносное программное обеспечение (ВПО): Любое ПО, созданное с злонамеренными целями.
  • Вирусы: Самовоспроизводящиеся программы, внедряющиеся в другие программы или документы, способные наносить вред файлам и системе.
  • Черви: Самостоятельные вредоносные программы, распространяющиеся по сети без участия пользователя, заражая другие компьютеры.
  • Троянские программы: Маскируются под легитимное ПО, но содержат скрытые вредоносные функции (например, бэкдоры, шпионское ПО).
  • Руткиты: Наборы программ, скрывающие присутствие вредоносного ПО в системе, перехватывая системные вызовы и подменяя информацию.
  • Шифровальщики (ransomware): Блокируют доступ к данным или системе, требуя выкуп за их восстановление.

Детальный разбор крупных кибератак (Petya, WannaCry):

В 2017 году мир столкнулся с двумя беспрецедентными по масштабу кибератаками — WannaCry и NotPetya (также известный как Petya, ExPetr). Обе эти атаки использовали эксплойт EternalBlue, разработанный Агентством национальной безопасности США и похищенный группировкой Shadow Brokers. EternalBlue использовал уязвимость в реализации протокола SMBv1 (Server Message Block) в операционных системах Microsoft Windows, что позволяло удаленно выполнять код.

• WannaCry (май 2017 г.): Это был классический вирус-вымогатель, который шифровал файлы на компьютере жертвы и требовал выкуп в биткойнах за их расшифровку. Он быстро распространился по всему миру, поразив сотни тысяч компьютеров в более чем 150 странах, включая больницы, телекоммуникационные компании и государственные учреждения. Его быстрое распространение стало возможным благодаря использованию EternalBlue для заражения компьютеров в локальной сети без какого-либо взаимодействия с пользователем.
• NotPetya (июнь 2017 г.): Появившийся вскоре после WannaCry, NotPetya изначально выглядел как вирус-вымогатель из семейства Petya. Однако вскоре стало ясно, что он, по сути, является «вайпером» (wiper) — программой, предназначенной для уничтожения данных, а не для их шифрования с целью выкупа. Несмотря на требование выкупа, NotPetya не предусматривал механизма восстановления файлов после оплаты, эффективно стирая данные на жестком диске. Он распространялся не только через EternalBlue, но и через инструментарий управления Windows (WMI) и PsExec, что позволяло ему двигаться по сетям, даже если уязвимость SMBv1 была закрыта. Атака NotPetya нанесла огромный ущерб, особенно в Украине, где она парализовала правительственные учреждения, банки, энергетические компании и аэропорты.

• Целевые APT-атаки (Advanced Persistent Threat): Сложные, многоэтапные атаки, направленные на незаметную и длительную кражу конфиденциальных данных или выполнение других злонамеренных задач. Они характеризуются высокой степенью целевой направленности, использованием разнообразных инструментов и техник, а также длительным нахождением в скомпрометированной системе, часто оставаясь незамеченными в течение месяцев или даже лет.
• Угрозы на уровне хост-систем и рабочих станций: Могут привести к установке вредоносного ПО, удаленному выполнению кода, обходу локальных механизмов авторизации и захвату привилегированных учетных записей.

Актуальная статистика и источники информации об угрозах

Масштаб проблемы киберугроз постоянно растет. По данным исследований, количество киберугроз увеличивается в среднем на 11% ежегодно. Глобальные экономические потери от киберпреступности к 2025 году могут превысить 11 триллионов долларов США. Эти цифры подчеркивают острую необходимость в постоянном мониторинге и адаптации защитных стратегий.

Для получения актуальной и достоверной информации об угрозах информационной безопасности специалисты и исследователи обращаются к авторитетным источникам. В России одним из ключевых ресурсов является Банк данных угроз безопасности информации Федеральной службы по техническому и экспортному контролю (ФСТЭК). Этот ресурс предоставляет актуальный перечень угроз, их характеристики и рекомендации по противодействию, являясь незаменимым инструментом для формирования комплексной системы защиты. Международные источники включают отчеты от ведущих антивирусных компаний (Лаборатория Касперского, ESET, Symantec), а также публикации от организаций, таких как ENISA (Европейское агентство по сетевой и информационной безопасности) и NIST (Национальный институт стандартов и технологий США).

Понимание этих угроз, их классификация и постоянный мониторинг их эволюции являются основой для разработки эффективных антивирусных решений и стратегий информационной безопасности.

Базовые принципы функционирования и архитектура антивирусных программ

Антивирусные программы стоят на страже цифровых границ, защищая наши системы от постоянно меняющегося ландшафта угроз. Понимание их внутренней работы, от фундаментальных принципов до сложных архитектурных решений, является ключом к оценке их эффективности и разработке новых, более совершенных систем. Без понимания внутренних механизмов, сложно оценить, насколько эффективно система защищает нас от постоянно эволюционирующих киберугроз.

Определение и цели антивирусных программ

Антивирусная программа — это специализированное программное обеспечение, разработанное для обнаружения, предотвращения, блокировки и удаления вредоносного программного обеспечения (ВПО), включая вирусы, черви, троянские программы, шпионское ПО, рекламное ПО и другие виды киберугроз.

Главная цель антивируса выходит за рамки простого удаления вредоносного кода. Она включает:

• Защиту компьютера: Обеспечение бесперебойной и безопасной работы операционной системы и аппаратного обеспечения.
• Защиту личной и корпоративной информации: Предотвращение несанкционированного доступа, кражи, изменения или повреждения конфиденциальных данных.
• Обеспечение целостности данных: Сохранение исходного, неизменного состояния файлов и системных компонентов.
• Поддержание доступности ресурсов: Предотвращение блокировки доступа к системам и данным, вызванной вредоносным ПО.

По сути, антивирус выступает в роли цифрового стража, который не только обезвреживает проникшего врага, но и активно предотвращает его появление.

Фундаментальные принципы многоуровневой защиты

Современные антивирусные решения отошли от монолитного подхода и строятся на многоуровневой системе защиты, которая охватывает весь жизненный цикл угрозы. Эта система включает следующие фундаментальные принципы:

1. Превентивная защита (Проактивная): Направлена на предотвращение проникновения угроз в систему или их активации. Это первая линия обороны, цель которой — остановить угрозу до того, как она сможет нанести вред. Методы превентивной защиты включают:
   • Блокировку доступа к вредоносным веб-сайтам.
   • Фильтрацию электронной почты и блокировку фишинговых писем.
   • Контроль запуска программ и их активности.
   • Защиту от эксплойтов, использующих уязвимости в ПО.
2. Детективная защита: Фокусируется на обнаружении угроз, которые уже проникли в систему, но еще не активированы или находятся на стадии подготовки к атаке. Это «разведка» внутри периметра. Примеры:
   • Сигнатурный анализ файлов.
   • Эвристический и поведенческий анализ подозрительных объектов.
   • Сканирование системы по расписанию или по запросу пользователя.
3. Реактивная защита: Применяется после того, как угроза была обнаружена и, возможно, уже нанесла ущерб. Ее цель — устранить последствия заражения, нейтрализовать вредоносное ПО и восстановить систему. Примеры:
   • Удаление зараженных файлов.
   • Помещение подозрительных файлов в карантин.
   • Лечение зараженных файлов.
   • Восстановление поврежденных системных файлов и реестра.
4. Предиктивная защита (с использованием ИИ и облачных технологий): Представляет собой следующий уровень превентивной защиты, использующий машинное обучение и аналитику больших данных для прогнозирования и предотвращения атак на основе анализа глобального ландшафта угроз и паттернов поведения.

Архитектура антивирусного движка и его компоненты

Сердцем любой антивирусной программы является антивирусный движок, который представляет собой сложную систему взаимосвязанных компонентов, работающих на различных уровнях операционной системы. Понимание этой архитектуры позволяет оценить глубину и сложность защитных механизмов.

Основные компоненты антивирусного движка:

1. Детектирующее ядро (AV-engine): Центральный компонент, ответственный за анализ файлов, процессов и сетевого трафика. Оно обрабатывает данные, собранные сенсорами, и выносит вердикт об их безопасности. Именно здесь реализуются основные алгоритмы обнаружения: сигнатурный, эвристический, поведенческий анализ и методы машинного обучения.
2. Сигнатурные базы: Хранилище данных, содержащее уникальные фрагменты кода (сигнатуры) известных вредоносных программ, а также алгоритмы их идентификации. Эти базы нуждаются в регулярном, а порой и ежечасном обновлении, поскольку ежедневно появляются тысячи новых угроз. Например, продукты «Лаборатории Касперского» обновляются в среднем 18,5 раз в день (каждые 1,5 часа), что подчеркивает динамичность борьбы с вредоносным ПО.
3. Сенсоры (мониторы): Компоненты, которые перехватывают и отслеживают активности объектов в системе в реальном времени. Они могут работать на разных уровнях:
   • Файловые сенсоры: Мониторинг операций с файлами (чтение, запись, изменение, создание, удаление).
   • Сетевые сенсоры: Анализ входящего и исходящего сетевого трафика.
   • Процессные сенсоры: Отслеживание запуска, завершения и активности процессов.
   • Системные сенсоры: Мониторинг изменений в реестре, автозапуске, системных службах.
4. Ядра (движки обработки событий): Компоненты, которые собирают события с сенсоров, коррелируют их и передают данные детектирующему ядру для принятия решений. Они формируют «картину происходящего» в системе.
5. Драйверы, работающие в пространстве ядра ОС: Эти компоненты выполняют команды детектирующего ядра на самом низком уровне операционной системы, обеспечивая максимальную эффективность и контроль. Они могут завершать вредоносные процессы, удалять файлы, перемещать их в карантин или блокировать подозрительные действия, минуя ограничения пользовательского пространства.

Примеры архитектурных решений:

• Kaspersky Security для Linux Mail Server демонстрирует модульный подход, включающий:
  • Фильтр: Получает и передает сообщения.
  • Klms-watchdog: Основной компонент обработки сообщений, состоящий из:
    • AV-engine: Модуль антивирусной проверки.
    • AS-engine: Модуль антиспамовой проверки.
    • AP-engine: Модуль антифишинговой проверки.
  • Updater: Модуль обновления антивирусных баз.
  • Backup: Хранилище для резервных копий и карантина.
  • Auth: Модуль взаимодействия с системами учета.

  В данном примере видна специализация движков для различных типов угроз (вирусы, спам, фишинг), что повышает точность и скорость обработки.

• Dr.Web Security Space также использует комплексный подход, включая:
  • Антивирус: Основной комподуль для обнаружения и нейтрализации ВПО.
  • Защита от вымогателей: Специализированный модуль для противодействия ransomware.
  • Защита от эксплойтов: Предотвращение использования уязвимостей.
  • Поведенческий анализ: Мониторинг действий программ для выявления подозрительной активности.

Постоянный мониторинг активности в системе является краеугольным камнем работы антивирусов. Компонент «Мониторинг системы» (например, в Kaspersky Endpoint Security) анализирует поведение программ на основе «шаблонов опасного поведения» (Behavior Stream Signatures), представляющих собой последовательности действий, классифицируемых как опасные. Это позволяет выявлять даже неизвестные угрозы, основываясь на их злонамеренных намерениях.

Проблемы эффективности антивирусных программ

Несмотря на все достижения, антивирусные программы сталкиваются с рядом вызовов, которые влияют на их эффективность и удобство использования:

1. Ложные срабатывания (False Positives): Ситуации, когда легитимная программа или файл ошибочно идентифицируется как вредоносный. Это может привести к удалению или блокировке важных данных, нарушению работы системы или ошибкам в работе приложений. Ложные срабатывания особенно характерны для эвристических и поведенческих методов анализа из-за их вероятностного характера.
2. Избыточное потребление вычислительных мощностей: Антивирусы, особенно при активном сканировании или использовании сложных алгоритмов анализа в реальном времени, могут создавать значительную нагрузку на ресурсы компьютера. Это проявляется в:
   • Замедлении загрузки веб-сайтов: На 11–16%.
   • Замедлении запуска приложений: На 9–15%.
   • Замедлении установки ПО: На 26–35%.
   • Замедлении копирования файлов: На 7–18%.

   Например, встроенный антивирус Windows Defender, хотя и является удобным решением, может замедлять установку приложений до 54%. Встречаются также специфические ошибки, как, например, в Microsoft Defender на процессорах Intel Core 8-го – 11-го поколений, которые приводили к значительному снижению производительности системы из-за чрезмерного расходования ресурсов, демонстрируя, что даже крупные производители сталкиваются с проблемами оптимизации.

Поиск баланса между всеобъемлющей защитой и минимальным влиянием на производительность системы является одной из ключевых задач для разработчиков антивирусного ПО. Эта «плата за безопасность» постоянно стимулирует инновации в области оптимизации алгоритмов и архитектурных решений.

Алгоритмы обнаружения вредоносного ПО: традиционные и современные методы

Эффективность антивирусной программы напрямую зависит от арсенала алгоритмов, которые она использует для выявления и нейтрализации угроз. На протяжении десятилетий эти методы совершенствовались, адаптируясь к меняющимся тактикам киберпреступников. Рассмотрим ключевые из них.

Сигнатурный анализ

Сигнатурный анализ является исторически первым и до сих пор одним из самых распространенных методов обнаружения вредоносных программ. Его принцип прост, но эффективен против уже известных угроз.

• Принцип работы: Метод основан на проверке объекта (файла, процесса, сектора диска) на наличие так называемых сигнатур — уникальных последовательностей байтов или контрольных сумм, которые однозначно идентифицируют известную вредоносную программу.
• Процесс создания сигнатур:
  1. Обнаружение вируса: Исследователи в антивирусных лабораториях обнаруживают новую вредоносную программу.
  2. Анализ кода: Проводится глубокий анализ кода вируса для выявления его уникальных фрагментов, которые не встречаются в легитимных программах.
  3. Выделение сигнатуры: Выделяется непрерывная конечная последовательность байтов, достаточная для однозначной идентификации угрозы, но при этом минимизирующая вероятность ложных срабатываний.
  4. Добавление в базу данных: Полученная сигнатура добавляется в постоянно обновляемую антивирусную базу данных.
• Оптимизация баз: Для снижения размера вирусных баз при сохранении однозначности обнаружения часто используются контрольные суммы (хеши). Вместо хранения полной сигнатуры, антивирус может хранить ее хеш-значение. При проверке файла вычисляется его хеш и сравнивается с хешами в базе.
• Преимущества:
  • Высокая точность обнаружения известных угроз.
  • Низкая вероятность ложных срабатываний для уже каталогизированных вирусов.
  • Возможность лечения инфицированных файлов (удаление вирусного кода, восстановление оригинального состояния).
• Ограничения:
  • Неэффективность против новых угроз: Сигнатурный сканер бессилен против вирусов, которых еще нет в базе данных (так называемые «0-day» угрозы).
  • Обход полиморфизмом и упаковщиками: Полиморфные вирусы изменяют свой код при каждом заражении, что делает их сигнатуру уникальной и затрудняет обнаружение. Упаковщики (программы для сжатия и шифрования исполняемого кода) также скрывают истинную сигнатуру.
• Необходимость обновлений: Антивирусная база нуждается в периодическом обновлении для поддержания актуальности. Частота обновлений варьируется: для домашних компьютеров рекомендуется обновлять раз в неделю, для серверов компаний — ежедневно или чаще. Например, «Лаборатория Касперского» обновляет свои базы до 18,5 раз в день, что составляет примерно каждые 1,5 часа.

Эвристический анализ

В ответ на появление новых и изменяющихся угроз, а также для обнаружения неизвестных вирусов, был разработан эвристический анализ. Этот метод выходит за рамки простого сравнения с известными сигнатурами.

• Принцип работы: Эвристический анализ заключается в проверке кода программы на наличие подозрительных свойств или поведенческих паттернов, которые характерны для вредоносного ПО. Он не ищет точное совпадение, а оценивает вероятность того, что программа является вредоносной.
• Методы эвристики:
  • Статический эвристический анализ: Программа разбирает (декомпилирует или дизассемблирует) код исполняемого файла без его запуска. Затем она анализирует структуру кода, последовательность команд, используемые API-функции, наличие строк, характерных для вредоносного ПО, и сравнивает эти параметры с эвристической базой данных известных подозрительных характеристик.
  • Динамический эвристический анализ (анализ в «песочнице»): Программа запускается в изолированной виртуальной среде («песочнице»), где ее поведение отслеживается. Антивирус наблюдает за действиями программы (попытками доступа к системным файлам, реестру, сетевым соединениям, модификации других программ) и выставляет «очки опасности» за каждое подозрительное действие. Если совокупность действий превышает безопасный уровень, процесс блокируется.
• Преимущества:
  • Способность обнаруживать новые, неизвестные вирусы и модифицированные версии существующих угроз, сигнатуры которых еще нет в базах.
  • Эффективность против полиморфных и метаморфных вирусов, поскольку они меняют код, но не всегда меняют свое поведение или базовую логику.
• Недостатки:
  • Ложноположительные срабатывания: Из-за несовершенства логических алгоритмов эвристика может ошибочно идентифицировать легитимные программы как вредоносные. Это является одним из главных вызовов для разработчиков.
  • Высокая ресурсоемкость, особенно для динамического анализа.
• Примеры реализации: Эвристический анализатор Dr.Web использует технологию FLY-CODE™ – универсальный алгоритм распаковки файлов, который позволяет строить эвристические предположения о наличии вредоносных объектов даже в сжатых или зашифрованных файлах. Технология Origins Tracing™ Dr.Web позволяет определять новые или модифицированные угрозы, использующие известные механизмы заражения или вредоносное поведение.

Поведенческий анализ (анализ в «песочнице»)

Поведенческий анализ является развитием динамической эвристики и фокусируется на мониторинге действий программы во время ее исполнения.

• Принцип работы: Подобно эвристическому анализу, программа запускается в изолированном контейнере, или «песочнице» (sandbox). Антивирус тщательно отслеживает все действия программы: попытки записи в системные файлы, изменения в реестре, сетевые соединения, создание новых процессов, доступ к конфиденциальным данным. Если обнаруживаются опасные или подозрительные действия, запуск программы блокируется, а сама программа помещается в карантин или удаляется.
• Преимущества:
  • Высокая эффективность в обнаружении неизвестных угроз, включая 0-day эксплойты, поскольку метод не зависит от сигнатур.
  • Способность выявлять скрытые функции вредоносного ПО, которые проявляются только при исполнении.
• Недостатки и методы обхода: Злоумышленники постоянно совершенствуют методы обхода поведенческого анализа. Например, они могут использовать:
  • Длительные паузы в коде: Вредоносная программа может «спать» в течение длительного времени (например, несколько минут или даже часов), прежде чем начать вредоносную активность. Это может вызвать зависание или переполнение буфера антивирусного движка в песочнице, которая имеет ограниченное время исполнения.
  • Проверку среды исполнения: Вредоносное ПО может проверять наличие виртуальной машины или специфических признаков песочницы, и если они обнаружены, вести себя как легитимная программа, скрывая свою истинную функциональность.
  • Условные триггеры: Атака может быть активирована только при выполнении определенных условий, например, при запуске конкретного приложения, в определенное время суток или после взаимодействия с пользователем, что сложно воспроизвести в изолированной среде.

Метод эмуляции исполнения кода

Метод эмуляции исполнения кода является мощным инструментом в борьбе с полиморфными и шифрованными вирусами, которые специально разработаны для обхода сигнатурного анализа.

• Принцип работы: Эмулятор имитирует работу процессора и операционной системы, исполняя код подозрительной программы в защищенной области памяти (буфере эмуляции). Цель эмуляции — «распаковать» или расшифровать тело вируса, заставив его принять свое исходное, незашифрованное состояние, которое затем может быть проверено сигнатурным или эвристическим анализатором.
• Применение: Особенно эффективен против вирусов, использующих сложные методы шифрования и полиморфизма, которые меняют свой код при каждом заражении, но содержат неизменяемую логику расшифровщика. Эмулятор «прогоняет» этот расшифровщик, получая доступ к истинному телу вируса.
• Преимущества:
  • Эффективное обнаружение полиморфных и шифрованных вирусов.
  • Позволяет анализировать код без реального запуска программы на системе, минимизируя риски.
• Недостатки:
  • Высокая вычислительная сложность и ресурсоемкость.
  • Может быть обманут вредоносным ПО, которое способно распознавать среду эмуляции и изменять свое поведение.

Другие методы обнаружения

Помимо основных, существуют и другие методы, дополняющие комплексную антивирусную защиту:

• Контроль целостности: Мониторинг изменений в системных файлах, ключевых записях реестра и других критически важных областях. Если файл был изменен без разрешения, антивирус может предупредить пользователя или восстановить его из резервной копии.
• Резидентные сторожа (мониторы реального времени): Компоненты антивируса, постоянно находящиеся в оперативной памяти и мониторящие файловые операции, сетевую активность и запуск программ в реальном времени.
• Вакцинирование программ: Изменение кода легитимной программы таким образом, чтобы она имитировала заражение известным вирусом. Это предотвращает повторное заражение этим же вирусом, если он запрограммирован не заражать уже «инфицированные» файлы. Метод устаревший и малоэффективный против современных угроз.
• Криптоанализ: В контексте антивирусов, это не классический криптоанализ, а скорее анализ зашифрованного вирусного кода. Он заключается в попытке восстановления ключей и алгоритма расшифровщика по известному базовому коду вируса (если такой имеется) и зашифрованному коду. Используется для дешифровки полиморфных или упакованных вирусов.

Современные антивирусные решения комбинируют все эти методы, создавая многоуровневую и адаптивную систему защиты, способную противостоять широкому спектру угроз.

Эволюция антивирусных технологий и противодействие сложным угрозам

История антивирусной защиты — это увлекательный рассказ о постоянной «гонке вооружений» между киберпреступниками и специалистами по кибербезопасности. Каждое новое поколение вредоносного ПО порождало новые, более совершенные методы защиты, и наоборот.

Ранние этапы развития антивирусов

Первые компьютерные вирусы появились в начале 1980-х годов, и вскоре за ними последовали первые попытки защиты. Это была эпоха, когда антивирусные программы были простыми и прямолинейными.

• 1981 год: Считается годом рождения первых антивирусных программ, разработанных Энди Хопкинсом.
  • CHK4BOMB: Анализировала текст загрузочного модуля, пытаясь обнаружить подозрительные инструкции.
  • BOMBSQAD: Предназначалась для обнаружения и блокировки операций форматирования и записи через BIOS, которые могли быть использованы вредоносными программами для повреждения дисков.
• 1985 год: Появился первый резидентный антивирус DRPROTECT, созданный Джи Вонгом. Этот антивирус постоянно находился в памяти компьютера и блокировал вирусные атаки, направленные на BIOS, предотвращая самые низкоуровневые заражения.
• До начала 90-х годов: Антивирусы по своей сути представляли собой простые сканеры, содержащие набор образцов вирусного кода (сигнатур), часто хранившихся в программе в незашифрованном виде. Их эффективность была ограничена только известными угрозами, а базы обновлялись редко.

Эпоха полиморфных вирусов и появление эмуляторов

Начало 1990-х годов ознаменовалось появлением нового, гораздо более сложного типа угроз — полиморфных вирусов. Эти вредоносные программы были способны изменять свой внешний вид (код) при каждом заражении, используя различные методы шифрования и мутации. Для сигнатурных антивирусов это стало серьезным вызовом, поскольку неизменяемой сигнатуры для их обнаружения просто не существовало.

• Вызовы полиморфизма: Полиморфные вирусы делали сигнатурный анализ малоэффективным. Каждый новый экземпляр вируса выглядел по-новому, требуя создания новой сигнатуры, что было непрактично и невозможно в условиях быстрого распространения.
• Разработка эмуляторов: В ответ на эту угрозу был разработан революционный подход — эмуляция исполнения кода. Эмулятор имитировал работу процессора, позволяя «распаковать» или расшифровать тело вируса в виртуальной среде. Это давало возможность получить неизменяемую часть вируса (его «ядро» или расшифрованный код), по которой уже можно было создать сигнатуру или применить эвристический анализ.
• AVP (Antivirus Pro): Одним из пионеров в области эмуляции стала программа AVP, разработанная Евгением Касперским. Она стала первой в истории антивирусов, широко использующей принцип эмулятора для борьбы с полиморфными угрозами, что значительно повысило эффективность защиты.

Развитие антивирусов в многозадачных ОС

С появлением многозадачных операционных систем, таких как Windows 95 и Windows NT, антивирусные программы претерпели значительные усовершенствования, перейдя от простого сканирования к комплексной, резидентной защите:

• Проверка файлов по запросу и в реальном времени: Антивирусы научились не только сканировать файлы по требованию пользователя, но и осуществлять постоянный мониторинг файловых операций в реальном времени, проверяя каждый открываемый, сохраняемый или загружаемый файл.
• Контроль подключения к Сети: С развитием интернета антивирусы стали включать функции сетевого экрана (файрвола) и веб-фильтрации, контролируя входящий и исходящий трафик, блокируя доступ к вредоносным сайтам и предотвращая сетевые атаки.
• Интеграция в операционную систему: Антивирусы глубоко интегрировались в ПО операционной системы, получая доступ к системным процессам, реестру и драйверам на низком уровне, что позволяло им эффективно обнаруживать и нейтрализовать угрозы.

Рост угроз и комплексные подходы

Период с конца 1990-х до середины 2000-х годов стал временем экспоненциального роста числа вредоносных программ.

• 1992-2004 годы: Количество вирусов возросло с тысячи до более чем 100 000. Антивирусные проверки по-прежнему преимущественно выполнялись на локальном компьютере с использованием сигнатурных баз, которые к тому моменту стали значительно обширнее.
• 2004-2010 годы: Число вредоносных программ росло с такой беспрецедентной скоростью (ежедневно появлялись тысячи новых экземпляров), что антивирусы не успевали обновлять сигнатурные базы в режиме реального времени. Стало очевидно, что одного сигнатурного метода недостаточно. К 2005 году ведущие антивирусные компании сообщали о наличии более 100 000 записей в своих базах данных.
• Переход к многоуровневым технологиям: Для повышения точности и скорости обнаружения в этот период стали активно использовать несколько технологий одновременно. Антивирусы стали комплексными решениями, объединяющими:
  • Эвристический анализ: Для обнаружения неизвестных угроз по подозрительным признакам.
  • Эмуляция: Для расшифровки и анализа полиморфного кода.
  • HIPS (Host Intrusion Prevention Systems): Системы предотвращения вторжений на уровне хоста, которые анализируют поведение программ во время исполнения или их код до исполнения, блокируя подозрительные действия.
  • Поведенческие методы: Анализ действий программ в изолированной среде («песочнице»).
• Развитие проактивного обнаружения: Интеллект антивирусных ядер постоянно растет в плане превентивного (проактивного) обнаружения новых экземпляров вредоносных кодов. Это проявляется в механизмах, которые мониторят активность программ и блокируют подозрительные действия, например, попытки изменить системные файлы или получить удаленный доступ.
• Появление облачных технологий: Активно стали использоваться облачные технологии, позволяющие переносить часть анализа угроз в облако. Здесь экспертные системы применяют методы Big Data, снижая нагрузку на локальный компьютер и обеспечивая мгновенный доступ к глобальным базам данных об угрозах.

Эта эволюция показывает, что антивирусная защита — это не статичное решение, а динамический, постоянно адаптирующийся комплекс технологий, который учится и развивается вместе с угрозами, которым он противостоит.

Перспективы развития антивирусных технологий и роль искусственного интеллекта

В условиях постоянно меняющегося ландшафта киберугроз антивирусные технологии находятся на пороге новой эры, где искусственный интеллект (ИИ) становится не просто инструментом, а ключевым фактором в глобальной «гонке вооружений» между киберпреступниками и специалистами по кибербезопасности.

Искусственный интеллект как «гонка вооружений» в кибербезопасности

Сегодня ИИ — это не просто вспомогательный инструмент, а центральная арена противостояния. Использование искусственного интеллекта — это соревнование, где победит тот, кто создаст более совершенное решение.

С одной стороны, ИИ для кибербезопасности использует передовые технологии для улучшения защиты компьютерных систем, сетей и данных. С другой, киберпреступники активно внедряют ИИ в свои арсеналы, автоматизируя и усложняя атаки, что создает беспрецедентные вызовы для существующей обороны.

Применение ИИ для защиты от киберугроз

ИИ радикально преобразует методы защиты, предоставляя невиданные ранее возможности для обнаружения и противодействия угрозам. Главное преимущество ИИ перед человеком — способность быстро анализировать огромные объемы информации и обучаться на основе опыта.

ИИ помогает решать широкий круг задач кибербезопасности:

1. Автоматизация обнаружения угроз: ИИ анализирует атрибуты файлов, поведение кода и сетевые взаимодействия для обнаружения и классификации вредоносных программ, выявляя как известные, так и новые угрозы.
2. Анализ больших объемов данных: ИИ эффективно обрабатывает колоссальные массивы данных безопасности (журналы событий, сетевой трафик, оповещения IDS/IPS), выявляя скрытые закономерности и аномалии, которые невозможно обнаружить вручную. Это позволяет автоматизировать корреляцию данных и приоритизацию оповещений.
3. Определение шаблонов и реагирование в реальном времени: Системы на базе ИИ способны в режиме реального времени выявлять подозрительные действия и автоматически реагировать на инциденты, снижая время ответа на атаку.
4. Борьба с фишингом: ИИ помогает в обнаружении фишинговых атак, анализируя содержимое писем, ссылки, метаданные и поведение отправителя, выявляя даже самые изощренные попытки обмана.
5. Усиление IDS/IPS: Системы обнаружения вторжений (IDS) и системы предотвращения вторжений (IPS) на базе ИИ отслеживают сетевой трафик, выявляют аномалии и подозрительные действия, автоматически блокируя потенциальные атаки.
6. Снижение нагрузки на специалистов: ИИ берет на себя рутинные задачи, автоматизируя анализ и реагирование, что позволяет специалистам по кибербезопасности сосредоточиться на более сложных стратегических задачах.
7. Выявление аномалий в поведении: ИИ особенно силен в тактике «Обнаружение» (Detect), анализируя поведение пользователя, сетевой трафик и действия исполняемых файлов для выявления отклонений от нормы.
8. Поддержка принятия решений (LLM): Большие языковые модели (LLM) на основе ИИ могут оказывать оперативную поддержку специалистам в процессе принятия решений по противодействию киберугрозам, предоставляя контекст, анализируя угрозы и предлагая рекомендации.

Использование искусственного интеллекта в киберпреступности

Параллельно с развитием ИИ в сфере защиты, киберпреступники также активно осваивают эти технологии, что значительно усложняет ландшафт угроз. ИИ в руках злоумышленников может стать мощным инструментом для:

1. Автоматизации атак: ИИ способен сканировать сети, искать уязвимости, создавать эксплойты и запускать атаки с минимальным участием человека, значительно повышая скорость и масштаб операций.
2. Создания убедительных фишинговых писем и дипфейков:
   • Фишинг: Большие языковые модели (LLM) могут генерировать высококачественные, персонализированные фишинговые письма на нескольких языках, имитируя стилистику известных организаций. Исследования показывают, что LLM могут увеличить показатель кликабельности фишинговых писем до 54% по сравнению с 12% для писем, написанных человеком, за счет более убедительного текста и адаптации к контексту жертвы.
   • Дипфейки (deepfakes): ИИ позволяет создавать реалистичные подделки голоса и видеоизображения (например, для обмана систем биометрической аутентификации или мошенничества с использованием «голоса руководителя»).
3. Обхода антивирусных и спам-фильтров: ИИ может генерировать мутации вредоносного кода, которые обходят сигнатурные и эвристические проверки, а также создавать вариации фишинговых писем, способные проникать через спам-фильтры.
4. Поиска уязвимостей нулевого дня (0-day exploits): ИИ может анализировать огромные объемы кода в поисках скрытых уязвимостей, которые еще не известны разработчикам и защитным системам.
5. Разработки эксплойтов: После обнаружения уязвимости ИИ может автоматизировать процесс создания работающего эксплойта.
6. Имитации компонентов ИТ-систем и скрытия вредоносного кода: ИИ может помочь вредоносному ПО «мимикрировать» под легитимные системные процессы или компоненты, затрудняя его обнаружение.
7. Атак по побочным каналам: ИИ может применяться для анализа физических параметров (энергопотребление, электромагнитное излучение, акустические шумы) устройства для извлечения конфиденциальной информации (например, криптографических ключей).

Эта «обратная сторона» ИИ подчеркивает, что развитие антивирусных технологий напрямую зависит от проблем, создаваемых компьютерным андерграундом, стимулируя непрерывную «гонку вооружений».

Облачные технологии и Big Data в антивирусной защите

Облачные технологии стали неотъемлемой частью современной антивирусной защиты. Они позволили перенести значительную часть анализа угроз в облако, где мощные экспертные системы используют методы Big Data.

• Преимущества облачной защиты:
  • Глобальный анализ угроз: Антивирусные компании собирают данные об угрозах со всех компьютеров, использующих их продукты, создавая огромные базы данных. В облаке эти данные анализируются в реальном времени, выявляя новые угрозы и паттерны их распространения.
  • Снижение нагрузки на локальный компьютер: Ресурсоемкие операции анализа переносятся на облачные серверы, освобождая вычислительные мощности пользовательских устройств.
  • Мгновенное обновление: Облачные базы данных обновляются постоянно, обеспечивая самую актуальную защиту от новых угроз.
  • Улучшенное обнаружение: Облачные системы могут использовать более сложные алгоритмы машинного обучения и ИИ, которые были бы слишком требовательны для локального выполнения.
• Безопасность облака: ИИ также помогает обеспечить безопасность самого облака, анализируя данные из различных источников для выявления уязвимостей и потенциальных кибератак на облачную инфраструктуру.

Будущее антивирусных технологий

Будущее антивирусных технологий будет определяться дальнейшим развитием искусственного интеллекта и машинного обучения, а также адаптацией к новым вызовам, создаваемым киберпреступностью. Ключевые направления развития включают:

• Глубокое обучение и нейронные сети: Использование более сложных моделей ИИ для предсказания и предотвращения атак на основе анализа огромных массивов данных.
• Поведенческий анализ следующего поколения: Более совершенные «песочницы» и системы анализа поведения, способные распознавать продвинутые методы обхода.
• Zero Trust Architecture: Переход к моделям безопасности, которые не доверяют никому и ничему по умолчанию, требуя строгой проверки для каждого пользователя и устройства, пытающегося получить доступ к ресурсам.
• Защита IoT и OT (операционных технологий): Расширение антивирусной защиты на устройства Интернета вещей и промышленные системы, которые становятся все более уязвимыми.
• Квантовая криптография и постквантовая безопасность: Подготовка к потенциальным угрозам со стороны квантовых компьютеров, способных взломать современные криптографические алгоритмы.
• Проактивная охота за угрозами (Threat Hunting): Использование ИИ для активного поиска скрытых угроз в системах, а не только для реакции на известные инциденты.

Таким образом, антивирусные технологии продолжат эволюционировать, превращаясь из простых детекторов угроз в комплексные, интеллектуальные системы, способные предсказывать, предотвращать и эффективно реагировать на самые сложные киберугрозы в условиях постоянно меняющегося цифрового мира.

Заключение

Путешествие по миру антивирусных программ и алгоритмов обнаружения угроз выявило не только их технологическую сложность, но и жизненно важную роль в современном цифровом ландшафте. Мы убедились, что антивирус — это не просто утилита, а многоуровневая, динамически развивающаяся система, находящаяся в непрерывной «гонке вооружений» с киберпреступностью.

В ходе работы мы:

• Детально классифицировали основные угрозы информационной безопасности, выйдя за рамки общих определений и углубившись в технические детали, включая анализ таких масштабных кибератак, как NotPetya, и актуальную статистику, подчеркивающую экспоненциальный рост угроз и колоссальные экономические потери.
• Изучили базовые принципы функционирования и архитектуру антивирусных программ, рассмотрев их внутренние компоненты — от детектирующего ядра и сенсоров до драйверов, работающих в пространстве ядра ОС. Мы также проанализировали проблемы эффективности, такие как ложные срабатывания и влияние на производительность системы, предоставив конкретные статистические данные и примеры.
• Подробно рассмотрели алгоритмы обнаружения вредоносного ПО, включая традиционный сигнатурный анализ с его преимуществами и ограничениями, а также более совершенные методы, такие как эвристический и поведенческий анализ в «песочницах», и метод эмуляции исполнения кода.
• Проследили эволюцию антивирусных технологий, от первых примитивных программ до сложных комплексных решений, способных противостоять полиморфным вирусам и новым поколениям угроз, появившихся в многозадачных операционных системах и в эпоху интернета.
• Исследовали перспективы развития антивирусных технологий и ключевую роль искусственного интеллекта, как в совершенствовании защитных механизмов, так и, что особенно важно, в арсенале киберпреступников. Мы детально проанализировали, как ИИ используется для автоматизации атак, создания убедительного фишинга и дипфейков, обхода защитных систем и поиска уязвимостей, подчеркивая, что ИИ стал обоюдоострым мечом в киберпространстве.

Главный вывод заключается в том, что эффективная защита требует многоуровневого подхода, где каждый принцип и каждый алгоритм дополняют друг друга, создавая эшелонированную оборону. Антивирусные программы, постоянно адаптируясь и внедряя инновации, такие как искусственный интеллект и облачные технологии, остаются краеугольным камнем информационной безопасности.

Перспективы развития отрасли неразрывно связаны с дальнейшим совершенствованием ИИ, адаптацией к новым векторам атак (например, в IoT и OT), а также поиском баланса между всеобъемлющей защитой и минимизацией ресурсоемкости. Будущее кибербезопасности — это постоянное движение вперед, где каждый прорыв в защитных технологиях служит ответом на постоянно меняющиеся и усложняющиеся угрозы цифрового мира.

Список использованной литературы

1. Бабаш А.В. Информационная безопасность. Лабораторный практикум: учеб. пособие. М.: КНОРУС, 2013. 135 с.
2. Баранова, Е. К. Основы информатики и защиты информации: Учеб. пособие. М.: РИОР : ИНФРА-М, 2013. 183 с.
3. Борисов М. А. Особенности защиты персональных данных в трудовых отношениях. (Гриф УМО по дополнительному профессиональному образованию) М.: Книжный дом «ЛИБРОКОМ», 2013. 224 с.
4. Борисов М. А., Романов О. А. Основы организационно-правовой защиты информации. (Гриф УМО по дополнительному профессиональному образованию). №2. Изд.3, перераб. и доп. М.: Книжный дом «ЛЕНАНД», 2014. 248 с.
5. Гладкий А.А. Мошенничество в Интернете. Методы удаленного выманивания денег, и как не стать жертвой злоумышленников. Litres, 2012. 228 с.
6. Жданов О. Н., Чалкин В. А. Эллиптические кривые: Основы теории и криптографические приложения. М.: Книжный дом «ЛИБРОКОМ», 2013. 200 с.
7. Жук А.П. Защита информации: учеб. пособие. М.: ИНФРА-М, 2013. 392 с.
8. Исамидинов А. Н. Защита коммерческой тайны в сфере трудовых отношений. №11. М.: Книжный дом «ЛИБРОКОМ», 2014. 120 с.
9. Карпова, И.П. Базы данных. Учебное пособие. Курс лекций и материалы для практических занятий. СПб.: Питер, 2013. 240 с.
10. Кузоакин В.А. Электротехника и электроника: учебник для бакалавров. М.: Юрайт, 2013. 431 с.
11. Малюк А.А. Теория защиты информации. М.: Горячая линия — Телеком, 2012. 184 с.
12. Назаров, С.В. Современные операционные системы: учеб. пособие. М.: БИНОМ Лаборатория знаний, 2013. 367 с.
13. Угрозы информационной безопасности: виды, классификация и методы защиты. URL: https://www.tadviser.ru/index.php/%D0%A1%D1%82%D0%B0%D1%82%D1%8C%D1%8F:%D0%A3%D0%B3%D1%80%D0%BE%D0%B7%D1%8B_%D0%B8%D0%BD%D1%84%D0%BE%D1%80%D0%BC%D0%B0%D1%86%D0%B8%D0%BE%D0%BD%D0%BD%D0%BE%D0%B9_%D0%B1%D0%B5%D0%B7%D0%BE%D0%BF%D0%B0%D1%81%D0%BD%D0%BE%D1%81%D1%82%D0%B8_(%D0%B2%D0%B8%D0%B4%D1%8B,_%D0%BA%D0%BB%D0%B0%D1%81%D1%81%D0%B8%D1%84%D0%B8%D0%BA%D0%B0%D1%86%D0%B8%D1%8F_%D0%B8_%D0%BC%D0%B5%D1%82%D0%BE%D0%B4%D1%8B_%D0%B7%D0%B0%D1%89%D0%B8%D1%82%D1%8B) (дата обращения: 30.07.2025).
14. Основные виды угроз информационной безопасности — SearchInform. URL: https://www.searchinform.ru/blog/osnovnye-vidy-ugroz-informatsionnoy-bezopasnosti/.
15. Угрозы информационной безопасности: что это такое, виды угроз, как от них защититься — Солар. URL: https://rt.solar/blog/ugrozy-informacionnoj-bezopasnosti-chto-eto-takoe-vidy-ugroz-kak-ot-nih-zashchititsya/.
16. Угрозы информационной безопасности | RTM Group. URL: https://rtmtech.ru/library/threats-information-security/.
17. Угрозы информационной безопасности — Anti-Malware.ru. URL: https://www.anti-malware.ru/threats/.
18. Что такое эвристический анализ вирусов? — Лаборатория Касперского. URL: https://www.kaspersky.ru/resource-center/definitions/heuristic-analysis.
19. Угрозы безопасности информации — Центр безопасности данных. URL: https://www.safedata.ru/ugrozy-bezopasnosti-informatsii/.
20. Методы обнаружения вирусов — Dr.Web. URL: https://www.drweb.ru/support/antivirus/technologies/detection/.
21. Риски ИИ и кибербезопасности | Риски искусственного интеллекта — Malwarebytes. URL: https://ru.malwarebytes.com/blog/ai-cybersecurity-risks/.
22. Искусственный интеллект в киберзащите — Positive Technologies. URL: https://www.ptsecurity.com/ru-ru/research/articles/iskusstvennyy-intellekt-v-kiberzashchite/ (дата публикации: 21.04.2025).
23. Как ИИ помогает кибербезопасникам бороться с киберпреступниками — Сбербанк. URL: https://www.sberbank.ru/ru/person/cybersecurity/articles/kak-ii-pomogaet-kiberbezopasnikam-borotsya-s-kiberprestupnikami.
24. Горбунов А. Н., Емельяненко Т. Г. Принципы использования сигнатурного анализа для обнаружения вредоносных программ // КиберЛенинка. 2014. URL: https://cyberleninka.ru/article/n/printsipy-ispolzovaniya-signaturnogo-analiza-dlya-obnaruzheniya-vredonosnyh-programm.
25. Эволюция антивирусов — Cezurity. URL: https://cezurity.com/blog/evolyutsiya-antivirusov/.
26. Основные компоненты антивирусов: движки, сканеры, обновления, контроль устройств — Anti-Malware.ru. 25.04.2025. URL: https://www.anti-malware.ru/articles/2025-04-25/antivirus-components-engines-scanners-updates-device-control.
27. Развитие антивирусных программ — Secuteck.Ru. 12.07.2023. URL: https://secuteck.ru/articles/razvitie-antivirusnyh-programm.
28. Основные компоненты программы — Лаборатории Касперского. URL: https://support.kaspersky.ru/klms/8.0/ru-RU/85050.htm.
29. Антивирусы Dr.Web для защиты Windows, Android, macOS, Linux. URL: https://www.drweb.ru/products/.