Алгоритм работы компонента

Файловый Антивирус запускается при старте операционной системы, постоянно находится в оперативной памяти компьютера и проверяет все открываемые, сохраняемые и запускаемые файлы.

По умолчанию Файловый Антивирус проверяет только новые или измененные файлы, то есть файлы, которые были добавлены или изменены со времени последнего обращения к ним. Процесс проверки файла выполняется по следующему алгоритму:

1. Компонент перехватывает обращение пользователя или некоторой программы к каждому файлу.
2. Файловый Антивирус проверяет наличие информации о перехваченном файле в базах iChecker и iSwift и на основании полученной информации принимает решение о необходимости проверки файла.

   Технология, позволяющая увеличить скорость антивирусной проверки за счет исключения тех объектов, которые не были изменены с момента предыдущей проверки, при условии, что параметры проверки (антивирусные базы и настройки) не были изменены. Информация об этом хранится в специальной базе. Технология применяется как в режиме постоянной защиты, так и в режиме проверки по требованию.

   Например, у вас есть файл архива, который был проверен программой "Лаборатории Касперского" и ему был присвоен статус незаражен. В следующий раз этот архив будет исключен из проверки, если он не был изменен и не менялись параметры проверки. Если вы изменили состав архива, добавив в него новый объект, изменили параметры проверки, обновили антивирусные базы, архив будет проверен повторно.

   Ограничения технологии iChecker:

   • технология не работает с файлами больших размеров, так как в этом случае проверить весь файл быстрее, чем вычислять был ли он изменен с момента последней проверки;
   • технология поддерживает ограниченное число форматов (exe, dll, lnk, ttf, inf, sys, com, chm, zip, rar).

Проверка включает следующие действия:

• Файл анализируется на присутствие вирусов. Распознавание объектов происходит на основании баз программы. Базы содержат описание всех известных в настоящий момент вредоносных программ, угроз, сетевых атак и способов их обезвреживания.

  Базы данных, формируемые специалистами "Лаборатории Касперского" и содержащие подробное описание всех существующих на текущий момент угроз компьютерной безопасности, способов их обнаружения и обезвреживания. Базы постоянно обновляются в "Лаборатории Касперского" по мере появления новых угроз. Для повышения качества обнаружения угроз мы рекомендуем регулярно копировать обновления баз с серверов обновлений "Лаборатории Касперского".

• В результате анализа возможны следующие варианты поведения Антивируса Касперского:
  1. Если в файле обнаружен вредоносный код, Файловый Антивирус блокирует файл, помещает его копию в резервное хранилище и пытается провести лечение. В результате успешного лечения файл становится доступным для работы. Если же лечение провести не удалось, файл удаляется.

     Способ обработки объекта, при котором происходит его физическое удаление с того места, где он был обнаружен программой (жесткий диск, папка, сетевой ресурс). Такой способ обработки рекомендуется применять к опасным объектам, лечение которых по тем или иным причинам невозможно.

     Способ обработки зараженных объектов, в результате которого происходит полное или частичное восстановление данных, либо принимается решение о невозможности лечения объектов. Лечение объектов выполняется на основе записей баз. В случае, если лечение является первичным действием над объектом (самое первое действие над объектом сразу после его обнаружения), то перед его выполнением создается резервная копия объекта. В процессе лечения часть данных может быть потеряна. Вы можете использовать эту копию для восстановления объекта до предшествующего лечению состояния.

     Специальное хранилище, предназначенное для сохранения резервных копий объектов, создаваемых перед их первым лечением или удалением.

  2. Если в файле обнаружен код, похожий на вредоносный, но стопроцентной уверенности в этом нет, файл подвергается лечению и помещается в специальное хранилище – карантин.

     Определенная папка, куда помещаются все возможно зараженные объекты, обнаруженные во время проверки или в процессе функционирования постоянной защиты.

  3. Если в файле не обнаружено вредоносного кода, он сразу же становится доступным для работы.

При обнаружении зараженного или возможно зараженного объекта программа уведомит вас об этом. Вам следует отреагировать на уведомление выбором действия:

• поместить угрозу на карантин для последующей проверки и обработки с помощью обновленных баз;
• удалить объект;
• пропустить, если вы абсолютно уверены, что данный объект не может являться вредоносным.