стр. 8


блокировка сети.
     Первые  исследования  и  эксперименты  с  сетевыми  червями  были
проведены  на  сети  Ethernet в исследовательском центре фирмы Xerox в
Пало Алто.  Червь в этих экспериментах существовал в  виде  сегментов,
выполнявшихся на разных узлах сети под управлением головного сегмента.
При этом четко проявилась опасность этого  вида  червей,  поскольку  в
процессе  работы  червь мог затирать своей информацией страницы памяти
инфицируемых систем, что неминуемо вело к остановке последних.

     Специалисты, должно быть, уже поняли, что сетевые черви  являются
побочным  -  и  вряд  ли  ожидавшимся - детищем исследований в области
распределенной обработки информации.

     Но отчего же все-таки проблема  вирусов  -  в  основном  в  плане
борьбы с ними - приобрела в последнее время такое значение?  Насколько
и чем оправданы усилия нашей компьютерной братии от  пользователей  до
профессионалов,  затрачиваемые  на  изучение  и  борьбу с компьютерной
заразой?
     Причин  такого  положения  дел  достаточно  много,  но   главных,
пожалуй, две:

      -  во-первых,  деятельность   большинства   вирусов   изначально
         небезобидна:  большинство вирусов либо сознательно рассчитано
         на повреждение или искажение  используемых  в  вычислительной
         системе  данных  и  программ  (в том числе и системных), либо
         допускает подобные эффекты вследствие своей работы;

      -  во-вторых,    масштабы    распространения    вирусов    самым
         непосредственным  и  теснейшим  образом  связаны с масштабами
         распространения технического чуда  последнего  десятилетия  -
         персональных компьютеров.

     Немного поясню.
     Первое утверждение очевидно:  вряд ли  кто-нибудь  из  нормальных
людей  добровольно  согласится на то, чтобы продукт его труда - иногда
весьма длительного, - был уничтожен или безнадежно испорчен  буквально
в  мгновение  ока.   Учитывая  все  возрастающую  зависимость деловых,
финансовых, правительственных  и  военных  кругов  от  предоставляемых
компьютерами услуг, становится понятным ужас и ненависть, испытываемые
этими кругами по отношению к компьютерным вирусам.

     Ситуация подогревается также тем, что внедрение вирусов в системы
происходит  зачастую через "дыры" в подсистемах безопасности, а это не
может не  волновать  разнообразные  органы,  которые  у  нас  называют
компетентными.   Поскольку  эти  органы весьма заботятся о сохранности
своей информации, они справедливо считают, что  если  вирус  пролез  в
"дыру",  то почему бы в эту же "дыру" не пролезть кому-либо из племени
любопытных длинноносых варвар. Взять тот же вирус:  отчего бы  ему  не
быть  запрограммированным  на  то,  чтобы,  пробравшись незамеченным в
систему компетентного органа, разместиться в самом дальнем и  укромном
уголке  и,  продолжая оставаться незамеченным для хозяев, не разрушать
хозяйские данные, а периодически посылать их своему разработчику.
                                                                стр. 9


     Чувствуете прелесть!   Само  собой  разумеется,  насколько  такая
перспектива  желательна  компетентным органам одной стороны, настолько
она ненавистна компетентным органам стороны другой.

     Вторая причина популярности компьютерных вирусов менее  очевидна,
но  от  этого  ничуть  не  становится  менее  истинным  тот  факт, что
наблюдаемое в последнее годы глобальное распространение  вирусов  -  и
сопутствующих  им проблем - во многом определяется массовым выпуском и
распространением микрокомпьютеров,  которые  наиболее  беззащитны  для
вирусов   в   силу   стандарности   своей  архитектуры  и  архитектуры
математического обеспечения.
     Большие системы практически не имеют проблем с  вирусами  в  силу
своей уникальности, обеспечиваемой тем, что, во-первых, каждая большая
система проходит стадию генерации,  во  время  которой  многочисленные
системные  параметры образуют уникальное сочетание; во-вторых, большие
системы имеют хорошо развитые подсистемы разделения доступа и  защиты,
что  является  серьезным  препятствием  для  вирусов и позволяет легко
обнаруживать источник заражения.
     Легко заметить,  что  микросистемы  в  большинстве  своем  лишены
уникальности.    Именно   стандартность   является   и   преимуществом
микросистем, обусловившим их широкое распространение, и их проклятием,
поскольку  вирус,  возникший  в  одной  системе,  без  труда  поражает
соседнюю, так как по архитектуре обе  системы  похожи  как  две  капли
воды.
     Теперь  понимаете  какое  значение   для   усугубления   проблемы
компьютерных  вирусов  имело  начатое  в  августе 1981 года фирмой IBM
серийное производство персональных компьютеров  -  знаменитых  IBM PC!
Ведь   легкость   серйиного  производства  и  относительная  дешевизна
персоналок  -  прямое  следствие  их  стандартности!   Хотя  с  другой
стороны,      доступность      и     понятность     персоналок     для
пользователей-непрофессионалов - тоже следствие стандартности.

     Но этого мало.   Непонятно  почему,  но  люди  всегда  стремились
облегчить  вирусам  - и естественным, и компьютерным - их черное дело.
Например, обычная  чума:   не  тем  ли  объясняется  ее  массовость  и
скорость  распространения,  что люди издавна стремились жить как можно
ближе друг к другу, вследствие  чего  появлялись  стоянки,  поселения,
деревни,  города и т.д.О СПИДе я уже не говорю:  попробуйте, уговорите
людей воздержаться от общеизвестного способа его распространения!
     Аналогично и с "электронной чумой", как называют вирусы.
     Итак извечное стремление человеческое пообщаться с себе подобными
привело  к появлению многомашинных систем - компьютерных сетей.  Кроме
того, люди во многом схожи, поэтому ничего нет  удивительного  в  том,
что  в  разных  концах  света пользователи работают с одними и теми же
удачно созданными  программами  и  системами.   Примером  этому  может
служить  победоносное  шествие по миру операционной системы UNIX (и ее
аналогов) и компиляторов языка C.

     Операционная система UNIX,  появившаяся  на  свет  в  1969  году,
является детищем двух талантливых - судя по самой UNIX - программистов
К.Томпсона и Д.Ричи  [A6], работавших в Bell  Laboratories  -  филиале
всемогущей  American  Telephon & Telegraph (AT&T), кстати долгое время
державшей  монополию  на  сети  связи  в  США.  UNIX  замышлялась  как
операционная  система  для  внутренних  нужд, которая должна была быть
достаточно  проста  в  использовании,  дружественна  по  отношению   к
                                                               стр. 10


пользователям  и  как можно меньше зависящей от типа машин, на которых
она  будет   работать.    Кроме   того,   UNIX   разрабатывалась   как
многопользовательская   система   и   потому  имела  неплохую  систему
разделения доступа, базирующуюся на парольной защите.
     Успех системы превзошел все ожидания.  UNIX  мгновенно  завоевала
симпатии  пользователей,  что  позволило AT&T значительно усилить свои
позиции  на  рынке.   UNIX  для  AT&T   стал   настоящим   Клондайком,
компьютерным  Эльдорадо.   Быстро стали появляться усовершенствованные
версии системы:  1975 год - UNIX  V6,  1976  год  -  UNIX  V7  (первая
"базовая"  версия),  1982  год  -  UNIX System III, 1984-85 год - UNIX
System V.  Появляются аналоги UNIXа - GENIX,  XENIX,  Ultrics,  VENIX,
PC-IX.   Лавры разработчика пожинал также и калифорнийский университет
в Беркли, разработавший UNIX 4.0, 4.1, 4.2 и т.д.   Ах,  если  бы  они
знали, какую шутку уготовил им 1988 год!

     Таким образом,  тенденция  к  объединению  разнотипных  систем  в
сочетании  с  появлением  на  рынке и широким распространением системы
UNIX  и  компиляторов  языка  C  (в  силу  их  комфортабельности   для
пользователя)  еще  более  усложнили "эпидемиологическую" обстановку в
компьютерном мире, создав буквально питательную среду для вирусов всех
мастей.   Как   обычно,   всю   опасность   положения  сознавала  лишь
незначительная часть специалистов,  во  всеуслышание  предупреждавших,
что   пренебрежение   пользователей   вопросами  обеспечения  хотя  бы
собственной безопасности даром не пройдет.   Но,  как  известно,  пока
гром не грянет...

     ...Да!  Чуть не забыл:  летом 1988 года в  AT&T Bell Laboratories
работал студент последнего курса одного из американских университетов.
И  занимался  он  не  чем  иным  как  "перепиской   программ   системы
безопасности  для  большинства компьютеров, работающих под управлением
операционной системы  UNIX".   В  принципе  ничего  особенного  -  для
Америки  и  вообще  цивилизованных  стран  -  в этом не было:  мало ли
студентов работают в солидных корпорациях, лабораториях и учреждениях,
приобретая  практический  опыт и обеспечивая себе рабочие места в этих
организациях, - если бы этот  факт  не  был  через  несколько  месяцев
упомянут  в  "Нью-Йорк Таймс"  в  связи  с  событиями,  потрясшими всю
Америку (по крайней мере, ту  ее  часть,  которая  имеет  отношение  к
компьютерам). [A8]



______________________________
     [A6]  Кен Томпсон возглавлял группу  разработчиков,  создавших  в
1969 году  ассемблерный  вариант  UNIX.   При этом преследовалась цель
создания    удобной    операционной    обстановки    для    проведения
исследовательских  работ  в  области  программирования; а сама система
предназначалась для машины PDP-7 фирмы DEC -  представителя  семейства
машин,  широко  распространенных в научных и исследовательских центрах
страны, что подготовило почву для победного шествия UNIXа по Штатам.
     Деннис Ричи подключился к проекту позже,  однако  во  многом  ему
обязана  рождением в 1972 году коммерческая версия системы, написанная
на высокоуровневом языке C.
     Кстати, язык C тоже появился в AT&T и  тоже  как  разработка  для
внутренних нужд.  Ядро системы UNIX состоит примерно из 10000 строк на
C и еще 1000 строк на языке ассемблера.
                                                               стр. 11


                          B  Как это было.

                              "Сейчас 3:45 AM, среда  (sic)  3  ноября
                         1988  года.   Мне  все  надоело,  я  не  могу
                         поверить в то, что произошло..."
                                        Из  сообщения  Клиффа  Столла,
                                   переданного  по  электронной  почте
                                   Dockmaster.ARPA.


     ...Гром -  вирусная  атака,  названная  компьютерными  экспертами
величайшим   нападением   на  национальные  компьютеры  из  когда-либо
случавшихся - грянул 2 ноября 1988 года.

     Абсолютно точную последовательность  событий  в  настоящее  время
восстановить  практически  невозможно,  поскольку, во-первых, во время
самой атаки все были заинтересованы прежде всего в быстрой локализации
и  удалении вируса, а никак не в подробной регистрации фактов [B1]; и,
во-вторых,   потому,   что   вирус   быстро   заблокировал   атакуемые
вычислительные   сети,   в  результате  чего  прервалась  связь  между
пользователями.
     Но можно попытаться представить примерную картину распространения
вируса  на  основании  сообщений, проходивших в компьютерных сетях, не
подвергшихся нападению,  и  многочисленных  публикаций  в  прессе.   В
частности,  представляют интерес сообщения, проходившие во время атаки
по  электронным  почтам  VIRUS_L  (далее  VIR)  и  RISKS_FORUM  (далее
RISKS) [B2].
     Специалисты  старшего  поколения   утверждают,   что   сообщения,
проходившие   в  сетях  во  время  вирусной  атаки,  очень  напоминают
сообщения о вражеских боевых действиях, поступавших по связи во  время
Второй  мировой  войны.   Во  всяком  случае,  эти сообщения позволяют
ощутить полную беспомощность,  царившую  во  время  вирусной  атаки  в
различных  узлах  сети,  примерно  оценить  возможность  пользователей
понять, что же происходит и сделать выводы относительно  требований  к
системе оказания помощи в подобных ситуациях.

     Итак, 2 ноября 1988 года, среда.

  17:00  Вирус обнаружен в Корнеллском университете (Нью-Йорк).

  21:00  Вирус обнаружен в системах Стэнфордского университета и фирмы

______________________________
     [A8] 5.11.1988, статья Джона Маркоффа "Author of Computer 'Virus'
is son of USA Electronic Security Expert".

______________________________
     [B1] Что, кстати, сильно затруднило потом работу следствия.

     [B2] Полное название - "Forum on Risks to the Public in Computers
and  Related  States:   ACM Committee and Public Policy".  Организован
Петером Ньюманом.
     Обзоры этих сообщений, используемых, в частности, и  в  настоящей
статье,    были    опубликованы    в    нескольких   номерах   журнала
"Computer &Security" в начале 1989 года.
                                                               стр. 12


     Rand Corporation (Калифорния).

  22:00  Вирусом поражена система университета в Беркли (Калифорния).

  23:00  Вирус   обнаружен    специалистами    отделения    математики
     Принстонского университета (Нью-Джерси).

     Сначала  все  обнаружившие  вирус  подумали,  что  это  очередной
инцидент, касающийся только их системы.  Никто естественно представить
себе не мог, какие масштабы примет  эпидемия  через  несколько  часов.
Тем  не  менее  администраторы  атакованных систем послали сообщения о
происшедшем.

  23:28   В  электронной  почте  VIRUS_L  прошло  первое  сообщение  о
     вирусе.    Сообщается,  что  атакованы  университеты  в  Дэвис  и
     Сан-Диего,   Ливерморская   лаборатория    имени    Лоуренса    и
     исследовательский  центр  НАСА [B3]  (все  в  Калифорнии).   Вход
     вируса идентифицируется как SMTP.  Атакуются все системы  4.3 BSD
     и  Sun 3.x.   Отмечается,  что  вирус распространяется по каналам
     TELNETD, FTPD, FINGER, RSHD и SMTP [B4].

  23:45  Вирус    обнаружен    в     исследовательской     лаборатории
     баллистики. [B5]

     Постепенно стало проясняться, что одни и те же признаки поражения
вирусом  наблюдают  пользователи,  находящиеся в разных концах страны.
Учитывая  совпадение  событий  по  времени,  был  сделан  вывод,   что
национальные  компьютерные  системы  атакованы одним и тем же вирусом,
распространяющимся через сети, поскольку иным способом распространения
нельзя  было объяснить скорость, с которой вирус появлялся в различных
концах США, если, конечно, не предположить,  что  все  происходящее  -
результат  заранее  спланированной и хорошо подготовленной акции некой
преступной группы,  имеющей  доступ  ко  всем  национальным  системам.
Жизнь  администраторов  американских  систем  после установления этого
факта, как говорится, переставала быть безинтересной!
     Для пользователей и системных администраторов  атакованных  узлов
сетей  поведение  вируса  было  непостижимым.   В некоторых системах в
директории /usr/tmp появлялись необычные файлы;  в  журнальных  файлах
ряда  утилит  появлялись странные сообщения.  Наиболее примечательным,
однако, было то, что все более и  более  повышалась  загрузка  систем,
приводившая  в  конце  концов  либо  к  исчерпанию  свободного  места,
выделенного  под  свопинг,  либо  к  переполнению  системной   таблицы
процессов - в любом случае это означало блокировку системы.

     Исходя из названия сетей, в которых вирус был обнаружен, его  тут
же  окрестили вирусом Milnet/Arpanet.  Вскоре, однако, выяснилось, что
вирус из Arpanet благополучно перекочевал в сеть Science Internet -  и
он  тут  же  получает  название  "вирус Internet".  Но после того, как
Корнеллский университет высказал  косвенно  доказанное  предположение,
что  вирус,  вероятно, разработан в его стенах, вирус получает наконец
одно  из  наиболее  распространившихся,  благодаря  стараниям  прессы,
название  -  вирус  Cornell/Arpanet.   Это название вируса появилось в
двух передовых статьях и  последующей  серии  заметок  Джона  Маркофа,
Лоренца М.  Фишера, Мишеля Вайнеса, Джеффа Герса и Калвина Симса [B6],
опубликованных в "Нью-Йорк Таймс" с 4 по 17 ноября 1988 года.
                                                               стр. 13


     Вообще  для  специалистов  оказалось   приятным   сюрпризом   то,
насколько  подробно  и грамотно пресса комментировала события.  Филипп
Гарднер - полковник в отставке, специалист по безопасности компьютеров
-  написал  по этому поводу:  "Казалось, репортеры точно знали, у кого
можно получить достоверную  информацию,  и,  кроме  того,  они  делали
хорошие  выводы из того, что эти лица говорили.  Это тем более приятно
в условиях, когда мы становимся, к несчастью, свидетелями ненормальной
тенденции к росту числа 'экспертов' в среде самих журналистов."

     Наступило 3 ноября, четверг.

  01:00  Сообщения о заражении 15-ти узлов сети Arpanet.

  02:00  Поражена   вирусом    система    Гарвардского    университета
     (Массачусетс).

  03:30  Вирус обнаружен  в  Центре  Массачусетского  технологического
     института (Massachusets Institute of Technologies; MIT).

  03:46  В сообщении, прошедшем в электронной почте RISKS, уточняется,
     что  атакуются  системы  UNIX  -  4.3 BSD - и аналогичные ей Sun,
     работающие на компьютерах VAX фирмы DEC и компьютерах  Sun  фирмы
     Sun    Microsystems    Inc.     Сообщается   также,   что   вирус
     распространяется  через  дыры  в  системе  безопасности   утилиты
     электронной почты Sendmail, имеющейся в составе указанных систем.

  04:00  Поскольку   сеть    перегружена,    распространение    вируса
     замедляется; к этому моменту заражены уже более 1000 узлов сети.

  05:15  В университете Карнеги-Меллона в Питтсбурге (Пенсильвания) из
     100 компьютеров, подключенных к Arpanet, вышло из строя 80.

  08:00  Сообщение о вирусе из астрофизического центра Smithonian.

     Впоследствии возникло несколько  версий  относительно  того,  как
именно и кем был обнаружен вирус.

     Согласно первой, вирус был  обнаружен  в  ночь  со  2 на 3 ноября
1988 года   одним  из  научных  сотрудников  Ливерморской  лаборатории
им.Лоуренса.  Обращаясь со своего домашнего терминала к вычислительной

______________________________
     [B3] Соответственно, Lawrence Livermore Laboratory и NASA's Aimes
Research Center.

     [B4] SMTP расшифровывается как простой протокол передачи почты  -
Simple  Mail  Transfer  Protocol; FTP - как протокол передачи файлов -
File Transfer Protocol; а TELNET является названием протокола эмуляции
терминала.   Эти  протоколы являются подпротоколами TCP/IP, созданными
для реализации соответствующих функций.

     [B5] Army Ballistic Research Laboratory.

     [B6] John Markoff, Lawrence M. Fisher, Michael Wines, Jeff Gerth,
Calvin Sims.
                                                               стр. 14


системе  лаборатории,  он заметил необычное повышение интенсивности ее
загрузки.  Заподозрив неладное, сотрудник сообщил  об  этом  дежурному
оператору   и  тот  (очевидно  руководствуясь  инструкцией)  сразу  же
отключил систему от сети Science Internet, по которой  распространялся
вирус.
     Специалисты Ливерморской лаборатории действительно  могли  одними
из  первых  обнаружить  вирус.   Дело  в  том,  что  эта  лаборатория,
проводившая исследования по программе СОИ  и  разработку  новых  видов
ядерного  оружия,  в  мае  1988 года уже сталкивалась с вирусом, после
чего,  по   всей   видимости,   были   приняты   дополнительные   меры
предосторожности и повышена бдительность.
     Немедленно об инциденте было сообщено  Управлению  связи  МО  США
(Defence Communication Agency; DCA), в ведении которого находится сеть
Arpanet.  В три часа ночи о вирусной  атаке  узнало  руководство  DoD.
Однако, несмотря на оперативность извещения, локализовать вирус в сети
было уже невозможно.