Alla vet att antivirusprogram är program vars huvuduppgift är att skydda mot virus, eller mer exakt, skadlig kod.
Metoderna och principerna för skydd är teoretiskt sett av liten betydelse, Huvudsaken är att de syftar till att bekämpa skadlig programvara, som Total AV-antivirus. Men i praktiken är detta något annorlunda: nästan alla antivirusprogram kombinerar i olika proportioner alla teknologier och metoder för virusskydd som skapats hittills.
Alla antivirusskyddsmetoder inkluderar två huvudgrupper:
- Signaturmetod – Exakta virusdetektionsmetoder baserade på jämförelse av en fil med kända virusprover.
- Heuristisk metod – ungefärlig detektion metod som gör att du med en viss sannolikhet kan anta att en fil är infekterad.
Heuristisk analys Essentials
Ordet “heuristisk” kommer från det grekiska verbet “hitta”. Kärnan i de heuristiska metoderna är att lösningen på problemet bygger på några rimliga antaganden snarare än strikta slutsatser från tillgängliga fakta och förutsättningar. Eftersom en sådan definition låter ganska komplicerad och otydlig är det lättare att förklara med exempel på olika heuristiska metoder.
Sök efter virus som liknar kända hot
Om signaturmetoden är baserad på att välja virusfunktioner och söka efter dessa funktioner i filerna som testas, baseras den heuristiska analysen på det (mycket rimliga) antagandet att nya virus ofta verkar likna något av de som redan är kända. I efterhand är detta antagande motiverat av närvaron av signaturer i antivirusdatabaser för att bestämma inte ett, utan flera virus samtidigt. Baserat på detta antagande är den heuristiska metoden att hitta filer som inte helt men mycket nära matchar signaturerna för kända virus.
En positiv effekt av denna metod är förmågan att upptäcka nya virus innan de få de tilldelade signaturerna.
Negativa sidor:
- Sannolikheten för felaktig virusnärvaro som avgörs i en fil när filen är ren – sådana händelser kallas falskt positiva.
- Omöjlighet till behandling – både på grund av eventuella falska positiva och felaktig bestämning av virustyp kan behandlingsförsöket leda till mer informationsförlust än själva viruset, vilket är oacceptabelt.
- Låg effektivitet – denna typ av heuristisk analys är inte lämplig mot verkligt innovativa virus, vilket orsakar de största epidemierna.
Sök efter virus som utför misstänkta åtgärder
En annan heuristisk baserad metod od kommer från antagandet att skadlig programvara försöker skada en dator på ett eller annat sätt. Metoden är baserad på att markera stora skadliga åtgärder, såsom:
- Borttagning av filen
- Filinspelning
- Inspelning till specifika områden i registret
- Öppna porten för avlyssning
- Avlyssning av tangentbordsinmatning
- Skräppost
Att utföra varje sådan åtgärd separat är inte en anledning att betrakta programmet som skadligt. Men om programmet sekventiellt utför flera liknande åtgärder, till exempel skriver sig själv till registrets autostartnyckel, fångar upp data som matas in från tangentbordet och skickar dessa data till någon adress på Internet med en viss frekvens, så är detta program åtminstone misstänksam. Baserat på denna princip bör den heuristiska analysatorn ständigt övervaka de åtgärder som programmen utför.
Fördelen med den beskrivna metoden är möjligheten att upptäcka tidigare okänd skadlig programvara, även om de inte är särskilt lika de redan kända. Till exempel kan ny skadlig programvara använda en ny sårbarhet för att penetrera en dator men börjar sedan utföra redan välbekanta skadliga åtgärder. Analysatorn av den första typen kan missa ett sådant program, men analysatorn av den andra typen kan upptäcka det bra.
De negativa sidorna är desamma som tidigare:
- Falska operationer
- Omöjlighet till behandling
- Låg effektivitet
