Behaviorální a heuristické antivirové programy

Počítače jsou ve své podstatě jen výkonné stroje, které fungují podle instrukcí vytvořených lidmi. Viry jsou programy, jež donucují počítač vykonávat škodlivé operace, a mohou tak poškodit jak samotný systém, tak vaše data. Vývojáři antivirových řešení proto nabízejí dva hlavní přístupy – behaviorální a heuristický – které se liší způsobem detekce a odstraňování malwaru.

Databáze virů a podpisy kódu

Windows Defender, bezpečnostní aplikace součástí Windows, kontroluje podezřelé soubory proti centrální databázi, kterou spravuje Microsoft. Většina antivirových programů pravidelně aktualizuje své databáze, protože nové hrozby vznikají neustále. Identifikace na základě „signatur“ funguje podobně jako otisk prstu – jedná se o jedinečný soubor charakteristik, který umožňuje rychle rozpoznat známý malware.

Behaviorální detekce

Behaviorální antivirový program působí jako policista, který sleduje podezřelé chování. Po instalaci takového řešení monitoruje operační systém a vyhledává neobvyklé události, například pokusy o změnu souborů nebo neautorizovanou komunikaci přes internet. V případě zjištění podezřelé aktivity může program uživatele varovat, blokovat hrozbu nebo provést jiné akce podle nastavených bezpečnostních parametrů.

Heuristická detekce

Heuristické antiviry se podobají signaturám, ale místo přímého porovnání používají analýzu kódu a struktury podezřelých souborů. Často spouštějí simulaci (sandbox), během které sledovat, jak se kód chová. Pokud během této simulace odhalí logiku charakteristickou pro malware, označí soubor jako potenciální hrozbu.

Změny v kódu a jejich dopad

Protože behaviorální řešení hledá podezřelé chování, dokáže odhalit i takzvané „polymorfní“ viry, které mění svůj kód tak, aby unikly heuristickým databázím. Například pokud heuristická databáze očekává vzor A‑B‑B‑A a autor viru změní sekvenci na A‑A‑B‑B, heuristický antivirový program může změněnou verzi přehlédnout, zatímco behaviorální detekce ji pravděpodobně zachytí.

Úvahy a omezení

Falešně pozitivní upozornění – situace, kdy antivirový program označí legitimní soubor jako škodlivý – jsou častější u heuristických metod. Navíc heuristické skenování může být pomalejší než čistě behaviorální. Moderní antivirové balíčky často kombinují oba přístupy, aby poskytly co nejširší ochranu před různými typy malwaru.