Jak funguje antivirus: signatury, heuristika a chování programů

Jak funguje antivirus? Sleduje soubory a procesy v zařízení a snaží se rozpoznat škodlivou činnost. Název je historický, dnes takové produkty obvykle chrání nejen před viry, ale i před trojskými koni, ransomwarem, spywarem a podvodnými stránkami. Znalost principů detekce pomáhá pochopit, co můžete od ochrany očekávat.

Pojmy použité v textu vysvětluje slovník. Přehled kategorií hrozeb najdete v sekci Malware.

Signatury: rozpoznávání známých hrozeb

Nejstarší technika porovnává soubory s databází známých otisků nebo vzorů škodlivého kódu. Pokud se soubor shoduje, program ho označí jako škodlivý. Metoda je rychlá a spolehlivá u známých hrozeb, ale nepomůže u nových nebo mírně upravených variant.

Proto jsou pravidelné aktualizace databáze důležité. Útočníci navíc kód úmyslně upravují, aby se signaturám vyhnuli, takže samotné signatury dnes nestačí. Zůstávají však užitečným základem, který rychle vyřadí běžné hrozby.

Heuristika a analýza chování

Heuristické metody hledají charakteristické vlastnosti škodlivého kódu, i když se neshoduje s žádnou známou signaturou. Analýza chování sleduje, co program dělá: zda mění velké množství souborů najednou, pokouší se o přístup k heslům nebo se snaží skrýt.

Tyto metody dokážou zachytit i nové hrozby, mají však nevýhodu: mohou označit neškodný program jako podezřelý. Takové falešné poplachy jsou přirozenou cenou za schopnost zachytit neznámé hrozby. U nejasných upozornění proto nepoužívejte automaticky výjimky.

Cloudová reputace a sandbox

Moderní produkty posílají otisky podezřelých souborů do cloudu, kde se porovnávají s údaji z mnoha zařízení. Soubor, který se objevil teprve před chvílí a má ho málo lidí, může být označen jako rizikový. Reputační systémy tak reagují rychleji než klasické aktualizace.

Některá řešení spouštějí podezřelé soubory v izolovaném prostředí (sandboxu) a sledují jejich chování bez rizika pro systém. Taková analýza je náročnější, ale odhaluje programy, které se na první pohled tváří neškodně.

Ochrana webu a e-mailu

Součástí mnoha produktů je kontrola odkazů, blokování známých podvodných stránek a skenování příloh. Taková ochrana pomáhá proti phishingu, není však neomylná. Nové podvodné stránky vznikají rychleji, než se zařadí do seznamů. O podvodech se dozvíte více v samostatné sekci.

Vestavěné funkce prohlížečů a systémů často nabízejí podobnou ochranu bez instalace dalšího programu. Jaká řešení existují a jak se liší přístupy, popisuje sekce Antiviry.

Omezení ochranného softwaru

Antivirus nechrání před rozhodnutími člověka. Pokud sami nainstalujete podvodnou aplikaci, zadáte heslo na falešné stránce nebo pošlete platbu podvodníkovi, software to nezastaví. Nechrání ani před zranitelnostmi, které nejsou opravené.

Proto ho berte jako jednu vrstvu obrany. Doplňte ho aktualizacemi, zálohami, jedinečnými hesly a druhým faktorem. Praktické kroky pro zařízení najdete v přehledu zabezpečení.

Při hodnocení produktů proto nehledejte magická slova jako umělá inteligence, ale to, jaké vrstvy ochrany skutečně nabízejí a jak se ověřují nezávislými testy.