La detección basada en firmas es un método para identificar malware y ataques comparando archivos o tráfico de red con una base de datos de patrones conocidos, llamados firmas.
Cómo funciona la detección basada en firmas
Una firma describe algo exclusivo de una amenaza conocida. Sus formas habituales son:
- Hashes: el valor MD5 o SHA-256 de un archivo malicioso; es exacto, pero basta con cambiar un solo byte para burlarlo.
- Patrones de bytes y cadenas: secuencias de código o texto típicas de una familia de malware, a menudo con comodines.
- Reglas: combinaciones de condiciones, como las reglas YARA para archivos o las reglas de Snort y Suricata para el tráfico de red en un sistema de detección de intrusiones.
Los fabricantes analizan muestras nuevas y publican actualizaciones de firmas varias veces al día. El escáner revisa los archivos al acceder a ellos, al descargarlos y en los análisis programados.
Por qué es importante
Las firmas son rápidas, precisas y generan pocos falsos positivos, lo que las convierte en la base de motores antivirus como el ClamAV de código abierto y de las herramientas de seguridad de red. Además, son fáciles de compartir: los indicadores y reglas que publican los investigadores permiten a muchas organizaciones detectar rápidamente la misma amenaza.
Su debilidad es que solo detectan lo ya conocido. El malware de día cero, el malware polimórfico que cambia con cada copia, los archivos empaquetados u ofuscados y los ataques sin archivos pueden colarse hasta que se escribe una firma nueva. Los delincuentes prueban sus muestras contra escáneres públicos antes de distribuirlas. Por eso los productos modernos combinan las firmas con análisis heurístico, monitorización del comportamiento, sandboxing y aprendizaje automático.
Cómo se utiliza
- Mantener actualizadas automáticamente las bases de firmas en todos los endpoints y pasarelas.
- Usar reglas YARA e IDS propias para amenazas específicas de la organización.
- No depender solo de las firmas: añadir detección por comportamiento y EDR.
