Эвристический анализ — метод обнаружения вредоносного ПО, который выявляет неизвестные или изменённые угрозы по подозрительным признакам и поведению, а не по точному совпадению с известными образцами.
Как работает эвристический анализ
Сигнатурный анализ распознаёт только те файлы, которые уже встречались раньше. Эвристические движки вместо этого применяют эмпирические правила, основанные на том, как обычно выглядит и ведёт себя вредоносное ПО. Распространены два подхода:
- Статическая эвристика — изучение файла без запуска: подозрительные импорты API, самораспаковывающийся код, высокая энтропия, указывающая на упаковку, необычная структура файла или фрагменты кода, похожие на известные семейства вредоносов.
- Динамическая эвристика — запуск файла в эмуляторе или виртуальной среде внутри сканера и наблюдение за тем, что он сделал бы: изменение системных файлов, внедрение кода в другие процессы или обращение к подозрительным адресам.
Каждый признак добавляет вес к общей оценке; если сумма превышает порог, файл помечается — часто под обобщённым названием вроде «Trojan.Generic» или «HEUR».
Почему это важно
Атакующие постоянно перепаковывают и изменяют код, а полиморфное вредоносное ПО меняется при каждом заражении, поэтому новые варианты появляются гораздо быстрее, чем пишутся сигнатуры. Эвристика позволяет антивирусу ловить многие такие варианты и часть ранее неизвестных угроз. Сегодня её сочетают с поведенческим мониторингом и моделями машинного обучения, обученными на миллионах образцов.
Обратная сторона — точность: агрессивная эвристика даёт больше ложных срабатываний, помечая легитимные упакованные установщики, кряки или инструменты администрирования. Кроме того, авторы вредоносного ПО проверяют свои образцы на эвристических движках и применяют приёмы против эмуляции, чтобы избежать обнаружения.
Как применяется эвристический анализ
- Не отключать эвристическую защиту и обычно оставлять чувствительность по умолчанию.
- Отправлять вендору файлы с подозрением на ложное обнаружение, а не отключать движок.
- Сочетать эвристику с поведенческим обнаружением и EDR для эшелонированной защиты.
