Евристичний аналіз — метод виявлення шкідливого ПЗ, який розпізнає невідомі або змінені загрози за підозрілими ознаками й поведінкою, а не за точним збігом із відомими зразками.
Як працює евристичний аналіз
Сигнатурний аналіз розпізнає лише ті файли, які вже траплялися раніше. Евристичні рушії натомість застосовують емпіричні правила, засновані на тому, як зазвичай виглядає й поводиться шкідливе ПЗ. Поширені два підходи:
- Статична евристика — вивчення файлу без запуску: підозрілі імпорти API, код, що сам себе розшифровує, висока ентропія, яка вказує на пакування, незвична структура файлу або фрагменти коду, схожі на відомі сімейства шкідливого ПЗ.
- Динамічна евристика — запуск файлу в емуляторі чи віртуальному середовищі всередині сканера й спостереження за тим, що він зробив би: змінення системних файлів, впровадження коду в інші процеси або звернення до підозрілих адрес.
Кожна ознака додає вагу до загальної оцінки; якщо сума перевищує поріг, файл позначається — часто під узагальненою назвою на кшталт «Trojan.Generic» або «HEUR».
Чому це важливо
Зловмисники постійно перепаковують і змінюють код, а поліморфне шкідливе ПЗ змінюється з кожним зараженням, тому нові варіанти з’являються значно швидше, ніж пишуться сигнатури. Евристика дає змогу антивірусу ловити багато таких варіантів і частину раніше невідомих загроз. Сьогодні її поєднують із поведінковим моніторингом і моделями машинного навчання, натренованими на мільйонах зразків.
Зворотний бік — точність: агресивна евристика дає більше хибних спрацьовувань, позначаючи легітимні упаковані інсталятори, кряки чи інструменти адміністрування. Крім того, автори шкідливого ПЗ перевіряють свої зразки на евристичних рушіях і застосовують прийоми проти емуляції, щоб уникнути виявлення.
Як застосовують евристичний аналіз
- Не вимикати евристичний захист і зазвичай залишати чутливість за замовчуванням.
- Надсилати вендору файли з підозрою на хибне виявлення, а не вимикати рушій.
- Поєднувати евристику з поведінковим виявленням і EDR для ешелонованого захисту.
