Hogyan működik a víruskereső szoftver
A víruskereső programok olyan hatékony szoftverek, amelyek nélkülözhetetlenek a Windows számítógépeken. Ha valaha is azon tűnődött, hogy a víruskereső programok hogyan észlelik a vírusokat, mit csinálnak a számítógépén, és hogy a rendszeres rendszereket be kell-e szkennelni, olvassa el.
A víruskereső program egy többrétegű biztonsági stratégia lényeges része - még akkor is, ha okos számítógép-felhasználó, a böngészők, a plug-inek és a Windows operációs rendszer sérülékenységének állandó folyamata maga is fontosnak tartja a víruskereső védelmet.
On-Access szkennelés
A víruskereső szoftver a számítógép hátterében fut, és minden megnyitott fájlt ellenőriz. Ezt általában hozzáférési szkennelésnek, háttérellenőrzésnek, rezidens szkennelésnek, valós idejű védelemnek vagy másnak nevezik, a víruskereső programtól függően.
Amikor kétszer kattint egy EXE fájlra, úgy tűnik, hogy a program azonnal elindul - de nem. A víruskereső szoftver először ellenőrzi a programot, összehasonlítva az ismert vírusokkal, férgekkel és egyéb rosszindulatú szoftverekkel. A víruskereső szoftvere szintén „heurisztikus” ellenőrzést végez, ellenőrzi a rossz viselkedés típusait, amelyek új, ismeretlen vírust jelezhetnek.
A víruskereső programok más típusú vírusokat tartalmazó fájlokat is szkennelnek. Például egy .zip archív fájl tartalmazhat tömörített vírusokat, vagy egy Word dokumentum rosszindulatú makrot tartalmazhat. Fájlokat szkennelnek, amikor azokat használják - például ha letölti az EXE fájlt, akkor azonnal beolvassa azt, mielőtt még megnyitná.
Lehetőség van egy víruskereső használatára a beolvasás nélkül, de ez általában nem jó ötlet - a vírusok, amelyek kihasználják a biztonsági lyukakat a programban, nem kerülnek a szkennerbe. Miután a vírus megfertőzte a rendszert, sokkal nehezebb eltávolítani. (Az is nehéz megbizonyosodni arról, hogy a rosszindulatú programokat valaha teljesen eltávolították.)
Teljes rendszerellenőrzés
A hozzáférhető szkennelés miatt általában nem szükséges teljes rendszerű szkenneléseket futtatni. Ha vírust tölt be a számítógépére, a víruskereső program azonnal észleli - először nem kell manuálisan elindítania a vizsgálatot.
A teljes rendszerű szkennelés azonban hasznos lehet néhány dolog esetében. A teljes rendszerellenőrzés akkor hasznos, ha éppen egy víruskereső programot telepített - ez biztosítja, hogy a számítógépen nincs vírus. A legtöbb víruskereső program ütemezett teljes rendszerellenőrzést végez, gyakran hetente egyszer. Ez biztosítja, hogy a legújabb vírusleíró fájlokat használják a rendszer nyugtató vírusok vizsgálatához.
Ezek a teljes lemezes beolvasások hasznosak lehetnek a számítógép javításakor is. Ha javítani szeretne egy már fertőzött számítógépet, akkor hasznos lehet a merevlemezének egy másik számítógépbe való behelyezése és a teljes rendszerű víruskeresés végrehajtása (ha nem teszi meg a Windows teljes újratelepítését). Ugyanakkor általában nem kell teljes rendszert futtatnia, ha egy víruskereső program már megvédi Önt - mindig a háttérben szkennel és saját, rendszeres, teljes rendszerű vizsgálatokat végez..
Vírus definíciók
A víruskereső szoftver vírusleírásokra támaszkodik a rosszindulatú programok észleléséhez. Ezért automatikusan letölti az új, frissített fájlokat - naponta egyszer vagy még gyakrabban. A definíciós fájlok aláírásokat tartalmaznak a vírusok és más, a természetben tapasztalt rosszindulatú programok számára. Ha egy víruskereső program beolvassa a fájlt, és megjegyzi, hogy a fájl egy ismert kártékony programmal egyezik meg, a víruskereső program leállítja a fájlt a "karanténba" helyezve. A víruskereső program beállításaitól függően a víruskereső program automatikusan törölheti a fájlt vagy lehet, hogy engedélyezi a fájl futtatását, ha biztos benne, hogy hamis pozitív.
Az antivírus-vállalatoknak folyamatosan naprakészen kell maradniuk a legfrissebb kártékony programokkal, és kiadniuk kell azokat a definíciós frissítéseket, amelyek biztosítják, hogy a rosszindulatú programok a programjaikba kerüljenek. A víruskereső laborok különböző eszközöket használnak a vírusok szétszerelésére, a homokozóban való futtatásra és a frissítések időben történő frissítésére, amelyek biztosítják, hogy a felhasználók védve legyenek az új rosszindulatú szoftverektől..
A heurisztika
A víruskereső programok is heurisztikát alkalmaznak. A heurisztika lehetővé teszi, hogy egy víruskereső program azonosítsa az új vagy módosított kártevő típusokat, még vírusleíró fájlok nélkül is. Ha például egy víruskereső program észleli, hogy a rendszeren futó program megpróbálja megnyitni az összes EXE-fájlt a rendszerén, megfertőzi azt az eredeti program egy másolatának beírásával, a víruskereső program új, észlelt programot képes észlelni, ismeretlen típusú vírus.
Nincs megfelelő víruskereső program. A heurisztika nem lehet túl agresszív, vagy vírusként jelöli meg a törvényes szoftvert.
Hamis pozitívok
A szoftverek nagy mennyisége miatt lehetséges, hogy a víruskereső programok esetenként azt mondják, hogy egy fájl vírus, ha valójában teljesen biztonságos fájl. Ezt „hamis pozitívnak” nevezzük. Néha a vírusvédelmi cégek hibákat is okoznak, mint például a Windows rendszerfájlok, a népszerű harmadik felek programjainak, vagy saját víruskereső programjaik vírusként való azonosítása. Ezek a hamis pozitívak károsíthatják a felhasználók rendszerét - az ilyen hibák általában a hírekben találhatók, mivel amikor a Microsoft Security Essentials vírusként azonosította a Google Chrome-ot, az AVG a Windows 7 64 bites változatait megsérült, vagy a Sophos rosszindulatúnak minősítette magát.
A heurisztika növelheti a hamis pozitív eredményeket is. Egy víruskereső észlelheti, hogy egy program hasonlóan működik egy rosszindulatú programhoz, és vírusként azonosítja azt.
Ennek ellenére a hamis pozitívok a szokásos használat során meglehetősen ritkák. Ha a víruskereső azt mondja, hogy egy fájl rosszindulatú, akkor általában azt kell elhinni. Ha nem biztos benne, hogy egy fájl valóban vírus, próbálja meg feltölteni azt a VirusTotalra (amely most a Google tulajdonában van). A VirusTotal különböző víruskereső termékekkel szkenneli a fájlt, és elmondja, hogy mit mond róluk.
Az észlelési arányok
A különböző vírusvédelmi programok különböző észlelési rátákkal rendelkeznek, amelyek mind a vírusleírások, mind a heurisztikák részt vesznek benne. Egyes vírusvédelmi cégek hatékonyabb heurisztikával rendelkezhetnek, és több vírusleírást is kiadhatnak, mint a versenytársaik, ami magasabb észlelési arányt eredményez.
Egyes szervezetek rendszeresen tesztelik az antivírus-programokat egymáshoz képest, összehasonlítva az észlelési arányukat a valós használatban. Az AV-Comparitives rendszeresen kiadja az antivírus-észlelési arányok jelenlegi állapotát összehasonlító tanulmányokat. Az észlelési arányok idővel ingadoznak - nincs olyan legjobb termék, amely következetesen a tetején van. Ha tényleg szeretné látni, hogy mennyire hatékony egy víruskereső program, és melyek a legjobbak, akkor a felfedezési arányok tanulmányozása az a hely, ahová nézni.
Víruskereső program tesztelése
Ha valaha is szeretné tesztelni, hogy egy víruskereső program megfelelően működik-e, használhatja az EICAR tesztfájlt. Az EICAR fájl a víruskereső programok szabványos tesztelésének módja - ez nem veszélyes, de a víruskereső programok úgy viselkednek, mintha veszélyes lenne, vírusként azonosítva. Ez lehetővé teszi a víruskereső programok válaszainak tesztelését élő vírus használata nélkül.
A víruskereső programok bonyolult szoftverek, és vastag könyvek írhatók erről a témáról - de remélhetőleg ez a cikk felgyorsította az alapokat.
